- Что проверяется в таких случаях?
- Что такое центры сертификации (ca)?
- Что за сертификаты?
- Что общего между сертификатом x509 и паспортом гражданина?что общего между паспортным столом и удостоверяющим центром?
- Сертификат cfa: что он дает и как его получить?
- «бумажная» безопасность
- Cissp
- Sgc сертификаты
- Базы вопросов
- Вопросы для оценки необходимости стать сертифицированным специалистом
- Есть ли разница в каком центре сертификации заказывать сертификат?
- Зачем нужен сертификат x509?
- Книги
- Курсы подготовки
- Международные и национальные сертификационные центры
- Мышление ит-аудитора
- О поддержке российских криптоалгоритмов в xca
- Отбросить бредовый вариант сразу и не тормозить
- По какому принципу работает ssl сертификат?
- Предложение/спрос
- Предпосылки появления xca (x window system certification authority)
- Размещение цс «xca» на предприятии
- Сертификаты с расширенной проверкой.
- Сертификация в китае – вопросы и ответы
- Типы ssl-сертификатов и разница между ними
- Функционал xca
- Чем еще отличаются сертификаты между собой
Что проверяется в таких случаях?
У разных центров сертификации проверка несколько отличается, поэтому приведу общий список пунктов, которые могут быть проверены или запрошены:
- Наличие организации в международных желтых страницах — проверяется не всеми центрами сертифации
- Наличие в whois домена названия вашей организации — а вот это уже проверят обязательно, и если такое название там не указано от вас скорей всего затребуют гарантийное письмо, в котором нужно указать, что домен действительно принадлежит организации, иногда могут затребовать подтверждение от регистратора
- Свидетельство о государственной регистрации — требуют все реже, чаще сейчас производится проверка через специальные компании, которые производят проверку существования организации по своим каналам. Например для Украины вас могут проверить по базе ЕДРПОУ
- Счет от телефонной компании, в которой содержится название вашей организации и ваш номер телефона, указанный в заказе — таким образом проверяется валидность вашего телефона. Требуют все реже.
- Проверочный звонок — все чаще правильность телефона проверяют осуществляя звонок, на номер телефона, указанный вами в заказе. При звонке спросят сотрудника, указанного в административном контакте. Не у всех центров сертификации есть русскоговорящие сотрудники, поэтому предупредите человека, который отвечает на телефон, что возможен звонок от англоязычной компании.
Что такое центры сертификации (ca)?
Это организация, которая обладает правом выдачи цифровых сертификатов. Она производит проверку данных, содержащихся в CSR, перед выдачей сертификата. В самых простых сертификатах проверяется только соотвествие доменного имени, в самых дорогих производится целый ряд проверок самой организации, которая запрашивает сертификат. Об этом мы поговорим ниже.
Так вот, разница между самоподписными бесплатным и платными сертификатами, выданными центром сертификации как раз и заключается в том, что данные в сертификате проверены центром сертификации и при использовании такого сертификата на сайте ваш посетитель никогда не увидит огромную ошибку на весь экран.
Говоря в общем, SSL сертификаты содержат и отображают (как минимум одно из) ваше доменное имя, ваше название организации, ваш адрес, город и страницу. Также сертификат всегда имеет дату окончания и данные о центре сертификации, ответственного за выпуск сертификата.
Браузер подключается к защищенному сайту, получает от него SSL сертификат и делает ряд проверок: он не просрочен ли сертификат, потом он проверяет, выпущен ли сертификат известным ему центром сертификации (CA) используется ли сертификат на сайте, для которого он был выпущен.
Если один из этих параметров не проходит проверку, браузер отображает предупреждение посетителю, чтобы уведомить, что этот сайт не использует безопастное соединение SSL. Он предлагает покинуть сайт или продолжить просмотр, но с большой осторожностью.
Центров сертификации существует достаточно много, вот перечень самых популярных:Comodo — работает с 1998 штабквартира в Jersey City, New Jersey, США.Geotrust — основан в 2001, в 2006 продан Verisign, штабквартира Mountain View, California, СШАSymantec — бывший Verisign в состав которого входит и Geotrust.
Как видим самый крупный игрок на рынке SSL сертификатов это Symantec, который владеет тремя крупнейшими центрами сертификации — Thawte, Verisgin и Geotrust.
Что за сертификаты?
Сначала расшифруем аббревиатуры и переведем, но не дословно, а по смыслу.
CISSP (Certified Information Security Systems Professional) – сертифицированный специалист по информационной безопасности.
CISA (Certified Information Systems Auditor) – сертифицированный ИТ-аудитор.
CISM (Certified Information Security Manager) – сертифицированный менеджер по информационной безопасности.
Именно такой состав выбранных для рассмотрения сертификаций объясняется их близостью по темам (доменам), ну и, конечно, наличию у автора статьи опыта проведения подготовки специалистов к данным экзаменам.
Сведем информацию об экзаменах в следующую таблицу:
Что общего между сертификатом x509 и паспортом гражданина?что общего между паспортным столом и удостоверяющим центром?
Главная функция УЦ центра – изготовление и сопровождение сертификатов ключей проверки электронной подписи (СКПЭП), включая создание ключевой пары по обращению владельца сертификата. Сразу оговорюсь, по моему глубокому убеждению, последняя услуга УЦ центра вредна и опасна.
Тот, кто получил сертификат и ключевую пару (закрытый и публичный ключ или как его еще называют ключ проверки электронной подписи), в любой момент может отказаться от своей электронной подписи (ЭП) под документом и заявить, что у него ключ могли украсть в УЦ в момент его генерации.
Отметим, что УЦ выпускают сертификаты в соответствии со стандартом X.509 v.3 (RFC 5280 ).
Вообще функции УЦ во многом совпадают с функциями паспортного стола, которые находятся в ведении МВД России.
Сертификат, также как и паспорт, выдается на основании заявления и предоставления ряда документов. Перечень документов для получения сертификата есть на любом удостоверяющем центре, имеющим аккредитацию Минкомсвязи.
