ГОСТ в OpenSSL: различия между версиями

Материал из ALT Linux Wiki
(ссылка на первую версию OpenSSL с ГОСТ)
(скрипт в пакете уже исправлен, начиная с alt3)
 
(не показано 26 промежуточных версий 14 участников)
Строка 1: Строка 1:
== Поддержка шифрования по ГОСТ в OpenSSL ==
== Поддержка шифрования по ГОСТ в OpenSSL ==


Поддержка ГОСТ была добавлена в OpenSSL 1.0.0 сотрудниками Криптоком.<ref>http://www.cryptocom.ru/opensource/openssl100.html ГОСТ в OpenSSL 1.0.0</ref>
Поддержка ГОСТ была добавлена в OpenSSL 1.0.0 сотрудниками "Криптоком".<ref>[https://archive.fo/sVgC http://www.cryptocom.ru/opensource/openssl100.html ГОСТ в OpenSSL 1.0.0]</ref>


1. Установите пакет {{pkg|openssl-engines}}:
1. Установите пакет с поддержкой ГОСТ:


Для OpenSSL 1.0:
  apt-get install openssl-engines
  apt-get install openssl-engines


2. Измените конфигурационный файл OpenSSL. Для этого создайте скрипт {{path|gost-for-openssl}} следующего содержания:
Для OpenSSL 1.1:
apt-get install openssl-gost-engine
 
2. Измените конфигурационный файл OpenSSL.
 
Начиная с версии {{term|1.1.0.3.0.255.ge3af41d.p1-alt3}} в пакете {{pkg|openssl-gost-engine}} доступен и корректно работает control-скрипт для включения и выключения поддержки ГОСТ. Для включения достаточно ввести (от суперпользователя) команду:
 
    control openssl-gost enabled
 
В раннем релизе {{term|1.1.0.3.0.255.ge3af41d.p1-alt2}} была [https://bugzilla.altlinux.org/show_bug.cgi?id=37922 ошибка]
 
=== Старый способ ===
 
Для этого создайте скрипт {{path|gost-for-openssl}} следующего содержания:
<source lang="Bash"># Adapt OpenSSL for GOST cryptography support
<source lang="Bash"># Adapt OpenSSL for GOST cryptography support
# See http://www.cryptocom.ru/products/openssl-1-config-en.html
# See http://www.cryptocom.ru/products/openssl-1-config-en.html
Строка 18: Строка 32:


grep -q '^openssl_conf' $cfg || sed -i '1iopenssl_conf = openssl_def' $cfg
grep -q '^openssl_conf' $cfg || sed -i '1iopenssl_conf = openssl_def' $cfg
subst 's/^default_md/#default_md/g' $cfg


if [ $libshell_version -ge 3 ] ; then
if [ $libshell_version -ge 3 ] ; then
Строка 52: Строка 68:
== Создание ключей ==
== Создание ключей ==


<source lang="Bash">openssl genpkey -algorithm gost2001 -pkeyopt paramset:A -out ca.key 1024</source>
{{Note|Инструкция рассчитана на openssl1.1 (начиная с [[Branches/p9|p9]])}}
 
1. Создаём закрытый ключ с алгоритмом ГОСТ-2012 ({{path|ca.key}}):
 
<source lang="text" highlight="1">$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:TCB -out ca.key</source>
 
2. Создаём сертификат на 365 дней ({{path|ca.cer}}):
 
<source lang="text" highlight="1-2">$ openssl req -new -x509 -md_gost12_256 -days 365 -key ca.key -out ca.cer \
  -subj "/C=RU/ST=Russia/L=Moscow/O=SuperPlat/OU=SuperPlat CA/CN=SuperPlat CA Root"</source>
 
3. Проверка сертификата ({{path|ca.cer}}):
 
