Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
Solaris обновление с 3.6 до 4.0 - Обновление версии с сохранением настроек
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline 303.303  
#1 Оставлено : 21 февраля 2019 г. 9:50:12(UTC)
303.303

Статус: Новичок

Группы: Участники
Зарегистрирован: 20.02.2019(UTC)
Сообщений: 5
Российская Федерация
Откуда: Москва
Приветствую!

Есть задача обновить на сервере под управление ОС Solaris установленный КриптоПро с версии 3.6 до 4.0.
В pdf документации написано, что обновление происходит довольно просто. Удалить старые пакеты, поставить новые и всё.
Вот цитата из мануала, глава 3.
Цитата:
Для обновления СКЗИ на ОС Solaris необходимо:
 запомнить текущую конфигурацию CSP:
 набор установленных пакетов;
 настройки провайдера (для простоты можно сохранить /etc/opt/cprocsp/config[64].ini);
 удалить штатными средствами ОС все пакеты СКЗИ;
 установить аналогичные новые пакеты СКЗИ;
 при необходимости внести изменения в настройки (можно посмотреть diff старого и нового config[64].ini);
 ключи и сертификаты сохраняются автоматически.


Всё так и сделали, за исключением правки config64.ini. Не очень понятно, что именно надо оттуда переносить. Сравнивали два конфига, они конечно отличаются, но не сильно. И возможно различие связано с тем, что добавились новые ГОСТы. Какая секция в config64.ini отвечает именно за пользовательские настройки, которые надо перенести?
Ключи сохранились, вернее контейнеры с ключами и хранилище сертификатов вроде на месте, но привязка сертификата к ключу нарушилась.
Цитата:
> /opt/cprocsp/bin/sparcv9/certmgr -list -verbose
...
PrivateKey Link : No
...

Мы экспортировали сертификат из файла коммандой
Цитата:
> /opt/cprocsp/bin/sparcv9/certmgr -inst -ask-cont -file testorg.cer

Но как же всё-таки надо было сделать обновление правильно?
Может быть как-то выгрузить сначала всё перед переустановкой, а потом опять загрузить? Или выполнить csptestf -absorb -certs после обновления?
Но для этого сертификаты должны быть в контейнере, а как узнать есть они там или нет?
Предстоит обновить ещё несколько систем, хочется сделать всё как надо :)
Вверх

Wanna join the discussion?! Login to your Форум КриптоПро forum account, or Register a new forum account.
Вверх  
Offline 303.303  
#2 Оставлено : 12 марта 2019 г. 14:15:07(UTC)
303.303

Статус: Новичок

Группы: Участники
Зарегистрирован: 20.02.2019(UTC)
Сообщений: 5
Российская Федерация
Откуда: Москва
Добрый день!

Сегодня обновляли очередной сервер, следующий по счёту.
Начитавшись других тем и так как других предложений не поступало, сделали после удаления 3.6 и установки 4.0 "csptestf -absorb -certs" , но это не помогло.
Ниже вывод... может у кого-то есть идеи как делать обновление правильно?
Цитата:

> /opt/cprocsp/bin/sparcv9/csptest -keys -enum -verifyc -fqcn -uniq
CSP (Type:80) v4.0.9019 KC1 Release Ver:4.0.9963 OS:Solaris CPU:SPARC64 FastCode:NoHardwareSupport.
AcquireContext: OK. HCRYPTPROV: 4298379011
\\.\HDIMAGE\01112019.000 |\\.\HDIMAGE\HDIMAGE\\01112019.000\84CE
\\.\HDIMAGE\DFS_TAXNET |\\.\HDIMAGE\HDIMAGE\\DFSrTAXN.000\CDE1
\\.\HDIMAGE\14470259@2017-10-12-- Copy |\\.\HDIMAGE\HDIMAGE\\14470259.000\3BFE
\\.\HDIMAGE\18081908.000 |\\.\HDIMAGE\HDIMAGE\\18081908.000\8900
\\.\HDIMAGE\test_2018 |\\.\HDIMAGE\HDIMAGE\\testr201.000\7324
\\.\HDIMAGE\P------MV |\\.\HDIMAGE\HDIMAGE\\P------M.000\3919
\\.\HDIMAGE\04792193@2016-11-10- \\.\HDIMAGE\HDIMAGE\\04792193.000\B902
OK.
Total: SYS: 0.030 sec USR: 0.070 sec UTC: 0.160 sec
[ErrorCode: 0x00000000]

