- Что проверяется в таких случаях?
- Что нужно знать и понимать?
- Что за сертификаты?
- Что такое центры сертификации (ca)?
- Сертификат cfa: что он дает и как его получить?
- «бумажная» безопасность
- Cissp
- Ev сертификаты
- Icagile
- Java code signing
- Kanban university
- Kernel mode signing
- Microsoft authenticode
- Microsoft office vba signing
- San сертификаты
- Scrum alliance
- Sgc сертификаты
- Базы вопросов
- Вопросы для оценки необходимости стать сертифицированным специалистом
- Глоссарий терминов
- Есть ли разница в каком центре сертификации заказывать сертификат?
- Как выбрать самый дешевый сертификат?
- Как получить сертификат?
- Какие бывают виды code signing сертификатов, и чем отличаются?
- Книги
- Курсы подготовки
- Международный сертификат се
- Мышление ит-аудитора
- Несколько слов про timestamp.
- Несколько советов.
- Обращайте внимание на first, last, except, not
- Обычные ssl сертификаты
- Отбросить бредовый вариант сразу и не тормозить
- Планирование непрерывности бизнеса и восстановления после сбоев (bcp/drp)
- По какому принципу работает ssl сертификат?
- Правила и условия нанесения се маркировки
- Предложение/спрос
- При пожаре выносить первым!
- Процесс подписи кода.
- Процесс проверки подписанного кода.
- Сертификат и маркировка се вместе с серконс
- Сертификаты, подтверждающие только домен
- Списывание
- Типы ssl-сертификатов и разница между ними
- Чем еще отличаются сертификаты между собой
- Шаг 4. подготовка в последнюю неделю перед экзаменом
- Этапы получения се marking
Что проверяется в таких случаях?
У разных центров сертификации проверка несколько отличается, поэтому приведу общий список пунктов, которые могут быть проверены или запрошены:
- Наличие организации в международных желтых страницах — проверяется не всеми центрами сертифации
- Наличие в whois домена названия вашей организации — а вот это уже проверят обязательно, и если такое название там не указано от вас скорей всего затребуют гарантийное письмо, в котором нужно указать, что домен действительно принадлежит организации, иногда могут затребовать подтверждение от регистратора
- Свидетельство о государственной регистрации — требуют все реже, чаще сейчас производится проверка через специальные компании, которые производят проверку существования организации по своим каналам. Например для Украины вас могут проверить по базе ЕДРПОУ
- Счет от телефонной компании, в которой содержится название вашей организации и ваш номер телефона, указанный в заказе — таким образом проверяется валидность вашего телефона. Требуют все реже.
- Проверочный звонок — все чаще правильность телефона проверяют осуществляя звонок, на номер телефона, указанный вами в заказе. При звонке спросят сотрудника, указанного в административном контакте. Не у всех центров сертификации есть русскоговорящие сотрудники, поэтому предупредите человека, который отвечает на телефон, что возможен звонок от англоязычной компании.
Что нужно знать и понимать?
Очень не хочется занудно раскрывать объем знаний, который стоит за каждым из доменов (и очень хорошо описан в руководствах по экзаменам), поэтому кратко рассмотрим портрет идеального обладателя каждого из трех сертификатов.
Что за сертификаты?
Сначала расшифруем аббревиатуры и переведем, но не дословно, а по смыслу.
CISSP (Certified Information Security Systems Professional) – сертифицированный специалист по информационной безопасности.
CISA (Certified Information Systems Auditor) – сертифицированный ИТ-аудитор.
CISM (Certified Information Security Manager) – сертифицированный менеджер по информационной безопасности.
Именно такой состав выбранных для рассмотрения сертификаций объясняется их близостью по темам (доменам), ну и, конечно, наличию у автора статьи опыта проведения подготовки специалистов к данным экзаменам.
Сведем информацию об экзаменах в следующую таблицу:
Что такое центры сертификации (ca)?
Это организация, которая обладает правом выдачи цифровых сертификатов. Она производит проверку данных, содержащихся в CSR, перед выдачей сертификата. В самых простых сертификатах проверяется только соотвествие доменного имени, в самых дорогих производится целый ряд проверок самой организации, которая запрашивает сертификат. Об этом мы поговорим ниже.
Так вот, разница между самоподписными бесплатным и платными сертификатами, выданными центром сертификации как раз и заключается в том, что данные в сертификате проверены центром сертификации и при использовании такого сертификата на сайте ваш посетитель никогда не увидит огромную ошибку на весь экран.
Говоря в общем, SSL сертификаты содержат и отображают (как минимум одно из) ваше доменное имя, ваше название организации, ваш адрес, город и страницу. Также сертификат всегда имеет дату окончания и данные о центре сертификации, ответственного за выпуск сертификата.
Браузер подключается к защищенному сайту, получает от него SSL сертификат и делает ряд проверок: он не просрочен ли сертификат, потом он проверяет, выпущен ли сертификат известным ему центром сертификации (CA) используется ли сертификат на сайте, для которого он был выпущен.
Если один из этих параметров не проходит проверку, браузер отображает предупреждение посетителю, чтобы уведомить, что этот сайт не использует безопастное соединение SSL. Он предлагает покинуть сайт или продолжить просмотр, но с большой осторожностью.
Центров сертификации существует достаточно много, вот перечень самых популярных:Comodo — работает с 1998 штабквартира в Jersey City, New Jersey, США.Geotrust — основан в 2001, в 2006 продан Verisign, штабквартира Mountain View, California, СШАSymantec — бывший Verisign в состав которого входит и Geotrust.
Как видим самый крупный игрок на рынке SSL сертификатов это Symantec, который владеет тремя крупнейшими центрами сертификации — Thawte, Verisgin и Geotrust.
Сертификат cfa: что он дает и как его получить?
Chartered Financial Analyst (CFA) — это сертификат международного уровня, выдается он финансовым аналитикам, которые успешно прошли программу обучения Института CFA, сдали экзамены и получили необходимый опыт работы в финансовой сфере.
