Provjerite CMVP certifikat iza FIPS tvrdnje VPN-a

Stranice dobavljača na kojima piše FIPS validirano nisu dokaz koji možete priložiti. Dokaz je broj certifikata, naziv modula, validirana verzija i radni uvjeti priloženi uz njega, i oni moraju odgovarati build-u koji postavljate. NIST CMVP FAQ jasno govori o razlici između proizvoda koji tvrdi kompatibilnost i modula koji je validiran. Prođite kroz četiri koraka u nastavku redom i čuvajte zapis uz postavljanje.

Korak 1: uzmite broj certifikata, ne značku

Zatražite od dobavljača broj CMVP certifikata koji pokriva kriptografski modul u proizvodu koji namjeravate pokretati. Broj certifikata je konkretan, provjerljiv objekt, dok je značka marketing. Ako odgovor opisuje algoritam umjesto modula, odgovor je odgovorio na drugo pitanje. Zatražite broj još jednom umjesto da prihvatite PDF značke. Zapis iza broja je ono što revizor može slijediti.

Zatim potražite taj broj u službenom pretraživanju validiranih modula i pročitajte zapis, a ne njegov sažetak. Zapis navodi dobavljača, modul, validiranu verziju i status, i povezuje dokument sigurnosne politike koji opisuje kako modul treba raditi.

Zapišite tih pet polja, jer ih sljedeći korak uspoređuje s build-om. Dovoljan je jedan stupac u tablici.

Korak 2: uskladite verziju modula s build-om

Verzija VPN klijenta i verzija ugrađenog modula rijetko dijele isti broj, i to je normalno. Važno je pojavljuje li se verzija modula unutar vašeg build-a u validiranom zapisu. Ažuriranje može promijeniti modul bez promjene naziva proizvoda, što tiho pomiče postavljanje izvan validirane konfiguracije.

Pitajte koja komponenta koristi modul i kako se odobreni način rada odabire u podržanoj konfiguraciji. Build koji može raditi u neodobrenom načinu nije isti dokaz kao build konfiguriran za odobreni.

Čitajte lokalni build, da usporedba koristi artefakt, a ne stranicu za preuzimanje. Naredbe u nastavku ispisuju upravo to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kada modul prijavi drugu verziju od certifikata, tvrdnja je skliznula i zapis treba ažurirati prije nego što itko nešto potpiše.

Korak 3: pročitajte radne uvjete

Certifikat nosi uvjete koji opisuju okruženje koje validacija pokriva. Ti uvjeti mogu navesti platformu, konfiguraciju, dopuštene veličine ključeva i usluge koje se moraju ograničiti. Obična instalacija koja ih ignorira je postavljanje izvan validirane granice, čak i kad je binarni zapis identičan. Zato je dokument sigurnosne politike jednako važan kao broj certifikata.

Držite smjernice dobavljača uz certifikat, jer objašnjavaju koje postavke odabiru odobreni način rada, a koje izvode proizvod izvan njega.

Ako se uvjeti ne mogu ispuniti u vašem okruženju, iskrena tvrdnja je da ovo postavljanje stoji izvan validirane konfiguracije. Imenovanje uvjeta koji se ne može ispuniti pretvara tu tvrdnju u nešto što tim može ispraviti ili prihvatiti.

Korak 4: potvrdite današnji status

CMVP zapis nosi status, a status nije trajan. NIST FAQ opisuje datume prijelaza FIPS 140-2 u 2026., nakon čega na aktivnom popisu ostaju samo validacije FIPS 140-3. Certifikat koji je bio aktivan kada je kupnja odobrena danas može biti povijesni.

Povijesni i opozvani različita su stanja, i svako ima svoje značenje za nabavu. Provjerite živi zapis, a ne snimku zaslona iz mape projekta, i zabilježite datum provjere.

Zatim pitajte vlasnika usklađenosti ili nabave koji status prihvaća njihov zahtjev, jer je to odluka politike, a ne tehnički nalaz. Zabilježite odgovor s datumom.

Provjerite zapis prema postavljanju

Usporedite četiri prikupljene vrijednosti: broj certifikata, verziju modula iz build-a, uvjete rada na snazi i trenutni status. Svako nepodudaranje je nalaz, a nalaz pripada u zapis postavljanja, a ne u slajd.

Pohranite dokaz uz build, uključujući datum i osobu koja ga je provjerila. Jedan direktorij po izdanju je dovoljan.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Držite tvrdnju i unutar njezine granice. Validacija modula ne govori ništa o rukovanju protokolom VPN-a, njegovim odlukama o autorizaciji ili politici zapisivanja. To je konkretan dokaz o jednoj definiranoj kriptografskoj komponenti, a tretiranje toga kao ocjene proizvoda put je kojim datoteka usklađenosti počinje opisivati nešto što nitko nije postavio.