DNSSEC и CMC: где заканчивается криптография и начинается протокол¶
Два самостоятельных направления расширения ГОСТ в инфраструктуре доверия.
Документация ПО — НАЙС.ОС CLOUD. Это самостоятельная учебно-справочная статья. Команды приведены для изучения и диагностики; операции с ключами, дисками и действующими сервисами выполняют только после резервного копирования и проверки назначения.
DNSSEC¶
DNSSEC создаёт цифровые подписи DNS-записей и проверяет цепочку от доверенного якоря до нужной зоны. ГОСТ-2012 описан для DNSSEC в RFC 9558, а устаревший ECC-GOST профиль выводится из применения RFC 9906. Эти документы касаются определённых алгоритмических идентификаторов и кодировок; наличие ГОСТ-подписи в OpenSSL не означает, что конкретные авторитетные и рекурсивные DNS-серверы могут создавать и проверять такие DNSSEC-записи.
Для практического стенда требуется проверка поддержки ГОСТ в сервере подписания зоны, DNSSEC-валидаторе и механизме генерации/публикации DS. Отдельно нужны тесты ротации KSK/ZSK, истечения RRSIG и недоверенной цепочки.
CMC¶
CMC — протокол управления сертификатами поверх CMS. В 2026 году опубликовано три взаимосвязанных документа: RFC 10002 (структуры), RFC 10003 (транспорт) и RFC 10004 (совместимость). Они определяют общие правила CMC, а не автоматическую поддержку ГОСТ-2012 в любом CMC-продукте.
Для ГОСТ-совместимости требуется согласованность CMS, сертификатов, алгоритмов подписи и возможных операций генерации и подтверждения владения ключом. Выбор транспорта и формата запросов — отдельная прикладная задача.
Что делать в НАЙС.ОС¶
| Проект | Базовые компоненты | Главный вопрос |
|---|---|---|
| ГОСТ DNSSEC | DNSSEC signer, DNS validator, криптобиблиотека | Поддерживается ли профиль RFC 9558 обеими сторонами? |
| ГОСТ CMC | PKI-клиент, УЦ/RA, CMS и криптобиблиотека | Совпадают ли структуры, аутентификация и профиль сертификатов? |
Не пытайтесь решить обе задачи единым патчем устаревший пакет внешних ГОСТ-модулей: этот пакет относится к устаревшей архитектуре внешних криптомодулей, а DNSSEC/CMC требует изменений в прикладных компонентах и протоколах.
Контрольные испытания DNSSEC¶
- Подписать пробную зону алгоритмом, идентификатор которого определён RFC 9558.
- Проверить полученный RRSIG независимым валидатором, который поддерживает профиль.
- Проверить корректное отклонение изменённой записи, неправильного DS и просроченного RRSIG.
- Проверить ротацию ключей без разрыва доверенной цепочки.
Контрольные испытания CMC¶
- Сформировать запрос на выпуск сертификата и корректно закодировать подтверждение владения ключом.
- Проверить транспорт по RFC 10003 и ответы об ошибках.
- Проверить цепочку, расширения, используемые OID, подтверждение выдачи и повторные запросы.
- Отдельно испытать ГОСТ-криптографию на уровне CMS и X.509.