Page tree
Skip to end of metadata
Go to start of metadata

Оперативное обновление 1.7.2 представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.7), далее по тексту - Astra Linux.

Данное обновление содержит:

  • обновления (изменения) репозитория установочного диска (основного репозитория - main);
  • обновленный базовый репозиторий (base);
  • обновленный расширенный репозиторий (extended);
  • изменения в эксплуатационную документацию.

Перечень уязвимостей, закрываемых обновлением, предоставляется после соответствующего обращения на портале технической поддержки.

Оглавление




Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление базового репозитория (base).

Базовый репозиторий (base) также содержит пакеты основного репозитория (main), размещенного на установочном диске. В связи с этим при обновлении базового репозитория будут обновлены и пакеты основного репозитория.

Общая информация

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

Внимание!

После успешной установки обновления (в том числе, после установки обновления базового репозитория) проверка целостности программных пакетов установочного диска (основного репозитория - main) осуществляется утилитой fly-admin-int-check с применением файла gostsums.txt, расположенного в корневом каталоге образа диска обновления repository-update.iso.

Внимание!

В случае применения (установки) оперативного обновления необходимо указать номер применяемого бюллетеня в разделе формуляра экземпляра Astra Linux (например, в разделе «Сведения о бюллетенях») или же в паспорте средства вычислительной техники, функционирующего под управлением Astra Linux. 

Порядок установки обновления

Подготовка к установке обновления

Перед установкой обновлений:

Внимание

В системах с включенным механизмом мандатного контроля целостности обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.


Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

df -h /boot
Для установки настоящего обновления требуется не менее 75 Мбайт. Если размер свободного пространства на дисковом разделе /boot недостаточен, то следует увеличить размер дискового раздела /boot (рекомендуется не менее 512Мбайт).

См. статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Если подключены интернет-репозитории Astra Linux, то оперативное обновление устанавливается командами:

sudo apt update

sudo astra-update -A -r

Информация об альтернативных способах установки оперативного обновления представлена ниже.

Установка обновления основного репозитория (main) с использованием образа диска с обновлением

Загрузка и проверка образа диска с обновлением

  1. Скачать образ диска с обновлением с помощью веб-браузера по следующей ссылке:
    https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso
    либо выполнив команду: 

    wget https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso

  2. Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:
    • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

      gostsum -d /mnt/repository-update.iso

      Контрольная сумма:

      270fd0c3895687e97fa5e7bebe2d866cffdc19e8befb911c3956dc6b58979716

    • проверка отсоединенной электронной подписи ISO-образа посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
      Порядок проверки:
      1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" с помощью веб-браузера по следующей ссылке:
        https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso.sig
        либо выполнив команду: 

        wget https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso.sig

      2. загруженную электронную подпись поместить в каталог /mnt на обновляемой системе,
      3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/amd64/cryptcp -verify -detached repository-update.iso repository-update.iso.sig -f repository-update.iso.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

         Подпись проверена.
        [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

sudo astra-update -A -r

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальной копии образа диска с обновлением

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий образа установочного диска и образа диска с обновлением. Образы дисков могут быть сохранены как локальные файлы, или размещены на подключаемом съемном носителе. Установка обновления в таком случае может быть выполнена командой:

sudo astra-update -A /mnt/<имя_образа_установочного_диска> /mnt/repository-update.iso

В приведенном примере предполагается, что образы дисков скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Установка обновления основного репозитория (main) с использованием зафиксированной ветки интернет-репозитория Astra Linux

  1. Подключить интернет-репозиторий Astra Linux, для этого:

    1. для использования сетевых репозиториев, работающих по протоколу HTTPS, установить пакеты apt-transport-https и ca-certificates командой: 

      sudo apt install apt-transport-https ca-certificates

      Кроме того, для подключения интернет-репозиториев Astra Linux можно использовать протокол HTTP.

    2. в файле /etc/apt/sources.list добавить (раскомментировать) строку:

      • при использовании протокола HTTPS

        deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-main/ 1.7_x86-64 main contrib non-free
        deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-update/ 1.7_x86-64 main contrib non-free 
      • при использовании протокола HTTP 

        deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-main/ 1.7_x86-64 main contrib non-free
        deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-update/ 1.7_x86-64 main contrib non-free 
  2. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 

    sudo apt update

  3. Установить обновление, выполнив команду: 

    sudo astra-update -A -r

Установка обновления базового репозитория (base)

С использованием зафиксированной ветки интернет-репозитория Astra Linux

  1. Подключить интернет-репозиторий Astra Linux, для этого:

    1. для использования сетевых репозиториев, работающих по протоколу HTTPS, установить пакеты apt-transport-https и ca-certificates командой: 

      sudo apt install apt-transport-https ca-certificates

      Кроме того, для подключения интернет-репозиториев Astra Linux можно использовать протокол HTTP.

