Re: [devel] nss-gost и firefox-gost в Сизифе

[Paul Wolneykien <manowar@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 2983 bytes --]

В Thu, 5 Dec 2019 19:05:35 +0000
manowar@altlinux.org пишет:

> Четверг, 5 декабря 2019 г получено от Dmitry V. Levin:
> > 
> > Поместить в gostcrypto или сменить soname - два разных подхода,
> > выбор зависит от решаемой задачи.  Если нужна библиотека, которую
> > можно использовать одновременно с обычной, то смена soname и полный
> > развод provides.  Если нужна библиотека, которую можно использовать
> > вместо обычной, то сохранение soname и помещение в gostcrypto.  
> 
>   Вариант "вместо" (gostcrypto) будет особенно интересен, если мы
> договоримся включить номера ГОСТовых шифронаборов в базовую версию
> Firefox.

  Прилагаю патч, который разрешает использование шифронаборов с
номерами C100--C102 и 81 для HTTPS. Смысл его в том, что он разрешает
принять данные шифронаборы к рассмотрению в рамках процедуры установки
соединения. При этом фактическое использование шифронабора зависит от
соблюдения двух условий: 1) шифронабор поддерживается каким-либо
модулем NSS; 2) шифронабор поддерживается сайтом. Таким образом, с
обыкновенной сборкой NSS поведение браузера никак не изменится,
поскольку не будет соблюдено условие (1). Но при замене libnss на
libnss-gostcrypto оно, напротив, будет соблюдено и тем самым откроется
доступ к сайтам (2).

  2legion@: Насколько вероятно, по вашему, одобрение данного патча
Mozilla для использования в нашей сборке Firefox (т.е. в Сизифе)?

>   Поясню. Сейчас у меня эти номера берутся из констант,
> добавленных в NSS. Но ничто не мешает определить эти номера
> непосредственно в коде firefox, потому что они не с неба свалились, а
> определены в стандарте.
>   И тогда, действительно, мы получим систему, в
> которой ГОСТ включается простой заменой одной библиотеки на другую,
> без переустановки пакетов.


[-- Attachment #2: firefox-70.0.1-gost-ciphersuites.patch --]
[-- Type: text/x-patch, Size: 1706 bytes --]

diff --git a/mozilla/security/manager/ssl/nsNSSComponent.cpp b/mozilla/security/manager/ssl/nsNSSComponent.cpp
index c091ce7a763..5fd5a9bb549 100644
--- a/mozilla/security/manager/ssl/nsNSSComponent.cpp
+++ b/mozilla/security/manager/ssl/nsNSSComponent.cpp
@@ -903,6 +903,16 @@ nsresult LoadLoadableRootsTask::LoadLoadableRoots() {
   return NS_ERROR_FAILURE;
 }
 
+// These cipher suites are already assigned to GOST by IANA --- see
+// https://www.iana.org/assignments/tls-parameters/tls-parameters-4.csv .
+#define TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC 0xC100
+#define TLS_GOSTR341112_256_WITH_MAGMA_CTR_OMAC      0xC101
+#define TLS_GOSTR341112_256_WITH_28147_CNT_IMIT      0xC102
+
+// This cipher suite is known to be used by https://eruz.zakupki.gov.ru/
+// for GOST-R-3411.94 with GOST-28147 IMIT mode cipher:
+#define TLS_GOSTR341194_WITH_28147_CNT_IMIT          0x0081
+
 // Table of pref names and SSL cipher ID
 typedef struct {
   const char* pref;
@@ -956,6 +966,18 @@ static const CipherPref sCipherPrefs[] = {
     {"security.ssl3.rsa_des_ede3_sha", TLS_RSA_WITH_3DES_EDE_CBC_SHA,
      true},  // deprecated (RSA key exchange, 3DES)
 
+    {"security.ssl3.ecdhe_gostr_3411_12_256_kuznyechik_ctr_omac",
+     TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC, true},
+
+    {"security.ssl3.ecdhe_gostr_3411_12_256_magma_ctr_omac",
+     TLS_GOSTR341112_256_WITH_MAGMA_CTR_OMAC, true},
+
+    {"security.ssl3.ecdhe_gostr_3411_12_256_28147_cnt_imit",
+     TLS_GOSTR341112_256_WITH_28147_CNT_IMIT, true},
+
+    {"security.ssl3.ecdhe_gostr_3411_94_256_28147_cnt_imit",
+     TLS_GOSTR341194_WITH_28147_CNT_IMIT, true},
+
     // All the rest are disabled
 
     {nullptr, 0}  // end marker