Kontrolloni certifikatën CMVP pas pretendimit FIPS të një VPN

Faqet e furnitorëve që thonë FIPS e validuar nuk janë provë që mund të depozitoni. Prova është një numër certifikate, një emër moduli, një version i validuar dhe kushtet e operimit të bashkangjitura, dhe ato duhet të përputhen me ndërtimin që vendosni. FAQ e NIST CMVP është e drejtpërdrejtë për dallimin mes një produkti që pretendon përputhshmëri dhe një moduli që u validua. Kryeni katër hapat më poshtë me radhë dhe mbani regjistrin bashkë me vendosjen.

Hapi 1: merrni numrin e certifikatës, jo distinktivin

Kërkoni nga furnitori numrin e certifikatës CMVP që mbulon modulin kriptografik në produktin që synoni të ekzekutoni. Një numër certifikate është një objekt konkret dhe i verifikueshëm, ndërsa një distinktiv është marketing. Nëse përgjigja përshkruan një algoritëm në vend të një moduli, përgjigja i është përgjigjur një pyetjeje tjetër. Kërkoni numrin edhe një herë në vend që të pranoni një PDF distinktivi. Regjistri pas numrit është ajo që një auditues mund të ndjekë.

Pastaj kërkoni atë numër në kërkimin zyrtar të moduleve të validuara dhe lexoni regjistrin, jo një përmbledhje të tij. Regjistri emërton furnitorin, modulin, versionin e validuar dhe statusin, dhe lidh dokumentin e politikës së sigurisë që përshkruan si duhet të funksionojë moduli.

Shkruani ato pesë fusha, sepse hapi tjetër i krahason me ndërtimin. Mjafton një kolonë fletëllogaritëse.

Hapi 2: përputhni versionin e modulit me ndërtimin

Një version klienti VPN dhe një version moduli i integruar rrallë ndajnë të njëjtin numër, dhe kjo është normale. Ajo që ka rëndësi është nëse versioni i modulit brenda ndërtimit tuaj shfaqet në regjistrin e validuar. Një përditësim mund të ndryshojë modulin pa ndryshuar emrin e produktit, gjë që e zhvendos në heshtje vendosjen jashtë konfigurimit të validuar.

Pyetni cili komponent përdor modulin dhe si zgjidhet modaliteti i miratuar në konfigurimin e mbështetur. Një ndërtim që mund të funksionojë në një modalitet të pamiratuar nuk është e njëjta provë si një ndërtim i konfiguruar për atë të miratuarin.

Lexoni ndërtimin lokal, që krahasimi të përdorë artefaktin dhe jo faqen e shkarkimit. Komandat më poshtë shtypin pikërisht atë.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Kur moduli raporton një version të ndryshëm nga certifikata, pretendimi është zhvendosur dhe regjistri duhet përditësuar përpara se dikush të nënshkruajë gjë.

Hapi 3: lexoni kushtet e operimit

Certifikata mban kushte që përshkruajnë mjedisin që mbulon validimi. Ato kushte mund të emërtojnë platformën, konfigurimin, madhësitë e lejuara të çelësave dhe shërbimet që duhet të kufizohen. Një instalim i zakonshëm që i injoron ato është një vendosje jashtë kufirit të validuar, edhe kur binari është identik. Prandaj dokumenti i politikës së sigurisë është po aq i rëndësishëm sa numri i certifikatës.

Mbani udhëzuesin e furnitorit pranë certifikatës, sepse shpjegon cilat cilësime zgjedhin modalitetin e miratuar dhe cilat e nxjerrin produktin jashtë tij.

Nëse kushtet nuk mund të plotësohen në mjedisin tuaj, deklarata e ndershme është se kjo vendosje qëndron jashtë konfigurimit të validuar. Emërtimi i kushtit që nuk mund të plotësohet e kthen atë deklaratë në diçka që një ekip mund ta rregullojë ose pranojë.

Hapi 4: konfirmoni statusin sot

Regjistri CMVP mban një status, dhe statusi nuk është i përhershëm. FAQ e NIST përshkruan datat e tranzicionit të FIPS 140-2 në 2026, pas të cilave në listën aktive mbeten vetëm validimet FIPS 140-3. Një certifikatë që ishte aktive kur u miratua blerja mund të jetë historike sot.

Historik dhe i revokuar janë gjendje të ndryshme, dhe secila ka kuptimin e vet për prokurimin. Kontrolloni regjistrin e drejtpërdrejtë dhe jo një pamje ekrani nga dosja e projektit, dhe shënoni datën kur kontrolluat.

Pastaj pyetni pronarin e konformitetit ose të prokurimit cilin status pranon kërkesa e tyre, sepse është vendim politike dhe jo gjetje teknike. Regjistroni përgjigjen me një datë.

Kontrolloni regjistrin kundrejt vendosjes

Krahasoni katër vlerat e mbledhura: numrin e certifikatës, versionin e modulit nga ndërtimi, kushtet e operimit në fuqi dhe statusin aktual. Çdo mospërputhje është një gjetje, dhe gjetja i përket regjistrit të vendosjes dhe jo një slide.

Ruani provën bashkë me ndërtimin, duke përfshirë datën dhe personin që e kontrolloi. Mjafton një direktorium për çdo lëshim.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Mbani pretendimin edhe brenda kufirit të tij. Validimi i modulit nuk thotë asgjë për trajtimin e protokollit të VPN, vendimet e tij të autorizimit ose politikën e regjistrimit. Është provë specifike për një komponent kriptografik të përcaktuar, dhe trajtimi i tij si pikëzim produkti është mënyra se si një skedar konformiteti përfundon duke përshkruar diçka që askush nuk e vendosi.