CryptoPro from nginx-gost repository readme

sudo ./install-nginx.sh --csp=/path_to_csp_dir/or/path_to_csp_tgz/
sudo ./install-certs.sh 

cd /path_to_csp_dir/
sudo ./install
sudo dpkg -i lsb-cprocsp-kc2-64_4.0.0-5_amd64.deb 

CryptoPro / nginx-gost
Goto Github
PK

View Code? Open in Web Editor

Nginx with GOST TLS

License: MIT License

sudo ./install-nginx.sh --csp=/path_to_csp_dir/or/path_to_csp_tgz/
sudo ./install-certs.sh

cd /path_to_csp_dir/
sudo ./install
sudo dpkg -i lsb-cprocsp-kc2-64_4.0.0-5_amd64.deb

1С-Битрикс

1С-Софт

AERODISK

Apache Software Foundation

BellSoft

Bricsys

Business Ecosystems

CommuniGate Systems

Digital Design

Directum

Dr.Web

Elastic

EmDev

ESMART

F5 NGINX

Fast Reports

Flant

Flussonic

Foxit

GFI Software

Grafana Labs

Haulmont

HOSTVM

InfoWatch

ISPsystem

iTS-Group

ITV Group

IVA Technologies

Jetcom

Kraftway

Luxms

Micro Focus

Microsoft

Multifactor

Noname

Open Source

Passwork

Positive Technologies

Postgres Professional

PostgreSQL Global Development Group

Prometheus Authors

R-Vision

Red Hat

Redis

RuBackup

SAP

SCAD tech

ScyllaDB

SETERE

Simple-Scada

Smart-Soft

SPIRIT

TEL.RED

TrueConf

VariCAD

VK

VMware

Waves Enterprise

Zalando

Zecurion

АдАстра

Ай-Теко

Аладдин Р.Д.

АО ГК «Системы и технологии»

Атом Безопасность

Атомик Софт

БАРС Груп

Вычислительные решения

Газинформсервис

ГАРАНТ

ГК «СИГМА»

ГК Маском

Децима

Диалог

ДистКонтрол

ДоксВижн

ИМСАТ

Инверсия

ИНКОМА

Инлексис

Интерпроком

ИнтерТраст

Инфоленд

ИНФОРМ-СИСТЕМА

Информтест

ИнфоТеКС

ИскраУралТЕЛ

К-МИС

Каскад-АСУ

КБ “Панорама”

Киберпротект

Код Безопасности

Коде Индастри

Компания РАПО

Консорциум “Кодекс”

Консультант Плюс

Корпорация Парус

КриптоПро

Лаборатория Касперского

Лисси-СОФТ

Логика бизнеса

Мависмарт

МАСКОМ-СДП

МедСофт

Микроника

Монитор Электрик

Нанософт разработка

Научно-техническая лаборатория «НЭКСТ ТЕХНИКА»

Новые Облачные Технологии

НПА Вира Реалтайм

НПО “САПФИР”

НПО “Эшелон”

НПО «Криста»

НПО БАУМ

НПО ВС

НПЦ “АИР”

НПЦ “КСБ”

НРК – Р.О.С.Т.

ОБ “Сократ”

ОКБ Аэрокосмические Системы

ОКБ САПР

ООО “Лаборатория МБК”

ООО «Лексиком»

ООО «Системы документооборота»

ПИРИТ

Поисковый портал Спутник

Постмет-Р

ПРОМТ

Р7-Офис

РЕЛЭКС

Ростелеком Солар

РТСофт

РФЯЦ-ВНИИЭФ “НИИИС им Ю.Е.Седакова”

