Vault PKI строим собственный Certificate Authority (CA) // Курс «Administrator Linux. Professional»

• Открытое занятие перед стартом курса "Линукс Администратор Профи".  

• Тема занятия: хакоровский вольт как хранилище секретов и провайдер авторизации.  

• Основное внимание будет уделено сертификатам, актуальным для крупных компаний.  

• Сертификаты как актуальная проблема в текущих реалиях.  

• Вольт проще, надежнее и предсказуемее в использовании.  

• Проблемы с отображением сертификатов, но есть консольные команды для их получения.  

• Развертывание вольт и центра сертификации.  

• Демонстрация правильного и неправильного подходов.  

• Проверка записи и настройка взаимодействия с участниками.  

• Преподаватель рассказывает о себе и своем опыте.  

• Преподавание на курсах по Linux, Go и GoBasis.  

• Опыт работы в крупных компаниях и знание инфраструктуры.  

• Вопросы задаются в чат, преподаватель видит их в прямом эфире.  

• План вебинара: знакомство, инфраструктура открытых ключей, практика, команда курса, карьерная информация, рефлексия.  

• Ведущий просит участников представиться и рассказать о себе.  

• Информация полезна для маркетологов и помогает определить уровень слушателей.  

• Примеры участников: Евгений из Санкт-Петербурга, Дмитрий из Москвы, Алексей из Москвы.  

• Отус специализируется на онлайн-обучении.  

• В отличие от других компаний, Отус не использует предзаписанные лекции.  

• Каждая лекция уникальна и готовится преподавателями заранее.  

• Отус предлагает продвинутые программы для специалистов с опытом и без.  

• Быстрый запуск курсов по новым технологиям.  

• Преподаватели готовятся к каждому занятию, что обеспечивает высокое качество обучения.  

• Отус имеет образовательную лицензию, что позволяет получать удостоверения повышения квалификации и дипломы профессиональной переподготовки.  

• Возможность налогового вычета за обучение.  

• Курсы Отуса доступны для разных уровней: джуниор, мидл, сеньор, элит.  

• Курсы охватывают различные направления: программирование, инфраструктура, тестирование, аналитика, информационная безопасность.  

• Более 130 курсов и более 600 преподавателей.  

• Преподаватели – практикующие специалисты с большим опытом.  

• Отус на рынке 6 лет, более 20 тысяч студентов прошли обучение, 430 тысяч ИТ-специалистов являются частью сообщества.  

• Обсуждение цели вебинара: внедрение и построение PKI на базе HashCorp Vault.  

• Введение в SSL и алгоритмы шифрования: симметричное и асимметричное шифрование.  

• Симметричное шифрование использует один ключ для шифрования и дешифрования.  

• Асимметричное шифрование использует два ключа: открытый для шифрования и закрытый для дешифрования.  

• Отправитель генерирует зашифрованный текст с помощью открытого ключа.  

• Зашифрованный текст передается по каналу связи, который может быть шифрованным или нет.  

• Получатель использует свой закрытый ключ для дешифрования и получения исходных данных.  

• Установка соединения, отправка и получение пакетов.  

• Обмен сертификатами и отправка данных.  

• Вопрос к аудитории: почему часто используется асимметричное шифрование?  

• Симметричное шифрование используется для обмена симметричным ключом.  

• Шифрование требует ресурсов, и современные процессоры не сильно увеличивают свою мощность.  

• Асимметричное шифрование применяется для передачи симметричного ключа, а не для шифрования данных.  

• Асимметричное шифрование используется для передачи симметричного ключа.  

• Симметричное шифрование работает быстрее и требует меньше ресурсов.  

• Цепочка сертификатов строится на основе корневого сертификата.  

• Корневые сертификаты установлены в большинстве операционных систем.  

• Российские банки предупреждают о необходимости использования сертификатов Минцифры.  

• Зарубежные компании предоставляют услуги корневых центров сертификации.  

• Цепочка доверия состоит из корневого, промежуточного и конечного сертификатов.  

• Это повышает безопасность, предотвращая утечку ключей.  

• Механизм отзыва сертификатов позволяет обновлять ключи при утечке.  

• Клиент проверяет валидность сертификата по цепочке.  

• Клиент может запросить всю цепочку сертификатов для проверки.  

