Главная // Актуальные документы // Приказ

ключ подписи: Элемент секретных данных, специфичный для субъекта и используемый только данным субъектом в процессе формирования цифровой подписи. [ГОСТ Р 34.10-2012, статья 3.1.2]

ключ проверки подписи: Элемент данных, математически связанный с ключом подписи и используемый проверяющей стороной в процессе проверки цифровой подписи. [ГОСТ Р 34.10-2012, статья 3.1.3]

Bs	- множество байтовых строк длины s, s >= 0. Строка b = (b1, ... , bs) принадлежит множеству Bs, если . При s = 0 множество Bs состоит из единственной пустой строки длины 0;
B*	- множество всех байтовых строк произвольной конечной длины;
|b|	- длина байтовой строки (если b - пустая строка, то |b| = 0);
|	- конкатенация двух байтовых строк; для двух строк , их конкатенацией a|b называется строка ;
bs	- байтовая строка длины s вида , где ;
b[i..j]	- строка , где 1 <= i <= j <= s и ;
LMBt(b)	- строка , соответствующая строке , 1 <= t <= s;
STRs(r)	- строка , соответствующая числу r = 256s-1·b1 + ... + 256·bs-1 + bs <= 256s - 1 (представление числа r в виде байтовой строки в формате big-endian);
strs(r)	- строка , соответствующая числу r = 256s-1·bs + ... + 256·b2 + b1 <= 256s - 1 (представление числа r в виде байтовой строки в формате little-endian);
&	- операция побитовой конъюнкции (побитовое "И");
	- наименьшее целое число, большее или равное r;
n	- параметр алгоритма блочного шифрования, называемый длиной блока, задаваемый согласованным криптонабором (см. 10.1.1); в рамках данного документа измеряется в байтах;
KLen	- параметр алгоритма блочного шифрования, называемый длиной ключа, задаваемый согласованным криптонабором (см. 10.1.1); в рамках данного документа измеряется в байтах;
IVLen	- длина вектора инициализации в байтах, задаваемая согласованным криптонабором (см. 10.1.2);
Qc	- открытый эфемерный ключ клиента;
dc	- закрытый эфемерный ключ клиента;
Qs	- открытый эфемерный ключ сервера;
ds	- закрытый эфемерный ключ сервера;
Ei	- эллиптическая кривая, указанная клиентом в расширении supported_groups;
mi	- порядок группы точек эллиптической кривой Ei;
qi	- порядок циклической подгруппы группы точек эллиптической кривой Ei;
Pi	- точка эллиптической кривой Ei порядка qi;
hi	- кофактор циклической подгруппы порядка qi группы точек эллиптической кривой Ei, значение которого равно ;
(dis, Qis)	- эфемерная ключевая пара сервера: закрытый и открытый ключи, соответствующие кривой Ei;
(dic, Qic)	- эфемерная ключевая пара клиента: закрытый и открытый ключи, соответствующие кривой Ei;
Oi	- нулевая точка эллиптической кривой Ei;
Qverify	- ключ проверки подписи, хранящийся в сертификате стороны взаимодействия;
dsign	- ключ подписи, соответствующий ключу Qverify;
SIGN	- функция формирования подписи, принимающая на вход произвольную байтовую строку и ключ подписи dsign и выдающая в качестве результата своей работы строку sgn (см. 10.2);
	- операция покомпонентного сложения по модулю 2 двух байтовых строк одинаковой длины;
HASH	- хэш-функция, задаваемая согласованным криптонабором (см. 10.1.4);
HLen	- длина выхода хэш-функции HASH в байтах (см. 10.1.4);
HMAC	- функция вычисления кода аутентификации сообщения, определяемая алгоритмом HMAC, описанным в Р 50.1.113-2016 (подраздел 4.1) и задающимся в соответствии с хэш-функцией, задаваемой согласованным криптонабором (см. 10.1.4).

enum { client_hello(0x01), server_hello(0x02), new_session_ticket(0x04), end_of_early_data(0x05), encrypted_extensions(0x08), certificate(0x0B), certificate_request(0x0D), certificate_verify(0x0F), finished(0x14), key_update(0x18), message_hash(0xFE), (0xFF) } HandshakeType; struct { HandshakeType msg_type; /* handshake type */ uint24 length; /* remaining bytes in message */ select (Handshake.msg_type) {
case client_hello:	ClientHello;
case server_hello:	ServerHello;
case end_of_early_data:	EndOfEarlyData;
case encrypted_extensions:	EncryptedExtensions;
case certificate_request:	CertificateRequest;
case certificate:	Certificate;
case certificate_verify:	CertificateVerify;
case finished:	Finished;
case new_session_ticket:	NewSessionTicket;
case key_update:	KeyUpdate;
}; } Handshake;

Режим работы протокола Handshake	Схема аутентифицированной выработки общего ключевого материала	Используемые энтропийные данные
ECDHE-only	ecdhe_ke	ECDHE
ePSK-ECDHE	psk_ecdhe_ke	ePSK и ECDHE
iPSK-only	psk_ke	iPSK
iPSK-ECDHE	psk_ecdhe_ke	iPSK и ECDHE

	- расширения, посылаемые в рамках сообщения, под которым они указаны;
*	- опциональные данные;
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_handshake_traffic_secret (см. подробнее 8.4);
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_application_traffic_secret_N (см. подробнее 8.4).

