Приглашаем всех 6 сентября 2022 года в 11:00 (МСК) принять участие в вебинаре “Особенности реализации требований приказа ФАПСИ №152 по учёту СКЗИ”, который совместно проведут компании КриптоПро и Spacebit.
В ходе мероприятия эксперты рассмотрят вопросы нормативного регулирования учета СКЗИ и выполнения соответствующих требований. Отдельное внимание будет уделено возможностям СКЗИ и особенностям их практического применения.
- Разбор основных требований приказа ФАПСИ №152 по учету СКЗИ;
- Демонстрация возможностей системы X-Control по реализации требований приказа ФАПСИ №152;
- Обзор возможностей СКЗИ КриптоПро CSP 5.0;
- Текущий статус по сертификации различных версий КриптоПро CSP и КриптоПро УЦ.
Участие в мероприятии бесплатное, необходима регистрация.
Уважаемые пользователи!Рады поделиться с вами новостью – теперь мы можем общаться и в Телеграме!При инициации переписки вам нужно выбрать получателя с нашей стороны в зависимости от характера вопроса:
- для того, чтобы получить консультацию по вопросам покупки, доставки, документов – нужно выбрать “Общий вопрос”;
- чтобы обратиться в техническую поддержку – “Вопрос к техподдержке”.
Мы гарантированно ответим вам в будние дни с 9. 00 до 18. 00 по МСК.
Важно иметь ввиду, что основным инструментом работы нашей техподдержки по-прежнему остается портал. Телеграм подразумевает быструю переписку и решение общих вопросов в формате чата. Поэтому, если ваш запрос потребует дополнительной диагностики, сбора логов, консультаций разработчиков – лучше обращаться к нам через портал.
Важно! Если у вас приобретен Сертификат технической поддержки – для получения поддержки соответствующего уровня нужно зарегистрировать его на портале и создать обращение через портал.
Опыт работы в Телеграмме для нас новый, но мы будем стараться и надеяться на ваше понимание 🙂
Отвечая на ваши вопросы о том, что нужно для работы с квалифицированными сертификатами ФНС России, какие лицензии купить, как разобраться какое необходимо ПО и носители, мы сделали подробную статью в нашей Базе Знаний.
Надеемся, что с ней станет немного проще разобраться со всеми этими нюансами 🙂
Уважаемые пользователи КриптоПро УЦ и КриптоПро DSS!
Для вашего удобства в Базе Знаний есть статьи, описывающие необходимые действия для настройки ПО КриптоПро в соответствии с изменениями 795 приказа ФСБ:
Регистрация 1. 643. 100. 114 IdentificationKind в КриптоПро УЦ
Регистрация 1. 643. 100. 4 INNLE в КриптоПро УЦ
Регистрация 1. 643. 100. 4 INNLE в КриптоПро DSS
Добавление 1. 643. 100. 4 INNLE в запрос на сертификат ЦС
КриптоПро CSP, начиная с версии CSP 5. 0 R2, получил поддержку ключевых носителей через интерфейс PKCS#11.
И вчера мы опубликовали дистрибутивы сертифицированной версии КриптоПро CSP 5. 0 R2.
Для упрощения понимания работы через интерфейс PKCS#11, а так же пояснения некоторых особенностей такой работы мы написали для вас статью в нашей Базе знаний.
Уважаемые пользователи!Мы делаем все возможное, чтобы работа с нашими продуктами становилась для вас удобнее и проще. Но пока еще необходимость в инструкциях остается :)Для улучшения понимания работы и настройки продуктов КриптоПро мы запускаем новый для нас формат:видеоинструкции. Для того, чтобы такие инструкции были максимально полезны, мы бы хотели услышать от вас – какие непонятные моменты было бы хорошо осветить в таком формате. Обратную связь можно давать в комментариях данного поста или обращениях в рамках портала. Спасибо!
Эксплуатация ПАК «КриптоПро УЦ» версии 2. 0 осуществляется в соответствии с требованиями, изложенными в эксплуатационной документации на данный продукт.
Основными существенными условиями эксплуатации являются:
- Эксплуатация серверных компонент должна осуществляться на выделенных, не виртуализированных, серверах.
- Сервера должны размещаться в выделенной компьютерной стойке, но не обязательно в выделенном помещении.
