Ошибка нет доверия сертификату для web archive org - TopOshibok.ru - решение и исправление самых разных ошибок

Обновлено: 29.01.2023

Если на вашем компьютере нет антивирусной программы, злоумышленники могли подменить сертификат безопасности при помощи вредоносного кода или атаки MITM. Проверьте ваш компьютер на вирусы с помощью бесплатных антивирусных программ: CureIt! от Dr.Web и Virus Removal Tool от «Лаборатории Касперского».

Откройте окно антивируса и нажмите кнопку в левом нижнем углу.
Перейдите на вкладку Дополнительно и выберите пункт Сеть .
В блоке Проверка защищенных соединений установите значение Не проверять защищенные соединения и подтвердите выбор.
Откройте окно антивируса, перейдите на вкладку Настройка и нажмите ссылку Дополнительные настройки .
В блоке Интернет и электронная почта  → SSL/TLS отключите опцию Включить фильтрацию протокола SSL/TLS .
«,»prev_next»:<«prevItem»:<«disabled»:false,»title»:»Чужие письма»,»link»:»/support/mail/web/security/strange-letters.html»>,»nextItem»:>,»breadcrumbs»:[,],»useful_links»:null,»meta»:,»voter»:»

,»extra_meta»:[>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>,>],»title»:»Ошибки сертификата безопасности — Почта. Справка»,»canonical»:»https://mail.yandex.ru/docs/support/web/problems/certificate-errors.html»,»productName»:»Почта»,»extra_js»:[[,»mods»:,»__func137″:true,»tag»:»script»,»bem»:false,»attrs»:,»__func67″:true>],[,»mods»:,»__func137″:true,»tag»:»script»,»bem»:false,»attrs»:,»__func67″:true>,,»mods»:,»__func137″:true,»tag»:»script»,»bem»:false,»attrs»:,»__func67″:true>],[,»mods»:,»__func137″:true,»tag»:»script»,»bem»:false,»attrs»:,»__func67″:true>]],»extra_css»:[[],[,»mods»:,»__func69″:true,»__func68″:true,»bem»:false,»tag»:»link»,»attrs»:>,,»mods»:,»__func69″:true,»__func68″:true,»bem»:false,»tag»:»link»,»attrs»:>],[,»mods»:,»__func69″:true,»__func68″:true,»bem»:false,»tag»:»link»,»attrs»:>]],»csp»:<«script-src»:[]>,»lang»:»ru»>>>’>

ssl_error_bad_cert_domain

err_cert_date_invalid
sec_error_oscp_invalid_signing_cert
sec_error_expired_issuer_certificate
sec_error_expired_certificate
sec_error_ocsp_future_response

err_cert_common_name_invalid
err_cert_authority_invalid
sec_error_unknown_issuer

ssl_error_bad_cert_domain

err_cert_date_invalid
sec_error_oscp_invalid_signing_cert
sec_error_expired_issuer_certificate
sec_error_expired_certificate
sec_error_ocsp_future_response

err_cert_common_name_invalid
err_cert_authority_invalid
sec_error_unknown_issuer

Откройте окно антивируса и нажмите кнопку в левом нижнем углу.

С августа 2018 года любой обновленный сервер на Centos 6.10 или Centos 7 не может получить доступ к сайтам с некоторыми сертификатами, так как нет доверия к центру сертификации, выдавшему сертификат.

Ноги растут из php c imap:

Причем 99% остальных ресурсов работают корректно.

Системы обновлены, ca-certificates.noarch тоже:

Эффект можно повторить на свежей виртуалке с Centos 6 или Centos 7 со всеми обновлениями.

Что непонятного-то? Даже издателя проследили уже, правильно вообще-то мысль шла. Посмотреть издателя сертификата, найти сертификат издателя и поместить в хранилище доверенных сертификатов. Такое бывает, и нередко — выпускается сертификат в УЦ, сертификат которого отсутствует в доверенных, несмотря на то, что это например Комодо. У Комодо множество subCA, и не все их сертификаты распространяются. Нужно вручную найти сертификат этого subCA/

Вот у Яндекса проблема, видимо, в этом — он не выдает корневой сертификат в цепочке сертификатов. Неужели в Яндексе так глупо поставили сертификат, с неполным chains?

С 1 октября 2021 года получили уже 2 обращения по этой ошибке. Обнаруживаются, в основном, на ПК под управлением ОС Windows 7, где отключено автоматическое обновление. Машины, на которые длительное время не ставились обновления Microsoft.

Ошибка «Невозможно установить безопасное соединение» при открытии веб-страниц на ПК Windows 7
Ошибка «Невозможно установить безопасное соединение» при открытии веб-страниц на ПК Windows 7

«В чем причина, брат?»

Дело в том, что у части, одного или нескольких, сертификатов доверенных корневых удостоверяющих центров (УЦ) закончился срок действия. Таким образом, цепочки удостоверения доменов с 01.10.2021 считаются недействительными.

Пример сертификата корневого УЦ DST Root CA X3 с истекшим сроком действия
Пример сертификата корневого УЦ DST Root CA X3 с истекшим сроком действия

Как появляется ошибка:

В виде предупреждения антивируса, что соединение с сайтом может быть опасным (не проходит проверку цепочка сертификатов, нет доверия к открываемому сайту).
В виде ошибки браузера при обращении к домену — соединение с ресурсом не принимается операционной системой. Как на картинке выше.

Прочие рекомендации

1. Условия доступа

Еще раз ознакомьтесь с требованиями на странице выполнения условий доступа. Во время проверки сервис дает подсказки, на каком этапе есть ошибки. Позовите на помощь знакомого ИТ-специалиста.

2. Яндекс.Браузер

обновите версию браузера до актуальной (Меню « Дополнительно — О браузере » или скачайте инсталлятор с официального сайта );

в настройках активируйте опцию «Подключаться к сайтам, использующим шифрование по ГОСТ» (меню « Настройки — Системные — Сеть »);

Подключаться к сайтам, использующим шифрование по ГОСТ. Требуется КриптоПро CSP.
Подключаться к сайтам, использующим шифрование по ГОСТ. Требуется КриптоПро CSP.

на вкладке «Настройки TLS» для КриптоПро CSP снимите галку « Не использовать устаревшие cipher suite-ы ».

3. Версии протоколов

Для теста включите в настройках браузера поддержку старых версий протоколов SSL/TLS.

Например, для IE — TLS 1.0, TLS 1.1 и TLS 1.2, а также SSL 2.0 и 3.0.
Пуск — Выполнить — inetcpl.cpl — вкладка «Дополнительно»

4. Очистка кэша SSL

Если вы работаете с несколькими учетными записями (сертификатами), при каждой смене пользователя необходимо очистить SSL ( Настройки — Свойства браузера — вкладка «Содержание» — Очистить SSL ).

Пуск — Выполнить — inetcpl.cpl — вкладка «Содержание»

5. Прямая ссылка на ЛК

6. Запуск браузера без расширений/другие браузеры

Отключите в настройках браузера дополнительные расширения, чтобы исключить их влияние на работу с порталом ФНС.

Протестируйте работу в другом браузере из списка поддерживаемых:

Яндекс.Браузер версии 19.3 или выше;
Спутник версии 4.1.2583.0 (Официальная сборка) или выше, gostssl (32 бит);
Internet Explorer версии 11.0.9600.xxxxx или выше;
Chromium-GOST.

7. Настройка антивируса/брандмауэра

Задача — отключение опции SSL-сканирования («SSL scan»). Либо настройте исключения для площадок ФНС.

8. Проверка времени и даты

Проверьте установку времени, даты и часового пояса на вашем ПК. При необходимости измените их значения на корректные или включите автоматическую синхронизацию по расписанию.

9. Другие средства защиты

Одновременная и корректная работа с разными криптопровайдерами (VipNet CSP, Континент-АП, Агава и др.) на одном ПК не гарантируется. Если установлены прочие СКЗИ — удалите их или перейдите на другое рабочее место.

✅ В настройке подключения есть свои тонкости и набор средств. Поэтому, каждый случай надо рассматривать отдельно. Универсального решения нет, проверьте рекомендации — что-то должно помочь. Успехов вам!

⚡ Подписывайтесь на канал или задавайте вопрос на сайте — постараемся помочь всеми техническими силами. Безопасной и производительной работы в Windows и 1С.

Chromium-GOST

Для тех, кто любит быстрые решения. Нас выручил специализированный Chromium-GOST , в который встроены алгоритмы шифрования ГОСТ.

На нем все запустилось, и мы сразу попали в личный кабинет ЮЛ.

Варианты действий

Если рассматривать сценарии, то можно пойти тремя путями:

включать Центр обновлений, загружать все обязательные пакеты, в котором будет один из KB для автоматического обновления корневых сертификатов;
искать и установить целевой (-ые) KB вручную — если у вас есть время и желание разобраться глубже;
обновить корневые сертификаты в ручном режиме.

Первые два варианта не претендуют на 100% решение, т. к. часть ОС сняты с обслуживания компанией Microsoft (например, Windows XP, 7, а также Server 2003, 2008) и пакеты обновлений для них могут не выпускаться.

Как обновить сертификаты вручную

Используем следующий подход: делаем выгрузку корневых сертификатов на актуальной системе и переносим их в устаревшую.

Шаг 1. Выгружаем файл с корневыми сертификатами на ПК Windows 10 с подключением к Интернет, т. к. идет запрос к серверам Microsoft.

Например, создадим на диске C: каталог «cert», в который сохраним результат выгрузки. Запустите командную строку от имени администратора и выполните команду:

С такой ошибкой к нам обратился клиент. Подключение идет с ПК Windows 7, на борту КриптоПро и Яндекс.Браузер. Последний — в списке рекомендуемых . Но что-то мешает.

Описание ошибки

Как правило, в таких случаях следует проверить стандартный, не всеми любимый Internet Explorer. Открыли, но также быстро закрыли — версия устарела (требуется 11.0.9600.xxxxx или выше). Вариант отпадает.

Конечно же, сделали попытку обновления IE, но получили еще больше предупреждений — мол, не хватает нескольких обязательных обновлений WIndows. Получается процесс затяжного и неустойчивого характера — отложили идею, поставив на полку до лучших времен.

Проверили ключ, сертификат и формирование подписи на тестовой странице — ошибок нет.

Читайте также:

Whql driver как установить
Как поменять оружие в nioh 2 на пк
Arma 3 как запустить contact
Crysis 3 the lost island системные требования
Children of morta системные требования

I wanted to get a few files from https://web.archive.org with wget, but it’s throwing a self-signed certificate encountered error. I’m connecting through my phone directly to the mobile network so I doubt there’s a MITM attack going on. However, I don’t really know how to proceed. Is there a way to trust this certificate in a secure manner?

wget https://web.archive.org/web/2000/https://mirrors.kernel.org/gentoo/distfiles/arial32.exe

--2018-09-29 12:41:17--  https://web.archive.org/web/2000/https://mirrors.kernel.org/gentoo/distfiles/arial32.exe Resolving web.archive.org (web.archive.org)... 207.241.225.186 Connecting to web.archive.org (web.archive.org)|207.241.225.186|:443... connected. ERROR: cannot verify web.archive.org's certificate, issued by ‘CN=Go Daddy Secure Certificate Authority - G2,OU=http://certs.godaddy.com/repository/,O=GoDaddy.com\, Inc.,L=Scottsdale,ST=Arizona,C=US’:   Self-signed certificate encountered. To connect to web.archive.org insecurely, use `--no-check-certificate'.

I am using OpenSSL v1.1.1 (18 September this year) and here’s the output of openssl s_client -showcerts -connect web.archive.org:443:

depth=3 C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority verify error:num=19:self signed certificate in certificate chain
--- Certificate chain  0 s:OU = Domain Control Validated, CN = *.archive.org    i:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
-----BEGIN CERTIFICATE----- MIIFLTCCBBWgAwIBAgIJAPPFDRFMIbH8MA0GCSqGSIb3DQEBCwUAMIG0MQswCQYD VQQGEwJVUzEQMA4GA1UECBMHQXJpem9uYTETMBEGA1UEBxMKU2NvdHRzZGFsZTEa MBgGA1UEChMRR29EYWRkeS5jb20sIEluYy4xLTArBgNVBAsTJGh0dHA6Ly9jZXJ0 cy5nb2RhZGR5LmNvbS9yZXBvc2l0b3J5LzEzMDEGA1UEAxMqR28gRGFkZHkgU2Vj dXJlIENlcnRpZmljYXRlIEF1dGhvcml0eSAtIEcyMB4XDTE2MTIxOTIwNTkwMVoX DTIwMDIyMTIyNTYwOFowOzEhMB8GA1UECxMYRG9tYWluIENvbnRyb2wgVmFsaWRh dGVkMRYwFAYDVQQDDA0qLmFyY2hpdmUub3JnMIIBIjANBgkqhkiG9w0BAQEFAAOC AQ8AMIIBCgKCAQEA0royrSANiuUFNP+TrzSDRRHjlYctU/IU2aSv4axKhujg+wic 0GYux/niopuo093YOD7xZ4lsadv6Nrsrc2boX6LfwGK/FDVD4zs8KNN2XQmToSLb Yc+2imJv4EMjTy4osZ/FMZ6/saS3o7il6GRZAb8Y27I3tMNCWGV5c4UWrXxuxCWr sHyEfai+s2iM2Tpn7bi8cRpoyAX+XFNy/9W6/OLaCwhmIjTHuXZtxJuYXg7saNaL 6F9UCu9Rj4mpk2Cs7hpFBqROGcY4NVnv0U0izQH+USaexxv76G1GhgHctSMaY1qc GwhqNku3WOq8+LRJxlH1XrDKVTY83yoWJE7hqwIDAQABo4IBuDCCAbQwDAYDVR0T AQH/BAIwADAdBgNVHSUEFjAUBggrBgEFBQcDAQYIKwYBBQUHAwIwDgYDVR0PAQH/ BAQDAgWgMDcGA1UdHwQwMC4wLKAqoCiGJmh0dHA6Ly9jcmwuZ29kYWRkeS5jb20v Z2RpZzJzMS0zNjcuY3JsMF0GA1UdIARWMFQwSAYLYIZIAYb9bQEHFwEwOTA3Bggr BgEFBQcCARYraHR0cDovL2NlcnRpZmljYXRlcy5nb2RhZGR5LmNvbS9yZXBvc2l0 b3J5LzAIBgZngQwBAgEwdgYIKwYBBQUHAQEEajBoMCQGCCsGAQUFBzABhhhodHRw Oi8vb2NzcC5nb2RhZGR5LmNvbS8wQAYIKwYBBQUHMAKGNGh0dHA6Ly9jZXJ0aWZp Y2F0ZXMuZ29kYWRkeS5jb20vcmVwb3NpdG9yeS9nZGlnMi5jcnQwHwYDVR0jBBgw FoAUQMK9J47MNIMwojPX+2yz8LQsgM4wJQYDVR0RBB4wHIINKi5hcmNoaXZlLm9y Z4ILYXJjaGl2ZS5vcmcwHQYDVR0OBBYEFKgLo/M+BeZKoqDsbel0UB6XiJTcMA0G CSqGSIb3DQEBCwUAA4IBAQAQcNS9qY9muyGGun7NlcRtoREto+sOL2e0Kttac7sA 9ptyRVja9dVGBMD7whODLRzCuTHLo7wkVQ7jXmgCWHLHGlHDMWrLioWaw3gVQfzc JE3PTgz09svcAI/87/6rUgtE5bPFPNRkqQKk4BbS7iDCxpjALyGQ1hgnV2WnwONk vne45Y7xWx4WOhr2hzK8LhlfaqIy662Q1QRuDh0sRZyxalCAlg42OVV4vxm+lTEr f6CMNncNfPtZjSkB1oqKcM2BrCMINipfrrEUdsj3rJd116T6sCt+yK3OBFL5S7sI Aho7A5W6t8u3zw3bJX6I5ntmKSdgI+c6+joKNN5SnUgn
-----END CERTIFICATE-----  1 s:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2    i:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2
-----BEGIN CERTIFICATE----- MIIE0DCCA7igAwIBAgIBBzANBgkqhkiG9w0BAQsFADCBgzELMAkGA1UEBhMCVVMx EDAOBgNVBAgTB0FyaXpvbmExEzARBgNVBAcTClNjb3R0c2RhbGUxGjAYBgNVBAoT EUdvRGFkZHkuY29tLCBJbmMuMTEwLwYDVQQDEyhHbyBEYWRkeSBSb290IENlcnRp ZmljYXRlIEF1dGhvcml0eSAtIEcyMB4XDTExMDUwMzA3MDAwMFoXDTMxMDUwMzA3 MDAwMFowgbQxCzAJBgNVBAYTAlVTMRAwDgYDVQQIEwdBcml6b25hMRMwEQYDVQQH EwpTY290dHNkYWxlMRowGAYDVQQKExFHb0RhZGR5LmNvbSwgSW5jLjEtMCsGA1UE CxMkaHR0cDovL2NlcnRzLmdvZGFkZHkuY29tL3JlcG9zaXRvcnkvMTMwMQYDVQQD EypHbyBEYWRkeSBTZWN1cmUgQ2VydGlmaWNhdGUgQXV0aG9yaXR5IC0gRzIwggEi MA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC54MsQ1K92vdSTYuswZLiBCGzD BNliF44v/z5lz4/OYuY8UhzaFkVLVat4a2ODYpDOD2lsmcgaFItMzEUz6ojcnqOv K/6AYZ15V8TPLvQ/MDxdR/yaFrzDN5ZBUY4RS1T4KL7QjL7wMDge87Am+GZHY23e cSZHjzhHU9FGHbTj3ADqRay9vHHZqm8A29vNMDp5T19MR/gd71vCxJ1gO7GyQ5HY pDNO6rPWJ0+tJYqlxvTV0KaudAVkV4i1RFXULSo6Pvi4vekyCgKUZMQWOlDxSq7n eTOvDCAHf+jfBDnCaQJsY1L6d8EbyHSHyLmTGFBUNUtpTrw700kuH9zB0lL7AgMB AAGjggEaMIIBFjAPBgNVHRMBAf8EBTADAQH/MA4GA1UdDwEB/wQEAwIBBjAdBgNV HQ4EFgQUQMK9J47MNIMwojPX+2yz8LQsgM4wHwYDVR0jBBgwFoAUOpqFBxBnKLbv 9r0FQW4gwZTaD94wNAYIKwYBBQUHAQEEKDAmMCQGCCsGAQUFBzABhhhodHRwOi8v b2NzcC5nb2RhZGR5LmNvbS8wNQYDVR0fBC4wLDAqoCigJoYkaHR0cDovL2NybC5n b2RhZGR5LmNvbS9nZHJvb3QtZzIuY3JsMEYGA1UdIAQ/MD0wOwYEVR0gADAzMDEG CCsGAQUFBwIBFiVodHRwczovL2NlcnRzLmdvZGFkZHkuY29tL3JlcG9zaXRvcnkv MA0GCSqGSIb3DQEBCwUAA4IBAQAIfmyTEMg4uJapkEv/oV9PBO9sPpyIBslQj6Zz 91cxG7685C/b+LrTW+C05+Z5Yg4MotdqY3MxtfWoSKQ7CC2iXZDXtHwlTxFWMMS2 RJ17LJ3lXubvDGGqv+QqG+6EnriDfcFDzkSnE3ANkR/0yBOtg2DZ2HKocyQetawi DsoXiWJYRBuriSUBAA/NxBti21G00w9RKpv0vHP8ds42pM3Z2Czqrpv1KrKQ0U11 GIo/ikGQI31bS/6kA1ibRrLDYGCD+H1QQc7CoZDDu+8CL9IVVO5EFdkKrqeKM+2x LXY2JtwE65/3YR8V3Idv7kaWKK2hJn0KCacuBKONvPi8BDAB
-----END CERTIFICATE-----  2 s:C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Root Certificate Authority - G2    i:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority
-----BEGIN CERTIFICATE----- MIIEfTCCA2WgAwIBAgIDG+cVMA0GCSqGSIb3DQEBCwUAMGMxCzAJBgNVBAYTAlVT MSEwHwYDVQQKExhUaGUgR28gRGFkZHkgR3JvdXAsIEluYy4xMTAvBgNVBAsTKEdv IERhZGR5IENsYXNzIDIgQ2VydGlmaWNhdGlvbiBBdXRob3JpdHkwHhcNMTQwMTAx MDcwMDAwWhcNMzEwNTMwMDcwMDAwWjCBgzELMAkGA1UEBhMCVVMxEDAOBgNVBAgT B0FyaXpvbmExEzARBgNVBAcTClNjb3R0c2RhbGUxGjAYBgNVBAoTEUdvRGFkZHku Y29tLCBJbmMuMTEwLwYDVQQDEyhHbyBEYWRkeSBSb290IENlcnRpZmljYXRlIEF1 dGhvcml0eSAtIEcyMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAv3Fi CPH6WTT3G8kYo/eASVjpIoMTpsUgQwE7hPHmhUmfJ+r2hBtOoLTbcJjHMgGxBT4H Tu70+k8vWTAi56sZVmvigAf88xZ1gDlRe+X5NbZ0TqmNghPktj+pA4P6or6KFWp/ 3gvDthkUBcrqw6gElDtGfDIN8wBmIsiNaW02jBEYt9OyHGC0OPoCjM7T3UYH3go+ 6118yHz7sCtTpJJiaVElBWEaRIGMLKlDliPfrDqBmg4pxRyp6V0etp6eMAo5zvGI gPtLXcwy7IViQyU0AlYnAZG0O3AqP26x6JyIAX2f1PnbU21gnb8s51iruF9G/M7E GwM8CetJMVxpRrPgRwIDAQABo4IBFzCCARMwDwYDVR0TAQH/BAUwAwEB/zAOBgNV HQ8BAf8EBAMCAQYwHQYDVR0OBBYEFDqahQcQZyi27/a9BUFuIMGU2g/eMB8GA1Ud IwQYMBaAFNLEsNKR1EwRcbNhyz2h/t2oatTjMDQGCCsGAQUFBwEBBCgwJjAkBggr BgEFBQcwAYYYaHR0cDovL29jc3AuZ29kYWRkeS5jb20vMDIGA1UdHwQrMCkwJ6Al oCOGIWh0dHA6Ly9jcmwuZ29kYWRkeS5jb20vZ2Ryb290LmNybDBGBgNVHSAEPzA9 MDsGBFUdIAAwMzAxBggrBgEFBQcCARYlaHR0cHM6Ly9jZXJ0cy5nb2RhZGR5LmNv bS9yZXBvc2l0b3J5LzANBgkqhkiG9w0BAQsFAAOCAQEAWQtTvZKGEacke+1bMc8d H2xwxbhuvk679r6XUOEwf7ooXGKUwuN+M/f7QnaF25UcjCJYdQkMiGVnOQoWCcWg OJekxSOTP7QYpgEGRJHjp2kntFolfzq3Ms3dhP8qOCkzpN1nsoX+oYggHFCJyNwq 9kIDN0zmiN/VryTyscPfzLXs4Jlet0lUIDyUGAzHHFIYSaRt4bNYC8nY7NmuHDKO KHAN4v6mF56ED71XcLNa6R+ghlO773z/aQvgSMO3kwvIClTErF0UZzdsyqUvMQg3 qm5vjLyb4lddJIGvl5echK1srDdMZvNhkREg5L4wn3qkKQmw4TRfZHcYQFHfjDCm rw==
-----END CERTIFICATE-----  3 s:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority    i:C = US, O = "The Go Daddy Group, Inc.", OU = Go Daddy Class 2 Certification Authority
-----BEGIN CERTIFICATE----- MIIEADCCAuigAwIBAgIBADANBgkqhkiG9w0BAQUFADBjMQswCQYDVQQGEwJVUzEh MB8GA1UEChMYVGhlIEdvIERhZGR5IEdyb3VwLCBJbmMuMTEwLwYDVQQLEyhHbyBE YWRkeSBDbGFzcyAyIENlcnRpZmljYXRpb24gQXV0aG9yaXR5MB4XDTA0MDYyOTE3 MDYyMFoXDTM0MDYyOTE3MDYyMFowYzELMAkGA1UEBhMCVVMxITAfBgNVBAoTGFRo ZSBHbyBEYWRkeSBHcm91cCwgSW5jLjExMC8GA1UECxMoR28gRGFkZHkgQ2xhc3Mg MiBDZXJ0aWZpY2F0aW9uIEF1dGhvcml0eTCCASAwDQYJKoZIhvcNAQEBBQADggEN ADCCAQgCggEBAN6d1+pXGEmhW+vXX0iG6r7d/+TvZxz0ZWizV3GgXne77ZtJ6XCA PVYYYwhv2vLM0D9/AlQiVBDYsoHUwHU9S3/Hd8M+eKsaA7Ugay9qK7HFiH7Eux6w wdhFJ2+qN1j3hybX2C32qRe3H3I2TqYXP2WYktsqbl2i/ojgC95/5Y0V4evLOtXi EqITLdiOr18SPaAIBQi2XKVlOARFmR6jYGB0xUGlcmIbYsUfb18aQr4CUWWoriMY avx4A6lNf4DD+qta/KFApMoZFv6yyO9ecw3ud72a9nmYvLEHZ6IVDd2gWMZEewo+ YihfukEHU1jPEX44dMX4/7VpkI+EdOqXG68CAQOjgcAwgb0wHQYDVR0OBBYEFNLE sNKR1EwRcbNhyz2h/t2oatTjMIGNBgNVHSMEgYUwgYKAFNLEsNKR1EwRcbNhyz2h /t2oatTjoWekZTBjMQswCQYDVQQGEwJVUzEhMB8GA1UEChMYVGhlIEdvIERhZGR5 IEdyb3VwLCBJbmMuMTEwLwYDVQQLEyhHbyBEYWRkeSBDbGFzcyAyIENlcnRpZmlj YXRpb24gQXV0aG9yaXR5ggEAMAwGA1UdEwQFMAMBAf8wDQYJKoZIhvcNAQEFBQAD ggEBADJL87LKPpH8EsahB4yOd6AzBhRckB4Y9wimPQoZ+YeAEW5p5JYXMP80kWNy OO7MHAGjHZQopDH2esRU1/blMVgDoszOYtuURXO1v0XJJLXVggKtI3lpjbi2Tc7P TMozI+gciKqdi0FuFskg5YmezTvacPd+mSYgFFQlq25zheabIZ0KbIIOqPjCDPoQ HmyW74cNxA9hi63ugyuV+I6ShHI56yDqg+2DzZduCLzrTia2cyvk0/ZM/iZx4mER dEr/VxqHD3VILs9RaRegAhJhldXRQLIQTO7ErBBDpqWeCtWVYpoNz4iCxTIM5Cuf ReYNnyicsbkqWletNw+vHX/bvZ8=
-----END CERTIFICATE-----
--- Server certificate subject=OU = Domain Control Validated, CN = *.archive.org
issuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
--- No client certificate CA names sent Peer signing digest: SHA512 Peer signature type: RSA Server Temp Key: ECDH, P-256, 256 bits
--- SSL handshake has read 5445 bytes and written 443 bytes Verification error: self signed certificate in certificate chain
--- New, TLSv1.2, Cipher is ECDHE-RSA-AES128-GCM-SHA256 Server public key is 2048 bit Secure Renegotiation IS supported Compression: NONE Expansion: NONE No ALPN negotiated SSL-Session:
Protocol  : TLSv1.2
Cipher    : ECDHE-RSA-AES128-GCM-SHA256
Session-ID: B306B4F039744DD648EE3F8450EF381562A4D631457E0F40B93CCB50E3EF6045
Session-ID-ctx: 
Master-Key: B1DDCCA514588A7FD5F7D37B09ECF563589CF3BA02C9BFDC44597A110BC3295C8BE4C79ECE0C1D9B945D66E9539FA6F4
PSK identity: None
PSK identity hint: None
SRP username: None
TLS session ticket lifetime hint: 600 (seconds)
TLS session ticket:
0000 - f2 a0 43 c4 4d 3f b3 7c-85 16 57 82 10 6d 76 e4   ..C.M?.|..W..mv.
0010 - 64 e1 d0 f7 38 de 01 65-e5 d5 a8 f0 12 01 e5 76   d...8..e.......v
0020 - 31 cb 74 9a a7 06 0e f6-5e f8 c0 27 4c 11 3d bf   1.t.....^..'L.=.
0030 - fb e3 e6 21 f7 b2 20 93-df df 9e 80 43 29 1b f2   ...!.. .....C)..
0040 - 97 43 af 14 8a f8 53 4b-53 8d 21 df cd be 3b d6   .C....SKS.!...;.
0050 - aa 02 8e 1f f1 ea 5a e5-b8 8f 7b df e4 ba df 9a   ......Z...{.....
0060 - 81 de 15 00 f5 f8 72 5e-81 52 da ce 9e cb 5f dc   ......r^.R...._.
0070 - dc f6 a8 e3 de d5 f1 33-84 57 de f4 f7 59 24 c5   .......3.W...Y$.
0080 - 09 8b 3a 56 9c a4 9d 3a-1b fc f4 48 1e b1 d1 e6   ..:V...:...H....
0090 - ad cb 77 e2 08 4a 25 01-51 5f 09 da 3c 5e 96 94   ..w..J%.Q_..<^..
00a0 - 9b e4 c1 71 28 b6 a0 e5-6b 15 df 98 6d 9b 17 79   ...q(...k...m..y
00b0 - 4f 24 c1 94 21 6a 32 ab-bb cd 6e 29 3e 69 44 46   O$..!j2...n)>iDF
Start Time: 1538199534
Timeout   : 7200 (sec)
Verify return code: 19 (self signed certificate in certificate chain)
Extended master secret: no
---

Подготовка к установке обновления

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

df -h /boot

Для установки настоящего обновления требуется не менее 100 МБ. Если размер свободного пространства на дисковом разделе /boot недостаточен, то следует увеличить размер дискового раздела /boot (рекомендуется не менее 512МБ).

См. статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

В случаях, если интернет-репозиторий Astra-Linux CE по каким-либо причинам не представляется возможным использовать, можно создать собственный репозиторий.

Для установки обновления с использованием интернет-репозитория Astra Linux CE необходимо выполнить следующие действия:

Подключить интернет-репозиторий Astra-Linux CE (если ранее он не был подключен), для этого:
1. для использования сетевых репозиториев, работающих по протоколу HTTPS, установить пакеты apt-transport-https и ca-certificates командой:
  
  sudo apt install apt-transport-https ca-certificates
  
  Кроме того, для подключения интернет-репозиториев Astra-Linux CE можно использовать протокол HTTP.
2. в файле /etc/apt/sources.list добавить (раскомментировать) строку:
  - при использовании протокола HTTPS
```
deb https://dl.astralinux.ru/astra/stable/2.12_x86-64/repository/ orel main contrib non-free
```
  - при использовании протокола HTTP
```
deb http://dl.astralinux.ru/astra/stable/2.12_x86-64/repository/ orel main contrib non-free
```
Выполнить повторную синхронизацию файлов описаний пакетов с их источником:

sudo apt update
Установить обновление командой:

sudo apt dist-upgrade

Завершение установки обновления

После выполнения обновления перезагрузить систему.

Действия после установки обновления

Описанные ниже действия не обязательны и выполняются по необходимости.

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата необходимо выполнить после установки пакета ca-certificates-local и для каждого пользователя.

Добавление корневого сертификата в Firefox

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
В адресную строку ввести «about:preferences» и нажать клавишу <Enter>.
На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать…].
В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

Чтобы проверить наличие сертификата удостоверяющего центра Минцифры России, необходимо снова в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов]. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и удостовериться в наличии строк:

The Ministry of Digital Development and Communications
Russian Trusted Root CA

Добавление корневого сертификата в Chromium

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
В адресную строку ввести «chrome://settings/certificates» и нажать клавишу <Enter>.
На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

После успешного добавления корневого сертификата на странице Настроить сертификаты во вкладке Центры сертификации появятся следующие строки:

org-The Ministry of Digital Development and Communications
Russian Trusted Root CA

Подключение интернет-репозиториев предыдущих обновлений Astra Linux CE

На текущий момент поддерживаются следующие версии обновлений Astra Linux CE:

2.12.13
2.12.14
2.12.21
2.12.22
2.12.29
2.12.40
2.12.42
2.12.43
2.12.44

Если необходимо использовать предыдущие версии репозиториев, то в файле /etc/apt/sources.list необходимо удалить (закомментировать) строку с описанием текущего актуального репозитория и добавить следующую строку:

при использовании протокола HTTPS

deb https://dl.astralinux.ru/astra/frozen/2.12_x86-64/2.12.<номер_обновления>/repository/ orel main contrib non-free

при использовании протокола HTTP

deb http://dl.astralinux.ru/astra/frozen/2.12_x86-64/2.12.<номер_обновления>/repository/ orel main contrib non-free

Например, для Astra Linux CE 2.12.29 (при использовании протокола HTTPS) строка будет иметь вид:

deb https://dl.astralinux.ru/astra/frozen/2.12_x86-64/2.12.29/repository/ orel main contrib non-free

После добавления интернет-репозитория необходимо выполнить повторную синхронизацию файлов описаний пакетов с их источником:

sudo apt update

Итак, ОС Astra Linux установлена.