	- расширения, посылаемые в рамках сообщения, под которым они указаны;
*	- опциональные данные;
[]	- расширение, посылаемое клиентом в режиме возобновления соединения для обеспечения возможности перехода к полной схеме обмена сообщениями;
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_handshake_traffic_secret (см. подробнее 8.4);
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_application_traffic_secret_N (см. подробнее 8.4).

	- расширения, посылаемые в рамках сообщения, под которым они указаны;
*	- опциональные данные;
[]	- расширение, посылаемое клиентом в режиме возобновления соединения для обеспечения возможности перехода к полной схеме обмена сообщениями;
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_handshake_traffic_secret (см. подробнее 8.4);
	- сообщения, защищенные на ключах, выработанных из секретного значения [sender]_application_traffic_secret_N (см. подробнее 8.4).

uint16 ProtocolVersion; opaque Random[32];
uint8 CipherSuite[2];	/* Cryptographic suite selector */
struct {
ProtocolVersion legacy_version = 0x0303;		/* TLS v1.2 */
Random random; opaque legacy_session_id<0..32>; CipherSuite cipher_suites<2..2^16-2>; opaque legacy_compression_methods<1..2^8-1>; Extension extensions<8..2^16-1>; } ClientHello;

где legacy_version	- поле длиной в 2 байта, отвечающее в более ранних версиях протокола TLS за индикацию максимальной версии протокола, поддерживаемой клиентом, и сохраненное в текущей версии протокола в целях поддержки совместимости форматов сообщений. В протоколе TLS 1.3 информация о поддерживаемых клиентом версиях указывается в расширении supported_versions, описанном в 5.6.1. В рамках протокола TLS 1.3 данное поле должно принимать значение 0x0303 (соответствующее значению поля client_version сообщения ClientHello для протокола TLS 1.2);
random	- строка данных длиной в 32 байта, выработанная клиентом случайным образом;
legacy_session_id	- поле, отвечающее в более ранних версиях протокола TLS за механизм возобновления соединения, определенный в Р 1323565.1.020, замененный в настоящих рекомендациях механизмом использования значений iPSK, и сохраненное в текущей версии протокола в целях поддержки совместимости форматов сообщений. В рамках работы протокола TLS 1.3 не в режиме совместимости данное поле должно содержать вектор нулевой длины. В рамках работы протокола TLS 1.3 в режиме совместимости данное поле должно содержать строку данных длиной в 32 байта, сгенерированную клиентом. При этом данное значение не обязательно должно быть случайным, но должно быть непредсказуемым (таким, что его нельзя заранее определить с достаточно большой вероятностью);
cipher_suites	- список криптонаборов, которые поддерживает клиент. Порядок криптонаборов в списке отражает их степень предпочтения (предпочтительные идут первыми). Если список содержит криптонаборы, которые сервер не распознает, не поддерживает или не желает использовать, сервер должен их проигнорировать. Если клиент пытается установить соединение в рамках psk_ecdhe_ke или psk_ke схемы аутентифицированной выработки общего ключевого материала, ему следует предъявить по меньшей мере один криптонабор, поддерживающий алгоритм хэширования, ассоциированный с предложенными тикетами (см. 5.6.5.2). Значения криптонаборов, допустимых к использованию в рамках данного документа, задаются в 10.1;
legacy_compression_methods	- поле, содержащее вектор длиной 1 со значением, равным 0 (соответствующее методу null), отвечавшее в более ранних версиях протокола TLS за выбор метода сжатия, использование которого запрещено в рамках текущей версии протокола. Если в полученном сообщении ClientHello значение этого поля отлично от нуля, сервер должен прекратить работу протокола Handshake с оповещением illegal_parameter (см. 7.2). В режиме совместимости сервер может получать сообщения ClientHello протокола TLS версии 1.2 и ниже, содержащие методы сжатия. В этом случае сервер должен следовать процедурам, соответствующим указанной версии TLS;
extensions	- расширения, посылаемые со стороны клиента. Расширения выбираются из списка, приведенного в таблице 2. Серверы должны игнорировать нераспознанные расширения. Можно выделить три типа расширений: расширение supported_versions, необходимое для согласования версии протокола (см. 5.6.1); расширения, необходимые для обеспечения корректной работы протокола Handshake, использующего одну из трех схем аутентифицированной выработки общего ключевого материала: psk_ke, psk_ecdhe_ke или ecdhe_ke, описанную в 5.3.2 и 5.3.1 соответственно; а также опциональные расширения, отвечающие за использование дополнительного функционала протокола. В случае если сервер отказался поддерживать какое-либо из расширений, предложенных клиентом, клиент может прекратить работу протокола Handshake, послав соответствующее оповещение (например, missing_extension, см. подробнее 7.2).