CFA является одним из наиболее престижных и элитных сертификатов в мире финансов и инвестиций, поэтому в последнее время большое число специалистов стремятся его получить.
К тому же российский фондовый рынок более интенсивно интегрируется в систему мировой финансовой системы, корреляция с глобальным рынком капитала в последние пять лет достигла максимальных значений за все время. Все это порождает спрос на финансовых специалистов с высоким уровнем ответственности по отношению к клиенту, работодателю, а это, в свою очередь, способствует росту доверия к фондовому рынку.
Чтобы получить звание CFA, кандидаты должны сдать экзамены трех уровней на знание фундаментального анализа, оценки активов, портфельного управления, а также управления благосостоянием. Само обучение и сдача экзаменов проходят на английском языке, поэтому уровень знания языка должен быть не ниже Advanced. Данную программу стремятся освоить те, кто работает в финансовой, бухгалтерской, экономической сферах или бизнесе. Обладатели сертификата, как правило, работают на позициях высшего и среднего уровня в банках, управляющих компаниях, хедж-фондах и других институтах.
Что дает сертификат CFA
CFA — это золотой стандарт в инвестиционной индустрии, демонстрирующий наилучшие навыки обладателя в управлении портфелем и финансовой экспертизе. Также это свидетельствует о том, что обладатель сертификата придерживается этических норм в отношении клиента и работодателя и демонстрирует наивысшие стандарты в работе.
Кандидаты выделяют три причины, по которым хотят получить сертификат:
1. CFA — это самая крупная ассоциация инвестиционных профессионалов, признаваемая всеми участниками рынка.
2. Приобщение к 60-летнему опыту инвестиционных практик (CFA основана в 1959 году).
3. Активная система трудоустройства института.
Как я шел к получению сертификата
Получить чартер (сертификат, удостоверяющий, что человек успешно сдал три уровня экзаменов CFA и состоит в Ассоциации CFA) меня замотивировали мои руководители. Порядка 20% сотрудников нашего департамента сертифицированы и соответствуют лучшим международным инвестиционным практикам в части управления портфелем.
Экзамен первого уровня проходит раз в полгода, второго и третьего — раз в год. Институт рекомендует потратить на обучение каждого уровня не менее 200 часов.
Первые два уровня я сдал в течение двух лет. Обучение заняло довольно много времени, особенно подготовка ко второму уровню. У меня на это ушло полгода, в течение которых пришлось уделять занятиям все вечера в будни и все выходные дни. Я готовился в группе с преподавателем, студентами которой были финансовые директора ведущих российских компаний, аналитики хедж-фондов, трейдеры облигационных отделов госбанков. Это позволило существенно обогатить обучение реальными примерами, что, по сути, сделало его прикладным.
Путь от подготовки до сдачи третьего уровня занял полтора года, поскольку экзамен из-за пандемии коронавируса несколько раз переносили.
За время обучения нужно освоить достаточно большой объем материала — более 2,5 тыс. страниц учебной литературы, а также выделить 200 часов в течение пяти месяцев. Сначала это может показаться легкой задачей, но сложно реализуемой на практике при совмещении с основной работой. Это основные трудности, с которыми сталкиваются учащиеся, и по этим же причинам не все кандидаты проходят обучение до конца и получают заветный сертификат CFA.
Когда стоит задуматься над получением чартера и какие шаги предпринять
Если после двух лет работы в инвестиционной сфере появилось понимание того, что вам не хватает знаний для повышения качества своей работы, если вы стали интересоваться опытом западных коллег или сталкиваетесь с конфликтом интересов и не знаете, как лучше поступить, то пора задуматься о получении чартера. Первым делом стоит зайти на сайт Института CFA и посмотреть, какие есть экзамены на ближайшие даты. Выбрать я бы рекомендовал тот экзамен, который начинается примерно через 4—6 месяцев. Затем нужно пройти регистрацию для сдачи, получить материалы и начать готовиться.
В процессе подготовки из-за большого объема материалов будет возникать много соблазнов забросить занятия. Поэтому очень важно, чтобы была хорошая мотивация. Например, я осознавал, что данное обучение позволяет систематизировать все имеющиеся у меня знания, получить масштабные навыки в области финансового и инвестиционного менеджмента, которые позволяют владельцу CFA работать на любых финансовых позициях. Данный сертификат признается во всех странах, поэтому можно устроиться на работу в любой стране, где представлены крупнейшие финансовые компании. Более того, ассоциация сама будет предлагать вакансии в ведущих финансовых компаниях мира. Так что дерзайте!
Мнение автора может не совпадать с мнением редакции
§
«бумажная» безопасность
Многие технические специалисты увлекаются технологиями, а вот бизнес-процессы им совершенно не интересны, соответственно корпоративные политики, процедуры, стандарты воспринимаются как ненужные бумажки. С позиций менеджмента подобные документы являются очень важными, так как формируют требования информационной безопасности, которые в свою очередь реализуются с помощью технологий и грамотных действий сотрудников. Соискателю CISSP, СISA, CISM нужно научиться мыслить как управленцу и полюбить процессный подход к менеджменту всей душой.
Cissp
Истинный обладатель CISSP должен очень хорошо ориентироваться во всех современных течениях информационной безопасности и в первую очередь в области менеджмента ИБ. Соискатель должен уметь мыслить в категориях «уязвимость», «риск», «контрмера». Опыт администрирования средств защиты информации или взлома компьютерных сетей (этичного, конечно) будет бесспорно полезен, но на экзамене никто не будет требовать вспомнить какую-то определенную настройку или команду какой-либо системы, так как сертификация не зависит от какого-либо вендора.
На мой взгляд, объем знаний CISSP соответствует объему знаний молодого специалиста, окончившего с хорошими отметками профильную кафедру и имеющему пару лет реального опыта в информационной безопасности в серьезной организации.
Ev сертификаты
Это те самые сертификаты с расширенной проверки и зеленой строкой в браузере, о которых мы говорили выше. Получить их может только юридическое лицо, коммерческая, некоммерческая или государственная организация.
Цена: от 250 $ в год.
