Установка белого сертификата на ферму Microsoft VDI / Хабр

Введение

Openvpn работает по схеме шифрования с открытыми ключами. Каждый участник openvpn-сети имеет открытый (public) и закрытый (private) ключ. Открытый ключ можно найти в файле-сертификате с расширением .crt. Закрытый (private) ключ лежит в файле с расширением .key.

Я несколько лет назад прочитал отличную книгу по истории криптографии, поэтому тема мне знакома и здесь разжёвывать её сейчас не буду. (Найти книгу и привести название. “Книга шифров”?) Саймон Сингх: Книга шифров: Тайная история шифров и их расшифровки.

Если кратко, то сначала сервер и клиент обмениваются своими публичными ключами. Кстати, они несекретны и могут храниться открыто. Потом обеими сторонами проводится проверка полученных ключей на предмет легитимности, то есть срок действия, проверка подписи CA, проверка в списке отозванных ключей и т.д. Если всё отлично, то начинается обмен данными:

Третья сторона, имея на руках закрытые ключи обеих сторон, может на лету просматривать закриптованный трафик. Именно поэтому закрытый ключ чрезвычайно секретен и при подозрении на его кражу, должен быть отозван.

В идеальной конфигурации, для организации openvpn-сетки необходимо минимум два сервера. Один сервер, максимально защищённый от вторжений/не подключённый к интернету, имеет роль центра сертификации (CA) и не учавствует в организации удалённого доступа.

Центр сертификации представляет собой отдельную папку на винчестере, в которой лежат:

При необходимости автоматизации выдачи ключей и сертификатов, к этой папке прикручивают web-морду (в инете я видел готовые конструкции различной степени сложности). Обычный человек изредка сталкивается с этими конструкциями, например, при работе с банк-клиентами, так как шифрование с открытыми ключами широко используется в ИТ.

В моём случае нецелесообразно организовывать отдельный сервер-CA для редких генераций сертификатов и ключей для новых openvpn-серверов и клиентов. Поэтому папку центра сертификации я храню в секретном месте и, по мере необходимости, раскрываю крипто-контейнер на свободной машине, чтобы произвести необходимые процедуры.

Устанавливаем openvpn:

# aptitude install openvpn

Теперь надо сгенерировать несколько файлов, которые позволят нам быстро ввести в строй первый openvpn-сервер.

Одноразово создаём два файла центра сертификации, с помощью которых мы будем выдавать все прочие сертификаты и ключи для openvpn-серверов и клиентов:

1. ca.crt – главный CA сертификат, этот файл нужен всем клиентам и всем openvpn-серверам (и центру сертификации? Ясен пень. Хотя бы для последующей раздачи клиентам.). С помощью него договаривающиеся стороны (сервер и клиент) проверяют подписи полученных публичных ключей на предмет принадлежности нашей организации;
2. ca.key – главный CA ключ. Этот файл нужен только центру сертификации, так как им подписываются все публичные ключи-сертификаты организации. Он не учавствует в обеспечении безопасного канала. Он нужен эпизодически только для выпуска ключей (шибко СЕКРЕТНЫЙ файл). Хочу заметить, что открытое хранение этого файла на openvpn-сервере позволит вероятному злоумышленнику украсть этот файл и выпустить произвольное количество ключей, с помощью которых можно будет беспрепятственно подключаться к нашим openvpn-серверам.
   Одноразово делаем файл для дополнительной безопасности openvpn-канала:
3. ta.key – TLS-ключ, который нужен и openvpn-клиентам и openvpn-серверам для пущей безопасности. Можно и без него, но он помогает блокировать DoS атаки и UDP флудинг на открытый порт сервера.

Ещё сделаем три файла для конкретного openvpn-сервера. Эти файлы необходимо сгенерировать для каждого openvpn-сервера в нашей сетке. В принципе, можно изменить имена этих файлов в соответствии с сетевыми именами openvpn-серверов. Но, как мне кажется, в целях унификации конфигурационного файла и прочих настроек, которые мы можем централизованно распространять на все openvpn-сервера, будет удобней не изменять имена этих файлов:

1. server.crt – сертификат сервера, нужен только серверу;
2. server.key – ключ сервера, нужен только серверу (СЕКРЕТНЫЙ файл);
3. dh1024.pem – ключ имени Диффи и Хельмана. Этот файл нужен только серверу. Наверное, используется на этапе предварительного обмена открытыми ключами (сертификатами).