struct {
ProtocolVersion legacy_version = 0x0303;	/* TLS v1.2 */
Random random; opaque legacy_session_id_echo<0..32>; CipherSuite cipher_suite; uint8 legacy_compression_method = 0; Extension extensions<6..2^16-1>; } ServerHello;

где legacy_version	- поле длиной в 2 байта, отвечающее в более ранних версиях протокола TLS за индикацию версии протокола, поддерживаемой сервером, и сохраненное в текущей версии протокола в целях поддержки совместимости форматов сообщений. В протоколе TLS 1.3 информация о выбранной сервером версии указывается в расширении supported_versions, описанном в 5.6.1. В рамках протокола TLS 1.3 данное поле должно принимать значение 0x0303 (соответствующее значению поля server_version сообщения ServerHello для протокола TLS 1.2);
random	- строка данных длиной в 32 байта, выработанная сервером случайным образом и не зависящая от значения, переданного клиентом в поле ClientHello.random. В случае если TLS 1.3 сервер согласовывает параметры соединения в рамках режима совместимости и максимально поддерживаемая версия протокола TLS, указанная клиентом в сообщении ClientHello, соответствует версии, предшествующей версии 1.3, в целях защиты от downgrade атак сервер использует механизм формирования значения поля random в соответствии с 11.2.1;
legacy_session_id_echo	- поле, содержащее данные, указанные клиентом в поле legacy_session_id сообщения ClientHello, и заполняемое таким образом даже в случае, если значение, указанное клиентом в поле legacy_session_id сообщения ClientHello, соответствует кэшированному значению сессии, соответствующей версии протокола TLS 1.2 и ниже. Клиент, получивший сообщение ServerHello или HelloRetryRequest со значением поля legacy_session_id_echo, не соответствующим значению, посланному в сообщении ClientHello, должен прекратить работу протокола Handshake с оповещением illegal_parameter (см. 7.2);
cipher_suite	- криптонабор, выбранный сервером из списка ClientHello.cipher_suites, предложенного клиентом. Клиент, получивший криптонабор, который не был предложен им в списке ClientHello.cipher_suites, должен прекратить работу протокола Handshake с оповещением illegal_parameter (см. 7.2);
legacy_compression_method	- поле длиной в 1 байт, которое должно принимать значение 0 (соответствующее методу null);
extensions	- список расширений. Сообщение ServerHello может содержать только те расширения, которые были перечислены в поле extensions сообщения ClientHello. Сообщение ServerHello должно всегда содержать расширение supported_versions, необходимое для согласования версии протокола. Сообщение ServerHello должно содержать набор расширений, необходимых для формирования криптографического контекста, соответствующего одной из трех схем аутентифицированной выработки общего ключевого материала psk_ke, psk_ecdhe_ke или ecdhe_ke, описанных в 5.3.2 и 5.3.1 соответственно, в рамках которой сервер планирует дальнейшее взаимодействие с клиентом. Таким образом, данное поле должно содержать либо расширение pre_shared_key (в случае использования psk_ke схемы), либо расширение key_share (в случае использования ecdhe_ke схемы), либо оба указанных расширения (в случае использования psk_ecdhe_ke схемы). Все остальные расширения должны пересылаться в сообщении EncryptedExtensions.

struct { ExtensionType extension_type; opaque extension_data<0..2^16-1>; } Extension;

Название расширения	Тип расширения	Сообщение, в котором оно может пересылаться
server_name	0x0000	CH, EE
supported_groups	0x000A	CH, EE
signature_algorithms	0x000D	CH, CR
pre_shared_key	0x0029	CH, SH
supported_versions	0x002B	CH, SH, HRR
cookie	0x002C	HRR, CH
psk_key_exchange_modes	0x002D	CH
post_handshake_auth	0x0031	CH
signature_algorithms_cert	0x0032	CH, CR
key_share	0x0033	CH, SH, HRR

struct { select (Handshake.msg_type) {
case	client_hello: ProtocolVersion versions<2..254>;
case	server_hello: ProtocolVersion selected_version;
}; } SupportedVersions;

struct { SignatureScheme supported_signature_algorithms<2..2^16-2>; } SignatureSchemeList;

struct { NamedGroup named_group_list<2..2^16-1>; } NamedGroupList;

struct { NamedGroup group; opaque key_exchange<1..2^16-1>; } KeyShareEntry;

где group	- поле длиной в 2 байта, в котором указывается идентификатор кривой;
key_exchange	- открытый эфемерный ключ, принадлежащий кривой, идентификатор которой указан в поле group. Значение данного поля определяется в соответствии с 8.5 и представляется в формате, указанном в 5.6.4.4.

struct { KeyShareEntry client_shares<0..2^16-1>; } KeyShareClientHello;

struct { NamedGroup selected_group; } KeyShareHelloRetryRequest;

struct { KeyShareEntry server_share; } KeyShareServerHello;

struct { opaque X[coordinate_length]; opaque Y[coordinate_length]; } PlainPointRepresentation;

struct { select (Handshake.msg_type) {
case client_hello:	OfferedPsks;
case server_hello:	uint16 selected_identity;
}; } PreSharedKeyExtension;

opaque PskBinderEntry<32..255>; struct { PskIdentity identities<7..2^16-1>; PskBinderEntrybinders<33..2^16-1>; } OfferedPsks;