А что является главным в сертификате? У него также есть серийный номер, кем выдан, сведения о гражданине, включая и СНИЛС и ИНН, и аналог фотографии и собственноручной подписи гражданина – это публичный ключ или ключ проверки электронной подписи. И вот это все заверяется электронной подписью УЦ. И полученный документ (файл) и называется сертификатом. Вы спросите, а где же закрытый ключ, с помощью которого собственно и ставится электронная подпись под документами? А закрытый ключ, как мы говорили выше, должен храниться у гражданина на электронном носителе (флэшка, токен/смарткарта), аналогично тому, как умением ставить личную подпись, образец которой он и оставил в своем паспорте, владеет он и только он. Поэтому всегда можно абсолютно уверенно сказать действительная подпись гражданина под документом или нет. Как ни странно аналогичная ситуация и с электронной подписью. Имея закрытый ключ, гражданин может однозначно получить открытый ключ и по нему проверить его сертификатом подписан документ или нет!
список недействительных российских паспортов. С этого момента любые юридические действия со ссылкой на утраченный паспорт недействительные. Аналогичная ситуация и с отзывом сертификата. Если был утерян закрытый ключ (а он как правило хранится на отторгаемом носителе – флэшка, токен, смарткарта и т.п) или есть подозрение, что его скопировали, то надо срочно обращаться на УЦ, чтобы сертификат отозвали (признали недействительным). Он в этом случае попадает в САС – список аннулированных сертификатов. Хочу обратить внимание, что сертификат отзывается не тогда, когда пропал сертификат, а именно закрытый ключ. Сам сертификат вещь публичная и дубликат его всегда можно подучить на УЦ.
Сертификат cfa: что он дает и как его получить?
Chartered Financial Analyst (CFA) — это сертификат международного уровня, выдается он финансовым аналитикам, которые успешно прошли программу обучения Института CFA, сдали экзамены и получили необходимый опыт работы в финансовой сфере.
CFA является одним из наиболее престижных и элитных сертификатов в мире финансов и инвестиций, поэтому в последнее время большое число специалистов стремятся его получить.
К тому же российский фондовый рынок более интенсивно интегрируется в систему мировой финансовой системы, корреляция с глобальным рынком капитала в последние пять лет достигла максимальных значений за все время. Все это порождает спрос на финансовых специалистов с высоким уровнем ответственности по отношению к клиенту, работодателю, а это, в свою очередь, способствует росту доверия к фондовому рынку.
Чтобы получить звание CFA, кандидаты должны сдать экзамены трех уровней на знание фундаментального анализа, оценки активов, портфельного управления, а также управления благосостоянием. Само обучение и сдача экзаменов проходят на английском языке, поэтому уровень знания языка должен быть не ниже Advanced. Данную программу стремятся освоить те, кто работает в финансовой, бухгалтерской, экономической сферах или бизнесе. Обладатели сертификата, как правило, работают на позициях высшего и среднего уровня в банках, управляющих компаниях, хедж-фондах и других институтах.
Что дает сертификат CFA
CFA — это золотой стандарт в инвестиционной индустрии, демонстрирующий наилучшие навыки обладателя в управлении портфелем и финансовой экспертизе. Также это свидетельствует о том, что обладатель сертификата придерживается этических норм в отношении клиента и работодателя и демонстрирует наивысшие стандарты в работе.
Кандидаты выделяют три причины, по которым хотят получить сертификат:
1. CFA — это самая крупная ассоциация инвестиционных профессионалов, признаваемая всеми участниками рынка.
2. Приобщение к 60-летнему опыту инвестиционных практик (CFA основана в 1959 году).
3. Активная система трудоустройства института.
Как я шел к получению сертификата
Получить чартер (сертификат, удостоверяющий, что человек успешно сдал три уровня экзаменов CFA и состоит в Ассоциации CFA) меня замотивировали мои руководители. Порядка 20% сотрудников нашего департамента сертифицированы и соответствуют лучшим международным инвестиционным практикам в части управления портфелем.
Экзамен первого уровня проходит раз в полгода, второго и третьего — раз в год. Институт рекомендует потратить на обучение каждого уровня не менее 200 часов.
Первые два уровня я сдал в течение двух лет. Обучение заняло довольно много времени, особенно подготовка ко второму уровню. У меня на это ушло полгода, в течение которых пришлось уделять занятиям все вечера в будни и все выходные дни. Я готовился в группе с преподавателем, студентами которой были финансовые директора ведущих российских компаний, аналитики хедж-фондов, трейдеры облигационных отделов госбанков. Это позволило существенно обогатить обучение реальными примерами, что, по сути, сделало его прикладным.
Путь от подготовки до сдачи третьего уровня занял полтора года, поскольку экзамен из-за пандемии коронавируса несколько раз переносили.
За время обучения нужно освоить достаточно большой объем материала — более 2,5 тыс. страниц учебной литературы, а также выделить 200 часов в течение пяти месяцев. Сначала это может показаться легкой задачей, но сложно реализуемой на практике при совмещении с основной работой. Это основные трудности, с которыми сталкиваются учащиеся, и по этим же причинам не все кандидаты проходят обучение до конца и получают заветный сертификат CFA.
Когда стоит задуматься над получением чартера и какие шаги предпринять
Если после двух лет работы в инвестиционной сфере появилось понимание того, что вам не хватает знаний для повышения качества своей работы, если вы стали интересоваться опытом западных коллег или сталкиваетесь с конфликтом интересов и не знаете, как лучше поступить, то пора задуматься о получении чартера. Первым делом стоит зайти на сайт Института CFA и посмотреть, какие есть экзамены на ближайшие даты. Выбрать я бы рекомендовал тот экзамен, который начинается примерно через 4—6 месяцев. Затем нужно пройти регистрацию для сдачи, получить материалы и начать готовиться.
В процессе подготовки из-за большого объема материалов будет возникать много соблазнов забросить занятия. Поэтому очень важно, чтобы была хорошая мотивация. Например, я осознавал, что данное обучение позволяет систематизировать все имеющиеся у меня знания, получить масштабные навыки в области финансового и инвестиционного менеджмента, которые позволяют владельцу CFA работать на любых финансовых позициях. Данный сертификат признается во всех странах, поэтому можно устроиться на работу в любой стране, где представлены крупнейшие финансовые компании. Более того, ассоциация сама будет предлагать вакансии в ведущих финансовых компаниях мира. Так что дерзайте!
