Просмотр исходного текста страницы Настройка библиотеки ГОСТ для OpenSSL в RELS

== Применимость ==
* Приведённая ниже инструкция актуальна для Rosa Enterprise Linux Server (RELS) 6.6 и выше. Предложенная библиотека OpenSSL содержит реализацию алгоритма ГОСТ Р 34.10-2001.

* Срок действия алгоритма ГОСТ Р 34.10-2001 истекает в 2018 году. Выписка из информационного письма регулятора приведена тут: [https://vk.com/away.php?to=https%3A%2F%2Fwww.tc26.ru%2Finfo%2Fnew-national-standards%2F&post=-33847957_190729&cc_key= https://www.tc26.ru/info/new-national-standards/]

* Наличие в ОС реализации алгоритма ГОСТ Р 34.10-2001 не означает автоматического наличия сертификата регулятора на эту реализацию. Проверка контроля встраивания не производилась, сертификат регулятора (ФСБ РФ) на эту реализацию отсутствует. Таким образом, применять эту реализацию можно только в целях осуществления проверок функционирования, либо в соответствии со статьей 1, пункт 2, подпункт 1 152-ФЗ. То есть только для личных нужд, или для тестирования.

== Установка и настройка ==
Сперва удостоверимся, что установлена версия openssl не ниже 1.0.1e-57.res6.
Для этого выполним следующую команду:
 '''rpm -aq | grep openssl'''
если версия отличается - обновим версию библиотеки:
 '''yum update openssl'''
Убедимся, что после обновления в системе появилась библиотека openssl с поддержкой ГОСТ, например:
 '''find /usr/ -iname "*gost.so"'''
 '''/usr/lib64/openssl/engines/libgost.so'''
Активизируем поддержку алгоритма в конфигурационном файле. Так как по умолчанию поддержка ГОСТ отключена:
* Редактируем файл '''/etc/pki/tls/openssl.cnf''' Вначале файла, прямо первой строкой определим дополнительную секцию '''openssl_conf=openssl_def''', например:
 '''#
 '''# OpenSSL example configuration file.
 '''# This is mostly being used for generation of certificate requests.
 '''#
 '''openssl_conf=openssl_def'''
* Затем в конец этого же файла вносим описание алгоритма в конфигурационный файл, с учетом верного пути к библиотеке, например:
 '''[openssl_def]
 '''engines = engine_section
 '''
 '''# Engine scetion
 '''[engine_section]
 '''gost = gost_section
 '''
 '''# Engine gost section
 '''[gost_section]
 '''engine_id = gost
 '''dynamic_path = /usr/lib64/openssl/engines/libgost.so
 '''default_algorithms = ALL
 '''CRYPT_PARAMS = id-Gost28147-89-CryptoPro-A-ParamSet'''
* Удостоверимся, что библиотека openssl корректно опознала добавленный алгоритм ГОСТ. Для этого выполним:
 '''openssl ciphers|tr ':' '\n'|grep GOST'''
Ответ системы будет такой:
 '''GOST2001-GOST89-GOST89
 '''GOST94-GOST89-GOST89'''

== Формирование запроса на сертификат с поддержкой алгоритма ГОСТ (пример) ==
 '''openssl genrsa -out test.example.ru.key 2048
 '''openssl req -new -sha256 -key test.example.ru.key -out test.example.ru.csr
 '''openssl genpkey -algorithm gost2001 -pkeyopt paramset:A -out gost.example.ru.key
 '''openssl req -engine gost -new -key gost.example.ru.key -out gost.example.ru.csr'''

== Для Fresh ==
В случае с Fresh стоит быть внимательнее с путями:<br>
для 64-х бит:<br>
'''/usr/lib64/openssl-1.0.2k/engines/libgost.so'''<br>
для 32-х бит:<br>
'''/usr/lib/openssl-1.0.2k/engines/libgost.so'''<br>

остальное без изменений, за исключением работы с пакетным менеджером.