    2. в файле /etc/apt/sources.list добавить (раскомментировать) строку:

      • при использовании протокола HTTPS

        deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-base/ 1.7_x86-64 main contrib non-free
        
      • при использовании протокола HTTP 

        deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-base/ 1.7_x86-64 main contrib non-free
        
  2. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 

    sudo apt update

  3. Установить обновление, выполнив команду: 

    sudo astra-update -A -r -T

С использованием tar-архива обновленного базового репозитория (base)


Ссылка на tar-архив обновленного базового репозитория предоставляется в личном кабинете пользователя.
  1. Скачать tar-архив обновленного базового репозитория по ссылке, представленной в личном кабинете.

  2. Загруженный tar-архив поместить в каталог /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:

    • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

      gostsum /mnt/base-1.7.2-11.08.2022_15.28.tgz

      Контрольная сумма:

      3e2695de55b85d5d75c31f4df2fa479068bc6e09264990fcec4e6ec7944225a1

    • проверка отсоединенной электронной подписи ISO-образа посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
      Порядок проверки:
      1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" по ссылке, представленной в личном кабинете,

      2. загруженный файл электронной подписи поместить в каталог /mnt на обновляемой системе,

      3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/amd64/cryptcp -verify -detached base-1.7.2-11.08.2022_15.28.tgz base-1.7.2-11.08.2022_15.28.tgz.sig -f base-1.7.2-11.08.2022_15.28.tgz.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

         Подпись проверена.
        [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

  3. Перейти в каталог с tar-архивом обновленного базового репозитория.

  4. Распаковать tar-архив, например, в каталог /srv/base-repository:

    sudo mkdir /srv/base-repository

    sudo tar zxvf base-1.7.2-11.08.2022_15.28.tgz -C /srv/base-repository/

    Если предполагается устанавливать обновление на компьютеры не используя сетевой репозиторий, то распаковать архив можно сразу на съемный носитель, и далее установку выполнять с этого носителя.

    Распакованный базовый репозиторий имеет размер порядка 13 Гбайт.

  5. Полученный в результате распаковки архива каталог /srv/base-repository/ подключить в качестве репозитория в соответствии с принятыми правилами использования репозиториев (см. Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов). Для архива, распакованного в указанный локальный каталог, строка описания репозитория выглядит следующим образом:

    deb file:/srv/base-repository/ 1.7_x86-64  main contrib non-free

    Если в качестве источников пакетов указан оптический установочный диск, строка вида:

    deb cdrom:[<наименование_установочного_диска>]/ 1.7_x86-64 contrib main non-free

    то эту строку необходимо закомментировать (установить символ "#" в начале строки).

  6. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 

    sudo apt update

  7. Установить обновление, выполнив команду: 

    sudo astra-update -A -r -T

Завершение установки обновления

После выполнения обновления перезагрузить систему.

Действия после установки обновления

Описанные ниже действия не обязательны и выполняются по необходимости.


Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата необходимо выполнить после установки пакета ca-certificates-local и для каждого пользователя.

Добавление корневого сертификата в Firefox

  1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
  2. В адресную строку ввести "about:preferences" и нажать клавишу <Enter>.
  3. На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
  4. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать...].
  5. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
  6. В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
  7. В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

Чтобы проверить наличие сертификата удостоверяющего центра Минцифры России, необходимо снова в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов]. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и удостовериться в наличии строк:

The Ministry of Digital Development and Communications
	Russian Trusted Root CA

Добавление корневого сертификата в Chromium

  1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
  2. В адресную строку ввести "chrome://settings/certificates" и нажать клавишу <Enter>.
  3. На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
  4. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
  5. В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

После успешного добавления корневого сертификата на странице Настроить сертификаты во вкладке Центры сертификации появятся следующие строки:

org-The Ministry of Digital Development and Communications
	Russian Trusted Root CA


Установка программы «Центр уведомлений»

Начиная с оперативного обновления 1.7.1 в Astra Linux добавлена программа «Центр уведомлений» (пакет fly-notifications), реализующая вывод сообщений для пользователя на рабочем столе.

Для установки программы «Центр уведомлений» необходимо выполнить команду:

sudo apt install fly-notifications
Во время выполнения этой команды сервис qtnotifydaemon будет автоматически удален.

  • No labels