Granica kryptograficzna
Jawnie zdefiniowany obwód w FIPS 140, który określa, co należy do modułu kryptograficznego — a więc co faktycznie obejmuje certyfikat.
Wszystko wewnątrz granicy — sprzęt, firmware, oprogramowanie — zostało zbadane i zwalidowane. Klucze i inne krytyczne parametry bezpieczeństwa mogą ją przekraczać tylko kontrolowanymi ścieżkami, w postaci jawnej wyłącznie pod ścisłymi warunkami, a moduł musi umieć je wyzerować. Dla HSM-a granicą bywa dosłownie metalowa obudowa z zabezpieczeniem przed ingerencją; dla biblioteki programowej może to być pojedynczy plik binarny, jak dostawca FIPS w OpenSSL.
Granica tłumaczy sporą część zamieszania wokół określenia „zwalidowany FIPS”. Produkt może zawierać zwalidowany moduł, sam nie będąc zwalidowanym, a zwalidowany plik binarny przestaje nim być, jeśli przebudujesz go z inną flagą. Gdzie dokładnie biegnie linia, opisuje polityka bezpieczeństwa modułu — dokument, którego mało kto czyta, a każdy powinien.