[sisyphus] Q: SSL in ALT Linux

[sisyphus] Q: SSL in ALT Linux

[Mikhail Yakshin]

Приветствую!

А не может ли кто-нибудь прояснить ситуацию, которая складывается в ALT
Linux с SSL, в частности - есть ли какой-то общий единый CA root ALT
Linux, сертификат которого бы включался в дистрибутив и обязывался бы к
использованию и принятию всеми программами (в основном - клиентами).

Насколько я понимаю - сейчас этого нет - есть смотреть на файл
/var/lib/ssl/cert.pem из openssl. Если смотреть на список built-in CA
tokens в Mozilla - то есть некий токен "ALT Linux CA Root". В KDE -
ничего такого нет.

Кроме того, ситуация такова:

========================================================================

https://backports.altlinux.org
https://faq.altlinux.ru
https://bugzilla.altlinux.org - самоподписанный сертификат на "bugzilla"
организации "ALT Linux" (серийный номер 0).

https://www.altlinux.ru или .org - самоподписанный сертификат на
"support" организации "ALT Linux ru" (серийный номер 0)

https://lrn.ru
https://docs.altlinux.ru - тот же сертификат www.altlinux.ru, плюс еще
под https показывается не содержимое ожидаемого сайта, а именно сайт
http://www.altlinux.ru

xmpp://altlinux.org:5223 - сертификат с серийным номером 2, выписанный
на "Jabber service" организации "ALT Linux Team", подписан CN="ALT Linux
CA Root"

https://lists.altlinux.ru - просроченный (уже давно - с 24.05.2006)
сертификат с серийным номером 10, выписанный на CN="lists.altlinux.ru",
OU="ALT Linux Support Department", подписан все той же CN="ALT Linux CA
Root"

https://heap.altlinux.ru - очень странный сертификат, видимо,
сгенеренный по какому-то образцу с настройками по умолчанию для "E =
webmaster@localhost; CN = localhost; OU = Webserver Team; O = Localhost,
Inc; L = Local Town; ST = Local Country; C = LO", подписан не менее
эфемерным "E = ca@snakeoil.dom; CN = Snake Oil CA; OU = Certificate
Authority; O = Snake Oil, Ltd; L = Snake Town; ST = Snake Desert; C =
XY". Причем еще в связке нет второго сертификата для этого эфемерного
CA, а основной сертификат носит серийный номер 3, значит, где-то есть
еще несколько таких сертификатов.

https://*.mozilla.ru и mozilla-russia.org - сертификат, выписанный на
"*.unsafe.ru", подписанный CN="UNSAFE.RU Root CA". Серийный номер аж
00:C0:42:93:C6:BF:19:B5:2A. В общем, здесь как раз все понятно.

========================================================================

Т.е., видимо, "ALT Linux CA Root" когда-то давно действительно
использовалась - можно поинтересоваться, что с ней стало, какова
официальная позиция мейнтейнеров основных пакетов, использующих SSL по
этому вопросу (openssl, mozilla, kde)?

Ну и, соответственно, вопрос в продолжение первого - если таковая
authority все-таки будет воскрешена - какова политика получения
удостоверенных ею сертификатов?

-- 
WBR, Mikhail Yakshin AKA GreyCat
ALT Linux [http://www.altlinux.ru] [xmpp:greycat@altlinux.org]

Re: [sisyphus] Q: SSL in ALT Linux

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1544 bytes --]

On Sun, Jan 21, 2007 at 05:29:04AM +0300, Mikhail Yakshin wrote:
> А не может ли кто-нибудь прояснить ситуацию, которая складывается в ALT
> Linux с SSL, в частности - есть ли какой-то общий единый CA root ALT
> Linux, сертификат которого бы включался в дистрибутив и обязывался бы к
> использованию и принятию всеми программами (в основном - клиентами).
> 
> Насколько я понимаю - сейчас этого нет - есть смотреть на файл
> /var/lib/ssl/cert.pem из openssl.

