ตรวจสอบใบรับรอง CMVP ที่อยู่เบื้องหลังคำกล่าวอ้าง FIPS ของ VPN

หน้าผู้ขายที่ระบุว่า FIPS ผ่านการตรวจสอบไม่ใช่หลักฐานที่คุณนำไปยื่นได้ หลักฐานคือหมายเลขใบรับรอง ชื่อโมดูล เวอร์ชันที่ผ่านการตรวจสอบ และเงื่อนไขการใช้งานที่แนบมาด้วย และสิ่งเหล่านั้นต้องตรงกับบิลด์ที่คุณนำไปใช้งาน FAQ ของ NIST CMVP กล่าวตรง ๆ ถึงความแตกต่างระหว่างผลิตภัณฑ์ที่อ้างความเข้ากันได้กับโมดูลที่ผ่านการตรวจสอบแล้ว ทำตามสี่ขั้นตอนด้านล่างตามลำดับ และเก็บบันทึกไว้กับงานติดตั้ง

ขั้นตอนที่ 1: ขอหมายเลขใบรับรอง ไม่ใช่ตราสัญลักษณ์

ขอหมายเลขใบรับรอง CMVP จากผู้ขายที่ครอบคลุมโมดูลการเข้ารหัสในผลิตภัณฑ์ที่คุณตั้งใจจะใช้งาน หมายเลขใบรับรองเป็นวัตถุเฉพาะที่ตรวจสอบได้ ขณะที่ตราสัญลักษณ์คือการตลาด หากคำตอบอธิบายอัลกอริทึมแทนที่จะเป็นโมดูล คำตอบนั้นได้ตอบคำถามอื่นไปแล้ว ขอหมายเลขอีกครั้งแทนการยอมรับไฟล์ PDF ของตราสัญลักษณ์ บันทึกที่อยู่เบื้องหลังหมายเลขคือสิ่งที่ผู้ตรวจสอบสามารถติดตามได้

จากนั้นค้นหาหมายเลขนั้นในช่องค้นหาโมดูลที่ผ่านการตรวจสอบอย่างเป็นทางการ และอ่านบันทึก ไม่ใช่บทสรุปของมัน บันทึกระบุผู้ขาย โมดูล เวอร์ชันที่ผ่านการตรวจสอบ และสถานะ และเชื่อมโยงเอกสารนโยบายความปลอดภัยที่อธิบายว่าโมดูลควรทำงานอย่างไร

จดห้าฟิลด์นั้นไว้ เพราะขั้นตอนถัดไปจะนำไปเทียบกับบิลด์ คอลัมน์เดียวในสเปรดชีตก็เพียงพอ

ขั้นตอนที่ 2: จับคู่เวอร์ชันโมดูลกับบิลด์

เวอร์ชันไคลเอนต์ VPN และเวอร์ชันโมดูลที่ฝังอยู่แทบจะไม่ใช้หมายเลขเดียวกัน และนั่นเป็นเรื่องปกติ สิ่งที่สำคัญคือเวอร์ชันโมดูลภายในบิลด์ของคุณปรากฏในบันทึกที่ผ่านการตรวจสอบหรือไม่ การอัปเดตสามารถเปลี่ยนโมดูลโดยไม่เปลี่ยนชื่อผลิตภัณฑ์ ซึ่งย้ายงานติดตั้งออกนอกการกำหนดค่าที่ผ่านการตรวจสอบอย่างเงียบ ๆ

ถามว่าองค์ประกอบใดใช้โมดูล และโหมดที่ได้รับอนุมัติถูกเลือกอย่างไรในการกำหนดค่าที่รองรับ บิลด์ที่สามารถทำงานในโหมดที่ไม่ได้รับอนุมัติไม่ใช่หลักฐานเดียวกับบิลด์ที่กำหนดค่าสำหรับโหมดที่ได้รับอนุมัติ

อ่านจากบิลด์ในเครื่อง เพื่อให้การเปรียบเทียบใช้สิ่งประดิษฐ์แทนหน้าดาวน์โหลด คำสั่งด้านล่างพิมพ์สิ่งนั้นออกมาอย่างแม่นยำ

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

เมื่อโมดูลรายงานเวอร์ชันที่ต่างจากใบรับรอง คำกล่าวอ้างได้คลาดเคลื่อนและต้องอัปเดตบันทึกก่อนที่ใครจะลงนามสิ่งใด