где identities	- список данных, соответствующих значениям PSK, предлагаемым клиентом для согласования общего энтропийного значения;
binders	- последовательность binder-значений, соответствующих каждой структуре PskIdentity из списка identities и указанных в том же порядке. Процесс вычисления binder-значений описан в 5.6.5.3.

struct { opaque identity<1..2^16-1>; uint32 obfuscated_ticket_age; } PskIdentity;

где identity

- идентификатор (тикет) значения PSK. Для значения iPSK данное поле принимает значение поля NewSessionTicket.ticket (см. 5.9.1.1). Настоящие рекомендации не фиксируют механизм формирования тикета для значения ePSK (см. 5.2);

obfuscated_ticket_age

- маскированное время жизни тикета. Для каждого значения iPSK значение данного поля равно времени жизни (clients_ticket_age) тикета на стороне клиента, сложенному по модулю 232 со значением поля NewSessionTicket.ticket_age_add. При этом время жизни тикета на стороне клиента исчисляется в миллисекундах, прошедших с момента получения соответствующего сообщения NewSessionTicket со стороны сервера. Клиент не должен использовать значение iPSK, время жизни тикета которого превышает указанное в поле NewSessionTicket.ticket_lifetime время жизни тикета, ассоциированного с данным значением iPSK. Для каждого значения ePSK значение данного поля рекомендуется устанавливать равным 0, при этом серверы должны игнорировать данное значение.

где BS (binder_secret)	- секретное значение, определенное в 8.2;
HKDF-Expand-Label	- функция, определенная в 8.1.3;
Transcript-Hash	- хэш-функция, определенная в 8.8;
Messages	- упорядоченное множество строк, являющихся входными параметрами хэш-функции Transcript-Hash, задающееся следующим образом.

enum { psk_ke(0x00), psk_dhe_ke(0x01), (0xFF) } PskKeyExchangeMode; struct { PskKeyExchangeMode ke_modes<1..255>; } PskKeyExchangeModes;

struct { opaque cookie<1..2^16-1>; } Cookie;

struct { ServerName server_name_list<1..2^16-1> } ServerNameList; struct { NameType name_type; select (name_type) { case host_name: HostName; } name; } ServerName; enum { host_name(0), (255) } NameType; opaqueHostName<1..2^16-1>;

struct { Extension extensions<0..2^16-1>; } EncryptedExtensions;

struct { opaque certificate_request_context<0..2^8-1>; Extension extensions<2..2^16-1>; } CertificateRequest;

где certificate_request_context

- идентификатор сообщения CertificateRequest. Если запрос посылается сервером при обмене main-handshake сообщениями, данное поле содержит вектор нулевой длины. Если запрос посылается сервером в рамках post-handshake аутентификации (см. 5.9.2), данное поле должно содержать уникальное значение в рамках текущего соединения. Данное значение также рекомендуется выбирать непредсказуемым образом в целях противодействия атакам, в рамках которых противник имеет возможность получать кратковременный доступ к интерфейсу подписания произвольных сообщений с помощью ключа подписи клиента;

extensions

- набор расширений, задающих параметры запрашиваемого сертификата. Расширение signature_algorithms, описанное в 5.6.2, является обязательным. Опционально может быть указано расширение signature_algorithms_cert. Настоящие рекомендации не запрещают использовать другие расширения, разрешенные для данного сообщения, однако их описание, исследование функционала, предоставляемого данными расширениями, а также анализ стойкости протокола в случае использования данных расширений должны проводиться отдельно. Нераспознанные расширения должны игнорироваться клиентом.

struct { opaque cert_data<1..2^24-1>; Extension extensions<0..2^16-1>; } CertificateEntry; struct { opaque certificate_request_context<0..2^8-1>; CertificateEntry certificate_list<0..2^24-1>; } Certificate;

где certificate_request_context

- идентификатор запроса сертификата. Если сообщение Certificate посылается сервером, то данное поле должно оставаться пустым. Если данное сообщение посылается клиентом, то поле certificate_request_context должно содержать то же значение, что и поле certificate_request_context сообщения CertificateRequest;

certificate_list

- цепочка сертификатов, представленная в виде последовательности структур CertificateEntry, каждая из которых содержит один сертификат в формате x.509 <1>, описанном в Р 1323565.1.023, в кодировке DER и набор опциональных расширений. Расширения, пересылаемые в этом сообщении сервером, должны соответствовать расширениям, посланным ему клиентом в сообщении ClientHello. Расширения, посылаемые в сообщении Certificate клиентом, должны соответствовать расширениям, которые были ранее указаны сервером в сообщении CerificateRequest. Сертификат отправителя должен следовать первым в данной цепочке и содержать ключ проверки подписи Qverify, посылаемой отправителем в сообщении CertificateVerify.

struct { SignatureScheme algorithm; opaque signature<0..2^16-1>; } CertificateVerify;

