CMVP
NIST:s och Kanadas program som certifierar kryptografiska moduler mot FIPS 140, och anledningen till att HSM-datablad räknar upp certifikatnummer.
Cryptographic Module Validation Program startade 1995 och drivs gemensamt av NIST och kanadensiska Communications Security Establishment. Tillverkaren anlitar ett ackrediterat testlabb, som provar modulen mot FIPS 140 och skickar rapporten vidare. Godkänns den hamnar modulen med ett certifikatnummer på en offentlig lista. Algoritmerna i modulen ska först ha klarat systerprogrammet CAVP.
Amerikanska federala myndigheter får bara använda validerade moduler för att skydda känslig data, så hela marknaden anpassar sig. Kön är ökänt lång, ofta över ett år, och en validering gäller en exakt version. Ändrar man firmware börjar man i praktiken om. Därför kör många produkter medvetet en äldre, certifierad kryptomodul. FIPS 140-2-certifikaten flyttades till historiklistan i september 2026, och nu gäller 140-3.