Недавно нашей компанией был представлен новый криптопровайдер КриптоПро CSP 5.0. Он обладает довольно широкой функциональностью, поэтому мы решили выпустить серию небольших статей-инструкций, которые покажут, как можно потестировать наиболее существенные нововведения.
Начнем с самой крупной инновации — работы с «облачными токенами»: удаленными хранилищами неизвлекаемых ключей. В качестве непосредственного хранилища ключей выступает защищенный сервер КриптоПро HSM, к которому подключен сервер удаленной подписи КриптоПро DSS. Использование КриптоПро CSP 5.0 позволяет получить доступ к ключам HSM через использование стандартного интерфейса CryptoAPI.
Данная инструкция покажет, как за пару кликов научить CSP «видеть» ваши ключи. В качестве примера мы будем пользоваться тестовым сервером dss.cryptopro.ru. Заранее заметим, что данный тестовый сервис поддерживает только ключи алгоритма ГОСТ Р 34.10-2001.
Создание тестового пользователя
Первым делом, заведем пользователя на тестовом сервере. Для этого зайдем в его веб-интерфейс и нажмем кнопку «Регистрация»:
КриптоПро бесплатно + ИНСТРУКЦИЯ по авто настройке ПК для ЭЦП + регистрация в ЕИС. Крипто Про
Заполним форму регистрации и подтвердим создание пользователя:
После регистрации мы попадаем на основной экран пользователя, где перечислены сертификаты, соответствующие хранящимся на сервере закрытым ключам. У нового пользователя, разумеется, сертификатов нет. Есть два пути, как их добавить: скопировать существующий контейнер и создать новый. Рассмотрим оба.
Копирование пользовательского контейнера
Прежде всего, у вас должен быть ключевой контейнер формата КриптоПро, а сертификат для него должен быть установлен в системное хранилище. Если сертификата нет, его можно выпустить на нашем тестовом сервисе (открывать через Internet Explorer). При генерации не забудьте пометить ключ как экспортируемый.
Для переноса ключа открываем системное хранилище сертификатов (Win-R – certmgr.msc – ОК), выбираем сертификат, нажимаем правой кнопкой – «Все задачи» – «Экспорт»:
В Мастере экспорта сертификатов указываем, что хотим экспортировать сертификат с закрытым ключом и выполняем экспорт в формат pfx, установив произвольный пароль.
Возвращаемся на экран управления DSS и нажимаем кнопку «Установить сертификат»:
Здесь выбираем экспортированный pfx-контейнер и нажимаем кнопку «Загрузить сертификат». В результате в списке сертификатов должен появиться ваш скопированный сертификат, который можно просмотреть.
Создание запроса через DSS
Второй путь получения сертификата — это создание запроса на УЦ, который непосредственно подключен к DSS.
Как активировать ЭЦП, полученную в налоговой. Как установить сертификат ЭЦП ФНС на компьютер.
Нажимаем «Создать запрос на сертификат», вводим данные (обязательно только поле CN) и создаём запрос. Во всплывающем окне ПИН-код можно оставить пустым.
Выпущенный сертификат сразу попадает в список и также доступен для просмотра.
Подключение к CSP
Через эту же веб-форму можно напрямую подписывать и зашифровывать документы, проверять данные и т.д., но, если вам нужно использовать ключи во внешних приложениях, нужно зарегистрировать эти сертификаты в CSP. Самый простой способ — воспользоваться утилитой CryptoPro Tools (Инструменты КриптоПро), входящей в состав КриптоПро CSP 5.0.
Запускаем её из меню Пуск и выбираем пункт «Облачный провайдер»:
В появившемся окне вбиваем адреса используемых сервисов авторизации и доступа к DSS. Для тестового сервиса пользуемся адресами по умолчанию.
Нажимаем кнопку «Установить сертификаты». Если вы правильно указали адреса, должно появиться браузерное окно аутентификации на DSS. Вводим учетные данные, указанные при регистрации:
В процессе установки сертификатов с сервера будут скачаны и установлены цепочки сертификатов, что может приводить к окнам с предупреждениями:
Если все настроено корректно, приложение сообщит об успешной установке сертификатов и их можно будет просмотреть на вкладке «Контейнеры» или в любом приложении, использующем CryptoAPI:
Теперь данные контейнеры можно использовать в любых приложениях. Если, например, установленный сертификат является квалифицированным, то с его помощью можно подключиться к gosuslugi.ru или nalog.ru.
зам. начальника отдела разработки ФКН,
Источник: www.cryptopro.com
Как установить личный сертификат
1. Выберите «Пуск» > «Панель управления» > «КриптоПро CSP», перейдите на вкладку «Сервис» и кликните по кнопке «Просмотреть сертификаты в контейнере».
2. В открывшемся окне нажмите на кнопку «Обзор», чтобы выбрать контейнер для просмотра. После выбора контейнера нажмите на кнопку «Ок».
3. В открывшемся окне нажмите кнопку «Далее».
4. В следующем окне нажмите на кнопку « Установить», после чего утвердительно ответьте на уведомление о замене сертификата (если оно появится). Сертификат установлен.
5. Если кнопка « Установить » отсутствует, то в окне « Сертификат для просмотра » нажмите на кнопку « Свойства ».
6. В открывшемся окне выберите « Установить сертификат » .
7. В окне « Мастер импорта сертификатов » выберите « Далее » . В следующем окне оставьте переключатель на пункте « Автоматически выбрать хранилище на основе типа сертификата » и нажмите « Далее » . Сертификат будет установлен в хранилище « Личные » .
