GnuTLS: криптопрофили, совместимость и диагностика¶

GnuTLS выбирает алгоритмы из списка приоритетов — упорядоченного перечня разрешённых версий TLS, механизмов обмена, подписей, групп и шифров. Администратор задаёт допустимую политику, а клиент и сервер согласовывают общие параметры.

Состав криптопрофиля¶

Элемент	За что отвечает
`VERS-TLS1.2`	Версия протокола TLS
`SIGN-GOST-ALL`	Семейство подписей ГОСТ
`GROUP-GOST-ALL`	Группы кривых ГОСТ
`GOST`	Сокращение GnuTLS для набора согласованных ГОСТ-алгоритмов
`NONE`	Начать перечень с пустого списка (удобно для тестов)
`NORMAL`	Стандартный профиль разрешённых алгоритмов GnuTLS

ГОСТ-шифросюиты в GnuTLS относятся к профилям TLS 1.2. Новые версии TLS и отдельные механизмы подписи не следует автоматически считать взаимозаменяемыми — конкретная реализация должна поддерживать нужные согласованные параметры.

Посмотреть профили до изменения службы¶

gnutls-cli -l

gnutls-cli --list --priority 'NONE:+VERS-TLS1.2:+GOST'

Проверьте список криптонаборов, групп и алгоритмов подписей. Для рабочих серверов разрешайте ровно те профили, которые согласованы с контрагентом и политикой безопасности, не отключая обычные алгоритмы без необходимости.

Три уровня ошибок¶

Сертификат: клиент не доверяет УЦ, не совпадает имя или назначение.
Криптопрофиль: у сторон нет общей версии TLS, группы кривой, подписи или набора шифров.
Системная интеграция: приложение использует OpenSSL вместо GnuTLS, собственный набор приоритетов или внешнюю криптографическую библиотеку.

Разные ошибки требуют разных действий. Перегенерация ключа не исправляет несовпадение криптопрофиля; включение ГОСТ в OpenSSL не меняет настройки GnuTLS-приложения.

Проверка после изменений¶

После изменения параметров конкретной службы повторите проверку с клиента и из журналов приложения установите фактически согласованный набор. Для внешних подключений следите, чтобы тесты не раскрывали закрытые ключи или секреты в логах.

Почему при обновлении появляются новые варианты¶

Разработчики GnuTLS обновляют поддержку стандартов и криптографических примитивов. НАЙС.ОС обновляет системные компоненты, поэтому перечень доступных алгоритмов и возможностей может меняться. Для точного перечня всегда используется gnutls-cli -l работающей системы.

Документация upstream: Priority Strings, RFC 9189.