Теперь нужно подключить нужные репозитории и обновить систему.

Будем иметь в виду, что у меня специальная редакция ОС (“Смоленск”), поэтому постараюсь без лишней необходимости не использовать сторонние репозитории, или репозитории, расположенные в интернете.

Кроме того, каждый раз вставлять DVD-диск в сервер для установки какой-нибудь программы мне не хочется

Что делать? Конечно, скопировать содержимое установочного диска на локальный диск сервера и подключить его в качестве репозитория.

Шаг 1. Запускаем терминал.

Шаг 2. Производим предварительную подготовку.

Т.к. у нас суперпользователь root без пароля, зададим ему пароль.

mihanik@astra-srv:~$ sudo su 
root@astra-srv:/home/mihanik# passwd 
Новый пароль :  
Повторите ввод нового пароля :  
passwd: пароль успешно обновлён 
root@astra-srv:/home/mihanik#

Шаг 3. Создаём локальный репозиторий из установочного диска.

Для этого вставляем установочный диск в привод и копируем его содержимое в папку на диске. Правда, придётся предварительно установить rsync, т.к. эта программа по умолчанию не установлена в системе.

mount /dev/sr0 /media/cdrom0/
apt-cdrom add
apt -y install rsync
mkdir /opt/distr
mkdir /opt/distr/inst_repo/
rsync -a --progress /media/cdrom0/ /opt/distr/inst_repo/

Шаг 4. Создаём локальный репозиторий из диска для разработчиков

Если у вас нет диска разработчиков на флешке, скачиваем его из интернета

cd /home/mihanik/Загрузки
wget --no-check-certificate https://dl.astralinux.ru/astra/stable/smolensk/international-se-version/devel-smolensk-1.6-09.07.2019_14.19.iso
mkdir /mnt/iso
mount -o loop /home/mihanik/Загрузки/devel-smolensk-1.6-09.07.2019_14.19.iso /mnt/iso/
mkdir /opt/distr/dev_repo
rsync -a --progress /mnt/iso/ /opt/distr/dev_repo/
umount /mnt/iso

Шаг 5. Создаём локальный репозиторий из диска обновлений.

Если у вас нет диска с обновлениями на флешке, скачиваем его из интернета. На момент написания статьи последнее обновление имело имя 20210730SE16

cd /home/mihanik/Загрузки
wget --no-check-certificate https://download.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20210730SE16/20210730SE16.iso
mkdir /mnt/iso
mount -o loop /home/mihanik/Загрузки/20210730SE16.iso /mnt/iso/
mkdir /opt/distr/upd_20210730SE16
rsync -a --progress /mnt/iso/ /opt/distr/upd_20210730SE16/
umount /mnt/iso

Шаг 6. Подключаем созданные репозитории.

Для этого редактируем файл /etc/apt/sources.list.

mcedit /etc/apt/sources.list

Приводим его к следующему виду

## deb cdrom:[OS Astra Linux 1.6 smolensk - amd64 DVD ]/ smolensk contrib main non-free
deb file:///opt/distr/inst_repo smolensk contrib main non-free
deb file:///opt/distr/dev_repo smolensk contrib main non-free
deb file:///opt/distr/upd_20210730SE16 smolensk contrib main non-free

Обратите внимание, первую строчку, которая уже была в файле, я закомментировал. Действительно, зачем нам каждый раз вставлять DVD с установочным диском? 😉

Шаг 7. Обновляем систему.

Для этого сначала обновляем список подключенных репозиториев.

apt update

Теперь по поводу обновления системы…

У apt есть ключ upgrade, который выполняет только обновление одной версии пакета на другую, более свежую. Он не будет устанавливать или удалять пакеты, даже если это необходимо для обновления других. Это наиболее безопасный и надежный вариант обновления, но он может обновить не все. Например, с ее помощью не обновить ядро до более свежей версии.

Ключ dist-upgrade или full-upgrade (это одно и то же) в дополнение к upgrade обрабатывает все изменения зависимостей для новых пакетов и во время работы может удалять ненужные и ставить необходимые пакеты для обновления.

Использование ключа dist-upgrade несколько опасно, я так несколько раз получал повреждённую систему.

Итак, обновляем систему

apt -y upgrade

Придётся немного подождать.

(Моё субъективное мнение: Astra Linux обновляяется уж очень долго. Red Hat или Centos обновляются в 2-3 раза быстрее.)

После обновления рекомендую перезагрузить сервер

reboot

PS.

Так как я планирую установить ещё и модули дополнений для гостевой ОС от VirtualBox, установлю минимальный набор необходимых для этого пакетов

apt -y install gcc make python
apt -y install linux-headers-4.15-generic

Ну, и собственно, ставлю сами дополнения гостевой ОС

bash /media/cdrom0/autorun.sh
reboot

Теперь точно всё.

🙂

Содержание

Обновление корневых сертификатов на Linux
Установка из репозитория
Загрузка пакета с сертификатами
Установка вручную
Операционные системы Astra Linux
Операционные системы Astra Linux
Как добавить сертификат Центра Сертификации (CA) в доверенные в Linux
Как добавить корневой сертификат в доверенные в Linux на уровне системы
Добавление сертификатов в базу данных NSS
Как добавить корневой сертификат в доверенные в Linux в веб браузеры
Операционные системы Astra Linux

Обновление корневых сертификатов на Linux

От корневых сертификатов в системе может зависеть правильная работа при обращении к ресурсам, которые работают по зашифрованному каналу связи. Если данные сертификаты устареют, мы можем столкнуться с рядом проблем:

Это пример ошибок, который не претендует на свою полному. Чаще всего, проблемы встречаются на системах, снятых с обслуживания.

Установка из репозитория

Самый простой способ, который нужно попробовать, установить сертификаты из официального репозитория системы. В зависимости от ее типа, наши команды будут немного отличаться.

а) для систем на базе DEB (Debian, Ubuntu, Mint):

apt install ca-certificates

б) для систем на базе RPM (Rocky Linux, CentOS):

yum install ca-certificates

Если нам повезет и в репозитории будут обновленные корневые центры, наша работа закончена. Иначе, устанавливаем сертификаты вручную.

Загрузка пакета с сертификатами

Установка из репозитория может не дать нужного эффекта, если в нем находятся не самые свежие сертификаты или наша система сильно устарела или не имеет выхода в Интернет.

В этом случае нам нужно загрузить пакет с корневыми сертификатами вручную. Разберем пример на системе Ubuntu. В официальном репозитории или в поисковой системе находим пакет для загрузки, например, по ссылке ftp.ru.debian.org/debian/pool/main/c/ca-certificates копируем ссылку на файл с последней версией сертификатов, и загружаем его на наш компьютер:

Полученный пакет устанавливаем в системе:

И обновляем корневые сертификаты:

Установка вручную

Выше рассмотрены самые удобные способы обновления корневых сертификатов. Но мы можем столкнуться с ситуацией, когда в предоставляемых официальных пакетах не окажется обновленного сертификата. Например, на момент написания данной инструкции у систем на базе Deb не оказалось нового сертификата для Let’s Encrypt, а старый закончил свое действие 30 сентября 2022 года.

В данном случае, мы можем установить любой нужный нам сертификат руками. Для этого скачала находим его и копируем — приведем пример с Let’s Encrypt. На странице letsencrypt.org/ru/certificates мы можем увидеть ссылки на корневые сертификаты. Допустим, нам нужен Let’s Encrypt Authority X3 (Signed by ISRG Root X1), который доступен по ссылке letsencrypt.org/certs/letsencryptauthorityx3.pem.txt. Копируем последовательность и создаем файл на компьютере:

——BEGIN CERTIFICATE——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——END CERTIFICATE——

Открываем на редактирование файл:

И добавляем в него строку с указанием на созданный файл:

Источник

Операционные системы Astra Linux

Оперативные обновления и методические указания

Операционные системы Astra Linux предназначены для применения в составе информационных (автоматизированных) систем в целях обработки и защиты 1) информации любой категории доступа 2) : общедоступной информации, а также информации, доступ к которой ограничен федеральными законами (информации ограниченного доступа).

1) от несанкционированного доступа;
2) в соответствии с Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (статья 5, пункт 2).

Операционные системы Astra Linux Common Edition и Astra Linux Special Edition разработаны коллективом открытого акционерного общества «Научно-производственное объединение Русские базовые информационные технологии» и основаны на свободном программном обеспечении. С 17 декабря 2019 года правообладателем, разработчиком и производителем операционной системы специального назначения «Astra Linux Special Edition» является ООО «РусБИТех-Астра».

На web-сайтах https://astralinux.ru/ и https://wiki.astralinux.ru представлена подробная информация о разработанных операционных системах семейства Astra Linux, а также техническая документация для пользователей операционных систем и разработчиков программного обеспечения.

Мы будем признательны Вам за вопросы и предложения, которые позволят совершенствовать наши изделия в Ваших интересах и адаптировать их под решаемые Вами задачи!

Репозитория открытого доступа в сети Интернет для операционной системы Astra Linux Special Edition нет. Операционная система распространяется посредством DVD-дисков.

Информацию о сетевых репозиториях операционной системы Astra Linux Common Edition Вы можете получить в статье Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов.

В целях обеспечения соответствия сертифицированных операционных систем Astra Linux Special Edition требованиям, предъявляемым к безопасности информации, ООО «РусБИтех-Астра» осуществляет выпуск очередных и оперативных обновлений.

Очередные обновления (версии) предназначены для:

Оперативные обновления предназначены для оперативного устранения уязвимостей в экземплярах, находящихся в эксплуатации, и представляют собой бюллетень безопасности, который доступен в виде:

Ввиду совершенствования нормативно-правовых документов в области защиты информации и в целях обеспечения соответствия информационных актуальным требованиям безопасности информации, а также обеспечения их долговременной эксплуатации, в том числе работоспособности на современных средствах вычислительной техники, рекомендуется на регулярной основе планировать проведение мероприятий по применению очередных и оперативных обновлений операционной системы.

Источник

Операционные системы Astra Linux

Оперативные обновления и методические указания

Очередные обновления (версии) предназначены для:

Источник

Как добавить сертификат Центра Сертификации (CA) в доверенные в Linux

Как добавить корневой сертификат в доверенные в Linux на уровне системы

Сертификат с расширением .crt можно открыть двойным кликом и просмотреть его содержимое:

Если вы работаете в системе от обычного пользователя (не root), то кнопка «Импортировать» будет недоступна.

Чтобы разблокировать кнопку «Импортировать», выполните следующую команду:

Данный способ может не сработать, поэтому рассмотрим, как добавить доверенные корневые центры сертификации в командной строке.

Суть метода очень проста:

Пути и команды в разных дистрибутивах Linux чуть различаются.

Просмотреть Subject всех корневых CA сертификатов можно уже знакомой командой:

Для демонстрации я добавлю сертификат с Common Name, включающим «HackWare», тогда для проверки, имеется ли сертификат с таким именем среди корневых CA, я могу использовать команду:

Для добавления своего корневого CA в доверенные в Debian, Kali Linux, Linux Mint, Ubuntu и их производных:

1. Проверьте, существует ли директория /usr/local/share/ca-certificates:

Если её ещё нет, то создайте:

Сертификат должен быть в формате PEM (обычно так и есть) и иметь расширение .crt — если расширение вашего сертификата .pem, то достаточно просто поменять на .crt.

2. Скопируйте ваш сертификат командой вида:

3. Запустите следующую команду для обновления общесистемного списка:

Проверим наличие нашего CA сертификата среди доверенных:

Сертификат успешно найден:

Для добавления своего корневого CA в доверенные в Arch Linux, BlackArch и их производных:

1. Выполните команду вида:

2. Обновите общесистемный список доверенных CA:

Чтобы удалить этот сертификат:

Добавление сертификатов в базу данных NSS

Некоторые приложения используют базу данных NSS, и у вас может быть необходимость добавить доверенные CA в неё.

Последующие изменения повлияют только на приложения, использующие базу данных NSS и учитывающие файл /etc/pki/nssdb.

1. Сначала создайте структуру каталогов для системных файлов базы данных NSS:

Затем создайте новый набор файлов базы данных. Пароль нужен для того, чтобы базу данных могли редактировать только люди, которые его знают. Если все пользователи в системе (и с доступом к резервным копиям) заслуживают доверия, этот пароль можно оставить пустым.

2. Убедитесь, что файлы базы данных доступны для чтения всем:

Примечание: вышеприведённые инструкции применимы только в том случае, если пока не существует общесистемного набора файлов базы данных NSS. Если он уже существует, то важно знать пароль для этого набора баз данных (конечно, если он защищён паролем).

3. Теперь, когда доступны файлы базы данных NSS, добавьте сертификат в хранилище следующим образом:

Биты доверия, используемые в приведённом выше примере, помечают сертификат как надёжный для подписи сертификатов, используемых для связи SSL/TLS. Имя (указывается после опции -n), используемое в команде, можно выбрать любое, но убедитесь, что его легко отличить от других сертификатов в магазине.

Аналогичные инструкции можно использовать для включения сертификата только в базу данных NSS конкретного пользователя:

Удаление из файлов базы данных NSS

Чтобы удалить сертификат из любой базы данных NSS, используйте команду certutil следующим образом. В этом примере используется общесистемное расположение базы данных NSS, но его можно легко изменить на пользовательское

Как добавить корневой сертификат в доверенные в Linux в веб браузеры

Chrome, Chromium, Firefox и созданные на их основе веб браузеры доверяют корневым сертификатам, установленным на уровне системы. То есть вам достаточно добавить в доверенные CA сертификат как это показано в предыдущем разделе.

Причём эти браузеры хотя и используют NSS, они игнорируют общесистемные сертификаты NSS, которые можно добавить в файл /etc/pki/nssdb!

Тем не менее приложения, которые используют NSS (такие как Firefox, Thunderbird, Chromium, Chrome) хранят свои списки доверенных сертификатов в файлах cert9.db. Чтобы добавить свой сертификат в каждый из этих файлов можно использовать скрипт.

Сохранить следующий код в файл CAtoCert9.sh:

В этом файле измените значение certfile на имя файла вашего сертификата и значение certname на имя вашего сертификата, сохраните и закройте файл.

Затем запустите его следующим образом:

В результате в домашней папке пользователя будут найдены все файлы cert9.db и в каждый из них будет добавлен указанный CA сертификат.

Вы можете добавить CA сертификаты в графическом интерфейсе каждого браузера.

Нажмите кнопку «Импорт»:

Выберите файл с сертификатом.

Укажите, какие полномочия вы даёте этому сертификату:

ca root

Нажмите кнопку «Импортировать»:

Выберите файл с сертификатом.

Укажите, какие полномочия вы даёте этому сертификату:

Для глубокого понимания OpenSSL смотрите также полное руководство: «OpenSSL: принципы работы, создание сертификатов, аудит».

