Включаем встроенную учетную запись Администратора в Win7

Частенько сабж нужен, если на компе работает несколько пользователей с привилегиями не выше "опытные пользователи", это могут быть "пользователи". Итак запускаем cmd от имени администратора, вводим net user администратор /active:yes, все "Администратор" включен. По материалам отсюда. Далее приведу полный текст (на всякий случай).

Прежде всего необходимо понимать, что работа во встроенной учетной записи администратора подвергает компьютер риску. По умолчанию эта учетная запись отключена для обеспечения безопасности компьютера от вредоносных программ. Чтобы просто отключить запросы системы контроля учетных записей, измените ее настройки в Центре поддержки с помощью команды Изменение параметров контроля учетных записей.

Если же вы, невзирая на вышесказанное, предпочитаете включить встроенную учетную запись администратора, выполните указанные ниже действия.

1. Нажмите кнопку Пуск и введите в поле поиска строку cmd. В списке результатов поиска щелкните правой кнопкой пункт cmd и выберите вариант Запуск от имени администратора.
2. В командной строке введите команду:
   Для англоязычной Windows: net user administrator /active:yes и нажмите клавишу ВВОД.
   Для русскоязычной Windows: net user администратор /active:yes и нажмите клавишу ВВОД.
3. В командной строке введите команду:
   Для англоязычной Windows: net user administrator <пароль> и нажмите клавишу ВВОД.
   Для русскоязычной Windows: net user администратор <пароль> и нажмите клавишу ВВОД.
   Примечание. Тэг <пароль> замените паролем, который следует установить для учетной записи администратора.
4. Введите команду exit и нажмите клавишу ВВОД. Выйдите из текущей учетной записи.

Немного о ГосЗакупках.

Госзакупки(тут имеется ввиду электронный сайт) - это попытка нашего правительства бороться с так называемыми распилами и откатами, на деле же, наоборот, "хитровыдуманные" чичиковы наловчились воровать и тут :). Но хватит желчи, это же IT-блог. Сегодня настраиваем ПК для госзакупок, вернее разберем пару ошибок с ними связанных.

Итак, что же нам надо для корректной работы сабжа? По пунктам:

1. Компьютер, на котором можно установить ОС, поддерживающую MS Internet Explorer 8-10 (но не выше) и Microsoft Capicom (от поддержки которого Microsoft отказалась), а наши русские программисты так и не могут. Почему так длинно? Как бэ очевидно, что это Windows 7 и Windows XP (хотя поддержка его M$ приостановлена, с IE8 и Capicom он работает). И вообще аппаратные системные требования для слабаков :). Встала ОС иже с ней M$ Office и какой-нибудь антивирус, пользователя не раздражает его работа, нравится, что пока IE загружается кофейку можно попить, не будем переубеждать.
2. Затем, самый замечательный браузер! Разработчик решил, что это Internet Explorer не ниже 6-го. Учитывая, что IE6 дыряв как сыр и убог чуть менее чем полностью, а максимальная версия IE, с которой работает Capicom - это 10 (11 его не поддерживает). Выходит, можно использовать IE8 на WinXP и IE8-10 на Win7
3. Microsoft Capicom SDK. В Wiki кратко написано что это и с чем его едят. И небольшая заплаточка безопасности, которая легко ищется гуглом по запросу Security update for CAPICOM. Сам CAPICOM берем отсюда, заплатку качаем отсюда.
4. Крипто ПРО. От себя добавлю лишь, что КриптоПРО уникальнейший велосипед, реализующий шифрование с помощью нестандартных тоже велосипедных алгоритмов ГОСТ (ну нельзя у нас просто SSL пользоваться, надо на его основе свой велосипед собрать, а вдруг в стандартном софте присутствуют "шпионский код"?). Кстати поделка сертифицирована ФСТЭК'ом, что не может не радовать. Скачать можно отсюда? только выбрать Крипто ПРО CSP. Вообще для загрузки надо регистрироваться, а можно и не регистрироваться, так как стандартный тестовый пользователь не выпилен (и эти люди пишут серьезный криптографический софт?). Хотя дистрибутив да и лицензию к нему можно бесплатно получить, заполнив 100500 бумажек в Управлении Федерального Казначейства. Но это не путь настоящих джедаев, лицензию таким способом получить можно, а вот дистрибутив, который они раздают давно пропах "ковтолином".
5. Компонент, позволяющий вышеописанные велосипеды использовать в Internet Explorer 6-10 (компонента на данный момент 2 для ФЗ-44 он же 94 и ФЗ-223). Скачать можно тут. Там же корневые и серверные сертификаты Федерального Казначейства.
6. АРМ генерации ключей или СЭД УФК. Первый "обязательно" получать в Управлении Федерального Казначейства с заполнением 100500 бумажек. Опять же при должной сноровке можно найти. Здорово?