• Протухание промежуточного сертификата приводит к валидности всех последующих сертификатов.  

• TLS и MTLS заменили SSL.  

• PKIX инфраструктура открытых ключей.  

• Рекомендуется использовать книгу "Основы криптографии" для углубленного изучения темы.  

• Центр сертификации выпускает ключи: открытые и закрытые.  

• Открытые ключи распространяются и добавляются в доверенные системы.  

• Инфраструктура позволяет проверять, подписывать и шифровать данные.  

• Инфраструктура открытых ключей обеспечивает безопасность коммуникаций и авторизацию.  

• Используются клиентские сертификаты для авторизации в системах.  

• Криптография с открытыми и закрытыми ключами используется для шифрования и дешифрования сообщений.  

• Инфраструктура включает управление цифровыми ключами и сертификатами.  

• Обеспечивает безопасность электронной подписи, шифрования и аутентификации.  

• Цель - конфиденциальность, целостность и аутентичность данных.  

• Доверие к центру сертификации делает трафик аутентифицированным и валидным.  

• Цифровые сертификаты создают цифровые подписи, которые проверяются.  

• Существует множество алгоритмов шифрования, включая ГОСТ 2012.  

• ГОСТ 2012 описывает алгоритмы шифрования, принятые в РФ.  

• Алгоритмы включают симметричные и асимметричные методы.  

• ФСБ использует эти алгоритмы для расшифровки трафика и безопасности.  

• Рассматривается алгоритм X.509 для электронных сертификатов.  

• Вопросы по алгоритмам шифрования отсутствуют.  

• Vault имеет клиентскую и серверную части, поддерживает кластеризацию.  

• Взаимодействие с Vault возможно через REST API, который поддерживает JSON.  

• Vault хранит ключи в сторожах, которые могут быть размещены в различных хранилищах.  

• Vault поддерживает множество типов хранилищ, включая файловые системы и облачные сервисы.  

• Vault кластеризуется и имеет множество плагинов для авторизации и политик.  

• Политики позволяют гибко настраивать доступ к ресурсам и секретам.  

• Vault поддерживает различные методы аутентификации, включая пароли, сертификаты и TLS.  

• AppRole позволяет авторизовываться с помощью одного ID, что обеспечивает безопасность.  

• Политики Vault позволяют ограничивать доступ к секретам в зависимости от подсети.  

• Vault объединяет все секреты в одном зашифрованном хранилище.  

• Встроенное шифрование позволяет использовать Vault как транзитное хранилище.  

• Динамические секреты позволяют предоставлять временный доступ к ресурсам.  

• Политики Vault позволяют контролировать доступ к секретам и аудит запросов.  

• Возможность запрета доступа к определенным секретам и аудит действий пользователей.  

• Инициализация Vault возможна через UI или командную строку.  

• База данных шифруется асимметричным ключом, который разбивается на определенное количество ключей.  

• Количество ключей указывается в секции "keyShares".  

• Для сборки мастер-ключа требуется минимум три ключа.  

• Разбиение ключа предотвращает утечку базы паролей при авариях.  

• Каждому инженеру выдается один ключ, что делает невозможным расшифровку базы без всех ключей.  

• После аварии достаточно собрать пять или шесть ключей для разблокировки хранилища.  

• После инициализации Volt рекомендуется отозвать рут-токен.  

• Вольт генерирует необходимое количество ключей в зависимости от "keyShares".  

• После создания учетной записи и отзыва рут-токена, генерируется сертификат.  

• Вольт версии 15.5 доступен через зеркало от Яндекса.  

• В Volt есть личное хранилище и центры сертификации.  

• Рут-сертификат генерируется отдельно для повышения безопасности.  

• Официальная документация по созданию сертификатов.  

• В цепочке сертификатов есть корневой и промежуточный сертификаты, но отсутствует клиентский сертификат.  

• Эта схема менее безопасна, но обеспечивает базовую защиту.  

• Генерация рутового сертификата включает включение секрета и использование утилиты `volt-brite`.  

• Проблема: при утечке базы данных можно получить только публичную часть сертификата, а не закрытую.  

• Для продакшна рекомендуется использовать утилиту `cent-trap` для генерации сертификата с парольной фразой.  

• Рутовые сертификаты обычно генерируются на 10 лет, иногда на 30 лет.  