<source lang="text" highlight="1">$ openssl x509 -in ca.cer -text -noout
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            17:47:3b:c0:e1:9a:34:02:a6:b5:ea:5e:77:80:c1:c0:8a:6f:2e:a6
        Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
        Issuer: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA, CN = SuperPlat Root
        Validity
            Not Before: Apr 14 11:39:25 2020 GMT
            Not After : Apr 14 11:39:25 2021 GMT
        Subject: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA, CN = SuperPlat Root
        Subject Public Key Info:
            Public Key Algorithm: GOST R 34.10-2012 with 256 bit modulus
                Public key:
                  X:80FA69630DB1F99175D4659917082F1A85E49241C7CC3F406B25E42CCB53F875
                  Y:9AF4A5003B0E73055CEB6DC2D5B325EA16E7CE852CE5D8A479683EBAFC1F54D9
                Parameter set: GOST R 34.10-2012 (256 bit) ParamSet B
        X509v3 extensions:
            X509v3 Subject Key Identifier:
                63:29:DA:30:84:00:C3:7D:B5:F8:43:2F:A6:80:C7:A3:E1:B9:27:8C
            X509v3 Authority Key Identifier:
                keyid:63:29:DA:30:84:00:C3:7D:B5:F8:43:2F:A6:80:C7:A3:E1:B9:27:8C
 
            X509v3 Basic Constraints:
                CA:TRUE
    Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
        71:73:29:32:b6:6e:9f:cc:22:30:5a:5b:60:4e:0d:41:5f:5d:
        02:57:33:a8:0e:4f:b9:26:53:ce:9b:e7:25:12:ec:b6:c3:bf:
        fc:93:57:db:82:82:3d:fe:8c:ac:db:95:9e:45:ab:21:63:53:
        4c:0c:ed:c0:b8:bd:da:f5:0f:7a
</source>


== Используемая литература ==
== Используемая литература ==
* http://habrahabr.ru/post/189352/
* http://habrahabr.ru/post/189352/
* http://ali47802.blogspot.ru/2012/11/openssl-gost-42-gost.html
* http://ali47802.blogspot.ru/2012/11/openssl-gost-42-gost.html
* https://habrahabr.ru/post/192446/
* http://lists.altlinux.org/pipermail/devel/2017-August/202929.html
[[Категория:Криптография]]


== Ссылки ==
# https://habr.com/post/306544/ Настройка TLS с поддержкой сертификатов ГОСТ и RSA на nginx
# {{altbug|24587}}
# https://habr.com/ru/post/353534/
<references/>


[[Категория:Enterprise Software]]
{{Category navigation|title=ПО уровня предприятия|category=Enterprise Software|sortkey={{SUBPAGENAME}}}}
[[Категория:Криптография]]
{{Category navigation|title=HOWTO|category=HOWTO|sortkey={{SUBPAGENAME}}}}
[[Категория:HOWTO]]

Текущая версия от 16:43, 1 октября 2022

Поддержка шифрования по ГОСТ в OpenSSL

Поддержка ГОСТ была добавлена в OpenSSL 1.0.0 сотрудниками "Криптоком".[1]

1. Установите пакет с поддержкой ГОСТ:

Для OpenSSL 1.0: 

apt-get install openssl-engines

Для OpenSSL 1.1: 

apt-get install openssl-gost-engine

2. Измените конфигурационный файл OpenSSL.

Начиная с версии 1.1.0.3.0.255.ge3af41d.p1-alt3 в пакете openssl-gost-engine доступен и корректно работает control-скрипт для включения и выключения поддержки ГОСТ. Для включения достаточно ввести (от суперпользователя) команду: 

   control openssl-gost enabled

В раннем релизе 1.1.0.3.0.255.ge3af41d.p1-alt2 была ошибка

Старый способ

Для этого создайте скрипт gost-for-openssl следующего содержания: 

