zuevav
10305a095e
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_014FsEKyJrYF69Cj9ZXzFLRi
221 lines
13 KiB
Bash
Executable File
221 lines
13 KiB
Bash
Executable File
#!/bin/bash
|
|
# bj-keymedia-install — установка ключа Валидаты на съёмный носитель.
|
|
# Сохраняет структуру архива НРД (key.reg + spr<N>/ + vdkeys/) в профиль на
|
|
# носителе, ПЕРЕСОБИРАЕТ совместимый справочник сертификатов (архивный gdbm НРД
|
|
# несовместим — bj-validata-rebuild-gdbm чинит), и формирует профиль для ИШ.
|
|
# inspect <staging>
|
|
# install <staging> [profile_name]
|
|
# restart-ish
|
|
set -uo pipefail
|
|
DEFAULT_KEYMEDIA=/var/lib/igate/keymedia
|
|
BACKUP_DIR=/var/lib/bj/key-backups
|
|
IGATE_PROFILES=/var/lib/igate/profiles
|
|
IGATE_INI=/var/lib/igate/.Validata/zpki.ini
|
|
VDLIB=/opt/Validata/VDCSP/lib/amd64
|
|
ZPKI=/opt/Validata/VDCSP/bin/amd64/zpki1utl
|
|
REBUILD=/usr/local/sbin/bj-validata-rebuild-gdbm
|
|
ACTION="${1:-}"; STAGING="${2:-}"; PROFILE="${3:-}"
|
|
TARGET_MNT="${BJ_TARGET_MNT:-}"; TARGET_DEV="${BJ_TARGET_DEV:-}"
|
|
err(){ echo "{\"ok\":false,\"error\":\"$1\"}"; exit 1; }
|
|
|
|
if [ "$ACTION" = "restart-ish" ]; then
|
|
systemctl restart igate.service >/dev/null 2>&1 || systemctl restart igate-svc >/dev/null 2>&1 || true
|
|
echo '{"ok":true,"action":"restart-ish"}'; exit 0
|
|
fi
|
|
|
|
# ---- сертификаты НРД в справочнике активного профиля ИШ ----
|
|
# BJ_CHANNEL — начало кода канала ИШ контура (TEST3 | PROD): у тестового и боевого контуров свои ключи и профили
|
|
CHAN_PREFIX=$(printf '%s' "${BJ_CHANNEL:-}" | tr -cd 'A-Z0-9')
|
|
chan_where(){ if [ -n "$CHAN_PREFIX" ]; then echo "chanel_id in (select id from channels where code like '${CHAN_PREFIX}%')"; else echo "chanel_id is not null"; fi; }
|
|
prof_dir(){
|
|
PROFILE_NAME=$(su -s /bin/sh postgres -c "psql -d igate -tAc \"select value from parameters where name='cryptography.profile' and value<>'' and $(chan_where) order by chanel_id limit 1\"" 2>/dev/null | tr -d '[:space:]')
|
|
[ -n "$PROFILE_NAME" ] || err "профиль ИШ не задан (cryptography.profile)"
|
|
PROFDIR="$IGATE_PROFILES/$PROFILE_NAME"
|
|
[ -f "$PROFDIR/local.gdbm" ] && [ -f "$PROFDIR/local.pse" ] || err "нет справочника в $PROFDIR"
|
|
}
|
|
certs_list_json(){
|
|
python3 - "$PROFDIR/local.pse" "$PROFDIR/local.gdbm" <<'PY2'
|
|
import sys,subprocess,json,re
|
|
out=[]; seen=set()
|
|
for p in sys.argv[1:]:
|
|
store=p.rsplit('.',1)[-1]
|
|
try: d=open(p,'rb').read()
|
|
except Exception: continue
|
|
i=0
|
|
while True:
|
|
i=d.find(b'\x30\x82',i)
|
|
if i<0: break
|
|
