Вы просматриваете старую версию данной страницы. Смотрите текущую версию.

Сравнить с текущим просмотр истории страницы

« Предыдущий Версия 73 Следующий »

Общая информация

Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.7), далее по тексту - Astra Linux.

Данное обновление содержит:

Предыдущая версия базового репозитория: https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.0/repository-base/
Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление базового репозитория (base).

Базовый репозиторий (base) также содержит пакеты основного репозитория (main), размещённого на установочном диске. В связи с этим при обновлении базового репозитория будут обновлены и пакеты основного репозитория.

Контроль целостности пакетов, обновлённых при установке базового репозитория, в том числе и пакетов репозитория установочного диска (основного репозитория - main) осуществляется с применением файла repository-gostsums.txt, размещённого в корневом каталоге обновленного базового репозитория (base):

Файл repository-gostsums.txt также доступен для скачивания по ссылке:

https://download.astralinux.ru/astra/stable/1.7_x86-64/repository-base/repository-gostsums.txt

Порядок установки обновления

Подготовка к установке обновления

Перед установкой обновлений:

Внимание

В системах с уровнем защищенности «Усиленный» (Воронеж) или «Максимальный» (Смоленск):

  • Обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности;
  • На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. Это может быть сделано с помощью инструментов fly-astra-update/astra-update или командой:

    sudo astra-nochmodx-lock disable

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

df -H /boot

Для установки настоящего обновления требуется не менее 75 МБ. Если размер свободного пространства на дисковом разделе /boot недостаточен, то рекомендуется:

  1. Либо увеличить размер дискового раздела /boot (рекомендуется не менее 512МБ).

  2. Либо, если увеличить размер дискового раздела /boot не представляется возможным, удалить неиспользуемое ядро (ядра). Подробнее — см. раздел Удаление неиспользуемых пакетов после обновления ядра.

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Установка обновления основного репозитория (main)

Загрузка и проверка образа диска с обновлением

Образ диска с обновлением основного репозитория (далее по тексту — образ диска с обновлением) доступен для скачивания по ссылке:

https://dl.astralinux.ru/astra/stable/1.7_x86-64/iso/2021-1126SE17.iso

Загруженный образ диска с обновлением поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной сумме, представленной ниже. Для получения контрольной суммы выполнить команду:

gostsum -d /mnt/2021-1126SE17.iso

Контрольная сумма:

 61a11bb384777b676df7fa2142e1cf264d3e984a58bfe1783f22406f75981268

Образ диска с обновлением подписан усиленной квалифицированной электронной подписью ООО "РусБИТех-Астра":

https://dl.astralinux.ru/astra/stable/1.7_x86-64/iso/2021-1126SE17.iso.sig.

Для проверки подписи (см. КриптоПро и сервис электронной подписи fly-csp) необходимо добавить в локальное хранилище сертификаты головного удостоверяющего центра и списки отозванных сертификатов, доступные по ссылке:
https://zgt.mil.ru/Udostoveryayushchij-centr/Kornevye-i-otozvannye-sertifikaty

Управление сертификатами описано в статье Работа с КриптоПро CSP.

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

sudo astra-update -A -r

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальной копии образа диска с обновлением

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий образа установочного диска и образа диска с обновлением. Образы дисков могут быть сохранены как локальные файлы, или размещены на подключаемом съемном носителе. Установка обновления в таком случае может быть выполнена командой:

sudo astra-update -A /mnt/<имя_образа_установочного_диска> /mnt/2021-1126SE17.iso

В приведенном примере предполагается, что образы дисков скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.


Установка обновления базового репозитория (base)

Для обновления базового репозитория требуется подключение к сети Интернет.

  1. Для использования сетевых репозиториев, работающих по протоколу HTTPS требуется чтобы в системе были установлены пакеты apt-transport-https и ca-certificates, обеспечивающие возможность загрузки пакетов с использованием этого протокола. Для установки этих пакетов можно воспользоваться следующей командой: 

    sudo apt install apt-transport-https ca-certificates
    Кроме того, для этой цели можно использовать протокол HTTP.