И ещё надо сгенерировать пару файлов для первого клиента. Обычно, имена этих файлов соответствуют имени клиента, указанному при генерации. Поэтому для удобства идентификации клиента, необходимо выработать систему присвоения имён, чтобы потом было проще ориентироваться в логах и прочих моментах.

Например, в моём случае, я раздаю людям готовые openvpn-комплекты для каждого из их компьютеров. Поэтому придумываю имя исходя из такого правила – idорганизации-idклиента-idмашины. И когда приходит время отозвать ключи определённого юзера, то в папке с выданными сертификатами, при обычной сортировке по имени файла, я увижу все сертификаты юзера идущими по порядку. Ну а в данном опусе, не заморачиваясь, укажу:

1. client.crt – сертификат клиента. Этот файл нужен клиенту для установки соединения с openvpn-сервером;
2. client.key – ключ клиента, нужен только клиенту (СЕКРЕТНЫЙ файл).

Надо поподробней почитать мануал и выяснить конкретную роль каждого файла и этапы установки и работы канала.

Проверьте данные сертификата

Эти данные попадут сертификат.

Важно! Проверяйте данные внимательно, потому что если в данных будут ошибки, потребуется перевыпуск сертификата за отдельную плату (если у вас не подключена услуга “Сопровождение сертификата”).— Если название или адрес организации указаны неверно, нажмите ссылку «Обновить по данным ФНС» — мы автоматически актуализируем информацию в соответствии с данными в ЕГРЮЛ.

— Если ИНН, ОГРН или параметры сертификата указаны неверно — позвоните в ваш сервисный центр.— Если данные владельца указаны неверно, нажмите “Редактировать” и исправьте ошибки. Особое внимание обратите на реквизиты паспорта. Если срок действия паспорта закончился или получен новый паспорт, укажите реквизиты нового документа.

Также проверьте номер телефона, к которому будет привязан сертификат — на него придёт СМС с кодом подтверждения при выпуске сертификата, а также по этому телефону можно подтверждать доступ к заявке (другой способ — по сертификату с такими же ФИО, ИНН и СНИЛС).

Если сменился владелец сертификата, измените все данные. ФИО и дату рождения указывайте точно так же, как в паспорте: с буквами Ё, дефисами, пробелами и пр. Если у вас нет паспорта РФ, подойдёт временное удостоверение личности. ​Если вы иностранный гражданин, вместо паспорта РФ можете представить иностранный паспорт с нотариально заверенным переводом или вид на жительство в РФ (если нет иностранного паспорта). ФИО заполняйте русскими буквами, как в заверенном переводе. Поле “Серия” можно не заполнять, если в документе оно отсутствует. Укажите действующую электронную почту — туда будут приходить уведомления о статусе заявки и напоминания о продлении сертификата. 

Когда все данные будут указаны верно, нажмите «Подтвердить данные»

Проверьте актуальность документов

Мы скопируем документы из старой заявки, если соответствующие данные не поменялись. Проверьте их ещё раз.

Дождитесь ответа ПФР и ФНС — мы автоматически проверяем СНИЛС и ИНН. Если ПФР подтвердит данные, скан СНИЛС не нужен.
Если ответ долго не приходит или в госсистемах нет ваших данных, нажмите “Восстановить документ”, чтоб скопировать документ из старой заявки, или загрузите фотографию или скан карточки СНИЛС и свидетельства ИНН заново.
Если данные владельца или организации изменились, вам нужно подтвердить изменения документами. Напротив документов, которые нужно представить, есть зеленые кнопки “Загрузить”.

Сделайте фотографии или цветные сканы этих документов. Технические требования к файлам:

• Качество картинки должно быть таким, чтобы текст легко можно было разобрать (примерно 200-400 dpi).
• Страницы не обрезаны, входят целиком.
• Размер до 10 МБ.
• Форматы jpg, png, gif, pdf, tif, bmp, heic.

Если вы используете не оригинал документа, а копию, она должна быть заверена по образцу:

Заверить копию может:

• руководитель или уполномоченное лицо организации/ИП, с которой заключен договор на выдачу сертификата, при наличии печати,
• нотариус,
• сервисный центр.

ИсключениеЕсли сертификат на руководителя юридического лица, ИП или физлицо, то на копии паспорта или другого документа, удостоверяющего личность, заверительная надпись не обязательна. 

Важно! Нельзя фотографировать/сканировать копию заявления. Только оригинал. Не выбрасывайте заявление! Оно понадобится при получении сертификата.

Загрузите подготовленные сканы в нужные вкладки. Также вы можете загрузить дополнительные документы, кликнув на ссылку “Загрузить дополнительные документы” внизу страницы. У каждого опционального документа написано, в каких случаях он требуется.

