seshhekotikhin/openssl-gost

Docker镜像：seshhekotikhin/openssl-gost

该镜像旨在支持连接使用GOST SSL证书的服务器，并使用GOST算法进行加密、解密和哈希操作。它包含最新版本的OpenSSL（3.5.1）、nginx（1.29）、curl（8.15.0）、stunnel（5.75）和Open***（2.6.14）。

要验证OpenSSL是否包含GOST密码套件，请运行以下命令：

bash
docker run --rm docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl ciphers

输出中应包含以下关键行：

GOST2012-GOST8912-GOST8912 
GOST2001-GOST89-GOST89 

所有镜像均使用https://github.com/gost-engine/engine构建。如果您想自行构建镜像，请参考https://github.com/gost-engine/engine/blob/master/INSTALL.md。

可用镜像标签

Docker Hub上提供以下镜像标签：

• seshhekotikhin/openssl-gost:latest 或 seshhekotikhin/openssl-gost:3.5.1：基础GOST OpenSSL镜像。
• seshhekotikhin/openssl-gost:3.5.1-curl-8.15.0：包含curl的GOST OpenSSL镜像。
• seshhekotikhin/openssl-gost:3.5.1-stunnel-5.75：包含stunnel的GOST OpenSSL镜像。
• seshhekotikhin/openssl-gost:3.5.1-nginx-1.29.0：包含nginx和curl的GOST OpenSSL镜像。
• seshhekotikhin/openssl-gost:1.1.1-openvpn-2.6.14：包含Open***的GOST OpenSSL镜像。

使用示例

查看GOST证书主机的证书链

bash
docker run --rm docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl s_client -connect alpha.demo.nbki.ru:443

生成GOST私钥和证书

bash
docker run --volume $(pwd):/certs --rm -i docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl req -x509 -newkey gost2001 -pkeyopt paramset:A -nodes -keyout /certs/key.pem -out /certs/cert.pem

获取证书详细信息

bash
docker run --volume $(pwd):/certs --rm docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl x509 -text -in /certs/cert.pem -noout

GOST算法电子签名文件

bash
docker run --volume $(pwd):/certs --rm docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl cms -sign -signer /certs/cert.pem -inkey /certs/key.pem -binary -in /certs/text.txt -nodetach -outform DER -nocerts -noattr -out /certs/signed.sgn

验证GOST签名文件

bash
docker run --volume $(pwd):/certs --rm docker.xuanyuan.run/seshhekotikhin/openssl-gost:latest openssl cms -verify -in /certs/signed.sgn -certfile /certs/cert.pem -CAfile /certs/cert.pem -inform der -out /certs/data.txt

更多GOST示例请参考：https://github.com/gost-engine/engine/blob/master/README.gost

证书颁发机构问题

若遇到SSL certificate problem: unable to get local issuer certificate错误，可通过以下方式解决：

1. 禁用证书验证（不安全，不推荐）：curl -k或openssl cms -noverify。
2. 安装根证书：
   • 下载根证书（如***PRO CA）。
   • 转换为PEM格式：openssl pkcs7 -inform DER -outform PEM -in cacer.p7b -print_certs > crypto_pro_ca_bundle.crt。
   • 安装到CA存储：cp crypto_pro_ca_bundle.crt /usr/local/share/ca-certificates && update-ca-certificates，或请求时指定：curl --cacert crypto_pro_ca_bundle.crt ...。

在其他Dockerfile中使用

可从以下目录复制工具到您的镜像：

• /usr/local/ssl：带GOST引擎的OpenSSL。
• /usr/local/curl：基于GOST OpenSSL的curl。
• /usr/local/stunnel：基于GOST OpenSSL的stunnel。

备注

本镜像参考了https://github.com/rnixik/docker-openssl-gost和https://github.com/gost-engine/engine，特此致谢。