Матрица ГОСТ: стандарт → реализация → фактический тест¶
Статус относится к испытанным конфигурациям на 26 октября 2026 года, а не ко всем возможным версиям и продуктам. Основная платформа — НАЙС.ОС CLOUD 5.2; kernel 6.12.114-1.niceosc5.x86_64, system RPM strongswan-6.1.0-1.niceosc5, openssl-3.5.9, openssl-gost-engine-3.0.5.
| Примитив / протокол | Стандарт | Где искать в системе | Доказательство / ограничение |
|---|---|---|---|
| Кузнечик 128/256 | RFC 7801 | kuznyechik в Crypto API |
Регистрация ядром подтверждена; туннель с MGM-KTREE — PASS |
| Магма 64/256 | RFC 8891 | magma в Crypto API |
Регистрация подтверждена; отдельный IPsec-interop не пройден |
| Стрибог-256/512 | RFC 6986 | streebog256/512; OpenSSL engine |
На испытанной системе присутствуют; PRF-512 в IKEv2 PASS |
| ГОСТ Р 34.10-2012/512 | RFC 7091 | gost-engine, charon |
Двусторонняя X.509 GOST512 аутентификация PASS |
| ГОСТ Р 34.10-2012/256 | RFC 7091 | gost-engine | Генерация/подпись определяется пакетом; текущая IKE acceptance не с этим профилем |
| ГОСТ 28147 и ГОСТ94 | RFC 5830/5831 | Kernel Crypto API, OpenSSL | Наследуемые алгоритмы; применение в IKEv2 этой конфигурации не подтверждено |
| EC-RDSA в ядре | RFC 7091 | ecrdsa и штатная Crypto API |
Проверяйте тесты kernel, не равнозначно X.509 инфраструктуре |
| MGM-KTREE (Кузнечик) | RFC 9227/9385 | swanctl --list-sas |
IKE, CHILD, 30/30 двусторонний ICMP, rekey, fail-closed — PASS |
| X.509, подписанная ГОСТ CRL | RFC 9215, 5280 | системный swanctl |
Строгая CRL, реальный отзыв, новый handshake отказ — PASS |
| Загрузка ГОСТ CRL по HTTPS | RFC 5280/9215, HTTPS | плагин curl в charon |
fetching crl ..., проверка подписи, GET и IKE SA — PASS |
| Отказ HTTPS CRL источника | политика strict |
charon, firewall |
libcurl request failed [7], RULE_CRL_VALIDATION FAILED, SA нет, восстановление PASS |
| ГОСТ DNSSEC RFC 9558 | RFC 9558 | systemd-resolved/libgcrypt или OpenSSL | Сверять по отдельным актуальным данным DNSSEC, не переносить PASS IPsec |
| CMS и S/MIME | RFC 4490 и современные профили | libksba/GnuPG/OpenSSL | Межоперабельность подтверждать протоколами CMS, не смешивать с IPsec |
| XTS / dm-crypt | ГОСТ Р 34.13-2015 и XTS | cryptsetup, kernel |
Проверка дисков отдельной процедурой; не аутентифицированный режим |
| GCM-ACPKM, Magma-MGM-KTREE, OCSP online | RFC 8645/9227/6960 | зависит от пакета | Не заявлять PASS без отдельного испытания |
Уровни доказательств¶
- Реестр алгоритмов:
grep ... /proc/crypto,openssl list ...,swanctl --list-algs. - Вызов: локальные контрольные векторы и отрицательные тесты.
- Сквозной протокол: две VM, доказуемая аутентификация, пакеты и отказ при атаке/ошибке.
- Сертификация: юридически отдельная проверка статуса конкретного продукта и состава поставки.
Подробные инструкции: ГОСТ IKEv2, ядро, TLS, DNSSEC, состояние системы. Исторические журналы тестов относятся к внутренним материалам проекта и не должны попадать в пользовательскую документацию как инструкции из сборочных директорий.