Kontrollera CMVP-certifikatet bakom en VPN:s FIPS-påstående

Leverantörssidor som säger FIPS validerad är inte bevis du kan lägga i akten. Beviset är ett certifikatnummer, ett modulnamn, en validerad version och de driftsvillkor som hör till, och de måste stämma med det bygge du driftsätter. NIST CMVP FAQ är tydlig om skillnaden mellan en produkt som hävdar kompatibilitet och en modul som validerades. Gå igenom de fyra stegen nedan i ordning och förvara protokollet tillsammans med driftsättningen.

Steg 1: skaffa certifikatnumret, inte märket

Be leverantören om CMVP-certifikatnumret som täcker den kryptografiska modulen i produkten du tänker köra. Ett certifikatnummer är ett konkret, kontrollerbart objekt, medan ett märke är marknadsföring. Om svaret beskriver en algoritm i stället för en modul har svaret svarat på en annan fråga. Be om numret en gång till i stället för att acceptera en PDF av ett märke. Protokollet bakom numret är det en revisor kan följa.

Slå sedan upp numret i den officiella sökningen för validerade moduler och läs protokollet, inte en sammanfattning av det. Protokollet anger leverantör, modul, validerad version och status, och det länkar till säkerhetspolicydokumentet som beskriver hur modulen ska fungera.

Skriv ned de fem fälten, eftersom nästa steg jämför dem med bygget. En kolumn i ett kalkylblad räcker.

Steg 2: matcha modulversionen mot bygget

En VPN-klientversion och en inbäddad modulversion delar sällan samma nummer, och det är normalt. Det som spelar roll är om modulversionen i ditt bygge finns i det validerade protokollet. En uppdatering kan ändra modulen utan att ändra produktnamnet, vilket tyst flyttar driftsättningen utanför den validerade konfigurationen.

Fråga vilken komponent som använder modulen och hur det godkända läget väljs i den stödda konfigurationen. Ett bygge som kan köras i ett icke-godkänt läge är inte samma bevis som ett bygge konfigurerat för det godkända.

Läs det lokala bygget, så att jämförelsen använder artefakten och inte nedladdningssidan. Kommandona nedan skriver ut just det.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

När modulen rapporterar en annan version än certifikatet har påståendet glidit och protokollet behöver uppdateras innan någon signerar något.

Steg 3: läs driftsvillkoren

Certifikatet bär villkor som beskriver den miljö valideringen täcker. Villkoren kan ange plattformen, konfigurationen, tillåtna nyckelstorlekar och de tjänster som måste begränsas. En vanlig installation som ignorerar dem är en driftsättning utanför den validerade gränsen, även när binären är identisk. Därför är säkerhetspolicydokumentet lika viktigt som certifikatnumret.

Ha leverantörens vägledning bredvid certifikatet, eftersom den förklarar vilka inställningar som väljer det godkända läget och vilka som tar produkten utanför det.

Om villkoren inte kan uppfyllas i din miljö är det ärliga påståendet att denna driftsättning ligger utanför den validerade konfigurationen. Att namnge villkoret som inte kan uppfyllas gör påståendet till något ett team kan åtgärda eller acceptera.

Steg 4: bekräfta statusen i dag

CMVP-protokollet har en status, och statusen är inte permanent. NIST:s FAQ beskriver övergångsdatumen för FIPS 140-2 under 2026, varefter bara FIPS 140-3-valideringar finns kvar på den aktiva listan. Ett certifikat som var aktivt när köpet godkändes kan vara historiskt i dag.

Historiskt och återkallat är olika tillstånd, och varje har sin egen betydelse för anskaffningen. Kontrollera det levande protokollet i stället för en skärmbild från projektmappen, och notera datumet du kontrollerade.

Fråga sedan efterlevnads- eller anskaffningsägaren vilken status deras krav accepterar, eftersom det är ett policybeslut och inte ett tekniskt fynd. Registrera svaret med ett datum på.

Kontrollera protokollet mot driftsättningen

Jämför de fyra insamlade värdena: certifikatnumret, modulversionen från bygget, de driftsvillkor som gäller och aktuell status. Varje avvikelse är ett fynd, och fyndet hör hemma i driftsättningsprotokollet och inte i en bild.

Förvara beviset tillsammans med bygget, inklusive datumet och personen som kontrollerade det. En katalog per utgåva räcker.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Håll påståendet inom sin gräns också. Modulvalidering säger ingenting om VPN:ens protokollhantering, dess auktoriseringsbeslut eller dess loggningspolicy. Det är specifikt bevis om en definierad kryptografisk komponent, och att behandla det som en produktpoäng är hur en efterlevnadsfil till slut beskriver något ingen driftsatte.