Как настроить рабочее место читаем в документах из раздела "документы". Талмуд конечно неслабый, зато там все подробно, как для леммингов, со скриншотами (как же без них правильно выставить галочку или нажать кнопочку?). Надо сказать что обилие документов в соответствующем разделе просто убивает, а тот язык, коим это все изложено иначе как "вода официозная" и назвать-то сложно. Но надо взять себя в руки и дочитать-таки. В конце там есть раздел посвященный решению проблем.

В двух словах. Ставим необходимый софт (это раз). Добавляем сайты https://zakupki.gov.ru, https://bus.gov.ru, https://esia.gosuslugi.ru в список доверенных. Снижаем безопасность для доверенных сайтов (разрешаем ActiveX, сценарии, разрешаем доступ к данным за пределами домена). Это два. Устанавливаем серверные и корневые сертификаты, личные сертификаты пользователей. Это три. Работаем. Не понимаю как эту инструкцию можно развести на такое количество листов?

Коротко об граблях. Во-первых АРМ генерации ключей и его большой брат СЭД не работают, если в Windows7 используется контроль учетных записей с уровнем выше "низкого" (каламбур-с?). Хотя есть небольшой хинт. Запускаем cmd от имени Администратора, переходим в папку, где у нас АРМ ГК и запускаем прогу оттуда. Все работает даже с контролем учетных записей. Ну например

Microsoft Windows [Version 6.1.7600]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.
C:\Users\Zavhoz>cd \
C:\>cd FkClnt1\EXE
C:\FkClnt1\EXE>!cbank.bat

Следующие грабли. При генерации новой ЭЦП после ввода всех данных через мастер (Администрирование -- криптозащита -- Генерация ключей ЭЦП и запроса на сертификацию) СЭД обращается к считывателю и выдает: Ошибка генерации #-2146893792. An internal error occurred. system last error message: Внутренняя ошибка.
Решение: Правильная настройка датчиков случайных чисел в КриптоПро. 1. Зайти в Пуск -- Настройка -- Панель управления -- КриптоПроCSP -- Оборудование -- кнопка "Настроить ДСЧ". 2. Удалить ДСЧ "Соболь". 3. Установить Биологический ДСЧ. Мануальчик скопипизжен отсюда. Спасибо аффтару :)

Не проходит авторизация с ЭЦП, срок действия которого не истек. Решение. Надо обновить корневой сертификат удостоверяющего центра, выдавшего ЭЦП. Недавно эти сертификаты обновились у СКБ-Контур'а.

Спасибо за внимание

Internet-шлюз для колледжа искусств. Часть 1. Проект

Наконец-то у меня дошли руки до переделки Internet-шлюза на работе! Как давно это планировалось! Ранее эту задачу выполнял компьютер вот такой конфигурации:

• CPU: Intel(R) Celeron(TM) CPU 1200MHz (Socket370)
• RAM: 512MiB (DIMM PC100)
• SVGA: NVIDIA Corporation NV11 [GeForce2 MX200]
• NET0: VIA Technologies, Inc. VT6105/VT6106S [Rhine-III]
  (На самом деле D-Link, не помню уже какой, но на чипе VT6105/VT6106S)
• NET1: Realtek Semiconductor Co., Ltd. RTL-8139/8139C/8139C+
• WI-FI: D-Link DWA-525
• HDD: Seagate Barracuda ST360021A (60GiB, 021A, то есть ATA)
• OS: Ubuntu GNU/Linux