Рэйдикс

С-Терра СиЭсПи

САМСОН Групп

САФИБ

Сбербанк

Серафим

СёрчИнформ

Сетевые информационные системы

СИБРУС

Синтеллект

Системы Папилон

СКБ Контур

Софт Голд

СП.АРМ

СТИК ПРО

СТМ

Тензор

ТЕРМИКА

Тионикс

ТСС

УНИВЕРСАЛЬНЫЕ СИСТЕМЫ И ТЕХНОЛОГИИ

Фактор-ТС

Финко

ФИОРД-ПРО

Фирма “АС”

Форсайт

Центр открытых разработок

ЦИФРА

Цифровые технологии

ЦНТ ИМПУЛЬС

Электронные Офисные Системы

ЭлеСи

Элеста

ЭсДиАй Рисёчь

ЭСТИ

ЯНДЕКС

Специализированное ПО

Офисное ПО

Средство антивирусной защиты

Средство виртуализации

Видеонаблюдение

Средство защиты информации

Объединенные коммуникации

Система мониторинга

Общесистемное ПО

Информационная система

SCADA-система

Система предотвращения утечек информации

СУБД

Системы ip-телефонии и видеоконференции

ПО для работы с оборудованием

Средство обеспечения информационной безопасности

Средства аутентификации

Система документооборота

Автоматизированная система

Средство криптографической защиты

Система электронной отчетности

ПО для удаленного администрирования и управления

Средство резервного копирования

Система обучения и контроля знаний

ERP\CRM – система

САПР

Межсетевой экран

Средство контроля защищенности

Электронная почта

Система обнаружения вторжений

Терминальный сервер

Геоинформационная система

Администрирование

Технологии миграции

Средство эмуляции

Банковское ПО

Бухгалтерское ПО

Информационно-справочная система

Медицинская информационная система

ПО АСУ ТП

Система управления информацией

Система контроля управления доступом

Графический редактор

Медиапроигрыватель

Дистанционное банковское обслуживание

SIEM-система

docker run -d --name crypto-nginx --privileged --security-opt seccomp=unconfined --tmpfs /run --tmpfs /run/lock -v /sys/fs/cgroup:/sys/fs/cgroup:ro -p 443:443 -t crypto

docker -ti crypto-nginx /root/config.sh test.ru

[email protected] /crypto-proxy # docker exec -ti crypto-nginx /root/config.sh navyzet.ruCryptCP 4.0 (c) , 2002-2015.
Command prompt Utility file signature and encryption.
Creating request...
CPCSP: Signing with the use of GOST R 34.10-2001 keys is not allowed from January 1st, 2019. We highly recommend to move to the use of GOST R 34.10-2012 keys advance. Continue with the GOST R 34.10-2001 key generation
(o) OK, (c) Cancel
o
Press keys...
[..........................................................................]
CryptoPro CSP: Set password on produced container .
Password:
Retype password:
Passwords are not equal
Password:
Retype password:
Sending request to CA...
Installing certificate...
Certificate is installed.
[ReturnCode: 0]
Certmgr 1.0 (c) , 2007-2010.
program managing certificates, CRLs and stores
Install:
=============================================================================
1-------
Issuer [email protected], C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
Subject CN=navyzet.ru
Serial 0x12002667752E825729E3CF803A000000266775
SHA1 Hash 0x9e8c54c44ad16152ab55a59275a3dd01ef31143f
SubjKeyID 80b4d87101a23e4050fb67a12f6ed72c424969c8
Signature Algorithm ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm ГОСТ Р 34.10-2001 (512 bits)
Not valid before 05/03/2018 15:15:32 UTC
Not valid after 05/06/2018 15:25:32 UTC
PrivateKey Link No
CA cert URL http://testca.cryptopro.ru/CertEnroll/test-ca-2014_CRYPTO-PRO%20Test%20Center%202.crt
OCSP URL http://testca.cryptopro.ru/ocsp/ocsp.srf
CDP http://testca.cryptopro.ru/CertEnroll/CRYPTO-PRO%20Test%20Center%202.crl
Extended Key Usage 1.3.6.1.5.5.7.3.1
=============================================================================
[ErrorCode: 0x00000000]
Certmgr 1.0 (c) , 2007-2010.
program managing certificates, CRLs and stores
Exporting:
=============================================================================
1-------
Issuer [email protected], C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
Subject CN=navyzet.ru
Serial 0x12002667752E825729E3CF803A000000266775
SHA1 Hash 0x9e8c54c44ad16152ab55a59275a3dd01ef31143f
SubjKeyID 80b4d87101a23e4050fb67a12f6ed72c424969c8
Signature Algorithm ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm ГОСТ Р 34.10-2001 (512 bits)
Not valid before 05/03/2018 15:15:32 UTC
Not valid after 05/06/2018 15:25:32 UTC
PrivateKey Link Yes
Container HDIMAGEcontaine.000514
Provider Name Crypto-Pro GOST R 34.10-2001 KC2 CSP
Provider Info ProvType: 75, KeySpec: 1, Flags: 0x0
CA cert URL http://testca.cryptopro.ru/CertEnroll/test-ca-2014_CRYPTO-PRO%20Test%20Center%202.crt
OCSP URL http://testca.cryptopro.ru/ocsp/ocsp.srf
CDP http://testca.cryptopro.ru/CertEnroll/CRYPTO-PRO%20Test%20Center%202.crl
Extended Key Usage 1.3.6.1.5.5.7.3.1
=============================================================================
Export
[ErrorCode: 0x00000000]
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libssl.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libssl.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libssl.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libcrypto.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libcrypto.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libcrypto.so.1.0.0: no version information available (required by openssl)
openssl: /opt/cprocsp/cp-openssl/lib/amd64/libcrypto.so.1.0.0: no version information available (required by openssl) Reloading nginx configuration nginx