# Adapt OpenSSL for GOST cryptography support
# See http://www.cryptocom.ru/products/openssl-1-config-en.html

. shell-version
. shell-ini-config

shell_ini_config_prefix=""
cfg="/etc/openssl/openssl.cnf"

grep -q '^openssl_conf' $cfg || sed -i '1iopenssl_conf = openssl_def' $cfg

subst 's/^default_md/#default_md/g' $cfg

if [ $libshell_version -ge 3 ] ; then
  ini_config_set $cfg openssl_def engines engine_section
  ini_config_set $cfg engine_section gost gost_section
  ini_config_set $cfg gost_section engine_id gost
  ini_config_set $cfg gost_section default_algorithms ALL
  ini_config_set $cfg gost_section CRYPT_PARAMS id-Gost28147-89-CryptoPro-A-ParamSet
else
  grep -q 'Gost' $cfg && exit
  cat >> $cfg << _EOF_
[openssl_def]
engines = engine_section

[engine_section]
gost = gost_section

[gost_section]
engine_id = gost
default_algorithms = ALL
CRYPT_PARAMS = id-Gost28147-89-CryptoPro-A-ParamSet
_EOF_
fi

Запустите скрипт (под правами root): 

sh gost-for-openssl

3. Проверьте, доступны ли шифры ГОСТ для OpenSSL: 

$ openssl ciphers|tr ':' '\n'|grep GOST
GOST2001-GOST89-GOST89
GOST94-GOST89-GOST89

Создание ключей

Примечание: Инструкция рассчитана на openssl1.1 (начиная с p9)


1. Создаём закрытый ключ с алгоритмом ГОСТ-2012 (ca.key): 

$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:TCB -out ca.key

2. Создаём сертификат на 365 дней (ca.cer): 

$ openssl req -new -x509 -md_gost12_256 -days 365 -key ca.key -out ca.cer \
  -subj "/C=RU/ST=Russia/L=Moscow/O=SuperPlat/OU=SuperPlat CA/CN=SuperPlat CA Root"

3. Проверка сертификата (ca.cer): 

$ openssl x509 -in ca.cer -text -noout
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            17:47:3b:c0:e1:9a:34:02:a6:b5:ea:5e:77:80:c1:c0:8a:6f:2e:a6
        Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
        Issuer: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA, CN = SuperPlat Root
        Validity
            Not Before: Apr 14 11:39:25 2020 GMT
            Not After : Apr 14 11:39:25 2021 GMT
        Subject: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA, CN = SuperPlat Root
        Subject Public Key Info:
            Public Key Algorithm: GOST R 34.10-2012 with 256 bit modulus
                Public key:
                   X:80FA69630DB1F99175D4659917082F1A85E49241C7CC3F406B25E42CCB53F875
                   Y:9AF4A5003B0E73055CEB6DC2D5B325EA16E7CE852CE5D8A479683EBAFC1F54D9
                Parameter set: GOST R 34.10-2012 (256 bit) ParamSet B
        X509v3 extensions:
            X509v3 Subject Key Identifier: 
                63:29:DA:30:84:00:C3:7D:B5:F8:43:2F:A6:80:C7:A3:E1:B9:27:8C
            X509v3 Authority Key Identifier: 
                keyid:63:29:DA:30:84:00:C3:7D:B5:F8:43:2F:A6:80:C7:A3:E1:B9:27:8C

            X509v3 Basic Constraints: 
                CA:TRUE
    Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
         71:73:29:32:b6:6e:9f:cc:22:30:5a:5b:60:4e:0d:41:5f:5d:
         02:57:33:a8:0e:4f:b9:26:53:ce:9b:e7:25:12:ec:b6:c3:bf:
         fc:93:57:db:82:82:3d:fe:8c:ac:db:95:9e:45:ab:21:63:53:
         4c:0c:ed:c0:b8:bd:da:f5:0f:7a

