La compagnia LLC «RusBITech-Astra» ha presentato il distributore di specialità Astra Linux Special Edition 1.8, che può essere utilizzato per proteggere informazioni riservate e segreti di Stato fino al livello «di particolare importanza». Il distributore si basa su una base di pacchetti Debian GNU/Linux e contiene meccanismi di sicurezza aggiuntivi come un proprio sistema di gestione degli accessi mandatari, audit, controllo dell'integrità e autenticità dei file (PARSEC), cancellazione garantita dei file, e compilazione del kernel con patch per aumentare la sicurezza. L'ambiente utente è costruito sulla base dell'ambiente desktop proprietario Fly, con componenti che utilizzano la libreria Qt.
Il distributore è distribuito nell'ambito di un accordo di licenza che impone una serie di restrizioni agli utenti, in particolare, l'uso commerciale è vietato senza la conclusione di un contratto di licenza, così come la decompilazione e la disassemblaggio del prodotto. Gli algoritmi originali, realizzati specificamente per Astra Linux, e il codice sorgente sono considerati segreti commerciali. All'utente è consentito riprodurre solo un'unità del prodotto su un singolo computer o macchina virtuale, e ha anche il diritto di realizzare solo una copia di backup del supporto con il prodotto. Le versioni di installazione pronte al momento non sono fornite pubblicamente, ma sono disponibili le immagini dei contenitori e macchine virtuali.
Il rilascio ha superato con successo una serie di test nel sistema di certificazione dei mezzi di protezione delle informazioni del FSTEK della Russia per il primo, il massimo livello di fiducia, cioè può essere utilizzato per elaborare informazioni che costituiscono un segreto di Stato di «particolare importanza». Nel certificato è confermata la conformità ai requisiti di sicurezza per i sistemi operativi, i mezzi di virtualizzazione e containerizzazione, nonché per i DBMS.
Variazioni principali:
- Il pacchetto di base è stato aggiornato a Debian 12.
- Sono disponibili due pacchetti con il kernel Linux, basati sulle versioni 6.1 e 6.6. Il kernel 6.1 è fornito con modifiche e correzioni da ISP RAN e sarà supportato per tutto il ciclo di vita del sistema operativo. Il kernel 6.6 è classificato come un ciclo di supporto a breve termine.
- Sono state proposte due diverse repository: Main ed Extended. La prima include i pacchetti che hanno completato l'intero ciclo di certificazione, mentre la seconda contiene strumenti di sviluppo, pacchetti per la compilazione della repository Main e pacchetti aggiuntivi sia applicativi che di sistema.
- È stato utilizzato un nuovo installer astra-installer che si avvia dopo il caricamento del sistema in modalità Live. È supportata la gestione remota dell'installazione, utilizzando il protocollo VNC.
- È stato automatizzato il processo di aggiornamento dalla versione Astra Linux 1.7 alla 1.8; in caso di problemi, è possibile tornare allo stato precedente.
- È stato implementato uno schema per l'assegnazione di nomi prevedibili delle interfacce di rete.
- È stato incluso un server DHCP Kea.
- L'interfaccia per l'amministrazione del sistema fly-admin-smc è stata sostituita dallo strumento astra-systemsettings, che fornisce accesso a diversi moduli di configurazione. Tra l'altro, è stato integrato un modulo per la gestione della politica di sicurezza locale che non richiede l'avvio di un programma separato fly-admin-smc. Sono disponibili anche moduli per la gestione degli utenti, la gestione degli accessi basata su mandato, il controllo dell'integrità basato su mandato, il controllo dell'integrità dei file tramite firme digitali, la configurazione del sistema di audit, la registrazione delle unità collegate, la configurazione della pulizia della memoria, l'attivazione della modalità kiosk grafica e la valutazione dello stato delle funzionalità di sicurezza.
- Sono stati implementati profili di configurazione raccomandati per i sistemi di protezione delle informazioni per vari scenari di utilizzo. In precedenza, per conformarsi a diverse classi di sicurezza dei sistemi, erano state fornite istruzioni di configurazione che richiedevano il lavoro manuale dell'amministratore. Nella nuova versione, il processo di modifica delle configurazioni è automatizzato.
- Per il controllo dinamico dell'integrità del software è stata aggiunta la possibilità di utilizzare il sistema di chiavi crittografiche KryptoPro CSP e certificati per la verifica delle firme digitali rilasciate da un'autorità di certificazione.
- È stato proposto un nuovo stile di design Astra Proxima, che riflette le tendenze moderne nella costruzione delle interfacce, mantenendo però la disposizione abituale e il minimalismo. Sono disponibili quattro modalità di design: chiara, scura, semplificata (senza effetti grafici) e per utilizzi specifici.
- Il menu delle applicazioni è stato modernizzato e ristrutturato (è prevista la possibilità di tornare al menu classico).
- È stata aggiunta la tematica sonora "Minimalismo stellare", creata con la partecipazione di Roscosmos sulla base di suoni provenienti da oggetti spaziali reali.
- È stato aggiunto il pacchetto fly-dm-rdp per organizzare il collegamento remoto al sistema tramite il protocollo RDP.
- Nel file manager fly-fm è stato aggiunto un editor della barra degli strumenti ed è stata introdotta la possibilità di visualizzare risorse di rete montate nel pannello di navigazione. In modalità a due pannelli, sono state implementate due barre degli indirizzi indipendenti.
- Il pacchetto OpenSSL è stato aggiornato alla versione 3.2.0.
- Il DBMS Tantor è stato aggiornato alla base di codice PostgreSQL 15 (in precedenza era utilizzato PostgreSQL 11) con aggiunte per la protezione delle informazioni e la gestione degli accessi. * Nei browser Chromium, Chromium-gost e Firefox è stato integrato il certificato dell'ente certificatore MinDigital della Federazione Russa.
- È stata aggiunta la supporto per snapshot di macchine virtuali con UEFI, esportazione/importazione di macchine virtuali con snapshot, creazione di backup di macchine virtuali tramite virtnbdbackup, unione di macchine virtuali in gruppi in virt-manager.
- Nelle risorse per il controllo di integrità mandatorio è stata implementata la possibilità di usare un livello gerarchico di integrità, in cui la radice del FS e tutti gli oggetti file dopo l'installazione hanno un'integrità lineare nulla, mentre agli oggetti file e ai processi avviati può essere assegnata un'integrità lineare negativa.
- È stata aggiunta la possibilità di garantire il controllo dell'integrità degli oggetti del file system e dei pacchetti deb basato su modelli, che rappresentano elenchi di file da controllare tramite checksum.
- Sono state aggiunte nuove autorizzazioni: cap_perfmon (consente l'uso di sistemi di monitoraggio), cap_bpf (consente alcune operazioni con BPF), cap_checkpoint_restore (consente di determinare il PID assegnato al prossimo processo creato all'interno dello spazio dei nomi).
Fonte: opennet.ru