Решения nginx и Apache HTTP Server (далее — Apache) — два самых широко распространенных веб-сервера с открытым исходным кодом в мире. Каждый из них обладает собственными преимуществами, при этом одной из основных функциональных возможностей обоих серверов является построение защищенного с использованием протокола TLS соединения между клиентом и сервером с обеспечением целостности и конфиденциальности передаваемых данных, в том числе с применением российских криптографических алгоритмов ГОСТ.

Возможность использования TLS с ГОСТ обеспечивается с помощью вызова функций СКЗИ КриптоПро CSP (далее — СКЗИ):

• в nginx — применением к исходным текстам специальных патчей, входящих в состав отдельных версий СКЗИ;
• в Apache — использованием бинарного модуля mod_ssl из состава СКЗИ.

Таким образом, СКЗИ можно эксплуатировать совместно с серверами nginx и Apache определенных версий для реализации TLS с ГОСТ без проведения исследований по оценке влияния указанных серверов на СКЗИ, что делает возможным использование данного решения для обеспечения криптографической защиты передаваемых между клиентом и сервером конфиденциальных данных (в том числе персональных данных) в соответствии с требованиями законодательства РФ по информационной безопасности. При эксплуатации иных версий nginx/Apache или СКЗИ проведение оценки влияния является обязательным во всех случаях, предусмотренных законодательством. Подробнее о работе TLS с ГОСТ можно ознакомиться в нашей статье.

Процесс установки и настройки совместной работы СКЗИ с веб-серверами nginx описан в Руководстве администратора безопасности к соответствующей версии СКЗИ. Необходимые компоненты для работы решения можно скачать в составе СКЗИ. Программное обеспечение nginx и Apache не входит в комплект поставки СКЗИ. Исходные тексты nginx необходимо скачать с официального сайта с последующей проверкой контрольной суммы, а дистрибутив Apache обычно входит в состав ОС.

По сравнению со штатным использованием серверов nginx и Apache, при реализации TLS с ГОСТ на nginx или Apache в качестве криптографического ядра вместо OpenSSL используется СКЗИ КриптоПро CSP и поэтому функциональность решения имеет некоторые особенности:

• Общий кэш при работе в рабочих процессах отсутствует;
• Поддержка директив конфигурации, указанных в файле конфигурации и относящихся к TLS, реализована частично.

