VPN-нің FIPS мәлімдемесінің артындағы CMVP сертификатын тексеріңіз

FIPS расталды деп жазылған өндіруші беттері — құжатқа тіркеуге болатын дәлел емес. Дәлел дегеніміз — сертификат нөмірі, модуль атауы, расталған нұсқа және оған тіркелген жұмыс шарттары, олар сіз орналастыратын құрылыммен сәйкесуі тиіс. NIST CMVP FAQ өнімнің үйлесімділікке үміттенуі мен расталған модуль арасындағы айырмашылықты ашық айтады. Төмендегі төрт қадамды ретімен орындап, жазбаны орналастырумен бірге сақтаңыз.

1-қадам: сертификат нөмірін алыңыз, белгіні емес

Сіз іске қоспақ болған өнімдегі криптографиялық модульді қамтитын CMVP сертификат нөмірін өндірушіден сұраңыз. Сертификат нөмірі — нақты, тексеруге болатын объект, ал белгі — маркетинг. Егер жауап модульдің орнына алгоритмді сипаттаса, онда ол басқа сұраққа жауап берген. Белгінің PDF-ін қабылдаудың орнына нөмірді тағы бір рет сұрап көріңіз. Нөмірдің артындағы жазба — аудитор ұстай алатын нәрсе.

Содан кейін сол нөмірді ресми расталған модульдер іздеуінен тауып, жазбаны оның қысқаша мазмұнының орнына толық оқыңыз. Жазбада өндіруші, модуль, расталған нұсқа және мәртебе көрсетіліп, модуль қалай жұмыс істеуге тиіс екенін сипаттайтын қауіпсіздік саясаты құжатына сілтеме беріледі.

Осы бес өрісті жазып алыңыз, өйткені келесі қадам оларды құрылыммен салыстырады. Электрондық кестенің бір бағаны жеткілікті.

2-қадам: модуль нұсқасын құрылыммен сәйкестендіріңіз

VPN клиентінің нұсқасы мен кірістірілген модульдің нұсқасы сирек бірдей нөмірге ие болады және бұл қалыпты жағдай. Маңыздысы — құрылымыңыздың ішіндегі модуль нұсқасы расталған жазбада бар ма. Жаңарту өнім атауын өзгертпей-ақ модульді өзгертуі мүмкін, бұл орналастыруды байқатпай расталған конфигурациядан тысқары шығарады.

Қай компонент модульді пайдаланатынын және қолдау көрсетілетін конфигурацияда мақұлданған режим қалай таңдалатынын сұраңыз. Мақұлданбаған режимде жұмыс істей алатын құрылым мақұлданған режимге конфигурацияланған құрылыммен бірдей дәлел емес.

Жергілікті құрылымнан оқыңыз, сонда салыстыру жүктеу бетінің орнына нақты артефактіні пайдаланады. Төмендегі командалар дәл соны шығарады.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Модуль сертификаттағыдан өзге нұсқаны хабарласа, мәлімдеме ауытқыған және біреу қол қоймас бұрын жазбаны жаңарту қажет.

3-қадам: жұмыс шарттарын оқыңыз

Сертификат растау қамтитын ортаны сипаттайтын шарттарды алып жүреді. Бұл шарттар платформаны, конфигурацияны, рұқсат етілген кілт өлшемдерін және шектелуі тиіс қызметтерді атай алады. Оларды елемейтін қарапайым орнату — бинарлық бірдей болса да, расталған шекарадан тыс орналастыру. Сондықтан қауіпсіздік саясаты құжаты сертификат нөмірі сияқты маңызды.

Өндіруші нұсқаулығын сертификаттың жанында ұстаңыз, өйткені ол қай параметрлердің мақұлданған режимді таңдайтынын және қайсылары өнімді одан тысқары шығаратынын түсіндіреді.

Егер шарттарды ортаңызда орындау мүмкін болмаса, адал тұжырым — бұл орналастыру расталған конфигурациядан тысқары. Орындалмайтын шартты атау бұл тұжырымды команда түзете алатын немесе қабылдай алатын нәрсеге айналдырады.

4-қадам: бүгінгі мәртебені растаңыз

CMVP жазбасы мәртебені алып жүреді және мәртебе тұрақты емес. NIST FAQ 2026 жылы FIPS 140-2-ден өту күндерін сипаттайды, содан кейін белсенді тізімде тек FIPS 140-3 растаулары қалады. Сатып алу мақұлданған кезде белсенді болған сертификат бүгін тарихи болуы мүмкін.

Тарихи және кері қайтарылған — әртүрлі күйлер және әрқайсысының сатып алу үшін өз мағынасы бар. Жоба қалтасындағы скриншоттың орнына нақты жазбаны тексеріп, тексерген күніңізді жазып қойыңыз.

Содан кейін комплаенс немесе сатып алу иесінен олардың талабы қай мәртебені қабылдайтынын сұраңыз, өйткені бұл техникалық қорытынды емес, саяси шешім. Жауапты күнімен бірге жазып қойыңыз.

Жазбаны орналастырумен салыстырып тексеріңіз

Жиналған төрт мәнді салыстырыңыз: сертификат нөмірі, құрылымнан алынған модуль нұсқасы, қолданыстағы жұмыс шарттары және ағымдағы мәртебе. Кез келген сәйкессіздік — табылған олқылық, ол слайдта емес, орналастыру жазбасында болуы тиіс.

Дәлелді құрылыммен бірге сақтаңыз, күні мен тексерген адамды қоса. Әр шығарылымға бір қалта жеткілікті.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Мәлімдемені де өз шекарасының ішінде ұстаңыз. Модульді растау VPN протоколын өңдеуі, авторизация шешімдері немесе журнал жүргізу саясаты туралы ештеңе айтпайды. Бұл бір анықталған криптографиялық компонент туралы нақты дәлел, оны өнімді бағалау ретінде қарастыру — комплаенс файлының ешкім орналастырмаған нәрсені сипаттауының жолы.