Источник

Операционные системы Astra Linux

Оперативные обновления и методические указания

Очередные обновления (версии) предназначены для:

Источник

Содержание

Windows admin blog
Полезные команды cmd, powershell, администрирование, фичи и решения проблем на win/winserver
Установка корневого сертификата в Astra Linux
Методика безопасности № 2022-0318СE212MD
Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux
Подготовка к установке обновления
Установка обновления
Завершение установки обновления
Добавление корневого сертификата удостоверяющего центра Минцифры России
Добавление корневого сертификата в Firefox
Добавление корневого сертификата в Chromium
Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2
Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)
Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy
Методика устранения угрозы атаки типа HTTP Request Smuggling
Устранение риска эксплуатации уязвимости пакета liblog4j2-java
Устранение риска эксплуатации уязвимости путем замены пакета
Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup
Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux
Подготовка к установке обновления
Установка обновления
Завершение установки обновления
Добавление корневого сертификата удостоверяющего центра Минцифры России
Добавление корневого сертификата в Firefox
Добавление корневого сертификата в Chromium
Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2
Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)
Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy
Методика устранения угрозы атаки типа HTTP Request Smuggling
Устранение риска эксплуатации уязвимости пакета liblog4j2-java
Устранение риска эксплуатации уязвимости путем замены пакета
Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup

Windows admin blog

Полезные команды cmd, powershell, администрирование, фичи и решения проблем на win/winserver

Установка корневого сертификата в Astra Linux

В данной статье рассмотрим, как установить корневой сертификат в системное хранилище доверенных корневых сертификатов. Здесь надо учесть, что браузеры после этого не станут автоматически доверять сайту, сертификат которого выпущен таким центром сертификации, потому что веб-браузеры в Linux используют свои собственные хранилища корневых сертификатов, поэтому будет затронута также тема добавления корневого сертификата в веб-браузеры. Инструкция подойдет не только для Astra Linux, но и для других Debian подобных дистрибутивов.

Установка корневого сертификата в системное хранилище

1. Сертификат должен иметь формат crt. Если формат сертификата отличается, необходимо выполнить его конвертацию. Так, например, для cer-сертификатов:

Если исходный сертификат имеет кодировку DER

Если исходный сертификат имеет кодировку PEM

В параметре out можно сразу указать полный путь сохранения сертификата, в противном случае, он сохранится в текущий каталог.

2. Скопировать полученный сертификат в папку /usr/share/ca-certificates:

вместо /path/certificate.crt подставить свой путь до сертификата и имя сертификата

Есть, однако, мнение, что сертификаты лучше копировать сюда: /usr/local/share/ca-certificates

3. Установить сертификат можно такой командой:

Выбрать «Да», нажать «ОК» (Enter), а в следующем окне отметить звездочками сертификаты, которые необходимо установить. При этом, если все успешно, вы должны увидеть информацию о добавлении вашего сертификата. В моем случае выполнялась установка сразу двух сертификатов (2 added)

Есть еще и вот такая команда:

По идее, делает все что нужно в автоматическом режиме.

По итогу, ваш сертификат должен будет находиться здесь: /etc/ssl/certs

Проверка установки

Способ 1

Короткая команда, которая выведет список доверенных сертификатов. В списке вы должны найти свой сертификат — значит он установился.

Способ 2

Для проверки есть такая конструкция:

Вместо СЕРТИФИКАТ вводим критерий поиска (точное имя сертификата), можно часть имени заменить символом * (например, Digi*) — но в случае со «звездочкой» поиск будет чувствителен к регистру (игнорирует ключ -i), если в имени серитфиката есть пробелы, то критерий поиска обязательно нужно взять в кавычки, даже при использовании маски поиска *.

Способ 3

Проверка посредством выполнения подключения к сайту. То есть, здесь мы выполняем не поиск по хранилищу сертификатов, а осуществляем подключение к сайту

Вместо example.site.com вводите ваш сайт, на котором нужно проверить работу сертификата.

Если в результате вывода где-то есть verify error, значит есть проблемы с доверием. Нужно детально изучить вывод — на какой сертификат ругается.

Способ 4

Может потребоваться установка пакета curl. В ответе должен быть получен код страницы — значит все ОК, доверие к сертификату есть, в противном случае, получим ошибку.

Импорт сертификата в профиль пользователя для Chromium-подобных браузеров

Можно автоматизировать данный процесс. Для выполнения команды должна быть установлена утилита certutil.

certificate_name — имя сертификата
certificate_file — имя файла сертификата, в примере подразумевается, что сертификат расположен в том же каталоге, что и скрипт

После выполнения данной команды, браузеры на Chromium движке под текущим пользователем будут доверять сертификату (Chrome, Chromium, Opera и т.п.).

Отдельно отмечу, что браузер Firefox использует собственную базу сертификатов, которая располагается в другом месте.

Те же самые действия можно проделать и через GUI браузера.

Настройки — Конфиденциальность и безопасность — Безопасность — Настроить сертификаты

Далее импортировать нужный сертификат в разделе «Центры сертификации»

Источник

Методика безопасности № 2022-0318СE212MD

Методика безопасности операционной системы общего назначения Astra Linux Common Edition 2.12, далее по тексту — Astra Linux, предназначено для нейтрализации уязвимостей в информационных системах.

Настоящая методика безопасности содержит отдельные программные пакеты, в которые внесены изменения с целью устранения ряда уязвимостей ядра linux и пакета liblog4j2-java , а также методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2.

Кроме того, в пакет ca-certificates.deb репозитория Astra Linux добавлен сертификат удостоверяющего центра Минцифры России.

Настоящая методика безопасности не является кумулятивной. При выполнении указаний данной методики безопасности другие виды обновлений автоматически не применяются и должны быть установлены отдельно.

Перечень уязвимостей, закрываемых настоящей методикой безопасности, предоставляется после соответствующего обращения на портале технической поддержки.

Перед применением настоящей методикой безопасности рекомендуется обновить Astra Linux до версии 2.12.43

Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux

Нейтрализация угрозы эксплуатации уязвимостей осуществляется путём обновления отдельных пакетов. Пакеты с устраненными уязвимостями войдут в состав последующей версии Astra Linux.

Подготовка к установке обновления

Установка обновления

Скачать tar-архив с помощью WEB-браузера по следующей ссылке: https://dl.astralinux.ru/astra/stable/2.12_x86-64/iso/2022-0318CE212MD.tar.gz, либо выполнив команду:

Настоящее обновление безопасности подписано усиленной квалифицированной электронной подписью ООО «РусБИТех-Астра»:https://dl.astralinux.ru/astra/stable/2.12_x86-64/iso/2022-0318CE212MD.tar.gz_2022-03-24_14-25-18.tsp.sig.

Порядок проверки обновления безопасности описан в статье Проверка отсоединенной подписи файлов.

Проверить соответствие контрольной сумме, представленной ниже. Для получения контрольной суммы выполнить команду:

Распаковать архив, например, в каталог /mnt/ , выполнив команду:

Полученный в результате распаковки tar-архива каталог 2022-0318CE212MD подключить в качестве репозитория в соответствии с принятыми правилами использования репозиториев (см. Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов). Например, чтобы подключить в качестве локального репозитория каталог /mnt/2022-0318CE212MD/ , необходимо:

с помощью текстового редактора в файле /etc/apt/sources.list добавить строку вида:

либо выполнить команду:

затем выполнить повторную синхронизацию файлов описаний пакетов с их источником:

Обновить пакеты, выполнив следующую команду:

Завершение установки обновления

После выполнения обновления необходимо перезагрузить систему.

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата необходимо выполнить для каждого пользователя после установки обновления пакетов.

Добавление корневого сертификата в Firefox

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
В адресную строку ввести » about:preferences » и нажать клавишу .
На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать. ].
В открывшемся окне импорта выбрать файл /usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt и нажать на кнопку [Открыть].
В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

Добавление корневого сертификата в Chromium

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
В адресную строку ввести » chrome://settings/certificates » и нажать клавишу .
На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
В открывшемся окне импорта выбрать файл /usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt и нажать на кнопку [Открыть].
В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2

Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)

Для устранения этой уязвимости необходимо отключить модуль поддержки языка LUA. Чтобы просмотреть перечень используемых модулей, необходимо выполнить команду:

Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy

Для устранения этой уязвимости необходимо отключить поддержку прямого proxy в конфигурационном файле (по умолчанию имеет следующие расположение: /etc/apache2/sites-enabled/000-default.conf ).

Параметр ProxyRequests должен иметь значение » off «. При этом, если это необходимо, реверс-прокси может остаться включенным.

В случае, если есть возможность отключить все режимы работы proxy, то необходимо выполнить команду:

После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:

Методика устранения угрозы атаки типа HTTP Request Smuggling

Для устранения этой уязвимости необходимо в конфигурационном файле (по умолчанию имеет следующие расположение: /etc/apache2/sites-enabled/000-default.conf ) отключить поддержку протокола http/2 — из строки параметров Protocols (перечня используемых протоколов) следует исключить значение » h2 » (протокол HTTP/2).

После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:

Веб-сервер Apache необходимо настроить на работу по HTTPS.

Устранение риска эксплуатации уязвимости пакета liblog4j2-java

Уязвимости подвержен только класс JndiLookup из файла JAR /usr/share/java/log4j-core.jar , входящего в пакет liblog4j2-java, а приложения, использующие только файл JAR log4j-api без файла JAR log4j-core , не подвержены этой уязвимости. Уязвимость присутствует в пакетах log4j в версиях 2.14.1 и ниже.

Проверить, установлен ли пакет liblog4j2-java в системе и версию установленного пакета можно командой:

Если пакет не установлен, то компьютер не подвержен уязвимости.

Устранение риска эксплуатации уязвимости путем замены пакета

Скачать обновлённый пакет liblog4j2-java_2.7-2+deb9u1_all.deb с помощью WEB-браузера по следующей ссылке;
Перейти в каталог с полученным пакетом;

Установить обновлённый пакет командой:

Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup

Для оперативного устранения уязвимости без переустановки пакетов, с учетом того, что этой уязвимости подвержен только один класс из файла /usr/share/java/log4j-core.jar, следует удалить этот класс (JndiLookup) из пути к классам, для чего:

Установить пакет zip, если он не был ранее установлен, следующей командой:

Источник

Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux

Подготовка к установке обновления

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке необходимо выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

Установка обновления

Порядок проверки обновления безопасности описан в статье Проверка отсоединенной подписи файлов.

Распаковать архив, например, в каталог /mnt/ , выполнив команду:

sudo tar xzvf 2022-0318CE212MD.tar.gz -C /mnt/

с помощью текстового редактора в файле /etc/apt/sources.list добавить строку вида:

либо выполнить команду:

echo «deb file:/mnt/2022-0318CE212MD/ orel main contrib non-free» | sudo tee -a /etc/apt/sources.list

затем выполнить повторную синхронизацию файлов описаний пакетов с их источником:

sudo apt update

Обновить пакеты, выполнив следующую команду:

sudo apt dist-upgrade

Завершение установки обновления

После выполнения обновления необходимо перезагрузить систему.

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата в Firefox

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
В адресную строку ввести » about:preferences » и нажать клавишу .
На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать. ].
В открывшемся окне импорта выбрать файл /usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt и нажать на кнопку [Открыть].
В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

Добавление корневого сертификата в Chromium

Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
В адресную строку ввести » chrome://settings/certificates » и нажать клавишу .
На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
В открывшемся окне импорта выбрать файл /usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt и нажать на кнопку [Открыть].
В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2

Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)

sudo apachectl -M

Если в перечне используемых модулей присутствует модуль с наименованием lua , то следует выполнить команду:

sudo a2dismod lua

После этого необходимо перезапустить веб-сервер Apache, выполнив команду:

sudo systemctl restart apache2

Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy

В случае, если есть возможность отключить все режимы работы proxy, то необходимо выполнить команду:

sudo a2dismod proxy

После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:

sudo systemctl restart apache2

Методика устранения угрозы атаки типа HTTP Request Smuggling

После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:

sudo systemctl restart apache2

Веб-сервер Apache необходимо настроить на работу по HTTPS.

Устранение риска эксплуатации уязвимости пакета liblog4j2-java

Проверить, установлен ли пакет liblog4j2-java в системе и версию установленного пакета можно командой:

apt policy liblog4j2-java

Если пакет не установлен, то компьютер не подвержен уязвимости.

Устранение риска эксплуатации уязвимости путем замены пакета

Скачать обновлённый пакет liblog4j2-java_2.7-2+deb9u1_all.deb с помощью WEB-браузера по следующей ссылке;
Перейти в каталог с полученным пакетом;

Установить обновлённый пакет командой:

sudo apt install ./liblog4j2-java_2.7-2+deb9u1_all.deb

Предупреждение «Download is performed unsandboxed«/»Загрузка без ограничения песочницы» при установке обновления можно игнорировать, подробнее здесь: Предупреждение «Download is performed unsandboxed»/»Загрузка без ограничения песочницы» при установке пакетов из файлов с помощью apt

Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup

Установить пакет zip, если он не был ранее установлен, следующей командой:

sudo zip -d /usr/share/java/log4j-core.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

пример вывода после успешного выполнения команды:

Источник

0

1

1. Согласно информации из приложенной статьи ссылки репозиториев не должны быть доступны для Astra Linux Special Edition.

2. Доступность по протоколам HTTPS и HTTP обеспечивает доступность всех файлов репозитория по прямым ссылкам, что позволяет использовать для установки и обновления пакетов из этих репозиториев стандартные программы.

3. Помимо доступности протоколов HTTPS и HTTP для того, чтобы было возможно открыть ссылку в браузере и просмотреть содержимое репозитория так, как это делается в файловом менеджере, в репозитории должна быть включена автоматическая индексация содержимого (autoindex). Автоматическая индексация поддерживается в репозиториях Astra Linux Common Edition и не поддерживается в репозиториях Astra Linux Special Edition.

И я ничего не могу понять из этой белиберды.

Абзац 1 — с чего бы ссылки репозитариев «не должны быть доступны для Astra Linux Special Edition»? Ссылки вообще-то доступны кому угодно у кого есть интернет. Что значит недоступны для Astra Linux SE? Что они хотели сказать этим предложением?

Абзац 2 и 3 техподдержка тупо скопировала в разделе Протоколы передачи интернет-репозиториев Astra Linux с той же страницы официальной Wiki.

Вопрос: у нас возникло предположение, что это значит, что веб-сервер настроен так, что он не отдает HTML-представление списка файлов при запросе директорий, относящихся к 1.7. Но должен отдавать файлы если они запрашиваются напрямую.

Чтобы проверить это предположение, я проверил ссылки на файлы:

https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/Release
https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/Release.gpg
https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/binary-amd64/Packages.gz
https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/binary-amd64/Release
https://dl.astralinux.ru/astra/stable/1.7_x86-64/main/Release
https://dl.astralinux.ru/astra/stable/1.7_x86-64/main/Release.gpg
https://dl.astralinux.ru/astra/stable/1.7_x86-64/main/binary-amd64/Packages.gz
https://dl.astralinux.ru/astra/stable/1.7_x86-64/main/binary-amd64/Release

Но все они возвращают 404. Может я неправильно предположил какие файлы могут быть. А может быть, путь, начинающийся с https://dl.astralinux.ru/astra/stable/1.7_x86-64/repository-main/… действительно не существует. Как это можно однозначно проверить?

Перемещено hobbit из general

Установка корневого сертификата в системное хранилище

Если исходный сертификат имеет кодировку DER

openssl x509 -inform DER -in /path/certificate.cer -out certificate.crt

Если исходный сертификат имеет кодировку PEM

openssl x509 -inform PEM -in /path/certificate.cer -out certificate.crt

2. Скопировать полученный сертификат в папку /usr/share/ca-certificates:

sudo cp /path/certificate.crt /usr/share/ca-certificates

вместо /path/certificate.crt подставить свой путь до сертификата и имя сертификата

Есть, однако, мнение, что сертификаты лучше копировать сюда: /usr/local/share/ca-certificates

3. Установить сертификат можно такой командой:

sudo dpkg-reconfigure ca-certificates

Есть еще и вот такая команда:

sudo update-ca-certificates

По идее, делает все что нужно в автоматическом режиме.

По итогу, ваш сертификат должен будет находиться здесь: /etc/ssl/certs

Проверка установки

Способ 1

trust list

Способ 2

Для проверки есть такая конструкция:

awk -v cmd='openssl x509 -noout -subject' ' /BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crt | grep -i СЕРТИФИКАТ

Способ 3

openssl s_client -connect example.site.ru:443 -quiet

Вместо example.site.com вводите ваш сайт, на котором нужно проверить работу сертификата.

Способ 4

curl https://example.site.com --cacert /etc/ssl/certs/ca-certificates.crt

Импорт сертификата в профиль пользователя для Chromium-подобных браузеров

Можно автоматизировать данный процесс. Для выполнения команды должна быть установлена утилита certutil.