Для реализации TLS с ГОСТ на nginx или Apache необходимо приобрести годовую или бессрочную клиентскую лицензию (обязательно при реализации двухстороннего TLS с ГОСТ), специальную бессрочную серверную лицензию с поддержкой TLS и при необходимости сертификаты технической поддержки на указанные лицензии. С полным перечнем необходимых для реализации решения лицензий и сертификатов технической поддержки можно ознакомиться на нашем сайте.

В настоящее время в состав СКЗИ КриптоПро CSP версий 5.0 R2 KC1 (исполнение 1-Base) и 5.0 R2 КС2 (исполнение 2-Base) входят следующие версии компонентов решения для ОС семейства Linux:

• Патч для nginx версии 1.18.0;
• Модуль mod_ssl для Apache версии 2.4.25+ (для ОС Astra Linux SE) и Apache 2.4.41+ (для других ОС семейства Linux).

Отдельно стоит отметить возможность реализации TLS с ГОСТ на веб-сервере Apache Tomcat, используемом для исполнения веб-приложений, написанных на Java. Для решения данной задачи можно использовать криптопровайдер КриптоПро JCP, реализующий SSL и TLS протоколы на базе российских криптографических алгоритмов ГОСТ. При этом, в случае использования КриптоПро JCP 2.0 R4, проведение оценки влияния Apache Tomcat на СКЗИ не потребуется.

В качестве альтернативы предлагаем также рассмотреть более функциональное и производительное решение — TLS-шлюз и VPN КриптоПро NGate, сертифицированный ФСБ России и позволяющий одновременно реализовать TLS с ГОСТ для большого количества веб-серверов, также без необходимости проведения оценки влияния среды функционирования.

• Страница для печати

dism.exe /Online /Enable-Feature /FeatureName:IIS-WebServerRole /FeatureName:IIS-WebServer /FeatureName:IIS-ASPNET45 /FeatureName:IIS-NetFxExtensibility45 /FeatureName:IIS-ISAPIExtensions /FeatureName:IIS-ISAPIFilter /FeatureName:IIS-StaticContent /FeatureName:IIS-ManagementConsole /FeatureName:IIS-RequestFiltering /FeatureName:WAS-WindowsActivationService /FeatureName:WCF-HTTP-Activation45 /FeatureName:IIS-NetFxExtensibility45 /FeatureName:NetFx4Extended-ASPNET45 /FeatureName:WAS-ConfigurationAPI

dism.exe /Online /Enable-Feature /FeatureName:IIS-WebServerRole /FeatureName:IIS-WebServer /FeatureName:IIS-ASPNET45 /FeatureName:IIS-NetFxExtensibility45 /FeatureName:IIS-ISAPIExtensions /FeatureName:IIS-ISAPIFilter /FeatureName:IIS-StaticContent /FeatureName:IIS-ManagementConsole /FeatureName:IIS-RequestFiltering /FeatureName:WAS-WindowsActivationService /FeatureName:WCF-HTTP-Activation45 /FeatureName:IIS-NetFxExtensibility45 /FeatureName:NetFx4Extended-ASPNET45 /FeatureName:WAS-ConfigurationAPI

sudo apt-get install build-essential patch

wget https://nginx.org/download/nginx-1.18.0.tar.gz
tar -xvf ./nginx-1.18.0.tar.gz
cp ./ng-nginx.1.18.0.patch ./nginx-1.18.0 && cd ./nginx-1.18.0/
patch -p1 < ./ng-nginx.1.18.0.patch

wget https://ftp.pcre.org/pub/pcre/pcre-8.44.tar.gz
tar -xvf ./pcre-8.44.tar.gz && cd ./pcre-8.44
wget https://zlib.net/zlib-1.2.11.tar.gz
tar -xvf ./zlib-1.2.11.tar.gz
wget https://www.openssl.org/source/openssl-1.1.1h.tar.gz
tar -xvf ./openssl-1.1.1h.tar.gz

