Перейти к содержанию

ГОСТ CMS: лаборатория совместимости НАЙС.ОС и КриптоПро

Актуализация: 24 октября 2026 года, выпуск R20. Это практический раздел о проверяемом обмене сертификатами, подписанными и зашифрованными документами между НАЙС.ОС и КриптоПро CSP 5.0 для macOS. Материал адресован системным администраторам, сотрудникам ИБ, инженерам внедрения и опытным пользователям. Он не является инструкцией по разработке криптографических алгоритмов.

Итог лабораторных испытаний. Подпись, созданная КриптоПро, проверена в НАЙС.ОС. Подпись, созданная GPGSM НАЙС.ОС, проверена КриптоПро. Изменённые документы отвергаются обеими системами. Нативное шифрование и расшифрование ГОСТ CMS внутри НАЙС.ОС также прошли побайтовую проверку. Обмен зашифрованными CMS между разными системами пока не испытан в обе стороны.

Зачем нужен этот раздел

Приём российского сертификата или сообщение «алгоритм ГОСТ поддерживается» ещё не доказывают совместимости. Пользователю нужны результаты: открывается ли файл .sgn, принимается ли подпись получателем, расшифровывается ли .p7e, как найти причину отказа, как отличить ошибку подписи от недоверенного УЦ и не потерять закрытый ключ.

В НАЙС.ОС задействованы собственные расширения libksba NiceSOFT r4 и GnuPG NiceSOFT r12, а также libgcrypt и OpenSSL с ГОСТ Engine. КриптоПро применяется на отдельной macOS, выступая независимым участником проверки. Отдельные версии и выполненные операции перечислены в матрице доказательств.

Навигация по задачам

Задача Руководство
Установить, что именно проверено Матрица совместимости
Подготовить безопасный стенд без рабочих КЭП Стенд и изоляция ключей
Создать ГОСТ-сертификат с ключом соглашения Тестовый ГОСТ-сертификат
Перенести лабораторный ключ в GPGSM Импорт PKCS#12
Проверить подпись из КриптоПро КриптоПро → НАЙС.ОС
Проверить подпись из НАЙС.ОС НАЙС.ОС → КриптоПро
Локально шифровать и расшифровывать файл ГОСТ CMS в GPGSM
Проверить шифрование между системами Два направления EnvelopedData
Разобраться в OID и структуре контейнера Форматы и криптографические профили
Настроить доверие и обработку отзывов Цепочка сертификатов и CRL
Разобрать ошибку и безопасно собрать журнал Диагностика
Оформить доказательство для предприятия Протокол испытаний
Вести испытания при обновлении RPM Эксплуатация и регрессия

Разница между ГОСТ и доверием

Криптографическая проверка отвечает на вопрос: «Создана ли эта подпись соответствующим ключом для этих данных?». Проверка доверия отвечает на другие вопросы: «Кто выдал сертификат?», «Не истёк ли он?», «Не отозван ли?», «Позволяет ли политика использовать его для операции?». Строки GOODSIG и VALIDSIG полезны, но сами по себе ещё не означают выполнение всех требований юридически значимого документооборота.

CMS SignedData создаёт или проверяет подпись. CMS EnvelopedData шифрует содержимое на сертификат получателя. Поддержка одной операции не подтверждает другую. В кратком руководстве — возможности расширенного GnuPG, а в этом разделе — результаты исполнения на реальной системе.

Правила безопасности

  1. Используйте отдельные тестовые сертификаты; рабочие ключи КЭП и PIN-коды Рутокена не передавайте и не импортируйте в лабораторные машины.
  2. Для передачи партнёру нужны только открытые сертификаты и искусственные файлы. Закрытые ключи, P12 с закрытыми ключами и GNUPGHOME не включают в доказательные архивы.
  3. Отключение CRL, политик или доверия допустимо только для изолированного исследования самоподписанных тестовых сертификатов с отдельной фиксацией этого факта.
  4. CMS-шифрование без отдельной проверки подлинности не следует считать электронно подписанным документом.
  5. В публичные отчёты не помещают ФИО, адреса, реальные серийные номера рабочих сертификатов или вывод gpgsm с личными данными.

Первоисточники

Материалы описывают фактические возможности испытанных сборок, а не утверждают наличие сертификации ФСБ/ФСТЭК или полную совместимость со всеми продуктами КриптоПро.