- Все сервера с серверными компонентами ПАК «КриптоПро УЦ» и рабочие места с установленным компонентом «АРМ обслуживающего персонала» должны быть оборудованными сертифицированными ФСБ России средствами защиты от несанкционированного доступа типа «электронный замок».
- Все сервера с серверными компонентами ПАК «КриптоПро УЦ» должны находиться в защищённой подсети, образованной с использованием сертифицированного ФСБ России межсетевого экрана.
- Все компоненты ПАК «КриптоПро УЦ» должны быть защищены антивирусным программным обеспечением.
На компонентах Центр сертификации и Центр регистрации должно быть организовано периодическое резервное копирование на съёмные носители информации и не должно быть установлено программное обеспечение, не указанное в эксплуатационной документации.
ПАК «КриптоПро УЦ» версии 2. 0 обеспечивает поддержку разных процедур обслуживания пользователей и схем предоставления услуг Удостоверяющим центром (централизованных, распределённых, гибридных). Модульная архитектура и средства автоматизации ПАК «КриптоПро УЦ» позволяют интегрировать УЦ с любыми бизнес-процессами организации и обеспечить изготовление, выдачу и управление сертификатами без реорганизации бизнес-процессов.
Режим централизованной регистрации пользователей. Обслуживание пользователей осуществляется, при их непосредственной явке, уполномоченным сотрудникам из числа обслуживающего персонала УЦ.
Режим распределенной (удаленной) регистрации пользователей. Работа Удостоверяющего центра в данном режиме обеспечивает обслуживание пользователей, территориально удаленных от Удостоверяющего центра. Регистрация пользователей происходит на основании запросов и заявлений на регистрацию, управление которыми осуществляется администратором/оператором Удостоверяющего центра с использованием компоненты «АРМ обслуживающего персонала».
Централизованное управление ключами и сертификатами ключей пользователей. При работе комплекса в данном режиме, уполномоченные сотрудники из числа обслуживающего персонала УЦ, формируют для пользователей ключевые носители, содержащие ключи (подписи и/или шифрования), сертификаты, и передают пользователям лично или по доверенным каналам связи.
Распределенное управление пользователями личными ключами и сертификатами ключей. В данном режиме, пользователи посредством программного обеспечения «АРМ пользователя», имеют возможность на своем рабочем месте выполнить генерацию ключей, сформировать запрос на сертификат и отправить данный запрос в Удостоверяющий центр. Дальнейшее управление запросами и выпуском сертификатов осуществляется уполномоченными сотрудниками из числа обслуживающего персонала УЦ с использованием компоненты «АРМ обслуживающего персонала».
Функциональные возможности ПАК «КриптоПро УЦ» позволяют работать также и в комбинированных/гибридных режимах (например, совмещая централизованную и распределенную модель регистрации пользователей и управления сертификатами ключей), достигая необходимых требований политики предприятия и бизнеса.
ПАК «КриптоПро УЦ» версии 2. 0 имеет программный Интерфейс Внешних Приложений (ИВП), выполненный в виде SOAP-сервиса с доступом по TLS с двусторонней аутентификацией. Использование ИВП и интеграция с прикладными автоматизированными информационными системами (например, «Банк-Клиент», СЭД и т. ) позволит сделать управление пользователями своими сертификатами крайне простым и удобным. Так же через ИВП происходит интеграция с бухгалтерскими, биллинговыми и прочими системами, что существенно снижает эксплуатационные расходы на применение систем с технологией PKI.