Этого там ещё никогда не было, но видится разумным сделать root CA и
поместить в тот файл.

> Если смотреть на список built-in CA
> tokens в Mozilla - то есть некий токен "ALT Linux CA Root". В KDE -
> ничего такого нет.

Это именно некий токен, найти его приватную часть не удалось.

> Кроме того, ситуация такова:
[душераздирающие подробности опущены]
> Т.е., видимо, "ALT Linux CA Root" когда-то давно действительно
> использовалась - можно поинтересоваться, что с ней стало,

Этот CA сделал, кажется, migor@, но сейчас у нас нет приватной части,
и даже если она появится, то будет уже поздно.

> какова
> официальная позиция мейнтейнеров основных пакетов, использующих SSL по
> этому вопросу (openssl, mozilla, kde)?

Я вижу разумным сделать новый root CA, положить его в пакеты и дальше
использовать.

> Ну и, соответственно, вопрос в продолжение первого - если таковая
> authority все-таки будет воскрешена - какова политика получения
> удостоверенных ею сертификатов?

Политику предстоит утвердить.  Какие будут предложения?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Yakshin]

Dmitry V. Levin wrote:
> On Sun, Jan 21, 2007 at 05:29:04AM +0300, Mikhail Yakshin wrote:
>> А не может ли кто-нибудь прояснить ситуацию, которая складывается в ALT
>> Linux с SSL, в частности - есть ли какой-то общий единый CA root ALT
>> Linux, сертификат которого бы включался в дистрибутив и обязывался бы к
>> использованию и принятию всеми программами (в основном - клиентами).

[...]

> Я вижу разумным сделать новый root CA, положить его в пакеты и дальше
> использовать.
> 
>> Ну и, соответственно, вопрос в продолжение первого - если таковая
>> authority все-таки будет воскрешена - какова политика получения
>> удостоверенных ею сертификатов?
> 
> Политику предстоит утвердить.  Какие будут предложения?

Предлагаю сделать нечто вроде SSL policy и закрепить в ней примерно
следующие основные пункты:

==========================================================================

1. Существует ALT root CA, принадлежащий ООО (как и все остальные
основные подписи и ключи по репозитариями и по проекту в целом).

1.1. Сертификат имеет CN=<такой-то>, OU=<такой-то>, O=<такой-то>,
C=<такой-то> (и т.п.)
1.2. Срок действия CA устанавливается в <X> лет.
1.3. Его поддержанием, регенерацией, выписыванием сертификатов
занимается <видимо, кто-то из суппорта?>
1.4. Регенерация делается за <полгода> до окончания срока действия
очередного основного CA: генерируется новый сертификат и в эти полгода
все носят 2 сертификата. Старый сертификат выкидывается отовсюду по
возможности, как его срок действия совсем заканчивается.
1.5. Сертификат всегда доступен для скачивания с
<https://tls.altlinux.org>, а также в пакете openssl (из тех
соображений, что он у нас наиболее системообразующий).

2. Все https-серверы и XMMP-серверы ALT (как минимум, перечисленные в
gory details в первом письме) используют сертификаты, выписанные этим
ALT root CA.

2.1. Сертификаты должны иметь корректно установленные, в том числе,
например, правильный CN.
2.2. Т.к. есть, как минимум, 3 домена (altlinux.org, altlinux.ru,
altlinux.com), видимо, на каждый сервис нужно выписывать 3 сертификата.
2.3. Там, где https объективно не нужен - его вообще быть не должно, 443
порт закрыт.

3. Все члены команды ALT имеют право попросить заверенные этим CA
сертификаты в любом количестве для своих личных нужд. Пункт 4
гарантирует, что такой сертификат, заверенный ALT, будет, как минимум,
восприниматься всеми системами, работающими под управлением ALT Linux.

3.1. Сертификаты, подписанные этим CA, для третьих лиц и организаций, не
являющихся членами команды ALT, распространяются ООО по своему усмотрению.

