Sprawdź certyfikat CMVP kryjący się za deklaracją FIPS VPN

Strony dostawców, na których napisano FIPS zwalidowany, nie są dowodem, który można dołączyć do akt. Dowodem jest numer certyfikatu, nazwa modułu, zwalidowana wersja oraz dołączone do niej warunki eksploatacji, i muszą one odpowiadać kompilacji, którą wdrażasz. FAQ NIST CMVP jasno opisuje różnicę między produktem deklarującym zgodność a modułem, który został zwalidowany. Wykonaj poniższe cztery kroki po kolei i przechowuj zapis razem z wdrożeniem.

Krok 1: zdobądź numer certyfikatu, nie odznakę

Poproś dostawcę o numer certyfikatu CMVP obejmujący moduł kryptograficzny w produkcie, który zamierzasz uruchomić. Numer certyfikatu jest konkretnym, sprawdzalnym obiektem, podczas gdy odznaka to marketing. Jeśli odpowiedź opisuje algorytm zamiast modułu, odpowiedź odpowiada na inne pytanie. Poproś o numer jeszcze raz, zamiast przyjmować PDF z odznaką. Zapis stojący za numerem jest tym, za czym audytor może podążyć.

Następnie znajdź ten numer w oficjalnej wyszukiwarce zwalidowanych modułów i przeczytaj zapis, a nie jego streszczenie. Zapis podaje dostawcę, moduł, zwalidowaną wersję i status oraz link do dokumentu polityki bezpieczeństwa opisującego, jak moduł ma działać.

Zapisz te pięć pól, ponieważ następny krok porównuje je z kompilacją. Wystarczy jedna kolumna arkusza.

Krok 2: dopasuj wersję modułu do kompilacji

Wersja klienta VPN i wersja osadzonego modułu rzadko mają ten sam numer i jest to normalne. Liczy się to, czy wersja modułu w twojej kompilacji figuruje w zwalidowanym zapisie. Aktualizacja może zmienić moduł bez zmiany nazwy produktu, co po cichu wyprowadza wdrożenie poza zwalidowaną konfigurację.

Zapytaj, który komponent używa modułu i jak w obsługiwanej konfiguracji wybierany jest tryb zatwierdzony. Kompilacja, która może działać w trybie niezatwierdzonym, nie jest tym samym dowodem co kompilacja skonfigurowana pod tryb zatwierdzony.

Czytaj lokalną kompilację, aby porównanie opierało się na artefakcie, a nie na stronie pobierania. Poniższe polecenia drukują dokładnie to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Gdy moduł zgłasza inną wersję niż certyfikat, deklaracja się przesunęła i zapis wymaga aktualizacji, zanim ktokolwiek coś podpisze.

Krok 3: przeczytaj warunki eksploatacji

Certyfikat zawiera warunki opisujące środowisko objęte walidacją. Warunki te mogą wskazywać platformę, konfigurację, dozwolone rozmiary kluczy i usługi, które trzeba ograniczyć. Zwykła instalacja, która je pomija, jest wdrożeniem poza zwalidowaną granicą, nawet gdy binarka jest identyczna. Dlatego dokument polityki bezpieczeństwa jest tak samo ważny jak numer certyfikatu.

Trzymaj wskazówki dostawcy obok certyfikatu, ponieważ wyjaśniają, które ustawienia wybierają tryb zatwierdzony, a które wyprowadzają produkt poza niego.

Jeśli warunków nie da się spełnić w twoim środowisku, uczciwym stwierdzeniem jest to, że to wdrożenie znajduje się poza zwalidowaną konfiguracją. Wskazanie warunku, którego nie można spełnić, zamienia to stwierdzenie w coś, co zespół może naprawić albo zaakceptować.

Krok 4: potwierdź dzisiejszy status

Zapis CMVP ma status, a status nie jest trwały. FAQ NIST opisuje daty przejścia FIPS 140-2 w 2026 roku, po których na aktywnej liście pozostają tylko walidacje FIPS 140-3. Certyfikat, który był aktywny, gdy zatwierdzono zakup, może dziś być historyczny.

Historyczny i odwołany to różne stany i każdy ma swoje znaczenie dla zamówień. Sprawdzaj bieżący zapis, a nie zrzut ekranu z folderu projektu, i notuj datę sprawdzenia.

Następnie zapytaj właściciela zgodności lub zamówień, który status akceptuje ich wymóg, ponieważ to decyzja polityczna, a nie ustalenie techniczne. Zapisz odpowiedź z datą.

Sprawdź zapis wobec wdrożenia

Porównaj cztery zebrane wartości: numer certyfikatu, wersję modułu z kompilacji, obowiązujące warunki eksploatacji i bieżący status. Każda niezgodność jest ustaleniem, a ustalenie należy do zapisu wdrożenia, a nie do slajdu.

Przechowuj dowód razem z kompilacją, wraz z datą i osobą, która go sprawdziła. Jeden katalog na wydanie wystarczy.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Trzymaj deklarację także w jej granicach. Walidacja modułu nie mówi nic o obsłudze protokołu VPN, decyzjach autoryzacyjnych ani polityce logowania. To konkretny dowód o jednym zdefiniowanym komponencie kryptograficznym, a traktowanie go jak oceny produktu to sposób, w jaki plik zgodności zaczyna opisywać coś, czego nikt nie wdrożył.