- Операционная платформа компонент для ПАК “КриптоПро УЦ” 2
- Поддерживаемые на компонентах УЦ средства криптографической защиты информации
- Как вызывается Revocation Provider
- Как работает Revocation Provider
- Поддерживаемые форматы электронной подписи
- Требования к окружению
- Безопасность
- Способы аутентификации
- Высокая отказоустойчивость и доступность
- Мониторинг функционирования и доступности
- Назначение КриптоПро CSP
- Поддерживаемые алгоритмы
- Поддерживаемые технологии хранения ключей
- Носители с неизвлекаемыми ключами и защищенным обменом сообщениями
- Классические пассивные USB-токены и смарт-карты
- Инструменты КриптоПро
- Поддерживаемое программное обеспечение
- Интеграция с платформой КриптоПро
- Операционные системы и аппаратные платформы
- Интерфейсы для встраивания
- Производительность на любой вкус
- Регулирующие документы
- Установить вручную
- Как получить электронную подпись
- Бесплатная установка КриптоПро
- Сервис сертификата электронной подписи
- Способы установки
- Устанавливаем КриптоПро
- КриптоПро в госзакупках
- Как учесть расходы на покупку ЭЦП
- Как используют программу
Операционная платформа компонент для ПАК “КриптоПро УЦ” 2
Программные компоненты ПАК «КриптоПро УЦ» версии 2. 0 могут эксплуатироваться на следующих ОС:
Компонент УЦWindows Server 2008 R2/2012/2012 R2Windows 7/8/8. 1Windows XP/Vista
Центр Сертификации «КриптоПро УЦ»+–
Центр Регистрации «КриптоПро УЦ»+–
Консоль управления Центра Регистрации++-
АРМ разбора конфликтных ситуаций++-
АРМ пользователя (веб-портал)+++
Поддерживаемые на компонентах УЦ средства криптографической защиты информации
Для уровня защиты КС2:
Компонент УЦВариант исполнения 1Вариант исполнения 5
Центр Сертификации «КриптоПро УЦ»КриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 2ПАКМ «КриптоПро HSM» (для хранения ключей УЦ)КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 2-Base
Центр Регистрации «КриптоПро УЦ»КриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 2КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 2-Base
Консоль управления Центра РегистрацииКриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 2КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 2-Base
АРМ разбора конфликтных ситуацийКриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 2КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 2-Base
АРМ пользователя (веб-портал)КриптоПро CSP 3. 6, 3. 9, 4. 0КриптоПро CSP 3. 6, 3. 9, 4
Для уровня защиты КС3:
Компонент УЦВариант исполнения 2Вариант исполнения 6
Центр Сертификации «КриптоПро УЦ»КриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 3 совместно с пакетом Secure Pack Rus 3. 0ПАКМ «КриптоПро HSM» (для хранения ключей УЦ)КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 3-Base
Центр Регистрации «КриптоПро УЦ»КриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 3 совместно с пакетом Secure Pack Rus 3. 0КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 3-Base
Консоль управления Центра РегистрацииКриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 3 совместно с пакетом Secure Pack Rus 3. 0КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 3-Base
АРМ разбора конфликтных ситуацийКриптоПро CSP 3. 9 (ЖТЯИ. 00083-01) исполнение 3 совместно с пакетом Secure Pack Rus 3. 0КриптоПро CSP 4. 0 (ЖТЯИ. 00088-01) исполнение 3-Base
АРМ пользователя (веб-портал)КриптоПро CSP 3. 6, 3. 9, 4. 0КриптоПро CSP 3. 6, 3. 9, 4
В процессе управления ключами УЦ имеет возможность отзыва выпущенных им сертификатов, что необходимо для досрочного прекращения их действия, например, в случае компрометации ключа. Процедура проверки ЭЦП предусматривает помимо подтверждения ее математической корректности еще и построение, и проверку цепочки сертификатов до доверенного УЦ, а также проверку статусов сертификатов в цепочке.
Таким образом, проверка статусов сертификатов важна для приложений, использующих ИОК, поскольку, например, принятие к обработке подписанного ЭЦП документа, соответствующий сертификат ключа подписи которого аннулирован, может быть впоследствии оспорено и привести к финансовым потерям.
В ОС Microsoft Windows встроена поддержка технологии ИОК. Многие приложения, работающие под управлением этих ОС, используют интерфейс CryptoAPI для осуществления функций криптографической защиты информации. Функции CryptoAPI используют, например, следующие приложения: Internet Explorer, Outlook Express, Outlook, Internet Information Server и др.
По умолчанию CryptoAPI осуществляет проверку статусов сертификатов с использованием СОС (CRL). СОС представляет собой список аннулированных или приостановленных сертификатов, издаваемый периодически – например, раз в неделю. СОС не отражает информацию о статусах в реальном времени, а также имеет ряд других недостатков, которых лишён протокол OCSP – протокол получения статуса сертификата в реальном времени.
Архитектура CryptoAPI предоставляет возможность подключения внешнего модуля проверки статуса сертификата – Revocation Provider.
КриптоПро Revocation Provider предназначен для встраивания проверки статусов сертификатов открытых ключей в режиме реального времени по протоколу OCSP в ОС Windows.
