Матрица подтверждённой совместимости — 24.10.2026¶
Матрица составлена по фактическим протоколам терминала, полученным при испытаниях НАЙС.ОС и КриптоПро 24 октября 2026 года. Подтверждено означает, что зафиксированы успешная команда и существенные критерии результата. Планируется не означает дефект и не даёт права заявлять поддержку без проверки.
Состав испытательного стенда¶
| Компонент | Испытанная конфигурация |
|---|---|
| КриптоПро | CSP / CryptCP 5.0, macOS 12.7.6, Intel x86_64 |
| НАЙС.ОС | хост niceos-gost, архитектура x86_64 |
gpgsm |
2.4.8.1-gost (RPM gnupg-2.4.8-8.niceosc5) |
libksba |
1.7.0-5.niceosc5 |
libgcrypt |
1.11.1-1.niceosc5 |
| OpenSSL | 3.5.6, доступный gost Engine |
| Сертификат КриптоПро | реальный ГОСТ Р 34.10-2012/256, выдан российским УЦ; персональные поля удалены |
| Сертификаты лаборатории | отдельные короткоживущие самоподписанные ГОСТ-2012/256 |
Номер r4/r12 взят из исходных патчей, представленных для анализа. Версии установленных RPM и строка GPGSM доказывают наличие сборок НАЙС.ОС, но не побайтовое соответствие бинарного RPM конкретному приложенному патчу. Для этого требуется сверка SRPM и воспроизводимой сборки.
Подписи, сертификаты, закрытые ключи¶
| ID | Испытание | Наблюдаемый результат | Статус |
|---|---|---|---|
| C-01 | DER-сертификат КриптоПро → импорт GPGSM | обработано: 1, импортировано: 1 |
Подтверждено |
| S-01 | Detached CMS: КриптоПро → GPGSM | GOODSIG, VALIDSIG |
Подтверждено |
| S-02 | Подмена исходного файла при проверке GPGSM | BADSIG, код 2 |
Подтверждено |
| S-03 | Обычная проверка доверия в GPGSM | GOODSIG, VALIDSIG, TRUST_FULLY, код 0 |
Подтверждено в данной среде |
| S-04 | Detached CMS: GPGSM → CryptCP macOS | «Подпись проверена», код 0 | Подтверждено |
| S-05 | Подмена исходного файла при проверке CryptCP | «Неправильная подпись», ненулевой код | Подтверждено |
| K-01 | OpenSSL генерирует ГОСТ-2012/256 XA |
сертификат содержит ГОСТ-2012, Key Agreement | Подтверждено |
| K-02 | OpenSSL создаёт P12 с ГОСТ-ключом, AES/SHA-256 защита | файл P12 создан | Подтверждено |
| K-03 | GPGSM импортирует закрытый ГОСТ-ключ из P12 | импортировано секретных ключей: 1 |
Подтверждено |
Для S-04 использовался одноразовый самоподписанный CA:TRUE с настройкой локального доверия и параметром -nochain на стороне КриптоПро. Поэтому не проверялась независимая полноценная цепочка доверия из промышленного УЦ в обратном направлении. Проверена именно математическая совместимость.
CMS EnvelopedData и другие форматы¶
| ID | Испытание | Результат | Статус |
|---|---|---|---|
| E-01 | GPGSM → GPGSM, --cipher-algo GOST28147 |
encrypted data created; decrypt код 0; cmp успешен; SHA-256 совпал |
Подтверждено |
| E-02 | КриптоПро → GPGSM, ГОСТ EnvelopedData | Не запускалось | Планируется |
| E-03 | GPGSM → КриптоПро, ГОСТ EnvelopedData | Не запускалось | Планируется |
| E-04 | Повреждение transport MAC/UKM, неверный ключ | Не выполнялось | Планируется |
| E-05 | Многоадресатный CMS и разные поколения ГОСТ-ключей | Не выполнялось | Планируется |
| P-01 | Защищённый ГОСТ-PFX по RFC 9548 | Не выполнялось | Планируется |
| P-02 | Реальная совместимость ГОСТ-2012/512 | Не выполнялось | Планируется |
| P-03 | Ключи Рутокен через PKCS#11 в НАЙС.ОС | Не выполнялось | Планируется |
| T-01 | Сведения об отзыве при чистом кэше Dirmngr | Не выполнялось | Планируется |
Что означает E-01¶
Для файла plain.txt и результата decrypted.txt на НАЙС.ОС наблюдался одинаковый SHA-256:
Сообщение было нейтральным лабораторным текстом. Алгоритм содержимого явно задан GOST28147, а ключ получателя — ГОСТ-2012/256. Поэтому локальный цикл реально подтверждён, но это не доказательство того, что CryptCP сможет прочитать именно такой конверт. Для этого требуется E-03.
Важные оговорки¶
TRUST_FULLYполучен после настройки доверия и работы с CRL. Начальная ошибкаСинтаксическая ошибка в URIпозднее перестала воспроизводиться; корневая причина неизвестна.- Загрузка DER CRL ФНС и вывод
nextUpdateдоказывают доступность файла в момент испытания, но не заменяют отдельную проверку его электронной подписи и статуса конкретного сертификата. - Команда
--always-trustиспользовалась только при шифровании на самоподписанный лабораторный сертификат. Это не производственная настройка. - Весь обмен между НАЙС.ОС и CryptCP по подписи проверен только на конкретном профиле ГОСТ-2012/256 и «Стрибог»-256. Другие алгоритмы и форматы должны проходить отдельные испытания.
Полная методика фиксации испытаний приведена в протоколе. Машинное представление матрицы хранится в docs/assets/data/gost-cms-interop-r20.json внутри репозитория документации.