Icagile
ICAgile. После прохождения обучения вы можете получить международный сертификат. Тренинги от ICAgile достаточно известны и популярны. Получить сертификат достаточно просто: прослушал курс – получи сертификат.
Карта треков
Обучение проходит по 8 трекам плюс 1 бизнесовый блок.
В каждом треке есть 2 уровня. Прошёл обучение по каждому уровню – получаешь статус по всему треку.
Обучение на каждом уровне длится в течение 3-х дней, много практики.
Сертификат
Сертификат пришлют в течение 4 недель после курса. Сертификат выдаётся бессрочно, продлевать не нужно.
Пример сертификата
Проверить сертификат на действительность можно по ссылке.
Стоимость обучения варьируется в зависимости от трека от 35 до 90 тысяч рублей. Стоимость курса включает выдачу сертификата. Ничего доплачивать не нужно.
Из плюсов:
Из минусов:
Java code signing
Для подписи Java апплетов. Позволяет подписывать .jar файлы и Java приложения для настольных и мобильных устройств.
Распознается Java Runtime Environment (JRE)
Kanban university
Kanban University. Сертификация проходит аналогично ICAgile, прослушал курс – получи сертификат. Для сертификации доступно 5 треков.
Карта треков
Team Kanban Practitioner – это однодневный курс для тех, кто хочет познакомиться с Kanban.
Чтобы получить Kanban Management Professional необходимо пройти обе ступени KMP1 и KMP2.
Треки Management, Coaching, Consultant и Trainer – подойдут для тех, кто планирует стать тренером или коучем по Kanban.
Сертификат
Пример сертификата
Проверить сертификат можно по ссылке.
Обучение проходит в течении 1-2 дней, зависит от трека. Стоимость составляет порядка 25-50 тысяч рублей за одну ступень.
Из плюсов:
Из минусов:
Kernel mode signing
Сертификаты разработчика Kernel-Mode позволяют подписывать, так называемые kernel-mode приложения и драйвера устройств. 64 битная версия Windows Vista и Windows 7 требуют, чтобы все kernel-mode приложения были подписаны сертификатом и доверенного центра сертификации.
Microsoft authenticode
Для подписи 32 и 64 битных файлов (.exe, .cab, .dll, .ocx, .msi, .xpi и .xap файлы). Также позволяет подписывать код для Microsoft® Office, Microsoft VBA, Netscape Object Signing и Marimba Channel Signing.
Поддерживает приложения на Silverlight 4
Microsoft office vba signing
Подписывает VBA объекты, скрипты и макросы для файлов Microsoft Office .doc, .xls, и.ppt
Для Microsoft Office и дополнений, которые используют VBA
San сертификаты
Пригодится, если вы хотите использовать один сертификат для нескольких разных доменов, размещенных на одном сервере. Обычно в такой сертификат входит 5 доменов и их количество можно увеличивать с шагом в 5.
Цена: от 395 $ в год
Scrum alliance
Scrum Alliance. Компания была основана в 2002 году авторами «The Scrum guide» Джеффом Сазерлендом и Кеном Швабером. Сертификат от Scrum Alliance один из двух самых известных в мире сертифицирующих организаций по Scrum. О второй позже.
Карта треков
В Scrum Alliance есть три трека для сертификации по ролям: Scrum master, Product owner, Developer. У всех трёх ролей есть три ступени — Certified, Advanced и Professional.
Также Scrum Alliance предлагает еще 4 дополнительных трека — Agile Leadership, Team Coach, Enterprise Coach и Trainer.
Сертификат
Чтобы допуститься к экзамену, необходимо обязательно пройти аккредитованные курсы.
Курс длится 2 дня. После прохождения обучения у вас будет несколько попыток сдать экзамен на официальном сайте Scrum Alliance.
Пример сертификата
Проверить сертификат на действительность можно по ссылке.
Экзамен состоит из 50 вопросов, на решение которых будет отведён 1 час. Критерий прохождения – 37 правильных ответов.
После прохождения обучения вам будет доступно несколько бесплатных попыток для сдачи экзамена. Экзамен доступен на официальном сайте scrum alliance и только на английском языке.
Стоимость обучения составляет порядка 65 тысяч рублей за 1 ступень, включая взнос за экзамен и 2 попытки, далее $25 за каждую попытку.
Для получения следующей ступени сертификации необходимо обязательное наличие предыдущей.
Сертификацию нужно продлевать каждые 2 года. Для продления необходимо набрать достаточное количество баллов SEUs на аккредитованных курсах плюс заплатить взнос. К примеру, для продления самой популярной сертификации Product owner и Scrum Master потребуется 30 часов курсов и оплата взноса в размере 175 долларов.
Подробная информация о продлении по ссылке.
Из плюсов:
Из минусов:
Sgc сертификаты
Сертификаты с поддержкой повышения уровня шифрования. Актуально для очень старых браузеров, которые поддерживали только 40 или 56 бит шифрование. При использовании этого сертификата уровень шифрования принудительно повышается до 128 бит.
За все время у нас не купили не одного такого сертификата. Мое мнение, что они уже не нужны, разве что для внутреннего использования в больших корпорациях, где сохранилось очень старое железо.
Цена: от 300 $ в год.
Базы вопросов
Можно легко найти и приобрести базы вопросов для подготовки к экзаменам, как официальные от ISC2 и ISACA, так и от сторонних вендоров. Базы вопросов могут быть как в виде программ для тестирования, так в виде учебников. Очень полезный материал, позволяющий постоянно оценивать свою готовность к экзамену.
Вопросы для оценки необходимости стать сертифицированным специалистом
Давайте сведем в один список вопросы, ответы на которые позволят специалистам в области ИБ решить насколько им необходима сертификация.
У меня получился такой «аудиторский» чеклист:
- Обладаете высшим техническим образованием в ИТ-сфере и средний балл не ниже 4?
- На работе занимаетесь проектами по большинству тем экзамена?
- Без словаря читаете английские статьи на профессиональные темы?
- Есть желание двигаться по карьерной лестнице вверх?