Мнение автора может не совпадать с мнением редакции
«бумажная» безопасность
Многие технические специалисты увлекаются технологиями, а вот бизнес-процессы им совершенно не интересны, соответственно корпоративные политики, процедуры, стандарты воспринимаются как ненужные бумажки. С позиций менеджмента подобные документы являются очень важными, так как формируют требования информационной безопасности, которые в свою очередь реализуются с помощью технологий и грамотных действий сотрудников. Соискателю CISSP, СISA, CISM нужно научиться мыслить как управленцу и полюбить процессный подход к менеджменту всей душой.
Cissp
Истинный обладатель CISSP должен очень хорошо ориентироваться во всех современных течениях информационной безопасности и в первую очередь в области менеджмента ИБ. Соискатель должен уметь мыслить в категориях «уязвимость», «риск», «контрмера». Опыт администрирования средств защиты информации или взлома компьютерных сетей (этичного, конечно) будет бесспорно полезен, но на экзамене никто не будет требовать вспомнить какую-то определенную настройку или команду какой-либо системы, так как сертификация не зависит от какого-либо вендора.
На мой взгляд, объем знаний CISSP соответствует объему знаний молодого специалиста, окончившего с хорошими отметками профильную кафедру и имеющему пару лет реального опыта в информационной безопасности в серьезной организации.
Sgc сертификаты
Сертификаты с поддержкой повышения уровня шифрования. Актуально для очень старых браузеров, которые поддерживали только 40 или 56 бит шифрование. При использовании этого сертификата уровень шифрования принудительно повышается до 128 бит.
За все время у нас не купили не одного такого сертификата. Мое мнение, что они уже не нужны, разве что для внутреннего использования в больших корпорациях, где сохранилось очень старое железо.
Цена: от 300 $ в год.
Базы вопросов
Можно легко найти и приобрести базы вопросов для подготовки к экзаменам, как официальные от ISC2 и ISACA, так и от сторонних вендоров. Базы вопросов могут быть как в виде программ для тестирования, так в виде учебников. Очень полезный материал, позволяющий постоянно оценивать свою готовность к экзамену.
Вопросы для оценки необходимости стать сертифицированным специалистом
Давайте сведем в один список вопросы, ответы на которые позволят специалистам в области ИБ решить насколько им необходима сертификация.
У меня получился такой «аудиторский» чеклист:
- Обладаете высшим техническим образованием в ИТ-сфере и средний балл не ниже 4?
- На работе занимаетесь проектами по большинству тем экзамена?
- Без словаря читаете английские статьи на профессиональные темы?
- Есть желание двигаться по карьерной лестнице вверх?
- Будет время готовиться вечерами и сможете взять несколько дней отгула перед экзаменом?
- Хоть немного ощущаете себя настоящим менеджером?
- Готовы к тому, чтобы жить и работать в столице?
Если на большинство вопросов у вас положительный ответ, то определенно стоит ввязаться в это дело, подготовиться, сдать экзамен(ы), а затем постоянно поддерживать свои знания на достойном уровне.
Есть ли разница в каком центре сертификации заказывать сертификат?
Основное отличие между разными центрами сертификации — в цене сертификатов и в том, в каком количестве браузеров установлен их корневой сертификат. Ведь если в браузере нет корневного сертификата этого центра сертификации, то посетитель с таким браузером все равно получит ошибку при входе на сайт с сертификатом от такого центра.
Что касается перечисленных выше центров сертификации, то их корневые сертификаты установлены в, пожалуй, 99,99% всех существующих браузеров.
Чтобы проверить, корневые сертификаты каких центров сертификации установлены в вашем браузере, достаточно в настройках вашего браузера найти такую опцию. (В Chrome Настройки -> показать дополнительные настройки -> управление сертификатами ->
Важный момент — частенько у клиентов возникала ситуация, когда SSL сертификат на серверe установлен, но при заходе на сайт браузер все равно выдает ошибку. Такая ситуация может возникнуть или из-за отсутствия в файле ca-bundle.crt корневого сертификата центра выдавшего сертификат или из-за того, что корневой сертификат устарел. Корневые сертификаты также имеют свой срок действия (в браузерах они обновляются при обновлении браузера).
Зачем нужен сертификат x509?
И так зачем нужен сертификат гражданину РФ и юридическим лицам? Самое узнаваемое – это доступ на портал Госуслуг. Не менее значимое – доступ на портал ФНС. Далее — электронные торги и многое другое. Как правило, этот список есть на каждом УЦ, зарегистрированном в Минкомсвязи.
Книги
Без пары хороших книг подготовка будет просто невозможной. Лучше всего полистать все, какие сможете получить, и подобрать подходящие именно вам, исходя из стиля изложения и актуальности материала (лучше смотреть книги, изданные за последние 2-3 года).
, и это очередной вклад в развитие информационной безопасности в России от группы компаний «Эшелон».
Кстати, в Сети можно найти неформальный перевод на русский язык устаревшей версии учебника для подготовки к CISSP
– пробежаться по вопросам тоже не помешает (на самом старте изучения). Начать готовиться лучше, используя литературу именно на русском языке (для погружения в предметную область), а заканчивать – массированным штудированием примерных вопросов исключительно на английском языке (см. базы вопросов ниже).
Курсы подготовки
Стоит ли идти на специализированные курсы? Стоит, если хотите сразу за пару дней погрузиться в тематику экзамена и увидеть всю картину в целом. Нужно понимать, что никакой курс не заменит самостоятельное чтение книг и решение пробных тестов.
Длительность этой фазы подготовки, если ни одного подобного экзамена ранее не сдавали, 3-4 месяца (в среднем по часу в день), если опыт успешной сдачи есть и уровень знаний высок, то срок может быть сокращен и до недели (разумеется, в режиме полного погружения).
Международные и национальные сертификационные центры
Буквенное обозначение рядом со знаком как раз информирует о регионе, нормам которого соответствует продукт.
JP – Япония
С – Канада
US – США
EU – Европа
AR – Аргентина
Комбинация нескольких обозначений – продукт соответствует требованиям безопасности указанных регионов.
Мышление ит-аудитора
Для успешной сдачи экзамена CISA нужно хорошо представлять, как мыслит ИТ-аудитор. ИТ-аудиторы проверяют, как выполняются требования внутренних и внешних документов и мыслят совершенно иначе, нежели ИТ-специалисты, нацеленные на то, «чтобы все работало, а остальное – не важно».
