Поставка ГОСТ внутри пакета ядра¶

ГОСТ включён в бинарный образ ядра НАЙС.ОС (vmlinux). Все предусмотренные криптографические реализации поставляются в составе ядра, без установки дополнительного RPM с криптографическими модулями. Обновление встроенной реализации выполняется вместе с обновлением ядра и вступает в силу после загрузки новой версии.

Документ о составе ядра¶

uname -r
less "/boot/KERNEL_GOST_README-$(uname -r).txt"
ls -l /boot/KERNEL_GOST_README
rpm -q linux

Для каждого ядра поставляется отдельный текстовый файл со списком алгоритмов, разъяснениями и ссылкой на документацию.

Конфигурация¶

KVER=$(uname -r)
grep -E '^CONFIG_CRYPTO_(NICEOS_GOST|STREEBOG|ECRDSA)' "/boot/config-$KVER"

В новой сборке параметры имеют значения:

CONFIG_CRYPTO_NICEOS_GOST=y
CONFIG_CRYPTO_NICEOS_GOST_28147=y
CONFIG_CRYPTO_NICEOS_GOST_HASH94=y
CONFIG_CRYPTO_NICEOS_GOST_MAGMA=y
CONFIG_CRYPTO_NICEOS_GOST_KUZNYECHIK=y
CONFIG_CRYPTO_STREEBOG=y
CONFIG_CRYPTO_ECRDSA=y

=y означает включение в ядро, а =m обозначает отдельный модуль. Для встроенного ГОСТ состояние проверяют через /boot/config-$(uname -r), /proc/crypto и AF_ALG. Утилиты для просмотра и загрузки внешних модулей для этих проверок не используются.

Обновление со старой поставки¶

На системах, обновляемых со старой редакции ядра, могут оставаться файлы предыдущей установки. Они не относятся к текущему встроенному механизму. Сохраняйте прежний загрузочный образ до проверки нового ядра и ранее созданных LUKS2-томов; возможность отката зависит от исправности полной старой загрузочной цепочки.

Проверка подписей подключаемых модулей¶

Встроенные алгоритмы ГОСТ и подписи загружаемых драйверов — разные механизмы. Что дают подписи модулей и как проверить их в НАЙС.ОС.

Проверка после загрузки¶

uname -r
grep -E '^CONFIG_CRYPTO_NICEOS_GOST' "/boot/config-$(uname -r)"
cat /proc/crypto | less

Встроенная реализация kuznyechik имеет в блоке реестра module : kernel. Отсутствие соответствующего .ko — ожидаемое состояние.