Коллеги, нужна помощь и подтверждение практик по использованию CryptoPRO (CSP/JCSP) в Java-инфраструктуре.
Контекст
- Стандартный современный Java стек: Java 21, сборка Maven/Gradle. CD активно использует Docker, авто тесты, развёртывание, т.е. контейнеры часто пересоздаются автоматически.
- Базовый функционал криптографии: подписание обезличенной УКЭП ГОСТ Р 34.10-2012 ГОСТ Р 34.11-2012, сертификат Казначейства в продакшене, внешнее взаимодействие ГОСТ-TLS.
1. Вопросы по примеру Dockerfile из документации1.1. В официальном примере:
Код:RUN java -cp .:*: ru.CryptoPro.Installer.InstallerConsole -force -install -jcp -jcsp -default_provider 1
Команда не срабатывает — класс InstallerConsole не найден.
Присутствует ли этот класс в дистрибутиве CSP, и в какой версии, что он по делает, можно ли без него?
1.2. Инструкция по ссылке:
https://www.cryptopro.ru...ts&m=90351#post90351Не удалось установить пакеты через репозиторий - непонятно, какой логин, вводили только почту, как её не подставляли в url - не сработало.
2. Вопросы менеджмента ключей 2.1. Верно ли, что подобное сложно реализовать, оставаясь в рамках JCP, чистой Java, без установки в окружение CryptoPRO CSP/JCSP? Верно ли, что единственный вариант в этом контексте, работающий без дополнительного оборудования (токенов и пр.) это HDIMAGE? Остальные сторы, кажется, либо не поддерживаются в выбранном контексте (софтверные, jks, ...), либо не дают автоматический импорт/экспорт (что убивает часть функционала CICD). Есть ли способ автоматического экспорта\импорта подобных сертификатов в контейнер при запуске - средствами JCP (например, импорт в HDIMAGE)? Как в таких условиях типично автоматически устанавливают тестовые сертификаты при контейнеризации?
2.2. Как лучше выпускать самоподписанные\тестовые сертификаты, при работе с Криптопро наиболее приближённые к реальным сертификатам Федерального казначейства?
Какие существуют лучшие практики для автоматизированных CI/CD-окружений: где можно\законно хранить дистрибутивы+лицензии CryptoPro, сертификаты, ключи ?
3. Вопросы ИБ, лицензирования и регулирования3.1. Разрешено ли использовать установку из локального/приватного артефактория (тут про jar файлы), если дистрибутив предварительно загружены с официального сайта, или это нарушает?
Если разрешено — какая стандартная схема проверки целостности дистрибутивов или отдельных jar?
3.2. Легальна ли установка CSP из заранее скачанных deb пакетов, при каких условиях?
3.3. Нужна ли серверная лицензия на каждый запущенный контейнер?
Если да — какая именно (число ядер не эквивалентно физическим и т.д.)?
Какие есть практики менеджмента такой группы лицензий?
Какие ещё типы лицензий стоит учесть в описанной ситуации (кроме рабочих мест разработки и QA, т.д., серверных)?
3.4. Существуют ли способы встроить указанную функциональность CryptoPRO в Java-приложение без необходимости дополнительных регуляторных процедур (например, сертификации среды или СКЗИ-компонентов, ПКЗ-2005)?