cd ./nginx-1.18.0
./configure \
--user=nginx \
--group=nginx \
--with-cc-opt='-fstack-protector -fstack-protector-strong --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Werror=implicit-function-declaration -Winit-self -Wp,-D_FORTIFY_SOURCE=2 -fPIC' \
--with-ld-opt='-Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie -L/opt/cprocsp/lib/amd64 -lrdrsup -lssp -lcapi10 -lcapi20' \
--prefix=/opt/nginx \
--conf-path=/etc/nginx/nginx.conf \
--error-log-path=/var/log/nginx/error.log \
--http-log-path=/var/log/nginx/access.log \
--lock-path=/var/run/lock/nginx.lock \
--pid-path=/var/run/nginx.pid \
--with-pcre=/home/test/src/pcre-8.44/ \
--with-pcre-jit \
--with-zlib=/home/test/src/zlib-1.2.11/ \
--with-http_ssl_module \
--with-http_sspi_module \
--with-http_stub_status_module \
--with-openssl=/home/test/src/openssl-1.1.1h/ \
--with-openssl-opt='no-gost no-comp no-dtls no-deprecated no-dynamic-engine no-engine no-hw-padlock no-nextprotoneg no-psk no-tests no-ts no-ui-console' \
--with-stream \
--with-stream_ssl_module \
--with-stream_sspi_module \
--with-http_v2_module

make

sudo cp ./nginx.conf.sample ./nginx-1.18.0/conf/nginx.conf
sudo make install

sudo adduser --system --no-create-home --group nginx
sudo chown -R nginx:nginx /var/log/nginx/

sudo cp ./nginx.init /etc/init.d/nginx

КриптоПро CSP 5.0 — новое поколение криптопровайдера, развивающее три основные продуктовые линейки компании КриптоПро: КриптоПро CSP (классические токены и другие пассивные хранилища секретных ключей), КриптоПро ФКН CSP/Рутокен CSP (неизвлекаемыe ключи на токенах с защищенным обменом сообщениями) и КриптоПро DSS (ключи в облаке).

Все преимущества продуктов этих линеек не только сохраняются, но и приумножаются в КриптоПро CSP 5.0: шире список поддерживаемых платформ и алгоритмов, выше быстродействие, удобнее пользовательский интерфейс. Но главное — работа со всеми ключевыми носителями, включая ключи в облаке, теперь единообразна. Для перевода прикладной системы, в которой работал КриптоПро CSP любой из версий, на поддержку ключей в облаке или на новые носители с неизвлекаемыми ключами, не потребуется какая-либо переработка ПО — интерфейс доступа остаётся единым, и работа с ключом в облаке будет происходить точно таким же образом, как и с классическим ключевым носителем.

Скачать КриптоПро CSP
с ознакомительной полнофункциональной 90-дневной лицензией

Назначение КриптоПро CSP

• Формирование и проверка электронной подписи.
• Обеспечение конфиденциальности и контроля целостности информации посредством ее шифрования и имитозащиты.
• Обеспечение аутентичности, конфиденциальности и имитозащиты соединений по протоколам TLS, и IPsec.
• Контроль целостности системного и прикладного программного обеспечения для его защиты от несанкционированных изменений и нарушений доверенного функционирования.

Поддерживаемые алгоритмы

В КриптоПро CSP 5.0 наряду с российскими реализованы зарубежные криптографические алгоритмы. Теперь пользователи имеют возможность использовать привычные носители ключей для хранения секретных ключей RSA и ECDSA.

Таблица алгоритмов, поддерживаемых разными версиями КриптоПро CSP.