• Использование алгоритма P-256 и указание длины цепочки сертификатов.  

• Генерация промежуточных сертификатов на 5 лет и ежегодных сертификатов для клиентов.  

• Инициализация PKI и настройка максимального срока действия сертификата.  

• Создание промежуточного и выпускающего центров сертификации.  

• Автоматизация выпуска сертификатов с помощью `consul-template` или `volt-agent`.  

• Вольт-агент позволяет авторизовываться через `app-role` и кэшировать токены.  

• Возможность интеграции с CI/CD системами для автоматизации выпуска сертификатов.  

• Вольт-агент может рендерить шаблоны и создавать переменные окружения.  

• Подготовка виртуальной машины для демонстрации.  

• Интеграция вольт-агента с Gitlab для передачи секретов.  

• Вольт-агент может рендерить шаблоны на файловую систему или создавать переменные окружения.  

• Проверка доступности машины и настройка подключения.  

• Ссылка на сайт Hashicorp для скачивания различных продуктов.  

• Различие между версиями Volt: Enterprise и Community.  

• Скачивание и запуск бинарника Linux MD64.  

• Использование плейбуков для автоматизации процесса.  

• Настройка DNS и запуск networking для доступа по DNS-имени.  

• Завершение плейбука и открытие терминала.  

• Настройка шрифта для удобства чтения.  

• Рекомендации по использованию устройств для просмотра.  

• Установка пакетов для минимальной инсталляции.  

• Скачивание и распаковка необходимых файлов.  

• Установка OpenSSL и других необходимых утилит.  

• Проверка версии OpenSSL.  

• Создание папки для установки Volt.  

• Скачивание и распаковка файлов для установки Volt.  

• Создаем бинарник и копируем его в центр.  

• Генерируем рутовый сертификат с помощью команды "contral c".  

• Вводим парольную фразу и получаем три файла.  

• Экспортируем переменную PATH и добавляем текущую директорию.  

• Инициализируем Volta, создаем шесть ключей и указываем кластер-адрес.  

• Включаем графический интерфейс и настраиваем авторизацию.  

• Указываем кластер-адрес и порт для прослушивания.  

• Включаем телеметрию и настраиваем сторож.  

• Используем встроенное хранилище для снапшотов.  

• Создаем сервис и указываем, что он запускается после network-setup.  

• Настраиваем запуск в режиме сервера и указываем конфигурационный файл.  

• Включаем лимит на количество открытых файлов.  

• Проверяем запуск Volta и получаем ошибку из-за отсутствия переменных среды.  

• Настраиваем переменные среды для доступа к Volta.  

• Проверяем статус и инициализацию Volta.  

• Ввод команды для инициализации хранилища и генерации ключей.  

• Использование веб-интерфейса для работы с ключами.  

• Сохранение сгенерированных ключей для дальнейшего использования.  

• Получение ключей для авторизации через командную строку.  

• Ввод ключей и запуск команды для авторизации.  

• Получение токена и авторизация в Volt.  

• Описание пустой инсталляции Volt и дефолтной авторизации.  

• Добавление новых секретов и настройка провайдеров авторизации.  

• Возможность блокировки Volt и создания снапшотов.  

• Генерация сертификата с использованием команды "certreq".  

• Подписание сертификата корневым сертификатом.  

• Копирование сертификата в доверенные сертификаты на машине.  

• Добавление сертификатов в папку с TLS.  

• Проверка наличия всех необходимых файлов.  

• Запуск Volt и проверка статуса.  

• Исправление ошибок в конфигурации и запуск Volt.  

• Проверка статуса и исправление ошибок прокси и конфигурации.  

• Удаление парольной фразы из сертификата и повторная генерация.  

• Удаление старых сертификатов и генерация нового без парольной фразы.  

• Подписание нового сертификата и передача парольной фразы.  

• Завершение настройки и запуск Volt.  

• Подписали сертификаты и ввели парольную фразу.  

• Проверили статус системы и убедились, что все работает.  

• Исправили ошибку с парольной фразой.  

• Проверили и обновили сертификаты.  

• Установили флаг "экспорт" для сертификатов.  

• Исправили проблемы с самоподписью сертификатов.  

• Ввели ключи в хранилище.  

• Проверили статус системы и убедились, что все работает.  

