Установка и проверка российских доверенных УЦ¶
Пакет ca-certificates-russian-ca включает российские корневой и подчинённый сертификаты и обновляет системное хранилище доверия НАЙС.ОС. Его устанавливают на узлах, взаимодействующих с ресурсами, использующими соответствующую инфраструктуру доверия.
Установка¶
Для систем с TDNF допустим штатный способ управления RPM-пакетами:
Используйте один доступный в установленной редакции пакетный менеджер.
Что происходит после установки¶
В /etc/ssl/local/ создаются доверенные PEM-копии с назначениями для проверки серверов, защиты почты и подписания кода. Обновляются производные представления хранилища доверия, используемые системными программами.
Проверьте файловую структуру:
ls -l /etc/ssl/local/Russian_Trusted_Root_CA.pem \
/etc/ssl/local/Russian_Trusted_Sub_CA.pem
openssl x509 \
-in /etc/ssl/local/Russian_Trusted_Root_CA.pem \
-noout -subject -issuer -dates -fingerprint -sha256
openssl x509 \
-in /etc/ssl/local/Russian_Trusted_Sub_CA.pem \
-noout -subject -issuer -dates -fingerprint -sha256
Отпечаток сертификата желательно сверять с официальным каналом распространения УЦ, особенно при первоначальном развёртывании и замене доверенного корня.
Обновление базы¶
update-pki.timer используется для планового обслуживания доверенных сертификатов. Он не означает, что каждый сертификат автоматически доверенный бессрочно: срок действия, назначение и статус отзыва необходимо проверять отдельно.
Проверка целевого HTTPS-сервера¶
Для публичного сервера, который вы действительно администрируете или имеете право проверять:
openssl s_client -connect example.org:443 \
-servername example.org \
-verify_hostname example.org \
-verify_return_error </dev/null
Проверяйте код завершения проверки, цепочку доверия, выбранный TLS-протокол и алгоритм рукопожатия. Наличие российской цепочки не означает автоматического согласования ГОСТ-TLS.
Обновление или удаление пакета¶
При удалении пакета его рабочие PEM-файлы удаляются и хранилище пересобирается. Если внешние ресурсы зависят от этих УЦ, сначала оцените влияние удаления на пользователей и приложения.