- Будет время готовиться вечерами и сможете взять несколько дней отгула перед экзаменом?
- Хоть немного ощущаете себя настоящим менеджером?
- Готовы к тому, чтобы жить и работать в столице?
Если на большинство вопросов у вас положительный ответ, то определенно стоит ввязаться в это дело, подготовиться, сдать экзамен(ы), а затем постоянно поддерживать свои знания на достойном уровне.
Глоссарий терминов
Даже если на Шаге 2 вы оценили, что ваш уровень владения английским языком подходит для сдачи экзамена, не поленитесь и пролистайте
. Обратите внимание, что в вопросах экзаменов зачастую фигурируют слова, перевод которых на русский язык не всегда однозначен (например, control — контрмера, мера минимизации риска, СЗИ, контроль).
Есть ли разница в каком центре сертификации заказывать сертификат?
Основное отличие между разными центрами сертификации — в цене сертификатов и в том, в каком количестве браузеров установлен их корневой сертификат. Ведь если в браузере нет корневного сертификата этого центра сертификации, то посетитель с таким браузером все равно получит ошибку при входе на сайт с сертификатом от такого центра.
Что касается перечисленных выше центров сертификации, то их корневые сертификаты установлены в, пожалуй, 99,99% всех существующих браузеров.
Чтобы проверить, корневые сертификаты каких центров сертификации установлены в вашем браузере, достаточно в настройках вашего браузера найти такую опцию. (В Chrome Настройки -> показать дополнительные настройки -> управление сертификатами ->
Важный момент — частенько у клиентов возникала ситуация, когда SSL сертификат на серверe установлен, но при заходе на сайт браузер все равно выдает ошибку. Такая ситуация может возникнуть или из-за отсутствия в файле ca-bundle.crt корневого сертификата центра выдавшего сертификат или из-за того, что корневой сертификат устарел. Корневые сертификаты также имеют свой срок действия (в браузерах они обновляются при обновлении браузера).
Как выбрать самый дешевый сертификат?
У Geotrust самые дешевые SAN сертификаты. Сертификаты с валидацией только сайта, а также wildcard выгоднее всего у RapidSSL. EV сертификаты самые дешевые также у Geotrust. SGC сертификаты есть только у Thawte и Verisign, но у Thawte дешевле.
Как получить сертификат?
Получение сертификата FSC – только первый шаг. Сертификаты FSC действительны в течение пяти лет, в течение которых необходимо регулярно подтверждать соответствие стандартам FSC, применяемым в вашей организации.
Ежегодно ваш орган по сертификации будет проводить у вас так называемый надзорный (контрольный) аудит для проверки вашего соответствия требованиям FSC сертификации. В некоторых случаях (например, при появлении информации о значительных несоответствиях в промежутке между надзорными аудитами) могут проводиться дополнительные проверки. Через 5 лет проводится ресертификация – то есть, вам опять нужно будет пройти полный сертификационный аудит.
Вот важные советы по налаживанию системы FSC в вашей организации:
1. На вашем предприятии должен быть ответственный за сертификацию – человек, обязанностью которого является постоянная поддержка в рабочем состоянии системы управления, отвечающей необходимым требованиям FSC; эта система включает:
- управленческие решения
- необходимые документы (процедуры, инструкции, правила), обеспечивающие выполнение требований выбранных стандартов FSC
- обучение работников их применению согласно обязанностям каждого
- контроль (мониторинг) их применения
- внесение изменений в документы по результатам мониторинга, если необходимо.
2. Важно, чтобы ответственный за сертификацию обладал необходимыми для этого полномочиями и ресурсами (временными, материальными, кадровыми); для этого нужно, чтобы руководство предприятия осознавало необходимость постоянного поддержания сертификата, и было готово обеспечить ответственного всем необходимым;
3. Позаботьтесь также о том, чтобы не только ответственный за сертификацию, но и ключевые работники вашего предприятия были знакомы с основными требованиями FSC, которые применяются на предприятии; важные документы, связанные с сертификацией (договор с органом по сертификации, стандарты FSC, по которым вы работаете, процедуры, инструкции и др.) должны быть всегда доступны не только ответственному за сертификацию, но и ключевым сотрудникам, иначе в случае кадровых изменений может возникнуть риск сбоев в работе системы, что может привести к потере сертификата;
4. FSC – живая и развивающаяся система. Стандарты FSC и другие документы регулярно обновляются, пересматриваются, совершенствуются. Необходим постоянный мониторинг того, что происходит в системе; актуальная информация размещается на сайте FSC России и в наших информационных рассылках.
Какие бывают виды code signing сертификатов, и чем отличаются?
Прежде всего рассмотрим сертификаты, по центрам сертификации, которые их выпускают.
Лучше всего различия между сертификатами от разных центров сертификации показывает сводная табличка.В колонках указаны названия центров сертификации, а в в строках тип сертификата или технология/платформа для которой он используется.
стоит уточнить, что не все центры сертификации дают полную информацию о платформах, на которых работают их сертификаты, поэтому плюсом отмечены только те платформы, поддержка которых в явном виде заявлена центром сертификации.
Книги
Без пары хороших книг подготовка будет просто невозможной. Лучше всего полистать все, какие сможете получить, и подобрать подходящие именно вам, исходя из стиля изложения и актуальности материала (лучше смотреть книги, изданные за последние 2-3 года).
, и это очередной вклад в развитие информационной безопасности в России от группы компаний «Эшелон».
Кстати, в Сети можно найти неформальный перевод на русский язык устаревшей версии учебника для подготовки к CISSP
– пробежаться по вопросам тоже не помешает (на самом старте изучения). Начать готовиться лучше, используя литературу именно на русском языке (для погружения в предметную область), а заканчивать – массированным штудированием примерных вопросов исключительно на английском языке (см. базы вопросов ниже).
Курсы подготовки
Стоит ли идти на специализированные курсы? Стоит, если хотите сразу за пару дней погрузиться в тематику экзамена и увидеть всю картину в целом. Нужно понимать, что никакой курс не заменит самостоятельное чтение книг и решение пробных тестов.
