Альт 8 СП — купить лицензию Альт 8 СП по выгодной цене в Ростове-на-Дону на официальном сайте

Linux: вся правда о сертификации – my-sertif.ru

Альт 8 сп — купить лицензию альт 8 сп по выгодной цене в ростове-на-дону на официальном сайте

Добавление в linux корневых сертификатов x.509 локального корпоративного центра сертификации [вики it-kb]

С:ToolsPuTTy>pscp.exe С:TempAD-*.pem linux-user@LINUX-SERVER:/tmp

AD-RootCA.pem             | 1 kB |   1.3 kB/s | ETA: 00:00:00 | 100%
AD-SubCA.pem              | 1 kB |   1.9 kB/s | ETA: 00:00:00 | 100%

# mkdir /etc/ssl/certs-corp-ca
# mv /tmp/AD-*.pem /etc/ssl/certs-corp-ca
# chown root:root /etc/ssl/certs-corp-ca/AD-*.pem
# ls -la /etc/ssl/certs-corp-ca

...
-rw-r--r-- 1 root root 1344 Mar  6 19:35 AD-RootCA.pem
-rw-r--r-- 1 root root 1922 Mar  6 19:35 AD-SubCA.pem

# c_rehash /etc/ssl/certs-corp-ca

Doing /etc/ssl/certs-corp-ca
AD-RootCA.pem => 36865f67.0
AD-RootCA.pem => bb8428b0.0
AD-SubCA.pem => e740e31e.0
AD-SubCA.pem => 536fc63e.0

# ls -la /etc/ssl/certs-corp-ca

...
lrwxrwxrwx 1 root root   13 Mar  6 20:06 36865f67.0 -> AD-RootCA.pem
lrwxrwxrwx 1 root root   12 Mar  6 20:06 536fc63e.0 -> AD-SubCA.pem
-rw-r--r-- 1 root root 1344 Mar  6 19:59 AD-RootCA.pem
-rw-r--r-- 1 root root 1922 Mar  6 19:59 AD-SubCA.pem
lrwxrwxrwx 1 root root   13 Mar  6 20:06 bb8428b0.0 -> AD-RootCA.pem
lrwxrwxrwx 1 root root   12 Mar  6 20:06 e740e31e.0 -> AD-SubCA.pem

# find -L /etc/ssl/certs-corp-ca -type l -exec rm {}  

# mkdir /etc/ssl/certs-corp-ca-chain
# cd /etc/ssl/certs-corp-ca
# cat ./AD-RootCA.pem  ./AD-SubCA.pem > /etc/ssl/certs-corp-ca-chain/AD-Chain.pem
# cat /etc/ssl/certs-corp-ca-chain/AD-Chain.pem

-----BEGIN CERTIFICATE-----
...

...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
...

...
-----END CERTIFICATE-----

Как добавить корневой сертификат в доверенные в linux на уровне системы

Сертификат с расширением .crt можно открыть двойным кликом и просмотреть его содержимое:

Если вы работаете в системе от обычного пользователя (не root), то кнопка «Импортировать» будет недоступна.

Чтобы разблокировать кнопку «Импортировать», выполните следующую команду:

sudo gcr-viewer /ПУТЬ/ДО/СЕРТИФИКАТА.crt

Например:

sudo gcr-viewer ./HackWareCA.crt

Данный способ может не сработать, поэтому рассмотрим, как добавить доверенные корневые центры сертификации в командной строке.

Суть метода очень проста:

1. Добавить свой корневой CA сертификат в папку, предназначенную для таких сертификатов.
2. Запустить программу для обновления общесистемного списка сертификатов.

Пути и команды в разных дистрибутивах Linux чуть различаются.

Просмотреть Subject всех корневых CA сертификатов можно уже знакомой командой:

awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt

Для демонстрации я добавлю сертификат с Common Name, включающим «HackWare», тогда для проверки, имеется ли сертификат с таким именем среди корневых CA, я могу использовать команду:

awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt | grep -i HackWare

Для добавления своего корневого CA в доверенные в Debian, Kali Linux, Linux Mint, Ubuntu и их производных:

1. Проверьте, существует ли директория /usr/local/share/ca-certificates:

ls -l /usr/local/share/ca-certificates

Если её ещё нет, то создайте:

sudo mkdir /usr/local/share/ca-certificates

Сертификат должен быть в формате PEM (обычно так и есть) и иметь расширение .crt — если расширение вашего сертификата .pem, то достаточно просто поменять на .crt.

