Kriptografik Algoritma Doğrulama Programı (CAVP)

Bir ihale veya müşteri “CAVP” istiyorsa önce talebin algoritma doğrulaması mı, kriptografik modül belgelendirmesi mi olduğunu belirleyin. NIST CAVP, onaylı kriptografik algoritmaların ve bileşenlerinin uygulamalarını değerlendirir; algoritma doğrulaması modül doğrulaması için ön koşuldur, fakat ikisi aynı sonuç değildir. NIST CAVP, program tanımı.

TSE sayfasındaki başlık ile belge dayanağını birlikte okuyun

TSE'nin CAVP başlıklı hizmet sayfasının gövdesi TS ISO/IEC 19790 ve TS ISO/IEC 24759 kapsamında kriptografik modül ve algoritmaların belgelendirilmesini anlatır. Bu açıklama tek başına başvuru sonunda bir NIST CAVP doğrulama numarası alınacağını kanıtlamaz. TSE hizmeti için teklif isterken düzenlenecek belgenin dayanağını ve hangi kayıt sisteminde bulunacağını yazılı olarak netleştirin. TSE Kriptografik Algoritma hizmeti, 12.03.2026 düzenlemesi, Bilgi bölümü.

Talebiniz NIST programına aitse istenen algoritma uygulamasını, yazılım/donanım sürümünü ve çalışma ortamını tanımlayın. NIST'in doğrulama listeleri bu tür kimlik ve kapsam bilgilerini birlikte sunar. Bir ürün adının kayıtla benzemesi, farklı sürüm veya ortamın da aynı doğrulama kapsamında olduğunu göstermek için yeterli değildir. NIST CAVP, Algorithm Validations.

Laboratuvarın hangi kapsamda çalıştığı önemli

NIST, CAVP testlerini NVLAP kapsamında akredite kriptografik ve güvenlik test laboratuvarları üzerinden yürütür. NIST'in laboratuvar sayfası akreditasyonun yanında program kurallarına ve ilgili düzenlemelere uyulmasını da ister. Sadece bir ISO/IEC 17025 akreditasyon belgesi görmekle yetinmeyin; kuruluşun ilgili NIST test programındaki kapsamını kontrol edin. NIST Testing Laboratories, General Information.

Bu rehber TSE'nin güncel NVLAP/CAVP laboratuvar yetkisini doğrulamış değildir. TSE'nin TS standartları kapsamında açıkladığı hizmet ile NIST programında yetkili laboratuvar olma iddiasını ayrı değerlendirmek gerekir. TSE hizmet açıklaması; NIST laboratuvar seçimi.

Testte ne olur, hangi sonuç belge sayılmaz?

NIST'in güncel akışında uygulamanın desteklediği özelliklere göre test verileri oluşturulur; uygulamanın verdiği sonuçlar kontrol edilir. Değerlendirme, tanımlanan algoritma uygulamasının test sonuçlarına dayanır. ACVTS'nin deneme ortamında başarılı test yapmak ise üretim ortamındaki resmî doğrulama kaydıyla aynı değildir. NIST, deneme ortamından sertifika alınamayacağını açıklar. NIST CAVP, ACVTS ve Testing Notes.

Hazırlık dosyanızı istenen sonuçla bitirin: müşteri hangi programı, hangi sürümü ve hangi doğrulama kaydını kabul ediyor? Mevcut algoritma belgeniz varsa bunu ilgili kayıtla eşleştirin; ayrıca modül veya ürün düzeyinde istenen değerlendirmeleri ayrı satırda tutun. Bu ayrım, mevcut bir test sonucunu olduğundan daha geniş bir güvenlik belgesi olarak sunmanızı önler. CAVP ile CMVP ilişkisi için NIST'in program tanımını esas alın. NIST CAVP.

