Просмотр кода страницы GnuPG-GOST

= Добавление поддержки ГОСТ в GnuPG =

Добавление поддержки ГОСТ в GnuPG ведётся с целью предоставить пользователям возможность использовать алгоритмы шифрования и цифровой подписи ГОСТ в широком спектре пользовательских программ уже работающих с GnuPG, среди которых видное место занимает интеграция шифрования и подписи в менеджеры файлов (например, Kleopatra в KDE) и программы для чтения и отправки электронной почты (например, Enigmail для Thunderbird).

В настоящее время все изменения производятся прежде всего с целью обеспечить работу на базе аппаратных токенов и смарт-карт с поддержкой ГОСТ, совместимых с PKCS#11.

== Состав изменений ==

{| class="wikitable"
|-
! Описание изменения !! Затронутые программы и модули
|-
| Специфика ГОСТ при распаковке, упаковке и разборе сообщений формата OpenPGP || [http://git.altlinux.org/people/manowar/packages/?p=gnupg2.git;a=shortlog;h=refs/heads/patches/gost {{prg|gpg}}]
|-
| Специфика ГОСТ при распаковке, упаковке и разборе сообщений формата S/MIME || [http://git.altlinux.org/people/manowar/packages/?p=gnupg2.git;a=shortlog;h=refs/heads/patches/gost {{prg|gpgsm}}], [http://git.altlinux.org/people/manowar/packages/?p=libksba.git;a=shortlog;h=refs/heads/gost {{pkg|libksba}}]
|-
| Реализация алгоритма вычисления общего ключа (ВКО) || [http://git.altlinux.org/people/manowar/packages/?p=libgcrypt.git;a=shortlog;h=refs/heads/gost/vko {{pkg|libgcrypt}}], [http://git.altlinux.org/people/manowar/packages/?p=libpkcs11-helper.git;a=shortlog;h=refs/heads/patches/gost-derive {{pkg|libpkcs11-helper}}]
|-
| Специфика ГОСТ при разборе информации о ключах на токене и их передачи GnuPG || [http://git.altlinux.org/people/manowar/packages/?p=gnupg-pkcs11-scd.git;a=shortlog;h=refs/heads/patches/gost {{pkg|gnupg-pkcs11-scd}}]
|-
| Дополнительные опции настройки обработки информации о списках отзыва сертификатов || [http://git.altlinux.org/people/manowar/packages/?p=gnupg2.git;a=shortlog;h=refs/heads/patches/revocation {{prg|dirmngr}}]
|}
<small>''Как только изменения окажутся в Сизифе, здесь будут указаны ссылки на соответствующие патчи.''</small>

== Порядок настройки и работы ==

Прежде всего необходимо настроить {{prg|gnupg-pkcs11-scd}} следуя странице руководства {{term|gnupg-pkcs11-scd(1)}}. В частности, в конфигурации агента ({{path|~/.gnupg/gpg-agent.conf}}) его нужно обозначить как демон смарт-карт ({{term|scdaemon-program}}).

Если на токене (смарт-карте) отсутствуют ключи, нужно создать их. Если планируется использование совместно с {{prg|gpgsm}}, то необходимо создать и пользовательский сертификат.

Далее, следуя той же странице руководства, нужно импортировать ключи в GnuPG. Для собственно {{prg|gpg}} это делается несколько нетривиальным способом, в два подхода: сперва {{prg|gnupg-pkcs11-scd}} напрямую даётся команда {{term|LEARN}}, а затем номер (отпечаток) «выученного» таким образом ключа используется в экспертном режиме генерации ключа в {{prg|gpg}}.

В случае использования {{prg|gpgsm}} процедура импорта выполняется штатно. Однако, для успешной проверки сертификатов, подписанных отечественными УЦ, может понадобиться использовать новую ''спецнастройку'' в файле {{path|~/.gnupg/dirmngr_issuers.conf}}. Например:
<code>(issuer "CN=УЦ ФГУП \\\"ГРЧЦ\\\"" single-crl)</code><ref>Данная настройка включает режим последовательной обработки всех указанных URL списков отзыва, чтобы избежать проблемы, отмеченной здесь — [https://lists.altlinux.org/pipermail/devel/2018-August/205109.html https://lists.altlinux.org/pipermail/devel/2018-August/205109.html]</ref>.

После настройки {{prg|gnupg-pkcs11-scd}} и импорта ключей (через «создание») и сертификатов, команды {{cmd|gpg}} и {{cmd|gpgsm}} работают вполне ожидаемым образом: {{prg|gpg-agent}} запрашивает ПИН-код, после чего производится подпись (шифрование). Аналогичные операции также доступны из Kleopatra и Dolphin.

<hr/>

[[Категория:Криптография]]