По какой причине не используются отечественные алгоритмы для шифрования диска в Astra Linux SE 1.8.2 ?

Здравствуйте , задам вероятно странный вопрос, но прошу отнестись к нему серьёзно.
Обладает ли кто то информацией (или разумным предположением) по какой причине в дистрибутиве Astra Linux не используются алгоритмы магма/кузнечик для шифрования файловой системы ? Вместо них применяются американский AES и SHA256, которые по идее должны замещаться в сторону аналогов. Если доверие к AES настолько велико, то я не понимаю почему от него отказываются в других областях. Вопросы к криптостойкости этих алгоритмов вряд ли могут быть причиной.
Я мог бы предположить, что причина в нежелании этим заниматься, но для меня это выглядит не разумным.
Официальная вики никаких ответов на данный вопрос не даёт , как и поиск по интернету , возможно я единственный кого это интересует.
Я понимаю что разработка и внедрение этого требует затрат и усилий , но в моём понимании это оправданно в данном дистрибутиве. Получается странная ситуация, что шифрование диска при помощи алгоритма кузнечик реализовано в французском форке TrueCrypt (veracrypt), но не реализовано в российском дистрибутиве, сертифицированном для использования госами, военными и спец службами.

Если у кого то есть информация на эту тему, пожалуйста напишите, мне действительно интересно.
Спасибо.

0

Сообщение от _sg2 Ну и если Вы около СЗГТ работаете (что-то я тут про людей из штаба прочёл), то вот вам дружеский совет - не усложняйте,

к счастью нет, с ЗГТ встречался, но это уже в прошлом как и обитатели штаба. Вопросом интересуюсь из-за своего личного любопытства и желания разобраться в области отечественной криптографии. За совет спасибо.

UPD: Проверил, нет хеш функкция streebog в cryptsetup по прежнему не поддерживается, хотя как модуль доступна и загружена. Хотя в этой статье вроде как приводится пример работы на древнем ядре 4.4 https://habr.com/ru/articles/320966/

0

Я ж говорю - отстал от жизни и давал советы по старой памяти, что неверно, каюсь, но чего-то хотелось высказаться.
Даже не выдержал, поставил таки астру, что была под рукой, глянул. Да, алгоритмы ЭЦП (стрибог) - прям сразу в ядре теперь (и это если я на старости лет не путаю что было много лет назад, да и скорее всего они включены в само ядро на kernel.org, а не мастерами из ГК Астра), и да, libgost-astra - это добавление только в пару мест ОС:
"Данный пакет обеспечивает включение в состав методов защитного преобразования, поддерживаемых пакетами openssl и openvpn" (с) вики астры

Почему не сделали кузнечика - этот вопрос задавать надо в техподдержку или напрямую руководству я думаю.
Ну может хоть чем-то и помог, хотя затея с шифрованием дисков как по мне - затея лишняя.

0

Сообщение от _sg2 да и скорее всего они включены в само ядро на kernel.org

комиты действительно были, правда из-за чертовки неудобного интерфейса не могу понять приняли их или нет
https://git.kernel.org/pub/scm... fe18957e8e
https://git.kernel.org/pub/scm... 0d7a78643f
судя по тому, что файл streebog_generic.c есть в архиве скачанном с kernel.org всё же приняли.
upd: modinfo streebog_generic демонстрирует это

Сообщение от _sg2 Почему не сделали кузнечика - этот вопрос задавать надо в техподдержку или напрямую руководству я думаю.

я бы хотел, но не могу

Сообщение от _sg2 Ну может хоть чем-то и помог, хотя затея с шифрованием дисков как по мне - затея лишняя.

помогли тем, что подсказали поискать модули на гитхабе, сам не факт, что дошёл бы до этого, за это спасибо. По поводу шифрования всего диска, мне лично идея кажется оправданной. У меня и на домашнем компьютере система полностью зашифрован, правда на обычный AES.

Тему пока закрывать не буду, может быть кто то присоединится к обсуждению или я смогу всё же домучить cryptsetup до полной поддержки.

Добавлено через 5 часов 39 минут
В общем мои эксперименты с попыткой подружить streebog и cryptsetup ни к чему не привели. Он упорно не видит этот алгоритм, хотя модуль ядра загружен, попробовал все алиасы из списка и даже понижать версию luks до 1
Здесь у человека алгоритм доступен играючи, сразу после сборки модуля, https://habr.com/ru/articles/320966/

В том числе пробовал и собирать модуль отсюда https://github.com/GostCrypt/linux-crypto

и в ручную править его добавляя .cra_flags = CRYPTO_ALG_TYPE_SHASH,

0

0

Ну раз пошли компиляции и всё такое, можно попробовать VeraCrypt. Может там в коде наши шифры прописаны?

0

Сообщение от _sg2 Может там в коде наши шифры прописаны?

они там прописаны, но тут загвоздка в том, как cryptsetup попросить посмотреть на этот алгоритм, реализация то уже есть в ядре + пробовал стороннюю

0

Вы исходники cryptsetup смотрели от астры, что так категорично утверждаете, что в его когде вс? Я бегло пролистал хабро-статью, что Вы приводили и там хлопец добавлял поддержку лихо программируя с виду на старом добром С.

0

Сообщение от _sg2 и там хлопец добавлял поддержку лихо программируя с виду на старом добром С

там приводятся код для модуля streebog, который я смотрел, перетаскивал из него .cra_flags = CRYPTO_ALG_TYPE_SHASH, поскольку предполагал что это может помочь

Сообщение от _sg2 Вы исходники cryptsetup смотрели от астры,

не смотрел, на диске есть только заголовочные файлы к нему, но нет .с (проверял devel, extended,install) и честно говоря я не знаю C, что бы вносить туда значимые изменения, просто пробовал перенести некоторые фрагменты из одной реализации в другую. Те правки cryptserup , которые вносит автор статьи добавляют поддержку нашей криптографии только во встроенный бенчмарк. Цитата:

Для того, чтобы ГОСТ-вые алгоритмы появились при тестировании (параметр benchmark) в утилиту cryptsetup достаточно внести изменения в следующие файлы: Можно эти изменения не вносить, но тогда потребуется тестировать алгоритмы с явным указанием шифра и режима (моды)

Так же не помогает, что автор опубликовал исходники только 1 файла из всех.

0