- Что в tls 1.3?
- Что нужно знать о выборе уровней и направлений:
- Сертификат cfa: что он дает и как его получить?
- Мнения специалистов разных стран:
- Basic constraints
- Capi и scvp
- Cissp
- Intermediate certificate
- Ocsp stapling
- Root certificate
- Вопросы для оценки необходимости стать сертифицированным специалистом
- Какие виды ssl-сертификатов есть и кто их выдаёт?
- Какие особенности:
- Какой ssl-сертификат выбрать?
- Книги
- Маленький бонус
- Мышление ит-аудитора
- Не отозван ли сертификат?
- Ответ клиента
- Откуда берутся сертификаты?
- Предложение/спрос
- С точки зрения qa-специалиста сертификация – это:
- С точки зрения компании сертификация – это:
- Сertificate transparency
- Словарный запас
- Тот ли тип использования?
- Выводы
Что в tls 1.3?
Все упомянутые трудности решаются использованием TLS 1.3. Половины проблем вообще нет, всё проще, красивее, всё прям отличненько. Но TLS 1.3 еще распространен маловато. Самые важные отличия TLS 1.3 (их очень много, они везде, поэтому только самые важные):
- Плохие шифры удалены, остались только хорошие. Инициализировать сессию TLS 1.3 на плохих шифрах не получится. Всё дело в новых cipher suites: тут и другие алгоритмы обмена сеансовых ключей, и так называемый HMAC – не будем углубляться в подробности, потому что Патрик устал. Вкратце: раньше подпись каждого TLS-пакета шла отдельно. На это были атаки, потому что было известно, какой там контент находится. Сейчас ее запихали вовнутрь (режим AEAD), и в TLS 1.3 по-другому быть не может, соответственно, мы избавились от таких атак.
- Handshake стал короче – нет старых сообщений, нет старых расширений, нет возможности по каким-то странным штукам обменяться ключиками. То есть, он тупо короче количественно – даже самый полный TLS 1.3 handshake короче, чем в TLS 1.2.
- Переход на шифрованный канал происходит почти что сразу. Для этого используются разные ключики: да, пока не договорились о хороших ключиках, оптимальных, мы используем какие попало, но канал уже шифрованный. То есть hello – hello и пошло всё зашифрованное. Из-за этого сложнее всё это ломать.
- Всё регламентировано, больше не надо пытаться менять размеры пакетов, забивая их ноликами, чтобы сложнее было расшифровывать.
- Своя пара ключей на каждую сеансовую фазу. Сеансовые ключи меняются: пока мы ни о чем не договорились – они такие, договорились о более крутых – они более крутые, сертификаты проверили и всё хорошо – еще другие ключи. В итоге их много, они усложняются и очень трудно это всё поломать. Еще одна важная вещь, почему это быстрее: Early Data (она же 0-RTT, Zero Round Trip Time) – это когда у тебя в TLS-handshake посылается полезная инфа – ну например GET-запрос. То есть нет такого, что поговорили-поговорили и только потом посылаем что-то отдельным потоком. Сразу же в handshake идет запрос. Как только сервер его получил, он начинает его обрабатывать, отдает клиенту свои данные, сертификат и пока клиент проверяет, сервер уже готов отдать. И может даже в TLS-handshake и отдать иногда.
- Есть pre-shared key, то есть клиент с сервером могут договориться и сохранить сеансовые ключи для последующих соединений. И, соответственно, когда происходит handshake таких вот договорившихся клиентов, на этап выбора ключей время не тратится. Долго объяснять, как это сделано криптографически, но тех атак, которые были на Session ID, вот в этом месте сейчас нет (что хорошо). Всё стало безопаснее и быстрее.
Основная проблема, что поддержка TLS 1.3 – она во всех браузерах, которые актуальны, есть, но не во всех по дефолту включена. Например, в Safari нет (но там очень легко включить), Google Chrome и Mozilla Firefox уже по дефолту поддерживают TLS 1.3. Ngnix с TLS 1.3 – без проблем, в Apache есть нюансы, а вот с почтовыми клиентами хуже — там только Exim молодец, а остальные не очень.
В общем, это наше будущее, там всё получше и попроще, самое главное. Но пока оно еще не везде наступило.
Что нужно знать о выборе уровней и направлений:
1. Уровень Foundation (F)направления Сore
– основа для любого сертификата более высокого уровня.
2. Уровень Fнаправления Specialist – для него предусмотрена узкоспециализированная сертификация: usability, mobile application, performance, acceptance, model-based тестирование и др.
3. Уровень F и Advanced (AD)направления Agile – спрос на сертификаты такого образца за последние 2 года вырос более чем на 20%.
4. Уровень AD – предусмотрена сертификация для/по:— тест-менеджеров; — инженеров по автоматизации тестирования; — тест-аналитике;— технической тест-аналитике; — тестированию безопасности.
5. Уровень Expert (EX) – предполагает сертификацию по направлениям тест-менеджмент и улучшение процесса тестирования.
Кстати, при выборе уровней сертификации для нужного вам направления обращайтесь к информации основного сайта ISTQB, т.к. на сайтах провайдеров бывают неточности в описании.
Сертификат cfa: что он дает и как его получить?

Chartered Financial Analyst (CFA) — это сертификат международного уровня, выдается он финансовым аналитикам, которые успешно прошли программу обучения , сдали экзамены и получили необходимый опыт работы в финансовой сфере.
CFA является одним из наиболее престижных и элитных сертификатов в мире финансов и инвестиций, поэтому в последнее время большое число специалистов стремятся его получить.