4. Все пакеты в Сизифе, которые могут использоваться в качестве клиентов
для доступа к серверам к TLS/SSL и которые не используют обычные
системные хранилища сертификатов, должны носить в своем списке CA
дополнительно еще и ALT root CA, и, таким образом.

4.1. Проверить работоспособность клиента в плане принятия сертификатов
ALT можно на https://bugs.altlinux.org/ и на xmpp://altlinux.org
4.2. Несоответствие пакета пункту 4 настоящей policy - <block> bug.

5. Все пакеты в Сизифе, которые могут использоваться как серверы с
TLS/SSL должны иметь упоминание (например, в README.alt) о наличии ALT
root CA, о пункте 3 и давать ссылку на настоящую policy.

5.1. Примерный текст упоминания (приветствуется изменение его для
лучшего отражения специфики пакета - http, xmpp, imap-сервер и т.п.):

Данный пакет позволяет организовать сервер, соединения с которым будут
защищены с помощью TLS/SSL. Для этого нужен сертификат сервера.
Сертификат может быть самоподписанным, в таком случае он будет
восприниматься только ограниченным рядом систем, на каждую такую систему
его придется переносить вручную. Для того, чтобы его принимало
автоматически больше систем, нужен сертификат, подписанный какой-то
известной большинству систем организацией - Certificate Authority.

В ALT Linux есть собственная Certificate Authority. В соответствии с TLS
 policy, члены команды ALT могут получать неограниченное число
подписанных ей сертификатов, которые, таким образом, будут корректно
приниматься на всех системах ALT Linux.

Подробности получения сертификатов можно узнать на https://tls.altlinux.org/

ALT Linux TLS policy доступна на http://<URL где будет лежать policy>

5.2. Отсутствия такого текста - <minor> bug.

==========================================================================

Оно же закинуто на http://www.freesource.info/wiki/Altlinux/Policy/TLS

Прошу помочь вписать значения в <...> и высказаться насчет общего
видения возможности принятия такой policy.

-- 
WBR, Mikhail Yakshin AKA GreyCat
ALT Linux [http://www.altlinux.ru] [xmpp:greycat@altlinux.org]

Re: [sisyphus] Q: SSL in ALT Linux

[Michael Shigorin]

On Mon, Jan 22, 2007 at 02:18:20AM +0300, Mikhail Yakshin wrote:
> 1. Существует ALT root CA, принадлежащий ООО (как и все остальные
> основные подписи и ключи по репозитариями и по проекту в целом).

Ввиду неоднократно выраженной позиции security officer'а есть
предложение водрузить на него, а не ООО.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Q: SSL in ALT Linux

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2050 bytes --]

On Sun, Jan 21, 2007 at 05:29:04AM +0300, Mikhail Yakshin wrote:
> А не может ли кто-нибудь прояснить ситуацию, которая складывается в ALT
> Linux с SSL, в частности - есть ли какой-то общий единый CA root ALT
> Linux, сертификат которого бы включался в дистрибутив и обязывался бы к
> использованию и принятию всеми программами (в основном - клиентами).

Теперь есть, наряду с другими CA сертификатами в новом пакете
ca-certificates, на который настроен libssl6.

> https://backports.altlinux.org
> https://faq.altlinux.ru
> https://bugzilla.altlinux.org - самоподписанный сертификат на "bugzilla"
> организации "ALT Linux" (серийный номер 0).

Сертификат для https://bugzilla.altlinux.org заменён.

> https://www.altlinux.ru или .org - самоподписанный сертификат на
> "support" организации "ALT Linux ru" (серийный номер 0)
> 
> https://lrn.ru
> https://docs.altlinux.ru - тот же сертификат www.altlinux.ru, плюс еще
> под https показывается не содержимое ожидаемого сайта, а именно сайт
> http://www.altlinux.ru

Сертификат для https://altlinux.ru заменён.

> https://lists.altlinux.ru - просроченный (уже давно - с 24.05.2006)
> сертификат с серийным номером 10, выписанный на CN="lists.altlinux.ru",
> OU="ALT Linux Support Department", подписан все той же CN="ALT Linux CA
> Root"

Сертификат для https://lists.altlinux.org заменён.