Используемая литература

Ссылки

  1. https://habr.com/post/306544/ Настройка TLS с поддержкой сертификатов ГОСТ и RSA на nginx
  2. altbug #24587
  3. https://habr.com/ru/post/353534/
  1. ↑ http://www.cryptocom.ru/opensource/openssl100.html ГОСТ в OpenSSL 1.0.0
ПО уровня предприятия
1C • 1C 7.7 • AnyDesk • Apache Kafka • Api.php • BricsCAD • Chromium-gost • Cisco Anyconnect VPN Client • Citrix Workspace app • Citrix XenServer • Dr.Web • DraftSight • Dropbox • Enterprise Software • FineReader • Hyper-V • Jitsi Meet • Kaspersky Endpoint Security • Lotus Domino • Lotus Notes • Maple • MatLab • Micro Cap • Monit • MSSQL • NetTest • Nextcloud • Nuxeo • OpenMeetings • OracleALS40 • OwnCloud9 • PVE • PyCharm • QuestaSim • SAP GUI for Java • SAP R3 • SCOM • SecureCRT • Skype • Skype/isolation • Soft/ЯндексБраузер • Theme-mate-windows • TrueConf • Vargus • Vibe • VipNet Client • ViPNet Coordinator • ViPNet Coordinator/СПТ7 • ViPNet CSP • Vivado/Vitis • Winbox • Yandex.Disk • Zimbra • Zoom • АЦК Финансы • Битрих24 • Гарант Аэро • ГОСТ в OpenSSL • Континент-АП • КриптоПро • Лисси-Софт • Совместимость программного обеспечения • СправкиБК • Спутник Браузер • ТамТам • Установка VMware View Client • ЭП
 
