Устанавливаем браузер Chromium-Gost автоматически

#!/bin/bash
###############################################################################
#   Алгоритм:
#       Получить последнюю доступную версию с сайта.
#       Получить установленную версию (если пакет установлен).
#       Сравнить: если установленная версия соответствует последней (или новее), 
#       то выйти с сообщением, иначе скачать и установить.
#   Также учитытывается, что пакет может быть не установлен — тогда установка всегда нужна.
###############################################################################
#   Как сделать всё автоматически?
#   Скопируйте скрипт в /usr/local/bin/update_chromium_gost.sh и сделайте его исполняемым:
#       sudo chmod +x /usr/local/bin/update_chromium_gost.sh
#   Создайте файл /etc/anacrontab (от root) или добавьте в существующий:
#       sudo nano /etc/anacrontab
#   Добавьте строку:
#       # Период в днях, задержка в минутах, идентификатор, команда
#       7       5       update-chromium    /usr/local/bin/update_chromium_gost.sh
#   где,
#       7 — запускать раз в 7 дней (если прошло 7+ дней с последнего запуска).
#       5 — задержка перед запуском (0 минут, можно поставить 5, чтобы система успела загрузиться).
#       update-chromium — уникальный идентификатор.
#       Команда — полный путь к скрипту.
###############################################################################

BASE_URL="https://update.cryptopro.ru/chromium-gost/"
TMP_DIR="/tmp"

# Функция для получения установленной версии пакета chromium-gost (любое имя)
get_installed_version() {
    # Ищем установленные пакеты, начинающиеся с chromium-gost
    local pkg=$(dpkg-query -W -f='${Package}\n' 2>/dev/null | grep -E '^chromium-gost')
    if [ -n "$pkg" ]; then
        # Получаем версию этого пакета
        local full_version=$(dpkg-query -W -f='${Version}\n' "$pkg" 2>/dev/null)
        # Извлекаем основную версию (всё до первого дефиса)
        echo "$full_version" | cut -d'-' -f1
    else
        echo ""
    fi
}

# Получаем последнюю доступную версию с сайта
echo "Поиск последней версии пакета chromium-gost для Linux..."
LATEST_VER=$(curl -s "$BASE_URL" | grep -oP 'chromium-gost-\K[0-9.]+(?=-linux-amd64\.deb)' | sort -V | tail -n1)

if [ -z "$LATEST_VER" ]; then
    echo "Ошибка: не удалось определить версию пакета на сайте."
    exit 1
fi
echo "Последняя версия на сайте: $LATEST_VER"

# Получаем установленную версию
INSTALLED_VER=$(get_installed_version)
if [ -n "$INSTALLED_VER" ]; then
    echo "Установленная версия: $INSTALLED_VER"
else
    echo "Пакет chromium-gost (любого варианта имени) не установлен."
fi

# Сравниваем версии
if [ -n "$INSTALLED_VER" ] && [ "$(printf '%s\n%s' "$LATEST_VER" "$INSTALLED_VER" | sort -V | tail -n1)" = "$INSTALLED_VER" ]; then
    echo "У вас уже установлена актуальная версия (или новее). Обновление не требуется."
    exit 0
fi

echo "Требуется обновление. Будет установлена версия $LATEST_VER."

# Формируем имя файла
FILENAME="chromium-gost-${LATEST_VER}-linux-amd64.deb"

# Скачиваем файл
echo "Скачивание $FILENAME в $TMP_DIR..."
curl -L -o "$TMP_DIR/$FILENAME" "${BASE_URL}${FILENAME}"
if [ $? -ne 0 ] || [ ! -f "$TMP_DIR/$FILENAME" ]; then
    echo "Ошибка: не удалось скачать файл."
    exit 1
fi

# Устанавливаем пакет
echo "Установка пакета..."
dpkg -i "$TMP_DIR/$FILENAME"

# Исправляем зависимости
echo "Проверка и исправление зависимостей..."
apt-get install -f -y

# Очистка
rm -f "$TMP_DIR/$FILENAME"

echo "Готово! Браузер chromium-gost обновлён до версии $LATEST_VER."

Идея с msspi довольно элегантна: она создаёт «прослойку»-переводчик между браузером и системой. Благодаря этому браузер может использовать криптографию, установленную на вашем компьютере, и это главный ключ к пониманию того, как в Chromium появляется поддержка ГОСТ.

Если объяснять на примере Linux, логика работы такая:

• Стандартный подход (BoringSSL): Обычно Chromium сам отвечает за шифрование через встроенную библиотеку BoringSSL. Это быстро и удобно, но добавить в неё поддержку ГОСТ сложно, так как это потребует постоянной доработки под каждое обновление браузера.

• Подход Chromium-Gost (msspi): В этой сборке оригинальный механизм шифрования (BoringSSL) заменяется на библиотеку msspi. Она выступает в роли универсального переводчика: с одной стороны, она имитирует знакомый браузеру интерфейс OpenSSL (родственник BoringSSL). С другой — обращается к API операционной системы (например, к SChannel в Windows или через прослойку CAPIX в Linux), которое и берёт на себя всю работу с криптографией ГОСТ. Благодаря этому, браузер, «думая», что работает как обычно, на самом деле отправляет все задачи по шифрованию внешнему криптопровайдеру, например, КриптоПро CSP.

Для чего это было нужно: главная цель — универсальность. Вместо того чтобы встраивать поддержку всех возможных криптопровайдеров напрямую в браузер, разработчики создали стандартный «мост». Так браузер научился работать с любой криптографией, которая установлена в системе по правилам Windows (через интерфейс SSPI).

Но здесь кроются и главные риски:

1. Это сложный «микрокосмос»: Поддержка msspi на Linux, где нет нативной SSPI, — это результат трудоёмкой обратной разработки и создания «прослойки», что потенциально увеличивает количество ошибок и уязвимостей.

2. Проблема с обновлениями: msspi — это отдельный проект. Когда выходит новая версия Chromium с критическим исправлением уязвимости, разработчикам chromium-gost нужно сначала дождаться выхода и обновить сам браузер, а затем адаптировать к нему свою библиотеку msspi. Именно из-за этой дополнительной работы и возникает та самая задержка с безопасностью. Вы получаете не просто обновления браузера, а сложный «слоёный пирог» из Chromium, msspi и системного криптопровайдера, каждый слой которого нужно поддерживать в актуальном и безопасном состоянии.