ขั้นตอนที่ 3: อ่านเงื่อนไขการใช้งาน

ใบรับรองมีเงื่อนไขที่อธิบายสภาพแวดล้อมที่การตรวจสอบครอบคลุม เงื่อนไขเหล่านี้อาจระบุแพลตฟอร์ม การกำหนดค่า ขนาดคีย์ที่อนุญาต และบริการที่ต้องถูกจำกัด การติดตั้งตามปกติที่เพิกเฉยต่อเงื่อนไขเหล่านั้นคือการติดตั้งนอกขอบเขตที่ผ่านการตรวจสอบ แม้ไบนารีจะเหมือนกันก็ตาม นั่นคือเหตุผลที่เอกสารนโยบายความปลอดภัยสำคัญเท่ากับหมายเลขใบรับรอง

เก็บคำแนะนำของผู้ขายไว้ข้างใบรับรอง เพราะอธิบายว่าการตั้งค่าใดเลือกโหมดที่ได้รับอนุมัติ และการตั้งค่าใดนำผลิตภัณฑ์ออกนอกโหมดนั้น

หากไม่สามารถปฏิบัติตามเงื่อนไขในสภาพแวดล้อมของคุณได้ ข้อความที่ซื่อสัตย์คือการติดตั้งนี้อยู่นอกการกำหนดค่าที่ผ่านการตรวจสอบ การระบุเงื่อนไขที่ไม่สามารถปฏิบัติได้ทำให้ข้อความนั้นกลายเป็นสิ่งที่ทีมสามารถแก้ไขหรือยอมรับได้

ขั้นตอนที่ 4: ยืนยันสถานะวันนี้

บันทึก CMVP มีสถานะ และสถานะไม่ถาวร FAQ ของ NIST อธิบายวันที่เปลี่ยนผ่านของ FIPS 140-2 ในปี 2026 หลังจากนั้นจะมีเพียงการตรวจสอบ FIPS 140-3 เท่านั้นที่เหลืออยู่ในรายการที่ใช้งาน ใบรับรองที่ใช้งานอยู่เมื่อการซื้อได้รับการอนุมัติอาจกลายเป็นประวัติศาสตร์ในวันนี้

ประวัติศาสตร์และถูกเพิกถอนเป็นสถานะที่แตกต่างกัน และแต่ละสถานะมีความหมายของตัวเองต่อการจัดซื้อ ตรวจสอบบันทึกสดแทนภาพหน้าจอจากโฟลเดอร์โครงการ และบันทึกวันที่ที่คุณตรวจสอบ

จากนั้นถามเจ้าของด้านการปฏิบัติตามข้อกำหนดหรือการจัดซื้อว่าข้อกำหนดของพวกเขายอมรับสถานะใด เพราะนั่นเป็นการตัดสินใจเชิงนโยบายไม่ใช่ข้อค้นพบทางเทคนิค บันทึกคำตอบพร้อมวันที่

ตรวจสอบบันทึกเทียบกับงานติดตั้ง

เปรียบเทียบสี่ค่าที่รวบรวม: หมายเลขใบรับรอง เวอร์ชันโมดูลจากบิลด์ เงื่อนไขการใช้งานที่บังคับใช้ และสถานะปัจจุบัน ความไม่ตรงกันใด ๆ คือข้อค้นพบ และข้อค้นพบนั้นควรอยู่ในบันทึกการติดตั้ง ไม่ใช่ในสไลด์

เก็บหลักฐานไว้กับบิลด์ รวมถึงวันที่และผู้ที่ตรวจสอบ หนึ่งไดเรกทอรีต่อการออกรุ่นก็เพียงพอ

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

เก็บคำกล่าวอ้างไว้ในขอบเขตของมันด้วย การตรวจสอบโมดูลไม่ได้บอกอะไรเกี่ยวกับการจัดการโปรโตคอลของ VPN การตัดสินใจด้านการอนุญาต หรือนโยบายการบันทึกของมัน เป็นหลักฐานเฉพาะเกี่ยวกับองค์ประกอบการเข้ารหัสหนึ่งอย่างที่กำหนดไว้ และการปฏิบัติต่อมันเหมือนคะแนนผลิตภัณฑ์คือวิธีที่ไฟล์การปฏิบัติตามข้อกำหนดลงเอยด้วยการอธิบายสิ่งที่ไม่มีใครติดตั้ง