> https://heap.altlinux.ru - очень странный сертификат, видимо,
> сгенеренный по какому-то образцу с настройками по умолчанию для "E =
> webmaster@localhost; CN = localhost; OU = Webserver Team; O = Localhost,
> Inc; L = Local Town; ST = Local Country; C = LO", подписан не менее
> эфемерным "E = ca@snakeoil.dom; CN = Snake Oil CA; OU = Certificate
> Authority; O = Snake Oil, Ltd; L = Snake Town; ST = Snake Desert; C =
> XY". Причем еще в связке нет второго сертификата для этого эфемерного
> CA, а основной сертификат носит серийный номер 3, значит, где-то есть
> еще несколько таких сертификатов.

Сертификат для https://heap.altlinux.ru заменён.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Gusarov]

Twas brillig at 03:01:54 when Dmitry V. Levin did gyre and gimble:

 DVL> Теперь есть, наряду с другими CA сертификатами в новом пакете
 DVL> ca-certificates, на который настроен libssl6.

Предлагаю дополнительно опубликовать его на сайте.

 >> https://lists.altlinux.ru - просроченный (уже давно - с 24.05.2006)
 >> сертификат с серийным номером 10, выписанный на CN="lists.altlinux.ru",
 >> OU="ALT Linux Support Department", подписан все той же CN="ALT Linux CA
 >> Root"

 DVL> Сертификат для https://lists.altlinux.org заменён.

https://lists.altlinux.ru/ использует тот же сертификат. Предлагаю
поставить Moved Permanently на https://lists.altlinux.org/.

-- 

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Yakshin]

Mikhail Gusarov пишет:
> Twas brillig at 03:01:54 when Dmitry V. Levin did gyre and gimble:
> 
>  DVL> Теперь есть, наряду с другими CA сертификатами в новом пакете
>  DVL> ca-certificates, на который настроен libssl6.
> 
> Предлагаю дополнительно опубликовать его на сайте.

Предлагаю сделать https://tls.altlinux.org - некий ресурс, где кратко 
(на 3-4 страничках) будет собрана вся информация о TLS/SSL в ALT Linux.

>  >> https://lists.altlinux.ru - просроченный (уже давно - с 24.05.2006)
>  >> сертификат с серийным номером 10, выписанный на CN="lists.altlinux.ru",
>  >> OU="ALT Linux Support Department", подписан все той же CN="ALT Linux CA
>  >> Root"
> 
>  DVL> Сертификат для https://lists.altlinux.org заменён.
> 
> https://lists.altlinux.ru/ использует тот же сертификат. Предлагаю
> поставить Moved Permanently на https://lists.altlinux.org/.

Более глобальный вопрос, скорее к суппорту - может быть вообще работать 
с сторону убирания бардака с altlinux.{org|com|ru} в сторону того, чтобы 
один из них (очевидно, org, как наиболее популярный) объявить остальным, 
а все остальное - в зависимости от протоколов, конечно, редиректить и 
алиасить, но рекомендовать не пользоваться ими в качестве основных?

Потому как набирается некая критическая масса неприятностей 
(TLS-сертификаты, GPG-подписи, подписи и packager в RPM).

-- 
WBR, Mikhail Yakshin

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Gusarov]

Twas brillig at 11:45:33 when Mikhail Yakshin did gyre and gimble:

 MY> Более глобальный вопрос, скорее к суппорту - может быть вообще работать 
 MY> с сторону убирания бардака с altlinux.{org|com|ru} в сторону того, чтобы 
 MY> один из них (очевидно, org, как наиболее популярный) объявить остальным, 
 MY> а все остальное - в зависимости от протоколов, конечно, редиректить и 
 MY> алиасить, но рекомендовать не пользоваться ими в качестве основных?

