Перейти к содержанию

Практическая энциклопедия ГОСТ: от байтов до сетевого протокола

Навигационная карта расширенного справочника: изучение алгоритмов, представлений данных, работающих реализаций и воспроизводимые проверки.

Документация ПО — НАЙС.ОС CLOUD. Это самостоятельная учебно-справочная статья. Команды приведены для изучения и диагностики; операции с ключами, дисками и действующими сервисами выполняют только после резервного копирования и проверки назначения.

Зачем нужен этот справочник

Реализация российских криптографических алгоритмов охватывает несколько слоёв: математический алгоритм, режим его применения, кодирование в стандартизованный контейнер, согласование алгоритмов сетевым протоколом, хранение ключа и правила доверия. Успех на одном слое не переносится автоматически на соседний. Например, успешный xts(kuznyechik) в /proc/crypto ничего не говорит о поддержке ГОСТ-TLS в Nginx или о возможности проверить CMS-подпись, сформированную КриптоПро.

Пять уровней проверки

Уровень Ключевой вопрос Пример доказательства
Алгоритм Верно ли реализована операция? Совпадение с официальным тестовым вектором
Обёртка Верно ли закодированы поля? ASN.1 DER, OID, порядок байтов
Протокол Могут ли стороны согласовать профиль? IKEv2/TLS журнал согласования
Доверие Правилен ли сертификат и цепочка? X.509, CRL, OCSP, политика проверки
Эксплуатация Как происходит обновление и восстановление? Повторный запуск, смена ключа, резервные копии

Маршруты чтения

Разработчику библиотеки. Начать с OID, кодирования подписей, тестовых векторов, затем выполнить лабораторный стенд. Проверить негативные сценарии и отделить ошибки формата от ошибок математической операции.

Администратору сервера. Изучить аудит алгоритмов, PKI, хранение ключей, TLS и журнал испытаний. Для накопителей пользоваться отдельным полноценным руководством по LUKS2.

Разработчику российского программного продукта. Изучить матрицу совместимости, CMS, CryptoPro и OpenSSL, IKEv2/IPsec и правила статуса возможностей.

Специалисту по ЭП. Пройти сертификаты, OID и DER, CMS, проверку электронной подписи, PFX, отзыв и время.

Что относится к реализованной системе, а что — к теории

В НАЙС.ОС испытаны криптографические операции «Кузнечика» в ядре и работа LUKS2 с kuznyechik-xts-plain64 на предыдущей реализации. Исходный механизм встроенного ГОСТ (CONFIG_*=y) изучен отдельно; результаты стенда со старым пакетом нельзя автоматически использовать как свидетельство загрузки нового ядра. Работа алгоритмов OpenSSL Provider/Engine, поддержка GnuPG и наличие библиотек тоже не равны подтверждённой совместимости с конкретным CMS или TLS-профилем.

Документация отмечает уровень каждого результата: стандарт, наличие функции, воспроизведённый тест, межпрограммное испытание либо соответствие установленным требованиям. Для публикации заявлений о совместимости нужны все данные стенда.

Связь с основными разделами

Редакционный принцип

Не называйте набор «полностью ГОСТ», если у него нет данных о каждом криптографическом компоненте. Например, успешный LUKS2 содержит шифрование данных на «Кузнечике», но использует собственные функции генерации и хранения ключей; это нужно документировать по отдельности. Не перепечатывайте стандарты целиком: указывайте раздел документа и собственное объяснение.

Первоисточники и дополнительное чтение

  • RFC 7836 — HMAC, PRF, KDF, VKO и параметры кривых.
  • RFC 9215 — ГОСТ-2012 в сертификатах и списках отзыва.
  • RFC 5652 — базовая структура CMS и типы содержимого.
  • Каталог ТК26 — официальные публикации технического комитета.