Page tree
Skip to end of metadata
Go to start of metadata

Общая информация

Оперативное обновление 1.6.11 представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux.

Данное обновление содержит:

  • обновления (изменения) пакетов установочного диска;
  • обновления (изменения) пакетов диска со средствами разработки.

Перечень уязвимостей, закрываемых обновлением, предоставляется после соответствующего обращения пользователя на портал технической поддержки.

Внимание!

В случае применения оперативного обновления необходимо указать номер применяемого бюллетеня в разделе формуляра экземпляра Astra Linux (например, в разделе «Сведения о бюллетенях») или же в паспорте средства вычислительной техники, функционирующего под управлением Astra Linux.

Внимание!

После успешной установки обновления проверка целостности программных пакетов установочного диска осуществляется утилитой fly-admin-int-check с применением файла gostsums.txt, расположенного в корневом каталоге образа диска обновления пакетов установочного диска repository-update-bin.iso.

Оглавление

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо дополнительно выполнить обновление пакетов диска со средствами разработки (имя файла с образом диска repository-update-dev.iso).


Порядок установки обновления

Подготовка к установке обновления

Перед установкой обновлений:

Внимание!

Обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

df -h /boot
Для установки настоящего обновления требуется не менее 100 МБ. Если размер свободного пространства на дисковом разделе /boot недостаточен, то следует увеличить размер дискового раздела /boot (рекомендуется не менее 512МБ).

См. статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Если подключены интернет-репозитории Astra Linux, а также установлены инструменты fly-astra-update и astra-update, то оперативное обновление устанавливается командами:

sudo apt update

sudo astra-update -A -r

Информация об альтернативных способах установки оперативного обновления представлена ниже.

Загрузка и проверка образа диска с обновлением пакетов установочного диска

  1. Скачать образ диска с обновлением пакетов установочного диска с помощью веб-браузера по следующей ссылке:
    https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-bin.iso
    либо выполнив команду: 

    wget https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-bin.iso

  2. Загруженный образ диска поместить в каталог /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:
    • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

      gostsum -d /mnt/repository-update-bin.iso

      Контрольная сумма:

      c72be1785375e1bf1bf8c12da9ea1e8b9fac953f9ccbcc6332aacca3162b5553

    • проверка отсоединенной электронной подписи образ диска посредством ПО КриптоПро CSP.
      Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
      Порядок проверки:
      1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" с помощью веб-браузера по следующей ссылке:
        https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-bin.iso.sig
        либо выполнив команду: 

        wget https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-bin.iso.sig

      2. загруженную электронную подпись поместить в каталог /mnt на обновляемой системе,
      3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов непосредственно саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/amd64/cryptcp -verify -detached repository-update-bin.iso repository-update-bin.iso.sig -f repository-update-bin.iso.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

         Подпись проверена.
        [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

Загрузка и проверка образа диска с обновлением пакетов диска со средствами разработки

Описываемые в этом разделе действия выполняются только в том случае, если в системе используется программное обеспечение, разработанное с использованием средств разработки.
  1. Скачать образ диска с обновлением пакетов диска со средствами разработки с помощью веб-браузера по следующей ссылке:
    https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-dev.iso
    либо выполнив команду: 

    wget https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-dev.iso

  2. Загруженный образ диска поместить в каталог /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:
    • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

      gostsum -d /mnt/repository-update-dev.iso

      Контрольная сумма:

      41026349e68be9a8e0e6e5c1ad4a5015768d9c902fbad91c047ab2a262fdebe5

    • проверка отсоединенной электронной подписи образ диска посредством ПО КриптоПро CSP.
      Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
      Порядок проверки:
      1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" с помощью веб-браузера по следующей ссылке:
        https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-dev.iso.sig
        либо выполнив команду: 

        wget https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.11/iso/repository-update-dev.iso.sig

      2. загруженную электронную подпись поместить в каталог /mnt на обновляемой системе,
      3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов непосредственно саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/amd64/cryptcp -verify -detached repository-update-dev.iso repository-update-dev.iso.sig -f repository-update-bin.dev.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

         Подпись проверена.
        [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