После проверки/загрузки всех обязательных документов, станет активной кнопка “Продолжить” внизу страницы. Нажмите её.

Выберите сервисный центр

Чаще всего при продлении сертификата не нужен визит в сервисный центр, так как заявление на выдачу подписано действующим сертификатом.  В этом случае шага выбора СЦ не будет — вы сразу можете приступить к выпуску сертификата (следующая инструкция, начинайте с п.7).

В остальных случаях (например, заявление не подписано сертификатом) нужно выбрать адрес сервисного центра, куда вам будет удобно подойти с оригиналами документов после одобрения заявки.
Чаще всего какой-то сервисный центр уже выбран — он отображается на зелёной плашке. Если он вам подходит — сразу нажмите кнопку “Отправить на проверку”. Если СЦ не подходит или не выбран, найдите удобный вам адрес в списке или на карте и кликните на него — он подсветится зелёным.
В списке и на карте показываются только точки в выбранном регионе/городе. Если вы хотите посмотреть точки в других регионах — поменяйте локацию.
После того, как вы выбрали удобный вам сервисный центр, нажмите кнопку «Отправить на проверку».

Заявка отправлена

Мы проверим заявку в течение 1–2 дней и сообщим вам результат. На странице написана пошаговая инструкция конкретно для вашего случая.

— Если вам нужно подойти в сервисный центр, то инструкция будет, например, такая:

На встречу для удостоверения личности и проверки документов должен прийти будущий владелец. Если сертификат выдаётся на сотрудника организации, то понадобится доверенность от руководителя. 

— Если вы подписали заявление сертификатом и все данные прошли проверку в гос.системах (паспорт, СНИЛС  ИНН для сертификатов для ИП и физлиц), то вам не нужно идти в сервисный центр, вы увидите вот такое сообщение. Дождитесь одобрения заявки и после этого приступайте к выпуску сертификата.

Заказать сертификат электронной подписи

Openvpn, легкий перевыпуск корневого сертификата

openssl x509 -in ca.crt -days 36500 -out ca-new.crt -signkey ca.key

Getting Private key

openssl verify -CAfile ca-new.crt client9.crt

client9.crt: OK

openssl x509 -noout -text -in ca-new.crt

Tue Mar 21 15:12:18 2021 VERIFY ERROR: depth=1, error=certificate signature failure: /C=RU...

openssl verify -CAfile ca-new.crt client9.crt

Внесение изменений в юридическое дело — сбербанк

Генерация сертификата и личного ключа клиента

Генерация ключей происходит в папке /etc/openvpn/easy-rsa. Перед каждым сеансом генерации ключей не забываем загружать переменные в память:

# source ./vars

Генерируем безпарольный ключ клиента:

# ./build-key wks-1

или ключ с парольной защитой:

# ./build-key-pass ivan

или ключ в формате pkcs12 (таким пока не пользовался, но по слухам, его можно хранить в электронных хранилищах, например, в USB-токенах):

# ./build-key-pkcs12 sterva-on-wks-home

После данной процедуры клиенту передаются файлы:

1. Сертификат сервера ca.crt;
2. Приватный ключ клиента wks-1.key;
3. Сертификат клиента (или правильнее сертификат к приватному ключу клиента?) wks-1.crt;
4. TLS-ключ сервера ta.key;

Файл настройки клиента, где должны быть указаны:

1. адрес сервера;
2. порт, который слушает openvpn сервер;
3. использующийся шифр: BF-CBC или, например, AES-512-CBC.

Важно сохранить сертификаты клиентов (но не приватные ключи! клиентов) для возможности их последующего отзыва. Не забываем, что имя файла содержащего сертификат и имя сертификата могут отличаться. Естественно, проверить это соответствие можно простым просмотром файла.

Приватный ключ клиента должен держаться в секрете и быть, в идеале, в единственном экземпляре, так как им подписываются пакеты бегущие от клиента к серверу и тем самым удостоверяющие (поправка: подпись этих пакетов производится с помощью сертификата сервера), что к нашему серверу подсоединяется наш человек.

Генерация файлов центра сертификации

Загружаем переменные source ./vars (или . ./vars — символ точка – синоним команды source, которая выполняет указанный файл сценария.)

(разобраться с правами на файлы и папки и написать подробно)

Создаём приватный ключ и сертификат центра сертификации, на основе которых будут сертифицироваться прочие выдаваемые ключи:

# ./build-ca
Generating a 1024 bit RSA private key
............................................................      
.........      
writing new private key to 'ca.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [RU]:
State or Province Name (full name) [MO]:
Locality Name (eg, city) [Moscow]:
Organization Name (eg, company) [M]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) [L CA]:server-ca
Email Address [me ar) myhost [dot] mydomain]:

Поле “Common Name” обязательно к заполнению. 

