ГОСТ для dm-crypt: встроенный Кузнечик¶

В НАЙС.ОС dm-crypt использует встроенный криптографический алгоритм xts(kuznyechik) для прозрачного шифрования блочных устройств. Тома управляются программой cryptsetup, а метаданные, слоты ключей и пароли хранятся в формате LUKS2.

Файлы и каталоги
   ↓
Файловая система ext4 / XFS
   ↓
/dev/mapper/имя-тома
   ↓
dm-crypt (ядро Linux)
   ↓
xts(kuznyechik) — встроенный Crypto API
   ↓
Диск / раздел / файл-образ

Подтверждённый профиль НАЙС.ОС¶

format: LUKS2
cipher: kuznyechik-xts-plain64
keysize: 512 бит ключевого материала XTS

После открытия тома проверить параметры:

cryptsetup status niceos_gost_lab
cryptsetup luksDump /путь/к/LUKS-тому

Не путайте алгоритм содержимого (kuznyechik-xts-plain64) с алгоритмами защиты ключевого слота (которые в испытанной конфигурации использовали AES-XTS, Argon2id, SHA-256).

Почему теперь не нужны дополнительные модули ГОСТ¶

Шифр «Кузнечик» включён в ядро при компоновке. Для системного диска его не нужно переносить в initramfs. Однако в раннем окружении всё ещё нужны драйвер накопителя, device-mapper/dm-crypt, система открытия LUKS2 и поддержка ввода пароля.

Полная процедура создания тестового файла, шифрования физического накопителя, автоподключения, резервного копирования и проверки initramfs описана в разделе «Шифрование накопителей». Чтобы не вводить разные версии одной инструкции, все команды форматирования находятся именно там.