Поддерживаемые технологии хранения ключей

Облачный токен

В криптопровайдере КриптоПро CSP 5.0 впервые появилась возможность использования ключей, хранящихся на облачном сервисе КриптоПро DSS, через интерфейс CryptoAPI. Теперь ключи, хранимые в облаке, могут быть легко использованы как любыми пользовательскими приложениями, так и большинством приложений компании Microsoft.

Носители с неизвлекаемыми ключами и защищенным обменом сообщениями

В КриптоПро CSP 5.0 добавлена поддержка носителей с неизвлекаемыми ключами, реализующих протокол SESPAKE, позволяющий провести аутентификацию, не передавая в отрытом виде пароль пользователя, и установить шифрованный канал для обмена сообщений между криптопровайдером и носителем. Нарушитель, находящийся в канале между носителем и приложением пользователя, не может ни украсть пароль при аутентификации, ни подменить подписываемые данные. При использовании подобных носителей полностью решается проблема безопасной работы с неизвлекаемыми ключами.

Компании Актив, ИнфоКрипт и СмартПарк разработали новые защищенные токены, которые поддерживают данный протокол.

Носители с неизвлекаемыми ключами

Многие пользователи хотят иметь возможность работать с неизвлекаемыми ключами, но при этом не обновлять токены до уровня ФКН. Специально для них в провайдер добавлена поддержка популярных ключевых носителей Рутокен ЭЦП 2.0, JaCarta-2 ГОСТ и InfoCrypt VPN-Key-TLS.

Классические пассивные USB-токены и смарт-карты

Большинство пользователей предпочитает быстрые, дешевые и удобные решения для хранения ключей. Как правило, предпочтение отдаётся токенам и смарт-картам без криптографических сопроцессоров. Как и в предыдущих версиях провайдера, в КриптоПро CSP 5.0 сохранена поддержка всех совместимых носителей производства компаний Актив, Аладдин Р.Д., Gemalto/SafeNet, Multisoft, NovaCard, Rosan, Alioth, MorphoKST и СмартПарк.

Кроме того, конечно, как и раньше поддерживаются способы хранения ключей в реестре Windows, на жестком диске, на флеш-накопителях на всех платформах.

Инструменты КриптоПро

В составе КриптоПро CSP 5.0 появилось кроссплатформенное (Windows/Linux/macOS) графическое приложение — «Инструменты КриптоПро» («CryptoPro Tools»).

Основная идея — предоставить возможность пользователям удобно решать типичные задачи. Все основные функции доступны в простом интерфейсе — при этом мы реализовали и режим для опытных пользователей, открывающий дополнительные возможности.

С помощью Инструментов КриптоПро решаются задачи управления контейнерами, смарт-картами и настройками криптопровайдеров, а также мы добавили возможность создания и проверки электронной подписи PKCS#7.

Поддерживаемое программное обеспечение

КриптоПро CSP позволяет быстро и безопасно использовать российские криптографические алгоритмы в следующих стандартных приложениях:

• Офисный пакет Microsoft Office
• Почтовый сервер Microsoft Exchange и клиент Microsoft Outlook
• Продукты Adobe
• Браузеры Яндекс.Браузер, Спутник, Internet Explorer, Chromium GOST
• Средство формирования и проверки подписи приложений Microsoft Authenticode
• Веб-серверы Microsoft IIS, nginx, Apache
• Средства удаленных рабочих столов Microsoft Remote Desktop Services
• Microsoft Active Directory

Интеграция с платформой КриптоПро

С первого же релиза обеспечивается поддержка и совместимость со всеми нашими продуктами:

• КриптоПро УЦ
• Службы УЦ
• КриптоПро ЭЦП
• КриптоПро IPsec
• КриптоПро EFS
• КриптоПро .NET
• КриптоПро Java CSP
• КриптоПро NGate

Операционные системы и аппаратные платформы

Традиционно мы работаем в непревзойдённо широком спектре систем:

• Microsoft Windows
• macOS
• Linux
• FreeBSD
• Solaris
• AIX
• iOS
• Android
• Sailfish OS
• Аврора

аппаратных платформ:

• Intel, AMD
• PowerPC
• ARM (в т.ч. Байкал-М, Apple M1)
• MIPS (Байкал-Т)
• VLIW (Эльбрус)
• Sparc

и виртуальных сред:

• Microsoft Hyper-V
• VMWare
• Oracle Virtual Box
• RHEV

Таблица операционных систем, поддерживаемых разными версиями КриптоПро CSP.

