Проверите CMVP сертификат иза FIPS тврдње VPN-а

Странице добављача на којима пише FIPS валидирано нису доказ који можете приложити. Доказ је број сертификата, назив модула, валидирана верзија и радни услови приложени уз њега, и они морају да одговарају градњи коју постављате. NIST CMVP FAQ јасно говори о разлици између производа који тврди компатибилност и модула који је валидиран. Прођите кроз четири корака у наставку редом и чувајте запис уз постављање.

Корак 1: узмите број сертификата, не значку

Затражите од добављача број CMVP сертификата који покрива криптографски модул у производу који намеравате да покрећете. Број сертификата је конкретан, проверљив објекат, док је значка маркетинг. Ако одговор описује алгоритам уместо модула, одговор је одговорио на друго питање. Затражите број још једном уместо да прихватите PDF значке. Запис иза броја је оно што ревизор може да прати.

Затим пронађите тај број у званичном претраживању валидираних модула и прочитајте запис, а не његов сажетак. Запис наводи добављача, модул, валидирану верзију и статус, и повезује документ безбедносне политике који описује како модул треба да ради.

Запишите тих пет поља, јер их следећи корак пореди са градњом. Довољан је један стубац у табели.

Корак 2: ускладите верзију модула са градњом

Верзија VPN клијента и верзија уграђеног модула ретко деле исти број, и то је нормално. Важно је да ли се верзија модула унутар ваше градње појављује у валидираном запису. Ажурирање може да промени модул без промене назива производа, што тихо помера постављање изван валидиране конфигурације.

Питајте која компонента користи модул и како се одобрени режим бира у подржаној конфигурацији. Градња која може да ради у неодобреном режиму није исти доказ као градња конфигурисана за одобрени.

Читајте локалну градњу, да би поређење користило артефакт, а не страницу за преузимање. Команде испод исписују управо то.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Када модул пријави другу верзију од сертификата, тврдња је склизнула и запис треба ажурирати пре него што било ко нешто потпише.

Корак 3: прочитајте радне услове

Сертификат носи услове који описују окружење које валидација покрива. Ти услови могу да наведу платформу, конфигурацију, дозвољене величине кључева и услуге које морају бити ограничене. Обична инсталација која их игнорише је постављање изван валидиране границе, чак и када је бинарни запис идентичан. Зато је документ безбедносне политике једнако важан као број сертификата.

Држите смернице добављача поред сертификата, јер објашњавају које поставке бирају одобрени режим, а које изводе производ изван њега.

Ако се услови не могу испунити у вашем окружењу, искрена тврдња је да ово постављање стоји изван валидиране конфигурације. Именовање услова који се не може испунити претвара ту тврдњу у нешто што тим може исправити или прихватити.

Корак 4: потврдите данашњи статус

CMVP запис носи статус, а статус није трајан. NIST FAQ описује датуме прелаза FIPS 140-2 у 2026, након чега на активном списку остају само валидације FIPS 140-3. Сертификат који је био активан када је куповина одобрена данас може бити историјски.

Историјски и опозвани су различита стања, и свако има своје значење за набавку. Проверите живи запис, а не снимак екрана из фасцикле пројекта, и забележите датум провере.

Затим питајте власника усклађености или набавке који статус прихвата њихов захтев, јер је то одлука политике, а не технички налаз. Забележите одговор са датумом.

Проверите запис према постављању

Упоредите четири прикупљене вредности: број сертификата, верзију модула из градње, услове рада на снази и тренутни статус. Свако неслагање је налаз, а налаз припада у запис постављања, а не у слајд.

Сачувајте доказ уз градњу, укључујући датум и особу која га је проверила. Један директоријум по издању је довољан.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Држите тврдњу и унутар њене границе. Валидација модула не говори ништа о руковању протоколом VPN-а, његовим одлукама о ауторизацији или политици евидентирања. То је конкретан доказ о једној дефинисаној криптографској компоненти, а третирање тога као оцене производа је пут којим датотека усклађености почиње да описује нешто што нико није поставио.