Aynı projedeki üç güvenlik talebini ayıran örnek

Bir güvenlik ürününüz olduğunu ve müşterinin dosyada algoritma uygulamasına ilişkin doğrulama, modül değerlendirmesi ve ürün güvenlik belgesi aradığını düşünün. Bunları aynı “kriptografi belgesi” satırında toplamak yerine her talep için beklenen belge adını ve kayıt yerini yazın. Bu çalışma önerisi, yeni bir teknik belgelendirme zorunluluğu oluşturmaz.

Satın alma şartında NIST doğrulama numarası yazıyorsa TSE hizmet başlığının benzerliği yeterli cevap değildir. Şartın hangi uygulama ve çalışma ortamını kapsadığını belirleyin. Aynı şekilde bir modüle ait kayıt, o modülü kullanan bütün ürünün güvenlik iddialarının değerlendirilmiş olduğu şeklinde sunulmamalıdır. TSE sayfasının dayanağı TS ISO/IEC 19790 ve 24759 olarak belirtilir. TSE kriptografik algoritma hizmeti, Bilgi

Ortak Kriterlerdeki kriptografik kontrol ayrı bir kapsamdır

TSE'nin 17 Ağustos 2020 tarihli BTBD-03-01-YYN-04 yayını, Ortak Kriterler değerlendirmesi içindeki kriptografik güvenlik fonksiyonlarını ele alır. Güvenlik hedefinde belirtilen algoritma, mod ve anahtar uzunluğunun uygulamada doğrulanması; ilgili değerlendirme ailelerine göre geliştirici testleri ve bağımsız testlerin ele alınması açıklanır. Bu yayın NIST CAVP doğrulama numarası verilmesini tarif eden bir başvuru prosedürü değildir. Kriptografik Güvenlik Fonksiyonlarının Doğrulanması, sayfalar 1–3

Örneğin teknik sunumda algoritmanın adı bulunurken hangi uygulamanın ve hangi çalışma biçiminin kastedildiği belirsiz kalıyorsa bunu ürün dosyasında açıklığa kavuşturun. Genel bir algoritma adı, her kullanım biçiminin değerlendirildiğini göstermez. Burada algoritma seçimi, anahtar uzunluğu veya yapılandırma tavsiyesi verilmemektedir; değerlendirilecek iddianın tanımlanması anlatılmaktadır.

Hazırlık dosyasını nasıl düzenleyebilirsiniz?

Müşterinin istediği çıktı ile sizin mevcut kanıtlarınızı karşılaştıran kısa bir kayıt hazırlayın:

• Talep edilen programın tam adı ve talebin alındığı belge.
• Başvuracak kuruluş ile uygulamanın geliştiricisi veya sağlayıcısı.
• Yazılım/donanım sürümü ve değerlendirme için belirtilen ortam.
• Mevcut belgenin numarası, kapsamı ve aynı sürümle ilişkisi.
• Eksik kalan değerlendirme ve bunu yürütecek yetkili kuruluş.
• Değişiklik olduğunda hangi kaydın gözden geçirileceği.

Bu liste resmî başvuru formu değildir. Teklif görüşmesinde hangi işin zaten yapıldığını ve hangi işin hâlâ istendiğini göstermek içindir. Bir raporun yalnız kapak sayfasını sunmak yerine kapsam ve sürüm açıklamalarının ilgili taleple eşleştiğini kontrol edin.

Eski fiyat ve laboratuvar bilgisini yeni başvuruya taşımayın

TSE'nin bilişim tarifesini kullanırken incelemenin hangi programa ait olduğunu ve hangi teknik hizmetlerin ayrıca fiyatlandığını belirleyin. Birim fiyat, müşteriniz için hazırlanmış bütünleşik teklif değildir. 2026 bilişim ücretlendirme esasları ve çizelgeleri

Laboratuvar seçiminde de eski bir rapordaki kuruluş adını bugünkü kapsamın kanıtı saymayın. Teklifin hangi programda ve hangi sonuç için verildiğini netleştirin. Ürün düzeyindeki başka bir yolun ayrıntıları için Ortak Kriterler başvuru rehberini inceleyebilirsiniz.