Установка инструментов для обновления

Установка fly-astra-update/astra-update из репозитория

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением пакетов установочного диска (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list, то  установку инструментов для обновления можно выполнить следующими командами:

  • установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):

    sudo apt update
    sudo apt install fly-astra-update

  • или установка инструмента командной строки astra-update:

    sudo apt update
    sudo apt install astra-update

Установка fly-astra-update/astra-update из образа обновления

  1. Примонтировать загруженный образ обновления пакетов установочного диска, например, в каталог /media/cdrom:

    sudo mount /mnt/repository-update-bin.iso /media/cdrom

  2. Установить пакеты:
    только инструмент командной строки astra-update:

    sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
    или инструмент командной строки astra-update и графический инструмент fly-astra-update:
    sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
    sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb
    sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb

  3. Отмонтировать образ:

    sudo umount /media/cdrom

Установка обновления

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов:

  1. Обязательные репозитории:
    • установочный диск;
    • диск с обновлением пакетов установочного диска.
  2. Дополнительные репозитории:
    • диск со средствами разработки;
    • диск с обновлением пакетов диска со средствами разработки.

И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

sudo astra-update -a -r
Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

  1. Обязательные репозитории:
    • установочный диск;
    • диск с обновлением пакетов установочного диска.
  2. Дополнительные репозитории:
    • диск со средствами разработки;
    • диск с обновлением пакетов диска со средствами разработки.

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

sudo astra-update -a /mnt/<имя_образа_установочного_диска> /mnt/repository-update-bin.iso /mnt/<имя_образа_диска_со_средствами_разработки> /mnt/repository-update-dev.iso
В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.


Завершение установки обновления

После выполнения обновления перезагрузить систему.

Действия после установки обновления

Описанные ниже действия не обязательны и выполняются по необходимости.

Подключение интернет-репозиториев Astra Linux

Действия по подключению интернет-репозиториев Astra Linux описаны в статье Интернет-репозитории Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)

Если необходимо использовать предыдущие версии репозиториев, то в файле /etc/apt/sources.list необходимо удалить (закомментировать) строку с описанием текущего актуального репозитория и добавить следующую строку (при использовании протокола HTTPS):

# Основной репозиторий (установочный диск)
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.<номер_оперативного_обновления>/repository smolensk main contrib non-free
 
# Актуальное оперативное обновление основного репозитория
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.<номер_оперативного_обновления>/repository-update/ smolensk main contrib non-free
 
# Диск со средствами разработки
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.<номер_оперативного_обновления>/repository-dev/ smolensk main contrib non-free
 
# Актуальное оперативное обновление диска со средствами разработки
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.<номер_оперативного_обновления>/repository-dev-update/ smolensk main contrib non-free

Например, для Astra Linux 1.6.10 строки будут иметь вид:

deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.10/repository smolensk main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.10/repository-update/ smolensk main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.10/repository-dev/ smolensk main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.6_x86-64/1.6.10/repository-dev-update/ smolensk main contrib non-free

После добавления интернет-репозитория необходимо выполнить повторную синхронизацию файлов описаний пакетов с их источником:

sudo apt update


Добавление корневого сертификата удостоверяющего центра Минцифры России

Добавление корневого сертификата необходимо выполнить после установки пакета ca-certificates-local и для каждого пользователя.

Добавление корневого сертификата в Firefox

  1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
  2. В адресную строку ввести "about:preferences" и нажать клавишу <Enter>.
  3. На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
  4. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать...].
  5. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
  6. В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
  7. В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

Чтобы проверить наличие сертификата удостоверяющего центра Минцифры России, необходимо снова в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов]. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и удостовериться в наличии строк:

The Ministry of Digital Development and Communications
	Russian Trusted Root CA

Добавление корневого сертификата в Chromium

  1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
  2. В адресную строку ввести "chrome://settings/certificates" и нажать клавишу <Enter>.
  3. На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
  4. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
  5. В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

После успешного добавления корневого сертификата на странице Настроить сертификаты во вкладке Центры сертификации появятся следующие строки:

org-The Ministry of Digital Development and Communications
	Russian Trusted Root CA
  • No labels