> /opt/cprocsp/bin/sparcv9/certmgr -list
Certmgr 1.1 (c) "Crypto-Pro", 2007-2018.
program for managing certificates, CRLs and stores

=============================================================================
1-------
...
Not valid before : 16/08/2018 09:01:00 UTC
Not valid after : 16/08/2019 09:11:00 UTC
PrivateKey Link : No
...
2-------
...
Not valid before : 01/11/2018 06:50:32 UTC
Not valid after : 01/11/2019 07:00:32 UTC
PrivateKey Link : No
...
=============================================================================

[ErrorCode: 0x00000000]

> /opt/cprocsp/bin/sparcv9/csptestf -absorb -certs
Match: HDIMAGE\\01112019.000\84CE
No cert for AT_KEYEXCHANGE key
Match: HDIMAGE\\DFSrTAXN.000\CDE1
No cert for AT_KEYEXCHANGE key
Match: HDIMAGE\\14470259.000\3BFE
Match: HDIMAGE\\18081908.000\8900
No cert for AT_KEYEXCHANGE key
Match: HDIMAGE\\testr201.000\7324
No cert for AT_KEYEXCHANGE key
Match: HDIMAGE\\P------M.000\3919
Match: HDIMAGE\\04792193.000\B902
OK.
Total: SYS: 0.040 sec USR: 0.090 sec UTC: 0.240 sec
[ErrorCode: 0x00000000]

> /opt/cprocsp/bin/sparcv9/certmgr -list
Certmgr 1.1 (c) "Crypto-Pro", 2007-2018.
program for managing certificates, CRLs and stores

=============================================================================
1-------
...
Not valid before : 10/11/2016 07:12:00 UTC
Not valid after : 10/11/2017 07:13:00 UTC
PrivateKey Link : Yes
Container : HDIMAGE\\04792193.000\B902
Provider Name : Crypto-Pro GOST R 34.10-2012 KC1 CSP
Provider Info : ProvType: 80, KeySpec: 1, Flags: 0x0
...
2-------
...
Not valid before : 12/10/2017 08:08:01 UTC
Not valid after : 12/10/2018 08:18:01 UTC
PrivateKey Link : Yes
Container : HDIMAGE\\P------M.000\3919
Provider Name : Crypto-Pro GOST R 34.10-2012 KC1 CSP
Provider Info : ProvType: 80, KeySpec: 1, Flags: 0x0
...
3-------
...
Not valid before : 16/08/2018 09:01:00 UTC
Not valid after : 16/08/2019 09:11:00 UTC
PrivateKey Link : No
...
4-------
...
Not valid before : 01/11/2018 06:50:32 UTC
Not valid after : 01/11/2019 07:00:32 UTC
PrivateKey Link : No
...
=============================================================================

[ErrorCode: 0x00000000]

Отредактировано пользователем 12 марта 2019 г. 14:16:25(UTC)  | Причина: Не указана
Вверх
Offline Русев Андрей  
#3 Оставлено : 12 марта 2019 г. 20:54:46(UTC)
Русев Андрей

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 16.04.2008(UTC)
Сообщений: 1,272

Сказал(а) «Спасибо»: 22 раз
Поблагодарили: 446 раз в 325 постах
У хранилищ менялся формат, но postinstall-скрипт пакета capilite должен был их сконвертировать в новый формат. Можете скинуть my.sto из /var/opt/cprocsp...
Официальная техподдержка. Официальная база знаний.
Вверх
Offline 303.303  
#4 Оставлено : 13 марта 2019 г. 12:13:56(UTC)
303.303

Статус: Новичок

Группы: Участники
Зарегистрирован: 20.02.2019(UTC)
Сообщений: 5
Российская Федерация
Откуда: Москва
Скинуть my.sto в почту?

вот лог установки пакета capilite

Цитата:
bash-3.2# pkgadd -d . CPROcplx

Processing package instance <CPROcplx> from </export/home/eavadm>

CSP CryptoAPI lite (64 bit)(sparc) 4.0.9963,REV=2018.11.23.07.00
CRYPTO-PRO LLC
## Processing package information.
## Processing system information.
## Verifying package dependencies.
## Verifying disk space requirements.
## Checking for conflicts with packages already installed.
## Checking for setuid/setgid programs.

This package contains scripts which will be executed with super-user
permission during the process of installing this package.