К тому же российский фондовый рынок более интенсивно интегрируется в систему мировой финансовой системы, корреляция с глобальным рынком капитала в последние пять лет достигла максимальных значений за все время. Все это порождает спрос на финансовых специалистов с высоким уровнем ответственности по отношению к клиенту, работодателю, а это, в свою очередь, способствует росту доверия к фондовому рынку.
Чтобы получить звание CFA, кандидаты должны сдать экзамены трех уровней на знание фундаментального анализа, оценки активов, портфельного управления, а также управления благосостоянием. Само обучение и сдача экзаменов проходят на английском языке, поэтому уровень знания языка должен быть не ниже Advanced. Данную программу стремятся освоить те, кто работает в финансовой, бухгалтерской, экономической сферах или бизнесе. Обладатели сертификата, как правило, работают на позициях высшего и среднего уровня в банках, управляющих компаниях, хедж-фондах и других институтах.
Что дает сертификат CFA
CFA — это золотой стандарт в инвестиционной индустрии, демонстрирующий наилучшие навыки обладателя в управлении портфелем и финансовой экспертизе. Также это свидетельствует о том, что обладатель сертификата придерживается этических норм в отношении клиента и работодателя и демонстрирует наивысшие стандарты в работе.
Кандидаты выделяют три причины, по которым хотят получить сертификат:
1. CFA — это самая крупная ассоциация инвестиционных профессионалов, признаваемая всеми участниками рынка.
2. Приобщение к 60-летнему опыту инвестиционных практик (CFA основана в 1959 году).
3. Активная система трудоустройства института.
Как я шел к получению сертификата
Получить чартер (сертификат, удостоверяющий, что человек успешно сдал три уровня экзаменов CFA и состоит в Ассоциации CFA) меня замотивировали мои руководители. Порядка 20% сотрудников нашего департамента сертифицированы и соответствуют лучшим международным инвестиционным практикам в части управления портфелем.
Экзамен первого уровня проходит раз в полгода, второго и третьего — раз в год. Институт рекомендует потратить на обучение каждого уровня не менее 200 часов.
Первые два уровня я сдал в течение двух лет. Обучение заняло довольно много времени, особенно подготовка ко второму уровню. У меня на это ушло полгода, в течение которых пришлось уделять занятиям все вечера в будни и все выходные дни. Я готовился в группе с преподавателем, студентами которой были финансовые директора ведущих российских компаний, аналитики хедж-фондов, трейдеры облигационных отделов госбанков. Это позволило существенно обогатить обучение реальными примерами, что, по сути, сделало его прикладным.
Путь от подготовки до сдачи третьего уровня занял полтора года, поскольку экзамен из-за пандемии коронавируса несколько раз переносили.
За время обучения нужно освоить достаточно большой объем материала — более 2,5 тыс. страниц учебной литературы, а также выделить 200 часов в течение пяти месяцев. Сначала это может показаться легкой задачей, но сложно реализуемой на практике при совмещении с основной работой. Это основные трудности, с которыми сталкиваются учащиеся, и по этим же причинам не все кандидаты проходят обучение до конца и получают заветный сертификат CFA.
Когда стоит задуматься над получением чартера и какие шаги предпринять
Если после двух лет работы в инвестиционной сфере появилось понимание того, что вам не хватает знаний для повышения качества своей работы, если вы стали интересоваться опытом западных коллег или сталкиваетесь с конфликтом интересов и не знаете, как лучше поступить, то пора задуматься о получении чартера. Первым делом стоит зайти на сайт Института CFA и посмотреть, какие есть экзамены на ближайшие даты. Выбрать я бы рекомендовал тот экзамен, который начинается примерно через 4—6 месяцев. Затем нужно пройти регистрацию для сдачи, получить материалы и начать готовиться.
В процессе подготовки из-за большого объема материалов будет возникать много соблазнов забросить занятия. Поэтому очень важно, чтобы была хорошая мотивация. Например, я осознавал, что данное обучение позволяет систематизировать все имеющиеся у меня знания, получить масштабные навыки в области финансового и инвестиционного менеджмента, которые позволяют владельцу CFA работать на любых финансовых позициях. Данный сертификат признается во всех странах, поэтому можно устроиться на работу в любой стране, где представлены крупнейшие финансовые компании. Более того, ассоциация сама будет предлагать вакансии в ведущих финансовых компаниях мира. Так что дерзайте!
Мнение автора может не совпадать с мнением редакции
Мнения специалистов разных стран:
А что думают специалисты в области тестирования и разработки ПО из США и Европы:
«Креативное мышление более ценно, чем сертификация. В ситуации с наймом я, как правило, предпочитаю человека, который имеет самый непосредственный опыт работы, вместо сертифицированного специалиста. Кроме того, если сертификация сертифицированного специалиста не добавляет ценности работе, она становится для меня скорее отрицательным показателем, чем положительным».Джо Коли Мендон, Массачусетс.
«Сертификаты могут помочь в отборе лучшей части специалистов на рынке труда, из которой вы можете затем выбрать подмножество, которое действительно отвечает всем требованиям. Сертификаты не являются панацеей от проблем с набором персонала и не станут надежной, железной гарантией наличия у работника необходимых навыков». Дебашиш Чакрабарти, Швеция.
«Означает ли наличие сертификата, что менеджер проекта является хорошим специалистом? Нет. Значит ли это, что он заинтересован в том, чтобы тратить время на себя и продвигать профессию с помощью непрерывного образования и участия? Да». Райли Хоран Сент-Пол, Миннесота
Ссылка на оригинальную статью с отзывами.
