¶ Задание

2. Выполните настройку центра сертификации на базе HQ-SRV:

• Необходимо использовать отечественные алгоритмы шифрования
• Сертификаты выдаются на 30дней
• Обеспечьте доверие сертификату для HQ-CLI
• Выдайте сертификаты веб серверам
• Перенастройте ранее настроенный реверсивный прокси nginx на протокол https
• При обращении к веб серверам https://web.au-team.irpo и https://docker.au-team.irpo у браузера клиента не должно возникать предупреждений.

¶ Реализация

¶ Первоначальная настройка

GOST Engine — модуль для OpenSSL, реализующий поддержку российских криптографических алгоритмов в соответствии с ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 и другими стандартами.

Пакет openssl-gost-engine, по умолчанию предустановлен в РЕД ОС.

Виртуальная машина HQ-SRV

Устанавливаем необходимые пакеты если они не установлены.

# dnf install openssl-gost-engine

Включаем поддержку алгоритмов шифрования ГОСТ:

# openssl-switch-config gost

Проверяем используемую в системе политику шифрования:

# update-crypto-policies --show

Применяем модуль политики, определяющий используемые методы шифрования ГОСТ:

# update-crypto-policies --set LEGACY:GOST

Проверяем, видит ли OpenSSL алгоритмы ГОСТ:

# openssl ciphers | tr ":" "\n" | grep GOST

¶ Создание корневого УЦ (Удостоверяющий Центр)

Создаем директорию са в домашнем каталоге пользователя sshuser

$ mkdir ca && cd ca

Создаём закрытый ключ ca.key с алгоритмом ГОСТ-2012:

$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out ca.key

Создаём сертификат ca.crt на 30 дней:

$ openssl req -new -x509 -md_gost12_256 -days 30 -key ca.key -out ca.crt

В результате сформируются закрытый ключ са.key и сам сертификат са.crt

Проверяем

# ls -l /ca

Проверка сертификата ca.crt

$ openssl x509 -noout -text -in ca.crt

¶ Создание ключей для web.au-team.irpo и docker.au-team.irpo

web.au-team.irpo

Создание закрытого ключа для ```web.au-team.irpo``

$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out web.key

Создаём запросc на подпись УЦ

$ openssl req -new  -md_gost12_256 -key web.key -out web.csr

Подписываем запрос в УЦ

$ openssl x509 -req -in web.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out web.cer -days 30

docker.au-team.irpo

Создание закрытого ключа для docker.au-team.irpo

$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out docker.key

Создаём запросc на подпись УЦ

$ openssl req -new  -md_gost12_256 -key docker.key -out docker.csr

Подписываем запрос в УЦ

$ openssl x509 -req -in docker.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out docker.cer -days 30

Получаем

Передаем web.cer web.key docker.cer docker.key на ISP

scp web.key web.cer docker.key docker.cer user@172.16.1.1:/home/user

Виртуальная машина ISP

Устанавливаем необходимые пакеты если они не установлены

# dnf install openssl-gost-engine

Включаем поддержку алгоритмов шифрования ГОСТ:

# openssl-switch-config gost

Проверяем используемую в системе политику шифрования:

# update-crypto-policies --show

Применяем модуль политики, определяющий используемые методы шифрования ГОСТ:

# update-crypto-policies --set LEGACY:GOST

Проверяем, видит ли OpenSSL алгоритмы ГОСТ:

# openssl ciphers | tr ":" "\n" | grep GOST

Создаём каталог /etc/nginx/ssl и копируем туда файлы web.cer web.key docker.cer docker.key:

# mkdir /etc/nginx/ssl

# cp /home/user/web.cer  /etc/nginx/ssl/

# cp /home/user/web.key  /etc/nginx/ssl/

# cp /home/user/docker.cer  /etc/nginx/ssl/

# cp /home/user/docker.key  /etc/nginx/ssl/

Устанавливаем права на web.key docker.key

# chmod 777 /etc/nginx/ssl/web.key

# chmod 777 /etc/nginx/ssl/docker.key

Правим файл конфигурации /etc/nginx/nginx.conf

Добавляем строки

server {
    listen 443 ssl;
    server_name web.au-team.irpo;

        ssl_certificate /etc/nginx/ssl/web.cer;
        ssl_certificate_key /etc/nginx/ssl/web.key;
        ssl_ciphers GOST2012-GOST8912-GOST8912:HIGH:MEDIUM;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers  on;

    location / {
        proxy_pass http://172.16.1.2:8080;
        auth_basic "Restricted area";
        auth_basic_user_file /etc/nginx/.htpasswd;
    }
}

server {
    listen 443 ssl;
    server_name docker.au-team.irpo;

        ssl_certificate /etc/nginx/ssl/web.cer;
        ssl_certificate_key /etc/nginx/ssl/web.key;
        ssl_ciphers GOST2012-GOST8912-GOST8912:HIGH:MEDIUM;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers  on;

    location / {
        proxy_pass http://172.16.2.2:8080;
    }
}

Проверяем наличие ошибок:

# nginx -t

Перезапускаем службу nginx:

# systemctl restart nginx

Виртуальная машина HQ-SRV

Передаём на HQ-CLI корневой сертификат ca.crt УЦ:

$ scp ca.crt user@192.168.200.3:/home/user

Виртуальная машина HQ-CLI

Устанавливаем необходимые пакеты если они не установлены

# dnf install openssl-gost-engine

Включаем поддержку алгоритмов шифрования ГОСТ:

# openssl-switch-config gost

Проверяем используемую в системе политику шифрования:

# update-crypto-policies --show

Применяем модуль политики, определяющий используемые методы шифрования ГОСТ:

# update-crypto-policies --set LEGACY:GOST

Проверяем, видит ли OpenSSL алгоритмы ГОСТ:

# openssl ciphers | tr ":" "\n" | grep GOST

Копируем корневой сертификат в /etc/pki/ca-trust/source/anchors/

# cp /home/user/ca.crt  /etc/pki/ca-trust/source/anchors/

Обновляем общесистемный список доверенных CA

# update-ca-trust

Выводим список доверенных сертификатов

# trust list | grep –i “AU-Team”

¶ Установка КриптоПро CSP

Виртуальная машина HQ-CLI

На HQ-CLI переходим на сайт https://cryptopro.ru/products/csp

Регистрируемся и скачиваем КриптоПро CSP с 90-дневной лицензией

Переходим в директорию Загрузки:

# cd /home/user/Загрузки

Распаковываем архив:

# tar –xzf linux-amd64.tgz

Переходим в директорию с распакованным архивом:

# cd linux-amd64

Запускаем скрипт установки:

# ./install_gui.sh

Жмем Далее

Выбираем необходимые пакеты для установки:

Жмем Установить

Жмем ОК

Используем пробную версию

Жмем Выход

Проверяем доступность web.au-team.irpo и docker.au-team.irpo по https

Если браузеры были запущены во время установки Коревого сертификата и КриптоПро CSP перезапускаем браузер.