Поясню на следующем примере. В ООО «Ромашка» доступ к системам предоставляется на основе заявок по электронной почте и выполняется определенная цепочка согласований. Для администратора отработанная заявка – ненужный мусор, который можно удалить в новогоднюю ночь, автоматически очищая архивы, а для ИТ-аудитора, эта заявка представляет собой важное свидетельство, подтверждающее выполнение процедуры, которую нужно хранить, как золото.
Для освоения методик, применяемых реальными ИТ-аудиторами, очень полезно стать членом ISACA (кстати, отделение ISACA есть в Москве ) и тем самым получить доступ к базе полезных методологических документов. Как уже видели в таблице, членство в ISACA дает существенные скидки как на сами экзамены, так и на продление.
О поддержке российских криптоалгоритмов в xca
Теперь нас будет интересует поддержка российских криптоалгоритмов в ЦС XCA. И если бы это происходило до 2021 года, все было бы хорошо: к тому времени в проекте OpenSSL уже появилась поддержка и ГОСТ Р 34.10-2001 и ГОСТ Р 34.11-94 и ГОСТ 28147-89. Но в 2021 году были утверждены новые криптографические алгоритмы ГОСТ Р 34.
К сожалению, в настоящее время OpenSSL не поддерживает новые российские алгоритмы. В этом случае имеется два пути решения проблемы. Первый связан с разработкой
нового engine
, на подобие имеющегося libgost, с поддержкой новых российских алгоритмов. Второй путь – это непосредственное встраивание российских алгоритмов в OpenSSL. Второй путь представляется более предпочтительным, так как и в первом случае необойтись без модернизации OpenSSL, хотя с точки зрения реализации новых требований ТК-26 хотя бы к контейнеру PKCS#12.
#define SN_cryptopro "cryptopro"
#define NID_cryptopro 805
#define OBJ_cryptopro OBJ_member_body,643L,2L,2L
#define SN_cryptocom "cryptocom"
#define NID_cryptocom 806
#define OBJ_cryptocom OBJ_member_body,643L,2L,9L
#define SN_id_tc26 "id-tc26"
#define NID_id_tc26 958
#define OBJ_id_tc26 OBJ_member_body,643L,7L,1L
…
Для удобства встраивания ГОСТ-алгоритмов в XCA и идентичности с OpenSSL отметим также введенные константы, определяющие тип ключа для ГОСТ:
#define EVP_PKEY_GOST3410 NID_id_GostR3410_2001
#define EVP_PKEY_GOST3410_2021_256 NID_id_GostR3410_2021_256
#define EVP_PKEY_GOST3410_2021_512 NID_id_GostR3410_2021_512Вот как теперь могла бы выглядеть структура struct typelist typelist[] в файле NewKey.cpp:
static const struct typelist typeList[] = {
{ "RSA", EVP_PKEY_RSA },
{ "DSA", EVP_PKEY_DSA },
#ifndef OPENSSL_NO_EC
{ "EC", EVP_PKEY_EC },
#endif
/*ГОСТ Р 34.10-2001 */
{ "GOSTR3410-2001", EVP_PKEY_GOST3410},
/*ГОСТ Р 34.10-2021 с длиной ключа 256 бит*/
{ "GOSTR3410-2021-256", EVP_PKEY_GOST3410_2021_256},
/*ГОСТ Р 34.10-2021 с длиной ключа 512 бит*/
{ "GOSTR3410-2021-512", EVP_PKEY_GOST3410_2021_512},
};И вот такая доработка OpenSSL и позволяет встроить российские криптографические алгоритмы в ЦС «XCA». Теперь ЦС «XCA» может выполнять все функции УЦ, начиная с генерации любых ГОСТ-ых ключей:
выпуском сертификатов и кончая выпуском списков аннулированных сертификатов(CRL/САС):
Выше мы говорили, что приватный ключ и сертификат сотрудники предприятия должны получать на отторгаемом носителе. В качестве такого носителя в ЦС «XCA» используются токены/смаркарты (token/smartcard), имеющие интерфейс PKCS#11. Если говорить о поддержке российской криптографии, то необходима доработка проекта для поддержки токенов PKCS#11 с соответствии с рекомендациями ТК-26 (pkcs11_gost.h):
…
#define NSSCK_VENDOR_PKCS11_RU_TEAM 0xd4321000 //0x80000000|0x54321000
#define NSSCK_VENDOR_PKSC11_RU_TEAM NSSCK_VENDOR_PKCS11_RU_TEAM
#define CK_VENDOR_PKCS11_RU_TEAM_TC26 NSSCK_VENDOR_PKCS11_RU_TEAM
…Отбросить бредовый вариант сразу и не тормозить
Самый распространенный формат вопросов на всех рассматриваемых экзаменах так любимый западным миром MCQ (multiple choice question) – вопрос с несколькими вариантами ответов (как правило, 4). Прежде чем взяться за тренировку с вопросами экзаменов, попробуйте решить обратную задачу – придумать такой MCQ на тему, в которой вы разбираетесь, как никто другой.
Вы увидите, что придумать более-менее близкие варианты к единственному правильному не так уж и просто, и вы обязательно включите один вариант, который будет по сути совершенно бредовый. А это значит, что при ответе на вопросы нужно сразу же исключать явно неправильный и искать лучший из оставшихся трех, и в большинстве случаев он виден сразу.
По какому принципу работает ssl сертификат?
Итак для того, чтобы получить SSL сертификат самое первое, что нужно сделать, это сформировать специальный запрос на выпуск сертификата, так называемый (Certificate Signing Request). При формировании этого запроса вам будет задан ряд вопросов, для уточнения деталей о вашем домене и вашей компании. После завершения ваш веб сервер создаст 2 типа криптографических ключей — приватный ключ и публичный ключ.
