Возможности ГОСТ-криптографии в НАЙС.ОС¶
Определения алгоритмов, RFC и ограничения: единый справочник. Раздел ниже описывает конкретную подсистему НАЙС.ОС.
ГОСТ в НАЙС.ОС используется через системную библиотеку OpenSSL и инструменты администрирования. Сначала определите задачу и выберите руководство.
| Задача | Что применяется | Где описано |
|---|---|---|
| Создать закрытый и открытый ключ | ГОСТ Р 34.10, genpkey, pkey |
Ключи |
| Подписать файл и проверить подпись | dgst -sign/-verify, Стрибог |
Подпись |
| Создать CSR и X.509 | req, x509 |
PKI |
| Настроить SAN/EKU/KeyUsage | Расширения X.509 | Профили |
| Обменяться сертификатом и ключом | PKCS#12/PFX | PFX |
| Импортировать контейнер КриптоПро | Provider и PKCS#12 | КриптоПро |
| Хэшировать и вычислять MAC | Стрибог, HMAC, OMAC | Хэши |
| Шифровать данные | Кузнечик, Магма, режимы | Шифрование |
| Настроить защищённый ГОСТ IPsec с strongSwan | IKEv2, PSK/X.509, Кузнечик MGM, CRL, HTTPS | IKEv2/IPsec |
| Проверить TLS через OpenSSL | s_client/s_server |
TLS |
| Проверить ГОСТ-TLS через GnuTLS | gnutls-cli |
GnuTLS |
| Разобрать сертификат ГОСТ / CMS | libksba, libgcrypt, gpgsm |
libksba |
| Встроить криптографию в приложение | OpenSSL EVP | Разработчикам |
| Проверить и применить российские доверенные УЦ | ca-certificates-russian-ca, trust, update-ca-trust |
Доверие |
| Подписать документ в GnuPG | GnuPG, gpg, Стрибог |
OpenPGP |
| Проверить документ CMS | gpgsm, libksba, libgcrypt |
GPGSM |
| Работать с аппаратным ГОСТ-ключом | PKCS#11, модуль токена, OpenSSL Provider | Токены |
| Настроить HTTPS/mTLS | Nginx, OpenSSL, X.509, CRL, PKCS#11 | Nginx |
| Обнаружить сбой | Проверка Crypto API, OID и PFX | Диагностика |
Проверка рабочего места¶
openssl version -a
openssl engine -t -c gost
openssl list -providers
openssl list -digest-algorithms | grep -i gost
Как развивается поддержка¶
Библиотеки OpenSSL и gost-engine обновляются вместе с криптографическим стеком НАЙС.ОС. При обновлении могут появляться дополнительные механизмы обработки контейнеров, шифров и совместимости с приложениями. После обновления рекомендуется выполнять контрольные тесты, особенно для сертификатов, CMS и PFX.
NSS и доверенные сертификаты¶
В НАЙС.ОС NSS не реализует ГОСТ-криптографию. Системные доверенные российские сертификаты можно устанавливать отдельно от ГОСТ-алгоритмов; поддержка доверия не означает поддержку ГОСТ-TLS в приложении на NSS.