Вопросы и ошибки при работе с ГОСТ¶

ГОСТ в НАЙС.ОС нужно устанавливать отдельно?¶

Нет. ГОСТ включён в системную криптографическую платформу НАЙС.ОС CLOUD. Для проверки используйте openssl engine -t -c gost, а затем тест подписи. Дополнительная ручная сборка модуля для обычного применения не требуется.

Как создать ГОСТ-ключ 2012/256?¶

Используйте openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:TCA -out file.pem, но сначала подтвердите требования к paramset у будущего получателя и защищённость каталога. Полное руководство — Генерация ключей.

Чем отличается 256 от 512?¶

Это разные криптографические профили подписи и связанных параметров, а не просто длина PEM-файла или хэша. Для проверки 2012/512 применяйте согласованный digest и OID.

Почему в `openssl list -providers` нет GOST, но `openssl engine` работает?¶

Engine и Provider — разные API и режимы подключения; отобразить один не значит активировать другой. Изучите архитектуру.

Можно ли получить квалифицированную ЭП простой командой OpenSSL?¶

Нет. Команда создаёт криптографическую подпись, но статус КЭП требует соблюдения установленных правил доверия, ключей, удостоверяющего центра и применения соответствующих средств.

Почему сертификат ГОСТ не работает в браузере?¶

Проверьте поддержку ГОСТ-TLS самим браузером, доверенную цепочку, SAN, TLS version и cipher suite. Наличие алгоритма в серверной библиотеке не обеспечивает совместимость клиента.

Можно ли считать SHA-256 контрольной суммой ГОСТ?¶

Нет. SHA-256 и Стрибог-256 — разные хэш-функции с одинаковой длиной результата.

Почему OpenVPN шифрует трафик AES, хотя установлен ГОСТ?¶

OpenVPN разделяет TLS-control и data-channel. Проверьте согласованные алгоритмы обоих каналов и --show-ciphers на обеих сторонах. Пакетная сборка с OpenSSL ГОСТ не гарантирует ГОСТ data-channel.

PFX открылся без ошибок, но ключ недоступен?¶

Смотрите формат PBE, поддержку PKCS#8/PKCS#12, link между сертификатом и закрытым ключом, импорт в целевой криптопровайдер. Не копируйте пароль в командную строку.

Почему зашифрованный CMS-файл расшифровался, но повреждён?¶

При обмене CMS всегда сопоставляйте исходные байты с расшифрованными. Для тестирования используйте файлы разных размеров, включая значения рядом с границами блоков, и сравнивайте результаты cmp. Подробнее.

Что отправлять в поддержку?¶

Версии пакетов, сообщение об ошибке, обезличенный алгоритм и paramset, SHA тестового файла, воспроизводимые шаги. Никогда не отправляйте приватный PEM, PFX с ключом, пароль, аппаратный PIN или реальный конфиденциальный документ.