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "certificate_name" -i certificate_file.crt

certificate_name — имя сертификата
certificate_file — имя файла сертификата, в примере подразумевается, что сертификат расположен в том же каталоге, что и скрипт

Те же самые действия можно проделать и через GUI браузера.

Настройки — Конфиденциальность и безопасность — Безопасность — Настроить сертификаты

Далее импортировать нужный сертификат в разделе «Центры сертификации»

Вы здесь


Участник Здесь с 21.02.2022 Сообщений: 6	Сертификат Open Suse истек Здравствуйте, ОС Astra Linux. Устанавливаю драйвера для Lcard 24 и не могу получить доступ к сайту, тк выдается сообщение: » ОШИБКА: Нет доверия сертификату для «download.opensuse.org». ОШИБКА: Срок действия сертификата «download.opensuse.org» истёк. Сертификат ещё не активирован» Запрос/ответ выглядит так: wget https://download.opensuse.org/repositor … elease.key —2021-10-05 18:16:19— https://download.opensuse.org/repositor … elease.key Распознаётся download.opensuse.org (download.opensuse.org)… 195.135.221.134, 2001:67c:2178:8::13 Подключение к download.opensuse.org (download.opensuse.org)\|195.135.221.134\|:443… соединение установлено. Вопрос, как установить драйвера Lcard для ОС Astra Linux? Ответить

Сотрудник «Л Кард» Здесь с 17.04.2014 Сообщений: 1,207	Re: Сертификат Open Suse истек Здравствуйте. А строка «2021-10-05 18:16:19» к чему относится? У Вас время на машине установлено корректное (что выдает команда date)? по сообщению «Сертификат ещё не активирован» создается впечатление, что текущее время машины стоит более раннее, чем время начала действия сертификата сайта, поэтому ОС не хочет считать его действительным. Ответить

Участник Здесь с 21.02.2022 Сообщений: 6	Re: Сертификат Open Suse истек Дата действительно была не корректная, по причине «заморозилась» в гостевой ОС (тестирую в VMware), сейчас ее исправил, однако ошибка осталась Ответить

Сотрудник «Л Кард» Здесь с 17.04.2014 Сообщений: 1,207	Re: Сертификат Open Suse истек Так же пишет, что «Сертификат ещё не активирован» или как то сообщение изменилось? На всякий случай проверьте установлен и обновлен ли пакет ca-certificates. Также в принципе можно у wget отключить проверку сертификата добавив после wget —no-check-certificate, хотя странно, в браузер показывает, что сайт имеет корректный сертификат (Дата выдачи 28 декабря 2021 г., Срок действия 28 марта 2022 г.) и у меня на рабочей машине корректно данный запрос wget выполняется. Ответить

Участник Здесь с 21.02.2022 Сообщений: 6	Re: Сертификат Open Suse истек Алексей L Card пишет: Так же пишет, что «Сертификат ещё не активирован» или как то сообщение изменилось? На всякий случай проверьте установлен и обновлен ли пакет ca-certificates. Также в принципе можно у wget отключить проверку сертификата добавив после wget —no-check-certificate, хотя странно, в браузер показывает, что сайт имеет корректный сертификат (Дата выдачи 28 декабря 2021 г., Срок действия 28 марта 2022 г.) и у меня на рабочей машине корректно данный запрос wget выполняется. Сообщение об активации исчезло. ca-certificates проверил, обновление не требуется wget —no-check-certificate. Отключение проверки сертификата помогло, ключ установился и далее встали сами драйвера Lcard. Спасибо. Ответить

Быстрый ответ

Контакты

Быстрые ссылки

Связь с техподдержкой

Содержание

Цепочка сертификатов не может быть построена до доверенного корневого сертификата
Операционные системы Astra Linux
Ошибка создания подписи: Не удается построить цепочку сертификатов 0x800B010A
Почему возникает ошибка 0x800B010A
Ошибка создания подписи: Не удается построить цепочку сертификатов 0x800B010A – как исправить

Цепочка сертификатов не может быть построена до доверенного корневого сертификата

При возникновении ошибки «Цепочка сертификатов не может быть построена до доверенного корневого сертификата.» необходимо выполнить проверку сертификата электронной подписи.

Алгоритм проверки электронной подписи:

В программном продукте 1С необходимо

1. перейти в раздел «Администрирование»

2. «Обмен электронными документами»

3. «Настройка электронной подписи и шифрования»

4. На вкладке «Сертификаты» открыть используемый сертификат

5. Нажать на кнопку «Проверить»

6. Ввести пароль закрытой части ключа и нажать «Проверить»

! Обращаем Ваше внимание, что программа сама увеличит количество * в поле «Пароль:» до 16 при проверке. Данное поведение является штатным и выступает дополнительной защитой конфиденциальных данных в виде количества символов в пароле. Проверка будет осуществлена на основании введенных Вами данных .

Если в ходе проверки напротив пункта «Корректность данных сертификата» возникнет сигнализирующий об ошибке красный символ, на него необходимо нажать для открытия технической информации об ошибке.

Если в технической информации об ошибке указано «Цепочка сертификатов не может быть построена до доверенного корневого

сертификата.» это обозначает, что цепочка сертификации выстроена не полностью. Данная ошибка чаще всего встречается при первичной установке сертификата. Для просмотра пути сертификации необходимо сохранить сертификат, указав директорию компьютера, где его можно будет найти. Сделать это можно из программы 1С открыв сертификат в настройках электронной подписи и шифрования и нажать кнопку «Сохранить в файл» и указать директорию операционной системы для сохранения файла.

После сохранения сертификата необходимо открыть его в сохраненной директории.

Открыть сертификат можно дважды нажав на него левой кнопкой мыши или правая кнопка мыши — Открыть.

На вкладке «Общие» в логотипе сертификата будет присутствовать сигнализирующий о проблеме желтый знак, а в сведениях о сертификате будет присутствовать надпись «Недостаточно информации для проверки этого сертификата».

Следующим этапом необходимо перейти во вкладку «Путь сертификации». Можно заметить, что путь сертификации состоит из одного личного сертификата, а в состоянии сертификата присутствует надпись «Невозможно обнаружить поставщика этого сертификата».

В компьютерной безопасности цифровые сертификаты проверяются с помощью цепочки доверия. Сертификаты удостоверяются ключами тех сертификатов, которые находятся выше в иерархии сертификатов. Наивысший сертификат в цепочке называется корневым.

Пример корректного пути сертификации

Решение: Восстановить путь сертификацию

В сертификате необходимо перейти во вкладку «Состав» и в верхнем окне необходимо найти и нажать на поле «Доступ к информации о центрах сертификации». В нижнем окне сертификата появится информация о доступах к сведениям центра сертификации, в котором необходимо найти ссылку, которая заканчивается на .cer или .crt. Данную ссылку необходимо скопировать от http:// до конца строки не включая URL=. Копирование производится при помощи комбинации клавиш Ctrl+C.

Открыть браузер и вставить скопированное ранее значение в адресную строку, нажать «Перейти» (Enter). Откроется окно просмотра загрузок, в котором браузер предложит сохранить или открыть файл. Необходимо нажать «Сохранить как» и указать директорию, куда произойдёт сохранение.

Произойдет скачивание сертификата удостоверяющего центра, который выдал личный сертификат. После скачивания необходимо перейти в указанную директорию и открыть скаченный сертификат. В нашем примере это сертификат astral-883-2018.

После открытия сертификата удостоверяющего центра необходимо нажать «Установить сертификат»

В открывшемся мастере импорта сертификатов выбрать Расположение хранилища: «Текущий пользователь» и нажать «Далее».

В следующем окне выбрать «Поместить все сертификаты в следующее хранилище» нажать «Обзор» и выбрать «Доверенные корневые центры сертификации», нажать «Далее» и завершить установку.

После появится окно предупреждения системы безопасности. Для установки сертификата необходимо нажать «Да»

Затем появится окно, сообщающее о том, что импорт сертификата успешно выполнен.

После установки сертификата удостоверяющего центра путь сертификации будет состоять уже из двух сертификатов: личного сертификата сотрудника организации, который ссылается на доверенный сертификат удостоверяющего центра, который выдал данному сотруднику сертификат.

Сертификат удостоверяющего центра не может сослаться на вышестоящий сертификат Головного удостоверяющего центра в виду его отсутствия на рабочем месте.

Для установки сертификата Головного удостоверяющего центра необходимо открыть сертификат удостоверяющего центра и перейти во вкладку «Состав». В верхнем окне выбрать поле «Идентификатор ключа центра сертификатов», а затем в нижнем окне скопировать серийный номер сертификата (Ctrl+C).

Для скачивания нужного сертификата Головного удостоверяющего центра необходимо перейти на Портал уполномоченного федерального органа в области использования электронной подписи и перейти на вкладку «ГОЛОВНОЙ УЦ» https://e-trust.gosuslugi.ru/mainca

Далее, используя сочетание клавиш Ctrl+F необходимо вызвать окно поиска и вставить в него скопированный серийный номер из сертификата удостоверяющего центра. Из представленного на сайте перечня сертификатов отобразиться тот, чей серийный номер совпадает. Именно данный сертификат Головного удостоверяющего центра нужно скачать. Для скачивания необходимо нажать на гиперссылку в строке «Отпечаток».

После нажатия на отпечаток произойдет скачивание сертификата Головного удостоверяющего центра. Необходимо нажать «Сохранить как» и выбрать необходимую директорию для сохранения сертификата Головного удостоверяющего центра.

Необходимо перейти в директорию, куда был скачан сертификат и открыть его.

В открывшемся сертификате необходимо нажать «Установить сертификат»

В мастере импорта сертификатов необходимо выбрать «Текущий пользователь» и нажать «Далее»

В следующем окне необходимо выбрать «Поместить все сертификаты в следующее хранилище», нажать «Обзор». В окне выбора хща сертификата необходимо поставить галочку «Показать физические хранилища», затем развернуть «Доверенные корневые центры сертификации» нажатием на «+» и выбрать «Локальный компьютер» и нажать «ОК». Завершить установку сертификата.

После установки сертификата Головного удостоверяющего центра путь сертификации личного сертификата восстановлен.

После восстановления пути сертификации ошибка не воспроизводится.

Источник

Операционные системы Astra Linux

Оперативные обновления и методические указания

Очередные обновления (версии) предназначены для:

реализации и совершенствования функциональных возможностей;
поддержки современного оборудования;
обеспечения соответствия актуальным требованиям безопасности информации;
повышения удобства использования, управления компонентами и другие.

инструкций и методических указаний по настройке и особенностям эксплуатации ОС, содержащих сведения о компенсирующих мерах или ограничениях по примене- нию ОС при эксплуатации;
отдельных программных компонентов из состава ОС, в которые внесены изменения с целью устранения уязвимостей, инструкций по их установке и настройке, а также информации, содержащей сведения о контрольных суммах всех файлов оперативного обновления;
обновлений безопасности, представляющих собой файл с совокупностью программных компонентов из состава ОС, в которые внесены изменения с целью устранения уязвимостей, а также информации, содержащей сведения о контрольных суммах всех файлов обновлений безопасности, указания по установке, настройке и особенностям эксплуатации ОС с установленными обновлениями безопасности.

Источник

Ошибка создания подписи: Не удается построить цепочку сертификатов 0x800B010A

Автор: Юрий Белоусов · 23.09.2020

Пользователи, использующие программы, работающие с СУФД, в момент подписания документа, могут столкнуться с появлением сообщения: «Ошибка создания подписи: Не удается построить цепочку сертификатов (0x800B010A)».

Например, она может возникнуть при подаче заявки на zakupki.gov.ru или другом портале, работающим с ЭЦП.

В этой статье детально рассмотрим в чем причина данной проблемы и какие методы использовать для ее решения.

Почему возникает ошибка 0x800B010A

Причина возникновения ошибки создания подписи 0x800B010A понятна из пояснительного текста: «Не удается построить цепочку сертификатов». То есть, один или несколько необходимых сертификатов могут отсутствовать, быть некорректно установленными или попросту истек их срок действия.

Для нормальной работы обязательно должны быть установлены следующие сертификаты:

Ошибка создания подписи: Не удается построить цепочку сертификатов 0x800B010A – как исправить

Чтобы исправить ошибку создания подписи: «Не удается построить цепочку сертификатов» (0x800B010A) необходимо правильно диагностировать проблемный сертификат. Сделать это можно с помощью специализированного ПО, либо – с помощью Internet Explorer.

Следует запустить браузер Internet Explorer. В операционных системах Windows он является предустановленным;
Открыть меню браузера, нажав на значок шестеренки в верхнем правом углу окна;
Выбрать пункт «Свойства браузера»;

Альтернативный вариант – зайти в свойства браузера, воспользовавшись встроенным поиском Windows;
Перейти во вкладку «Содержание»;
Нажать кнопку «Сертификаты»;
Выбрать сертификат, которым необходимо подписать документ и нажать кнопку «Просмотр»;
Перейти во вкладку «Путь сертификации»;
Сертификат отмеченный красным крестиком или восклицательным знаком – и есть причина возникновения ошибки создания подписи: «Не удается построить цепочку сертификатов» (0x800B010A).

На скриншоте выше показано, как должна выглядеть цепочка. Если один из сертификатов отсутствует или установлен с ошибкой, то подпись документа будет невозможной.

В случае, если отсутствует сертификат головного удостоверяющего центра, то необходимо скачать и установить. Найти его можно на сайте поставщика сертификата. Узнать кто поставщик можно из свойств, посмотрев вкладку «Общие». Также нужно добавить промежуточные сертификаты.

Для установки личного сертификата необходима программа КриптоПро CSP.

Подробную инструкцию по установке корневого и личного сертификатов можно посмотреть в видео:

Важно! При установке сертификата Головного удостоверяющего центра необходимо поместить его в раздел «Доверенные корневые центры сертификации», личный – в раздел «Личные», остальные – в «Промежуточные центры сертификации».

Если все необходимые сертификаты присутствуют в цепочке, то следует проверить срок их действия и сведения о сертификате. Для этого нужно:

Открыть список сертификатов;
Выбрать нужный;
Нажать кнопку «Просмотр»;
Посмотреть сведения о сертификате в разделе «Общие», включая срок до которого он действителен.

Если истек срок действия, то нужно обновить сертификат;
Если нет доверия к сертификату, то необходимо установить его в корректную директорию;
Если не удается проследить путь до доверенного центра, значит нарушена общая цепь. Скорее всего, отсутствуют промежуточные сертификаты.

Если проблему не удалось исправить и по прежнему появляется внутренняя ошибка с кодом 0x800B010A, то стоит переустановить КриптоПро CSP, а также обратиться в службу поддержки поставщика сертификата.

Есть удобный способ восстановить правильную цепочку сертификатов, который показан в следующем видео:

Не нашли ответ? Тогда воспользуйтесь формой поиска:

Источник

Линукс (СентОс 6)

Установите пакет ca-сертификатов: yum install ca-Certificates.
Включите функцию динамической конфигурации CA: update-ca-trust force-enable.
Добавьте его как новый файл в / etc / pki / ca-trust / source / anchors /: cp foo.crt / etc / pki / ca-trust / source / anchors /
Используйте команду: update-ca-trust extract.

Как вы доверяете сертификату?

Перейдите на сайт с сертификатом, которому вы хотите доверять, и просмотрите обычные предупреждения о ненадежных сертификатах. В адресной строке щелкните правой кнопкой мыши красный предупреждающий треугольник и сообщение «Небезопасно» и в появившемся меню выберите выберите «Сертификат»», Чтобы показать сертификат.

Как включить сертификат доверия?

Разверните Политики> Параметры Windows> Параметры безопасности> Политики открытого ключа. Верно-кликните Trusted Root Certification Полномочия и выберите Импорт. Нажмите «Далее» и «Обзор», чтобы выбрать сертификат ЦС, который вы скопировали на устройство. Щелкните Готово, а затем ОК.

Как узнать, доверяет ли сертификат Linux?

Вы можете сделать это с помощью следующей команды: sudo update-ca-сертификаты . Вы заметите, что команда сообщает об установленных сертификатах, если это необходимо (в современных установках может уже быть корневой сертификат).

Куда мне помещать сертификаты в Linux?

