Chiffrement validé FIPS, sans toucher aux machines.

Ce qui est validé et où le vérifier.

Une affirmation FIPS ne vaut que si elle nomme le module et son certificat. Access Gate n'embarque pas de cryptographie maison. Access Gate CMMC Edition se relie aux enclaves CUI comme GCC High par un tunnel IPsec/IKEv2 (Libreswan) sous AlmaLinux 9, avec le mode FIPS imposé dès le démarrage. Ce tunnel remplace le client Tailscale fourni par défaut, car Tailscale repose sur WireGuard, qui n'est pas approuvé FIPS. Le trafic est protégé en AES-256-GCM, SHA-384 et ECDH P-384 avec confidentialité persistante (PFS), et Libreswan refuse tout algorithme non approuvé. Cela répond aux exigences de CMMC et de NIST SP 800-171 sur la protection des CUI en transit. Les deux modules validés FIPS 140-3 du tunnel figurent ci-dessous avec leur certificat CMVP, pour que vous les vérifiiez vous-même auprès du NIST.

Une précision à reprendre telle quelle dans un SSP. Le NIST valide des modules cryptographiques et délivre des numéros de certificat ; il ne certifie pas de produits. Les certificats appartiennent aux modules de TuxCare, pas à Access Gate lui-même. L'affirmation précise et défendable est donc qu'Access Gate utilise des modules validés FIPS 140-3 au titre des certificats CMVP n° 5441 et 5031, sous une forme que l'auditeur peut vérifier directement dans le registre CMVP. Le certificat n° 4750 était le certificat noyau provisoire ; le NIST l'a remplacé par le n° 5441, et l'appliance livrée tourne sur la version du noyau couverte par le n° 5441. Si votre SSP cite encore le n° 4750, mettez-le à jour. Pour l'évaluation, nous fournissons sur demande les preuves relevées sur l'appliance livrée : la vérification du mode FIPS, les versions des paquets installés correspondant à chaque certificat et le journal Libreswan qui montre le mode FIPS activé.