Перейти к содержанию

GCM-ACPKM — AEAD с обновлением ключей

Источник описания и статус реализации

Алгоритм, профиль стандарта и программная поддержка — три разных уровня. RFC Editor публикует многие описания ГОСТ как Informational / Independent Submission, а не как консенсусный стандарт IETF. Наличие RFC не свидетельствует о сертификации СКЗИ и не доказывает поддержку алгоритма каждым приложением НАЙС.ОС. Проверяйте установленную версию и подтверждённые испытания.

Назначение и параметры

Характеристика Значение
Класс Комбинированный режим AEAD
Размер блока / результата / профиль По блоку шифра
Ключевой материал Основной ключ и интервалы
Основной источник RFC 8645

Как устроен алгоритм и что он гарантирует

RFC 8645 описывает варианты аутентифицированного шифрования с ACPKM, включая GCM-ACPKM. Эти конструкции нельзя автоматически приравнивать к ГОСТ MGM из RFC 9058: математические правила формирования тега, nonce и обновления рабочего ключа разные.

Точный состав режима задаётся базовым шифром, правилами счётчика, периодом обновления ACPKM, длиной тега и ограничениями данных. Протоколы имеют собственные правила и не должны использовать произвольно собранный режим только потому, что базовые блоки доступны в криптобиблиотеке.

В НАЙС.ОС отдельная проверка именно GCM-ACPKM в установленном приложении не зафиксирована; эту страницу следует использовать как справочную, не как заявление о поддержке в каждом RPM.

Реализация в НАЙС.ОС: что подтверждено и что проверять

  • Первичный источник — RFC 8645.
  • Сравните с MGM: одинаковое слово «AEAD» не означает совместимости.
  • Отдельные контрольные векторы и интеграционные тесты обязательны перед включением в продукт.

Проверка и критерии приёмки

Перед эксплуатацией получите перечень реальных возможностей целевого пакета, а не доверяйте абстрактной таблице криптографии. Положительный тест должен соответствовать выбранному профилю, формату ключей, параметрам и протоколу; отрицательный тест должен демонстрировать отказ при неверном ключе, повреждённых входных данных или неверном теге (если соответствующая защита предусмотрена). Для сетевых профилей отдельно проверьте отказ аутентификации, границы ключевой ротации и предотвращение обхода туннеля.

Эксплуатация и совместимость