Kiểm tra chứng chỉ CMVP đằng sau tuyên bố FIPS của một VPN

Các trang nhà cung cấp ghi FIPS đã xác thực không phải là bằng chứng bạn có thể nộp vào hồ sơ. Bằng chứng là một số chứng chỉ, một tên mô-đun, một phiên bản đã xác thực và các điều kiện vận hành đi kèm, và chúng phải khớp với bản dựng bạn triển khai. FAQ của NIST CMVP nói thẳng về sự khác biệt giữa một sản phẩm tuyên bố tương thích và một mô-đun đã được xác thực. Hãy làm bốn bước dưới đây theo thứ tự và lưu hồ sơ cùng với việc triển khai.

Bước 1: lấy số chứng chỉ, không phải huy hiệu

Yêu cầu nhà cung cấp cung cấp số chứng chỉ CMVP bao phủ mô-đun mật mã trong sản phẩm bạn định chạy. Số chứng chỉ là một đối tượng cụ thể, có thể kiểm tra, còn huy hiệu là tiếp thị. Nếu câu trả lời mô tả một thuật toán thay vì một mô-đun, thì câu trả lời đó đã trả lời một câu hỏi khác. Hãy yêu cầu số đó thêm một lần nữa thay vì chấp nhận một tệp PDF của huy hiệu. Hồ sơ đằng sau con số là thứ một kiểm toán viên có thể theo dõi.

Sau đó tra số đó trong công cụ tìm kiếm mô-đun đã xác thực chính thức và đọc hồ sơ, không phải bản tóm tắt của nó. Hồ sơ nêu tên nhà cung cấp, mô-đun, phiên bản đã xác thực và trạng thái, và liên kết tới tài liệu chính sách bảo mật mô tả cách mô-đun phải hoạt động.

Hãy ghi lại năm trường đó, vì bước tiếp theo so sánh chúng với bản dựng. Một cột bảng tính là đủ.

Bước 2: khớp phiên bản mô-đun với bản dựng

Phiên bản ứng dụng khách VPN và phiên bản mô-đun nhúng hiếm khi chia sẻ cùng một con số, và điều đó là bình thường. Điều quan trọng là liệu phiên bản mô-đun bên trong bản dựng của bạn có xuất hiện trong hồ sơ đã xác thực hay không. Một bản cập nhật có thể thay đổi mô-đun mà không đổi tên sản phẩm, điều này âm thầm đẩy việc triển khai ra ngoài cấu hình đã xác thực.

Hỏi thành phần nào sử dụng mô-đun và chế độ được phê duyệt được chọn như thế nào trong cấu hình được hỗ trợ. Một bản dựng có thể chạy ở chế độ không được phê duyệt không phải là bằng chứng giống như bản dựng được cấu hình cho chế độ đã phê duyệt.

Đọc từ bản dựng cục bộ, để việc so sánh dùng hiện vật thay vì trang tải xuống. Các lệnh bên dưới in ra chính xác điều đó.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Khi mô-đun báo cáo một phiên bản khác với chứng chỉ, tuyên bố đã lệch và hồ sơ cần được cập nhật trước khi ai đó ký bất cứ điều gì.

Bước 3: đọc các điều kiện vận hành

Chứng chỉ mang các điều kiện mô tả môi trường mà việc xác thực bao phủ. Những điều kiện đó có thể nêu nền tảng, cấu hình, kích thước khóa được phép và các dịch vụ phải bị hạn chế. Một cài đặt thông thường bỏ qua chúng là một triển khai nằm ngoài ranh giới đã xác thực, ngay cả khi tệp nhị phân giống hệt. Đó là lý do tài liệu chính sách bảo mật quan trọng ngang với số chứng chỉ.

Giữ hướng dẫn của nhà cung cấp bên cạnh chứng chỉ, vì nó giải thích cài đặt nào chọn chế độ được phê duyệt và cài đặt nào đưa sản phẩm ra ngoài chế độ đó.

Nếu các điều kiện không thể đáp ứng trong môi trường của bạn, tuyên bố trung thực là việc triển khai này nằm ngoài cấu hình đã xác thực. Việc nêu tên điều kiện không thể đáp ứng biến tuyên bố đó thành thứ mà một nhóm có thể sửa hoặc chấp nhận.

Bước 4: xác nhận trạng thái hôm nay

Hồ sơ CMVP có một trạng thái, và trạng thái không phải là vĩnh viễn. FAQ của NIST mô tả các ngày chuyển đổi FIPS 140-2 trong năm 2026, sau đó chỉ còn các xác thực FIPS 140-3 trên danh sách hoạt động. Một chứng chỉ đang hoạt động khi việc mua được phê duyệt có thể là lịch sử vào hôm nay.

Lịch sử và bị thu hồi là những trạng thái khác nhau, và mỗi trạng thái có ý nghĩa riêng đối với việc mua sắm. Hãy kiểm tra hồ sơ trực tiếp thay vì ảnh chụp màn hình từ thư mục dự án, và ghi lại ngày bạn đã kiểm tra.

Sau đó hỏi người phụ trách tuân thủ hoặc mua sắm xem yêu cầu của họ chấp nhận trạng thái nào, vì đó là quyết định chính sách chứ không phải phát hiện kỹ thuật. Ghi lại câu trả lời kèm ngày.

Đối chiếu hồ sơ với việc triển khai

So sánh bốn giá trị đã thu thập: số chứng chỉ, phiên bản mô-đun từ bản dựng, các điều kiện vận hành đang có hiệu lực và trạng thái hiện tại. Bất kỳ sự không khớp nào cũng là một phát hiện, và phát hiện đó thuộc về hồ sơ triển khai chứ không phải một slide.

Lưu bằng chứng cùng với bản dựng, bao gồm ngày và người đã kiểm tra. Một thư mục cho mỗi bản phát hành là đủ.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Cũng hãy giữ tuyên bố trong ranh giới của nó. Việc xác thực mô-đun không nói gì về việc xử lý giao thức của VPN, các quyết định ủy quyền hay chính sách ghi nhật ký của nó. Đó là bằng chứng cụ thể về một thành phần mật mã đã được định nghĩa, và việc coi nó như điểm số sản phẩm chính là cách một hồ sơ tuân thủ cuối cùng mô tả một thứ mà không ai đã triển khai.