OpenSSL: FIPS 140-2 går mot sitt slut – företag bör förbereda övergången till FIPS 140-3

Den 21 september 2026 förändras statusen för FIPS 140-2-validerade kryptografiska moduler när de flyttas till NIST historiska lista. OpenSSL betonar att datumet inte innebär att befintliga installationer automatiskt blir ogiltiga. Samtidigt närmar sig ytterligare en viktig deadline: OpenSSL 3.0 når slutet av sin ordinarie livscykel den 7 september 2026.

För företag och organisationer som använder OpenSSL i säkerhetskritiska eller reglerade miljöer innebär september två viktiga förändringar att förhålla sig till.

Den första gäller OpenSSL 3.0, som når End of Life den 7 september 2026.

• 

  ANNONS

  
  

• 

  EGET INNEHÅLL

  
  

• 

  ANNONS

  
  

• 

  SPONSRAD

  
  

Den andra gäller FIPS 140-2, där berörda valideringar den 21 september 2026 flyttas till den historiska listan inom amerikanska NIST Cryptographic Module Validation Program, CMVP.

OpenSSL understryker dock att övergången inte ska tolkas som att alla befintliga FIPS 140-2-baserade system plötsligt blir ogiltiga.

FIPS 140-2 försvinner inte över en natt

FIPS 140 är en amerikansk säkerhetsstandard för kryptografiska moduler och har stor betydelse inom bland annat offentlig sektor, försvar, finans och andra verksamheter med höga krav på informationssäkerhet och regelefterlevnad.

När en FIPS 140-2-validering flyttas till den historiska listan den 21 september innebär det inte att certifikatet återkallas.

Befintliga system som använder en tidigare validerad kryptografisk modul behöver därför inte automatiskt tas ur drift på grund av förändringen.

För redan driftsatta och auktoriserade miljöer kan fortsatt användning vara möjlig beroende på organisationens regulatoriska krav, riskbedömning och de regler som gäller för den aktuella verksamheten.

För nya system, upphandlingar och säkerhetsgodkännanden ser situationen däremot annorlunda ut. Där blir FIPS 140-3 den standard som organisationer behöver förhålla sig till när en aktiv FIPS-validering krävs.

OpenSSL har redan gått över till FIPS 140-3

För organisationer som använder OpenSSL finns redan en validerad lösning för den nya standarden.

OpenSSL FIPS Provider 3.1.2 är validerad enligt FIPS 140-3 genom NIST och kanadensiska CSE gemensamma Cryptographic Module Validation Program.

Valideringen har CMVP-certifikat nummer 4985 och är giltig till 10 mars 2030.

Enligt OpenSSL kan den validerade FIPS-providern användas tillsammans med flera versioner inom OpenSSL 3.x-serien.

Det innebär att organisationer kan planera övergången till FIPS 140-3 utan att nödvändigtvis behöva behandla förändringen som ett fullständigt byte av hela sin kryptografiska infrastruktur.

För stora organisationer kan detta vara betydelsefullt. En migrering i reglerade miljöer omfattar ofta betydligt mer än installationen av en ny programvaruversion.

OpenSSL 3.0 når End of Life den 7 september

FIPS-förändringen är samtidigt inte den enda viktiga frågan för OpenSSL-användare under september.

Den 7 september 2026 når OpenSSL 3.0 slutet av sin ordinarie livscykel.

Efter End of Life ska organisationer inte räkna med ordinarie säkerhetsuppdateringar för versionen inom den normala supportcykeln.

Det innebär att företag som fortfarande använder OpenSSL 3.0 behöver skilja mellan två separata frågor:

Programvarans livscykel och support, som påverkas av att OpenSSL 3.0 når End of Life.

FIPS-valideringen, som handlar om vilken kryptografisk modul som används och vilken status den har inom CMVP.

Att en FIPS-validering fortfarande kan vara relevant för ett befintligt system innebär alltså inte automatiskt att den underliggande OpenSSL-versionen bör fortsätta användas efter att den nått slutet av sin supportperiod.

OpenSSL 3.5 är LTS-version

För organisationer som planerar sin långsiktiga OpenSSL-strategi är OpenSSL 3.5 särskilt relevant.

Versionen är en Long Term Support-version, LTS, med en längre planerad supportperiod.

Det gör att företag som fortfarande använder äldre OpenSSL-versioner kan behöva se den kommande FIPS-förändringen som en del av en större modernisering av sin kryptografiska infrastruktur.

I stället för att enbart migrera från FIPS 140-2 till FIPS 140-3 kan organisationer samtidigt utvärdera vilken OpenSSL-version som ska ligga till grund för infrastrukturen under de kommande åren.

Den största utmaningen kan vara valideringen runt omkring

Själva den tekniska uppgraderingen behöver inte vara den mest tidskrävande delen av arbetet.

I reglerade verksamheter kan en förändring av kryptografiska komponenter även påverka dokumentation, säkerhetsarkitektur, interna kontroller, tester, riskbedömningar och externa godkännanden.

Det kan också finnas beroenden i applikationer, operativsystem, nätverksprodukter, säkerhetsplattformar och andra system där OpenSSL används indirekt.

Organisationer bör därför inte enbart kontrollera vilka OpenSSL-versioner som installerats direkt på servrar.

De behöver också kartlägga var OpenSSL och FIPS-validerade komponenter används som en del av större produkter och plattformar.

Fyra frågor IT-organisationer bör ställa nu

Inför september bör företag och myndigheter framför allt skaffa sig en tydlig bild av sin nuvarande miljö.

Var används OpenSSL 3.0?

System som fortfarande är beroende av versionen behöver identifieras inför End of Life den 7 september.

Var används FIPS 140-2-validerade moduler?

Det gäller både direkta installationer och kryptografiska komponenter som ingår i andra system.

Vilka miljöer kräver en aktiv FIPS 140-3-validering?

Kraven kan skilja sig mellan befintliga system, nya installationer, upphandlingar och framtida projekt.

Hur lång tid tar organisationens egen godkännandeprocess?

I reglerade verksamheter kan tester, dokumentation och säkerhetsgranskningar ta betydligt längre tid än själva uppgraderingen.

Ingen hård gräns, men ett tydligt skifte

OpenSSL budskap är att den 21 september inte ska betraktas som en dag då all FIPS 140-2-baserad infrastruktur plötsligt måste stängas ned.

Men förändringen markerar ändå ett tydligt skifte.

FIPS 140-3 är den nya generationen av standarden, samtidigt som äldre OpenSSL-versioner successivt lämnar sina ordinarie supportperioder.

För IT-chefer, säkerhetsansvariga, systemägare och organisationer med regulatoriska krav är frågan därför större än ett enskilt datum i september.

Det handlar om att säkerställa att den kryptografiska infrastrukturen är supporterad, validerad och hållbar även för framtida system och säkerhetskrav.

Organisationer som fortfarande är beroende av OpenSSL 3.0 eller FIPS 140-2 har därför anledning att inventera sina miljöer nu, prioritera berörda system och skapa en tydlig plan för övergången till en modern och fortsatt supportad OpenSSL-miljö.