Перевірте сертифікат CMVP за заявою VPN про FIPS

Сторінки постачальників із написом «FIPS валідовано» — не доказ, який можна підшити до справи. Доказ — це номер сертифіката, назва модуля, валідована версія та долучені до них умови експлуатації, і вони мають збігатися зі збіркою, яку ви розгортаєте. NIST CMVP FAQ прямо говорить про різницю між продуктом, що заявляє сумісність, і модулем, який пройшов валідацію. Виконайте чотири кроки нижче по порядку та зберігайте запис разом із розгортанням.

Крок 1: отримайте номер сертифіката, а не значок

Запросіть у постачальника номер сертифіката CMVP, який покриває криптографічний модуль у продукті, який ви збираєтеся запускати. Номер сертифіката — конкретний, перевірюваний об'єкт, тоді як значок — це маркетинг. Якщо у відповіді описано алгоритм, а не модуль, то відповідь відповіла на інше питання. Запросіть номер ще раз, замість того щоб приймати PDF зі значком. Запис за номером — це те, за чим може простежити аудитор.

Потім знайдіть цей номер в офіційному пошуку валідованих модулів і прочитайте запис, а не його стислий виклад. Запис вказує постачальника, модуль, валідовану версію та статус, і посилається на документ політики безпеки, який описує, як модуль має працювати.

Запишіть ці п'ять полів, бо наступний крок порівнює їх зі збіркою. Достатньо одного стовпця в таблиці.

Крок 2: зіставте версію модуля зі збіркою

Версія клієнта VPN і версія вбудованого модуля рідко мають однаковий номер, і це нормально. Важливо те, чи присутня версія модуля всередині вашої збірки у валідованому записі. Оновлення може змінити модуль, не змінюючи назву продукту, і це тихо виводить розгортання за межі валідованої конфігурації.

Запитайте, який компонент використовує модуль і як у підтримуваній конфігурації вибирається схвалений режим. Збірка, яка може працювати в несхваленому режимі, — не той самий доказ, що й збірка, налаштована для схваленого.

Читайте локальну збірку, щоб порівняння використовувало артефакт, а не сторінку завантаження. Команди нижче виводять саме це.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Коли модуль повідомляє версію, відмінну від сертифіката, заява змістилася, і запис потрібно оновити, перш ніж хтось щось підпише.

Крок 3: прочитайте умови експлуатації

Сертифікат містить умови, які описують середовище, яке охоплює валідація. Ці умови можуть називати платформу, конфігурацію, дозволені розміри ключів і служби, які потрібно обмежити. Звичайне встановлення, яке їх ігнорує, — це розгортання за межами валідованої границі, навіть якщо двійковий файл ідентичний. Тому документ політики безпеки такий самий важливий, як номер сертифіката.

Тримайте настанови постачальника поруч із сертифікатом, бо вони пояснюють, які налаштування вибирають схвалений режим, а які виводять продукт за його межі.

Якщо умови неможливо виконати у вашому середовищі, чесне формулювання таке: це розгортання перебуває за межами валідованої конфігурації. Називання умови, яку неможливо виконати, перетворює це формулювання на те, що команда може виправити або прийняти.

Крок 4: підтвердьте статус на сьогодні

Запис CMVP має статус, і статус не є постійним. FAQ NIST описує дати переходу FIPS 140-2 у 2026 році, після чого в активному списку залишаються лише валідації FIPS 140-3. Сертифікат, який був активним, коли схвалили закупівлю, сьогодні може бути історичним.

Історичний і відкликаний — різні стани, і кожен має своє значення для закупівель. Перевіряйте живий запис, а не скриншот із теки проєкту, і занотуйте дату перевірки.

Потім запитайте власника відповідності або закупівель, який статус приймає їхня вимога, бо це рішення політики, а не технічна знахідка. Зафіксуйте відповідь із датою.

Звірте запис із розгортанням

Порівняйте чотири зібрані значення: номер сертифіката, версію модуля зі збірки, чинні умови експлуатації та поточний статус. Будь-яка розбіжність — це знахідка, і знахідка належить до запису розгортання, а не до слайда.

Зберігайте докази разом зі збіркою, включно з датою та особою, яка їх перевірила. Одного каталогу на випуск достатньо.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Тримайте заяву і в її межах. Валідація модуля нічого не говорить про обробку протоколу VPN, його рішення щодо авторизації або політику журналювання. Це конкретний доказ про один визначений криптографічний компонент, і ставлення до нього як до оцінки продукту — це шлях, яким файл відповідності починає описувати те, чого ніхто не розгортав.