Этот проект по сути себя изживает, мы научились делать TLS в nginx и apache более нативно и скоро это будет анонсировано.

Поддержка работы ГОСТа через openssl для нас не имеет перспектив, так как интерфейс openssl оперирует ключами в голом виде, что никогда не будет сертифицировано даже по низкому классу.

Ну вообще gostengy отдает private key через ENGINE_load_private_key через который сам ключ не вынимается, а дается только указатель. Тут вот подробнее

https://mta.openssl.org/...017-November/006944.html

Когда я вызываю к примеру функцию подписания ключом, то вызов идет в engine и он там сам производит криптографические операции. По этому какие "голые ключи" и куда передаются мне немного не понятно. Т.е. экспортнуть ключ через этот метод банально не получится. Движки первоначально делались для PKCS#11, а там вообще ключ живет в токене и внаружу не отдается.


Это реализуемо. Просто сейчас для интеграции надо пользоваться capilite который мягко говоря своебразный для *nix так-как фактически представляет собой кусок windows CSP портированного на *nix. Как итог это еще и не совместимо ни с чем кроме софта который специально писался для него.


Ну если бы gostengy выложили в opensource то добавить туда еще gost89 для полного прокрытия труда не составило бы.

Так я про это и говорю, просто называю не указатель, а дескриптор (хендл, handle - ближе к терминологии windows; машинный перевод Майкрософт иногда вообще переводит как "ручка").Зато на ура работают портированные с Windows программы. Просто подходы с разной стороны, а engine как возможный переходник между ними.Это да, но и без "gostengy выложили в opensource" реализуемо. Ведь по сути шифрование и подпись для гост никак не связаны. Что ожидает openssl можно поискать в исходниках openssl. Заголовки функций capilite тоже есть.

Что получится если сделать движок (или скорее engine-надстройку), подгружающий gostengy и пробрасывающий функции tls и функции подписания из gostengy (но, допустим, по ходу меняющую хендлы ключей на свои для универсального использования ключей в подписи/расшифровке) и делающую дополнительные функции в виде проброса генерации сессионного ключа и процедуры шифрования к форматам capilite. Регистрация engine, как я понимаю, потребуется тоже другая с дополненным перечнем функций.

Если продолжать мысль дальше, что есть в старом engine gost и нет в gostengy, но можно бы пробросить к capilite, чтобы был полный цикл:
- генерацию ключевой пары (в контейнер КриптоПро);
- корректный экспорт ключевой пары в pfx (по требованиям TK26).
Чтобы старые скрипты для криптокомовского модуля gost внезапно стали рабочими через надстройку к gostengy и capilite.

Подобным образом можно наверно и совместимость с форматом engine openssl 1.0.x сделать, а то там целая история с переходом старых программ на ветку 1.1.х исключительно для поддержки ключей гост-2012. Да и вообще, были отдельные версии несовместимые с gost_capi / gostengy по процедуре регистрации engine.Тут посоветовать могу: 1) документацию Майкрософт; 2) сертификат это универсальная структура - незачем его разбирать через capilite если привыкли разбирать как openssl. Просто возьмите часть _Cert_Context с закодированным сертификатом (указатель pbEncoded, длина cbEncoded) и загрузите в подходящую функцию openssl; 3) если что пишите личным сообщением вопрос.

Отредактировано пользователем 5 декабря 2020 г. 15:06:01(UTC)  | Причина: Не указана

Добрый день!
Пытаюсь сконвертировать файлы PEM (cert.pem, key.pem) в PFX.

Появляется ошибка:
C:\Program Files (x86)\OpenSSL-Win32\bin>openssl pkcs12 -export -out D:\777\cert.pfx -inkey D:\777\key.key -in D:\777\cert.pem
unable to load private key
6888:error:0606F090:digital envelope routines:EVP_PKCS82PKEY:method not supported:crypto\evp\evp_pkey.c:48:
6888:error:0907B00D:PEM routines:PEM_read_bio_PrivateKey:ASN1 lib:crypto\pem\pem_pkey.c:88:

Пробовал и так:
C:\Program Files (x86)\OpenSSL-Win32\bin>openssl pkcs12 -engine gostengy -export -out D:\777\cert.pfx -inkey D:\777\key.key -in D:\777\cert.pem
engine "gostengy" set.
unable to load private key
12064:error:0606F090:digital envelope routines:EVP_PKCS82PKEY:method not supported:crypto\evp\evp_pkey.c:48:
12064:error:0907B00D:PEM routines:PEM_read_bio_PrivateKey:ASN1 lib:crypto\pem\pem_pkey.c:88:

Подскажите, в чем может быть проблема?

Установлено:
- OpenSSL 1.1.1k
- КриптоПРО CSP 5.0.11455 КС1
- библиотека gostengy (211453)
- Windows 10

Спасибо. Помогло.