2. Скопируйте ваш сертификат командой вида:

sudo cp СЕРТИФИКАТ.crt /usr/local/share/ca-certificates/

Например:

sudo cp ./HackWareCA.crt /usr/local/share/ca-certificates/

3. Запустите следующую команду для обновления общесистемного списка:

sudo update-ca-certificates

Пример вывода:

Updating certificates in /etc/ssl/certs...
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...

Adding debian:HackWareCA.pem
done.
done.

Проверим наличие нашего CA сертификата среди доверенных:

awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt | grep -i HackWare

Сертификат успешно найден:

Чтобы его удалить:

sudo rm /usr/local/share/ca-certificates/СЕРТИФИКАТ.crt
sudo update-ca-certificates

Для добавления своего корневого CA в доверенные в Arch Linux, BlackArch и их производных:

1. Выполните команду вида:

sudo cp ./СЕРТИФИКАТ.crt /etc/ca-certificates/trust-source/anchors/

Например:

sudo cp ./HackWareCA.crt /etc/ca-certificates/trust-source/anchors/

2. Обновите общесистемный список доверенных CA:

sudo update-ca-trust

Чтобы удалить этот сертификат:

sudo rm /etc/ca-certificates/trust-source/anchors/СЕРТИФИКАТ.crt
sudo update-ca-trust

Как установить ssl сертификат на nginx (linux) | облачный виртуальный хостинг cloudlite

Подготовка к сертификации

Процедура сертификации на практике довольно длительная. Однако упомянутый релиз сертифицировался в течение всего лишь полугода, что достаточно быстро, поскольку это уже шестая по счету версия, которая проходила проверки. Предыдущие пять релизов (а это порядка десяти лет разработки)

При этом необходимо отметить, что в настоящее время, сертификация это не заморозка продукта, а обязательное оперативное устранение выявленных уязвимостей в сертифицированном решении.

Самое главное, что произошло за эти полгода — Astra Linux Special Edition прошла многоуровневую процедуру проверки и анализа программного кода. При этом разные части продукта проверялись по-разному.

Наиболее серьезной проверке подвергалась система безопасности. В ней, кроме стандартной дискреционной используется мандатно-ролевая модель управления доступом и контроля целостности, поддерживающая существующие в России степени секретности информации — «секретно», «совершенно секретно» и т.п.

Согласно этой модели, каждой учетной записи пользователя, процессу, файлу или каталогу присваивается метка конфиденциальности, по которой и определяются права доступа. Например, файлы, созданные отделом производства танков уровня «совершенно секретно», недоступны другим отделам с уровнем доступа «секретно» или ниже.

Кроме того, всем учетным записям пользователей, процессам, файлам или каталогам присваивается метка целостности, в результате, например, пользовательские низкоцелостные процессы не смогут модифицировать системные высокоцелостные файлы. Даже если в результате эксплуатации уязвимости пользовательский процесс получит системные привилегии, он не сможет повлиять на работоспособность системы.

На скриншоте пример того, как низкоцелостный пользователь получил права суперпользователя, но при этом не может скопировать данные.

Для обоснования безопасности такого предоставления доступа строилась математическая модель, которая проверялась на логическую целостность, замкнутость и корректность.

Далее исходные коды системы безопасности проверялись на соответствие заявленной математической модели. И это довольно сложная и трудоемкая процедура, которая выполнялась совместно с сотрудниками Института системного программирования РАН.

Стоит отметить, что сейчас в России мы можем решать подобные задачи о проверке кода на соответствие математической модели для компонент объемом общей сложностью до 10 тыс. строк. И в эти лимиты система безопасности Astra Linux вполне укладывается. Но ядро Linux — это десятки миллионов строк кода, и инструментов по строгой математической верификации проекта такого объема на данный момент нет не только в компании, но и в стране в целом.