где algorithm

- значение схемы подписи, задающей алгоритм подписи и используемую эллиптическую кривую. Значения, допустимые к использованию в рамках данного документа, задаются в 10.2 в перечислении SignatureScheme. Алгоритм подписи, задающийся схемой подписи, должен соответствовать алгоритму проверки подписи, указанному в сертификате соответствующей стороны в сообщении Certificate. Если сервер отправляет сообщение CertificateVerify, значение схемы подписи должно соответствовать одному из указанных значений схем подписи в списке supported_signature_algorithms расширения signature_algorithms сообщения ClientHello. Исключением является случай, когда сервер не может сформировать цепочку сертификатов, подписанных с помощью указываемых клиентом схем подписи (см. 5.8.1). Если клиент отправляет сообщение CertificateVerify, значение схемы подписи должно соответствовать одному из указанных значений схем подписи в списке supported_signature_algorithms расширения signature_algorithms сообщения CertificateRequest;

signature

- значение подписи, формируемое стороной с помощью схемы подписи, значение которой указано в поле algorithm.

где SIGN	- функция формирования подписи, задаваемая схемой подписи (см. 10.2);
c	- строка, содержащая 64 подряд идущих байта 0x20;
context	- строковая константа, принимающая следующее значение: "TLS 1.3, server CertifcateVerify" в случае формирования подписи на стороне сервера, "TLS 1.3, client CertifcateVerify" в случае формирования подписи на стороне клиента;
HM	- байтовая строка, соответствующая значению Transcript-Hash (Handshake Context, Certificate), где параметр Handshake Context определяется в соответствии с 8.9.

struct { opaque verify_data[Hash.length]; } Finished;

где Finished Secret

- секретное значение, задаваемое в соответствии с 8.9, HKDF-Expand-Label - функция, определенная в 8.1.3.

struct { uint32 ticket_lifetime; uint32 ticket_age_add; opaque ticket_nonce<0..255>; opaque ticket<1..2^16-1>; Extension extensions<0..2^16-2>; } NewSessionTicket;

где ticket_lifetime	- срок жизни тикета в секундах, являющийся 32-битным значением, представленным в формате big-endian, и задающийся в соответствии с 5.9.1.2;
ticket_age_add	- случайное 32-битное значение, которое используется для маскирования времени жизни тикета на стороне клиента. Время жизни тикета на стороне клиента складывается с этим значением по модулю 232, и полученное значение передается в расширении pre_shared_key сообщения ClientHello (см. подробнее 5.6.5). Сервер должен генерировать новое значение для каждого отправляемого им тикета;
ticket_nonce	- значение, которое является уникальным среди всех тикетов, выпущенных в рамках текущего соединения;
ticket	- идентификатор (тикет) значения iPSK, формирующийся в соответствии с 5.9.1.1;
extensions	- набор опциональных расширений. В случае если расширения не указываются, значение данного поля содержит пустую строку. Клиенты должны игнорировать нераспознанные расширения. В рамках настоящих рекомендаций не описываются расширения, которые могут использоваться в сообщении NewSessionTicket, и в случае необходимости их использования их описание, исследование функционала, предоставляемого данными расширениями, а также анализ стойкости протокола должны проводиться отдельно.

enum { update_not_requested(0x00), update_requested(0x01), (0xFF) } KeyUpdateRequest; struct { KeyUpdateRequest request_update; } KeyUpdate;

enum { invalid(0x00), change_cipher_spec(0x14), alert(0x15), handshake(0x16), application_data(0x17), (0xFF) } ContentType;

где change_cipher_spec	- тип данных, отмененный в рамках версии протокола TLS 1.3 и сохраненный в целях поддержки режима совместимости;
alert	- тип, соответствующий сообщениям протокола Alert;
handshake	- тип, соответствующий сообщениям протокола Handshake;
application_data	- тип, соответствующий сообщениям, содержащим прикладные данные.

struct { ContentType type; ProtocolVersion legacy_record_version; uint16 length; opaque fragment[TLSPlaintext.length]; } TLSPlaintext;

где type	- тип сообщения длиной в 1 байт, указывающий на протокол верхнего уровня, используемый для обработки фрагмента данных, содержащегося в текущей записи;
legacy_record_version	- версия протокола длиной в 2 байта. Данное поле должно принимать значение 0x0303 для всех сообщений протокола TLS 1.3, за исключением исходного сообщения приветствия ClientHello (см. подробнее 5.5.1), то есть сообщения, отправленного до получения сообщения HelloRetryRequest, которое может также принимать значение 0x0301 в целях поддержки режима совместимости. Данное поле должно игнорироваться сторонами взаимодействия;
length	- длина фрагмента данных в байтах (2 байта). Данный параметр определяет количество байтов, передаваемых в записи после ее заголовка. Значение поля TLSPlaintext.length должно удовлетворять ограничениям, определенным в 6.1;
fragment	- фрагмент данных, передаваемых в открытом виде.

struct { ContentType opaque_type = application_data; /* 0x17 */ ProtocolVersion legacy_record_version = 0x0303; uint16 length; opaque encrypted_record[TLSCiphertext.length]; } TLSCiphertext;

