Preverite certifikat CMVP za trditvijo FIPS o VPN

Strani ponudnikov, na katerih piše FIPS validirano, niso dokaz, ki bi ga lahko vložili. Dokaz je številka certifikata, ime modula, validirana različica in pogoji delovanja, priloženi k njej, in ti se morajo ujemati z gradnjo, ki jo uvajate. FAQ NIST CMVP je neposreden glede razlike med izdelkom, ki trdi združljivost, in modulom, ki je bil validiran. Izvedite štiri korake spodaj po vrsti in hranite zapis skupaj z uvedbo.

Korak 1: pridobite številko certifikata, ne značke

Ponudnika prosite za številko certifikata CMVP, ki pokriva kriptografski modul v izdelku, ki ga nameravate poganjati. Številka certifikata je konkreten, preverljiv predmet, medtem ko je značka marketing. Če odgovor opisuje algoritem namesto modula, je odgovor odgovoril na drugo vprašanje. Prosite za številko še enkrat, namesto da bi sprejeli PDF značke. Zapis za številko je tisto, kar lahko revizor sledi.

Nato to številko poiščite v uradnem iskalniku validiranih modulov in preberite zapis, ne njegovega povzetka. Zapis navaja ponudnika, modul, validirano različico in status ter povezuje dokument varnostne politike, ki opisuje, kako naj modul deluje.

Zapišite teh pet polj, ker jih naslednji korak primerja z gradnjo. Dovolj je en stolpec v preglednici.

Korak 2: uskladite različico modula z gradnjo

Različica odjemalca VPN in različica vgrajenega modula si le redko delita isto številko, in to je običajno. Pomembno je, ali se različica modula v vaši gradnji pojavi v validiranem zapisu. Posodobitev lahko spremeni modul, ne da bi spremenila ime izdelka, kar tiho premakne uvedbo izven validirane konfiguracije.

Vprašajte, katera komponenta uporablja modul in kako se odobreni način izbere v podprti konfiguraciji. Gradnja, ki lahko teče v neodobrenem načinu, ni enak dokaz kot gradnja, nastavljena za odobrenega.

Berite lokalno gradnjo, da primerjava uporabi artefakt in ne strani za prenos. Ukazi spodaj izpišejo natanko to.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Ko modul poroča drugo različico od certifikata, je trditev zdrsnila in zapis je treba posodobiti, preden kdor koli kaj podpiše.

Korak 3: preberite pogoje delovanja

Certifikat nosi pogoje, ki opisujejo okolje, ki ga validacija pokriva. Ti pogoji lahko navedejo platformo, konfiguracijo, dovoljene velikosti ključev in storitve, ki jih je treba omejiti. Običajna namestitev, ki jih ignorira, je uvedba izven validirane meje, tudi ko je binarna datoteka enaka. Zato je dokument varnostne politike enako pomemben kot številka certifikata.

Imejte navodila ponudnika ob certifikatu, ker pojasnjujejo, katere nastavitve izberejo odobreni način in katere izdelek popeljejo izven njega.

Če pogojev v vašem okolju ni mogoče izpolniti, je poštena trditev, da ta uvedba stoji izven validirane konfiguracije. Če pogoj, ki ga ni mogoče izpolniti, poimenujete, se ta trditev spremeni v nekaj, kar lahko ekipa popravi ali sprejme.

Korak 4: potrdite današnje stanje

Zapis CMVP nosi status, in status ni trajen. FAQ NIST opisuje datume prehoda FIPS 140-2 v letu 2026, po katerih na aktivnem seznamu ostanejo le validacije FIPS 140-3. Certifikat, ki je bil aktiven ob odobritvi nakupa, je danes lahko zgodovinski.

Zgodovinski in preklican sta različna stanja in vsako ima svoj pomen za nabavo. Preverite živi zapis, ne posnetka zaslona iz mape projekta, in zapišite datum preverjanja.

Nato vprašajte lastnika skladnosti ali nabave, kateri status njihova zahteva sprejema, ker je to odločitev politike in ne tehnična ugotovitev. Zabeležite odgovor z datumom.

Preverite zapis glede na uvedbo

Primerjajte štiri zbrane vrednosti: številko certifikata, različico modula iz gradnje, veljavne pogoje delovanja in trenutni status. Vsako odstopanje je ugotovitev, in ugotovitev sodi v zapis uvedbe, ne na prosojnico.

Shranite dokaz skupaj z gradnjo, vključno z datumom in osebo, ki ga je preverila. En imenik na izdajo zadostuje.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Trditev držite tudi znotraj njenih meja. Validacija modula ne pove ničesar o obravnavi protokola VPN, njegovih odločitvah o avtorizaciji ali politiki beleženja. To je konkreten dokaz o eni definirani kriptografski komponenti, in obravnavanje tega kot ocene izdelka je pot, po kateri datoteka skladnosti začne opisovati nekaj, česar ni nihče uvedel.