Basic constraints
Еще одна штука, которая улучшает секьюрити (и с этим были серьезные баги до 2003 года в Internet Explorer): в промежуточных сертификатах в поле Basic Constraints должно быть написано
CA: true
, что означает, что этим сертификатам разрешено подписывать конечные сертификаты. Если этой штуки нет, то клиент при проверке цепочки должен сказать: «я не могу принять этот промежуточный сертификат» – несмотря на то, что все подписи совпадают, в субъекте всё совпадает и т.д.
Еще раз, если кто не понял: если эту штуку не проверять, я могу получить сертификат от Let’s Encrypt и потом этим сертификатом подписывать что угодно. И цепочка будет валидная.
Capi и scvp
Еще про верификацию и про цепочку. Есть маленькая особенность – похвалим здесь Windows. Если сервер не отдал сертификат, в обычном (традиционном) подходе сертификат нам взять неоткуда, цепочки нет, всё сломалось. Так вот, в Windows есть такая штука как Certificate API, и она может достроить цепочку, взяв промежуточные сертификаты из своего хранилища.
Как эти сертификаты туда попадают? Либо залиты в хранилище, либо из сертификата, установленного на сервере. Например, в Plesk, если получить сертификат от Comodo и поставить его на домен – в хранилище попадет промежуточный сертификат от Comodo.
Ну и еще люди, которым Windows нравится, придумали SCVP (Server-based Certificate Validation Protocol). В действительности не работает почти ни у кого и нигде – в смысле глобально и массово, — но как концепция есть. Более того, есть продукты, которые это делают, и даже в каких-то сетях это может быть настроено.
Это сервис, который за тебя эту цепочку строит и частично даже проверяет, что удобно. Если там заявлена поддержка DPV (Delegated Path Validation), то он цепочку еще и провалидирует. То есть, клиенту надо этому сервису отправить сертификат и получить ответ – продолжать сессию или рвать.

Предположительно это могло бы всё ускорить, но из-за того, что сервису тоже надо как-то доверять, идея глохнет. И всё-таки она была.
Итак, вот у нас получается такая вот цепочка.
Прежде всего мы проверяем, что с подписями у нас всё нормально: выстраиваем цепочку, проверяем подписи – и считаем, что содержимое сертификатов верно. Дальше нам надо проверить конечный сертификат. Промежуточный нам проверять не надо, потому что мы идем к Патрику и проверить нам надо только самый последний сертификат.
Давайте проверять.
Cissp
Истинный обладатель CISSP должен очень хорошо ориентироваться во всех современных течениях информационной безопасности и в первую очередь в области менеджмента ИБ. Соискатель должен уметь мыслить в категориях «уязвимость», «риск», «контрмера». Опыт администрирования средств защиты информации или взлома компьютерных сетей (этичного, конечно) будет бесспорно полезен, но на экзамене никто не будет требовать вспомнить какую-то определенную настройку или команду какой-либо системы, так как сертификация не зависит от какого-либо вендора.
На мой взгляд, объем знаний CISSP соответствует объему знаний молодого специалиста, окончившего с хорошими отметками профильную кафедру и имеющему пару лет реального опыта в информационной безопасности в серьезной организации.
Intermediate certificate
Следующий в цепочке – Intermediate Certificate. Зачем он нужен? Дело в том, что в случае, если с Root CA Certificate что-то пошло не так, очень сложно его поменять. Центру сертификации нужно сделать новый приватный ключ, новый публичный ключ, всем это всё нужно обновить и так далее, это утомительно и это ломает всю секьюрити.
И вообще, чем меньше мы работаем с машиной, на которой находится этот CA, тем меньше шансов, что этот приватный ключ украдут. Поэтому CA выписывают промежуточные сертификаты и уже с их помощью подписывают конечные (end-entity) сертификаты для вашего домена.
Такая цепочка происходит очень часто и сертификат для нашего Патрика может быть подписан Губкой Бобом, а сертификат Губки Боба – Мистером Крабсом (а Губка Боб работает на мистера Крабса, как мы знаем из мультика). То есть это, в принципе, может быть вообще одна организация.
Для того, чтобы всё это провалидировать, клиенту нужно всю эту цепочку составить и проверить: взять ключик рутового сертификата, проверить, что промежуточный правильный и подпись валидна, потом взять ключик промежуточного сертификата и проверить конечный сертификат.
Цепочка должна присутствовать в списке сертификатов, которые сервер отсылает. По факту бывает всякое. Бывает, что не посылаются. Symantec, например, очень любил в бесплатные сертификаты не вставлять промежуточный. И поэтому в браузерах ничего не работало.
На самом деле, для большей производительности, поиск производится не по ишьюеру и субъекту, а с помощью расширений (extensions) – там вся эта информация лежит в виде хэшей, поэтому всё происходит быстрее. Но иногда хэшей нет, тогда происходит поиск по текстовым полям субъекта и ишьюера, и вот здесь могут случаться атаки.
Поэтому если вы видите сертификат, в котором этих полей нет, можно возбудиться и что-нибудь покопать – возможно, там всё не очень хорошо.
Ocsp stapling
Это примерно в ту же степь, но тут мы уже начинаем уходить от структуры Certificate Authority. То есть возлагаем эту проверку на сервер. Как это работает: сервер периодически ходит по этому OSCP URL-у и говорит: «OCSP-resolver, посмотри-ка, вот этот мой сертификат – в отозванных или нет?».