где opaque_type	- тип сообщения длиной в 1 байт. Данное поле должно принимать значение 0x17, соответствующее типу application_data. После расшифрования данных поля encrypted_record структуры TLSCiphertext тип данных незащищенной записи содержится в поле TLSInnerPlaintext.type;
legacy_record_version	- версия протокола длиной в 2 байта. Данный параметр всегда должен иметь значение 0x0303;
length	- длина фрагмента данных в байтах (2 байта). Данный параметр определяет количество байтов, передаваемых в записи после ее заголовка. Значение поля TLSCiphertext.length должно удовлетворять ограничениям, определенным в 6.1;
encrypted_record	- фрагмент данных, передаваемых в защищенном виде и формирующийся из структуры TLSPlaintext в соответствии с согласованным криптонабором. Процесс формирования этого поля описан в 6.3.

struct { opaque content[TLSPlaintext.length]; ContentType type; uint8 zeros[length_of_padding]; } TLSInnerPlaintext;

где content	- значение поля TLSPLaintext.fragment;
type	- значение поля TLSPLaintext.type;
zeros	- поле, содержащее строку нулевых значений произвольной длины length_of_padding (см. 6.5).

struct { AlertLevel level; AlertDescription description; } Alert;

enum { warning(0x01), fatal(0x02), (0xFF) } AlertLevel;

enum { close_notify(0x00), unexpected_message(0x0A), bad_record_mac(0x14), record_overflow(0x16), handshake_failure(0x28), bad_certificate(0x2A), unsupported_certificate(0x2B), certificate_revoked(0x2C), certificate_expired(0x2D), certificate_unknown(0x2E), illegal_parameter(0x2F), unknown_ca(0x30), access_denied(0x31), decode_error(0x32), decrypt_error(0x33), protocol_version(0x46), insufficient_security(0x47), internal_error(0x50), inappropriate_fallback(0x56), user_canceled(0x5A), missing_extension(0x6D), unsupported_extension(0x6E), unrecognized_name(0x70), bad_certificate_status_response(0x71), unknown_psk_identity(0x73), certificate_required(0x74), no_application_protocol(0x78), (0xFF) } AlertDescription;

close_notify

- оповещение, сигнализирующее о том, что его отправитель закрыл соединение для отправки данных и больше не отправит ни одного сообщения в рамках данного соединения. При этом указанные действия не влияют на чтение данных на стороне отправителя <1>. Данное оповещение должно быть отправлено каждой стороной в случае, если ранее в процессе работы протокола TLS 1.3 не было послано ни одного оповещения об ошибке. Любые данные, полученные после оповещения с типом close_notify, должны игнорироваться. В случае если закрытие соединения на транспортном уровне происходит до получения оповещения close_notify, получающая сторона не может быть уверена в получении всех данных, отправленных противоположной стороной взаимодействия. Рекомендуется присваивать оповещению закрытия соединения close_notify уровень warning.

user_canceled

- оповещение, сигнализирующее о том, что его отправитель завершает работу протокола Handshake по причине, не связанной с возникновением ошибок в рамках работы данного протокола. В указанном случае рекомендуется отправлять оповещение close_notify сразу после оповещения user_canceled. В случае возникновения ошибки после завершения работы протокола Handshake по причине, не связанной с возникновением ошибок в рамках работы протокола TLS, стороне рекомендуется закрыть соединение только с отправкой оповещения close_notify. Рекомендуется присваивать оповещению user_canceled уровень warning.

Название оповещения	Описание оповещения
handshake_failure	Отправитель не смог согласовать необходимые параметры безопасности
illegal_parameter	Поле сообщения протокола Handshake некорректно, либо не согласуется с другими полями. Данное оповещение используется для указания ошибок, связанных с некорректным значением
unknown_ca	Сертификат удостоверяющего центра (УЦ) не был найден или не совпал ни с одним из известных сертификатов доверенных УЦ
access_denied	Был получен корректный сертификат, однако при применении политики контроля доступа отправитель решил не продолжать согласование соединения
decrypt_error	При выполнении криптографической операции (например, при проверке подписи, проверке содержимого сообщения Finished или проверке binder-значения) во время работы протокола Handshake возникла ошибка
protocol_version	Работа по указанной версии протокола не поддерживается
insufficient_security	Посылается вместо оповещения handshake_failure в том случае, если сервер требует криптонаборы, обеспечивающие более высокий уровень стойкости, чем те, что поддерживаются клиентом
unsupported_extension	Посылается сторонами в случае, если было получено сообщение протокола Handshake, содержащее расширение, использование которого запрещено. Кроме того, данное оповещение посылается в случае, если в сообщении ServerHello или Certificate содержится расширение, не указанное ранее в сообщениях ClientHello или CertificateRequest соответственно
bad_certificate	Целостность сертификата нарушена (например, сертификат поврежден или изменен), сертификат содержит некорректную подпись и т.п.
unsupported_certificate	Был получен сертификат неподдерживаемого типа
certificate_revoked	Сертификат был отозван подписывающей стороной
certificate_expired	Срок действия сертификата истек или сертификат не действует в настоящее время
certificate_unknown	При обработке сертификата возникла ошибка, не соответствующая ни одному из вышеперечисленных случаев
inappropriate_fallback	Отправляется сервером в случае обнаружения несанкционированного понижения используемой версии протокола TLS (см. подробнее 11.2.2)
missing_extension	Отправляется в случае, если полученное сообщение протокола Handshake не содержит расширение, являющееся обязательным в рамках текущего режима работы протокола
unrecognized_name	Отправляется сервером в случае, если не существует виртуального сервера, соответствующего имени, указанному клиентом в расширении server_name
bad_certificate_status_response	Отправляется клиентом в случае, если сервер указал некорректный OCSP ответ в расширении status_request
unknown_psk_identity	Отправляется сервером в случае, если он желает установить соединение в рамках psk_ke или psk_ecdhe_ke схемы аутентифицированной выработки общего ключевого материала, однако клиент не предоставил ни одного корректного PSK-значения. Данное оповещение об ошибке является опциональным и вместо него сервер может отправить оповещение decrypt_error
certificate_required	Отправляется сервером в случае, если требуется аутентификация клиента, но клиент не прислал ни одного сертификата
no_application_protocol	Отправляется сервером в случае, если клиент не указал в расширении application_layer_protocol_negotiation ни одного протокола, поддерживаемого сервером