Так что для них используются иные механизмы контроля — с помощью инструментов статического и динамического анализа кода от того же Института системного программирования РАН или собственной разработки. Задача данного этапа — проверить код на ошибки, закладки или бекдоры.

Сертификация определяет не только, как выглядит код Astra Linux, но и каким образом продукт (точнее его специальная версия) поставляется пользователю — она распространяется только на дисках. Это связано как с ограничениями нормативных документов: чтобы подтвердить, что программный код не был изменен, так и реальными задачами по долговременному хранению оригинального носителя.

Подпись ssl сертификата linux в доменном центре сертификации

Копируем содержимое csr файла в буфер, затем идем на веб сайт доменного центра сертификации.

В поле шаблон сертификата выбираем Веб-сервер и кликаем по кнопке «Выдать».

Кликаем по ссылке «Загрузить сертификат» и сохраняем файл сертификата. После этого его можно загрузить на сервер и настроить на использование вебсервером.

Поскольку доменный центр сертификации по умолчанию распространяет свой корневой сертификат на все машины в домене Active Directory, либо вы сделали это с помощью GPO, то все подписанные им сертификаты на машинах в домене будут валидными. Таким образом и SSL сертификат в Linux подписанный доменным центром сертификации прикрученный к внутрикорпоративному веб-серверу тоже не вызовет ошибок в браузере на рабочей машине пользователя.

Данная инструкция пригодится при выпуске сертификата например для установки на Proxmox Mail Gateway или любой другой веб-сервер.

Сертификация linux professional institute (lpi)

LPI является независимой организацией, разрабатывающей обучающие программы и экзамены Linux и стремится к разработке глобального стандарта сертификации Linux. В линейке сертификации LPI доступны следующие уровни и экзамены:

Linux Essentials

Для получения сертификации нужно сдать один экзамен 010 Linux Essentials. Стоимость экзаменов LPI различна для каждой страны, проверить можно на их сайте, для Беларуси составляет 100 EUR. Экзамен содержит 40 вопросов с отведенными 60 минутами на ответы. Срок действия сертификата: пожизненно.

Сертификация Linux Professional LPIC-1 – Базовый уровень

LPIC-1 включает 2  экзамена под номерами 101 и 102. Каждый из них длится 90 минут и состоит из 60 вопросов с несколькими вариантами ответов и вопросов с заполнением пропусков. Стоимость каждого экзамена: 140 EUR. Срок действия сертификата: 5 лет.

Сертификация LPIC-1 проверяет и подтверждает способность ИТ-специалистов выполнять задачи с помощью командной строки, устанавливать и настраивать компьютер под управлением Linux, а также уметь осуществлять базовую настройку сети.

Сертификация Linux Professional LPIC-2 – Углубленный уровень

Для получения сертификации LPIC-2 необходимо сдать два экзамена – 201 и 202. Стоимость каждого экзамена: 140 EUR. Для допуска к сдаче необходимо иметь базовую сертификацию LPIC-1. Каждый из экзаменов длится 90 минут и состоит из 60 вопросов. Срок действия сертификата: 5 лет.

Сертификация LPIC-2 проверяет способность администрировать смешанные сети малого и среднего размера.

Сертификация Linux Professional LPIC-3 – Enterprise уровень

Cертификация LPIC-3 имеет 3 направления с углублением в определенную технологию. Для допуска к сдаче необходимо иметь активную сертификацию LPIC-2. 

“LPIC-3 Enterprise Mixed Environment” (экзамен 300) проверяет способность интегрировать службы Linux в смешанную корпоративную среду.

“LPIC-3 Enterprise Security” (экзамен 303) проверяет способность осуществлять защиту серверов, служб и сетей на базе Linux в масштабе предприятия.

“LPIC-3 Enterprise Virtualization and High Availability” (экзамен 304) тестирует способность планировать и внедрять виртуализацию и настройки высокой доступности в масштабе предприятия с использованием технологий на базе Linux.

Каждый из экзаменов LPIC-3: длится 90 минут и состоит из 60 вопросов. Стоимость одного экзамена: 140 EUR. Срок действия любого из сертификатов: 5 лет.

LPI также имеет сертификации “Certified DevOps Tools Engineer” и “BSD Specialist”.