Жизненный цикл ГОСТ-ключей: защита, ротация, отзыв, архив¶

Ключ — это объект управления, а не просто PEM¶

Хранилище должно иметь владельца, назначение, алгоритм, набор параметров и OID, дату создания, срок эксплуатации, правила выдачи доступа, возможность отзыва и процедуру восстановления. Разные назначения (сервер TLS, клиент VPN, кодовая подпись, CA) не должны использовать одну пару только ради экономии ключевых контейнеров.

Типовые этапы¶

Создание: в доверенной среде с проверенным RNG и установленной версией криптобиблиотеки.
Учёт: идентификатор ключа, алгоритм, paramset, OID, владелец, назначение без записи закрытых ключевых данных в журнал.
Распространение открытой части: проверка отпечатка сертификата по доверенному каналу.
Использование: только разрешённые процессы и роли. Для CA предпочтительнее аппаратное хранение или изолированный узел.
Ротация: выпуск новой пары, обновление сертификатов и потребителей, перекрытие периода действия, затем отзыв старого ключа.
Отзыв: CRL/OCSP или отдельные списки доверия в зависимости от протокола.
Утилизация: удаление ссылок, ревокация, контроль архивов и резервных копий. Уничтожение файла не гарантирует уничтожения всех резервных копий или данных на SSD.

Операционные команды¶

umask 077
stat -c '%a %U:%G %n' "$HOME/gost-lab/keys/"*.pem
openssl pkey -in "$HOME/gost-lab/keys/gost2012-256-private.pem" -check -noout
openssl x509 -in certificate.pem -noout -subject -issuer -dates
openssl x509 -in certificate.pem -noout -fingerprint -sha256

Запрещено публиковать вывод pkey -text при наличии закрытых параметров. Хэш закрытого PEM тоже может быть чувствительным идентификатором и должен храниться по политике организации.

Резервное копирование¶

Резервные копии должны быть шифрованы, иметь независимый контроль доступа, журнал операций восстановления и периодические пробы. Для сервисного ключа допустимость экспорта зависит от политики; для аппаратно неэкспортируемого ключа стратегия восстановления предусматривает выпуск новой пары и сертификата, а не «копию токена».

Если ключ компрометирован¶

Отзовите доверие, перевыпустите пару, замените ключ у всех потребителей, проверьте подписи/сессии за период компрометации, обновите доверенные списки и журналы. Смена пароля к украденному экспортируемому ключу не устраняет факт компрометации самого ключа.