Длительность этой фазы подготовки, если ни одного подобного экзамена ранее не сдавали, 3-4 месяца (в среднем по часу в день), если опыт успешной сдачи есть и уровень знаний высок, то срок может быть сокращен и до недели (разумеется, в режиме полного погружения).
Международный сертификат се
В Евросоюзе действуют два основных вида подтверждения соответствия продукции: декларирование и сертификация. На данный момент предприняты меры по оптимизации данного процесса, чтобы упростить ввоз продукции в ЕС. Например, многие продукты достаточно провезти по Декларации соответствия Европейского союза.
Рассматривая международную сертификацию глобально, можно разделить её на несколько направлений:
Мышление ит-аудитора
Для успешной сдачи экзамена CISA нужно хорошо представлять, как мыслит ИТ-аудитор. ИТ-аудиторы проверяют, как выполняются требования внутренних и внешних документов и мыслят совершенно иначе, нежели ИТ-специалисты, нацеленные на то, «чтобы все работало, а остальное – не важно».
Поясню на следующем примере. В ООО «Ромашка» доступ к системам предоставляется на основе заявок по электронной почте и выполняется определенная цепочка согласований. Для администратора отработанная заявка – ненужный мусор, который можно удалить в новогоднюю ночь, автоматически очищая архивы, а для ИТ-аудитора, эта заявка представляет собой важное свидетельство, подтверждающее выполнение процедуры, которую нужно хранить, как золото.
Для освоения методик, применяемых реальными ИТ-аудиторами, очень полезно стать членом ISACA (кстати, отделение ISACA есть в Москве ) и тем самым получить доступ к базе полезных методологических документов. Как уже видели в таблице, членство в ISACA дает существенные скидки как на сами экзамены, так и на продление.
Несколько слов про timestamp.
Timestamp или временная метка используется для указания времени, когда цифровая подпись была сделана. Если такая метка присутствует, то приложение, которое проверяет подпись проверит был ли сертификат, связанный с подписью валидным на момент подписи.
Пример:Сертификат действителен с: 01.01. 2008Сертификат действителен до: 31.12.2021Подпись сделана: 04.07.2009Подпись проверена: 30.04.2021
C временной меткой (timestamp) подпись пройдет проверку, поскольку на момент подписи сертификат был действителен. Без такой метки сертификат не пройдет проверку, поскольку на момент проверки у сертификата уже закончился срок.То есть такая метка позволяет использовать подписанный код, даже после срок окончания сертификата.
Несколько советов.
- Заявку на сертификат желательно оформлять с той же машины, с которой вы потом будете выполнять подпись ПО.
- Большинство центров сертификации рекомендуют генерировать заявку на сертификат через Internet explorer, хотя при генерации заявок через другие браузеры у нас также не было проблем.
Буду рад ответить на вопросы по сертификатам разработчика, в рамках своей компетенции, так как сам разработчиком не являюсь.Также буду рад дополнениям и уточнениям от тех, кто такими сертификатами пользуется.
UPD: добавил важную информацию про timestamp (временную метку), спасибо TolTol и crea7or
Обращайте внимание на first, last, except, not
Необходимо внимательно читать вопросы и обращать внимания на слова, влияющие на выбор ответа напрямую: одно дело выбрать из списка контрмеру, которую надо внедрить в первую очередь, и другое дело – в последнюю.
Обычные ssl сертификаты
Тут все понятно, это сертификаты, которые выпускаются автоматически и подтверждают только домен. Подходят для всех сайтов.
Цена: от 20$ в год
Отбросить бредовый вариант сразу и не тормозить
Самый распространенный формат вопросов на всех рассматриваемых экзаменах так любимый западным миром MCQ (multiple choice question) – вопрос с несколькими вариантами ответов (как правило, 4). Прежде чем взяться за тренировку с вопросами экзаменов, попробуйте решить обратную задачу – придумать такой MCQ на тему, в которой вы разбираетесь, как никто другой.
Вы увидите, что придумать более-менее близкие варианты к единственному правильному не так уж и просто, и вы обязательно включите один вариант, который будет по сути совершенно бредовый. А это значит, что при ответе на вопросы нужно сразу же исключать явно неправильный и искать лучший из оставшихся трех, и в большинстве случаев он виден сразу.
Планирование непрерывности бизнеса и восстановления после сбоев (bcp/drp)
Во всех рассматриваемых экзаменах попадаются вопросы на тему BCP/DRP. В настоящее время подобные проекты реализуются только в довольно крупных организациях, соответственно лишь небольшой процент специалистов сталкивается с данными вопросами на практике. Для проработки этих тем лучше всего дополнительно изучить публикации двух профильных сообществ специалистов:
По какому принципу работает ssl сертификат?
Итак для того, чтобы получить SSL сертификат самое первое, что нужно сделать, это сформировать специальный запрос на выпуск сертификата, так называемый (Certificate Signing Request). При формировании этого запроса вам будет задан ряд вопросов, для уточнения деталей о вашем домене и вашей компании. После завершения ваш веб сервер создаст 2 типа криптографических ключей — приватный ключ и публичный ключ.