Я бы предложил на .ru публиковать русскую, а на .org - английскую
версии материалов, но это работы на годы :)

-- 

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Yakshin]

Mikhail Gusarov пишет:
> Twas brillig at 11:45:33 when Mikhail Yakshin did gyre and gimble:
> 
>  MY> Более глобальный вопрос, скорее к суппорту - может быть вообще работать 
>  MY> с сторону убирания бардака с altlinux.{org|com|ru} в сторону того, чтобы 
>  MY> один из них (очевидно, org, как наиболее популярный) объявить остальным, 
>  MY> а все остальное - в зависимости от протоколов, конечно, редиректить и 
>  MY> алиасить, но рекомендовать не пользоваться ими в качестве основных?
> 
> Я бы предложил на .ru публиковать русскую, а на .org - английскую
> версии материалов, но это работы на годы :)

Это другой вопрос, имхо скорее проще с .ru редиректить на .org, 
передавая какой-то параметр выбора языка материала.

Речь скорее об используемых адресах e-mail, jabber, подписях gpg и т.п.

-- 
WBR, GreyCat

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Gusarov]

Twas brillig at 12:38:27 when Mikhail Yakshin did gyre and gimble:

 MY> Это другой вопрос, имхо скорее проще с .ru редиректить на .org,
 MY> передавая какой-то параметр выбора языка материала.

Тоже вариант. Я тут покопался в документации mailman, с ним выбора
языка интерфейса таким образом не сделать :( Оно, конечно, выбирается
per-user, но нерусскоговорящему, попавшему на lists.altlinux.org,
особо ничего не светит, разве что каким-нибудь онлайн-переводчиком
пользоваться.

 MY> Речь скорее об используемых адресах e-mail, jabber, подписях gpg
 MY> и т.п.

С этим согласен на 100%. Особенно интересно, что у каких-то ресурсы
основной домен - .ru (www.altlinux.ru), а у каких-то - .org
(lists.altlinux.org)

-- 

Re: [sisyphus] Q: SSL in ALT Linux

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 848 bytes --]

On Thu, Feb 08, 2007 at 07:07:08PM +0600, Mikhail Gusarov wrote:
> Twas brillig at 03:01:54 when Dmitry V. Levin did gyre and gimble:
> 
>  DVL> Теперь есть, наряду с другими CA сертификатами в новом пакете
>  DVL> ca-certificates, на который настроен libssl6.
> 
> Предлагаю дополнительно опубликовать его на сайте.

На каком сайте?

>  >> https://lists.altlinux.ru - просроченный (уже давно - с 24.05.2006)
>  >> сертификат с серийным номером 10, выписанный на CN="lists.altlinux.ru",
>  >> OU="ALT Linux Support Department", подписан все той же CN="ALT Linux CA
>  >> Root"
> 
>  DVL> Сертификат для https://lists.altlinux.org заменён.
> 
> https://lists.altlinux.ru/ использует тот же сертификат. Предлагаю
> поставить Moved Permanently на https://lists.altlinux.org/.

Для https поставить Moved Permanently?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Q: SSL in ALT Linux

[Mikhail Gusarov]

Twas brillig at 16:46:56 when Dmitry V. Levin did gyre and gimble:

 >> Предлагаю дополнительно опубликовать его на сайте.
 DVL> На каком сайте?

Где-нибудь в районе altlinux.ru/sisyphus.ru. Чтобы приходящий снаружи
человек мог его быстро найти. Выше уже предолжили tls.altlinux.org,
нужно только на него ссылку с altlinux.org (кстати, кажется, он
outdated по сравнению с altlinux.ru) поставить.

 >> https://lists.altlinux.ru/ использует тот же сертификат. Предлагаю
 >> поставить Moved Permanently на https://lists.altlinux.org/.

 DVL> Для https поставить Moved Permanently?

Тут, наверное, будет удачнее http://lists.altlinux.ru/ ->
http://lists.altlinux.org/

Это не спасёт от прямых ссылок на mailman'овый pipermail на .ru, но по
крайней мере, предотвратит недоумённые вопросы "а где рассылки?",
которых на .ru нету в web-интерфейсе.

--