HOWTO
32й-OpenGL на 64x • 389-ds • ActiveDirectory/DC • ActiveDirectory/FileShare • ActiveDirectory/Squid • AHCI • Участник:Alehander/Монтирование каталогов • Android-devel • Apache Kafka • Appimage • Arepo In Hasher • Asciidoc • Autoinstall • BugTracking/BugzillaMiniHowto • CDEmu и все-все-все • Chroot • Clamav • PostgreSQL/Cluster • Cpufreq • CreateMdRAID1onLiveSystem • CUDA • Cлайд-шоу фоновых рисунков рабочего стола • D Programming Language • DB2 • Dconf • Discord • Tools/Distribute • DPMS • DualBoot в картинках • DualBoot в картинках new • X11/DualSeat • Dynflow • Ed • EDID • ElasticSearch • EnterpriseWine • Epic games • Etckeeper • EterTips • Fail2ban • Fdisk • FFmpeg • Fleet Commander • Folding@Home • FreeIPA • FreePascal HOWTO • FreeRADIUS • FreeRADIUS и корпоративный WiFi • Giter • GoogleTalkPlugin • Hasher/parallel • Hitachi StarBoard • Incoming/HOWTO • I2p • IconsPackaging • IPTV • ITalc • Участник:IvanZakharyaschev/Что делать, если забыл имена пользователей • Участник:IvanZakharyaschev/Что делать, если забыл пароли (в т.ч. пароль root-а) • Участник:IvanZakharyaschev/Что делать, если затёр загрузчик системы • JaCarta • JaCarta/PKI • Java-applet • Java/OracleSDK/Install • JavaPlugin • JeOS VM noDHCP • KVM/Helper • LAME • ActiveDirectory/Login • PVE/LXC • Mailman and lighttpd • DotFiles/Shells/MC • Участник:MichaelShigorin/ПодсуньТарбол • Microsoft Access • MIDI • MsgToEml • MultiSeat systemd • Multistation • NetInstall • NetworkDevicesName • Nextcloud • NTFS • NTFS readonly • Numlock • OpenMeetings • Otrs • OwnCloud9 • Pam mount • PepperFlash в Chromium • Perfect Desktop • Pidgin • Pipelight • Pipx • Dovecot/Plugins • PostgreSQL • Prelink • PstToMbox • Puppet • Puppetserver • PyVFS • Rdesktop keymap fix • Recoll • Replace disk online • Rescue manuals • Rescue/Launcher • Rescue/Recovery • Ricoh SP 100 • Roundcube • Ruby Packaging mini-HOWTO • Rujel • Rujel HOWTO • RunaWFE • SambaADClient и клонирование диска • SAP GUI for Java • SCOM • Shared Library Symbol Versioning HOWTO • SharedFolderHowTo • Smart Proxy • Smart proxy dynflow-core • Socket race conditions • SOGo • OpenOffice.org/SSL-сертификат • SSSD/AD • Swap • Synaptic • Task • Telegram • Telegram Desktop • Thunderbird • Tips • TLP • Unity • LTSP/UpstreamMigration • USBIP • Veyon • Viber • Video streaming vlc • VipNet Client • ViPNet Coordinator/СПТ7 • VirtualBox • Vk play • VNC • VPN c динамической маршрутизацией (GRE Racoon OSPF) • Waydroid • WebDav • Wi-fi • Wicd • WINE • Xbox геймпад • XCAT • Xfce/Ограничения • Автологин с блокировкой сеанса • Автоматический вход • Браузер во весь экран • Виртуальная клавиатура в ALT Workstation • Виртуальная флешка • Включение TRIM на (внешнем) SSD • Воссоздание пользователя на отдельном home-разделе • Восстановление • Где и как искать программы • ГОСТ в Caja • ГОСТ в OpenSSL • Гостевой сеанс • Двухфакторная аутентификация Google Authenticator • Диагностика оборудования и системы • ЕАВИИАС • ЕСПД • Загрузочная USB Flash • Загрузочные флешки • Запуск typo3 • Заставка - слайд-шоу • Звук входа в систему • Зеркала • Инструкция по разворачиванию girar-builder • Как Ваш компьютер может дать доступ к себе через туннель средствами ssh, autossh, autosshd • Участник:IvanZakharyaschev/Как дать мне доступ по ssh на Ваш (мобильный) компьютер • Как запускать программы • Как найти пакет по программе • Как настроить почту в Thunderbird • Каталог с доступом для всех локальных пользователей • Киоск • Конcоль GRUB • КонсультантПлюс • Монтирование образов устройств • Настройка Alt Linux для Raspberry Pi с помощью QEMU • Настройка Fstab • Настройка принтера • Неверный размер шрифтов • О Сообществе ALT Linux • Обновление • Обход сбоя загрузки с USB • Особые действия Thunar • Очистка диска • Партионная почта • Перенос программ (backports) • Подключение Android • Пользовательские каталоги • Проверка диска на ошибки • Распознавание лица (howdy) • Режимы работы фреймбуфера • Участник:IvanZakharyaschev/Репликация почтового ящика • Сага о драйверах • Сборка пакетов • Связка Puppet и Foreman • Связка ключей • Секционирование (партицирование) БД Zabbix на СУБД PostgreSQL • Синхронизация файлов • Сканер отпечатков пальцев (fprintd) • Скачивание видео с Яндекс.Дзен • Скачивание сайта • Создание образов устройств • Создание самоподписанных сертификатов • Создание сервиса systemd • Специальные возможности • Oracle/СПТ • Теневое копирование+Точка восстановления • Точка на цифровой клавиатуре • Управление пользователями • Управление правами • Установка Cisco Packet Tracer 7.3.1 на ALT KWorkstation P9 • Установка и настройка Rujel • Установка корневого сертификата • Установка шрифтов • Что делать, если программа не работает • Что такое дистрибутив • Шаблоны документов • Шейпер для больших сетей • ЭП • Ярлычки программ • Категория:32x-video-on64x • Категория:Backup • Категория:BootFlash • Категория:Fdisk • Категория:FreePascal • Категория:Rescue manuals • Категория:Upgrade • Категория:WINE