OCSP-resolver отвечает подписанным ответом, наш сервер его запоминает, и когда клиент приходит, ему отдаётся этот ответ. То есть у клиента есть подписанный ответ и в нём написано, что всё хорошо. Из-за того, что серверов меньше, чем клиентов и сервер может на какое-то время это кэшировать, нагрузка на всех становится меньше.
Тут есть тоже некоторые проблемы: текущий механизм — это только на один сертификат, а у нас цепочка (и это важно). А еще, из-за того, что мой сервер отвечать на это не обязан, клиент не может рассчитывать на то, что OSCP-stapling точно будет. И поэтому отказаться ни от CRL, ни от OCSP не получается – просто потому, что серверы не обязаны опрашивать и отвечать. Ну и еще один аспект: если в вебе с этим нормально, то в почте всё плохо, а в FTP даже слов таких не знают.
Проблема того, что сервер не обязан отвечать, может решиться добавлением в сертификат еще одного поля – так как оно еще не утряслось, у него просто номер, — в котором мы говорим клиенту, что сервер таки обязан ответить, и если он не ответил, считать этот сертификат невалидным.
Вот это всё вместе теоретически может начать работать, но пока еще мало распространено.
Google и Mozilla, так как им всё это не нравится, сделали свой CRL. И зашили его в браузер. Огонь вообще! Это работает быстро, ну и на этом все плюсы заканчиваются. Для того чтобы не помереть, они не запихивают в него DV-сертификаты. То есть если DV-сертификат отозван, они считают – ну и ладно.
Так что если DV-сертификат отозван и при этом нет OSCP-степлинга, Chrome об этом не скажет – он посчитает этот сертификат нормальным. На самом деле, правильно пользоваться OSCP-степлингом иOCSP Must Staple флагом в сертификате.
Root certificate
В принципе, это даже не обязательно должен был быть сертификат – вполне хватило бы просто пары ключей. Потому что единственное, что нам от него надо – это знать, что такому-то центру сертификации (Certificate Authority, CA) соответствует такой-то публичный ключ.
Откуда появляется вера в центры сертификации как в «хороших парней»? Все просто договорились, что вот таким-то организациям можно доверять. У каждого клиента есть список соответствия CA и публичного ключа. Таким образом, каждый клиент знает, что есть вот такой чувак и ключ для него такой. И так это всё и проверяется. То есть – просто записано, просто договорились, что верим.
Вопросы для оценки необходимости стать сертифицированным специалистом
Давайте сведем в один список вопросы, ответы на которые позволят специалистам в области ИБ решить насколько им необходима сертификация.
У меня получился такой «аудиторский» чеклист:
- Обладаете высшим техническим образованием в ИТ-сфере и средний балл не ниже 4?
- На работе занимаетесь проектами по большинству тем экзамена?
- Без словаря читаете английские статьи на профессиональные темы?
- Есть желание двигаться по карьерной лестнице вверх?
- Будет время готовиться вечерами и сможете взять несколько дней отгула перед экзаменом?
- Хоть немного ощущаете себя настоящим менеджером?
- Готовы к тому, чтобы жить и работать в столице?
Если на большинство вопросов у вас положительный ответ, то определенно стоит ввязаться в это дело, подготовиться, сдать экзамен(ы), а затем постоянно поддерживать свои знания на достойном уровне.
Какие виды ssl-сертификатов есть и кто их выдаёт?
Есть специальные центры сертификации или как ещё называют — удостоверяющие центры (УЦ). Вы могли встречать названия таких УЦ: Symantec, Comodo, GlobalSign, Thawte, GeoTrust, DigiCert. Они подтверждают подлинность ключей шифрования с помощью сертификатов электронной подписи.
Кроме того, есть проекты, CloudFlare или LetsEncrypt, где можно получить сертификат бесплатно и самостоятельно. Такой сертификат выпускается на 3 месяца и далее требует продления. Однако во время их установки и дальнейшей работы есть ряд нюансов, которые стоит учитывать.
Например, при выборе сертификата Cloudflare учтите, что он выдаётся сразу на 50 сайтов. Тем самым сертификат будет защищать не только ваш домен, но и ещё несколько чужих, что несёт за собой риски безопасности. Также у Cloudflare нет печати доверия. Если говорить о недостатках LetsEncrypt, то сюда можно отнести поддержку далеко не всех браузеров, отсутствие гарантии сохранности данных сайта и печати доверия.
Печать доверия — это особый знак, позволяющий посетителям видеть, что соединение с вашим сайтом и все передаваемые данные надёжно защищены.
Итак, существует несколько типов SSL-сертификатов по источнику подписи и типу проверки данных.
- Самоподписанные. Сертификат подписывается самим сервером. Его может сгенерировать любой пользователь самостоятельно. По сути, он бесполезен, потому что доверять ему будет только компьютер, на котором был сгенерирован такой сертификат. Большинство браузеров при посещении сайта с таким сертификатом выдаст предупреждение, что соединение не защищено.
- Подписанные доверенным центром сертификации (валидные). Речь о тех самых авторитетных УЦ выше. Сертификат корректно отображается во всех браузерах. Данные сертификата проверены и подтверждены в сертифицирующем центре.
Так вот, разница между самоподписанными сертифкатами и, выданными УЦ, как раз и заключается в том, что браузер знаком с УЦ и доверяет ему, и при использовании такого сертификата ваш посетитель никогда не увидит огромное уведомление о небезопасности ресурса. Купить такой SSL-сертификат можно как напрямую в УЦ, так и через хостинг-провайдеров.
Подписанные доверенным центром сертификаты, в свою очередь, тоже подразделяются по типу проверки данных:
- DV (Domain Validation) — базовый уровень сертификата, который обеспечивает только шифрование данных, но не подтверждает существование организации. Такие бюджетные сертификаты подойдут физическим и юридическим лицам.
