FIPS 140 certificate tracker

fips-mcp

NIST CMVPのデータを扱うMCPサーバーです。対象は808bits.com/fipsの背後にあるデータです。 すべてのFIPS 140暗号モジュール認証と、認証を待つ申請キューを扱います。

読み取り専用で、認証は不要です。

https://fips.808bits.com/mcp

claude mcp add --transport http fips https://fips.808bits.com/mcp

エンドポイントは、トランスポートの要件によりPOSTで通信します。ホスト名またはエンドポイントをブラウザーで開くと、トラッカーにリダイレクトされます。ステートレスサーバーでSSEストリームを開こうとするリクエストに対する応答として、クライアントのGET /mcpには405が返されます。また、GET /とGET /healthは、稼働状態を確認するクライアント向けに、データの生成日を含むJSON記述子を返します。

ツール

ツール	回答する内容
fips_cert	1つの認証番号について、ステータス、レベル、有効期限、認証履歴を確認します。
fips_search	ベンダーまたは製品が有効な認証を保有しているか、またそのレベルを確認します。
fips_vendor	NISTが登録した表記の揺れをまとめて、1社が保有する認証をすべて確認します。
fips_cve	CVEに関連付けられた認証済みモジュールと、ベンダーの認証に影響するCVEを確認します。
fips_in_process	ベンダーの後継製品が実際に申請済みか、その審査段階を確認します。
fips_sunset	指定日までに有効期限を迎える認証と、有効な認証がなくなりそうなベンダーを確認します。

fips_in_processは、ほかに同等のものがないツールです。NISTはModules in Processの一覧をAPIではなくウェブページで公開しています。「MIPに載っている」は、認証の有効期限が切れて後継製品の認証がまだ取得されていないときに、よく確認される節目です。

データを誤解せずに読み取る

**申請キューに載っていることは、日付ではなく節目です。**処理中のモジュールは181件あり、各段階の日付は1年以上前にさかのぼるため、1つの段階に1年以上とどまっているものも少なくありません。「MIPに載っている」とは、審査が始まったことを示します。

**キューに載っていない場合、後継製品がすでに認証を取得していることがあります。**RibbonのSBC 5400は2026-09-06に有効期限を迎えますが、2025年から140-3認証を保有しています。認証の空白を報告する前に、モジュール名でfips_searchを確認してください。

**NISTのベンダー名は自由記入です。**Ciscoは3種類、Thalesは2種類の表記で認証を保有しています。vendor_keyは1つの登録に属する表記の揺れをまとめ、vendor_displayはNISTが最も多く使った表記を示します。どちらも企業グループをまとめるものではありません。nShieldシリーズはnCipher CorporationからThales、そしてEntrustへと移ったため、これらをひとまとめにすると、何年も前に製品を売却した会社に認証を誤って帰属させることになります。

**認証112件にはモジュール名もベンダー名もありません。**NISTがそれらを公開していないためです。空文字列ではなく、注記付きのnullが返されます。

**CVEとの関連付けは、境界ではなく名称に基づいています。**ベンダーと製品のCPEを照合しているため、一覧にあるCVEが認証の対象範囲外のコードに関する場合もあれば、対象範囲内の実際の脆弱性がまったく表示されない場合もあります。16件の認証に、関連付けが183件あります。

**CVEの検索結果が空でも、安全が確認されたわけではありません。**こちらのほうが、より誤解を招きます。関連付けがあるのは5,504件の認証のうちわずか16件です。照合では依存関係をたどらず、安定したCPE文字列も必要となるため、ハードウェアモジュールはアドバイザリーの履歴にかかわらず、ほとんどが空の結果になります。CVE-2014-0160をfips_cveで検索しても何も返されません。空の結果にはすべてその旨が記載され、関連付けのある認証の総数も報告されます。そのため、このファイルではなく、呼び出し元がその数を確認できます。

**有効期限の日付は一律ではありません。**有効な140-2認証のほとんどは2026-09-21に歴史的リストへ移りますが、6件は個別にそれより早い日付が設定されています。

データの取得元

すべてのデータは、NIST が公開している CMVP リスト、つまり認証済みモジュール、過去のリストおよび失効済みリスト、ならびに審査中のモジュールのキューに基づいています。サーバーは NIST から都度スクレイピングを行いません。別のパイプラインがリストのスナップショットを取得し、前回のスナップショットとの差分を取り込んでいるため、回答は今この瞬間ではなく、直近の更新時点を反映します。すべての応答には生成日が含まれ、GET / でも確認できます。

このリポジトリにはサーバーが含まれています。サーバーが提供するデータセットは別の場所で構築されており、このリポジトリには含まれていないため、クローンして型チェックやデプロイはできますが、回答に使えるレコードはありません。

ライセンス

MIT。証明書データ自体は NIST が公開しており、このライセンスの対象ではありません。