  2. В файле /etc/apt/sources.list добавить следующую строку:

    deb https://download.astralinux.ru/astra/stable/1.7_x86-64/repository-base/ 1.7_x86-64 main contrib non-free
    
  3. Обновить списки пакетов командой:

    sudo apt update

  4. После подключения обновлённого базового репозитория (base), обновление может быть установлено одной из следующих команд:

    • sudo astra-update -A -r

    • sudo apt dist-upgrade

Завершение установки обновления

После выполнения обновления перезагрузить систему.

Внимание

После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsums.txt, расположенного в корневом каталоге диска обновлённого основного репозитория (main) или с помощью файла repository-gostsums.txt в корневом каталоге обновленного базового репозитория (base).

Действия после установки обновления

Подключение обновлённого основного репозитория (main)

На компьютерах с доступом к сети Интернет

  1. Для использования сетевых репозиториев, работающих по протоколу HTTPS требуется чтобы в системе были установлены пакеты apt-transport-https и ca-certificates, обеспечивающие возможность загрузки пакетов с использованием этого протокола. Для установки этих пакетов можно воспользоваться следующей командой: 

    sudo apt install apt-transport-https ca-certificates
    Кроме того, для этой цели можно использовать протокол HTTP.

  2. В файле /etc/apt/sources.list раскомментировать следующие строки:

    deb https://download.astralinux.ru/astra/stable/1.7_x86-64/repository-main/ 1.7_x86-64 main contrib non-free
    deb https://download.astralinux.ru/astra/stable/1.7_x86-64/repository-update/ 1.7_x86-64 main contrib non-free
  3. Обновить списки пакетов командой:

    sudo apt update

На компьютерах без доступа к сети интернет

Подключение обновлённого основного репозитория осуществляется в соответствии с инструкцией, представленной на странице Создание локальных и сетевых репозиториев.

Установка ядра linux-5.10

После выполнения настоящего обновления при необходимости можно установить ядро linux-5.10. Для этого следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления): 

sudo apt install linux-5.10

После завершения установки ядра будет автоматически обновлен загрузчик Grub. 

Для того чтобы изменения вступили в силу, необходимо перезагрузить компьютер. 


Удаление неиспользуемых пакетов после обновления ядра

После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:

uname -r

Пример вывода после выполнения команды:

5.10.0-1045-generic

Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:

dpkg -l | awk '/linux-image/ {print $1,$2}'
Пример вывода после выполнения команды:

ii linux-image-5.10-generic
ii linux-image-5.10-hardened
ii linux-image-5.10.0-1045-generic
ii linux-image-5.10.0-1045-hardened
ii linux-image-5.4-generic
ii linux-image-5.4.0-54-generic
ii linux-image-5.4.0-81-generic

В первом столбце отображается состояние пакета, может принимать следующие значения:

  • «rc» — пакет был установлен, но уже удален;
  • «ii» — пакет на текущий момент установлен.

Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):

#!/bin/bash

set -e

# Перечень пакетов, дальнейшее использование которых не планируется.
pkgs="linux-image-5.4.0-54-generic \
linux-image-5.4.0-81-generic "

# Проверка строки и запуск удаления пакетов.
# Для удаления пакета и всех связанных с ним 
# конфигурационных файлов необходимо использовать команду apt purge.
[ -n "$pkgs" ] && apt remove $pkgs

#обновление конфигурационного файла Grub.
update-grub2  

Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.

Установка программы «Центр уведомлений»

Программа «Центр уведомлений» позволяет просматривать и управлять уведомлениями на рабочем столе. Для установки этой программы необходимо выполнить команду:

sudo apt install fly-notifications
Во время выполнения этой команды пакет qtnotifydaemon будет автоматически удален.

  • Нет меток