Публичный ключ не является секретным и он помещается в запрос CSR.Вот пример такого запроса:—–BEGIN CERTIFICATE REQUEST—–MIIC3zCCAccCAQAwgZkxCzAJBgNVBAYTAlVBMQ0wCwYDVQQIEwRLaWV2MQ0wCwYDVQQHEwRLaWV2MRQwEgYDVQQKEwtIb3N0QXV0b21hdDEQMA4GA1UECxMHaG9zdGluZzEmMCQGCSqGSIb3DQEJARYXc3VwcG9ydEBob3N0YXV0b21hdC5jb20xHDAaBgNVBAMTE3d3dy5ob3N0YXV0b21hdC5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDTg7iUv/iX SyZl74GcUVFHjFC5IqlTNEzWgLWrsSmxGxlGzXkUKidNyXWa0O3ayJHOiv1BSX1l672tTqeHxhGuM6F7l5FTRWUyFHUxSU2Kmci6vR6fw5ccgWOMMNdMg7V5bMOD8tfI74oBkVE7hV95Ds3c594u7kMLvHR xui2S3z2JJQEwChmflIojGnSCO/iv64RL9vjZ5B4jAWJwrruIXO5ILTdis41Z1nNIx3bBqkif0H/G4eO5WF6fFb7etm8M d8ebkqEztRAVdhXvTGBZ4Mt2DOV/bV4e/ffmQJxffTYEqWg8wb465GdAJcLhhiSaHgqRzrprKns7QSGjdAgMBAAGgADANBgkqhkiG9w0BAQUFAAOCAQEAuCfJKehyjt7N1IDv44dd V61MIqlDhna0LCXH1uT7R9H8mdlnuk8yevEcCRIkrnWAlA9GT3VkOY3Il4WTGg3wmtq6WAgLkVXQnhIpGDdYAflpAVeMKil8Z46BGIhKQGngL2PjWdhMVLlRTB/01nVSKSEk2jhO8 7yLOY1MoGIvwAEF4CL1lAjov8U4XGNfQldSWT1o8z9sDeGsGSf5DAXpcccx0gCyk90HFJxhbm/vTxjJgchUFro/0goVpBcredpKxtkwBMuCzeSyDnkQft0eLtZ9b9Q4 ZNDWsPPKxo/zWHm6Pa/4F4o2QKvPCPx9x4fm /xHqkhkR79LxJ EHzQ==—–END CERTIFICATE REQUEST—–
Данные которые содержатся в этом ключе можно легко проверить с помощью сервисов CSR Decoder. Как пример: CSR Decoder 1 или CSR Decoder 2. Второй сервис выдает больше информации о CSR и проверяет ее на валидность, поле Signature в результатах проверки.
Если мы вставим такой запрос в форму для его расшифровки, то увидим, какие данные содержатся в публичном ключе.
Правила и условия нанесения се маркировки
Маркировка CE наносится на изделие или на табличку технических данных. Знак должен быть разборчивым и несмываемым. Если характеристики продукции не позволяют это сделать или нанесение неоправданно, маркировку наносят на упаковку и сопроводительную документацию, если действующее законодательство предусматривает эти документы.
За обозначением СЕ должен следовать идентификационный номер нотифицированного органа, если указанный орган участвует на этапе производственного контроля, или это определено одним из модулей сертификации.
Маркировка СЕ наносится до экспорта. Рядом с этим знаком может проставляться пиктограмма или любой другой знак, обозначающий опасность или особый способ применения.
Предложение/спрос
Давайте посмотрим, сколько всего специалистов, обладающих данными сертификатами, кем и где они работают – заглянем в социальные сети и на страницы ассоциаций. В прошлой статье, посвященной интернет-разведке мы уже
и использовали для этого специальный инструментарий, в этот раз ограничимся простым просмотром результатов поиска.
В сети Linkedin, к которой сейчас довольно ограниченный доступ, можно найти 539 аккаунтов российских пользователей с сертификатами CISA, 330 — c CISSP и 129 — c CISM.
Пролистывая профили пользователей, указавших данные сертификаты, можно увидеть, что их обладатели, как правило, занимают руководящие должности в крупных компаниях, многие задействованы в консалтинговой сфере (BIG4, ИТ-интеграторы и т.п.)
По официальной статистике ассоциаций ISC2 и ISACA сейчас в России всего 200 обладателей сертификатов CISSP, 203 CISA и 60 CISM (данная статистика по CISA и CISM включает только сертифицированных специалистов, являющихся также членами ассоциации ISACA).
Чтобы понять, а есть ли спрос на подобных специалистов, посмотрим наличие вакансий для людей, обладающих такими сертификатами и уровень зарплат, который им готовы предложить работодатели. Сведем результаты выдачи с сайта HH по нашим ключевым словам (названия сертификатов) в следующую таблицу:
Очевидно, что в основном такие специалисты востребованы в крупных городах и в особенности в столицах. Уровень зарплат достойный, но, конечно, же зарплату платят не за наличие сертификата, а за работу.
Анализируя эти данные нужно также помнить, что руководящие должности в крупных организациях часто замещаются без публикации вакансий. Поэтому реальный спрос на таких специалистов несколько выше.
При пожаре выносить первым!
Если для ответа на вопрос необходимо оценить приоритеты для спасения активов и в списке есть человеческая жизнь, то у нее всегда будет приоритет номер один. Сейфы с деньгами и документами можно смело оставить на милость стихии.
Процесс подписи кода.
- Издатель (разработчик) запрашивает Code Signing сертификат у центра сертификации
- Используя SIGNCODE.EXE или другую утилиту для подписи кода издатель, cоздает хеш кода, используя алгоритмы MD5 или SHA
- Кодирует хеш, с помощью приватного ключа
- Создает пакет, который включает в себя: код, зашифрованный хеш и сертификат издателя
Процесс проверки подписанного кода.
- Пользователь скачивает или устанавливает подписанное ПО и платформа или система пользователя проверяет сертификат издателя, который подписан корневым приватным ключем центра сертификации
- Система запускает код, используя тот же самый алгоритм создания хеша, как издатель и создает новый хеш
- Используя публичный ключ издателя, который содержится в сертификате, система расшифровывает зашифрованный хеш
- И сравнивает между собой 2 хеша
Сертификат и маркировка се вместе с серконс
Рано или поздно каждый производитель задумывается об увеличении объёма продаж за счёт освоения зарубежных рынков. Наличие у компании-производителя международных сертификатов – необходимое требование для выхода на мировой рынок, а также отличная возможность повысить уровень конкурентоспособности производимой продукции на внутреннем рынке своей страны.
СЕРКОНС предоставляет квалифицированную помощь российским компаниям в корректном оформлении документов, а также содействует в подготовке испытаний и инспекций, сопровождает процедуру международной сертификации. Наши специалисты помогут подготовить необходимый комплект документов в соответствии со сферой деятельности компании заказчика и требованиями нотифицированного органа по сертификации.
