Sjekk CMVP-sertifikatet bak FIPS-påstanden til eit VPN

Leverandørsider som seier FIPS validert er ikkje prov du kan leggje i saka. Provet er eit sertifikatnummer, eit modulnamn, ein validert versjon og driftsvilkåra som høyrer til, og dei må stemme med bygget du ruller ut. NIST CMVP FAQ er tydeleg på skilnaden mellom eit produkt som hevdar kompatibilitet og ein modul som vart validert. Gå gjennom dei fire trinna nedanfor i rekkjefølgje, og oppbevar protokollen saman med utrullinga.

Trinn 1: skaff sertifikatnummeret, ikkje merket

Be leverandøren om CMVP-sertifikatnummeret som dekkjer den kryptografiske modulen i produktet du har tenkt å køyre. Eit sertifikatnummer er eit konkret, kontrollerbart objekt, medan eit merke er marknadsføring. Viss svaret skildrar ein algoritme i staden for ein modul, har svaret svara på eit anna spørsmål. Be om nummeret ein gong til i staden for å godta ein PDF av eit merke. Protokollen bak nummeret er det ein revisor kan følgje.

Slå deretter opp nummeret i det offisielle søket for validerte modular og les protokollen, ikkje eit samandrag av han. Protokollen nemner leverandøren, modulen, den validerte versjonen og statusen, og han lenkjer til sikkerheitspolicydokumentet som skildrar korleis modulen skal fungere.

Skriv ned dei fem felta, fordi neste trinn samanliknar dei med bygget. Éin kolonne i eit rekneark er nok.

Trinn 2: kople modulversjonen til bygget

Ein VPN-klientversjon og ein innebygd modulversjon deler sjeldan same nummer, og det er normalt. Det som tel er om modulversjonen i bygget ditt står i den validerte protokollen. Ei oppdatering kan endre modulen utan å endre produktnamnet, og det flyttar stille utrullinga utanfor den validerte konfigurasjonen.

Spør kva komponent som brukar modulen og korleis godkjend modus vert vald i den støtta konfigurasjonen. Eit bygg som kan køyre i ein ikkje-godkjend modus er ikkje same prov som eit bygg konfigurert for den godkjende.

Les det lokale bygget, slik at samanlikninga brukar artefakten og ikkje nedlastingssida. Kommandoane nedanfor skriv ut nettopp det.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Når modulen rapporterer ein annan versjon enn sertifikatet, har påstanden forskyve seg og protokollen må oppdaterast før nokon signerer noko.

Trinn 3: les driftsvilkåra

Sertifikatet ber vilkår som skildrar miljøet valideringa dekkjer. Desse vilkåra kan nemne plattformen, konfigurasjonen, tillatne nøkkelstorleikar og tenestene som må avgrensast. Ein vanleg installasjon som ignorerer dei er ei utrulling utanfor den validerte grensa, sjølv når binæren er identisk. Difor er sikkerheitspolicydokumentet like viktig som sertifikatnummeret.

Hald leverandørrettleiinga ved sida av sertifikatet, fordi ho forklarar kva innstillingar som vel godkjend modus og kva som tek produktet utanfor han.

Viss vilkåra ikkje kan oppfyllast i miljøet ditt, er den ærlege utsegna at denne utrullinga ligg utanfor den validerte konfigurasjonen. Å nemne vilkåret som ikkje kan oppfyllast gjer utsegna til noko eit team kan rette eller godta.

Trinn 4: stadfest statusen i dag

CMVP-protokollen har ein status, og statusen er ikkje permanent. NIST sin FAQ skildrar overgangsdatoane for FIPS 140-2 i 2026, og etter det står berre FIPS 140-3-valideringar att på den aktive lista. Eit sertifikat som var aktivt då kjøpet vart godkjent kan vere historisk i dag.

Historisk og tilbakekalla er ulike tilstandar, og kvar har si eiga meining for anskaffinga. Sjekk den levande protokollen i staden for eit skjermbilete frå prosjektmappa, og noter datoen du sjekka.

Spør deretter etterlevings- eller anskaffingseigaren kva status kravet deira godtek, fordi det er ei politisk avgjerd og ikkje eit teknisk funn. Registrer svaret med ein dato på.

Sjekk protokollen mot utrullinga

Samanlikne dei fire innsamla verdiane: sertifikatnummeret, modulversjonen frå bygget, driftsvilkåra som gjeld, og gjeldande status. Kvar avvik er eit funn, og funnet høyrer heime i utrullingsprotokollen og ikkje i ein lysbilete.

Oppbevar provet saman med bygget, inkludert datoen og personen som sjekka det. Éin katalog per utgjeving er nok.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hald påstanden innanfor grensa si også. Modulvalidering seier ingenting om protokollhandteringa til VPN-en, autorisasjonsavgjerdene eller loggføringspolicyen. Det er spesifikt prov om éin definert kryptografisk komponent, og å handsame det som ein produktpoengsum er korleis ei etterlevingsfil endar med å skildre noko ingen rulla ut.