L=int.from_bytes(d[i+2:i+4],'big'); b=d[i:i+4+L]
|
|
if 100<L<20000 and len(b)==4+L:
|
|
r=subprocess.run(['openssl','x509','-inform','DER','-noout','-subject','-issuer','-serial','-dates','-nameopt','utf8,sep_comma_plus'],input=b,stdout=subprocess.PIPE,stderr=subprocess.DEVNULL)
|
|
if r.returncode==0:
|
|
o=r.stdout.decode('utf-8','replace'); g=lambda k:(re.search('^'+k+'=(.*)$',o,re.M) or [None,''])[1].strip()
|
|
cn=lambda v:(re.search(r'CN=([^,]+)',v) or [None,''])[1].strip()
|
|
sn=g('serial').upper()
|
|
if sn in seen: i+=4; continue
|
|
seen.add(sn)
|
|
out.append({'kind':'x509','store':store,'subject':g('subject'),'subject_cn':cn(g('subject')),'issuer_cn':cn(g('issuer')),'serial':sn,'not_before':g('notBefore'),'not_after':g('notAfter'),'self_signed':g('subject')==g('issuer')})
|
|
else:
|
|
r=subprocess.run(['openssl','crl','-inform','DER','-noout','-issuer','-nextupdate','-nameopt','utf8,sep_comma_plus'],input=b,stdout=subprocess.PIPE,stderr=subprocess.DEVNULL)
|
|
if r.returncode==0:
|
|
o=r.stdout.decode('utf-8','replace'); m=re.search(r'CN=([^,\n]+)',o); n=re.search(r'nextUpdate=(.*)',o)
|
|
out.append({'kind':'crl','store':store,'issuer_cn':(m.group(1).strip() if m else ''),'not_after':(n.group(1).strip() if n else '')})
|
|
i+=4
|
|
print(json.dumps(out,ensure_ascii=False))
|
|
PY2
|
|
}
|
|
if [ "$ACTION" = "certs-list" ]; then
|
|
prof_dir
|
|
echo "{\"ok\":true,\"profile\":\"$PROFILE_NAME\",\"dir\":\"$PROFDIR\",\"certs\":$(certs_list_json)}"; exit 0
|
|
fi
|
|
if [ "$ACTION" = "certs-apply" ]; then
|
|
prof_dir
|
|
case "$STAGING" in /var/lib/bj/nsd-certs-apply/*) [ -d "$STAGING" ] || err "нет папки с сертификатами" ;; *) err "staging вне зоны" ;; esac
|
|
TS=$(date +%Y%m%d-%H%M%S); BK="$BACKUP_DIR/certs-$PROFILE_NAME-$TS"; mkdir -p "$BK"
|
|
cp -a "$PROFDIR"/local.pse "$PROFDIR"/local.gdbm "$BK"/ || err "бэкап справочника не удался"
|
|
restore(){ cp -a "$BK"/local.pse "$BK"/local.gdbm "$PROFDIR"/; chown igate:igate "$PROFDIR"/local.*; chmod 644 "$PROFDIR"/local.*; }
|
|
OUT=$(EXTRA_DIR="$STAGING" EXCLUDE_SERIALS="${BJ_EXTRA:-}" "$REBUILD" "$PROFDIR" 2>"$BK/rebuild.log")
|
|
echo "$OUT" | grep -q '"ok":true' || { restore; echo "$OUT"; exit 1; }
|
|
chown igate:igate "$PROFDIR"/local.*; chmod 644 "$PROFDIR"/local.*
|
|
# оракул: подписать файл этим профилем (без GUI). Провал → откат.
|
|
T=$(mktemp -d); echo test > "$T/f"; chown -R igate:igate "$T"
|
|
SIG=$(su -s /bin/sh igate -c "HOME=/var/lib/igate LD_LIBRARY_PATH=$VDLIB $ZPKI -sign -profile '$PROFILE_NAME' -registry -in '$T/f' -out '$T/s' -sendcert" 2>&1); RC=$?