• Настроили хранилище ключей для дальнейшей работы.  

• Включили Secret Engine и авторизовались.  

• Использовали токен для авторизации.  

• Проверили, что токен работает корректно.  

• Прописали конфигурационные данные для Secret Engine.  

• Сгенерировали и сохранили индотерминальный сертификат.  

• Подготовили репку с конфигами для дальнейшего использования.  

• Проверка сертификата и использование алгоритма SHA-256.  

• Подписание сертификата с помощью утилиты certutil.  

• Создание подписанного сертификата и его сохранение в формате JSON.  

• Проверка содержимого сертификата и его импорт в хранилище.  

• Создание нового центра сертификации и настройка его параметров.  

• Генерация и подписание сертификата для нового центра сертификации.  

• Объединение сертификатов в цепочку и проверка их валидности.  

• Создание роли для выпуска сертификатов с определенными параметрами.  

• Настройка правил для выпуска сертификатов с использованием роли.  

• Выпуск сертификатов с использованием роли и настройка параметров.  

• Проверка и сохранение сертификатов в формате JSON.  

• Получение и проверка сертификатов для различных целей.  

• Сохранение сертификатов и их использование в различных системах.  

• Проверка и использование сертификатов для веб-серверов и клиентов.  

• Сохранение и использование закрытого ключа для сертификатов.  

• Обсуждение выпуска сертификатов и их внутреннего вида.  

• Проблемы с поиском сертификатов по имени и необходимость использования фингерпринта.  

• Вкладка "Тиди" для автоматической очистки сертификатов.  

• Настройка автоматической очистки сертификатов.  

• Возможность изменения параметров, таких как время сохранения и блокировка.  

• Управление ролями и сертификатами через интерфейс.  

• Ошибка при рендеринге темплейтов через "сикрет".  

• Проблема с генерацией новых сертификатов при каждом перезапуске.  

• Правильное решение: использование "виза" для получения существующих сертификатов.  

• Правильное использование "виза" для предотвращения генерации новых сертификатов.  

• Важность правильного подхода при автоматизации через "вольт агента" или консул темплейт.  

• Обещание предоставить ссылку на правильное решение в чате.  

• Обсуждение вопросов и переход к презентации.  

• Введение в команду и программу курса.  

• Маркетинговая история и процесс обучения.  

• Обучение проходит онлайн по вечерам или выходным.  

• Занятия начинаются в 8 вечера, проходят на платформе Zoom.  

• Материалы сохраняются в личном кабинете, доступны неограниченное время.  

• Домашние задания не обязательны, но помогают закрепить материал.  

• Преподаватель дает фидбек на домашние задания.  

• Возможность задавать вопросы преподавателю на вебинарах.  

• Временное обучение: 4 академических часа занятий и 4-8 часов домашних заданий в неделю.  

• Программа обновляется каждый месяц в зависимости от актуальных технологий.  

• Примеры тем: Kafka, Kubernetes, Docker, виртуализация.  

• Курс охватывает все современные технологии и стеки.  

• В Москве 1081 вакансия администратора Linux.  

• Средняя зарплата: 150-250 тысяч рублей.  

• Примеры вакансий и требований работодателей.  

• Подведение итогов: использование HashiCorp Vault для инфраструктуры открытых ключей.  

• Как установить, настроить и использовать Vault для создания сертификатов.  

• Курс стартует 29 февраля, информация доступна по QR-коду.  

• Ссылка на опрос в чате для зарегистрированных пользователей.  

• Опрос поможет улучшить и расширить курс в будущем.  

• После курса по Linux можно сразу переходить к DevOps.  

• Активное участие и вопросы помогут извлечь максимум из курса.  

• Пример с книгой по криптографии для лучшего понимания.  

• Создание новой папки и репозитория на GitHub.  

• Процесс коммита и пуша кода.  

• Ссылка на репозиторий для тех, кто хочет уйти.  

• Вопрос о способе авторизации в Volt без использования секрета.  

• Пример реализации авторизации на Go.  

• Возможность использования метода авторизации Volt-агента.  

• Ссылка на опрос и репозитории с кодом.  

• Программа выполнена, но курс будет более полным.  

• Вопросы и завершение мастер-класса.  

• Приглашение на платную версию курса и другие мероприятия.