Публичный ключ не является секретным и он помещается в запрос CSR.Вот пример такого запроса:—–BEGIN CERTIFICATE REQUEST—–MIIC3zCCAccCAQAwgZkxCzAJBgNVBAYTAlVBMQ0wCwYDVQQIEwRLaWV2MQ0wCwYDVQQHEwRLaWV2MRQwEgYDVQQKEwtIb3N0QXV0b21hdDEQMA4GA1UECxMHaG9zdGluZzEmMCQGCSqGSIb3DQEJARYXc3VwcG9ydEBob3N0YXV0b21hdC5jb20xHDAaBgNVBAMTE3d3dy5ob3N0YXV0b21hdC5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDTg7iUv/iX SyZl74GcUVFHjFC5IqlTNEzWgLWrsSmxGxlGzXkUKidNyXWa0O3ayJHOiv1BSX1l672tTqeHxhGuM6F7l5FTRWUyFHUxSU2Kmci6vR6fw5ccgWOMMNdMg7V5bMOD8tfI74oBkVE7hV95Ds3c594u7kMLvHR xui2S3z2JJQEwChmflIojGnSCO/iv64RL9vjZ5B4jAWJwrruIXO5ILTdis41Z1nNIx3bBqkif0H/G4eO5WF6fFb7etm8M d8ebkqEztRAVdhXvTGBZ4Mt2DOV/bV4e/ffmQJxffTYEqWg8wb465GdAJcLhhiSaHgqRzrprKns7QSGjdAgMBAAGgADANBgkqhkiG9w0BAQUFAAOCAQEAuCfJKehyjt7N1IDv44dd V61MIqlDhna0LCXH1uT7R9H8mdlnuk8yevEcCRIkrnWAlA9GT3VkOY3Il4WTGg3wmtq6WAgLkVXQnhIpGDdYAflpAVeMKil8Z46BGIhKQGngL2PjWdhMVLlRTB/01nVSKSEk2jhO8 7yLOY1MoGIvwAEF4CL1lAjov8U4XGNfQldSWT1o8z9sDeGsGSf5DAXpcccx0gCyk90HFJxhbm/vTxjJgchUFro/0goVpBcredpKxtkwBMuCzeSyDnkQft0eLtZ9b9Q4 ZNDWsPPKxo/zWHm6Pa/4F4o2QKvPCPx9x4fm /xHqkhkR79LxJ EHzQ==—–END CERTIFICATE REQUEST—–
Данные которые содержатся в этом ключе можно легко проверить с помощью сервисов CSR Decoder. Как пример: CSR Decoder 1 или CSR Decoder 2. Второй сервис выдает больше информации о CSR и проверяет ее на валидность, поле Signature в результатах проверки.
Если мы вставим такой запрос в форму для его расшифровки, то увидим, какие данные содержатся в публичном ключе.
Предложение/спрос
Давайте посмотрим, сколько всего специалистов, обладающих данными сертификатами, кем и где они работают – заглянем в социальные сети и на страницы ассоциаций. В прошлой статье, посвященной интернет-разведке мы уже
и использовали для этого специальный инструментарий, в этот раз ограничимся простым просмотром результатов поиска.
В сети Linkedin, к которой сейчас довольно ограниченный доступ, можно найти 539 аккаунтов российских пользователей с сертификатами CISA, 330 — c CISSP и 129 — c CISM.
Пролистывая профили пользователей, указавших данные сертификаты, можно увидеть, что их обладатели, как правило, занимают руководящие должности в крупных компаниях, многие задействованы в консалтинговой сфере (BIG4, ИТ-интеграторы и т.п.)
По официальной статистике ассоциаций ISC2 и ISACA сейчас в России всего 200 обладателей сертификатов CISSP, 203 CISA и 60 CISM (данная статистика по CISA и CISM включает только сертифицированных специалистов, являющихся также членами ассоциации ISACA).
Чтобы понять, а есть ли спрос на подобных специалистов, посмотрим наличие вакансий для людей, обладающих такими сертификатами и уровень зарплат, который им готовы предложить работодатели. Сведем результаты выдачи с сайта HH по нашим ключевым словам (названия сертификатов) в следующую таблицу:
Очевидно, что в основном такие специалисты востребованы в крупных городах и в особенности в столицах. Уровень зарплат достойный, но, конечно, же зарплату платят не за наличие сертификата, а за работу.
Анализируя эти данные нужно также помнить, что руководящие должности в крупных организациях часто замещаются без публикации вакансий. Поэтому реальный спрос на таких специалистов несколько выше.
Предпосылки появления xca (x window system certification authority)
Для выпуска для издания сертификатов x509v.3 можно было бы воспользоваться широко используемой командной утилитой
OpenSSL
, в частности, она позволяет выполнять следующие функции:
Если внимательно посмотреть, то оказывается, что все это функции УЦ, более того одна из команд утилиты OpenSSL, а именно команда CA представляет собой УЦ с минимально-необходимой функциональностью:
$openssl ca -md <hash> -in <req_file> -out <cert_file>где:
- ca – команда, для работы с УЦ
- md — опция, указывающая на то какую хэш-функцию (например, sha1, sha512, gosthash ) использовать для выдачи сертификата ключа проверки электронной подписи (ЭП)
- in — опция, указывающая на то, что запрос на сертификат ключа проверки ЭП надо взять из файла <req_file>
- out — опция, указывающая на то, что сгенерированный сертификат ключа проверки ЭП надо записать в файл <cert_file>
Недостатки использования командной утилиты OpenSSL очевидны:
Именно последний пункт отличает в лучшее сторону аналогичный по сути проекту
OpenSSL
проект NSS (Network Security System), который широко используется для работы с сертификатами в проектах от Mozilla, браузерах Chrome от Google и т.д. А если говорить еще и об удобстве работы, то хотелось бы иметь единый графический интерфейс на базе X Windows System для издания и управления сертификатами (Certification authority).
— оконная система, обеспечивающая стандартные инструменты и протоколы для построения графического интерфейса пользователя.
Размещение цс «xca» на предприятии
И так, в итоге мы будем иметь полнофункциональный УЦ масштаба предприятия, полностью поддерживающий российскую криптографию.
Где размещать ЦС «XCA»? Самое разумное – это отдел кадров или служба безопасности. Приходя при приеме на работу в одну из этих служб сотрудник получает здесь помимо все прочего токен, на котором сгенерирован неизвлекаемый ключ:
и установлен его сертификат:
В итоге в БД ЦС «XCA» будут храниться как корневой самоподписанный сертификат центра, так и сертификаты сотрудников предприятия:
В БД также находится информация о том, где хранятся приватные ключи:
Сертификаты с расширенной проверкой.