|
|
SIGOK=0; [ $RC -eq 0 ] && [ -s "$T/s" ] && SIGOK=1; echo "$SIG" | grep -qiE 'ошибк|error' && SIGOK=0
|
|
printf '%s\n' "$SIG" > "$BK/sign-check.log"; rm -rf "$T"
|
|
if [ $SIGOK -ne 1 ]; then restore; systemctl restart igate.service >/dev/null 2>&1; err "проверка подписи после пересборки не прошла — справочник откачен: $(echo "$SIG" | grep -iE 'ошибк|error|Результат' | head -1 | tr -d '"\\')"; fi
|
|
systemctl restart igate.service >/dev/null 2>&1 || systemctl restart igate-svc >/dev/null 2>&1 || true
|
|
sleep 5; ACT=$(systemctl is-active igate.service 2>/dev/null || echo unknown)
|
|
echo "{\"ok\":true,\"profile\":\"$PROFILE_NAME\",\"backup\":\"$BK\",\"igate\":\"$ACT\",\"rebuild\":$OUT,\"certs\":$(certs_list_json)}"; exit 0
|
|
fi
|
|
|
|
[ -n "$STAGING" ] && [ -d "$STAGING" ] || err "staging не найден"
|
|
case "$STAGING" in /var/lib/bj/media/iso/*) : ;; *) err "staging вне зоны" ;; esac
|
|
VDK=$(find "$STAGING" -iname '*.vdk' | head -1)
|
|
GDBM=$(find "$STAGING" -iname '*.gdbm' | head -1)
|
|
[ -n "$VDK" ] || err "в архиве нет .vdk"
|
|
VDK_NAME=$(basename "$VDK")
|
|
SPRDIR=""; [ -n "$GDBM" ] && SPRDIR=$(dirname "$GDBM") # .../spr1046
|
|
SPRNAME=""; [ -n "$SPRDIR" ] && SPRNAME=$(basename "$SPRDIR") # spr1046
|
|
USERNUM=$(echo "$SPRNAME" | grep -oE '[0-9]+' | head -1) # 1046
|
|
|
|
if [ "$ACTION" = "inspect" ]; then
|
|
printf '{"ok":true,"vdk":"%s","profile_dir":"%s","has_gdbm":%s,"has_crl":%s}\n' \
|
|
"$VDK_NAME" "$SPRNAME" "$([ -n "$GDBM" ]&&echo true||echo false)" \
|
|
"$([ -n "$(find "$STAGING" -iname '*.crl' | head -1)" ]&&echo true||echo false)"
|
|
exit 0
|
|
fi
|
|
[ "$ACTION" = "install" ] || err "неизвестное действие"
|
|
|
|
# ---- целевая точка монтирования (флешка) ----
|
|
TMP_MNT=""; UMOUNT_AFTER=0
|
|
[ -z "$TARGET_MNT" ] && [ -z "$TARGET_DEV" ] && TARGET_MNT="$DEFAULT_KEYMEDIA"
|
|
if [ -z "$TARGET_MNT" ] && [ -n "$TARGET_DEV" ]; then
|
|
TMP_MNT="/run/bj-keymedia-$$"; mkdir -p "$TMP_MNT"
|
|
mount "$TARGET_DEV" "$TMP_MNT" || err "не смонтировать $TARGET_DEV"
|
|
TARGET_MNT="$TMP_MNT"; UMOUNT_AFTER=1
|
|
fi
|
|
[ -d "$TARGET_MNT" ] || err "целевой носитель недоступен"
|
|
|
|
TS=$(date -u +%Y%m%d-%H%M%S); mkdir -p "$BACKUP_DIR"
|
|
BACKUP="$BACKUP_DIR/keymedia-$TS.tar.gz"
|
|
tar czf "$BACKUP" -C "$TARGET_MNT" . 2>/dev/null || err "бэкап не удался"
|
|
|
|
REMOUNTED=0
|
|
mount | grep -q " $TARGET_MNT .*[(,]ro[,)]" && { mount -o remount,rw "$TARGET_MNT" || err "remount rw не удался"; REMOUNTED=1; }
