FIPS 140 certificate tracker

fips-mcp

一个基于 NIST CMVP 数据的 MCP 服务，数据来自 808bits.com/fips： 包含每一项 FIPS 140 加密模块验证，以及仍在等待验证的提交队列。

只读，无需身份验证。

https://fips.808bits.com/mcp

claude mcp add --transport http fips https://fips.808bits.com/mcp

由于传输协议的要求，端点使用 POST。通过浏览器打开主机名或端点都会重定向到跟踪器。客户端的 GET /mcp 仍会返回 405；对于无状态服务来说，这是对打开 SSE 流的请求应有的响应，而 GET / 和 GET /health 会返回 JSON 描述符，其中包含数据生成日期，供检查存活状态的 程序使用。

工具

工具	可回答的问题
fips_cert	查询单个证书编号的状态、级别、到期日期和验证历史。
fips_search	查询此供应商或产品是否持有当前有效的验证，以及验证级别。
fips_vendor	查询一家公司持有的所有证书，包括 NIST 记录时使用的不同拼写形式。
fips_cve	查询哪些已验证模块与某个 CVE 相关，以及哪些 CVE 影响某个供应商的产品。
fips_in_process	查询供应商是否已提交替代产品，以及当前处于哪个阶段。
fips_sunset	查询指定日期前到期的证书，以及哪些供应商即将没有任何有效证书。

fips_in_process 是唯一没有其他等效工具的工具。NIST 将在研模块列表作为网页而非 API 发布；当验证已过期而替代产品尚未获批时，人们通常会以“已列入 MIP”作为进展节点。

正确解读数据

队列中的提交代表一个进展节点，而不是一个日期。 有 181 个模块正在审核，阶段日期最早可追溯到一年多以前，因此不少模块在同一阶段停留的时间超过了一年。“已列入 MIP”表示审核已开始。

未出现在队列中，可能意味着后续产品已获批。 Ribbon 的 SBC 5400 将于 2026-09-06 到期，但自 2025 年起已持有 140-3 证书。报告缺口前，请先用 fips_search 查询模块名称。

NIST 的供应商名称是自由文本。 Cisco 的证书记录使用了三种拼写形式，Thales 使用了两种。vendor_key 会将同一注册项的不同拼写归在一起，vendor_display 则是 NIST 最常用的拼写形式。但两者都不会合并企业集团：nShield 产品线的归属从 nCipher Corporation 转至 Thales，再转至 Entrust；若将这些公司合并，就会把证书归给多年前已出售该产品的公司。

**112 份证书没有模块名称或供应商信息，**因为 NIST 未公布这些信息。查询结果会将其显示为带有说明的 null，而不是空字符串。

CVE 关联基于名称匹配，而非边界范围。 这些关联通过匹配供应商和产品 CPE 得出，因此，列出的 CVE 可能涉及证书从未覆盖的代码，而边界内的真实缺陷也可能完全未显示。16 份证书中共有 183 项关联。

**CVE 查询结果为空，不代表产品没有安全问题，**而且这是更容易造成误导的情况。5,504 份证书中只有 16 份带有关联；匹配不会追踪依赖项，且需要稳定的 CPE 字符串，因此硬件模块的结果大多为空，与其安全公告记录如何无关。fips_cve 查询 CVE-2014-0160 时不会返回结果。每个空结果都会说明这一点，并报告带有关联的证书总数，让调用方直接看到这个数字，而不必在此文件中查找。

到期日期并不统一。 大多数仍有效的 140-2 证书会在 2026-09-21 转入历史列表，但有六份证书各自有更早的日期。

数据来源

所有数据均来自 NIST 发布的 CMVP 列表：已验证的模块、历史和已撤销列表，以及正在处理的模块队列。服务不会按需抓取 NIST 数据。独立的管道会对列表进行快照，与上一份快照进行对比，然后加载结果，因此回答反映的是最近一次刷新的数据，而非当前时刻的数据。每个响应都包含生成日期，GET / 也会报告该日期。

此代码库包含服务。它提供的数据集在其他地方构建，不会提交到此代码库中，因此克隆后可以通过类型检查并部署，但没有可用于回答的数据行。

许可证

MIT。数据本身由 NIST 发布，不受该许可证约束。