Controleer het CMVP-certificaat achter de FIPS-claim van een VPN

Leverancierspagina's die zeggen FIPS gevalideerd zijn geen bewijs dat u kunt indienen. Het bewijs is een certificaatnummer, een modulenaam, een gevalideerde versie en de bedrijfscondities die eraan hangen, en die moeten overeenkomen met de build die u uitrolt. De NIST CMVP FAQ is duidelijk over het verschil tussen een product dat compatibiliteit claimt en een module die is gevalideerd. Doorloop de vier stappen hieronder in volgorde en bewaar het record bij de uitrol.

Stap 1: haal het certificaatnummer op, niet de badge

Vraag de leverancier om het CMVP-certificaatnummer dat de cryptografische module in het product dekt dat u wilt draaien. Een certificaatnummer is een concreet, controleerbaar object, terwijl een badge marketing is. Als het antwoord een algoritme beschrijft in plaats van een module, heeft het antwoord een andere vraag beantwoord. Vraag nog eens om het nummer in plaats van een PDF van een badge te accepteren. Het record achter het nummer is wat een auditor kan volgen.

Zoek dat nummer vervolgens op in de officiële zoekfunctie voor gevalideerde modules en lees het record, niet een samenvatting ervan. Het record noemt de leverancier, de module, de gevalideerde versie en de status, en het linkt naar het beveiligingsbeleidsdocument dat beschrijft hoe de module hoort te werken.

Schrijf die vijf velden op, want de volgende stap vergelijkt ze met de build. Eén spreadsheetkolom is genoeg.

Stap 2: laat de moduleversie overeenkomen met de build

Een VPN-clientversie en een ingebedde moduleversie delen zelden hetzelfde nummer, en dat is normaal. Wat telt is of de moduleversie in uw build in het gevalideerde record staat. Een update kan de module wijzigen zonder de productnaam te wijzigen, wat de uitrol stilletjes buiten de gevalideerde configuratie schuift.

Vraag welke component de module gebruikt en hoe de goedgekeurde modus in de ondersteunde configuratie wordt geselecteerd. Een build die in een niet-goedgekeurde modus kan draaien is niet hetzelfde bewijs als een build die voor de goedgekeurde is geconfigureerd.

Lees de lokale build, zodat de vergelijking het artefact gebruikt en niet de downloadpagina. De opdrachten hieronder drukken precies dat af.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Wanneer de module een andere versie rapporteert dan het certificaat, is de claim verschoven en moet het record worden bijgewerkt voordat iemand iets ondertekent.

Stap 3: lees de bedrijfscondities

Het certificaat draagt voorwaarden die de omgeving beschrijven die de validatie dekt. Die voorwaarden kunnen het platform, de configuratie, de toegestane sleutelgroottes en de services noemen die beperkt moeten worden. Een gewone installatie die ze negeert is een uitrol buiten de gevalideerde grens, zelfs wanneer de binary identiek is. Daarom is het beveiligingsbeleidsdocument net zo belangrijk als het certificaatnummer.

Houd de leveranciersrichtlijn naast het certificaat, want die legt uit welke instellingen de goedgekeurde modus selecteren en welke het product erbuiten brengen.

Als de voorwaarden in uw omgeving niet kunnen worden gehaald, is de eerlijke uitspraak dat deze uitrol buiten de gevalideerde configuratie staat. De voorwaarde noemen die niet kan worden gehaald maakt die uitspraak iets wat een team kan oplossen of accepteren.

Stap 4: bevestig de status vandaag

Het CMVP-record heeft een status, en de status is niet permanent. De NIST FAQ beschrijft de overgangsdata van FIPS 140-2 in 2026, waarna alleen FIPS 140-3-validaties op de actieve lijst blijven. Een certificaat dat actief was toen de aankoop werd goedgekeurd kan vandaag historisch zijn.

Historisch en ingetrokken zijn verschillende statussen, en elk heeft zijn eigen betekenis voor inkoop. Controleer het live record in plaats van een screenshot uit de projectmap, en noteer de datum waarop u controleerde.

Vraag daarna de compliance- of inkoopeigenaar welke status hun eis accepteert, want dat is een beleidsbeslissing en geen technische bevinding. Leg het antwoord vast met een datum erop.

Controleer het record tegen de uitrol

Vergelijk de vier verzamelde waarden: het certificaatnummer, de moduleversie uit de build, de geldende bedrijfscondities en de huidige status. Elke afwijking is een bevinding, en de bevinding hoort in het uitrolrecord en niet in een slide.

Bewaar het bewijs bij de build, inclusief de datum en de persoon die het controleerde. Eén map per release is genoeg.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Houd de claim ook binnen zijn grens. Modulevalidatie zegt niets over de protocolafhandeling van de VPN, de autorisatiebeslissingen of het logbeleid. Het is specifiek bewijs over één gedefinieerde cryptografische component, en het als een productscore behandelen is hoe een compliancebestand iets gaat beschrijven dat niemand heeft uitgerold.