- OV (Organization Validation) — обеспечивает не только шифрование данных, но и подтверждает существование организации. Такие сертификаты доступны только для юридических лиц.
- EV (Extended Validation) — это эффективное решение с самым высоким классом защиты, которое активно применяется в онлайн-бизнесе. Для оформления требуется пройти процедуру расширенной проверки, подтвердить законность организации и право собственности на домен.
Сертификаты всех указанных типов обеспечивают шифрование трафика между сайтом и браузером. Кроме того, у них есть дополнительные опции:
- WildCard — защищает соединение с доменом и всеми его поддоменами.
- SAN — защищает домены по списку, указанному при получении SSL-сертификата.
Какие особенности:
- Включение в список организаций-партнеров на сайте ISTQB.
- Упоминание организации на веб-сайтах Национального совета членов ISTQB или поставщика экзамена.
- Привилегии в отношении мероприятий и конференций, связанных с ISTQB.
- Право на получение бета-версии новой программы ISTQB Syllabi с возможностью внести 5. свой вклад в подготовку.
- Почетное членство в эксклюзивном «Форуме партнеров ISTQB».
- Взаимное признание ISEB и ISTQB сертификации.
3. Вы, как организатор события в области QA, можете подать заявку на участие в ISTQB Conference Network
В свою очередь ISTQB размещает информацию о конференции на официальном веб-сайте, а организаторы мероприятий, участвующие в Conference Network, предоставляют скидку:
4. Публикация исследований в области тестирования в Академическом исследовательском сборнике «ISTQВ Academic Research Compendium»5. Сборник примеров передовой практики в области тестирования из разных стран мира. ISTQB Academia Dossier
Представляет собой сборник примеров и практик компаний и институтов разных стран в сотрудничестве с ISTQB. Например, разработка нового направления с учетом тенденций развития тестирования в стране (Канада), развитие сертификации ISTQB среди студентов (Чехия).
Какой ssl-сертификат выбрать?
Итак, мы определились с тем, что SSL-сертификаты различаются между собой не только брендом и ценой. Сегодняшний ассортимент предложений предусматривает широкий круг задач, для которых может потребоваться SSL.
Например, если вы просто хотите уберечь пользователей вашего веб-сайта от навязчивых предупреждений браузера о посещении непроверенного сайта, будет достаточно за несколько минут получить простой DV (Domain Validation) сертификат. Если же вы используете свою интернет-площадку для операций, требующих повышенного уровня безопасности данных компании и клиентов — стоит задуматься об EV (Extended Validation) сертификате.
Для выбора оптимального сертификата для определённого сайта нужно изучить, что предлагают центры сертификации, обращая внимание на следующие аспекты:
- насколько SSL совместим с основными браузерами;
- на каком уровне происходит защита данных пользователей;
- насколько масштабная проверка организации проводится;
- есть ли печать доверия.
Книги
Без пары хороших книг подготовка будет просто невозможной. Лучше всего полистать все, какие сможете получить, и подобрать подходящие именно вам, исходя из стиля изложения и актуальности материала (лучше смотреть книги, изданные за последние 2-3 года).
, и это очередной вклад в развитие информационной безопасности в России от группы компаний «Эшелон».
Кстати, в Сети можно найти неформальный перевод на русский язык устаревшей версии учебника для подготовки к CISSP
– пробежаться по вопросам тоже не помешает (на самом старте изучения). Начать готовиться лучше, используя литературу именно на русском языке (для погружения в предметную область), а заканчивать – массированным штудированием примерных вопросов исключительно на английском языке (см. базы вопросов ниже).
Маленький бонус
То, что не влезло.
На картинку тоже не всё влезло – тема очень большая, но на практике можно фокусироваться таким образом, чтобы на любом уровне понимать идею в целом и смочь разгрести что происходит, понять, что вам нужно доучить, что сейчас конкретно нужно узнать и всё вот это.
Эта картинка — про ключевые слова. Из литературы можно рекомендовать очень крутую статью на русском языке «Ключи, шифры, сообщения: как работает TLS» – прочитать целиком вряд ли удастся, но в качестве справочника пригодится. Открыл, нашел что надо, почитал, ключевые слова узнал, пошел в википедию и на английском прочитал (на русском почему-то плохо написано).
На английском написано отлично: идея, зачем, почему, ссылочки. Не знаешь, что такое HSTS – иди в википедию, там будет ссылочки на статьи для Патриков, то есть чайников. Еще на RFC, но это читать невозможно. Общий смысл станет понятен даже из самой статьи в Википедии.
Вот и всё! Вы молодцы 🙂
Мышление ит-аудитора
Для успешной сдачи экзамена CISA нужно хорошо представлять, как мыслит ИТ-аудитор. ИТ-аудиторы проверяют, как выполняются требования внутренних и внешних документов и мыслят совершенно иначе, нежели ИТ-специалисты, нацеленные на то, «чтобы все работало, а остальное – не важно».
Поясню на следующем примере. В ООО «Ромашка» доступ к системам предоставляется на основе заявок по электронной почте и выполняется определенная цепочка согласований. Для администратора отработанная заявка – ненужный мусор, который можно удалить в новогоднюю ночь, автоматически очищая архивы, а для ИТ-аудитора, эта заявка представляет собой важное свидетельство, подтверждающее выполнение процедуры, которую нужно хранить, как золото.
