VPN کے FIPS دعوے کے پیچھے CMVP سرٹیفکیٹ کی جانچ کریں

وہ وینڈر صفحات جو FIPS تصدیق شدہ کہتے ہیں، ایسا ثبوت نہیں جو آپ فائل کر سکیں۔ ثبوت ایک سرٹیفکیٹ نمبر، ماڈیول کا نام، تصدیق شدہ ورژن اور اس سے منسلک آپریٹنگ شرائط ہیں، اور انہیں اس بلڈ سے مطابقت رکھنی چاہیے جو آپ تعینات کرتے ہیں۔ NIST CMVP FAQ اس فرق کو واضح طور پر بیان کرتا ہے کہ ایک پروڈکٹ جو مطابقت کا دعویٰ کرتی ہے اور ایک ماڈیول جس کی تصدیق ہوئی۔ نیچے دیے گئے چار مراحل ترتیب سے کریں اور ریکارڈ تعیناتی کے ساتھ رکھیں۔

مرحلہ 1: بیج نہیں، سرٹیفکیٹ نمبر حاصل کریں

وینڈر سے وہ CMVP سرٹیفکیٹ نمبر طلب کریں جو اس پروڈکٹ میں کرپٹوگرافک ماڈیول کو محیط ہو جسے آپ چلانے کا ارادہ رکھتے ہیں۔ سرٹیفکیٹ نمبر ایک مخصوص، قابلِ جانچ چیز ہے، جبکہ بیج مارکیٹنگ ہے۔ اگر جواب ماڈیول کے بجائے الگورتھم بیان کرے، تو اس جواب نے کسی اور سوال کا جواب دیا ہے۔ بیج کی PDF قبول کرنے کے بجائے نمبر دوبارہ طلب کریں۔ نمبر کے پیچھے موجود ریکارڈ ہی وہ چیز ہے جس کا آڈیٹر پیچھا کر سکتا ہے۔

پھر اس نمبر کو سرکاری تصدیق شدہ ماڈیول تلاش میں دیکھیں اور ریکارڈ پڑھیں، اس کا خلاصہ نہیں۔ ریکارڈ وینڈر، ماڈیول، تصدیق شدہ ورژن اور حیثیت کا نام لیتا ہے، اور اس سیکیورٹی پالیسی دستاویز سے منسلک کرتا ہے جو بیان کرتی ہے کہ ماڈیول کو کیسے کام کرنا چاہیے۔

وہ پانچ فیلڈز لکھ لیں، کیونکہ اگلا مرحلہ انہیں بلڈ سے موازنہ کرتا ہے۔ اسپریڈ شیٹ کا ایک کالم کافی ہے۔

مرحلہ 2: ماڈیول ورژن کو بلڈ سے ملائیں

VPN کلائنٹ ورژن اور شامل کردہ ماڈیول ورژن شاذ و نادر ہی ایک ہی نمبر رکھتے ہیں، اور یہ معمول ہے۔ اہم بات یہ ہے کہ آپ کے بلڈ کے اندر ماڈیول ورژن تصدیق شدہ ریکارڈ میں ظاہر ہوتا ہے یا نہیں۔ ایک اپ ڈیٹ پروڈکٹ کا نام بدلے بغیر ماڈیول بدل سکتا ہے، جو تعیناتی کو خاموشی سے تصدیق شدہ ترتیب سے باہر لے جاتا ہے۔

پوچھیں کہ کون سا جزو ماڈیول استعمال کرتا ہے اور معاون ترتیب میں منظور شدہ موڈ کیسے منتخب ہوتا ہے۔ ایسا بلڈ جو غیر منظور شدہ موڈ میں چل سکتا ہو، منظور شدہ موڈ کے لیے ترتیب دیے گئے بلڈ کے برابر ثبوت نہیں۔

مقامی بلڈ سے پڑھیں، تاکہ موازنہ ڈاؤن لوڈ صفحے کے بجائے آرٹیفیکٹ استعمال کرے۔ نیچے دیے گئے کمانڈز بالکل وہی چھاپتے ہیں۔

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

جب ماڈیول سرٹیفکیٹ سے مختلف ورژن رپورٹ کرے، تو دعویٰ کھسک گیا ہے اور کسی کے دستخط کرنے سے پہلے ریکارڈ کو اپ ڈیٹ کرنا ہوگا۔