|
|
finish(){ sync; [ "$REMOUNTED" = 1 ] && mount -o remount,ro "$TARGET_MNT" 2>/dev/null; [ "$UMOUNT_AFTER" = 1 ] && { umount "$TMP_MNT" 2>/dev/null; rmdir "$TMP_MNT" 2>/dev/null; }; }
|
|
trap finish EXIT
|
|
|
|
# имя профиля: задано пользователем, иначе PrUser<N>
|
|
[ -n "$PROFILE" ] || PROFILE="PrUser${USERNUM:-_$TS}"
|
|
case "$PROFILE" in *[!A-Za-z0-9_-]*) err "недопустимое имя профиля" ;; esac
|
|
DEST="$TARGET_MNT/$PROFILE"
|
|
rm -rf "$DEST"; mkdir -p "$DEST" "$TARGET_MNT/vdkeys"
|
|
cp -rf "$STAGING"/. "$DEST"/ 2>/dev/null # key.reg + spr<N>/ + vdkeys/
|
|
cp -f "$VDK" "$TARGET_MNT/vdkeys/$VDK_NAME"
|
|
sync
|
|
|
|
# ---- зарегистрировать ключевой носитель (vdmkdev читает ключ с флешки) ----
|
|
systemctl restart vdmkdev.service >/dev/null 2>&1 || /etc/init.d/vdmkdev restart >/dev/null 2>&1 || true
|
|
sleep 2
|
|
|
|
# ---- ПЕРЕСОБРАТЬ совместимый справочник на флешке (архивный gdbm malformed) ----
|
|
REBUILD_RES="skip"; FLASH_SPR="$DEST/$SPRNAME"
|
|
if [ -n "$SPRNAME" ] && [ -x "$REBUILD" ] && [ -f "$FLASH_SPR/local.pse" ]; then
|
|
RB=$("$REBUILD" "$FLASH_SPR" 2>&1)
|
|
if echo "$RB" | grep -q '"ok":true'; then REBUILD_RES="ok"; else REBUILD_RES="fail: $(echo "$RB"|tr -d '\n"'|head -c160)"; fi
|
|
sync
|
|
fi
|
|
|
|
# ---- сформировать профиль для ИШ (стораны на диске, ключ остаётся на флешке) ----
|
|
IGATE_RES="skip"
|
|
if [ "$REBUILD_RES" = "ok" ] && [ -d "$(dirname "$IGATE_PROFILES")" ]; then
|
|
IGP="$IGATE_PROFILES/$PROFILE"
|
|
rm -rf "$IGP"; mkdir -p "$IGP"
|
|
cp -f "$FLASH_SPR/local.pse" "$FLASH_SPR/local.gdbm" "$IGP"/ 2>/dev/null
|
|
# CRL-файлы рядом (если есть) — для офлайн-валидации
|
|
find "$DEST" -iname '*.crl' -exec cp -f {} "$IGP"/ \; 2>/dev/null
|
|
chown -R igate:igate "$IGP" 2>/dev/null
|
|
chmod 644 "$IGP"/local.* 2>/dev/null
|
|
# зарегистрировать профиль в zpki.ini ИШ (идемпотентно)
|
|
if [ -f "$IGATE_INI" ]; then
|
|
python3 - "$IGATE_INI" "$PROFILE" "$IGP" <<'PY' && IGATE_RES="ok" || IGATE_RES="ini-fail"
|
|
import sys
|
|
ini,name,igp=sys.argv[1],sys.argv[2],sys.argv[3]
|
|
L=open(ini).read().split("\n")
|
|
# убрать прежний блок профиля с тем же именем
|
|
out=[]; skip=False
|
|
i=0
|
|
while i<len(L):
|
|
l=L[i]
|
|
if l.strip().startswith("[Profile_") :
|
|
# прочитать имя блока
|
|
blk=[l]; j=i+1
|
|
while j<len(L) and not L[j].strip().startswith("["):
|
|
blk.append(L[j]); j+=1
|
|
if any(b.strip()==f"Name = {name}" for b in blk):
|
|
i=j; continue # выкинуть старый одноимённый
