Bir VPN'in FIPS İddiasının Arkasındaki CMVP Sertifikasını Kontrol Edin

FIPS doğrulandı yazan tedarikçi sayfaları dosyalayabileceğiniz kanıt değildir. Kanıt; bir sertifika numarası, bir modül adı, doğrulanmış bir sürüm ve bunlara ekli çalışma koşullarıdır ve bunlar dağıttığınız yapıyla eşleşmelidir. NIST CMVP FAQ, uyumluluk iddia eden bir ürün ile doğrulanmış bir modül arasındaki farkı açıkça anlatır. Aşağıdaki dört adımı sırayla uygulayın ve kaydı dağıtımla birlikte saklayın.

Adım 1: rozeti değil, sertifika numarasını alın

Çalıştırmayı düşündüğünüz üründeki kriptografik modülü kapsayan CMVP sertifika numarasını tedarikçiden isteyin. Sertifika numarası somut ve doğrulanabilir bir nesnedir, rozet ise pazarlamadır. Yanıt modül yerine bir algoritma tanımlıyorsa, yanıt başka bir soruyu yanıtlamıştır. Bir rozetin PDF'ini kabul etmek yerine numarayı bir kez daha isteyin. Numaranın arkasındaki kayıt, bir denetçinin izleyebileceği şeydir.

Ardından bu numarayı resmi doğrulanmış modül aramasında bulun ve kaydı özetini değil kendisini okuyun. Kayıt tedarikçiyi, modülü, doğrulanmış sürümü ve durumu belirtir ve modülün nasıl çalışması gerektiğini açıklayan güvenlik politikası belgesine bağlantı verir.

Bu beş alanı yazın, çünkü sonraki adım bunları yapıyla karşılaştırır. Tek bir elektronik tablo sütunu yeterlidir.

Adım 2: modül sürümünü yapıyla eşleştirin

Bir VPN istemci sürümü ile gömülü modül sürümü nadiren aynı numarayı paylaşır ve bu normaldir. Önemli olan, yapınızın içindeki modül sürümünün doğrulanmış kayıtta görünüp görünmediğidir. Bir güncelleme, ürün adını değiştirmeden modülü değiştirebilir ve bu da dağıtımı sessizce doğrulanmış yapılandırmanın dışına taşır.

Hangi bileşenin modülü kullandığını ve desteklenen yapılandırmada onaylı modun nasıl seçildiğini sorun. Onaylı olmayan bir modda çalışabilen bir yapı, onaylı mod için yapılandırılmış bir yapıyla aynı kanıt değildir.

Yerel yapıdan okuyun, böylece karşılaştırma indirme sayfasını değil yapıtı kullanır. Aşağıdaki komutlar tam olarak bunu yazdırır.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Modül, sertifikadan farklı bir sürüm bildirdiğinde iddia kaymıştır ve kimse bir şey imzalamadan önce kaydın güncellenmesi gerekir.

Adım 3: çalışma koşullarını okuyun

Sertifika, doğrulamanın kapsadığı ortamı tanımlayan koşullar taşır. Bu koşullar platformu, yapılandırmayı, izin verilen anahtar boyutlarını ve kısıtlanması gereken hizmetleri belirtebilir. Bunları yok sayan sıradan bir kurulum, ikili dosya aynı olsa bile doğrulanmış sınırın dışında bir dağıtımdır. Bu yüzden güvenlik politikası belgesi sertifika numarası kadar önemlidir.

Tedarikçi kılavuzunu sertifikanın yanında tutun, çünkü hangi ayarların onaylı modu seçtiğini ve hangilerinin ürünü bunun dışına çıkardığını açıklar.

Koşullar ortamınızda karşılanamıyorsa dürüst ifade, bu dağıtımın doğrulanmış yapılandırmanın dışında olduğudur. Karşılanamayan koşulu adlandırmak, bu ifadeyi bir ekibin düzeltebileceği veya kabul edebileceği bir şeye dönüştürür.

Adım 4: bugünkü durumu doğrulayın

CMVP kaydı bir durum taşır ve durum kalıcı değildir. NIST FAQ, 2026'daki FIPS 140-2 geçiş tarihlerini açıklar; bundan sonra etkin listede yalnızca FIPS 140-3 doğrulamaları kalır. Satın alma onaylandığında etkin olan bir sertifika bugün tarihsel olabilir.

Tarihsel ve iptal edilmiş farklı durumlardır ve her birinin satın alma için kendi anlamı vardır. Proje klasöründeki bir ekran görüntüsü yerine canlı kaydı kontrol edin ve kontrol ettiğiniz tarihi not edin.

Ardından uyumluluk veya satın alma sahibine gereksinimlerinin hangi durumu kabul ettiğini sorun, çünkü bu teknik bir bulgu değil politika kararıdır. Yanıtı bir tarihle birlikte kaydedin.

Kaydı dağıtıma karşı kontrol edin

Toplanan dört değeri karşılaştırın: sertifika numarası, yapıdan gelen modül sürümü, yürürlükteki çalışma koşulları ve güncel durum. Herhangi bir uyuşmazlık bir bulgudur ve bulgu slayta değil dağıtım kaydına aittir.

Kanıtı yapıyla birlikte saklayın; tarihi ve kontrol eden kişiyi de ekleyin. Sürüm başına bir dizin yeterlidir.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

İddiayı kendi sınırı içinde de tutun. Modül doğrulaması VPN'in protokol işleyişi, yetkilendirme kararları veya günlükleme politikası hakkında hiçbir şey söylemez. Tanımlanmış tek bir kriptografik bileşen hakkında özel bir kanıttır ve buna ürün puanı gibi davranmak, bir uyumluluk dosyasının kimsenin dağıtmadığı bir şeyi anlatmaya başlamasının yoludur.