CMVP
Il programma congiunto USA–Canada che certifica i moduli crittografici secondo FIPS 140, ed è il motivo per cui le schede tecniche degli HSM riportano numeri di certificato.
Il Cryptographic Module Validation Program è nato nel 1995 ed è gestito congiuntamente dal NIST e dal Communications Security Establishment canadese. Il produttore si rivolge a un laboratorio accreditato, che verifica il modulo rispetto a FIPS 140 e inoltra il rapporto. Se l'esito è positivo, il modulo entra in un elenco pubblico con un numero di certificato. Gli algoritmi al suo interno devono aver superato prima il programma gemello, CAVP.
Le agenzie federali statunitensi possono proteggere dati sensibili solo con moduli convalidati, quindi l'intero mercato si piega a questa regola. La coda è notoriamente lunga, spesso oltre un anno, e una convalida vale per una versione esatta. Se si cambia il firmware, si ricomincia più o meno da capo: per questo molti prodotti includono volutamente un modulo crittografico più vecchio, ma certificato. I certificati FIPS 140-2 sono passati all'elenco storico a settembre 2026, lasciando solo la 140-3.