Российские удостоверяющие центры и доверие¶
НАЙС.ОС CLOUD содержит инструменты управления системными доверенными сертификатами и отдельный пакет ca-certificates-russian-ca, устанавливающий российские доверенные сертификаты. Работа со списком доверенных УЦ — это часть эксплуатации TLS, электронной подписи, корпоративных сервисов и защищённых API.
Сертификат УЦ — не закрытый ключ. Он определяет, каким цепочкам сертификатов может доверять система. Доверие к удостоверяющему центру не заменяет проверку назначения сертификата, имени сервера, срока действия и отзыва.
Как устроено хранилище НАЙС.ОС¶
Пакет ca-certificates-russian-ca размещает исходные сертификаты в каталоге системных ресурсов, а рабочие доверенные копии формируются в:
/etc/ssl/local/Russian_Trusted_Root_CA.pem;/etc/ssl/local/Russian_Trusted_Sub_CA.pem.
В процессе установки обновляется общесистемное хранилище сертификатов. В НАЙС.ОС используются make-ca, p11-kit и update-ca-trust; фактические пути результирующих bundle-файлов зависят от конфигурации хранилища.
Проверка на установленной системе:
rpm -q ca-certificates ca-certificates-russian-ca p11-kit p11-kit-trust
rpm -ql ca-certificates-russian-ca
ls -l /etc/ssl/local/Russian_Trusted_*.pem
trust list --filter=ca-anchors
Команды отображают открытые сертификаты и метаданные. Они не извлекают секретные ключи.
Что можно делать¶
- Использовать доверенные УЦ при установлении HTTPS/TLS-соединений через приложения, работающие с системным хранилищем.
- Дополнять набор корпоративными сертификатами УЦ.
- Проверять выданную УЦ цепочку при работе с OpenSSL и приложениями.
- Обновлять, просматривать и отзывать доверие к выбранным корневым сертификатам.
Важно: поддержка российского УЦ и поддержка ГОСТ-алгоритмов — разные задачи. Российский корневой сертификат не превращает TLS-клиент без ГОСТ в ГОСТ-клиент. В НАЙС.ОС NSS не поддерживает ГОСТ, поэтому приложения на NSS нельзя описывать как ГОСТ-совместимые только из-за наличия доверенного сертификата.