В /etc/openvpn/easy-rsa/keys теперь лежат сертификат центра сертификации ca.crt и приватный ключ центра сертификации ca.key.

Сертификат центра сертификации находится как на стороне сервера, так и на стороне клиента и учавствует в создании туннеля. 

Приватный ключ центра сертификации чрезвычайно секретный и не должен попасть в чужие руки. В создании туннеля он не используется. Если я правильно понимаю, то приватным ключом центра сертификации подписываются ключи новых клиентов, поэтому файл ca.key желательно изымать из этой папки после окончания генерации ключей, затирая убитую копию shred’ом.

Защита rdp соединения при помощи ssl.

Протокол RDP с защитой на уровне сети (SSL), к сожалению, не получил широкого распространения среди системных администраторов, предпочитающих защищать терминальные соединения другим способом. Возможно это связано с кажущейся сложностью способа, однако это не так, в данном материале мы рассмотрим как просто и без затруднений организовать такую защиту.

Какие преимущества дает нам защита RDP при помощи SSL? Во первых надежное шифрование канала, проверку подлинности сервера на основании сертификата и проверку подлинности пользователя на уровне сети. Последняя возможность доступна начиная с Windows Server 2008.

Проверка подлинности на уровне сети производится до подключения к удаленному рабочему столу и отображения экрана входа в систему, это снижает нагрузку на сервер и значительно увеличивает его защиту от злоумышленников и вредоносных программ, а также снижает вероятность атак типа «отказ в обслуживании».

Для полноценного использования всех возможностей RDP через SSL клиентские ПК должны работать под управлением Windows XP SP3, Windows Vista или Windows 7 и использовать RDP клиент версии 6.0 или более поздней.

При использовании Windows Server 2003 SP1 и более поздних версий, будут доступны шифрование канала при помощи SSL (TLS 1.0) и проверка подлинности сервера, клиентские ПК должны иметь версию RDP клиента 5.2 или более позднюю.

В нашей статье мы будем рассматривать настройку терминального сервера на базе Windows Server 2008 R2, однако все сказанное будет справедливо и для Windows Server 2003 (за исключением отсутствующих возможностей).

Для успешной реализации данного решения в вашей сети должен находиться работающий центр сертификации, настройку которого мы рассматривали в предыдущей статье. Для доверия сертификатам выданным данным ЦС на терминальный сервер необходимо установить сертификат ЦС (или цепочку сертификатов) в хранилище Доверенные корневые центры сертификации.

Затем следует выполнить запрос сертификата подлинности сервера со следующими параметрами:

Как подключить сертификат подписанный ad cs к rpd

ls Cert:LocalMachineMy

wmic /namespace:\rootCIMV2TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash=”thumbprint”

wmic /namespace:\rootCIMV2TerminalServices PATH Win32_TSGeneralSetting Get SSLCertificateSHA1Hash

Особенности сберсертификатов

Одна из особенностей сберсертификатов в том, что ценная бумага подлежит аресту или конфискации, а также участвует в разделе имущества при разводе. Но это происходит только тогда, когда владелец поручает хранение сертификата Сбербанку. Когда бланк находится на руках у вкладчика, ее невозможно арестовать или конфисковать. В разделе имущества ценная бумага также не участвует.

Забрать начисленные по сертификату проценты вправе и лицо, не достигшее 18 лет, но только в двух случаях:

• если несовершеннолетний самостоятельно оформлял ценную бумагу;
• если родители или другие законные опекуны написали разрешение на выдачу средств.

Преимущество сертификатов по сравнению с традиционным вкладом в том, что по ценным бумагам можно было получить более высокий доход. При личном хранении бланк можно передавать другому человеку без нотариального заверения и других официальных разрешений.

Негативные черты сберегательных сертификатов Сбербанка РФ:

1. При хранении дома возникает большой риск потерять средства. В ситуации, когда ценная бумага попадет в руки другому лицу, владелец утрачивает право на вложенные и накопленные средства. Мошенники могут свободно изъять деньги в отделении банка при предъявлении сертификата.
2. Вложенные по программе сертификатов деньги не подлежат обязательному страхованию, как деньги во вкладах. Если финансовая организация обанкротится или потеряет лицензию на осуществление деятельности, средства не вернут владельцу.

