Важная информация

1. Ядро Linux 5.4, представленное в срочном оперативном обновлении 4.7.8, включает изменения из релиза прошивки Baikal ARM64 SDK 2412-5.4 для процессоров Байкал-M и Байкал-S. Рекомендуемая версия прошивки (TF-A, UEFI Tianocore): SDK 2403-5.4. Версии прошивки выше SDK 2412-5.4 не поддерживаются.

   Ядро Linux 6.1, представленное в срочном оперативном обновлении 4.7.8, включает изменения из релиза прошивки Baikal ARM64 SDK 2412-6.1 для процессоров Байкал-M и Байкал-S. Рекомендуемая версия прошивки (TF-A, UEFI Tianocore): SDK 2403-6.1. Версии прошивки выше SDK 2412-6.1 не поддерживаются.

   Ядра Linux 5.10 и 5.15, представленные в настоящем обновлении, не совместимы с аппаратной платформой Байкал.

   
   

2. В системах с включенным механизмом мандатного контроля целостности обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.
3. Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях.

4. Перед установкой обновлений необходимо:

   • ознакомиться с настоящей инструкцией;
   • ознакомиться с инструкцией: fly-astra-update и astra-update - инструменты для установки обновлений.

5. При использовании устаревшего ядра linux версии 5.4 ограничено функционирование модуля контроля неизменности (целостности) и подлинности файлов (digsig_verif):

   • поддерживается только режим проверки встраиваемой подписи (параметр DIGSIG_ELF_VERIFICATION_MODE=0). Возможность изменения режима отсутствует;
   • отсутствует интерфейс внутренней архитектуры /sys/digsig/elf_verification_mode (реализует режим проверки цифровой подписи исполняемых файлов и разделяемых библиотек).

   Рекомендуется установить ядро linux версии 5.15 или 6.1

6. Начиная с оперативного обновления 4.7.5 (БЮЛЛЕТЕНЬ № 2024-0416SE47) в среде виртуализации Astra Linux применяются обновленные правила мандатного управления доступом (МРД). При использовании среды виртуализации после установки настоящего обновления необходимо выполнить дополнительные действия по добавлению пользователя в группу libvirt-admin.

Возможные варианты установки обновления

Установка обновления программного обеспечения основного репозитория (main) с использованием образа диска с обновлением

Загрузка и проверка образа диска с обновлением

1. Скачать образ диска с обновлением с помощью веб-браузера по следующей ссылке: 
   https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/iso/repository-update.iso
   либо выполнив команду: 

   wget https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/iso/repository-update.iso

   Ссылка на образ диска c обновлением также предоставляется в личном кабинете пользователя.

   
   

2. Перейти в каталог с загруженным образом диска и выполнить проверку. Возможные варианты проверки:

   • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

     gostsum -d repository-update.iso

     Контрольная сумма:

     ba1e6e0a8d8ce1173e6f3e750bf7457cecacae5d505ee89929ad917154a0d5b5

     
     

   • проверка отсоединенной электронной подписи ISO-образа посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
     Порядок проверки:

     1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" с помощью веб-браузера по по следующей ссылке:
        https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/iso/repository-update.iso.sig
        либо выполнив команду:

        wget https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/iso/repository-update.iso.sig

        Ссылка на усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" также предоставляется в личном кабинете пользователя.

        
        

     2. загруженную электронную подпись поместить в каталог с загруженным образом диска;

     3. перейти в каталог с загруженным образом диска и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/aarch64/cryptcp -verify -detached repository-update.iso repository-update.iso.sig -f repository-update.iso.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

        Подпись проверена. [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальной копии образа диска с обновлением

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий образа установочного диска и образа диска с обновлением. Образы дисков могут быть сохранены как локальные файлы, или размещены на подключаемом съемном носителе. Установка обновления в таком случае может быть выполнена командой:

В приведенном примере предполагается, что образы дисков скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Установка обновления основного репозитория (main) с использованием зафиксированной ветки интернет-репозитория Astra Linux

1. Подключить зафиксированную ветку интернет-репозитория Astra Linux, для этого в файле /etc/apt/sources.list добавить следующие строки:

   # Основной репозиторий: deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-main/ 4.7_arm <название_аппаратно_зависимого_компонента> main contrib non-free # Оперативное обновление основного репозитория: deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-update/ 4.7_arm <название_аппаратно_зависимого_компонента> main contrib non-free

    Пример для аппаратно-зависимого компонента baikal1:

   # Основной репозиторий, включая аппаратно-зависимый компонент baikal1: deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-main/ 4.7_arm baikal1 main contrib non-free # Оперативное обновление основного репозитория, включая аппаратно-зависимый компонент baikal1: deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-update/ 4.7_arm baikal1 main contrib non-free

   
   

2. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 

   sudo apt update

   
   

3. Установить обновление, выполнив команду:

   sudo astra-update -a -r -T

   
   

Установка обновления пакетов базового репозитория (base) с использованием зафиксированной ветки интернет-репозитория Astra Linux

1. Подключить зафиксированную ветку интернет-репозитория Astra Linux, для этого в файле /etc/apt/sources.list добавить следующую строку:

   deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-base/ 4.7_arm <название_аппаратно_зависимого_компонента> main contrib non-free

   Пример для аппаратно-зависимого компонента baikal1:

   deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.8/repository-base/ 4.7_arm baikal1 main contrib non-free

   
   

2. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 

   sudo apt update

3. Установить обновление, выполнив команду: 

   sudo astra-update -a -r -T

   
   

Установка обновления пакетов базового репозитория (base) с использованием образа диска обновленного базового репозитория (base)

1. Скачать образ диска обновленного базового репозитория по ссылке, представленной в личном кабинете.

2. Перейти в каталог с образом диска обновленного базового репозитория.

3. Выполнить проверку. Возможные варианты проверки:

   • проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду: 

     gostsum -d base-4.7.8.4-03.10.2025_20.52.iso

     Контрольная сумма:

     97b5d0aaec0fdf7ded1a8a461d0e436590e92c3d9de14a8639156fc6fba2fd59

     
     

   • проверка отсоединенной электронной подписи ISO-образа посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
     Порядок проверки:

     1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" по ссылке, представленной в личном кабинете;

     2. загруженный файл электронной подписи поместить в каталог с образом диска обновленного базового репозитория;

     3. перейти в каталог с образом диска обновленного базового репозитория и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):

        /opt/cprocsp/bin/aarch64/cryptcp -verify -detached base-4.7.8.4-03.10.2025_20.52.iso base-4.7.8.4-03.10.2025_20.52.iso.sig -f base-4.7.8.4-03.10.2025_20.52.iso.sig

        В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

        Сообщение вида: 

        Подпись проверена. [ErrorCode: 0x00000000]

        говорит о том, что проверка подписи завершена успешно.

4. Примонтировать образ диска обновленного базового репозитория:

   sudo mount base-4.7.8.4-03.10.2025_20.52.iso /media/cdrom/

   
   

5. Подключить примонтированный образ диска обновленного базового репозитория в качестве источников пакетов:

   sudo apt-cdrom add -m

   
   

6. Выполнить повторную синхронизацию файлов описаний пакетов с их источником: 
   

   sudo apt update

   
   

7. Установить обновление, выполнив команду: 

   sudo astra-update -a -r -T

   
   

Завершение установки обновления

Действия после установки обновления

Добавление пользователя в группу libvirt-admin

Пользователи-участники группы libvirt-admin могут  без использования sudo работать с виртуальными машинами, виртуальными сетями и хранилищами данных. До установки оперативного обновления 4.7.5 (БЮЛЛЕТЕНЬ № 2024-0416SE47) эта группа использовалась только в Astra Linux с включенным МРД (включен по умолчанию в Усиленном и Максимальном режимах защищенности). После установки обновлений, начиная с оперативного обновления 4.7.5 (БЮЛЛЕТЕНЬ № 2024-0416SE47), необходима также и при выключенном МРД. Команда для добавления пользователя в группу libvirt-admin:

См. также Виртуализация QEMU/KVM в Astra Linux