ГОСТ-криптография в НАЙС.ОС CLOUD: единый центр документации¶
ГОСТ из коробки — одна из ключевых особенностей НАЙС.ОС. Здесь находится единый канонический справочник российских криптографических алгоритмов, режимов, параметров, OID, RFC, требований к ключам, реализаций в ядре и прикладных протоколов. Общее устройство алгоритма описывается только один раз — в разделе «Алгоритмы»; остальные руководства содержат практическую настройку соответствующей подсистемы.
Алгоритм ≠ протокол ≠ сертификат СКЗИ
Публикация RFC, наличие алгоритма в RPM, положительный функциональный тест и регуляторная сертификация — независимые уровни. Для каждой возможности разделяйте стандарт и фактически подтверждённый сценарий на установленной версии НАЙС.ОС.
Выберите маршрут¶
| Цель | Куда перейти |
|---|---|
| Понять криптографию и сравнить алгоритмы | Алгоритмы: 27 отдельных руководств |
| Изучить ГОСТ, стандарты и протокольные профили | Общий справочник стандартов · Каталог RFC |
| Узнать, что реально работает в НАЙС.ОС | Матрица реализации и испытаний |
| Проверить безопасность выбора режима и параметров | Криптографическая безопасность |
| Узнать термины, схемы и различия | Словарь криптографических механизмов |
| ГОСТ в ядре Linux и Crypto API | Ядро: встроенные алгоритмы, AF_ALG, подписи модулей |
| Пользовательские ключи, подписи, сертификаты | OpenSSL и gost-engine |
| Серверный ГОСТ IKEv2/ESP | strongSwan из системного RPM |
| VPN на OpenVPN | OpenVPN с ГОСТ |
| ГОСТ DNSSEC | systemd-resolved и RFC 9558 |
| CMS, GnuPG, libksba и КриптоПро | Электронная подпись и совместимость |
| TLS, GnuTLS, Nginx | ГОСТ TLS и безопасность приложений |
| ГОСТ на диске | dm-crypt/LUKS |
| Собственный УЦ, доверие, CRL | PKI и ключи |
| Пройти практическую лабораторию | Практикум ГОСТ |
| Проверить саму систему | Диагностика ГОСТ |
Что такое ГОСТ-шифрование¶
В общем выражении «ГОСТ» объединены несколько разных классов механизмов: цифровые подписи ГОСТ Р 34.10-2012, хэши ГОСТ Р 34.11-2012, блочные шифры ГОСТ Р 34.12-2015, режимы по ГОСТ Р 34.13-2015, MGM/ACPKM, MAC и алгоритмы выработки ключей. Нельзя заменять ими друг друга. Каждому алгоритму выделена собственная статья, где указаны классы, параметры, ограничения, стандарт и связь с реализациями.
Что поставляется с НАЙС.ОС¶
- Linux Crypto API содержит встроенные ГОСТ-примитивы, а не обязательно все возможные протоколы.
- OpenSSL и gost-engine предоставляют ГОСТ для ключей, подписей, X.509, хэшей и приложений, настроенных на поддержку соответствующего механизма.
- strongSwan 6.1.0 из системного RPM на испытанной НАЙС.ОС 5.2 подтвердил ГОСТ IKEv2/X.509, Кузнечик-MGM-KTREE ESP, local/HTTPS CRL, строгую проверку отзыва и отказ при недоступном источнике CRL.
- Системные интеграции используют ГОСТ в CMS, DNSSEC, OpenVPN, дисках и других сценариях; точный статус по каждому продукту указан отдельно.
Нельзя утверждать, что каждый стандарт ГОСТ доступен в каждом приложении. Смотрите фактическую матрицу, проверяйте установленный RPM и журналы тестов.
Первичная проверка¶
cat /etc/os-release
uname -r
rpm -q openssl openssl-gost-engine strongswan 2>/dev/null || true
openssl version -a
openssl engine -t -c gost
openssl list -digest-algorithms | grep -Ei 'gost|streebog' || true
grep -Ei 'gost|magma|kuznyechik|streebog' /proc/crypto | head -n 30
Это инвентаризация, не испытание полноты криптографии и не юридический сертификат.
Правило для авторов¶
Один источник определения алгоритма: cloud/security/gost/algorithms/<имя>.md. В разделах Crypto API, OpenSSL, IKEv2, TLS, OpenVPN, CMS и хранилищ оставляем только настройку и результаты реальных проверок. Не переносите команды сборочной среды в пользовательскую документацию установленного RPM; не переносите общие темы ядра Linux в ГОСТ-криптографию.
Справочник алгоритмов · Каталог RFC · Архитектура · Технические ограничения
ГОСТ CMS: единая теория сообщений и сертификатов¶
Для электронных подписей, шифрованных документов, S/MIME и совместимости с другими программами используйте новый путеводитель по ГОСТ CMS. Он связывает алгоритмы, RFC, актуальные российские рекомендации CMS, OpenSSL, GPGSM и libksba.