Расположение по умолчанию для установки сертификатов: / и т.д. / SSL / сертификаты . Это позволяет нескольким службам использовать один и тот же сертификат без чрезмерно сложных прав доступа к файлам. Для приложений, которые можно настроить на использование сертификата CA, вам также следует скопировать файл / etc / ssl / certs / cacert.

Как обновить сертификат в Linux?

Линукс (Убунту, Дебиан)

Используйте команду: судо cp foo. CRT / USR / местные / доля / CA-сертификаты / Фу. crt. Обновите хранилище CA: sudo update-ca-Certificates.

Почему моему сертификату не доверяют?

Наиболее частая причина ошибки «сертификат не доверяет» заключается в том, что установка сертификата не была должным образом завершена на сервере (или серверах), на котором размещен сайт. … Чтобы решить эту проблему, установите файл промежуточного сертификата (или сертификата цепочки) на сервер, на котором размещен ваш веб-сайт.

Где я могу найти ненадежные сертификаты?

Вы можете найти некоторые сертификаты в их репозиторий GitHub. В Chrome вы также можете экспортировать сертификат, используемый для вкладки. Щелкните «Небезопасно», затем щелкните «Недействительный» в разделе «Сертификат». См. Вкладку сведений, затем нажмите «экспорт», чтобы сохранить сертификат.

Безопасно ли очищать учетные данные?

При очистке учетных данных удаляются все сертификаты, установленные на вашем устройстве. Другие приложения с установленными сертификатами могут потерять некоторые функции. Чтобы очистить учетные данные, сделайте следующее: С вашего Устройство Android, перейдите в Настройки.

Как исправить, что сертификат безопасности сайта не является доверенным?

Как исправить ошибку сертификата SSL

Диагностируйте проблему с помощью онлайн-инструмента.
Установите промежуточный сертификат на свой веб-сервер.
Создайте новый запрос на подпись сертификата.
Перейдите на выделенный IP-адрес.
Получите подстановочный SSL-сертификат.
Измените все URL-адреса на HTTPS.
Обновите свой сертификат SSL.

Как мне доверять сертификату в Android?

В Android (версия 11) выполните следующие действия:

Открыть настройки.
Нажмите «Безопасность».
Нажмите «Шифрование и учетные данные».
Нажмите «Надежные учетные данные». Это отобразит список всех доверенных сертификатов на устройстве.

Где хранятся сертификаты?

Каждый сертификат на вашем бизнес-компьютере хранится в централизованное место, называемое диспетчером сертификатов. Внутри диспетчера сертификатов вы можете просматривать информацию о каждом сертификате, включая его назначение, и даже удалять сертификаты.

Модераторы: Olej, bellic, adminn, vikos

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Код: Выделить всё

root@astra:~# mount | grep media
/dev/sr0 on /media/cdrom0 type iso9660 (ro,nosuid,nodev,noexec,relatime,nojoliet,check=s,map=n,blocksize=2048,user)

Код: Выделить всё

root@astra:/media/cdrom0# pwd
/media/cdrom0
root@astra:/media/cdrom0# ls -l
итого 71931
-r--r--r-- 1 root root      763 Янв 21 19:01 AUTORUN.INF
-r-xr-xr-x 1 root root     6384 Май 13 16:51 autorun.sh
dr-xr-xr-x 2 root root      792 Май 13 16:58 cert
dr-xr-xr-x 2 root root     1824 Май 13 16:58 NT3x
dr-xr-xr-x 2 root root     2652 Май 13 16:58 OS2
-r-xr-xr-x 1 root root     4821 Май 13 16:51 runasroot.sh
-r--r--r-- 1 root root      547 Май 13 16:58 TRANS.TBL
-r--r--r-- 1 root root  3729045 Май 13 16:50 VBoxDarwinAdditions.pkg
-r--r--r-- 1 root root     3949 Май 13 16:50 VBoxDarwinAdditionsUninstall.tool
-r-xr-xr-x 1 root root  9696690 Май 13 16:52 VBoxLinuxAdditions.run
-r--r--r-- 1 root root 20642816 Май 13 16:52 VBoxSolarisAdditions.pkg
-r-xr-xr-x 1 root root 26277000 Май 13 16:57 VBoxWindowsAdditions-amd64.exe
-r-xr-xr-x 1 root root   270104 Май 13 16:51 VBoxWindowsAdditions.exe
-r-xr-xr-x 1 root root 13015696 Май 13 16:54 VBoxWindowsAdditions-x86.exe

И именно только так:

Код: Выделить всё

root@astra:/media/cdrom0# sh VBoxLinuxAdditions.run  
Verifying archive integrity... All good.
Uncompressing VirtualBox 6.0.8 Guest Additions for Linux........
VirtualBox Guest Additions installer
Copying additional installer modules ...
Installing additional modules ...
VirtualBox Guest Additions: Starting.
VirtualBox Guest Additions: Building the VirtualBox Guest Additions kernel 
modules.  This may take a while.
VirtualBox Guest Additions: To build modules for other installed kernels, run
VirtualBox Guest Additions:   /sbin/rcvboxadd quicksetup <version>
VirtualBox Guest Additions: or
VirtualBox Guest Additions:   /sbin/rcvboxadd quicksetup all
VirtualBox Guest Additions: Building the modules for kernel 4.15.3-1-hardened.
update-initramfs: Generating /boot/initrd.img-4.15.3-1-hardened
VirtualBox Guest Additions: Running kernel modules will not be replaced until 
the system is restarted

И вот после этого размер экрана виртуальной Astra Linux меняется динамически, в произвольных размерах…

P.S. Я написал «только так», потому что другие способы запуска скрипта, что работает во всех других Linux, здесь не срабатывает из-за регламента прав доступа (с этим нужно ещё разбираться):

Код: Выделить всё

root@astra:/media/cdrom0# ./VBoxLinuxAdditions.run
bash: ./VBoxLinuxAdditions.run: Отказано в доступе

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 14:55

Olej писал(а):И вот после этого размер экрана виртуальной Astra Linux меняется динамически, в произвольных размерах…

Вот он, такой … в вытянутых пропорциях :

Вложения

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 14:57

Ну что ж тут сказать?
Я (пока?) очень впечатлён тем как прилично разработчики сделали эту версию Astrs Linux!

Olej писал(а):Интерес именно к Astra Linux (в том чем оно отличается от всех других Linux) вызывают 2 позиции:
— мандатный способ регламентации прав доступа … как оно у них сделано?
— тот уровень «статуса» Astra Linux, который неожиданно приобретён системой по РФ — в сравнении со всеми (а их много) прочими Linux-базируемыми дистрибутивами российского производства … ну, пусть не производства, а сборки.

Вот достаточно интересный PDF документ СПРАВКАОБ ОСОБЕННОСТЯХ И ОСНОВНЫХ ФУНКЦИОНАЛЬНЫХ ВОЗМОЖНОСТЯХ ОПЕРАЦИОННОЙ СИСТЕМЫ — здесь все сертификаты ведомств, с картинками…

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 15:05

Ну, и к вопросу требуемых размеров диска для инсталляции … в такой комплектации:

Код: Выделить всё

olej@astra:~$ df
Файловая система 1K-блоков Использовано Доступно Использовано% Cмонтировано в
udev               1996128            0  1996128            0% /dev
tmpfs               404152         8120   396032            3% /run
/dev/sda1         11287752      5549728  5144924           52% /
tmpfs              2020760        83584  1937176            5% /dev/shm
tmpfs                 5120            4     5116            1% /run/lock
tmpfs              2020760            0  2020760            0% /sys/fs/cgroup
tmpfs               404152            0   404152            0% /run/user/999
tmpfs               404152           12   404140            1% /run/user/1000
/dev/sr0             84534        84534        0          100% /media/cdrom0

Т.е. порядка 5.5Gb.

Ну и:

Код: Выделить всё

olej@astra:~$ lsb_release -a
No LSB modules are available.
Distributor ID: AstraLinuxCE
Description:    Astra Linux CE 2.12.13 (Orel)
Release:        2.12.13
Codename:       orel

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 15:30

Olej писал(а):Интерес именно к Astra Linux (в том чем оно отличается от всех других Linux) вызывают 2 позиции:
— мандатный способ регламентации прав доступа … как оно у них сделано?

Возвращаемся сюда … к самому интересному месту… мандатное управление доступом…

Astra Linux Special Edition 1.6

Новый релиз подготовлен на базе Astra Linux Common Edition 2.12, используется ядро Линукс версии 4.15.
…
Мандатный контроль целостности. Расширены возможности мандатного контроля целостности (МКЦ). Вместо двух уровней целостности (версия 1.5) теперь доступно 8 уровней. Некоторые уровни распределены между системными средствами. Контроль целостности влияет на возможность изменения объектов операционной системы пользователем.

Astra Linux 2.12 Orel — избавляемся от стереотипов о российском ПО

Автор: Уваров А.С. 26.05.2019
…
Может показаться, что разработчики изобретают очередной велосипед, но это не так, обычные, «гражданские» системы, в том числе и Active Directory, применяют дискреционное (избирательное) управление доступом. Это предполагает, что у каждого объекта системы есть свой владелец, который и устанавливает права доступа к нему, также может быть суперпользователь (Администратор, root и т.д.) который может изменить владельца и права доступа к любому объекту.

В структурах с конфиденциальной и секретной информацией применяется иной подход — мандатное (принудительное) управление доступом, основанное на имеющихся у субъекта уровнях доступа.

Простой пример: допустим Василий на некоторое время был переведен в отдел A, получил на файловом сервере свою папку и работал в ней с документами, потом вернулся в отдел B. При избирательном доступе Василий потеряет доступ к папкам отдела А, но сохранит доступ к собственной папке и файлам, так как является их владельцем. При мандатном доступе, покинув отдел А от потеряет право доступа к документам с отметкой «для служебного использования», в том числе и к тем, что он создал.

Astra Linux.Мандатное разграничение доступа

Вместо системы принудительного контроля доступа SELinux, в Astra Linux Special Edition используется запатентованная[1] мандатная сущностно-ролевая ДП-модель управления доступом и информационными потокам (МРОСЛ ДП-модель)[2], которая лишена недостатков модели Белла — Лападулы (деклассификация, нарушение логики доступа к данным при обработке потока информации в распределенной среде ) и содержит дополнительные способы разграничения доступа, например, два уровня целостности системы[3].

В отличие от классической модели мандатного управления доступом, в МРОСЛ ДП-модели дополнительно к мандатному управлению доступом реализован мандатный контроль целостности дистрибутива и файловой системы (препятствующий доступу к защищаемой информации скомпрометированными субъектами после перехвата управления и повышения привилегий (получения административных прав), предусмотрено ролевое управление доступом, наличие иерархии сущностей и применено противодействие запрещённым потокам по памяти и по времени[4].

Указанная математическая модель реализована в программном коде специалистами ОАО «НПО „РусБИТех“» и Академии ФСБ Росиии и верифицирована Институтом Системного программирования Российской Академии Наук. В результате дедуктивной верификации[5] модель была полностью формализована и верифицирована.[6]

В настоящее время используемая в Astra Linux Special Edition модель разграничения доступа является единственной практически реализованной моделью, не основанной на SELinux, в российских реализациях операционных систем на базе Linux.

P.S. (дописано позже) Но как мне подсказали на форуме Astra Linux:

Только в SE

Т.е. мандатное управление доступом есть только в Astra Linux Special Edition (платных, дорогих и регламентируемых релизах, для спецприменений: Смоленск, Ленинград и т.д.), а в Astra Linux Common Edition (Орёл) этого нет, и посмотреть не представляется возможным.
Вопрос снят…

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 16:19

По поводу репозиториев обновления Astra … есть такое критически важное объявление в VK Astra Linux:

23 мая в 21:44
Уважаемые пользователи.
Сообщаем вам, что в репозитории Astra Linux Common Edition (релиз Орел) появилась новая ветка репозитория testing.
Таким образом сейчас представлено 4 ветки:
• frozen: старые релизы без обновлений;
• stable: текущий стабильный релиз, для которого выходят обновления;
• testing: тестовые обновления для стабильного релиза;
• current: нестабильная ветка (в ближайшее время серьёзно обновится);
‼Соответственно, просим всех, кто сидит на ветке current, перейти на ветку stable, прописав в /etc/apt/source.list ветку stable ‼
deb https://download.astralinux.ru/astra/stable/orel/repo.. orel main contrib non-free
или
deb https://mirrors.edge.kernel.org/astra/stable/orel/rep.. orel non-free contrib main
что бы избежать обновления до нестабильной системы.
Тестовые обновления из ветки testing до перевода их в стабильную ветку просим применять с аккуратностью, учитывая их статус.

Но в дистрибутивном образе (ISO) по прежнему торчит:

Код: Выделить всё

olej@astra:/etc/apt$ cat /etc/apt/sources.list 
deb https://download.astralinux.ru/astra/current/orel/repository/ orel main contrib non-free
#deb http://mirror.yandex.ru/astra/current/orel/repository/ orel main contrib non-free

И здесь нужно сменить (с правами root) «current» на «stable»!
После чего:

Код: Выделить всё

olej@astra:/etc/apt$ sudo apt update
[sudo] пароль для olej: 
Пол:1 https://download.astralinux.ru/astra/stable/orel/repository orel InRelease [11,5 kB]
Пол:2 https://download.astralinux.ru/astra/stable/orel/repository orel/main i386 Packages [191 kB]
Пол:3 https://download.astralinux.ru/astra/stable/orel/repository orel/main amd64 Packages [3.840 kB]
Пол:4 https://download.astralinux.ru/astra/stable/orel/repository orel/contrib amd64 Packages [7.635 B]
Пол:5 https://download.astralinux.ru/astra/stable/orel/repository orel/contrib i386 Packages [1.732 B]
Пол:6 https://download.astralinux.ru/astra/stable/orel/repository orel/non-free i386 Packages [1.800 B]
Пол:7 https://download.astralinux.ru/astra/stable/orel/repository orel/non-free amd64 Packages [41,9 kB]
Получено 4.096 kБ за 3с (1.205 kБ/c)                       
Чтение списков пакетов… Готово
Построение дерева зависимостей       
Чтение информации о состоянии… Готово
Все пакеты имеют последние версии.

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 17:17

Olej писал(а):3. вы на их форуме Astra Linux присутствуете?: https://forum.astralinux.ru/ — там очень приличный форум, объясняет многие конкретные вопросы относительно Astra Linux.

