Verifique o certificado CMVP por trás da alegação FIPS de uma VPN

Páginas de fornecedores que dizem FIPS validado não são evidência que você possa arquivar. A evidência é um número de certificado, um nome de módulo, uma versão validada e as condições de operação anexadas a ele, e elas precisam corresponder à compilação que você implanta. O FAQ do NIST CMVP é direto sobre a diferença entre um produto que alega compatibilidade e um módulo que foi validado. Siga os quatro passos abaixo em ordem e guarde o registro junto com a implantação.

Passo 1: obtenha o número do certificado, não o selo

Peça ao fornecedor o número do certificado CMVP que cobre o módulo criptográfico no produto que você pretende executar. Um número de certificado é um objeto específico e verificável, enquanto um selo é marketing. Se a resposta descrever um algoritmo em vez de um módulo, a resposta respondeu a uma pergunta diferente. Peça o número mais uma vez em vez de aceitar um PDF de um selo. O registro por trás do número é o que um auditor consegue seguir.

Depois procure esse número na busca oficial de módulos validados e leia o registro, não um resumo dele. O registro nomeia o fornecedor, o módulo, a versão validada e o status, e vincula o documento de política de segurança que descreve como o módulo deve operar.

Anote esses cinco campos, porque o próximo passo os compara com a compilação. Uma coluna de planilha basta.

Passo 2: relacione a versão do módulo com a compilação

A versão do cliente VPN e a versão do módulo embutido raramente compartilham o mesmo número, e isso é normal. O que importa é se a versão do módulo dentro da sua compilação aparece no registro validado. Uma atualização pode mudar o módulo sem mudar o nome do produto, o que silenciosamente move a implantação para fora da configuração validada.

Pergunte qual componente usa o módulo e como o modo aprovado é selecionado na configuração suportada. Uma compilação que pode rodar em um modo não aprovado não é a mesma evidência que uma compilação configurada para o aprovado.

Leia a compilação local, para que a comparação use o artefato e não a página de download. Os comandos abaixo imprimem exatamente isso.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Quando o módulo relata uma versão diferente da do certificado, a alegação derivou e o registro precisa ser atualizado antes que alguém assine qualquer coisa.

Passo 3: leia as condições de operação

O certificado carrega condições que descrevem o ambiente que a validação cobre. Essas condições podem nomear a plataforma, a configuração, os tamanhos de chave permitidos e os serviços que devem ser restritos. Uma instalação comum que as ignora é uma implantação fora da fronteira validada, mesmo quando o binário é idêntico. É por isso que o documento de política de segurança importa tanto quanto o número do certificado.

Mantenha a orientação do fornecedor ao lado do certificado, porque ela explica quais configurações selecionam o modo aprovado e quais levam o produto para fora dele.

Se as condições não puderem ser atendidas no seu ambiente, a afirmação honesta é que esta implantação está fora da configuração validada. Nomear a condição que não pode ser atendida transforma essa afirmação em algo que a equipe pode corrigir ou aceitar.

Passo 4: confirme o status hoje

O registro CMVP tem um status, e o status não é permanente. O FAQ do NIST descreve as datas de transição do FIPS 140-2 em 2026, após as quais apenas validações FIPS 140-3 permanecem na lista ativa. Um certificado que estava ativo quando a compra foi aprovada pode ser histórico hoje.

Histórico e revogado são estados diferentes, e cada um tem seu próprio significado para a contratação. Verifique o registro ao vivo em vez de uma captura de tela da pasta do projeto, e anote a data em que verificou.

Depois pergunte ao responsável de conformidade ou de compras qual status seu requisito aceita, porque essa é uma decisão de política e não uma constatação técnica. Registre a resposta com uma data.

Confira o registro contra a implantação

Compare os quatro valores coletados: o número do certificado, a versão do módulo a partir da compilação, as condições de operação em vigor e o status atual. Qualquer divergência é uma constatação, e a constatação pertence ao registro de implantação, não a um slide.

Armazene a evidência junto com a compilação, incluindo a data e a pessoa que a verificou. Um diretório por versão é suficiente.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Mantenha a alegação dentro de sua fronteira também. A validação de módulo não diz nada sobre o tratamento de protocolo da VPN, suas decisões de autorização ou sua política de registro. É evidência específica sobre um componente criptográfico definido, e tratá-la como uma nota de produto é como um arquivo de conformidade acaba descrevendo algo que ninguém implantou.