Это самые дорогие сертификаты и получить их сложнее всего. В таких сертификатах есть так называемый «green bar» — то есть при входе не сайт, где установлен такой сертификат в адресной строке браузера посетителя появится зеленая строка, в которой будет указано название организации, получившей сертификат.
Вот как это выглядит на сайте у Thawte.
Такие сертификаты обладают наибольшим уровнем доверия, среди продвинутых посетителей вашего сайта, поскольку сертификат указывает, что компания реально существует, прошла полную проверку и сайт действительно принадлежит ей.
SSL cертификаты с расширенной проверкой (EV) выпускаются только когда центр сертификации (CA) выполняет две проверки, чтобы убедиться, что организация имеет право использовать определенный домен плюс центр сертификации выполняет тщательную проверку самой организации.
Процесс выпуска сертификатов EV стандартизирован и должен строго соотвествовать правилам EV, которые были созданы на специализированном форуме CA/Browser Forum в 2007 году. Там указаны необходимые шаги, которые центр сертификации должен выполнить перед выпуском EV сертификата:
- Должен проверить правовую, физическую и операционную деятельности субъекта.
- Должен убедиться, что организация соответствует официальным документам.
- Необходимо убедиться, что организация имеет исключительное право на использование домена, указанного в сертификате EV.
- Необходимо убедиться, что организация полностью авторизована для выпуска EV сертификата.
Список того, что конкретно будут проверять такой же как и для сертификатов с проверкой организации.
EV сертификаты используются для всех типов бизнеса, в том числе для государственных и некоммерческих организаций. Для выпуска необходимо 10-14 дней.
Вторая часть правил актуальная для центра сертификации и описывает критерии, которым центр сертификации должен соответствовать перед тем, как получить разрешение на выпуск EV сертификата. Она называется, EV правила аудита, и каждый год происходит проверка на соответствие этим правилам.
Сертификация в китае – вопросы и ответы
Как долго длится процесс сертификации в Китае?
Сколько стоит сертификация в Китае?
Каковы преимущества сертификации на мой продукт Китая?
Как я могу узнать, требуется ли моему продукту CCC?
Как подготовиться к сертификации в Китае?
Каковы преимущества все включено с сертификацией в Китае?
Нужно ли беспокоиться о моих права интеллектуальной собственности в процессе сертификации Китае?
Могу ли я проверить продукты за пределами Китая, например, в моей родной стране?
Какие другие сертификаты мне нужно для моей продукции?
Требуется CCC для одноразовых поставок в Китае?
Кто должен отвечать за соблюдение требований к качеству CCC в моей компании?
Что делать, когда сталкиваются с проблемами на таможне Китая?
По каким причинам может не получится сертификация?
Является ли CCC также обязательным для продуктов, которые производятся в Китае на экспорт?
1. Сколько времени длится процесс сертификации в Китае? Как долго длится процесс сертификации в Китае?
Процесс сертификации в Китае обычно длится от 4-8 месяцев, в зависимости от поставщика услуг по вашему выбору.
2. Сколько стоит сертификация в Китае?
Затраты будут зависеть от типа и количества продуктов, которые вы хотите сертифицировать.
3. Каковы преимущества сертификации на мой продукт?
После того, как вы завершили сертификацию CCC, вам понравится много конкурентных преимуществ. Ваши продукты могут свободно использовать огромный потенциал китайского рынка и быть импортированы без проблем на таможне. После успешной сертификации первый раз, дополнительные продукты могут быть сертифицированы быстро и недорого.
4. Как я могу узнать, требуется ли моему продукту CCC?
Полный список продуктов, которые требуют сертификации публикуется AQSIQ и CNCA.
5. Как подготовиться к сертификации в Китае?
Тестирование для сертификации CCC следует конкретному продукту GB Standard. Поэтому, проверяя стандарты на продукцию, надо определить соответствующие китайские правила и следуя соответствующим перечням, которые являются наилучшими способами для подготовки к сертификации.
6. Каковы преимущества все включено сертификации в Китае?
Выбирая пакет услуг, который охватывает все аспекты процесса сертификации, вы можете значительно сократить время, 
разочарования и ненужных расходов.
7. Нужно ли беспокоиться о моих правах интеллектуальной собственности в процессе сертификации?
Если вы будете следовать определенным набором правил, вам не придется беспокоиться о вашем ноу-хау. С хорошей подготовкой, вы можете направить аудит таким образом, что минимальное количество критической интеллектуальной собственности раскроется. Отправляя черновики чертежей продукции для обработки документов заявки, в этом плане риск может быть дополнительно уменьшен.
8. Можно ли протестировать продукты за пределами Китая, например, в моей родной стране?
Количество Испытательные лаборатории, за пределами Китая не авторизованы для тестирования CCC продукции.
9. Какие другие сертификаты мне нужны для моей продукции?
Если ваш продукт не подлежит дополнительной обязательной сертификации, например, для медицинских изделий и телекоммуникационных продуктов, никаких дополнительных сертификатов нет необходимости при получении CCC.
10. Требуется ли CCC для одноразовых поставках в Китай?
Да. Если ваш продукт подлежит сертификации, то доставка один раз состоится на таможне и сертификат CCC потребуется.
11. Кто должен нести ответственность за соблюдение требований к качеству CCC в моей компании?
Менеджер по качеству фабрики несет ответственность за соответствие китайских правил.
12. Что делать, когда сталкиваешься с проблемами на таможне Китае?
Если ваш продукт задержали на таможне в связи с вопросом CCC, прежде всего следует определить, если сертификация фактически обязательно для вашего продукта.
13. По каким причинам я могу не получить сертификациию в Китае?
Наиболее распространенной причиной является несоответствие между спецификацией продукции, введенных в формы заявок и фактического продукта. Кроме того, неудачным будет тестирование продуктов или аудит, но раскрывающие недостаточный контроль качества приведет к повреждению сертификации.
Непригодные к использованию или частично используемые сертификаты иногда выданные, которые можно отнести к ошибкам в завершении приложения. Это то же самое, можно считать отказ CCC.
14. Является ли CCC также обязательным для продуктов, которые производятся в Китае на экспорт?
Для продуктов, специально изготовленных в соответствии с внешнеторговым контрактами и товары котрыепроизводятся исключительно на экспорт, нет необходимости применять сертификации CCC.
15. Какие компоненты устройства требуют CCC?
