VPN'ning FIPS da'vosi ortidagi CMVP sertifikatini tekshiring

FIPS validatsiyadan o'tgan deb yozilgan sotuvchi sahifalari — hujjatga ilova qilish mumkin bo'lgan dalil emas. Dalil — bu sertifikat raqami, modul nomi, validatsiyadan o'tgan versiya va ularga biriktirilgan ish shartlari, va ular siz joylashtiradigan build bilan mos kelishi kerak. NIST CMVP FAQ moslikni da'vo qilayotgan mahsulot va validatsiyadan o'tgan modul o'rtasidagi farqni aniq aytadi. Quyidagi to'rt qadamni tartib bilan bajaring va yozuvni joylashtirish bilan birga saqlang.

1-qadam: sertifikat raqamini oling, belgini emas

Ishga tushirmoqchi bo'lgan mahsulotdagi kriptografik modulni qamrab oluvchi CMVP sertifikat raqamini sotuvchidan so'rang. Sertifikat raqami aniq, tekshirish mumkin bo'lgan obyekt, belgi esa marketingdir. Agar javob modul o'rniga algoritmni tasvirlasa, o'sha javob boshqa savolga javob bergan. Belgi PDFini qabul qilish o'rniga raqamni yana bir marta so'rang. Raqam ortidagi yozuv — auditor kuzata oladigan narsa.

So'ngra o'sha raqamni rasmiy validatsiyadan o'tgan modullar qidiruvidan toping va yozuvni uning qisqacha mazmuni emas, o'zini o'qing. Yozuv sotuvchi, modul, validatsiyadan o'tgan versiya va holatni nomlaydi hamda modul qanday ishlashi kerakligini tavsiflovchi xavfsizlik siyosati hujjatiga havola qiladi.

O'sha besh maydonni yozib qo'ying, chunki keyingi qadam ularni build bilan solishtiradi. Elektron jadvalning bitta ustuni yetarli.

2-qadam: modul versiyasini build bilan moslashtiring

VPN mijozi versiyasi va ichiga o'rnatilgan modul versiyasi kamdan-kam bir xil raqamga ega bo'ladi va bu normal. Muhimi — buildingiz ichidagi modul versiyasi validatsiyadan o'tgan yozuvda bor-yo'qligi. Yangilanish mahsulot nomini o'zgartirmasdan modulni o'zgartirishi mumkin, bu esa joylashtirishni jimgina validatsiyadan o'tgan konfiguratsiyadan tashqariga chiqaradi.

Qaysi komponent moduldan foydalanishini va qo'llab-quvvatlanadigan konfiguratsiyada tasdiqlangan rejim qanday tanlanishini so'rang. Tasdiqlanmagan rejimda ishlay oladigan build tasdiqlangan rejim uchun sozlangan build bilan bir xil dalil emas.

Mahalliy builddan o'qing, shunda solishtirish yuklab olish sahifasi emas, artefaktni ishlatadi. Quyidagi buyruqlar aynan shuni chiqaradi.

openssl version -a
openssl list -providers -verbose
cat /proc/sys/crypto/fips_enabled

Modul sertifikatdan boshqa versiyani xabar qilsa, da'vo siljigan va kimdir imzo qo'yishdan oldin yozuvni yangilash kerak.

3-qadam: ish shartlarini o'qing

Sertifikat validatsiya qamrab oladigan muhitni tavsiflovchi shartlarni olib yuradi. Bu shartlar platforma, konfiguratsiya, ruxsat etilgan kalit o'lchamlari va cheklanishi kerak bo'lgan xizmatlarni nomlashi mumkin. Ularni e'tiborsiz qoldiradigan oddiy o'rnatish, binar bir xil bo'lsa ham, validatsiyadan o'tgan chegaradan tashqaridagi joylashtirishdir. Shuning uchun xavfsizlik siyosati hujjati sertifikat raqami kabi muhim.

Sotuvchi yo'riqnomasini sertifikat yonida saqlang, chunki qaysi sozlamalar tasdiqlangan rejimni tanlashi va qaysilari mahsulotni undan tashqariga olib chiqishini u tushuntiradi.

Agar shartlarni muhitingizda bajarish mumkin bo'lmasa, halol bayonot shuki, bu joylashtirish validatsiyadan o'tgan konfiguratsiyadan tashqarida. Bajarib bo'lmaydigan shartni nomlash bu bayonotni jamoa tuzatishi yoki qabul qilishi mumkin bo'lgan narsaga aylantiradi.

4-qadam: bugungi holatni tasdiqlang

CMVP yozuvi holatga ega va holat doimiy emas. NIST FAQ 2026-yilda FIPS 140-2 o'tish sanalarini tavsiflaydi, shundan keyin faol ro'yxatda faqat FIPS 140-3 validatsiyalari qoladi. Xarid tasdiqlangan paytda faol bo'lgan sertifikat bugun tarixiy bo'lishi mumkin.

Tarixiy va bekor qilingan — turli holatlar va har birining xarid uchun o'z ma'nosi bor. Loyiha papkasidagi skrinshot emas, jonli yozuvni tekshiring va tekshirgan sanangizni qayd eting.

So'ngra muvofiqlik yoki xarid egasidan ularning talabi qaysi holatni qabul qilishini so'rang, chunki bu texnik topilma emas, siyosat qarori. Javobni sana bilan birga yozib qo'ying.

Yozuvni joylashtirish bilan solishtirib tekshiring

To'plangan to'rt qiymatni solishtiring: sertifikat raqami, builddan olingan modul versiyasi, amaldagi ish shartlari va joriy holat. Har qanday nomuvofiqlik — topilma, va topilma slaydda emas, joylashtirish yozuvida bo'lishi kerak.

Dalilni build bilan birga saqlang, tekshirilgan sana va shaxsni qo'shib. Har bir nashr uchun bitta katalog yetarli.

date -u +%FT%TZ
openssl version -a | head -3
cat /proc/sys/crypto/fips_enabled

Da'voni o'z chegarasi ichida ham saqlang. Modul validatsiyasi VPN protokolini qayta ishlash, uning avtorizatsiya qarorlari yoki jurnal yuritish siyosati haqida hech narsa demaydi. Bu bitta belgilangan kriptografik komponent haqida aniq dalil, va unga mahsulot bahosi sifatida qarash — muvofiqlik fayli hech kim joylashtirmagan narsani tasvirlay boshlashining yo'li.