密码运算不是必须得在合规的密码产品中才行么？

那是因为密钥需要安全保护，公钥的运算不是必须在密码产品中
我理解涉及敏感信息的密码运算需要在合规的密码产品中，例如签名、加密、密钥生成等操作，也可以使用软件密码模块去做一些涉及敏感信息的操作，但是条件很苛刻，类似openssl之类的各个厂商的软件密码模块在通用操作系统这种可修改的运行环境下达到预期的安全等级是有很多前提条件的，具体要求可以看0028中的描述，越是不安全的运行环境，对于密码设备自身的安全要求就越高。
这是对的，不过现在39786对0028的实践还是有出入，高安全等级系统就得用高安全等级模块
0028把敏感安全参数SSP分为关键安全参数CSP(有机密性和完整性需求)和公开安全参数PSP(只有完整性需求)，两种参数保护不同，是否需要在密码产品内部运算，要求也不一样
从现实项目角度来说，要过密评，一般都有服务器密码机或者签名验签服务器等密码设备，服务器密码机和签名验签服务器都有签名验签的功能。
３级系统用了签名验签服务器（密码模块等级１级）进行身份鉴别，K怎么判定呢？
不依赖签名验签的服务，密改在实现上会遗漏很多细节内容，比如证书有效期验证、证书链验证，甚至签名的内容对不对都有可能有疏忽
堡垒机软件实现签名验证功能，通过长期使用且没有暴露出安全问题的第三方开源密码库实现（FAQ第５条给部分符合）？
验签，不是签名
实际项目中，可能提供的代码截图是OK的，但是实际执行的是令一套代码（没有验签、或者验签动作不完整）
有没有签名验签服务器 具备对称加密功能的呢
很多都有啊
所以，个人建议验签也要用合规的密码产品，对不不过的系统，无所谓，对于通过的系统，有密码产品提供验签功能
所以不要纠结这个事，就是要让密改单位用合规的密码产品实现
身份鉴别过程中的随机数的产生，也是同样的问题
就是要逼着密改单位用合规的密码产品实现
FAQ第三版，认可客户端软件实现的网络通信安全“单向身份鉴别”指标(但不是机密性和完整性)，基于公钥验签可以软件实现，需要注意公钥完整性。
建议参考那个回答