Жизненный цикл ГОСТ-ключей: выпуск, хранение, резервирование, отзыв¶
Как разграничить закрытый ключ, сертификат, транспортный ключ и ключ шифрования данных.
Документация ПО — НАЙС.ОС CLOUD. Это самостоятельная учебно-справочная статья. Команды приведены для изучения и диагностики; операции с ключами, дисками и действующими сервисами выполняют только после резервного копирования и проверки назначения.
Один термин «ключ» скрывает разные сущности¶
Закрытый ключ подписи подтверждает авторство, но не должен автоматически использоваться для транспортного шифрования. Сертификат содержит открытый ключ и сведения о назначении, но не содержит закрытый ключ. Ключ CEK защищает содержимое конкретного сообщения; KEK защищает сам CEK. UKM — входные данные для выработки/оборачивания ключей согласно протоколу, он не должен смешиваться с секретным ключом.
| Объект | Где допустимо хранить | Какие действия документировать |
|---|---|---|
| Закрытый ключ УЦ | Защищённое хранилище/HSM с ограниченным доступом | Создание, подпись, резервирование, уничтожение |
| Закрытый ключ пользователя | Токен или защищённый программный контейнер | Импорт, использование, блокировка, отзыв сертификата |
| CEK документа | Как определено CMS-контейнером и политикой приложения | Создание для сообщения, защита получателям |
| KEK/VKO материал | Только в предусмотренном протоколом контексте | Деривация, обёртка, сроки использования |
| Ключ LUKS2 | Управляется томом LUKS и защищён слотом | Запасной слот, backup заголовка, смена доступа |
Наиболее частые эксплуатационные ошибки¶
- Один и тот же закрытый ключ используется для подписи, аутентификации и шифрования вопреки назначению сертификата.
- Пароль от PFX помещён в командную строку, откуда попадает в историю оболочки и диагностику процессов.
- Единственная копия LUKS-заголовка хранится на том же зашифрованном диске.
- Смену сертификата ошибочно принимают за смену закрытого ключа.
- Подпись хранится отдельно от исходного документа, но не сохраняется точная байтовая версия подписанного файла.
Минимум эксплуатационных процедур¶
- Учёт идентификаторов и назначений ключей, владельцев и сроков.
- Разделение учебных и производственных ключей.
- Запланированная смена с проверкой восстановления.
- Контроль прав на каталог ключей и журналы доступа.
- Отзыв и публикация статуса сертификата после компрометации.
- Проверка времени подписи и доверия к источнику времени.
- Уничтожение всех копий утратившего силу закрытого ключа по принятой политике.
Важное для серверов НАЙС.ОС¶
Встроенная реализация ГОСТ в ядре отвечает за выполнение операций, но не управляет жизненным циклом закрытых ключей X.509/CMS и не заменяет PKI. LUKS2 также имеет собственное устройство ключевых слотов и парольных преобразований, поэтому «Кузнечик в ядре» не означает автоматического ГОСТ-профиля всего процесса хранения ключей.
Для работ с PKCS#11 отделяйте программный токен SoftHSM от аппаратного сертифицированного носителя. Установка OpenSC или p11-kit означает наличие инфраструктуры, но не факт поддержки ГОСТ выбранным токеном.