Cifrado validado FIPS, sin tocar las máquinas.
Access Gate cifra cada sesión en el proxy. Las máquinas de producción siguen como están. Todas las cipher suites están aprobadas por el NIST y cumplen FIPS según SP 800-52.
Última actualización:
Cómo Access Gate cifra los CUI en tránsito.
Los protocolos industriales como Modbus, EtherNet/IP y DNP3 transmiten en texto plano. Access Gate resuelve esto cifrando el tráfico entre el usuario y el proxy con cipher suites validadas FIPS. El segmento en texto plano está aislado en una micro-DMZ.
Qué está validado y dónde comprobarlo.
Una afirmación FIPS solo vale si nombra el módulo y su certificado. Access Gate no incorpora criptografía propia. Access Gate CMMC Edition se conecta a enclaves CUI como GCC High mediante un túnel IPsec/IKEv2 (Libreswan) sobre AlmaLinux 9, con el modo FIPS forzado desde el arranque. Este túnel sustituye al cliente Tailscale incluido por defecto, porque Tailscale se basa en WireGuard, que no está aprobado por FIPS. El tráfico se protege con AES-256-GCM, SHA-384 y ECDH P-384 con confidencialidad directa (PFS), y Libreswan rechaza cualquier algoritmo no aprobado. Esto respalda los requisitos de CMMC y NIST SP 800-171 para proteger la CUI en tránsito. Los dos módulos validados FIPS 140-3 del túnel figuran abajo con su certificado CMVP, para que usted los compruebe ante el NIST.
- Módulo
- Kernel Cryptography Module for AlmaLinux 9
- Función en el túnel
- Plano de datos ESP: cifra el tráfico del túnel (AES-256-GCM)
- Fabricante
- CloudLinux Inc., división TuxCare
- Norma
- FIPS 140-3, nivel global 1
- Certificado CMVP
- n.º 5441, validado el 27 de julio de 2026
- Tipo de módulo
- Software, multi-chip stand alone
- Módulo
- NSS cryptography module for AlmaLinux 9
- Función en el túnel
- Intercambio de claves IKEv2 (ECDH P-384)
- Fabricante
- CloudLinux Inc., división TuxCare
- Norma
- FIPS 140-3, nivel global 1
- Certificado CMVP
- n.º 5031, validado el 25 de junio de 2025
- Tipo de módulo
- Software, multi-chip stand alone
Un punto que conviene redactar con precisión en un SSP. El NIST valida módulos criptográficos y emite números de certificado; no certifica productos. Los certificados pertenecen a los módulos de TuxCare, no a Access Gate. La afirmación precisa y defendible es que Access Gate usa módulos validados FIPS 140-3 al amparo de los certificados CMVP n.º 5441 y 5031, en una forma que el evaluador puede comprobar en el listado del CMVP. El certificado n.º 4750 era el certificado provisional del kernel; el NIST lo sustituyó por el n.º 5441, y el appliance entregado ejecuta la versión del kernel que cubre el n.º 5441. Si su SSP aún cita el n.º 4750, actualícelo. Para la evaluación, facilitamos bajo petición las evidencias tomadas del appliance entregado: la comprobación del modo FIPS, las versiones de los paquetes instalados que corresponden a cada certificado y el registro de Libreswan que muestra el modo FIPS activado.
Cipher suites TLS 1.3.
Suites TLS 1.3 utilizadas por Access Gate. Todas proporcionan perfect forward secrecy por diseño.
| Cipher Suite | Status | Reference |
|---|---|---|
| TLS_AES_128_GCM_SHA256 | FIPS | TLS 1.3, NIST SP 800-52, FIPS 197 (AES-128) |
| TLS_AES_256_GCM_SHA384 | FIPS | TLS 1.3, NIST SP 800-52, FIPS 197 (AES-256) |
Cipher suites TLS 1.2.
Suites TLS 1.2 soportadas para compatibilidad con clientes más antiguos.
| Cipher Suite | Status | PFS | Note |
|---|---|---|---|
| TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | FIPS | Yes | ECDHE key exchange, forward secrecy |
| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 | FIPS | Yes | CBC mode, forward secrecy |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | FIPS | Yes | CBC mode, forward secrecy |
| TLS_RSA_WITH_AES_128_GCM_SHA256 | FIPS | No | No perfect forward secrecy |
| TLS_RSA_WITH_AES_256_GCM_SHA384 | FIPS | No | No perfect forward secrecy |
| TLS_RSA_WITH_AES_128_CBC_SHA256 | FIPS | No | No perfect forward secrecy |
Note on PFS: Las suites sin perfect forward secrecy (PFS) están aprobadas por FIPS pero deben ser despriorizadas. Access Gate negocia las suites ECDHE primero.
Las máquinas mantienen sus protocolos nativos.
Cifrado en el proxy.
El cifrado ocurre en el proxy Access Gate. Las máquinas CNC y sistemas de etiquetado continúan con sus protocolos nativos.
El texto plano queda en una micro-DMZ.
El segmento en texto plano entre proxy y máquina está contenido en una micro-DMZ aislada.
Evidencias para CMMC SC 3.13.8.
Access Gate genera exports de configuración TLS, logs de negociación y diagramas micro-DMZ para la evaluación C3PAO.
Preguntas sobre cifrado FIPS.
Todas las cipher suites integradas en Access Gate están aprobadas por NIST según FIPS 197 (AES) y SP 800-52 (TLS).
Ni lo uno ni lo otro: el NIST valida módulos, no productos, y la afirmación correcta es que Access Gate utiliza módulos validados FIPS 140-3. Su túnel IPsec/IKEv2 hacia enclaves CUI como GCC High se basa en el Kernel Cryptography Module for AlmaLinux 9 (certificado CMVP n.º 5441) y el NSS cryptography module for AlmaLinux 9 (certificado CMVP n.º 5031) de TuxCare, con el modo FIPS forzado, AES-256-GCM e intercambio de claves P-384. En el lado del proxy, TLS se basa en el paquete crypto/tls de la biblioteca estándar de Go, con cipher suites aprobadas por FIPS.
Access Gate prefiere suites TLS 1.3 primero. Si el cliente no soporta TLS 1.3, recurre a suites TLS 1.2 ECDHE con modo GCM.
El usuario se conecta a Access Gate por TLS. Access Gate termina la sesión cifrada y reenvía el tráfico a la máquina por su protocolo nativo dentro de una micro-DMZ aislada.
SC 3.13.8 requiere cifrado de CUI en tránsito. Para activos OT, Access Gate proporciona un control compensatorio: cifrado TLS del lado usuario, segmento en texto plano aislado en micro-DMZ.
El Artículo 21 NIS2 requiere cifrado apropiado para comunicaciones de red. Access Gate lo satisface con TLS validado FIPS en todas las rutas de acceso.
Sí. La configuración de Access Gate permite restringir las cipher suites disponibles.
Revisemos juntos el cifrado.
Repasamos las cipher suites, la micro-DMZ y las evidencias CMMC para sus plantas.
Hablar con ventas