|
|
out+=blk; i=j; continue
|
|
out.append(l); i+=1
|
|
L=out
|
|
# найти max индекс Profile_N
|
|
idx=-1
|
|
for l in L:
|
|
s=l.strip()
|
|
if s.startswith("[Profile_") and s.endswith("]"):
|
|
try: idx=max(idx,int(s[len("[Profile_"):-1]))
|
|
except: pass
|
|
n=idx+1
|
|
# нарастить Count в секции верхнеуровневых профилей (последний 'Count = K' до первого Profile_)
|
|
firstp=next((k for k,l in enumerate(L) if l.strip().startswith("[Profile_")), len(L))
|
|
for k in range(firstp-1,-1,-1):
|
|
if L[k].strip().startswith("Count = "):
|
|
try: L[k]=f"Count = {int(L[k].split('=')[1])+1}"
|
|
except: pass
|
|
break
|
|
L+=[f"[Profile_{n}]",f"Name = {name}","Count = 2",
|
|
f"store_0 = pse://signed//{igp}/local.pse",
|
|
f"store_1 = file://{igp}/local.gdbm"]
|
|
open(ini,"w").write("\n".join(L))
|
|
PY
|
|
fi
|
|
# подключить профиль к ИШ: cryptography.profile в БД igate (канал 33)
|
|
nchan=1
|
|
if [ "$IGATE_RES" = "ok" ] && [ -n "$CHAN_PREFIX" ]; then
|
|
nchan=$(su -s /bin/sh postgres -c "psql -d igate -tAc \"select count(*) from channels where code like '${CHAN_PREFIX}%'\"" 2>/dev/null | tr -d '[:space:]')
|
|
fi
|
|
if [ "$IGATE_RES" = "ok" ] && [ "${nchan:-0}" = 0 ]; then
|
|
# канала этого контура в ИШ ещё нет: профиль запоминаем — bj-igate-admin подключит его при настройке канала
|
|
printf '%s\n' "$PROFILE" > "/var/lib/igate/.bj-profile-$CHAN_PREFIX"; chown igate:igate "/var/lib/igate/.bj-profile-$CHAN_PREFIX" 2>/dev/null
|
|
IGATE_RES="pending-channel"
|
|
elif [ "$IGATE_RES" = "ok" ]; then
|
|
# только канал контура этого ключа (BJ_CHANNEL); старый bj без контура — все каналы, как раньше. Канал с ключом включаем.
|
|
if su -s /bin/sh postgres -c "psql -d igate -tAc \"update parameters set value='$PROFILE' where name='cryptography.profile' and $(chan_where); update channels set enable=true where id in (select chanel_id from parameters where name='cryptography.profile' and value='$PROFILE'); update parameters set value='True' where name='enable' and chanel_id in (select chanel_id from parameters where name='cryptography.profile' and value='$PROFILE')\"" >/dev/null 2>&1; then
|
|
IGATE_RES="connected"
|
|
fi
|
|
fi
|
|
fi
|
|
|
|
finish; trap - EXIT
|
|
printf '{"ok":true,"profile":"%s","spr":"%s","vdk":"%s","backup":"%s","target":"%s","rebuild":"%s","igate":"%s","igate_profile_dir":"%s"}\n' \
|
|
"$PROFILE" "$SPRNAME" "$VDK_NAME" "$BACKUP" "$TARGET_MNT" "$REBUILD_RES" "$IGATE_RES" "$IGATE_PROFILES/$PROFILE"
|