Еще один весомый недостаток в том, что вернуть деньги по документу можно не во всех отделениях Сбербанка. Возможно, придется ехать в другую часть города только для того, чтобы обналичить сберсертификат.

Промсвязьбанк и ключ эцп

Создание ключа и сертификата для сервера

В Easy-RSA 3 все “по-взрослому”, сначала нам нужно создать запрос на сертификат:

./easyrsa gen-req ovpn-server nopass

где ovpn-server – имя вашего сервера, nopass означает, что закрытый ключ следует создать без пароля. При выполнении данной команды будет создан запрос на сертификат и сгенерирован закрытый ключ сервера ovpn-server.key, который будет располагаться в pki/private.

Для выпуска сертификата выполните:

./easyrsa sign-req server ovpn-server

Опция server обозначает выпуск сертификата для сервера. Для подтверждения выпуска вам нужно будет явно выразить свое согласие указав yes в ответ на соответствующий запрос, любый иные действия приведут к отмене действия. Затем потребуется ввести пароль закрытого ключа центра сертификации.

Выпущенные сертификаты будут располагаться в pki/issued.

Теперь скопируем необходимые сертификаты и ключи в конфигурационную директорию OpenVPN, предварительно создав там папку keys:

mkdir /etc/openvpn/keys
cp pki/ca.crt pki/dh.pem /etc/openvpn/keys
cp pki/private/ovpn-server.key pki/issued/ovpn-server.crt /etc/openvpn/keys

Дальнейшая настройка OpenVPN-сервера ничем не отличается от описанной нами ранее, и вы можете воспользоваться любой нашей инструкцией, смотрите блок Дополнительные материалы внизу статьи.

Установка сертификата на виртуальные машины

Для использования белого сертификата на виртуальных машинах необходимо:

Создадим новую групповую политику на уровне Organizational Unit, выделенного для компьютерных аккаунтов виртуальных машин фермы VDI.

Данная политика должна выполнить Startup Script ExportVDICert.bat на виртуальных машинах.

В указанном скрипте используются утилиты certutil и FindPrivateKey от Microsoft. Certutil является встроенной утилитой, FindPrivateKey предоставляется в качестве Samle tool для разработчиков и может быль скомпилирован самостоятельно. Скрипт необходимо расположить внутри политики.

Сертификат и утилиту FindPrivateKey необходимо разместить в сетевой папке, откуда скрипт будет забирать файлы для установки. Текст скрипта:

certutil -f -p "<certificate password>" -importpfx "<Path to pfx>" NoExport
c:
mkdir "c:TempCertSecurity"
cd "c:TempCertSecurity"
xcopy "<Path to FindPrivateKey.exe>" "c:TempCertSecurity"
FindPrivateKey.exe My LocalMachine -t "<thumbprint of certificate>" -a > tmp.txt
set /p myvar= < tmp.txt
del tmp.txt
del FindPrivateKey.exe
cd 
rd "c:TempCertSecurity"
cacls.exe %myvar% /E /G "NETWORK SERVICE":R"

При помощи данного скрипта после перезагрузки виртуальной машины будет установлен новый сертификат и для него будут настроены права.

Следующая часть политики касается установки параметра SSLCertificateSHA1Hash. Необходимый ключ настраивается через Preferences Windows Settings Registry

Центр сертификации

Списки отзыва и отзыв сертификатов

Если вы используете OpenVPN для организации связи между офисами или доступа в интернет, то вряд ли у вас возникнет потребность в отзыве сертификата. Другое дело, если вы предоставляете удаленный доступ к корпоративной сети с домашних ПК сотрудников, подрядчикам или аутсорсерам.

Прежде всего создадим список отозванных сертификатов (CRL):

./easyrsa gen-crl

Затем создадим символьную ссылку на список в директории с ключами OpenVPN:

ln -s /etc/easy-rsa/pki/crl.pem /etc/openvpn/keys/

И внесем в конфигурационный файл сервера OpenVPN следующую строку:

crl-verify keys/crl.pem

После чего сервер OpenVPN потребуется перезапустить.

Теперь отзовем какой-либо сертификат:

./easyrsa revoke horns_and_hooves

Где horns_and_hooves – имя сертификата клиента (СN), после отзыва следует повторно опубликовать список отозванных сертификатов:

./easyrsa gen-crl

Посмотреть список сертификатов можно командой:

cat pki/index.txt

Действующие сертификаты имеют статус V в начале строки, отозванные – R.

Как видим, работа с Easy-RSA 3 не представляет каких-либо сложностей и надеемся, что данная статья будет вам полезна.