Для освоения методик, применяемых реальными ИТ-аудиторами, очень полезно стать членом ISACA (кстати, отделение ISACA есть в Москве ) и тем самым получить доступ к базе полезных методологических документов. Как уже видели в таблице, членство в ISACA дает существенные скидки как на сами экзамены, так и на продление.
Не отозван ли сертификат?
Самая интересная вещь – мы дошли до нее, ура! Самая прикольная, самая неработающая 🙂
Если говорить кратко, то сейчас здесь во всей инфраструктуре TLS очень большие проблемы, потому что: не работает ничего. И эту проблему как раз и хотят решать тем, чтобы срок действия сертификата сделать очень маленьким. Когда нужно отзывать сертификат?
Чаще всего – когда ваш приватный ключ утек. Ваш приватный ключ утек – вы попали. Надо сертификат отозвать, потому что если не отозвать, тот кто украл ваш ключ, сможет подсовывать клиентам ваш сертификат и представляться вами. Надо сказать: чуваки, я поменял свой ключ – тот сертификат не действителен!
Если сделать время действия сертификата очень маленьким, то в принципе можно не отзывать, а подождать, когда он кончится. Отсюда все эти экстремальные предложения с минутами и часами. Ну, а если у тебя сертификат на 3 года, а ключ украли на второй день – то три года кто-то сможет представляться тобой.
Как же проверить, отозван сертификат или нет?
Ответ клиента
Итак, Патрик проверил сертификаты и начинает отвечать Губке Бобу.
Если у клиента просили сертификаты, он их отдает. Дальше он отдает информацию для того, чтобы сделать ключики – так же, как сервер, clientKeyExchange. Поле CertificateVerify – неинтересная инфа на тему «как валидировать сертификат», в TLS 1.3 она и выглядит-то уже по-другому, потому что не сильно нужна.
После этого клиент переходит на шифрованный канал и посылает сообщение Finished – «я готов к шифрованному каналу». Сервер проверяет это сообщение – что там всё нормально, как договорились, что оно расшифровывается, что не успели на данном этапе ничего подменить и это всё еще Патрик, — тоже переходит на шифрованный канал и отдает свое Finished-сообщение, которое в свою очередь проверяет клиент. И после этого идет общение уже данными приложений по шифрованному каналу.
Откуда берутся сертификаты?
Еще совсем недавно было всего 2 способа заполучить X.509 сертификат, но времена меняются и с недавнего времени есть и третий путь.
- Создать свой собственный сертификат и самому же его подписать. Плюсы — это бесплатно, минусы — сертификат будет принят лишь вами и, в лучшем случае, вашей организацией.

- Приобрести сертификат в УЦ. Это будет стоить денег в зависимости от различных его характеристик и возможностей, указанных выше.
- Получить бесплатный сертификат LetsEncrypt, доступны только самые простые DV сертификаты.
Для первого сценария достаточно пары команд и чтобы 2 раза не вставать создадим сертификат с алгоритмом эллиптических кривых. Первым шагом нужно создать закрытый ключ. Считается, что шифрование с алгоритмом эллиптических кривых дает больший выхлоп, если измерять в тактах CPU, либо байтах длины ключа. Поддержка ECC не определена однозначно в TLS < 1.2.
openssl ecparam -name secp521r1 -genkey -param_enc explicit -out private-key.pemДалее, создает CSR — запрос на подписание сертификата.
openssl req -new -sha256 -key private.key -out server.csr -days 730И подписываем.
openssl x509 -req -sha256 -days 365 -in server.csr -signkey private.key -out public.crtРезультат можно посмотреть командой:
openssl x509 -text -noout -in public.crtOpenssl имеет огромное количество опций и команд. Man страница не очень полезна, справочник удобнее использовать так:
openssl -help
openssl x509 -help
openssl s_client -helpРовно то же самое можно сделать с помощью java утилиты keytool.
keytool -genkey -keyalg RSA -alias selfsigned -keystore keystore.jks -storepass password -validity 360 -keysize 2048Следует серия вопросов, чтобы было чем запомнить поля owner и issuer
What is your first and last name?
What is the name of your organizational unit?
What is the name of your organization?
What is the name of your City or Locality?
What is the name of your State or Province?
What is the two-letter country code for this unit?
Is CN=Johnnie Walker, OU=Unknown, O=Unknown, L=Moscow, ST=Moscow, C=RU correct?Конвертируем связку ключей из проприетарного формата в PKCS12.
keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.jks -deststoretype pkcs12Смотрим на результат:
Alias name: selfsigned
Creation date: 20.01.2021
Entry type: PrivateKeyEntry
Certificate chain length: 1
Certificate[1]:
Owner: CN=Johnnie Walker, OU=Unknown, O=Unknown, L=Moscow, ST=Moscow, C=RU
Issuer: CN=Johnnie Walker, OU=Unknown, O=Unknown, L=Moscow, ST=Moscow, C=RU
Serial number: 1f170cb9
Valid from: Sat Jan 20 18:33:42 MSK 2021 until: Tue Jan 15 18:33:42 MSK 2021
Certificate fingerprints:
MD5: B3:E9:92:87:13:71:2D:36:60:AD:B5:1F:24:16:51:05
SHA1: 26:08:39:19:31:53:C5:43:1E:ED:2E:78:36:43:54:9B:EA:D4:EF:9A
SHA256: FD:42:C9:6D:F6:2A:F1:A3:BC:24:EA:34:DC:12:02:69:86:39:F1:FC:1B:64:07:FD:E1:02:57:64:D1:55:02:3D
Signature algorithm name: SHA256withRSA
Subject Public Key Algorithm: 2048-bit RSA key
Version: 3
Extensions:
#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 30 95 58 E3 9E 76 1D FB 92 44 9D 95 47 94 E4 97 0.X..v...D..G...
