VPNдин FIPS билдирүүсүнүн артындагы CMVP сертификатын текшериңиз

FIPS ырасталган деп жазылган өндүрүүчүнүн баракчалары — документке тиркей алган далил эмес. Далил дегенибиз — сертификат номери, модулдун аты, ырасталган версия жана ага тиркелген иштөө шарттары, алар сиз жайгаштырган курулушка дал келиши керек. NIST CMVP FAQ өнүмдүн шайкештикке үмүт кылышы менен ырасталган модулдун ортосундагы айырманы ачык айтат. Төмөнкү төрт кадамды ирети менен аткарып, жазууну жайгаштыруу менен бирге сактаңыз.

1-кадам: сертификат номерин алыңыз, белгини эмес

Сиз иштетмек болгон өнүмдүн ичиндеги криптографиялык модулду камтыган CMVP сертификат номерин өндүрүүчүдөн сураңыз. Сертификат номери — так, текшерүүгө боло турган объект, ал эми белги — маркетинг. Эгер жооп модулдун ордуна алгоритмди сүрөттөсө, анда ал башка суроого жооп берген. Белгинин PDFин кабыл алуунун ордуна номерди дагы бир жолу сурап көрүңүз. Номердин артындагы жазуу — аудитор ээрчий алган нерсе.

Андан кийин ошол номерди расмий ырасталган модулдар издөөсүнөн таап, жазууну анын кыскача баяндамасынын ордуна толук окуңуз. Жазууда өндүрүүчү, модуль, ырасталган версия жана статус көрсөтүлүп, модулдун кантип иштеши керектигин сүрөттөгөн коопсуздук саясаты документине шилтеме берилет.

Ошол беш талааны жазып алыңыз, анткени кийинки кадам аларды курулуш менен салыштырат. Электрондук таблицанын бир тилкеси жетиштүү.

2-кадам: модулдун версиясын курулушка дал келтириңиз

VPN кардар версиясы менен курулушка киргизилген модулдун версиясы сейрек бирдей номерге ээ болот жана бул кадимки көрүнүш. Маанилүүсү — курулушуңуздун ичиндеги модулдун версиясы ырасталган жазууда барбы. Жаңыртуу өнүмдүн атын өзгөртпөстөн модулду өзгөртүшү мүмкүн, бул жайгаштырууну байкатпай ырасталган конфигурациядан сырткары чыгарат.

Кайсы компонент модулду колдонорун жана колдоого алынган конфигурацияда бекитилген режим кантип тандаларын сураңыз. Бекитилбеген режимде иштей алган курулуш бекитилген режимге конфигурацияланган курулуш менен бирдей далил эмес.

Жергиликтүү курулуштан окуңуз, ошондо салыштыруу жүктөө барагынын ордуна так артефактты колдонот. Төмөнкү буйруктар так ушунү чыгарат.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Модуль сертификаттан башка версияны билдирсе, билдирүү жылган жана бирөө кол койгонго чейин жазууну жаңыртуу керек.

3-кадам: иштөө шарттарын окуңуз

Сертификат ырастоо камтыган чөйрөнү сүрөттөгөн шарттарды алып жүрөт. Ал шарттар платформаны, конфигурацияны, уруксат берилген ачкыч өлчөмдөрүн жана чектелиши керек болгон кызматтарды атай алат. Аларды этибарга албаган кадимки орнотуу — бинардык бирдей болсо да, ырасталган чектен сырткары жайгаштыруу. Ошондуктан коопсуздук саясаты документи сертификат номериндей эле маанилүү.

Өндүрүүчүнүн көрсөтмөсүн сертификаттын жанында кармаңыз, анткени ал кайсы жөндөөлөр бекитилген режимди тандаарын жана кайсылары өнүмдү андан сырткары чыгарарын түшүндүрөт.

Эгер шарттарды чөйрөңүздө аткаруу мүмкүн болбосо, чыныгы бүтүм — бул жайгаштыруу ырасталган конфигурациядан сырткары. Аткаруу мүмкүн болбогон шартты атоо бул бүтүмдү команда оңдой алган же кабыл ала турган нерсеге айландырат.

4-кадам: бүгүнкү статусту ырастаңыз

CMVP жазуусу статусту алып жүрөт жана статус туруктуу эмес. NIST FAQ 2026-жылы FIPS 140-2ден өтүү күндөрүн сүрөттөйт, андан кийин активдүү тизмеде FIPS 140-3 ырастоолору гана калат. Сатып алуу бекитилген учурда активдүү болгон сертификат бүгүн тарыхый болушу мүмкүн.

Тарыхый жана кайтарылып алынган — ар башка абалдар жана ар биринин сатып алуу үчүн өз мааниси бар. Долбоордун папкасындагы скриншоттун ордуна реалдуу жазууну текшерип, текшерген күнүңүздү жазып коюңуз.

Андан кийин комплаенс же сатып алуу ээсинен алардын талабы кайсы статусту кабыл аларын сураңыз, анткени бул техникалык тыянак эмес, саясий чечим. Жоопту күнү менен жазып коюңуз.

Жазууну жайгаштыруу менен салыштырып текшериңиз

Чогулган төрт маанини салыштырыңыз: сертификат номери, курулуштан алынган модулдун версиясы, күчүндө болгон иштөө шарттары жана учурдагы статус. Ар кандай дал келбестик — табылган кемчилик, ал слайдда эмес, жайгаштыруу жазуусунда болушу керек.

Далилди курулуш менен бирге сактаңыз, күнү менен текшерген адамды кошуп. Ар бир чыгарылышка бир папка жетиштүү.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Билдирүүнү да өз чегинин ичинде кармаңыз. Модулду ырастоо VPNдин протокол иштетүүсү, авторизация чечимдери же журнал жүргүзүү саясаты тууралуу эч нерсе айтпайды. Бул бир аныкталган криптографиялык компонент тууралуу так далил, аны өнүмдүн балы катары кароо — комплаенс файлынын эч ким жайгаштырбаган нерсени сүрөттөшүнүн жолу.