Название оповещения	Описание оповещения
bad_record_mac	Данное оповещение посылается в том случае, если при расшифровании полученной защищенной записи в рамках работы функции AEAD-Decrypt возникла ошибка
record_overflow	Данное оповещение посылается в том случае, если длина полученной или расшифрованной записи превышает максимально допустимое значение

Название оповещения	Описание оповещения
unexpected_message	Было получено некорректное сообщение
decode_error	Сообщение не может быть обработано, так как содержит одно или несколько некорректных полей. Данное оповещение используется для указания ошибок, связанных с синтаксисом протокола TLS
internal_error	Произошла внутренняя ошибка, не связанная с работой протокола (например, ошибка выделения памяти), которая делает невозможным продолжение дальнейшей работы протокола

struct { uint16 length = Length; opaque label<7..255> = "tls13" + Label; opaque context<0..255> = Context; } HkdfLabel;

Секретное значение Secret	Краткое обозначение
binder_secret	BS
client_handshake_traffic_secret	CHTS
server_handshake_traffic_secret	SHTS
client_application_traffic_secret_N, N >= 0	CATSN
server_application_traffic_secret_N, N >= 0	SATSN
exporter_master_secret	EMS
resumption_master_secret	RMS

Метка	Значение
label1	"res binder"/"ext binder"
label2	"c hs traffic"
label3	"s hs traffic"
label4	"c ap traffic"
label5	"s ap traffic"
label6	"exp master"
label7	"res master"
Примечание - Под обозначением ""res binder"/"ext binder"" в данной таблице подразумевается одна из двух строковых констант: "res binder", если секретное значение BS формируется с помощью значения iPSK, и "ext binder", если секретное значение BS формируется с помощью значения ePSK.

Множество	Содержимое
HM1	{ClientHello, ... , ServerHello}
HM2	{ClientHello, ... , Finished со стороны сервера}
HM3	{ClientHello, ... , Finished со стороны клиента}

Этап состояния соединения	Значение Traffic Secret
Этап выработки параметров соединения и аутентификации	[sender]_handshake_traffic_secret
Этап пересылки прикладных данных и post-handshake сообщений	[sender]_application_traffic_secret_N

Режим аутентификации	Значение Handshake Context	Значение Finished Secret
аутентификация сервера	{ClientHello, ... , EncryptedExtensions/CentificateRequest}	SHTS
main-handshake аутентификация клиента	{ClientHello, ... , Finished со стороны сервера}	CHTS
post-handshake аутентификация клиента	{ClientHello, ... , первый Finished со стороны клиента, CertificateRequest}	CATSN

Наименование криптонабора	Номер криптонабора
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_L	{0xC1, 0x03}
TLS_GOSTR341112_256_WITH_MAGMA_MGM_L	{0xC1, 0x04}
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_S	{0xC1, 0x05}
TLS_GOSTR341112_256_WITH_MAGMA_MGM_S	{0xC1, 0x06}

Криптонабор	Блочный шифр
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_L	"Кузнечик" (ГОСТ Р 34.12)
TLS_GOSTR341112_256_WITH_MAGMA_MGM_L	"Магма" (ГОСТ Р 34.12)
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_S	"Кузнечик" (ГОСТ Р 34.12)
TLS_GOSTR341112_256_WITH_MAGMA_MGM_S	"Магма" (ГОСТ Р 34.12)

Криптонабор	Константы C1 C2, C3
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_L	0xf800000000000000, 0xfffffff000000000, 0xffffffffffffe000
TLS_GOSTR341112_256_WITH_MAGMA_MGM_L	0xffe0000000000000, 0xffffffffc0000000, 0xffffffffffffff80
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_S	0xffffffffe0000000, 0xffffffffffff0000, 0xfffffffffffffff8
TLS_GOSTR341112_256_WITH_MAGMA_MGM_S	0xfffffffffc000000, 0xffffffffffffe000, 0xffffffffffffffff

