Sjekk CMVP-sertifikatet bak en VPNs FIPS-påstand

Leverandørsider som sier FIPS validert er ikke bevis du kan legge i saken. Beviset er et sertifikatnummer, et modulnavn, en validert versjon og driftsbetingelsene som hører til, og de må stemme med bygget du distribuerer. NIST CMVP FAQ er tydelig på forskjellen mellom et produkt som hevder kompatibilitet og en modul som ble validert. Gå gjennom de fire trinnene nedenfor i rekkefølge, og oppbevar protokollen sammen med distribusjonen.

Trinn 1: skaff sertifikatnummeret, ikke merket

Be leverandøren om CMVP-sertifikatnummeret som dekker den kryptografiske modulen i produktet du har tenkt å kjøre. Et sertifikatnummer er et konkret, kontrollerbart objekt, mens et merke er markedsføring. Hvis svaret beskriver en algoritme i stedet for en modul, har svaret besvart et annet spørsmål. Be om nummeret en gang til i stedet for å godta en PDF av et merke. Protokollen bak nummeret er det en revisor kan følge.

Slå deretter opp nummeret i det offisielle søket for validerte moduler og les protokollen, ikke et sammendrag av den. Protokollen oppgir leverandør, modul, validert versjon og status, og den lenker til sikkerhetspolicy-dokumentet som beskriver hvordan modulen skal fungere.

Skriv ned de fem feltene, fordi neste trinn sammenligner dem med bygget. Én kolonne i et regneark er nok.

Trinn 2: koble modulversjonen til bygget

En VPN-klientversjon og en innebygd modulversjon deler sjelden samme nummer, og det er normalt. Det som betyr noe er om modulversjonen i bygget ditt står i den validerte protokollen. En oppdatering kan endre modulen uten å endre produktnavnet, og det flytter stilltiende distribusjonen utenfor den validerte konfigurasjonen.

Spør hvilken komponent som bruker modulen og hvordan godkjent modus velges i den støttede konfigurasjonen. Et bygg som kan kjøre i en ikke-godkjent modus er ikke samme bevis som et bygg konfigurert for den godkjente.

Les det lokale bygget, slik at sammenligningen bruker artefakten og ikke nedlastingssiden. Kommandoene nedenfor skriver ut nettopp det.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Når modulen rapporterer en annen versjon enn sertifikatet, har påstanden forskjøvet seg og protokollen må oppdateres før noen signerer noe.

Trinn 3: les driftsbetingelsene

Sertifikatet bærer betingelser som beskriver miljøet valideringen dekker. Disse betingelsene kan navngi plattformen, konfigurasjonen, tillatte nøkkelstørrelser og tjenestene som må begrenses. En vanlig installasjon som ignorerer dem er en distribusjon utenfor den validerte grensen, selv når binæren er identisk. Derfor er sikkerhetspolicy-dokumentet like viktig som sertifikatnummeret.

Ha leverandørens veiledning ved siden av sertifikatet, fordi den forklarer hvilke innstillinger som velger godkjent modus og hvilke som tar produktet utenfor den.

Hvis betingelsene ikke kan oppfylles i miljøet ditt, er den ærlige uttalelsen at denne distribusjonen ligger utenfor den validerte konfigurasjonen. Å navngi betingelsen som ikke kan oppfylles gjør uttalelsen til noe et team kan rette eller akseptere.

Trinn 4: bekreft statusen i dag

CMVP-protokollen har en status, og statusen er ikke permanent. NISTs FAQ beskriver overgangsdatoene for FIPS 140-2 i 2026, og etter det står bare FIPS 140-3-valideringer igjen på den aktive listen. Et sertifikat som var aktivt da kjøpet ble godkjent kan være historisk i dag.

Historisk og tilbakekalt er forskjellige tilstander, og hver har sin egen betydning for anskaffelsen. Sjekk den levende protokollen i stedet for et skjermbilde fra prosjektmappen, og noter datoen du sjekket.

Spør deretter etterlevelses- eller anskaffelseseieren hvilken status kravet deres godtar, fordi det er en policybeslutning og ikke et teknisk funn. Registrer svaret med en dato på.

Sjekk protokollen mot distribusjonen

Sammenlign de fire innsamlede verdiene: sertifikatnummeret, modulversjonen fra bygget, driftsbetingelsene som gjelder, og gjeldende status. Enhver avvik er et funn, og funnet hører hjemme i distribusjonsprotokollen og ikke i en lysbilde.

Oppbevar beviset sammen med bygget, inkludert datoen og personen som sjekket det. Én katalog per utgivelse er nok.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hold påstanden innenfor sin grense også. Modulvalidering sier ingenting om VPN-ens protokollhåndtering, autorisasjonsbeslutningene eller loggføringspolicyen. Det er spesifikt bevis om én definert kryptografisk komponent, og å behandle det som en produktpoengsum er hvordan en etterlevelsesfil ender med å beskrive noe ingen distribuerte.