مرحلہ 3: آپریٹنگ شرائط پڑھیں

سرٹیفکیٹ میں وہ شرائط ہوتی ہیں جو اس ماحول کو بیان کرتی ہیں جسے تصدیق محیط ہے۔ وہ شرائط پلیٹ فارم، ترتیب، اجازت شدہ کلید کے سائز اور ان خدمات کا نام لے سکتی ہیں جنہیں محدود کرنا ضروری ہے۔ ایسی عام تنصیب جو انہیں نظرانداز کرے، بائنری یکساں ہونے کے باوجود، تصدیق شدہ حد سے باہر تعیناتی ہے۔ اسی لیے سیکیورٹی پالیسی دستاویز سرٹیفکیٹ نمبر جتنی ہی اہم ہے۔

وینڈر کی رہنمائی سرٹیفکیٹ کے پاس رکھیں، کیونکہ یہ بتاتی ہے کہ کون سی سیٹنگز منظور شدہ موڈ منتخب کرتی ہیں اور کون سی پروڈکٹ کو اس سے باہر لے جاتی ہیں۔

اگر آپ کے ماحول میں شرائط پوری نہ ہو سکیں، تو ایماندارانہ بیان یہ ہے کہ یہ تعیناتی تصدیق شدہ ترتیب سے باہر ہے۔ اس شرط کا نام لینا جو پوری نہیں ہو سکتی، اس بیان کو ایسی چیز بنا دیتا ہے جسے ٹیم درست یا قبول کر سکے۔

مرحلہ 4: آج کی حیثیت کی تصدیق کریں

CMVP ریکارڈ کی ایک حیثیت ہوتی ہے، اور حیثیت مستقل نہیں۔ NIST FAQ 2026 میں FIPS 140-2 کی منتقلی کی تاریخیں بیان کرتا ہے، جس کے بعد فعال فہرست میں صرف FIPS 140-3 تصدیقات باقی رہتی ہیں۔ جو سرٹیفکیٹ خریداری کی منظوری کے وقت فعال تھا وہ آج تاریخی ہو سکتا ہے۔

تاریخی اور منسوخ شدہ مختلف حالتیں ہیں، اور خریداری کے لیے ہر ایک کا اپنا مطلب ہے۔ پروجیکٹ فولڈر کے اسکرین شاٹ کے بجائے براہِ راست ریکارڈ چیک کریں، اور جانچ کی تاریخ نوٹ کریں۔

پھر تعمیل یا خریداری کے مالک سے پوچھیں کہ ان کی ضرورت کون سی حیثیت قبول کرتی ہے، کیونکہ یہ تکنیکی تلاش نہیں بلکہ پالیسی کا فیصلہ ہے۔ جواب تاریخ کے ساتھ ریکارڈ کریں۔

ریکارڈ کا تعیناتی سے موازنہ کریں

جمع کیے گئے چار اقدار کا موازنہ کریں: سرٹیفکیٹ نمبر، بلڈ سے ماڈیول ورژن، نافذ آپریٹنگ شرائط اور موجودہ حیثیت۔ کوئی بھی عدم مطابقت ایک تلاش ہے، اور وہ تلاش سلائیڈ میں نہیں، تعیناتی ریکارڈ میں ہونی چاہیے۔

ثبوت بلڈ کے ساتھ محفوظ کریں، جانچ کی تاریخ اور شخص سمیت۔ ہر ریلیز کے لیے ایک ڈائریکٹری کافی ہے۔

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

دعوے کو اس کی حد کے اندر بھی رکھیں۔ ماڈیول کی تصدیق VPN کی پروٹوکول ہینڈلنگ، اس کے اجازت کے فیصلوں یا اس کی لاگنگ پالیسی کے بارے میں کچھ نہیں کہتی۔ یہ ایک متعین کرپٹوگرافک جزو کے بارے میں مخصوص ثبوت ہے، اور اسے پروڈکٹ اسکور کی طرح لینا ہی وہ راستہ ہے جس سے تعمیل کی فائل ایسی چیز بیان کرنے لگتی ہے جو کسی نے تعینات نہیں کی۔