Криптонабор	SNMAX
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_L	264
TLS_GOSTR341112_256_WITH_MAGMA_MGM_L	264
TLS_GOSTR341112_256_WITH_KUZNYECHIK_MGM_S	242
TLS_GOSTR341112_256_WITH_MAGMA_MGM_S	239

enum { gostr34102012_256a(0x0709), gostr34102012_256b(0x070A), gostr34102012_256c(0x070B), gostr34102012_256d(0x070C), gostr34102012_512a(0x070D), gostr34102012_512b(0x070E), gostr34102012_512c(0x070F), (0xFFFF) } SignatureScheme;

Наименование схемы подписи	Алгоритм подписи	Идентификатор кривой E
gostr34102012_256a	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-tc26-gost-3410-2012-256-paramSetA
gostr34102012_256b	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-tc26-gost-3410-2012-256-paramSetB
gostr34102012_256c	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-tc26-gost-3410-2012-256-paramSetC
gostr34102012_256d	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-tc26-gost-3410-2012-256-paramSetD
gostr34102012_512a	по ГОСТ Р 34.10 с длиной ключа 512 бит	id-tc26-gost-3410-12-512-paramSetA
gostr34102012_512b	по ГОСТ Р 34.10 с длиной ключа 512 бит	id-tc26-gost-3410-12-512-paramSetB
gostr34102012_512c	по ГОСТ Р 34.10 с длиной ключа 512 бит	id-tc26-gost-3410-2012-512-paramSetC

Наименование схемы подписи	Алгоритм подписи	Идентификатор кривой E
gostr34102012_256b	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-GostR3410-2001-CryptoPro-A-ParamSet
		id-GostR3410-2001-CryptoPro-XchA-ParamSet
gostr34102012_256c	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-GostR3410-2001-CryptoPro-B-ParamSet
gostr34102012_256d	по ГОСТ Р 34.10 с длиной ключа 256 бит	id-GostR3410-2001-CryptoPro-C-ParamSet
		id-GostR3410-2001-CryptoPro-XchB-ParamSet

enum { GC256A(0x0022), GC256B(0x0023), GC256C(0x0024), GC256D(0x0025), GC512A(0x0026), GC512B(0x0027), GC512C(0x0028), (0xFFFF) } NamedGroup;

ИС МЕГАНОРМ: примечание. В официальном тексте документа, видимо, допущена опечатка: Рекомендации имеют номер Р 1323565.1.024-2019, а не Р 132356.1.024.

Наименование кривой	Идентификатор кривой	Значение coordinate_length
GC256A	id-tc26-gost-3410-2012-256-paramSetA	32
GC256B	id-tc26-gost-3410-2012-256-paramSetB	32
GC256C	id-tc26-gost-3410-2012-256-paramSetC	32
GC256D	id-tc26-gost-3410-2012-256-paramSetD	32
GC512A	id-tc26-gost-3410-12-512-paramSetA	64
GC512B	id-tc26-gost-3410-12-512-paramSetB	64
GC512C	id-tc26-gost-3410-2012-512-paramSetC	64

opaque Datum[3];	/* три неинтерпретируемых байта */
Datum Data[9];	/*3 последовательных 3-байтовых вектора */

opaque mandatory<300..400>;
	/* поле длины занимает 2 байта, не может быть пустым */
uint16	longer<0..800>;
	/* от 0 до 400 16-битовых целых чисел без знака */

Color color = Color.blue;	/* переопределение, допустимо */
Color color = blue;	/* корректно, тип задан неявно */

struct { T1 f1; T2 f2; ... Tnfn; } T;

struct { T1 f1 = 8; /* T.f1 всегда должно быть равно 8 */ T2 f2; } T;

enum { e1(v1), e2(v2), ..., en(vn) [[, (n)]] } E; struct { select (E) { case e1: Te1 [[fe1]]; case e2: Te2 [[fe2]]; ... case en: Ten [[fen]]; }; } Tv;

enum { apple(0), orange(1) } VariantTag; struct { uint16 number; opaque string<0..10>; /* вектор переменной длины */ } V1; struct { uint32 number; opaque string[10]; /* вектор фиксированной длины */ } V2; struct { VariantTag type; select (VariantRecord.type) { case apple: V1; case orange: V2; }; } VariantRecord;

[1]	IETF RFC 8446	E. Rescorla, The Transport Layer Security (TLS) Protocol Version 1.3, IETF RFC 8446
[2]	IETF RFC 5705	E. Rescorla, Keying Material Exporters for Transport Layer Security (TLS), IETF RFC 5705
[3]	IETF RFC 7507	B. Moeller, A. Langley, TLS Fallback Signaling Cipher Suite Value (SCSV) for Preventing Protocol Downgrade Attacks, IETF RFC 7507
[4]		Приказ ФСБ России от 9 февраля 2005 г. N 66 (в редакции приказа ФСБ России от 12 апреля 2010 г. N 173). Об утверждении положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)

УДК 681.3.06:006.354	ОКС 35.040	ОКСТУ 5002
Ключевые слова: криптографические протоколы, аутентификация, пароль, ключ