Skontrolujte certifikát CMVP za tvrdením FIPS o VPN

Stránky dodávateľov s nápisom FIPS validované nie sú dôkaz, ktorý môžete založiť do spisu. Dôkazom je číslo certifikátu, názov modulu, validovaná verzia a prevádzkové podmienky, ktoré sú k nemu pripojené, a tie musia zodpovedať zostaveniu, ktoré nasadzujete. FAQ NIST CMVP je priamy ohľadom rozdielu medzi produktom, ktorý tvrdí kompatibilitu, a modulom, ktorý bol validovaný. Prejdite štyri kroky nižšie v poradí a uchovajte záznam spolu s nasadením.

Krok 1: získajte číslo certifikátu, nie odznak

Požiadajte dodávateľa o číslo certifikátu CMVP, ktoré pokrýva kryptografický modul v produkte, ktorý chcete spúšťať. Číslo certifikátu je konkrétny, overiteľný objekt, kým odznak je marketing. Ak odpoveď opisuje algoritmus namiesto modulu, odpoveď odpovedala na inú otázku. Požiadajte o číslo ešte raz, namiesto toho, aby ste prijali PDF odznaku. Záznam za číslom je to, čo môže audítor sledovať.

Potom to číslo nájdite v oficiálnom vyhľadávaní validovaných modulov a prečítajte si záznam, nie jeho zhrnutie. Záznam uvádza dodávateľa, modul, validovanú verziu a stav a odkazuje na dokument bezpečnostnej politiky, ktorý opisuje, ako má modul fungovať.

Zapíšte si tých päť polí, pretože nasledujúci krok ich porovná so zostavením. Stačí jeden stĺpec v tabuľke.

Krok 2: zosúlaďte verziu modulu so zostavením

Verzia klienta VPN a verzia vloženého modulu málokedy zdieľajú rovnaké číslo, a to je normálne. Dôležité je, či sa verzia modulu vo vašom zostavení nachádza vo validovanom zázname. Aktualizácia môže zmeniť modul bez zmeny názvu produktu, čo potichu posunie nasadenie mimo validovanej konfigurácie.

Opýtajte sa, ktorý komponent používa modul a ako sa v podporovanej konfigurácii vyberá schválený režim. Zostavenie, ktoré môže bežať v neschválenom režime, nie je rovnaký dôkaz ako zostavenie nakonfigurované pre schválený.

Čítajte lokálne zostavenie, aby porovnanie použilo artefakt a nie stránku na prevzatie. Príkazy nižšie vypisujú presne to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Keď modul hlási inú verziu než certifikát, tvrdenie sa posunulo a záznam treba aktualizovať skôr, než niekto niečo podpíše.

Krok 3: prečítajte si prevádzkové podmienky

Certifikát nesie podmienky, ktoré opisujú prostredie, ktoré validácia pokrýva. Tieto podmienky môžu uvádzať platformu, konfiguráciu, povolené veľkosti kľúčov a služby, ktoré musia byť obmedzené. Bežná inštalácia, ktorá ich ignoruje, je nasadenie mimo validovanej hranice, aj keď je binárka rovnaká. Preto je dokument bezpečnostnej politiky rovnako dôležitý ako číslo certifikátu.

Majte pokyny dodávateľa vedľa certifikátu, pretože vysvetľujú, ktoré nastavenia vyberajú schválený režim a ktoré vynášajú produkt mimo neho.

Ak sa podmienky vo vašom prostredí nedajú splniť, čestné tvrdenie je, že toto nasadenie stojí mimo validovanej konfigurácie. Pomenovanie podmienky, ktorú nemožno splniť, mení toto tvrdenie na niečo, čo tím môže opraviť alebo prijať.

Krok 4: potvrďte dnešný stav

Záznam CMVP nesie stav a stav nie je trvalý. FAQ NIST opisuje dátumy prechodu FIPS 140-2 v roku 2026, po ktorých na aktívnom zozname zostanú len validácie FIPS 140-3. Certifikát, ktorý bol aktívny pri schválení nákupu, môže byť dnes historický.

Historický a odvolaný sú rôzne stavy a každý má svoj vlastný význam pre obstarávanie. Skontrolujte živý záznam, nie snímku obrazovky z priečinka projektu, a poznačte si dátum kontroly.

Potom sa opýtajte vlastníka súladu alebo obstarávania, ktorý stav ich požiadavka akceptuje, pretože je to rozhodnutie politiky, nie technické zistenie. Zaznamenajte odpoveď s dátumom.

Skontrolujte záznam voči nasadeniu

Porovnajte štyri zozbierané hodnoty: číslo certifikátu, verziu modulu zo zostavenia, platné prevádzkové podmienky a aktuálny stav. Akákoľvek nezhoda je zistenie a zistenie patrí do záznamu nasadenia, nie na slajd.

Uchovajte dôkaz spolu so zostavením, vrátane dátumu a osoby, ktorá ho skontrolovala. Jeden priečinok na vydanie stačí.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Držte tvrdenie aj v jeho hraniciach. Validácia modulu nehovorí nič o spracovaní protokolu VPN, jeho autorizačných rozhodnutiach ani politike zaznamenávania. Je to konkrétny dôkaz o jednom definovanom kryptografickom komponente a prístup k nemu ako k hodnoteniu produktu je spôsob, akým súbor súladu začne opisovať niečo, čo nikto nenasadil.