Классификация операционных систем для использования КриптоПро CSP c лицензией на рабочее место и сервер.

Интерфейсы для встраивания

Для встраивания в приложения на всех платформах КриптоПро CSP доступен через стандартные интерфейсы для криптографических средств:

• Microsoft CryptoAPI
• PKCS#11
• OpenSSL engine
• Java CSP (Java Cryptography Architecture)
• Qt SSL

Производительность на любой вкус

Многолетний опыт разработки позволяет нам охватить все решения от миниатюрных ARM-плат, таких как Raspberry PI, до многопроцессорных серверов на базе Intel Xeon, AMD EPYC и PowerPC, отлично масштабируя производительность.

Регулирующие документы

Nginx-gost’s People

The requested certificate does not exist.
+ '[' 1 -eq 0 ']'
+ /opt/cprocsp/bin/amd64/csptest -enum -info -type PP_ENUMCONTAINERS
+ grep ngxtest 847 ngxtest
+ '[' 0 -eq 0 ']'
+ /opt/cprocsp/bin/amd64/csptest -keyset -deletekeyset -provtype 81 -container ngxtest
CSP (Type:81) v5.0.10006 KC2 Release Ver:5.0.11823 OS:Linux CPU:AMD64 FastCode:READY:DISABLED (RSA; ).
Container ngxtest deleted.
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.010 sec
[ErrorCode: 0x00000000]
+ '[' 0 -eq 1 ']'
+ /opt/cprocsp/bin/amd64/cryptcp -creatcert -provtype 81 -provname 'Crypto-Pro GOST R 34.10-2012 KC1 Strong CSP' -rdn CN=srvtest -cont '\\.\HDIMAGE\ngxtest' -certusage 1.3.6.1.5.5.7.3.1 -ku -du -ex -ca http://testgost2012.cryptopro.ru/certsrv
CryptCP 5.0 (c) "Crypto-Pro", 2002-2020.
Command prompt Utility for file signature and encryption.
Creating request...
Press keys...
[....................................................................................................................................................]
Crypto-Pro GOST R 34.10-2012 KC1 Strong CSP requests new authentication properties for container
New password:
Confirm password:
Sending request to CA...
CURL is unavailable!
Error: Error loading type library/DLL.
/dailybuildsbranches/CSP_5_0r2i/CSPbuild/CSP/samples/CPCrypt/Enroll.cpp:1144: 0x80029C4A
[ErrorCode: 0x80029c4a]
+ exit 1

Полезные команды и информация

• Запуск контейнера осуществляется командой:

  docker run –rm -p 443:443 -p 80:80 –name cprocsp6 –privileged –security-opt seccomp=unconfined –tmpfs /run –tmpfs /run/lock -v /sys/fs/cgroup:/sys/fs/cgroup:ro -d crypto

• Экспрот сертификата из контейнера в формате X509/DER (лучше использовать этот формат, так как при экспорте с опцией -base64 в файле сертификата будут отсутствовать строчки —–BEGIN CERTIFICATE—– и —–END CERTIFICATE—–)
  /opt/cprocsp/bin/amd64/certmgr -export -store uMy -dest /tmp/nginx.cer

• Проверить наличие установленных сертификатов в системе (в поле Provider Name должно быть Crypto-Pro GOST R 34.10-2001 KC2 CSP):
  /opt/cprocsp/bin/amd64/certmgr -list -store uMy

• • Работа с выгруженным контейнером формата pfx в Linux-like системах не поддерживается!

