VPN-ийн FIPS мэдэгдлийн ард байгаа CMVP гэрчилгээг шалгаарай

FIPS баталгаажсан гэж бичсэн нийлүүлэгчийн хуудсууд нь таны бүртгэлд оруулж болох нотолгоо биш. Нотолгоо гэдэг нь гэрчилгээний дугаар, модулийн нэр, баталгаажсан хувилбар болон түүнд хавсаргасан үйл ажиллагааны нөхцөл бөгөөд тэдгээр нь таны байршуулж буй бүтэцтэй тохирох ёстой. NIST CMVP FAQ нь нийцтэй гэж мэдэгдэж буй бүтээгдэхүүн болон баталгаажсан модулийн ялгааг тодорхой хэлдэг. Доорх дөрвөн алхмыг дарааллаар нь хийж, бүртгэлийг байршуулалттай хамт хадгал.

Алхам 1: тэмдэг биш, гэрчилгээний дугаарыг ав

Та ажиллуулахаар төлөвлөж буй бүтээгдэхүүн дэх криптограф модулийг хамарсан CMVP гэрчилгээний дугаарыг нийлүүлэгчээс асуу. Гэрчилгээний дугаар нь тодорхой, шалгаж болох объект бол тэмдэг нь маркетинг юм. Хэрэв хариулт модулийн оронд алгоритмыг тайлбарлаж байвал тэр хариулт өөр асуултад хариулсан байна. Тэмдгийн PDF-ийг хүлээн авахын оронд дугаарыг дахин нэг удаа шаард. Дугаарын ард байгаа бүртгэл нь аудитор дагаж чадах зүйл юм.

Дараа нь тэр дугаарыг албан ёсны баталгаажсан модулийн хайлтаас олж, бүртгэлийг хураангуй биш, өөрийг нь унш. Бүртгэлд нийлүүлэгч, модуль, баталгаажсан хувилбар болон төлвийг нэрлэж, модуль хэрхэн ажиллах ёстойг тайлбарласан аюулгүй байдлын бодлогын баримт бичигт холбодог.

Тэдгээр таван талбарыг бичиж ав, учир нь дараагийн алхам тэдгээрийг бүтэцтэй харьцуулна. Хүснэгтийн нэг багана хангалттай.

Алхам 2: модулийн хувилбарыг бүтэцтэй тааруул

VPN клиентийн хувилбар болон суулгагдсан модулийн хувилбар нь нэг дугаартай байх нь ховор бөгөөд энэ нь хэвийн. Чухал нь таны бүтэц доторх модулийн хувилбар баталгаажсан бүртгэлд гарч байгаа эсэх юм. Шинэчлэлт нь бүтээгдэхүүний нэрийг өөрчлөхгүйгээр модулийг өөрчилж болох бөгөөд энэ нь байршуулалтыг баталгаажсан тохиргооноос чимээгүйгээр гадагшлуулна.

Аль компонент модулийг ашигладаг, дэмжигдсэн тохиргоонд зөвшөөрөгдсөн горим хэрхэн сонгогддог талаар асуу. Зөвшөөрөгдөөгүй горимд ажиллаж чадах бүтэц нь зөвшөөрөгдсөн горимд тохируулсан бүтэцтэй ижил нотолгоо биш.

Локал бүтцээс унш, тэгвэл харьцуулалт татаж авах хуудас биш, бодит артефактыг ашиглана. Доорх командууд яг үүнийг хэвлэнэ.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Модуль гэрчилгээнээс өөр хувилбар мэдээлбэл, мэдэгдэл зөрчигдсөн бөгөөд хэн нэгэн гарын үсэг зурахаас өмнө бүртгэлийг шинэчлэх шаардлагатай.

Алхам 3: үйл ажиллагааны нөхцлийг унш

Гэрчилгээ нь баталгаажуулалтын хамрах орчныг тайлбарласан нөхцлийг агуулна. Тэдгээр нөхцөл нь платформ, тохиргоо, зөвшөөрөгдсөн түлхүүрийн хэмжээ болон хязгаарлах ёстой үйлчилгээг нэрлэж болно. Тэдгээрийг үл тоомсорлосон энгийн суулгалт нь хоёртын файл ижил байсан ч баталгаажсан хилээс гадуурх байршуулалт юм. Тиймээс аюулгүй байдлын бодлогын баримт бичиг гэрчилгээний дугаартай адил чухал.

Нийлүүлэгчийн зааврыг гэрчилгээний дэргэд байлга, учир нь аль тохиргоо зөвшөөрөгдсөн горимыг сонгож, аль нь бүтээгдэхүүнийг түүнээс гадагш гаргадгийг тайлбарладаг.

Хэрэв нөхцлийг таны орчинд биелүүлэх боломжгүй бол шударга мэдэгдэл нь энэ байршуулалт баталгаажсан тохиргооноос гадуур байна гэсэн үг. Биелүүлэх боломжгүй нөхцлийг нэрлэснээр тэр мэдэгдэл баг хийх боломжтой эсвэл хүлээн зөвшөөрч болох зүйл болно.

Алхам 4: өнөөдрийн төлвийг баталгаажуул

CMVP бүртгэл нь төлөвтэй бөгөөд төлөв нь байнгын биш. NIST FAQ нь 2026 онд FIPS 140-2-оос шилжих огноог тайлбарладаг бөгөөд үүний дараа идэвхтэй жагсаалтад зөвхөн FIPS 140-3 баталгаажуулалт үлдэнэ. Худалдан авалт батлагдсан үед идэвхтэй байсан гэрчилгээ өнөөдөр түүхэн байж болно.

Түүхэн болон хүчингүй болгосон нь өөр төлөв бөгөөд тус бүр худалдан авалтад өөрийн утгатай. Төслийн хавтас дахь дэлгэцийн зураг биш, амьд бүртгэлийг шалгаж, шалгасан огноогоо тэмдэглэ.

Дараа нь нийцлийн эсвэл худалдан авалтын эзнээс тэдний шаардлага аль төлвийг хүлээн авдаг талаар асуу, учир нь энэ нь техникийн дүгнэлт биш бодлогын шийдвэр юм. Хариултыг огноотой нь бүртгэ.

Бүртгэлийг байршуулалттай тулган шалга

Цуглуулсан дөрвөн утгыг харьцуул: гэрчилгээний дугаар, бүтцээс гарсан модулийн хувилбар, хүчин төгөлдөр үйл ажиллагааны нөхцөл, одоогийн төлөв. Аливаа зөрүү нь олдвор бөгөөд олдвор нь слайд биш, байршуулалтын бүртгэлд байх ёстой.

Нотолгоог бүтэцтэй хамт хадгал, шалгасан огноо болон хүнийг оруулан. Нэг хувилбарт нэг хавтас хангалттай.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Мэдэгдлийг өөрийн хил дотор нь байлга. Модулийн баталгаажуулалт нь VPN-ийн протоколын боловсруулалт, түүний зөвшөөрлийн шийдвэр эсвэл логийн бодлогын талаар юу ч хэлэхгүй. Энэ нь нэг тодорхойлогдсон криптограф компонентийн тухай тодорхой нотолгоо бөгөөд үүнийг бүтээгдэхүүний үнэлгээ мэт үзэх нь нийцлийн файл хэн ч байршуулаагүй зүйлийг дүрслэх зам юм.