0010: C8 1E F1 92 ....
]
]Значению ObjectId: 2.5.29.14 соответствует определение ASN.1, согласно RFC 3280 оно всегда non-critical. Точно так же можно узнать смысл и возможные значения других ObjectId, которые присутствуют в сертификате X.509.
subjectKeyIdentifier EXTENSION ::= {
SYNTAX SubjectKeyIdentifier
IDENTIFIED BY id-ce-subjectKeyIdentifier
}
SubjectKeyIdentifier ::= KeyIdentifierПредложение/спрос
Давайте посмотрим, сколько всего специалистов, обладающих данными сертификатами, кем и где они работают – заглянем в социальные сети и на страницы ассоциаций. В прошлой статье, посвященной интернет-разведке мы уже
и использовали для этого специальный инструментарий, в этот раз ограничимся простым просмотром результатов поиска.
В сети Linkedin, к которой сейчас довольно ограниченный доступ, можно найти 539 аккаунтов российских пользователей с сертификатами CISA, 330 — c CISSP и 129 — c CISM.
Пролистывая профили пользователей, указавших данные сертификаты, можно увидеть, что их обладатели, как правило, занимают руководящие должности в крупных компаниях, многие задействованы в консалтинговой сфере (BIG4, ИТ-интеграторы и т.п.)
По официальной статистике ассоциаций ISC2 и ISACA сейчас в России всего 200 обладателей сертификатов CISSP, 203 CISA и 60 CISM (данная статистика по CISA и CISM включает только сертифицированных специалистов, являющихся также членами ассоциации ISACA).
Чтобы понять, а есть ли спрос на подобных специалистов, посмотрим наличие вакансий для людей, обладающих такими сертификатами и уровень зарплат, который им готовы предложить работодатели. Сведем результаты выдачи с сайта HH по нашим ключевым словам (названия сертификатов) в следующую таблицу:
Очевидно, что в основном такие специалисты востребованы в крупных городах и в особенности в столицах. Уровень зарплат достойный, но, конечно, же зарплату платят не за наличие сертификата, а за работу.
Анализируя эти данные нужно также помнить, что руководящие должности в крупных организациях часто замещаются без публикации вакансий. Поэтому реальный спрос на таких специалистов несколько выше.
С точки зрения qa-специалиста сертификация – это:
1.
Прежде всего
подтверждение квалификации и профпригодности
международными экспертами в области тестирования, а это, в свою очередь, открывает доступ к новым рынкам труда. На международном уровне сертификат признается в 126 странах мира – рай для удаленной работы или предпосылка к переезду.
2. Повышение конкурентоспособности на рынке труда: хотя большинство работодателей и не требует сертификат ISTQB у соискателей, порядка 55% тест-менеджеров отмечают, что хотели бы иметь 100%-й штат сертифицированных специалистов (исследование ISTQB_Effectiveness_Survey_2021-17).
3. Уверенность в завтрашнем дне. Сертификат не гарантирует топовую зарплату при трудоустройстве или автоматическое продвижение по работе, зато является своеобразной «несгораемой суммой», ниже которой ваш труд не оценят.
4. Расширение и систематизация знаний в области QA. Сертификация – отличный способ для QA-специалиста нарастить и обогатить знания по тестированию. А если вы матерый тестировщик, то обновить и упорядочить знания в предметной области, в том числе за счет международных стандартов и методологий отрасли.
С точки зрения компании сертификация – это:
1. Дополнительное конкурентное преимущество на рынке:
компании с штатом сертифицированных экспертов на порядок реже предоставляют некачественные консалтинговые и QA-услуги, что положительно сказывается на репутации и потоке новых заказов.
2. Бонус при участии в крупных тендерах: наличие сертифицированных специалистов дает преимущество компаниям при участии в конкурсном отборе применительно к тендерам.
3. Снижение рисков: наличие сертификата говорит о том, что специалисты владеют методологией тестирования, а это снижает риски проведения некачественного тест-анализа и может повысить скорость тестирования за счет оптимизации числа тестовых сценариев.
4. Преимущества на международном рынке при оказании услуг по тестированию ПО, предназначенного для иностранных клиентов и иностранного ПО.
5. Рост компетенций внутри компании за счет наставничества и обучения несертифицированных специалистов признанным международным стандартам в области тестирования.
Для компаний есть еще несколько интересных бонусов и направлений, предлагаемых ISTQB:
1. ISTQB International Software Testing Excellence Award
Международная премия в области тестирования программного обеспечения за выдающиеся многолетние заслуги в области качества программного обеспечения, инновации, исследования и продвижение профессии тестирования программного обеспечения.
Лауреаты премий – эксперты в области тестирования и разработки, авторы исследований, новых подходов в тестировании.
2. Партнерская программа (Partner Program) ISTQB
Программа признает организации с продемонстрированной приверженностью тестирования программного обеспечения сертификации. Программа включает четыре уровня партнерства (Серебряный, Золотой, Платиновый и Глобальный), а уровень партнерства организации определяется по количеству набранных ею сертификационных баллов (Eligibility Grid).
Сertificate transparency
Итак, всё хорошо, но Google не был бы Google, если бы не придумал еще одну технологию конкретно для себя. Она называется Сertificate Transparency. Откуда что идет: Google очень беспокоится о том, чтобы кто-нибудь не выписал плохой сертификат на него самого – чтобы именно Google не пострадал от того, что кто-то там выписывает какие-то нехорошие сертификаты.