Если весь прибор требует сертификат 3C , то рекомендуется также применять для сертификации для каждого компонента; но это также приемлемо только при удостоверении прибора в целом. В автомобилях, все продукты, которые требуют CCC должны быть сертифицированы (в связи с запасных требований части отгрузки). Если прибор в целом не требует CCC, компонентов машины, то они CCC должны быть сертифицированы отдельно, если они установлены в продукт, тогда весь прибор экспортируется в Китай.
Типы ssl-сертификатов и разница между ними
Работаю в хостинге: размещаем сайты пользователей на своих серверах.
Ввиду гигантского количества вопросов, которые нам задают и начинающие, и опытные пользователи, при помощи Пикабу хочу разъяснить некоторые принципы, аспекты и особенности этого ответвления IT-сферы. Не уверен, что количество вопросов от наших пользователей уменьшится, но попытаться стоит.
Даже если вы не пользуетесь хостингом, предположу, что эта информация может быть познавательна.
Сегодня, как я обещал ранее, речь пойдёт о типах SSL-сертификатов, которые можно создать самостоятельно, приобрести за деньги, получить бесплатно, и о разнице между такими сертификатами.
Итак, первый и самый простой способ получить сертификат для своего сайта — купить его. Для этого можно обратиться в любой центр по выпуску сертификатов и заказать сертификат у них, предоставив в процессе заказа информацию, по которой будет проведена проверка. В зависимости от целей и амбиций вы можете выбрать платный сертификат с различными типами проверки данных:
D — сертификаты с проверкой домена. При регистрации такого сертификата производится только проверка доменного имени. Это самый простой в оформлении и дешевый тип SSL сертификатов. Купить такой SSL сертификат может любая организация и любое физическое лицо. При заказе сертификата необходимо указывать “E-mail адрес для подтверждения” в сертифицируемом домене: на этот адрес будет приходить письмо для подтверждения “владения доменом”. То есть, если оформляется сертификат на домен my-sertif.ru, то серт. центр предоставит выбор из нескольких ящиков, который можно будет указать в проверочных данных, например info@my-sertif.ru, admin@my-sertif.ru и другие. Указанный адрес должен обязательно существовать, все письма с инструкциями сертификационного центра будут высылаться на этот E-mail. При этом оформление сертификатов на домены, в имени которых содержатся намёки на банк, финансы и прочие подозрения на “фишинг” невозможно. Если нужен сертификат для домена кредитной организации, то оформление такого сертификата только с проверкой организации. Сайт с таким сертификатом будет показывать в адресной строке браузера «зелёный замочек» (у разных браузеров по-разному).
D O — сертификаты с проверкой домена и организации. В этом случае происходит не только проверка доменного имени, но и принадлежность домена к указанной организации. При посещении сайта защищенного таким сертификатом в адресной строке браузера будет показываться название организации. Перед оформлением необходимо убедиться, что доменное имя было зарегистрировано на организацию, а не на физическое лицо, например, на директора или системного администратора компании. Помимо этого, для некоторых видов сертификатов, необходимо будет заполнить форму с реквизитами организации, для проверки их сертификационным центром.
IDN (Internationalized Domain Names) — поддержка национальных доменов. Поддержка доменов не с латинскими символами. Если у вас домен например в зоне .рф, то такой вид сертификатов — ваш выбор.
EV (Extended Validation) — расширенная проверка. Такие сертификаты получают самое высокое доверие со стороны браузеров. Для этого вида сертификатов проводится полная проверка организации, включая обязательное заполнение форм с данными компании, заверяемых подписью и печатью. Но столь «сложное» оформление даёт самый высокий уровень доверия, чему свидетельствует “зеленая адресная строка” в браузере посетителя сайта, которая говорит о том, что сайт прошёл серьёзную проверку и все данные передаваемые между посетителем и сайтом надёжно защищены.
WildCard — поддержка субдоменов. Wildcard сертификат можно использовать на всех субдоменах (поддоменах) доменного имени. Один такой сертификат будет действителен на доменах www.my-sertif.ru, test.my-sertif.ru, accounts.my-sertif.ru и т.д. без каких либо ограничений на количество субдоменов.
SGC (Server Gated Cryptography) — высокий уровень шифрования. Сертификаты с поддержкой принудительно высокого уровня шифрования обеспечивают максимально высокий уровень шифрования вне зависимости от типов и версий браузеров клиентов. Если пользователь использует старую версию браузера, поддерживающую только 40 или 56 битное шифрование, то при использовании SGC-сертификата соединение все равно будет использовать 128(и более) битное шифрование.
SAN/UCC (United Communications Certificate) — мульти-доменные сертификаты. SAN SSL-сертификаты, так же известные как Единые сертификаты связи (UCC) идеальны для продуктов Microsoft Exchange, а так же для защиты мульти-доменных проектов. Такие сертификаты защищают все описанные в заявке домены, субдомены, локальные имена используя лишь 1 сертификат.
Помимо глубины проверки данных, разные типы сертификатов дают разные страховые возмещения. Об этом стоит рассказать отдельно.
Каждый платный сертификат подразумевает наличии страховки. Страховка покрывает финансовые риски посетителя сайта. Например, сертификат гарантирует страховое возмещение в размере $10000. Значит, если на домене установлен такой сертификат, и посетитель сайта домена в результате операций сайте понёс какие-либо финансовые убытки из-за взлома ключа сертификата, то такие убытки будут покрыты сертифкационным центром вплоть до $10000. На практике же лично мне не известно ни одного случая, когда такое возмещение было бы выплачено. И дело не в том, что SSL настолько суровая технология, что взломать ключи, а, следовательно, подсмотреть шифрованный трафик, невозможно. Скорее очень сложно доказать, что это произошло. Даже когда пару лет назад была анонсирована катастрофическая уязвимость в протоколе SSL, которая получила название «HeartBleed», информации о каких-то возмещениях не было.
Также хочу заметить, что чаще всего самую низкую цену на сертификат вы получите не напрямую у серт.центра, а у посредника. Т.к. они, также как в ситуации с доменами, получают адские скидки из-за оптовых закупок, и, соответственно, могут предложить более низкую цену, чем у самих серт. центров.