  • Описание файла конфигурации виртуального хоста:

    ssl_certificate /etc/nginx/nginx.pem; наш ГОСТовский сертификат
    ssl_certificate_key engine:gost_capi:node.sdsys.ru; наш ГОСТовский ключ
    ssl_certificate /etc/nginx/sdsys.crt;
    ssl_certificate_key /etc/nginx/sdsys.key;
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1;
    ssl_ciphers GOST2001-GOST89-GOST89:HIGH:MEDIUM; описание Ciphers
    ssl_prefer_server_ciphers on;

В описании location необходимо добавить proxy_set_header X-SSL-Cipher $ssl_cipher;

Используемая литература:

Форум CryptoPro

Другие источники

Создание Docker образа для связки CryptoPro и Nginx

Далее по тексту мы используем следующие оговорки:

• Docker образ на основе Centos 6.X
• CryptoPro 4 R2 for linux
• Nginx последняя сборка (на момент написания статьи 1.12.2-1.el6)
• У нас выпущены валидные ключи и сертификаты для доменного имени или сгенерированы с помощью тестового УЦ CryptoPro
• Сертификаты будут устанавливаться в контейеры с типом провайдера КС2, так как nginx работает только с этим типом

Описание Dockerfile (очевидные вещи опущены)

• Копируем специально подготовленный конфигурационный файл openssl в Docker-образ (см. форум CryptoPro)
• Инсталируем необходимое ПО redhat-lsb-core libcurl
• Копируем контейнер (по усмолчанию контейнеры CryptoPro размещаются по пути /var/opt/cprocsp/keys/..., где ... имя пользователя, от которого создавался контейнер. В нашем случае root. Меняем владельца папки)
• Копируем сертификат (местоназначения скопированного сертификата не имеет значения, но если использовать большую вложенность пути, импорт завершится с ошибкой)
• Копируем файл конфигурации виртуального хоста test.conf

Описание docker-entrypoint

• Запускаем сервис CryptoPro:

• Указываем CryptoPro где находится библиотека Curl:

  /opt/cprocsp/sbin/amd64/cpconfig -ini \\config\\apppath -add string libcurl.so /usr/lib64/libcurl.so

• Если переносимый контейнер имеет пароль, то его надо сбросить:

  /opt/cprocsp/bin/amd64/csptest -passwd -container ‘\\.\HDIMAGE\test_container’ -change ” -passwd ‘old_password’

• Устанавливаем сертификат в контейнер с типом провайдера КС1 (обратите внимание, что имя контейнера идет без порядкового номера, используемого в dockerfile test.000):

  /opt/cprocsp/bin/amd64/certmgr -inst -file /tmp/nginx.cer -cont ‘\\.\HDIMAGE\test’

• Устанавливаем ПО необходимое для работы с контейнерами типа КС2 (Важно чтобы данный пакет был инсталирован после установки сертификата, но перед линковокой установленного сертификата с контейнером типа КС2):

  yum install -y /tmp/lsb-cprocsp-kc2-64-4.0.0-4.x86_64.rpm

• Линкуем установленный сертификат с контейнером КС2:

  /opt/cprocsp/bin/amd64/certmgr -inst -store uMy -cont ‘\\.\HDIMAGE\test’ -provtype 75 -provname “Crypto-Pro GOST R 34.10-2001 KC2 CSP”

• Перековертируем сертификат из формата X509/DER в X.509/PEM:

  /opt/cprocsp/cp-openssl/bin/amd64/openssl x509 -inform der -in /tmp/nginx.cer -out /etc/nginx/nginx.pem

• Редактируем nginx.conf. Необходимо изменить пользователя, от которого будет запускать nginx. Пользователь должен быть тем, от которого создавался/размещался контейнер с ключами. В нашем случае root