Sjekk CMVP-sertifikatet bak FIPS-påstanden til en VPN

Leverandørsider som påstår at noe er FIPS-validert er ikke bevis du kan legge ved saken. Beviset er et sertifikatnummer, et modulnavn, en validert versjon og driftsbetingelsene som følger med, og disse må samsvare med bygget du tar i bruk. NIST CMVP FAQ er tydelig på forskjellen mellom et produkt som hevder kompatibilitet, og en modul som faktisk ble validert. Følg de fire trinnene nedenfor i rekkefølge, og oppbevar dokumentasjonen sammen med utrullingen.

Trinn 1: hent sertifikatnummeret, ikke merket

Be leverandøren om CMVP-sertifikatnummeret som omfatter den kryptografiske modulen i produktet du planlegger å kjøre. Et sertifikatnummer er et bestemt og kontrollerbart objekt, mens et merke er markedsføring. Dersom svaret beskriver en algoritme og ikke en modul, har svaret besvart et annet spørsmål. Be om nummeret én gang til i stedet for å godta en PDF med et merke. Dokumentasjonen bak nummeret er det en revisor kan følge.

Deretter slår du opp nummeret i det offisielle søket for validerte moduler og leser dokumentasjonen, ikke et sammendrag. Dokumentasjonen oppgir leverandør, modul, validert versjon og status, og den lenker til sikkerhetspolitikkdokumentet som beskriver hvordan modulen skal virke.

Skriv ned de fem feltene, siden neste trinn sammenligner dem med bygget. Én kolonne i et regneark holder.

Trinn 2: koble modulversjonen til bygget

En VPN-klientversjon og en innebygd modulversjon har sjelden samme nummer, og det er helt normalt. Det avgjørende er om modulversjonen i bygget ditt står oppført i den validerte dokumentasjonen. En oppdatering kan endre modulen uten å endre produktnavnet, og det flytter i stillhet utrullingen utenfor den validerte konfigurasjonen.

Spør hvilken komponent som bruker modulen, og hvordan godkjent modus velges i den støttede konfigurasjonen. Et bygg som kan kjøre i en ikke-godkjent modus, er ikke samme bevis som et bygg som er konfigurert for den godkjente.

Les det lokale bygget, slik at sammenligningen bygger på artefakten og ikke på nedlastingssiden. Kommandoene nedenfor skriver ut nettopp dette.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Når modulen rapporterer en annen versjon enn sertifikatet, har påstanden flyttet seg, og dokumentasjonen må oppdateres før noen signerer.

Trinn 3: les driftsbetingelsene

Sertifikatet inneholder vilkår som beskriver miljøet validasjonen dekker. Vilkårene kan navngi plattformen, konfigurasjonen, tillatte nøkkelstørrelser og tjenestene som må begrenses. En vanlig installasjon som ser bort fra dem, er en utrulling utenfor den validerte grensen, selv når binæren er identisk. Derfor er sikkerhetspolitikkdokumentet like viktig som sertifikatnummeret.

Ha leverandørens veiledning ved siden av sertifikatet, fordi den forklarer hvilke innstillinger som velger godkjent modus, og hvilke som tar produktet utenfor den.

Dersom vilkårene ikke kan oppfylles i miljøet ditt, er den ærlige formuleringen at denne utrullingen ligger utenfor den validerte konfigurasjonen. Å peke på vilkåret som ikke kan oppfylles, gjør formuleringen til noe et team kan rette opp eller godta.

Trinn 4: bekreft statusen i dag

CMVP-dokumentasjonen har en status, og statusen er ikke varig. NIST sin FAQ beskriver overgangsdatoene for FIPS 140-2 i 2026, og etter det står bare FIPS 140-3-validasjoner igjen på den aktive listen. Et sertifikat som var aktivt da kjøpet ble godkjent, kan være historisk i dag.

Historisk og tilbakekalt er to forskjellige tilstander, og hver av dem har sin betydning for anskaffelsen. Sjekk den levende dokumentasjonen i stedet for et skjermbilde fra prosjektmappen, og noter datoen du sjekket.

Deretter spør du eieren av etterlevelse eller anskaffelse hvilken status kravet deres godtar, fordi det er en policybeslutning og ikke et teknisk funn. Skriv ned svaret med dato.

Sjekk dokumentasjonen mot utrullingen

Sammenlign de fire innsamlede verdiene: sertifikatnummeret, modulversjonen fra bygget, driftsbetingelsene som gjelder, og dagens status. Enhver avvik er et funn, og funnet hører hjemme i utrullingsdokumentasjonen og ikke i en presentasjon.

Oppbevar beviset sammen med bygget, inkludert datoen og personen som sjekket det. Én mappe per utgivelse er nok.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Hold påstanden innenfor grensene sine også. Modulvalidering sier ingenting om VPN-ens protokollhåndtering, autorisasjonsbeslutninger eller loggpolicy. Det er konkret bevis om én definert kryptografisk komponent, og å behandle det som en produktkarakter er måten en etterlevelsesfil ender opp med å beskrive noe ingen rullet ut.