Verificați certificatul CMVP din spatele afirmației FIPS a unui VPN

Paginile furnizorilor care spun FIPS validat nu sunt dovezi pe care le puteți depune. Dovada este un număr de certificat, un nume de modul, o versiune validată și condițiile de operare atașate acestuia, iar acestea trebuie să corespundă buildului pe care îl implementați. FAQ-ul NIST CMVP este direct despre diferența dintre un produs care pretinde compatibilitate și un modul care a fost validat. Parcurgeți cei patru pași de mai jos în ordine și păstrați înregistrarea împreună cu implementarea.

Pasul 1: obțineți numărul certificatului, nu ecusonul

Cereți furnizorului numărul certificatului CMVP care acoperă modulul criptografic din produsul pe care intenționați să îl rulați. Un număr de certificat este un obiect concret și verificabil, în timp ce un ecuson este marketing. Dacă răspunsul descrie un algoritm în loc de un modul, răspunsul a răspuns la o altă întrebare. Cereți numărul încă o dată în loc să acceptați un PDF cu un ecuson. Înregistrarea din spatele numărului este ceea ce poate urmări un auditor.

Apoi căutați acel număr în căutarea oficială de module validate și citiți înregistrarea, nu un rezumat al ei. Înregistrarea numește furnizorul, modulul, versiunea validată și starea, și leagă documentul de politică de securitate care descrie cum ar trebui să funcționeze modulul.

Notați acele cinci câmpuri, deoarece pasul următor le compară cu buildul. O coloană de foaie de calcul este suficientă.

Pasul 2: potriviți versiunea modulului cu buildul

O versiune de client VPN și o versiune de modul încorporat împart rar același număr, și acest lucru este normal. Contează dacă versiunea modulului din buildul dvs. apare în înregistrarea validată. O actualizare poate schimba modulul fără a schimba numele produsului, ceea ce mută în liniște implementarea în afara configurației validate.

Întrebați ce componentă folosește modulul și cum este selectat modul aprobat în configurația acceptată. Un build care poate rula într-un mod neaprobat nu este aceeași dovadă ca un build configurat pentru cel aprobat.

Citiți buildul local, astfel încât comparația să folosească artefactul, nu pagina de descărcare. Comenzile de mai jos afișează exact asta.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Când modulul raportează o versiune diferită de cea din certificat, afirmația a derivat și înregistrarea trebuie actualizată înainte ca cineva să semneze ceva.

Pasul 3: citiți condițiile de operare

Certificatul poartă condiții care descriu mediul pe care îl acoperă validarea. Aceste condiții pot numi platforma, configurația, dimensiunile de cheie permise și serviciile care trebuie restricționate. O instalare obișnuită care le ignoră este o implementare în afara graniței validate, chiar și când binarul este identic. De aceea documentul de politică de securitate contează la fel de mult ca numărul certificatului.

Păstrați îndrumările furnizorului lângă certificat, deoarece explică ce setări selectează modul aprobat și care scot produsul în afara acestuia.

Dacă condițiile nu pot fi îndeplinite în mediul dvs., afirmația onestă este că această implementare se află în afara configurației validate. Numirea condiției care nu poate fi îndeplinită transformă acea afirmație în ceva ce o echipă poate remedia sau accepta.

Pasul 4: confirmați starea de astăzi

Înregistrarea CMVP are o stare, iar starea nu este permanentă. FAQ-ul NIST descrie datele de tranziție FIPS 140-2 din 2026, după care pe lista activă rămân doar validări FIPS 140-3. Un certificat care era activ când achiziția a fost aprobată poate fi astăzi istoric.

Istoric și revocat sunt stări diferite, iar fiecare are propriul sens pentru achiziții. Verificați înregistrarea live, nu o captură de ecran din folderul proiectului, și notați data la care ați verificat.

Apoi întrebați proprietarul conformității sau al achizițiilor ce stare acceptă cerința lor, deoarece este o decizie de politică, nu o constatare tehnică. Înregistrați răspunsul cu o dată pe el.

Verificați înregistrarea față de implementare

Comparați cele patru valori colectate: numărul certificatului, versiunea modulului din build, condițiile de operare în vigoare și starea actuală. Orice nepotrivire este o constatare, iar constatarea aparține înregistrării implementării, nu unui slide.

Păstrați dovada împreună cu buildul, inclusiv data și persoana care a verificat-o. Un director per versiune este suficient.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Țineți afirmația și în limitele ei. Validarea modulului nu spune nimic despre manipularea protocolului VPN, deciziile sale de autorizare sau politica sa de jurnalizare. Este o dovadă specifică despre o componentă criptografică definită, iar tratarea ei ca scor de produs este modul în care un dosar de conformitate ajunge să descrie ceva ce nimeni nu a implementat.