Подключаюсь к их форуму, не 1-й день уже, из Linux + Opera 60.0.3255.151 — всё ОК, замечательно…
Попробовал подключиться к тому же адресу из Firefox свеже установленного Astra Linux CE, без каких-либо изменений после установки (час назад только установил Astra) — и получаю странную ошибку (копирую):

Ваше соединение не защищено
Владелец forum.astralinux.ru неправильно настроил свой веб-сайт. Чтобы защитить вашу информацию от кражи, Firefox не соединился с этим веб-сайтом.

forum.astralinux.ru использует недействительный сертификат безопасности. К сертификату нет доверия, так как сертификат его издателя неизвестен. Сервер мог не отправить соответствующие промежуточные сертификаты. Может понадобиться импортировать дополнительный корневой сертификат. Код ошибки: SEC_ERROR_UNKNOWN_ISSUER

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 19:04

Попытался установить в Astra Linux CE — Opera:

Код: Выделить всё

olej@astra:~/Загрузки$ sudo dpkg -i opera-stable_60.0.3255.151_amd64.deb 
[sudo] пароль для olej: 
Выбор ранее не выбранного пакета opera-stable.
(Чтение базы данных … на данный момент установлено 171163 файла и каталога.)
Подготовка к распаковке opera-stable_60.0.3255.151_amd64.deb …
Распаковывается opera-stable (60.0.3255.151) …
dpkg: зависимости пакетов не позволяют настроить пакет opera-stable:
opera-stable зависит от libcurl3 (>= 7.16.2) | libcurl4 (>= 7.58.0), однако:
Пакет libcurl3 не установлен.
Пакет libcurl4 не установлен.
dpkg: ошибка при обработке пакета opera-stable (--install):
проблемы зависимостей — оставляем не настроенным
Обрабатываются триггеры для menu (2.1.47-astra1) …
Обрабатываются триггеры для mime-support (3.60) …
Обрабатываются триггеры для shared-mime-info (1.8-1) …
Обрабатываются триггеры для hicolor-icon-theme (0.15-1) …
При обработке следующих пакетов произошли ошибки:
opera-stable
olej@astra:~/Загрузки$ 
olej@astra:~/Загрузки$ apt search libcurl*
Сортировка… Готово
Полнотекстовый поиск… Готово

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 20:24

2zer0 писал(а):
PPPPS добавил минтовский репозиторий + ключ и всё стало ещё лучше ))
файл /etc/apt/sources.list + строка
deb http://packages.linuxmint.com/ sonya main upstream import backport romeo
sudo apt-key adv —keyserver keyserver.ubuntu.com —recv-keys A6616109451BBBF2

Пытаюсь добавить репозиторий Mint 18.2:

Код: Выделить всё

root@astra:/media/cdrom0# apt-key adv --keyserver keyserver.ubuntu.com --recv-keys A6616109451BBBF2
Executing: /tmp/apt-key-gpghome.QJ4vNCgUGM/gpg.1.sh --keyserver keyserver.ubuntu.com --recv-keys A6616109451BBBF2
gpg: key A6616109451BBBF2: public key "Linux Mint Repository Signing Key <root@linuxmint.com>" imported
gpg: Total number processed: 1
gpg:               imported: 1

Код: Выделить всё

root@astra:/etc/apt/sources.list.d# pwd
/etc/apt/sources.list.d
root@astra:/etc/apt/sources.list.d# touch mint.list
root@astra:/etc/apt/sources.list.d# cat mint.list 
deb http://packages.linuxmint.com/sonya main upstream import backport romeo

Ничего хорошего из этого не получилось:

Код: Выделить всё

root@astra:/etc/apt/sources.list.d# apt update
Сущ:1 https://download.astralinux.ru/astra/stable/orel/repository orel InRelease
Игн:2 http://packages.linuxmint.com/sonya main InRelease             
Ошк:3 http://packages.linuxmint.com/sonya main Release
404  Not Found [IP: 68.235.39.11 80]
Чтение списков пакетов… Готово
E: Репозиторий «http://packages.linuxmint.com/sonya main Release» не содержит файла Release.
N: Обновление из этого репозитория нельзя выполнить безопасным способом, и поэтому по умолчанию он отключён.
N: Смотрите справочную страницу apt-secure(8) о создании репозитория и настройке пользователя.

Olej: Писатель; Сообщения: 17617; Зарегистрирован: 24 сен 2011, 14:22; Откуда: Харьков; Контактная информация:

Re: Astra Linux

Непрочитанное сообщение

Olej » 09 июн 2019, 20:33

Olej писал(а):

Код: Выделить всё

root@astra:/etc/apt/sources.list.d# cat mint.list 
deb http://packages.linuxmint.com/sonya main upstream import backport romeo

Всё-таки там должен быть пробел:

Код: Выделить всё

root@astra:/etc/apt/sources.list.d# cat mint.list 
deb http://packages.linuxmint.com/ sonya main upstream import backport romeo

Код: Выделить всё

root@astra:/etc/apt/sources.list.d# apt update
Сущ:1 https://download.astralinux.ru/astra/stable/orel/repository orel InRelease
Игн:2 http://packages.linuxmint.com sonya InRelease                                          
Пол:3 http://packages.linuxmint.com sonya Release [24,1 kB]
Пол:4 http://packages.linuxmint.com sonya Release.gpg [819 B]
Пол:5 http://packages.linuxmint.com sonya/main amd64 Packages [18,2 kB]
Пол:6 http://packages.linuxmint.com sonya/main i386 Packages [17,5 kB]
Пол:7 http://packages.linuxmint.com sonya/upstream i386 Packages [45,0 kB]
Пол:8 http://packages.linuxmint.com sonya/upstream amd64 Packages [45,7 kB]
Пол:9 http://packages.linuxmint.com sonya/import amd64 Packages [8.261 B]
Пол:10 http://packages.linuxmint.com sonya/import i386 Packages [8.273 B]
Пол:11 http://packages.linuxmint.com sonya/backport amd64 Packages [72,9 kB]
Пол:12 http://packages.linuxmint.com sonya/backport i386 Packages [73,5 kB]                                           
Получено 314 kБ за 7с (40,4 kБ/c)                                                                                     
Чтение списков пакетов… Готово
Построение дерева зависимостей       
Чтение информации о состоянии… Готово
Может быть обновлено 5 пакетов. Запустите «apt list --upgradable» для их показа.

Источник

Обновлено: 29.01.2023

ssl_error_bad_cert_domain

err_cert_date_invalid
sec_error_oscp_invalid_signing_cert
sec_error_expired_issuer_certificate
sec_error_expired_certificate
sec_error_ocsp_future_response

err_cert_common_name_invalid
err_cert_authority_invalid
sec_error_unknown_issuer

ssl_error_bad_cert_domain

err_cert_date_invalid
sec_error_oscp_invalid_signing_cert
sec_error_expired_issuer_certificate
sec_error_expired_certificate
sec_error_ocsp_future_response

err_cert_common_name_invalid
err_cert_authority_invalid
sec_error_unknown_issuer

Откройте окно антивируса и нажмите кнопку в левом нижнем углу.

Ноги растут из php c imap:

Причем 99% остальных ресурсов работают корректно.

Системы обновлены, ca-certificates.noarch тоже:

Эффект можно повторить на свежей виртуалке с Centos 6 или Centos 7 со всеми обновлениями.

«В чем причина, брат?»

Как появляется ошибка:

В виде предупреждения антивируса, что соединение с сайтом может быть опасным (не проходит проверку цепочка сертификатов, нет доверия к открываемому сайту).
В виде ошибки браузера при обращении к домену — соединение с ресурсом не принимается операционной системой. Как на картинке выше.

Прочие рекомендации

1. Условия доступа

2. Яндекс.Браузер

обновите версию браузера до актуальной (Меню « Дополнительно — О браузере » или скачайте инсталлятор с официального сайта );

в настройках активируйте опцию «Подключаться к сайтам, использующим шифрование по ГОСТ» (меню « Настройки — Системные — Сеть »);

на вкладке «Настройки TLS» для КриптоПро CSP снимите галку « Не использовать устаревшие cipher suite-ы ».

3. Версии протоколов

Для теста включите в настройках браузера поддержку старых версий протоколов SSL/TLS.

Например, для IE — TLS 1.0, TLS 1.1 и TLS 1.2, а также SSL 2.0 и 3.0.
Пуск — Выполнить — inetcpl.cpl — вкладка «Дополнительно»

4. Очистка кэша SSL

Пуск — Выполнить — inetcpl.cpl — вкладка «Содержание»

5. Прямая ссылка на ЛК

6. Запуск браузера без расширений/другие браузеры

Протестируйте работу в другом браузере из списка поддерживаемых:

Яндекс.Браузер версии 19.3 или выше;
Спутник версии 4.1.2583.0 (Официальная сборка) или выше, gostssl (32 бит);
Internet Explorer версии 11.0.9600.xxxxx или выше;
Chromium-GOST.

7. Настройка антивируса/брандмауэра

Задача — отключение опции SSL-сканирования («SSL scan»). Либо настройте исключения для площадок ФНС.

8. Проверка времени и даты

9. Другие средства защиты

✅ В настройке подключения есть свои тонкости и набор средств. Поэтому, каждый случай надо рассматривать отдельно. Универсального решения нет, проверьте рекомендации — что-то должно помочь. Успехов вам!

Chromium-GOST

На нем все запустилось, и мы сразу попали в личный кабинет ЮЛ.

Варианты действий

Если рассматривать сценарии, то можно пойти тремя путями:

включать Центр обновлений, загружать все обязательные пакеты, в котором будет один из KB для автоматического обновления корневых сертификатов;
искать и установить целевой (-ые) KB вручную — если у вас есть время и желание разобраться глубже;
обновить корневые сертификаты в ручном режиме.

Как обновить сертификаты вручную

Шаг 1. Выгружаем файл с корневыми сертификатами на ПК Windows 10 с подключением к Интернет, т. к. идет запрос к серверам Microsoft.

Описание ошибки

Конечно же, сделали попытку обновления IE, но получили еще больше предупреждений — мол, не хватает нескольких обязательных обновлений WIndows. Получается процесс затяжного и неустойчивого характера — отложили идею, поставив на полку до лучших времен.

Проверили ключ, сертификат и формирование подписи на тестовой странице — ошибок нет.

Читайте также:

Whql driver как установить
Как поменять оружие в nioh 2 на пк
Arma 3 как запустить contact
Crysis 3 the lost island системные требования
Children of morta системные требования

Источник

View Post [edit]

Poster: Varti Date: May 3, 2017 11:39am

Forum: forums Subject: Cannot download an archived file

Hi,

the following file was available for download some months ago, but now everytime I try to download it a 504 Gateway Time-out error is shown instead:

https://web.archive.org/web/20131001003044/http://lindoboom.nl/wp-content/uploads/2012/09/netwalker.img

I have tried several times to download it, in different days, with no avail. I’d like to store in an online archive of Sharp Zaurus and related devices material I’m preparing, before it disappears from the net; this was unfortunately the only place online where that file was still available.

Thanks in advance,
Varti

Reply [edit]

Poster: MeditateOrDie Date: May 23, 2017 7:31am

Forum: forums Subject: Re: Cannot download an archived file

Hello again,

Did you have any luck?
I just found out how to do this… It looks like the file is still ‘there’, see this. eg:
timestamp: 20131001003044
original (file name): http://lindoboom.nl/wp-content/uploads/2012/09/netwalker.img
length (file size): 1678599915 aka 1,678,599,915 bytes
mimetype: unk («unk» = unknown mime type, I assume)
statuscode: 200 (=OK, so presumably saved ok)

There was also another way to access a file via where it’s been archived to. I’ve used it years ago & can’t remember how atm. If I remember, or find out how (again), then I’ll re-reply, again