Немного о софте. Програмная часть этого чуда человеческого(моего, наверное) гения представлена следующим набором:

• Ubuntu GNU/Linux Server 12.04
• iptables с "самодельным" скриптом ограничивающим(ну или разрешающим) каждому пользователю определенные действия.
• bridge-utils, для организации сетевого моста между одним из проводных и безпроводным интерфейсом
• wpasupplicant для шифрования беспроводного соединения
• squid3 - кэширующий proxy-сервер с кучей возможностей
• squidGuard - редиректор для squid
• free-sa - парсер логов squid
• Apache 2.4 с виртуальными хостами
• mySQL 5.5 открытая альтернатива MS SQL, БД
• PHP5 мощный интерпретируемый язык программирования
• Joomla 3 не просто же так LAMP развернут ;)
• open-SSH, чтобы всем этим безобразием управлять

В общем-то старый шлюз довольно неплохо со своими задачами справлялся, но, во-первых, он очень сильно шумел (во времена Pentium3 не было технологии SmartFan для кулеров CPU, не говоря уже о блоках питания, да и накопители жестких дисков стрекотали достаточно сильно). Во-вторых, каждое отключение питания приводило к тому, что материнская плата перестовала определять Wi-Fi-карточку (от чего я уже достаточно натерпелся критики со стороны коллег). В-третьих, эта машина выступает в роли LAMP-сервера (а по мере наполнения находящегося там сайта, я все больше боялся за сохранность информации, так как для ее хранения использовался старенький видавший виды накопитель НЖМД, на котором уже, кстати говоря появилось изрядное количество, а именно 0,1% BAD-блоков). Ну и в-четвертых, с переходом многих поисковиков на HTTPS-протокол прозрачного squid-а в режиме HTTP стало явно недостаточно, появилась, как говоил товарищ Ленин, Аг'хи сложная и аг'хи важная задача - обучить прокси-сервер работать с HTTPS-протоколом. Ну и последняя ложка дегтя, я не считаю Ubuntu GNU/Linux хорошей серверной платформой (гибкости в настройке ей явно не хватает, а сборка софта из сорцов, которая необходима для приспособления любимца всех админов, squid'а, превращает эту работу в некое подобие замечательной русской сказки про солдата Ивана Девяткина "Пойди туда, не знаю куда, принеси то, не знаю, что"). По поводу последнего высказывания, многие бы могли со мной поспорить, ведь aptitude предоставляет так называемые build-deps'ы, однако, попробуйте получить от пакета функцию не заложенную мейнтейнером, на самом деле все просто, надо всего-то навсего, знать от каких пакетов зависит наш пересобираемый. В случае, выпиливания функций все просто, ответы на наши вопросы дает система APT. А если нам надо добавить функционал? Научить Apache или Squid работать с SSL? Тогда нам надо знать не только зависимости, но и версии пакетов. Может быть у кого-то и получается, но у меня после недели акробатики со squid, которая так ни к чему не привела (это скорей камень в мой огород), возникла стойкая неприязнь к системе APT. Тем более, что была уже опробована более быстрая в плане производительности, гибкая в плане развертывания и настройки (но ни в коем случае не обслуживания!!!) система Gentoo GNU/Linux.

Итак, задачи, поставленные передо мной ясны: собрать из того что есть под рукой более быстрый и функциональный Intehytn-шлюз, который бы выполнял роль кэширующего прокси-сервера с поддержкой SSL, межсетевого экрана, сервера LAMP (опять же желательна поддержка SSL), и новая задача для него - почтовый сервер с фильтрацией спама (очень хочется эту функцию реализовать). О непосредственной реализации этих моих хотелок я расскажу в следующем посте.