И вот с помощью Сertificate Transparency каждый владелец домена (и вообще кто угодно) может посмотреть, какие сертификаты на этот домен были выписаны. Дальше он может этот сертификат взять и с ним что-нибудь сделать. Например, проверить, хороший он или нет. Ну и возбудиться (или не возбудиться).
Это не только технология, но и набор процессов. То есть Google говорит: ребята, вот у нас есть Сertificate Transparency, мы в него записываем только нормальные сертификаты – такие, где цепочка есть, цепочка правильная и всё нормально. Мы можем время записи Сertificate Transparency Log запихать в сертификат, чтобы клиент мог четче посмотреть, что вот этот сертификат в Transparency Log должен быть тогда-то.
Мы гарантируем, что это вот эта штука не редактируема обратно (из-за того, что блокчейн) – ну то есть нельзя взять и подменить старые записи, можно только добавлять новые. И давайте, ребята, кто-нибудь из вас будет периодически ходить по этому логу, и проверять, что там всё нормально, а если что-то не так, говорить нам и мы будем это править. А другие ребята пусть держат у себя всё это, потому что надо, чтобы было много мощностей на вот эту вот штуку.
Словарный запас
Определение X.509 сертификатов есть в архиве ITU-T
Certificate ::= SEQUENCE {
tbsCertificate TBSCertificate,
signatureAlgorithm AlgorithmIdentifier,
signatureValue BIT STRING }
TBSCertificate ::= SEQUENCE {
version [0] EXPLICIT Version DEFAULT v1,
serialNumber CertificateSerialNumber,
signature AlgorithmIdentifier,
issuer Name,
validity Validity,
subject Name,
subjectPublicKeyInfo SubjectPublicKeyInfo,
issuerUniqueID [1] IMPLICIT UniqueIdentifier OPTIONAL,
-- If present, version MUST be v2 or v3Для того, чтобы досконально понять обозначения и синтаксис, придется читать спеки X.680 редакции 2008 г., где есть полное описание ASN.1. В понятиях ASN.1SEQUENCE обозначает примерно то же самое, что и struct в Си. Это может сбить с толку, ведь по семантике оно должно было соответствовать скорее массиву. И тем не менее.
Стандарт X.690 определяет следующие правила кодирования структур данных, созданных в соответствии с ASN.1: BER (Basic Encoding Rules), CER (Canonical Encoding Rules), DER (Distinguished Encoding Rules). Есть даже XER (XML Encoding Rules), который на практике мне никогда не встречался.
Да, но для чего нужны сертификаты X.509, которые доставляют столько головной боли? Первая и основная функция сертификатов X.509 — служить хранилищем открытого или публичного ключа PKI (public key infrastructure). К этой функции нареканий нет, а вот со второй не все так однозначно.
Вторая функция сертификатов X.509 заключается в том, чтобы предъявитель сего был принят человеком, либо программой в качестве истинного владельца некоего цифрового актива: доменного имени, веб сайта и пр. Это получается по-разному, далеко не все сертификаты имеют высокую ликвидность, если пользоваться финансовой терминологией.
Тот ли тип использования?
Кроме проверки, тот ли это домен, не истёк ли срок годности и валидна ли подпись, из таких вещей, которые достаточно просто делаются, у нас еще есть пункт «тот ли тип использования».
Сертификаты бывают разные. То есть, если в Key Usage не указаны вот эти вот два параметра, то это – по идее! – должно влиять на то, как клиент с этим работает.
Key agreement – это как раз когда мы выписываем сеансовые ключи и договариваемся о них. Обычно вся эта коммуникация подписывается или шифруется вот этим вот публичным ключом, который чуть выше. Но если в key usage не прописан key agreement, то это означает, что ишьюер этого сертификата запрещает использовать этот сертификат для вот этого назначения.
Сейчас на практике это почти не встречается, то есть эти вещи у большинства сертификатов одинаковые, но тем не менее — в принципе могут быть и другие. И бывает, что сертификат НЕ подходит для чего-то. Для чего он подходит – написано здесь. Клиент должен это проверять.
Выводы
Сертификация может являться обязательным требованием для отдельных компаний или на госпроектах. Принимая решение о необходимости получения сертификата ISTQB, стоит ориентироваться на следующие реалии:
- При выборе кандидата на должность специалиста по тестированию определяющими будут опыт и знания, а не наличие сертификата. Хотя при наличии схожих навыков предпочтение отдадут сертифицированному специалисту.
- Сертификация помогает в развитии карьеры (для 90% менеджеров важно иметь в команде 50-100% сертифицированных тестировщиков), кроме того, в некоторых зарубежных компаниях получение сертификата является поводом для повышения зарплаты.
- Сертификация помогает повысить вашу уверенность в собственных силах. Это также помогает вам развить способность думать о вещах под разными углами, вы растете как специалист.
В первой части нашей статьи
мы постарались ответить на вопрос: “Так ли нужен сертификат ISTQB”; а если нужен, то кому, какой и зачем. Надеемся, что статья была вам полезна. Напишите в комментариях — открылись ли вам какие-то новые горизонты после получения сертификата или, по вашему, ISTQB очередная бесполезная бумажка.
Во второй части статьи QA-инженеры “Лаборатории качества” Анна Палей и Павла Толоконина на личном примере расскажут о том, как они готовились, регистрировались, проходили тестирование и получали сертификаты ISTQB в условиях России и за рубежом. Подписывайтесь и следите за новыми публикациями.
Анна Палей,Тест-менеджер компании «Лаборатория Качества».