Do you want to continue with the installation of <CPROcplx> [y,n,?] y

Installing CSP CryptoAPI lite (64 bit) as <CPROcplx>

## Executing preinstall script.
## Installing part 1 of 1.
/opt/cprocsp/bin/sparcv9/certmgr
/opt/cprocsp/bin/sparcv9/cryptcp
/opt/cprocsp/bin/sparcv9/csptest <symbolic link>
/opt/cprocsp/bin/sparcv9/csptestf
/opt/cprocsp/bin/sparcv9/der2xer
/opt/cprocsp/bin/sparcv9/inittst
/opt/cprocsp/lib/hashes/CPROcplx
/opt/cprocsp/lib/sparcv9/libcapi20.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libcapi20.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libcapi20.so.4.0.4
/opt/cprocsp/lib/sparcv9/libcpasn1.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libcpasn1.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libcpasn1.so.4.0.4
/opt/cprocsp/lib/sparcv9/libcpext.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libcpext.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libcpext.so.4.0.4
/opt/cprocsp/lib/sparcv9/libcplib.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libcplib.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libcplib.so.4.0.4
/opt/cprocsp/lib/sparcv9/libenroll.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libenroll.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libenroll.so.4.0.4
/opt/cprocsp/lib/sparcv9/libssp.so <symbolic link>
/opt/cprocsp/lib/sparcv9/libssp.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/libssp.so.4.0.4
/opt/cprocsp/lib/sparcv9/liburlretrieve.so <symbolic link>
/opt/cprocsp/lib/sparcv9/liburlretrieve.so.4 <symbolic link>
/opt/cprocsp/lib/sparcv9/liburlretrieve.so.4.0.4
[ verifying class <none> ]
## Executing postinstall script.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.
Failed to acquire context
Provider type not defined.

Installation of <CPROcplx> was successful.


Похоже, что действительно дело в постинстал скрипте...
Установка запускалась от рута, ключи пользовательские. Может быть в этом дело? Запустить под пользователем
Цитата:
/opt/cprocsp/bin/sparcv9/certmgr -updatestore -crl -file my.sto
?
Вверх
Offline Русев Андрей  
#5 Оставлено : 13 марта 2019 г. 14:10:03(UTC)
Русев Андрей

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 16.04.2008(UTC)
Сообщений: 1,272

Сказал(а) «Спасибо»: 22 раз
Поблагодарили: 446 раз в 325 постах
К сожалению, на Solaris/FreeBSD не удалось так же хорошо организовать зависимости между пакетами, как на Linux. Поэтому верным помощником должен быть install.sh. Суть в том, что перед установкой пакета capilite необходимо поставить хоть какой-нибудь провайдер (kc1 или kc2), тогда postinstall-скрипт сможет обработать хранилища. Но вы можете сделать это и сами, причём как с ключом -crl, так и с ключом -cert. Лучше всего прямо как в пакете:
Код:
find '/var/opt/cprocsp/users/' -name '*.sto' -type f -exec /opt/cprocsp/bin/sparcv9/certmgr -updatestore -crl -file {} \; > /dev/null
find '/var/opt/cprocsp/users/' -name '*.sto' -type f -exec /opt/cprocsp/bin/sparcv9/certmgr -updatestore -cert -file {} \; > /dev/null
Официальная техподдержка. Официальная база знаний.
Вверх
Offline 303.303  
#6 Оставлено : 29 марта 2019 г. 14:36:03(UTC)
303.303

Статус: Новичок

Группы: Участники
Зарегистрирован: 20.02.2019(UTC)
Сообщений: 5
Российская Федерация
Откуда: Москва
Спасибо, помогло.
Ориентировались на руководство ЖТЯИ.00087-01 91 05 , но там указана не правильная последовательность.
Страница 6, Таблица 1 - зависимостЬ и назначения пакетов

Правильная последовательность, вдруг кому пригодится:
CPRObase
CPROrdrx
CPROkc1x
CPROcplx
Вверх
Offline Русев Андрей  
#7 Оставлено : 29 марта 2019 г. 16:01:42(UTC)
Русев Андрей

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 16.04.2008(UTC)
Сообщений: 1,272

Сказал(а) «Спасибо»: 22 раз
Поблагодарили: 446 раз в 325 постах
Отлично. Документацию поправим, спасибо за наводку.
Официальная техподдержка. Официальная база знаний.
Вверх
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2024, Yet Another Forum.NET