Сертификаты, подтверждающие только домен
Это самые простые сертификаты, это ваш выбор если сертификат вам нужен срочно, так как выпускаются они автоматически и моментально.
При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.
Списывание
У нас зачастую принято довольно снисходительно относиться к тем, кто списывает на экзаменах. В западной культуре списывание считается серьезным проступком, требующем соответствующего наказания. Правилами запрещается списывать на экзаменах ISACA и ISC2, процесс сдачи контролируется, нарушителей изгоняют с позором.
Типы ssl-сертификатов и разница между ними
Работаю в хостинге: размещаем сайты пользователей на своих серверах.
Ввиду гигантского количества вопросов, которые нам задают и начинающие, и опытные пользователи, при помощи Пикабу хочу разъяснить некоторые принципы, аспекты и особенности этого ответвления IT-сферы. Не уверен, что количество вопросов от наших пользователей уменьшится, но попытаться стоит.
Даже если вы не пользуетесь хостингом, предположу, что эта информация может быть познавательна.
Сегодня, как я обещал ранее, речь пойдёт о типах SSL-сертификатов, которые можно создать самостоятельно, приобрести за деньги, получить бесплатно, и о разнице между такими сертификатами.
Итак, первый и самый простой способ получить сертификат для своего сайта — купить его. Для этого можно обратиться в любой центр по выпуску сертификатов и заказать сертификат у них, предоставив в процессе заказа информацию, по которой будет проведена проверка. В зависимости от целей и амбиций вы можете выбрать платный сертификат с различными типами проверки данных:
D — сертификаты с проверкой домена. При регистрации такого сертификата производится только проверка доменного имени. Это самый простой в оформлении и дешевый тип SSL сертификатов. Купить такой SSL сертификат может любая организация и любое физическое лицо. При заказе сертификата необходимо указывать “E-mail адрес для подтверждения” в сертифицируемом домене: на этот адрес будет приходить письмо для подтверждения “владения доменом”. То есть, если оформляется сертификат на домен my-sertif.ru, то серт. центр предоставит выбор из нескольких ящиков, который можно будет указать в проверочных данных, например info@my-sertif.ru, admin@my-sertif.ru и другие. Указанный адрес должен обязательно существовать, все письма с инструкциями сертификационного центра будут высылаться на этот E-mail. При этом оформление сертификатов на домены, в имени которых содержатся намёки на банк, финансы и прочие подозрения на “фишинг” невозможно. Если нужен сертификат для домена кредитной организации, то оформление такого сертификата только с проверкой организации. Сайт с таким сертификатом будет показывать в адресной строке браузера «зелёный замочек» (у разных браузеров по-разному).
D O — сертификаты с проверкой домена и организации. В этом случае происходит не только проверка доменного имени, но и принадлежность домена к указанной организации. При посещении сайта защищенного таким сертификатом в адресной строке браузера будет показываться название организации. Перед оформлением необходимо убедиться, что доменное имя было зарегистрировано на организацию, а не на физическое лицо, например, на директора или системного администратора компании. Помимо этого, для некоторых видов сертификатов, необходимо будет заполнить форму с реквизитами организации, для проверки их сертификационным центром.
IDN (Internationalized Domain Names) — поддержка национальных доменов. Поддержка доменов не с латинскими символами. Если у вас домен например в зоне .рф, то такой вид сертификатов — ваш выбор.
EV (Extended Validation) — расширенная проверка. Такие сертификаты получают самое высокое доверие со стороны браузеров. Для этого вида сертификатов проводится полная проверка организации, включая обязательное заполнение форм с данными компании, заверяемых подписью и печатью. Но столь «сложное» оформление даёт самый высокий уровень доверия, чему свидетельствует “зеленая адресная строка” в браузере посетителя сайта, которая говорит о том, что сайт прошёл серьёзную проверку и все данные передаваемые между посетителем и сайтом надёжно защищены.
WildCard — поддержка субдоменов. Wildcard сертификат можно использовать на всех субдоменах (поддоменах) доменного имени. Один такой сертификат будет действителен на доменах www.my-sertif.ru, test.my-sertif.ru, accounts.my-sertif.ru и т.д. без каких либо ограничений на количество субдоменов.
SGC (Server Gated Cryptography) — высокий уровень шифрования. Сертификаты с поддержкой принудительно высокого уровня шифрования обеспечивают максимально высокий уровень шифрования вне зависимости от типов и версий браузеров клиентов. Если пользователь использует старую версию браузера, поддерживающую только 40 или 56 битное шифрование, то при использовании SGC-сертификата соединение все равно будет использовать 128(и более) битное шифрование.
SAN/UCC (United Communications Certificate) — мульти-доменные сертификаты. SAN SSL-сертификаты, так же известные как Единые сертификаты связи (UCC) идеальны для продуктов Microsoft Exchange, а так же для защиты мульти-доменных проектов. Такие сертификаты защищают все описанные в заявке домены, субдомены, локальные имена используя лишь 1 сертификат.
Помимо глубины проверки данных, разные типы сертификатов дают разные страховые возмещения. Об этом стоит рассказать отдельно.
Каждый платный сертификат подразумевает наличии страховки. Страховка покрывает финансовые риски посетителя сайта. Например, сертификат гарантирует страховое возмещение в размере $10000. Значит, если на домене установлен такой сертификат, и посетитель сайта домена в результате операций сайте понёс какие-либо финансовые убытки из-за взлома ключа сертификата, то такие убытки будут покрыты сертифкационным центром вплоть до $10000. На практике же лично мне не известно ни одного случая, когда такое возмещение было бы выплачено. И дело не в том, что SSL настолько суровая технология, что взломать ключи, а, следовательно, подсмотреть шифрованный трафик, невозможно. Скорее очень сложно доказать, что это произошло. Даже когда пару лет назад была анонсирована катастрофическая уязвимость в протоколе SSL, которая получила название «HeartBleed», информации о каких-то возмещениях не было.
