Дерево диагностики ГОСТ: по симптому к конкретному слою¶
Быстрый способ отличить неправильный формат, недоступный алгоритм, отказ доверия и сбой протокола.
Документация ПО — НАЙС.ОС CLOUD. Это самостоятельная учебно-справочная статья. Команды приведены для изучения и диагностики; операции с ключами, дисками и действующими сервисами выполняют только после резервного копирования и проверки назначения.
Классифицируем ошибку до запуска исправлений¶
Не читается файл? Определите тип: PEM, DER, PFX, CMS, сертификат или ключ. Файл читается, но операция отсутствует? Проверьте реализацию алгоритма и загруженный криптопровайдер. Операция выполняется, но проверка не совпала? Посмотрите параметрический набор, сериализацию и точные входные байты. Подпись корректна, но приложение отвергает её? Проверьте цепочку, назначение ключа, статус и доверенное время. Сетевой туннель не устанавливается? Ищите фактически согласованный протокольный профиль и обе стороны переговоров.
Матрица симптомов¶
| Симптом | Скорее всего относится к | Первое безопасное действие |
|---|---|---|
unknown cipher |
User-space криптобиблиотека | openssl list -cipher-algorithms |
unknown digest |
Provider, список хэшей | openssl list -digest-algorithms |
asn1 encoding routines |
Формат файла | openssl asn1parse -inform DER |
unsupported public key algorithm |
OID/параметры/реализация | Просмотреть сертификат и OID |
certificate verify failed |
Цепочка/назначение/срок | openssl verify с заданными УЦ |
no proposal chosen |
IKEv2 | Сравнить transform IDs двух шлюзов |
Нет xts(kuznyechik) |
Kernel Crypto API | Kconfig и AF_ALG, затем журнал ядра |
| LUKS не открывается при загрузке | initramfs/драйвер/ключ | Проверить initramfs без замены рабочего образа |
Как не навредить¶
Не запускайте cryptsetup luksFormat на существующем томе для устранения ошибки пароля: эта операция уничтожит текущую структуру доступа. Не отключайте проверку сертификатов для «временного исправления» производственной PKI. Не пытайтесь добавить внешние ГОСТ-модули в новую сборку НАЙС.ОС со встроенным ГОСТ — сначала подтвердите текущую uname -r и Kconfig.
Обязательные данные для обращения в поддержку¶
Укажите точную команду, версию ПО, фрагмент ошибок без секретов, OID используемого алгоритма, тип контейнера, контрольную сумму публичной фикстуры и ожидаемый результат. Если затронуты две системы, нужны сведения о каждой стороне; односторонний журнал часто не позволяет определить, кто отклонил профиль.
После устранения ошибки¶
Повторите положительный тест на известном входе, негативный тест и сценарий повторного открытия/переподключения. Исправление, которое работает лишь до перезапуска службы или следующего обновления ядра, не считается завершённым эксплуатационным решением.
Первоисточники и дополнительное чтение¶
- RFC 9215 — ГОСТ-2012 в сертификатах и списках отзыва.
- RFC 5652 — базовая структура CMS и типы содержимого.
- RFC 9058 — режим MGM, приложение A с тестовыми векторами.
- RFC 9227 — ГОСТ-профиль ESP и IKEv2.
- Р 1323565.1.042-2022 — режим DEC для накопителей.