Второй способ получить сертификат чуть более сложный. Его можно сгенерировать самостоятельно. Для его воплощения потребуется как минимум командная строка любой unix-системы, пара часов «курения» интернетов по запросам “Генерируем SSL сертификат самостоятельно”, а затем пара несложных команд в командной строке.
В результате будет получен набор файлов, которые в последствии можно использовать для подключения сертификата на домен сайта.
Помимо очевидного минуса в необходимости выполнения каких-то самостоятельных телодвижений, в итоге получится, что для работы с сайтом, использующим такой сертификат, пользователю придётся также лишний раз нажать на пару кнопок в браузере.
Это будет происходить из-за того, что бразуры имеют собственную базу сертификационных центров, сертификатам которых они доверяют. Выпущенный же самостоятельно сертификат так и называется «самоподписанный сертификат». Сертифкационным центром в этом случае выступает компьютер, на котором выпущен сертификат. Соответственно, доверия этому компьютеру у браузера нет. Поэтому бразуер будет выводит сообщение об отсутствии проверки сертификата. Такие сертифткаты лично я рекомендовал бы использовать только для собственных нужд, а в Сети всё-таки пользоваться сертификатами от доверенных серт. центров.
Но что делать, если платить даже 10 северо-американских рублей за сертификат не хочется, но душа требует работать с вашим публичным проектом по зашифрованному каналу? До недавнего времени делать было нечего. Таким образом мы плавно подошли к последнему варианту.
Способ третий. Немного издалека.
Пару лет назад группа интернет-компаний скооперировалась и создала свой собственный лунапарк сертификационный центр, который занимается выпуском бесплатных сертификатов для всех желающих. Центр называется «Let’s Encrypt». Каждый выпускаемый ими сертификат проходит проверку типа D, действует в течение 90 дней, а по истечении этого периода может быть бесплатно перевыпущен. Количество перевыпусков не ограничено.
Именно такой сертификат от Let’s Encrypt я советую почти всем, кто столкнулся с необходимостью использовать SSL.
Для самостоятельного выпуска такого сертификата нужно скачать с сайта организации некоторый софт и запустить его. Ответить на несколько вопросов, которые софт задаст, и дождаться получения файлов сертификата.
Не сочтите за рекламу. Проект не получает никакой финансовой выгоды из выпуска таких сертификатов. Группа компаний лишь ратует за безопасный интернет.
Сейчас уже многие хостеры интегрировали функционал выпуска и перевыпуска таких сертификатов в автоматическом режиме. Например, хостинг панель в нашей компании с последним апдейтом от разработчиков получила новые кнопки, которые позволяют получить сертификат для домена сайта в течение нескольких минут.
картинка кнопок Let’s Encrypt в панели isp
Перевыпуск производится автоматически, поэтому, однажды выпустив такой сертификат, можно вообще забыть о небезопасном соединении со своим проектом. Останется только перевести сайт домена на работу с безопасным протоколом https.
Небольшой бонус. Какой сертификат мне выбрать для своего проекта? Здесь всё достаточно просто.
Всё зависит от того, для чего именно вам нужен сертификат? Большинству пользователей сейчас подойдёт бесплатный сертификат от Let’s Encrypt.
Если вам нужен сертифткат для сайта финаснсового учреждения, то нужно задуматься о платном сертификате с уровнем проверки минимум D O.
Все остальные сертификаты это:
1. Ваши амбиции – зелёная адресная строка в браузере не более, чем понты
2. Финансовые возможности.
3. Техническая необходимость – иногда проще заплатить за мультидоменный сертификат, чем выпускать по сертификату на каждый используемый домен.
Всем спасибо за внимание. Если есть какие-то вопросы – добро пожаловать в комментарии.
P.S.:
Заметил, что по предыдущим моим постам, что они набирают некоторое количество минусов. Рейтинг мне не важен, но хотелось бы понять, что именно в моих постах вызывает негатив. Возможно, я смогу исправить это, если вы будете писать об этом в комментариях.
Функционал xca
И вот исходя из этих предпосылок и родился проект с открытым кодом (
, в котором для криптографических преобразований используется библиотека OpenSSL, для графического интерфейса используется библиотека Qt, а в качестве языка программирования язык C . Для проектирования графического интерфейса использован Qt Designer (утилита designer), что делает весьма простым доработку графического интерфейса с учетом специфических требований российского законодательства и нормативных актов регуляторов, например, форму графического интерфейса для нового сертификата (файл ~/src/ui/NewX509.ui):
Для хранения объектов УЦ в XCA создается база данных, доступ к которой защищен паролем.
Графический итерфейс XCA как удостоверяющего центра реализован в виде пяти функциональных вкладок и двух выпадающих меню:
— функции управления базой данных, предназначенной для хранения информации о ключах, сертификатов и других объектов XCA;
— функции создания и управления ключами;
— функции управления запросами на сертификаты (PKCS#10);
— функции управления сертификатами x509 v3;
— функции управления шаблонами для запрсов;
— функции управления списками аннулированных сертификатов (САС/CRL);
— функции управления токенами/смарткартами PKCS#11;
Можно смело утверждать, что графическое приложение XCA является Центром выдачи и управления Сертификатами (далее ЦС XCA).
Чем еще отличаются сертификаты между собой
- Скоростью выпуска. Быстрее всего выпускаются сертификаты с валидацией только домена, дольше всего с EV валидацией, от 7 рабочих дней.
- Количество перевыпусков сертификата — у большинства центров сертификации неограниченно. Требуется, если допустили ошибку в данных об организации.
- Гарантия — для некоторых сертификатов есть гарантия от 10.000 $. Это гарантия скорее не для покупателя сертификата, а для посетителя сайта, где установлен сертификат. В случае если посетитель сайта с таким сертификатом пострадает от фрауда и потеряет деньги, то центр сертификации обязуется их ему компенсировать до суммы указанной в гарантии. То есть центр сертификации как бы дает гарантию на свои сертификаты и что их невозможно установить на «левый» домен. На практике такие случае мне не известны поэтому на этот параметр можно не обращать внимание.
- Бесплатный тестовый период — из платных сертификатов есть у symantec secure site, geotrust rapidssl, comodo positive ssl, thawte ssl web server. Также можете для тестов использовать бесплатные сертификаты: StartSSL™ Free
- Возврат средств — есть почти у всех сертификатов в течении 30 дней, хотя бывают и сертификаты без периода moneyback