Также хочу заметить, что чаще всего самую низкую цену на сертификат вы получите не напрямую у серт.центра, а у посредника. Т.к. они, также как в ситуации с доменами, получают адские скидки из-за оптовых закупок, и, соответственно, могут предложить более низкую цену, чем у самих серт. центров.
Второй способ получить сертификат чуть более сложный. Его можно сгенерировать самостоятельно. Для его воплощения потребуется как минимум командная строка любой unix-системы, пара часов «курения» интернетов по запросам “Генерируем SSL сертификат самостоятельно”, а затем пара несложных команд в командной строке.
В результате будет получен набор файлов, которые в последствии можно использовать для подключения сертификата на домен сайта.
Помимо очевидного минуса в необходимости выполнения каких-то самостоятельных телодвижений, в итоге получится, что для работы с сайтом, использующим такой сертификат, пользователю придётся также лишний раз нажать на пару кнопок в браузере.
Это будет происходить из-за того, что бразуры имеют собственную базу сертификационных центров, сертификатам которых они доверяют. Выпущенный же самостоятельно сертификат так и называется «самоподписанный сертификат». Сертифкационным центром в этом случае выступает компьютер, на котором выпущен сертификат. Соответственно, доверия этому компьютеру у браузера нет. Поэтому бразуер будет выводит сообщение об отсутствии проверки сертификата. Такие сертифткаты лично я рекомендовал бы использовать только для собственных нужд, а в Сети всё-таки пользоваться сертификатами от доверенных серт. центров.
Но что делать, если платить даже 10 северо-американских рублей за сертификат не хочется, но душа требует работать с вашим публичным проектом по зашифрованному каналу? До недавнего времени делать было нечего. Таким образом мы плавно подошли к последнему варианту.
Способ третий. Немного издалека.
Пару лет назад группа интернет-компаний скооперировалась и создала свой собственный лунапарк сертификационный центр, который занимается выпуском бесплатных сертификатов для всех желающих. Центр называется «Let’s Encrypt». Каждый выпускаемый ими сертификат проходит проверку типа D, действует в течение 90 дней, а по истечении этого периода может быть бесплатно перевыпущен. Количество перевыпусков не ограничено.
Именно такой сертификат от Let’s Encrypt я советую почти всем, кто столкнулся с необходимостью использовать SSL.
Для самостоятельного выпуска такого сертификата нужно скачать с сайта организации некоторый софт и запустить его. Ответить на несколько вопросов, которые софт задаст, и дождаться получения файлов сертификата.
Не сочтите за рекламу. Проект не получает никакой финансовой выгоды из выпуска таких сертификатов. Группа компаний лишь ратует за безопасный интернет.
Сейчас уже многие хостеры интегрировали функционал выпуска и перевыпуска таких сертификатов в автоматическом режиме. Например, хостинг панель в нашей компании с последним апдейтом от разработчиков получила новые кнопки, которые позволяют получить сертификат для домена сайта в течение нескольких минут.
картинка кнопок Let’s Encrypt в панели isp
Перевыпуск производится автоматически, поэтому, однажды выпустив такой сертификат, можно вообще забыть о небезопасном соединении со своим проектом. Останется только перевести сайт домена на работу с безопасным протоколом https.
Небольшой бонус. Какой сертификат мне выбрать для своего проекта? Здесь всё достаточно просто.
Всё зависит от того, для чего именно вам нужен сертификат? Большинству пользователей сейчас подойдёт бесплатный сертификат от Let’s Encrypt.
Если вам нужен сертифткат для сайта финаснсового учреждения, то нужно задуматься о платном сертификате с уровнем проверки минимум D O.
Все остальные сертификаты это:
1. Ваши амбиции – зелёная адресная строка в браузере не более, чем понты
2. Финансовые возможности.
3. Техническая необходимость – иногда проще заплатить за мультидоменный сертификат, чем выпускать по сертификату на каждый используемый домен.
Всем спасибо за внимание. Если есть какие-то вопросы – добро пожаловать в комментарии.
P.S.:
Заметил, что по предыдущим моим постам, что они набирают некоторое количество минусов. Рейтинг мне не важен, но хотелось бы понять, что именно в моих постах вызывает негатив. Возможно, я смогу исправить это, если вы будете писать об этом в комментариях.
Чем еще отличаются сертификаты между собой
- Скоростью выпуска. Быстрее всего выпускаются сертификаты с валидацией только домена, дольше всего с EV валидацией, от 7 рабочих дней.
- Количество перевыпусков сертификата — у большинства центров сертификации неограниченно. Требуется, если допустили ошибку в данных об организации.
- Гарантия — для некоторых сертификатов есть гарантия от 10.000 $. Это гарантия скорее не для покупателя сертификата, а для посетителя сайта, где установлен сертификат. В случае если посетитель сайта с таким сертификатом пострадает от фрауда и потеряет деньги, то центр сертификации обязуется их ему компенсировать до суммы указанной в гарантии. То есть центр сертификации как бы дает гарантию на свои сертификаты и что их невозможно установить на «левый» домен. На практике такие случае мне не известны поэтому на этот параметр можно не обращать внимание.
- Бесплатный тестовый период — из платных сертификатов есть у symantec secure site, geotrust rapidssl, comodo positive ssl, thawte ssl web server. Также можете для тестов использовать бесплатные сертификаты: StartSSL™ Free
- Возврат средств — есть почти у всех сертификатов в течении 30 дней, хотя бывают и сертификаты без периода moneyback
Шаг 4. подготовка в последнюю неделю перед экзаменом
Как правило, подготовка к экзамену растягивается на длительный срок и в конце можно немножко подзабыть, что изучали вначале. Поэтому целесообразно взять несколько дней отгула перед экзаменом, чтобы пролистать целиком свои материалы. В любом случае, в конце подготовки придется уделить пару дней для зубрежки отдельных технических параметров.
Этапы получения се marking
Знак СЕ является единым знаком соответствия на территории Европейского союза. Производитель, размещая СЕ на свою продукцию, дает понять, что продукция соответствует требованиям стандартов, является безопасной, и производитель гарантирует данную безопасность.