btw, here’s another contact point you might try if you’ve had no luck info@archive.org
~~~
https://archive.org/wayback/web_beta_feedback.php

This post was modified by MeditateOrDie on 2017-05-23 14:31:38

Reply [edit]

Poster: MeditateOrDie Date: May 4, 2017 9:55pm

Forum: forums Subject: Re: Cannot download an archived file

This should work:

https://web.archive.org/web/20121008051511id_/http://lindoboom.nl/wp-content/uploads/2012/09/netwalker.img

The working link was found via:

http://web.archive.org/web/*/lindoboom.nl/wp-content/uploads/2012/09/*

Reply [edit]

Poster: Varti Date: May 5, 2017 2:56pm

Forum: forums Subject: Re: Cannot download an archived file

Hi,

thanks for your reply and for the detailed explanation on how the most-recent-version retrieval of a file works (or should work). Unfortunately, the other link you mentioned leads to a truncated version of the file: the original is a 3.7GB file (I tried once to download it when the link was working, and it reported this total size of the file), while the other file is just 1.4k.

I hope that the admins here will soon fix all the problems with the site. It would be a pity to lose this file: it’s a Linux recovery image for Sharp’s Netwalker UMPC, and I believe it’s the only remaining recovery file still available for bricked Netwalkers.

Varti

Источник

Содержание

Способ 1: Настройка времени и даты на компьютере
Способ 2: Обновление корневых сертификатов
- Windows 10
- Windows 7
Способ 3: Ручная установка сертификатов
Способ 4: Проверка системы на наличие вирусов
Способ 5: Отключение антивирусной программы
Способ 6: Изменение параметров браузера Internet Explorer
Способ 7: Восстановление файла hosts
Способ 8: Обновление браузера
Способ 9: Удаление установленных дополнений
Способ 10: Очиска кэша
Способ 11: Переустановка браузера
Вопросы и ответы

Способ 1: Настройка времени и даты на компьютере

Проблемы с сертификатом безопасности при просмотре страниц в интернете могут возникать по причине некорректной настройки времени и даты на компьютере. Необходимо проверить эти параметры и при необходимости внести изменения. На нашем сайте есть отдельные статьи, в которых подробно описаны все действия, необходимые для реализации задуманного.

Подробнее: Как изменить время / дату на компьютере

Обратите внимание! В руководствах все действия выполняются на примере Windows 10 и 7, но они применимы и к другим версиям операционной системы.

Способ 2: Обновление корневых сертификатов

Корневые сертификаты хранятся на диске с ОС Windows и необходимы для работы в сети, без наличия соответствующих файлов при открытии сайтов, работающих по протоколу HTTPS, будет появляться ошибка безопасности веб-узла. Для устранения проблемы потребуется установить на компьютере последние обновления.

Windows 10

Десятая версия операционной системы на момент написания настоящей статьи имеет активную поддержку, что означает систематический выход обновлений. При возможности рекомендуется устанавливать все доступные апдейты, чтобы предупредить возникновение множества ошибок. На нашем сайте есть тематическая статья, в которой пошагово описано, что нужно делать для проверки и установки обновлений.

Подробнее: Как обновить Windows 10 до актуального состояния

Также рекомендуется проверить настройки автообновления системы и при необходимости активировать эту опцию. Таким образом исчезнет нужда периодически проверять выход апдейтов вручную, все новые пакеты будут инсталлироваться в систему автоматически.

Подробнее: Как включить автообновление Windows 10

Windows 7

Поддержка Windows 7 закончилась 14 января 2020 года. Если при установке последнего пакета обновлений корневые сертификаты не были занесены в систему, потребуется это сделать вручную, скачав соответствующий апдейт с официального сайта Microsoft:

Каталог центра обновлений Microsoft

Перейдите по ссылке, размещенной выше. Находясь на главной странице сайта, впишите в поисковую строку запрос KB2813430 и кликните по кнопке «Найти».
В появившейся таблице с результатами отсортируйте данные по столбцу «Продукты», нажав по его названию левой кнопкой мыши.
Найдите в списке операционную систему Windows 7 нужной разрядности и щелкните по кнопке «Загрузить», расположенной напротив нее.
В появившемся окне подтвердите начало скачивания, кликнув по соответствующей ссылке.
Запустите загруженный на компьютер файл и выполните инсталляцию пакета обновлений, следуя подсказкам Мастера, появляющимся на экране.

Важно! На этапе выбора обновления для загрузки нужно обратить внимание на разрядность операционной системы. Если Windows 7 32-битная, следует выбрать файл с названием «Обновление для системы безопасности Windows 7 (KB2813430)». В случае использования 64-разрядной версии — «Обновление для системы безопасности Windows 7 для систем на базе 64-разрядных (x64) процессоров (KB2813430)».

Посмотреть информацию о системе можно в специальном меню на компьютере. В отдельной статье на сайте подробно рассказано, как это сделать.

Подробнее: Как определить разрядность операционной системы Windows 7

Способ 3: Ручная установка сертификатов

При обновлении корневых сертификатов путем установки апдейтов операционной системы могут быть сбои, из-за чего нужные файлы не попадут в Windows. В таком случае потребуется выполнить инсталляцию вручную с помощью предустановленной консольной программы certutil.exe. Для этого сделайте следующее:

Откройте «Командную строку» от имени администратора. Есть несколько способов сделать это, каждый из которых подробно описан в отдельной статье на нашем сайте.

Подробнее: Как запустить «Командную строку» от имени администратора
После появления окна консоли впишите команду certutil.exe -generateSSTFromWU roots.sst и нажмите клавишу Enter.
Скачайте утилиту rootsupd.exe на компьютер, воспользовавшись ссылкой ниже. Откройте папку с загруженным архивом и извлеките его содержимое.

Скачать rootsupd.exe

Подробнее: Как извлечь файлы из архива с помощью WinRAR
В корневом каталоге диска C создайте папку с именем CA и переместите в нее исполняемый файл rootsupd.exe. Перейдите по пути C:\Windows\System32, найдите документ roots.sst и скопируйте его в ту же директорию CA.
Откройте «Командную строку» от имени администратора и впишите следующую команду:

C:\CA\rootsupd /c /t:C:\CA

В появившемся окне утилиты нажмите по кнопке No, чтобы не перезаписывать уже существующий файл сертификатов безопасности.
В директории CA после выполнения предыдущего шага появятся дополнительные утилиты, с помощью которых можно выполнить установку корневых сертификатов. Для этого в «Командной строке» впишите следующее:

C:\CA\updroots.exe C:\CA\roots.sst

Обратите внимание, что после ввода команды нет никакой выдачи — это нормально, операция по установке все равно выполнится.

Внимание! После завершения всех действий загруженные файлы и созданные папки можно удалить с жесткого диска, они были необходимы исключительно для импорта корневых сертификатов в операционную систему.

Способ 4: Проверка системы на наличие вирусов

Вызвать сбой в работе браузера могут попавшие в операционную систему вирусы. Необходимо с помощью специального программного обеспечения выполнить поиск и удаление вредного кода. При этом рекомендуется воспользоваться решениями от сторонних разработчиков, так как встроенная защита Windows способна обнаружить не все вирусные угрозы. На нашем сайте есть статья, посвященная этой теме.

Подробнее: Как удалить вирусы с компьютера под управлением Windows 10

Также рекомендуется ознакомиться со списком популярных антивирусных программ. В отдельной статье представлены лучшие приложения с их кратким описанием. Это поможет выбрать наиболее подходящее решение для обеспечения защиты компьютера.

Подробнее: Приложения для удаления вирусов с компьютера

Способ 5: Отключение антивирусной программы

Доступ к файлам сертификата может блокировать антивирус, установленный на компьютере. Стоит отметить, что речь идет о стороннем программном обеспечении, встроенный «Защитник Windows» делать этого не может. Необходимо временно отключить приложение, чтобы проверить его влияние на работу сайтов в браузере. В случае обнаружения этой зависимости следует удалить программу полностью.

На нашем сайте есть статьи, посвященные теме отключения и удаления наиболее распространенных антивирусных программ. В них подробно описаны все действия по выполнению поставленной задачи с приложенными изображениями.

Подробнее: Как отключить / удалить антивирус с компьютера

Способ 6: Изменение параметров браузера Internet Explorer

Если ошибка сертификата безопасности веб-узла появляется при серфинге интернета в браузере Internet Explorer, то устранить проблему можно путем изменения его параметров. Необходимо сделать следующее:

Запустите браузер и нажмите по кнопке в виде шестерни, расположенной на верхней панели справа. В появившемся меню кликните по пункту «Свойства браузера».
В новом окне откройте вкладку «Дополнительно» и в списке параметров снимите отметку с пункта «Предупреждать о несоответствии адреса сертификата». Нажмите «Применить», а затем «ОК».
Перезагрузите страницу сайта, на котором появилась ошибка.

Способ 7: Восстановление файла hosts

Файл hosts в Windows отвечает за корректную адресацию пользователя в сети интернет. Если он был модифицирован по ошибке или путем использования вредоносного программного обеспечения, необходимо произвести восстановление. Сделать это можно вручную или с помощью специального приложения. Дальше будет рассмотрен второй вариант, поэтому предварительно скачайте и установите утилиту AVZ.

Скачать AVZ

После запуска программы для восстановления файла hosts сделайте следующее:

На верхней панели откройте меню «Файл» и нажмите по пункту «Восстановление системы».
В появившемся окне установите отметку напротив пункта «Очистка файла Hosts», после этого кликните по кнопке «Выполнить отмеченные операции».
Подтвердите действие во всплывающем диалоговом окне, щелкнув по кнопке «Да».

Способ 8: Обновление браузера

Разработчиками браузеров периодически выпускаются обновления, которые видоизменяют базу сертификатов. Если вовремя их не устанавливать, то при переходе на сайты с протоколом HTTPS может появиться ошибка безопасности веб-узла. Необходимо проверить и при необходимости инсталлировать новые апдейты веб-обозревателя. На нашем сайте есть подробное руководство, как это сделать в разных браузерах.

Подробнее: Как обновить популярные браузеры

Способ 9: Удаление установленных дополнений

На корректную работу браузера влияют установленные в нем расширения. Некоторые разработчики этого программного обеспечения могут навредить, заблокировав доступ проводнику к сертификатам безопасности. В этом случае рекомендуется удалить сторонние дополнения. Для каждого браузера эти действия выполняются по-разному, но у нас на сайте есть серия статей, посвященная данной теме.

Подробнее: Как удалить расширения в браузере Mozilla Firefox / Google Chrome / Opera / Яндекс.Браузе

Важно! Если среди представленных статей нет той, где рассматривается ваш браузер, рекомендуется обратиться к инструкции для Google Chrome. Многие веб-обозреватели работают на его основе, поэтому руководства будут схожи.

Способ 10: Очиска кэша

В процессе серфинга интернета браузер собирает дополнительную информацию и хранит в своей внутренней базе — в кэше. Если туда попадают конфликтные данные, они могут вызвать ошибки, в числе которых и рассматриваемая в этой статье. Необходимо выполнить очистку кэша, чтобы исключить этот вариант. На сайте есть инструкции для разных браузеров.

Подробнее: Как очистить кэш в браузере Mozilla Firefox / Google Chrome / Opera / Яндекс.Браузере

Внимание! Проводить чистку браузера рекомендуется систематически. Это предупредит появление критических ошибок и поспособствует увеличению скорости работы программы.

Способ 11: Переустановка браузера

Если удаление расширений и очистка кэша не помогли в решении проблемы, необходимо переустановить браузер. Эта процедура позволит избавиться от всех возможных причин, которые вызывают ошибку сертификата безопасности. Важно при этом скачивать установочный файл обозревателя с официального ресурса разработчика, чтобы не занести в операционную систему вредоносную программу. На нашем сайте есть статья, в которой рассказано, как это сделать на примере всех известных браузеров.

Подробнее: Как правильно переустановить браузер на компьютере

Источник

Доброго дня!

Я думаю, что почти каждый пользователь (особенно в последнее время) сталкивался с ошибкой в браузере о том, что сертификат такого-то сайта не является доверенным, и рекомендацией не посещать его.

С одной стороны это хорошо (все-таки и браузер, и вообще популяризация подобных сертификатов — обеспечивает нашу безопасность), но с другой — подобная ошибка иногда всплывает даже на очень известных сайтах (на том же Google). 👋

Суть происходящего, и что это значит?

Дело в том, что когда вы подключаетесь к сайту, на котором установлен протокол SSL, то сервер передает браузеру цифровой документ (сертификат) о том, что сайт является подлинным (а не фейк или клон чего-то там…). Кстати, если с таким сайтом все хорошо, то браузеры их помечают «зеленым» замочком напротив URL-строки: на скрине ниже показано, как это выглядит в Chrome.

Однако, сертификаты могут выпускать, как всем известные организации (Symantec, Rapidssl, Comodo и др.), так и вообще кто-угодно. Разумеется, если браузер и ваша система «не знает» того, кто выпустил сертификат (или возникает подозрение в его правильности) — то появляется подобная ошибка.

Т.е. я веду к тому, что под раздачу могут попасть как совсем белые сайты, так и те, которые реально опасно посещать. Поэтому, появление подобной ошибки это повод внимательно взглянуть на адрес сайта.

Ну а в этой статье я хочу указать на несколько способов устранения подобной ошибки, если она стала появляться даже на белых и известных сайтах (например, на Google, Яндекс, ВК и многих других. Их же вы не откажетесь посещать? 😉).

Как устранить ошибку

👉 1) Обратите внимание на адрес сайта

Первое, что сделайте — просто обратите внимание на адрес сайта (возможно, что вы по ошибке набрали не тот URL).

Также иногда такое происходит по вине сервера, на котором расположен сайт (возможно, вообще, сам сертификат просто устарел, ведь его выдают на определенное время). Попробуйте посетить другие сайты, если с ними все «OK» — то вероятнее всего, что проблема не в вашей системе, а у того конкретного сайта.

Пример ошибки «Сертификат безопасности сайта не является доверенным»

Однако, отмечу, что если ошибка появляется на очень известном сайте, которому вы (и многие другие пользователи) всецело доверяете — то высока вероятность проблемы в вашей системе…

👉 2) Проверьте дату и время, установленные в Windows

Второй момент: подобная ошибка может выскакивать, если у вас в системе неверно задано время или дата. Для их корректировки и уточнения достаточно щелкнуть мышкой по «времени» в панели задач Windows (в правом нижнем углу экрана).

См. скрин ниже. 👇

📌В помощь!

Как настроить дату и время в Windows 10/11: см. пошаговую инструкцию

Настройка даты и времени

После установки правильного времени, перезагрузите компьютер и попробуйте заново открыть браузер и сайты в нем. Ошибка должна исчезнуть.

Также обращаю внимание на то, что, если у вас постоянно сбивается время — вероятно у вас села батарейка на материнской плате. Представляет она из себя небольшую «таблетку», благодаря которой компьютер помнит введенные вами настройки, даже если вы его отключаете от сети (например, те же дата и время как-то высчитываются?).

Батарейка на материнской плате ПК

👉 3) Попробуйте провести обновление корневых сертификатов

Еще один вариант, как можно попробовать решить эту проблему — установить обновление корневых сертификатов. Обновления можно скачать на сайте Microsoft для разных ОС. Для клиентских ОС (т.е. для обычных домашних пользователей) подойдут вот эти обновления: https://support.microsoft.com/ (ссылка ну нужную страничку).

Обновление от сент. 2022г.

Зарубежные сертификаты (по всем известным событиям в 2022г.) могут «приказать долго жить» (а для некоторых сайтов их уже отозвали/не продлили)!

В целях подстраховки, конечно, неплохо бы в систему установить рос. сертификаты. О том, как это сделать, расскажет одна из моих заметок (ссылочка ниже). 👇

Как установить сертификаты НУЦ Минцифры России (стало появл. предупреждение на некоторых сайтах)

👉 4) Установка «доверенных» сертификатов в систему

Этот способ хоть и рабочий, но хотелось бы предупредить, что он «может» стать источником проблем в безопасности вашей системы. По крайней мере, прибегать к этому советую только для таких крупных сайтов как Google, Яндекс и т.д.

Для избавления от ошибки, связанной с недостоверностью сертификата, должен подойти спец. пакет GeoTrust Primary Certification Authority.

Скачать GeoTrust Primary Certification Authority можно с сайта: http://www.geotrust.com/resources/root-certificates/index.html

Кстати, на этой страничке расположено еще несколько сертификатов, их также можно до-установить в систему.

*

Кстати, чтобы скачать GeoTrust Primary Certification Authority:

нажмите правой кнопкой мышки по ссылке download и выберите вариант «сохранить ссылку как…»;

Сохранить ссылку как…
далее укажите папку на диске, куда будет скачан сертификат. Это будет файл формата PEM.

Файл с расширением PEM

Теперь необходимо скачанный сертификат установить в систему. Как это делается, по шагам расскажу чуть ниже:

сначала нажимаем сочетание кнопок Win+R, и вводим команду certmgr.msc, жмем OK;
должен открыться центр сертификатов в Windows. Необходимо раскрыть вкладку «Доверенные корневые центры сертификации/сертификаты», щелкнуть по ней правой кнопкой мышки и выбрать «Все задачи — импорт».

Импорт сертификата
далее запустится мастер импорта сертификатов. Просто жмем «Далее».

Мастер импорта сертификатов
после нажмите кнопку «Обзор» и укажите ранее загруженный нами сертификат. Нажмите «Далее» (пример показан ниже); 👇

Указываем сертификат, который загрузили
в следующем шаге укажите, что сертификаты нужно поместить в доверенные центры сертификации и нажмите «Далее».

Поместить сертификаты в доверенные. Далее
в следующем шаге вы должны увидеть, что импорт успешно завершен. Собственно, можно идти проверять, как будет отображаться сайт в браузере (может потребоваться перезагрузка ПК).

👉 5) Обратите внимание на антивирусные утилиты

В некоторых случаях эта ошибка может возникать из-за того, что какая-нибудь программа (например, антивирус) проверяет https трафик. Это видит браузер, что пришедший сертификат не соответствует адресу, с которого он получен, и в результате появляется предупреждение/ошибка…

Поэтому, если у вас установлен антивирус/брандмауэр, проверьте и на время отключите настройку сканирования https трафика (см. пример настроек AVAST на скрине ниже). 👇

Avast — основные настройки (отключение сканирование https трафика)

Либо, как вариант, на время удалите его или полностью отключите!

Управление экранами Avast — отключить на 10 минут

📌 PS

Чтобы открыть проблемный сайт — загрузите браузер MX5 (я о нем рассказывал в заметке о флеш-играх). При попытке перейти на «проблемный» сайт в нем — он вас предупредит, что это не безопасно, но если вы подтвердите свое намерение — н загрузит страничку!

В общем, рекомендую иметь такой инструмент под-рукой. 👌

На этом у меня всё…

За дополнения по теме — отдельное мерси!

Всего доброго!

Первая публикация: 2.05.2018

Корректировка: 9.11.2022

donate

dzen-ya

Источник

Poster:	Varti	Date:	May 3, 2017 11:39am
Forum:	forums	Subject:	Cannot download an archived file

Poster:	MeditateOrDie	Date:	May 23, 2017 7:31am
Forum:	forums	Subject:	Re: Cannot download an archived file

«В чем причина, брат?»

Как появляется ошибка:

Прочие рекомендации

1. Условия доступа

2. Яндекс.Браузер

3. Версии протоколов

4. Очистка кэша SSL

5. Прямая ссылка на ЛК

6. Запуск браузера без расширений/другие браузеры

7. Настройка антивируса/брандмауэра

8. Проверка времени и даты

9. Другие средства защиты

Chromium-GOST

Варианты действий

Как обновить сертификаты вручную

Шаг 1. Выгружаем файл с корневыми сертификатами на ПК Windows 10 с подключением к Интернет, т. к. идет запрос к серверам Microsoft.

Описание ошибки

Подготовка к установке обновления

Завершение установки обновления

Действия после установки обновления

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата в Firefox

Добавление корневого сертификата в Chromium

Подключение интернет-репозиториев предыдущих обновлений Astra Linux CE

Шаг 1. Запускаем терминал.

Шаг 2. Производим предварительную подготовку.

Шаг 3. Создаём локальный репозиторий из установочного диска.

Шаг 4. Создаём локальный репозиторий из диска для разработчиков

Шаг 5. Создаём локальный репозиторий из диска обновлений.

Шаг 6. Подключаем созданные репозитории.

Шаг 7. Обновляем систему.

Обновление корневых сертификатов на Linux

Установка из репозитория

Загрузка пакета с сертификатами

Установка вручную

Операционные системы Astra Linux

Операционные системы Astra Linux

Как добавить сертификат Центра Сертификации (CA) в доверенные в Linux

Как добавить корневой сертификат в доверенные в Linux на уровне системы

Добавление сертификатов в базу данных NSS

Как добавить корневой сертификат в доверенные в Linux в веб браузеры

Операционные системы Astra Linux

Windows admin blog

Полезные команды cmd, powershell, администрирование, фичи и решения проблем на win/winserver

Установка корневого сертификата в Astra Linux

Методика безопасности № 2022-0318СE212MD

Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux

Подготовка к установке обновления

Установка обновления

Завершение установки обновления

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата в Firefox

Добавление корневого сертификата в Chromium

Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2

Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)

Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy

Методика устранения угрозы атаки типа HTTP Request Smuggling

Устранение риска эксплуатации уязвимости пакета liblog4j2-java

Устранение риска эксплуатации уязвимости путем замены пакета

Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup

Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux

Подготовка к установке обновления

Установка обновления

Завершение установки обновления

Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата в Firefox

Добавление корневого сертификата в Chromium

Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2

Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)

Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy

Методика устранения угрозы атаки типа HTTP Request Smuggling

Устранение риска эксплуатации уязвимости пакета liblog4j2-java

Устранение риска эксплуатации уязвимости путем замены пакета

Устранение риска эксплуатации уязвимости путем удаления уязвимого класса JndiLookup

Вы здесь

Сертификат Open Suse истек

Re: Сертификат Open Suse истек

Re: Сертификат Open Suse истек

Re: Сертификат Open Suse истек

Re: Сертификат Open Suse истек

Poster: Varti Date: May 3, 2017 11:39am

Forum: forums Subject: Cannot download an archived file

Poster: MeditateOrDie Date: May 23, 2017 7:31am

Forum: forums Subject: Re: Cannot download an archived file

Poster: MeditateOrDie Date: May 4, 2017 9:55pm

Forum: forums Subject: Re: Cannot download an archived file

Poster: Varti Date: May 5, 2017 2:56pm

Forum: forums Subject: Re: Cannot download an archived file