Проверьте сертификат CMVP за заявлением VPN о FIPS

Страницы поставщиков с надписью «FIPS валидирован» — не доказательство, которое можно подшить в дело. Доказательство — это номер сертификата, имя модуля, валидированная версия и приложенные к ним условия эксплуатации, и они должны совпадать со сборкой, которую вы развёртываете. NIST CMVP FAQ прямо говорит о разнице между продуктом, заявляющим совместимость, и модулем, который прошёл валидацию. Выполните четыре шага ниже по порядку и храните запись вместе с развёртыванием.

Шаг 1: получите номер сертификата, а не значок

Запросите у поставщика номер сертификата CMVP, который покрывает криптографический модуль в продукте, который вы собираетесь запускать. Номер сертификата — конкретный, проверяемый объект, тогда как значок — это маркетинг. Если в ответе описывается алгоритм, а не модуль, значит ответ отвечает на другой вопрос. Запросите номер ещё раз, вместо того чтобы принимать PDF со значком. Запись за номером — это то, за чем может проследить аудитор.

Затем найдите этот номер в официальном поиске валидированных модулей и прочитайте запись, а не её краткое изложение. В записи указаны поставщик, модуль, валидированная версия и статус, и она ссылается на документ политики безопасности, описывающий, как модуль должен работать.

Запишите эти пять полей, потому что следующий шаг сравнивает их со сборкой. Достаточно одного столбца в таблице.

Шаг 2: сопоставьте версию модуля со сборкой

Версия клиента VPN и версия встроенного модуля редко совпадают по номеру, и это нормально. Важно то, присутствует ли версия модуля внутри вашей сборки в валидированной записи. Обновление может изменить модуль, не меняя название продукта, и это тихо выводит развёртывание за пределы валидированной конфигурации.

Спросите, какой компонент использует модуль и как в поддерживаемой конфигурации выбирается одобренный режим. Сборка, которая может работать в неодобренном режиме, — не то же доказательство, что сборка, настроенная для одобренного.

Читайте локальную сборку, чтобы сравнение использовало артефакт, а не страницу загрузки. Команды ниже выводят именно это.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Когда модуль сообщает версию, отличную от сертификата, заявление сместилось, и запись нужно обновить до того, как кто-либо что-либо подпишет.

Шаг 3: прочитайте условия эксплуатации

Сертификат содержит условия, описывающие среду, которую покрывает валидация. Эти условия могут называть платформу, конфигурацию, допустимые размеры ключей и службы, которые должны быть ограничены. Обычная установка, которая их игнорирует, — это развёртывание за пределами валидированной границы, даже если двоичный файл идентичен. Поэтому документ политики безопасности так же важен, как номер сертификата.

Держите руководство поставщика рядом с сертификатом, потому что оно объясняет, какие настройки выбирают одобренный режим, а какие выводят продукт за его пределы.

Если условия невозможно выполнить в вашей среде, честная формулировка такова: это развёртывание находится за пределами валидированной конфигурации. Указание условия, которое невозможно выполнить, превращает эту формулировку в то, что команда может исправить или принять.

Шаг 4: подтвердите статус на сегодня

Запись CMVP имеет статус, и статус не является постоянным. FAQ NIST описывает даты перехода FIPS 140-2 в 2026 году, после которых в активном списке остаются только валидации FIPS 140-3. Сертификат, который был активен при одобрении закупки, сегодня может быть историческим.

Исторический и отозванный — разные состояния, и каждое имеет своё значение для закупки. Проверяйте живую запись, а не скриншот из папки проекта, и отмечайте дату проверки.

Затем спросите владельца соответствия или закупки, какой статус принимает их требование, потому что это решение политики, а не техническая находка. Зафиксируйте ответ с датой.

Сверьте запись с развёртыванием

Сравните четыре собранных значения: номер сертификата, версию модуля из сборки, действующие условия эксплуатации и текущий статус. Любое расхождение — это находка, и находка относится в запись развёртывания, а не в слайд.

Храните доказательства вместе со сборкой, включая дату и человека, который их проверял. Одного каталога на выпуск достаточно.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Держите заявление и в его границах. Валидация модуля ничего не говорит об обработке протокола VPN, его решениях об авторизации или политике журналирования. Это конкретное доказательство об одном определённом криптографическом компоненте, и отношение к нему как к оценке продукта — это путь, которым файл соответствия начинает описывать то, что никто не развёртывал.