КриптоПро Revocation Provider, будучи установлен в системе, встраивается в CryptoAPI и тем самым обеспечивает проверку статусов сертификатов во всех приложениях по протоколу OCSP, причём менять что-либо в самих приложениях не требуется. Revocation Provider вызывается автоматически каждый раз, когда приложение осуществляет действия с сертификатом. Проверка сертификата в реальном времени по протоколу OCSP обеспечивает большую безопасность по сравнению с СОС.
Схема встраивания Revocation Provider в ОС представлена на рисунке.
Чтобы обеспечить использование протокола OCSP для проверки статусов сертификатов, используемых в конкретной информационной системе, необходимо, чтобы в данной системе работал сервер OCSP.
В качестве сервера OCSP для КриптоПро Revocation Provider можно использовать КриптоПро OCSP Server.
КриптоПро Revocation Provider функционирует в операционных системах Microsoft Windows, как англоязычных, так и локализованных.
КриптоПро Revocation Provider:
- Встраивает проверку статуса сертификатов по протоколу OCSP во все приложения операционной системы.
- Не требует модификации приложений для использования своих возможностей.
- Уменьшает риск стать жертвой мошенничества или понести ответственность.
- Совместим с серверными приложениями.
- Автоматически проверяет статусы сертификатов OCSP-серверов.
- Поддерживает расширение . Если такое расширение присутствует в сертификате сервера, то статус этого сертификата не проверяется.
- Автоматически проверяет, уполномочен ли OCSP-сервер Удостоверяющим Центром, издавшим проверяемый сертификат, выдавать информацию о статусе данного сертификата.
- Настраивается через групповые политики.
- Даёт возможность настройки доверия к конкретным OCSP-серверам.
- При невозможности проверки сертификата по протоколу OCSP передаёт его в Microsoft Revocation Provider, который проводит проверку по СОС.
- Может осуществлять соединения по защищённому протоколу TLS (SSL).
- Устанавливается с помощью Windows Installer.
Как вызывается Revocation Provider
Будучи установленным в системе, Revocation Provider вызывается для проверки сертификата(ов) при каждом вызове функции CryptoAPI CertVerifyRevocation. Фактически, все параметры этой функции передаются без изменений в Revocation Provider. Помимо непосредственного вызова, эта функция, а значит и Revocation Provider, вызывается неявно внутри функций CertGetCertificateChain и WinVerifyTrust.
Как работает Revocation Provider
Когда приложение, работающее с CryptoAPI, вызывает функцию проверки статуса сертификата, в Revocation Provider передаётся этот сертификат вместе с рядом дополнительных параметров.
Revocation Provider, получив на проверку сертификат, создаёт OCSP-запрос на данный сертификат и обращается к одной или нескольким службам OCSP с этим запросом. При получении OCSP-ответа, осуществляет его проверку. Если ответ проходит проверку и содержит статус сертификата good или revoked, в отличие от unknown (см. RFC2560), то на этом проверка заканчивается и полученный статус возвращается приложению. Если же ответ содержит статус unknown или не проходит проверку, то происходит обращение по следующему адресу.
Очерёдность обращения к службам OCSP определяется следующим образом:
- По расширению AIA (AuthorityInformationAccess) в сертификате. Среди различных точек AIA выбирает те, к которым указан метод доступа по протоколу OCSP, обращения к ним происходят по очереди их расположения в сертификате.
- Если ни по одному из адресов OCSP-серверов, указанных в расширении AIA сертификата, не удаётся получить удовлетворяющий этим условиям ответ, или если таких адресов в сертификате не указано, то Revocation Provider пробует обратиться за статусом к OCSP-серверу, адрес которого задан групповой политикой, если она определена.
Если на предыдущих шагах не удаётся получить удовлетворяющем описанным условиям ответ, то сертификат передаётся на проверку в Microsoft Revocation Provider, входящий в состав ОС Windows. Microsoft Revocation Provider осуществляет проверку данного сертификата с использованием СОС. Полученный статус сертификата возвращается приложению.
КриптоПро Revocation Provider использует сертифицированное ФСБ России средство криптографической защиты КриптоПро CSP.
