Чем GnuPG в НАЙС.ОС отличается от стандартной сборки¶
В обычной экосистеме GnuPG существуют gpg для OpenPGP, gpgsm для X.509/CMS, gpg-agent, dirmngr и пакетная библиотека libksba. Само наличие этих инструментов не гарантирует, что конкретная сборка способна создавать ГОСТ-подписи, импортировать российский закрытый ключ или расшифровать зашифрованный CMS документ.
НАЙС.ОС применяет накопительный патч NiceSOFT r12 поверх GnuPG 2.4.8, совместно с адаптированной libksba r4 и поддержкой ГОСТ в libgcrypt. Различия относятся не к интерфейсу команд в целом, а к допустимым российским профилям и взаимодействию компонентов.
| Что делает пользователь | Обычная сборка GnuPG | Вариант НАЙС.ОС r12 | Степень подтверждения |
|---|---|---|---|
| Открывает иностранные X.509/CMS | Поддерживает стандартные RSA/ECC-профили | Те же задачи, плюс предусмотрены российские алгоритмы/OID | Реальное чтение ГОСТ-2012 сертификата проверено |
| Проверяет CMS-подпись с ГОСТ Р 34.10-2012 | Не следует считать поддерживаемым без отдельной адаптации стека | Совместный путь libksba → gpgsm → libgcrypt | Реальный КриптоПро → НАЙС.ОС проверен |
| Показывает ГОСТ-кривые | Зависит от версии и сборки, прямое совпадение имени кривой и OID не гарантируется | В r12 добавлены профили ГОСТ 2001/2012; прежнее имя CryptoPro-A может отображаться и для математически эквивалентной кривой | Реальный сертификат показан корректно, но название требует пояснения |
| Создаёт/читает ГОСТ CMS EnvelopedData | Нельзя считать доступным только из факта установки gpgsm |
В r11/r12 добавлен нативный legacy KTRI + GOST28147 транспорт с проверкой ключевой имитовставки | В исходниках и автоматических тестах; на вашей машине в обе стороны ещё не выполнено |
| Импортирует P12 с ГОСТ-ключом | Поддерживает PKCS#12 как формат, но специфические ключи/алгоритмы зависят от сборки | Предусмотрено чтение ГОСТ-материала и сохранение связанных идентификаторов | Ваш AES-защищённый P12 с ГОСТ-ключом импортирован |
| Защищает PFX современными ГОСТ-режимами | Не является штатной гарантией GnuPG 2.4.8 | В r12 предусмотрены magma/kuznyechik-ctr-acpkm и -omac, специализированная защита целостности |
По коду и тестам патча; пользовательский стенд ещё не испытывался |
| Работает с российскими УЦ/CRL | Нужны сертификаты, доверие и корректные криптографические профили | В r12 дополнена проверка ГОСТ-подписей CRL/OCSP | Один реальный случай завершился штатно; полный цикл УЦ ещё не квалифицирован |
| Запускает ГОСТ OpenPGP | Не общий стандарт межвендорной совместимости | В r12 есть пользовательские механизмы генерации, подписи и ECDH | Частный формат, совместимость с обычным gpg иных поставщиков не заявлена |
Почему потребовалось несколько библиотек¶
libksba разбирает сертификат и ASN.1/CMS; не заменяет криптографический движок. libgcrypt математически подписывает, вычисляет хэши и согласует ключи; сама по себе не составляет CMS. GPGSM связывает операции вместе; agent хранит закрытые ключи; dirmngr проверяет статус сертификата. Отсюда возможна ситуация: сертификат импортируется, подпись проверяется, но зашифрованный документ не расшифровывается: это не одно и то же испытание.
Российские алгоритмы, встречающиеся в данном проекте¶
- ГОСТ Р 34.10-2001 — исторический профиль, нужен для чтения архивов и совместимости.
- ГОСТ Р 34.10-2012/256 и /512 — современные профили открытого ключа.
- ГОСТ Р 34.11-94 — старый хэш; «Стрибог»-256 и -512 — семейство ГОСТ Р 34.11-2012.
- ГОСТ 28147-89 — используемый данным нативным CMS-профилем шифр содержимого и транспорта ключа.
- «Магма» и «Кузнечик» — современные блочные шифры, применяемые в отдельных режимах, включая защиту PFX; это не свидетельство поддержки modern KARI CMS внутри r12.
Что патч НЕ доказывает¶
Не следует писать, будто НАЙС.ОС уже полностью заменяет КриптоПро CSP, обеспечивает создание квалифицированной подписи с соответствующим статусом, гарантирует аппаратный доступ к любому токену, реализует весь CAdES/XAdES/PAdES или умеет любые EnvelopedData с modern KExp15/KARI. Документация относит такие вопросы к отдельным испытаниям и, где требуется, к правовой оценке или сертификации.
Обновление старых рабочих мест¶
Если организация хранит ГОСТ-документы, проводите миграцию поэтапно: сначала импорт открытых сертификатов и тестирование проверок; затем отдельные лабораторные секретные ключи и PKCS#12; затем EnvelopedData в обоих направлениях и профили ключевого транспорта. Токены, реальные КЭП и доверенные корни вовлекаются только после отдельного согласования и регрессионных испытаний.