8. В следующем окне выберите « Далее » , затем нажмите на кнопку « Готово » и дождитесь сообщения об успешной установке.
Подготовить, проверить и сдать отчетность в ФНС, ПФР, ФСС, Росстат, РАР, РПН через интернет
Установка через меню «Установить личный сертификат»
1. Выберите « Пуск » > « Панель управления » > « КриптоПро CSP » . В окне Свойства КриптоПро CSP перейдите на вкладку « Сервис » и кликните по кнопке « Установить личный сертификат » .
2. В окне « Мастер импорта сертификатов» нажмите на кнопку « Далее » . В следующем окне кликните по кнопке « Обзор » и выберите файл сертификата.
3. Далее укажите путь к сертификату и нажмите на кнопку « Открыть »> « Далее » .
4. В следующем окне кликните по кнопке « Далее ».
5. Нажмите кнопку « Обзор » .
6. Укажите контейнер закрытого ключа, соответствующий сертификату, и нажмите кнопку « Ок ».
7. После выбора контейнера нажмите на кнопку « Далее » .
8. В окне « Выбор хранилища сертификатов » кликните по кнопке « Обзор ».
Если установлена версия КриптоПро CSP 3.6 R2 (версия продукта 3.6.6497) или выше, то поставьте галку « Установить сертификат в контейнер ».
9. Выберите хранилище « Личные » и нажмите « ОК » .
10. После выбора хранилища нажмите на кнопку « Далее » , затем « Готово » . После нажатия на кнопку « Готово » может появиться вопрос о замене существующего сертификата новым. В окне запроса выберите « Да » .
Дождитесь сообщения об успешной установке. Сертификат установлен.
Подготовить, проверить и сдать отчетность в ФНС, ПФР, ФСС, Росстат, РАР, РПН через интернет
Источник: www.kontur-extern.ru
Как я настраивал новые утилиты по работе с электронной подписью в Linux
Поговорим немного про средства электронной подписи (ЭП) с использованием отечественных ГОСТ-алгоритмов в Linux. Несмотря на то, что различные средства и интерфейсы по работе с ЭП в Linux развиты даже лучше, чем в Windows, использовать их не так просто.
Такое положение вещей сохранялось последние несколько лет. Но с конца 2016 года ситуация изменилась в лучшую сторону. Появилось сразу два продукта, которые позволяют работать с электронной подписью по стандарту ГОСТ и шифрованием без использования консоли – это Rosa Crypto Tool и Trusted eSign. Оба эти продукта для работы с криптографией используют «КриптоПро CSP» для Linux. Поэтому, перед тем как обратиться к описанию самих продуктов, поговорим немного про «КриптоПро CSP».
«КриптоПро CSP» под Linux — неоднозначный продукт. С одной стороны, это одно из самых распространенных и мощных сертифицированных средств по работе с криптографией как в Windows, так и в Linux. С другой стороны, для простого человека пользоватся его интерфейсами даже в Windows не так-то просто. А в Linux доступен только консольный интерфейс. Надеюсь, что компания «КриптоПро» в курсе этой ситуации, и в будущем нас ждут новые красивые и удобные интерфейсы, как для Windows, так и для Linux.
Для настройки нам понадобится:
- Любимый дистрибутив Linux. Я использовал Ubuntu Linux 16.04 LTS и ROSA Fresh GNOME R8;
- Сертифицированная версия КриптоПро CSP 4.0 R2 для Windows, UNIX и macOS;
- Рутокен ЭЦП 2.0.
Настройка «КриптоПро» CSP
Несмотря на то, что есть несколько неплохих статей по настройке «КриптоПро CSP» под Linux (например, тут или тут), я опишу здесь свой вариант. Основная причина в том, что большинство инструкций написаны для «Крипто Про CSP» версии 3.x. А современная версия «КриптоПро CSP» 4.0 не является 100% совместимой с 3.x. Дополнительная причина – всегда приятно иметь полную инструкцию по настройке в одном месте, а не переключаться с одного окна на другое.
Приступаем к настройке.
Скачиваем «КриптоПро CSP» для Linux с официального сайта КриптоПро — www.cryptopro.ru/downloads
Распаковываем «КриптоПро CSP» для Linux:
tar -zxf ./linux-amd64_deb.tgz
Далее у нас есть 2 варианта – автоматическая установка и установка вручную. Автоматическая установка запускается командой:
sudo ./install.sh
sudo ./install_gui.sh
Здесь надо отдать должное разработчикам «КриптоПро» – автоматическая установка для большинства дистрибутивов отрабатывает успешно. Хотя бывают и нюансы. Например, если у вас не хватает некоторых пакетов, то установка будет успешно завершена, хотя некоторый функционал работать не будет.
Если что-то пошло не так, или вы по тем или иным причинам хотите использовать установку в ручном режиме, то вам необходимо выполнить:
dpkg -i ./cprocsp-curl-64_4.0.0-4_amd64.deb lsb-cprocsp-base_4.0.0-4_all.deb lsb-cprocsp-capilite-64_4.0.0-4_amd64.deb lsb-cprocsp-kc1-64_4.0.0-4_amd64.deb lsb-cprocsp-rdr-64_4.0.0-4_amd64.deb
Для установки пакетов в ROSA используйте urpmi, вместо dpkg -i.
Устанавливаем лицензию для «КриптоПро CSP» для Linux и проверяем, что все работает нормально:
cpconfig -license -set cpconfig -license –view