Программно-аппаратный комплекс КриптоПро DSS 2. 0 предназначен для централизованного выполнения действий пользователей по созданию электронной подписи (ЭП), управления сертификатами и других криптографических операций с использованием ключей, хранимых в ПАКМ КриптоПро HSM (дистанционная («облачная») подпись), локально в мобильном приложении (мобильная подпись) или на рабочем месте пользователя (DSS Lite).
КриптоПро DSS 2. 0 обеспечивает:
Обращаем внимание: до издания ФСБ России требований, предусмотренных пунктом 2. 1 части 5 статьи 8 Федерального закона “Об электронной подписи”, и до осуществления подтверждения соответствия КриптоПро DSS 2. 0 изданным требованиям комплекс не может применяться для реализации функций, предусмотренных частью 2. 2 статьи 15 Федерального закона “Об электронной подписи”.
Поддерживаемые форматы электронной подписи
- Необработанная электронная подпись ГОСТ Р 34.10-2012 (и ГОСТ 34.10-2001);
- Усовершенствованная подпись (CAdES-BES, CAdES-T и CAdES-X Long Type 1);
- Подпись XML-документов (XMLDSig);
- Подпись документов PDF;
- Подпись документов Microsoft Office.
Требования к окружению
КриптоПро DSS 2. 0 предоставляет пользователям интерактивный веб-интерфейс для управления криптографическими ключами и создания ЭП под документами, которые пользователь загружает на КриптоПро DSS. Для работы с данным интерфейсом в случае неквалифицированной подписи необходим лишь веб-браузер.
При встраивании КриптоПро DSS в системы возможна работа через мобильное приложение myDSS, которое получает от сервера уведомления о поступлении документов на подпись и после одобрения операции пользователем отправляет криптографически защищенное подтверждение на сервер КриптоПро DSS.
Безопасность
Создание и хранение ключей электронной подписи пользователей осуществляется с использованием специального защищённого модуля КриптоПро HSM. Каждый пользователь получает доступ к своим ключам после прохождения процедуры надёжной многофакторной аутентификации в КриптоПро DSS. Дополнительно каждый ключевой контейнер защищается индивидуальным ПИН-кодом, который знает и может сменить только владелец ключа электронной подписи.
Пользователями КриптоПро DSS управляет оператор, который имеет возможность посредством веб-интерфейса или API выполнять следующие действия:
- создание пользователя;
- блокирование и удаление пользователя;
- генерация ключа электронной подписи пользователя;
- формирование и передача в удостоверяющий центр запроса на создание сертификата ключа проверки электронной подписи;
- установку полученного сертификата пользователю;
- настройку параметров аутентификации пользователей;
- аудит и формирование аналитической отчетности по выполняемым пользователями операциям;
- сброс пароля в случае его утраты пользователем.
Способы аутентификации
В зависимости от настройки, КриптоПро DSS 2. 0 может реализовывать следующие способы аутентификации пользователя:
- криптографическая аутентификация по алгоритму HMAC в соответствии с Р-50.1.113-2016 с помощью мобильного приложения myDSS или специального апплета на SIM-карте;
- двухфакторная аутентификация с использованием цифровых сертификатов и USB-токенов или смарт-карт;
- двухфакторная аутентификация с дополнительным вводом одноразового пароля, доставляемого пользователю посредством SMS (OTP-via-SMS) (только для неквалифицированной подписи или в качестве дополнительного фактора аутентификации).
Высокая отказоустойчивость и доступность
Обеспечивается с помощью горячего резервирования и кластеризации всех компонент КриптоПро DSS и КриптоПро HSM с помощью специализированных балансировщиков нагрузки (например, HAProxy) и SQL-кластера на базе технологий MS SQL Server AlwaysOn availability groups.
В случае нарушения функционирования любого из зарезервированных компонентов переключение на резервные, в т. размещенные на территориально-удаленных технологических площадках (Резервных ЦОД), осуществляется автоматически без участия обслуживающего персонала и без потери сохраненных данных.
Мониторинг функционирования и доступности
В составе с КриптоПро DSS может использоваться специальный программный комплекс класса Network Performance Monitoring and Diagnostics (NPMD) “КриптоПро Центр Мониторинга” для мониторинга работоспособности и оперативного уведомления администраторов СЭП о выявленных сбоях, ошибках функционирования и прочих внештатных ситуациях.
Сервис электронной подписи ООО «КРИПТО-ПРО»
Тестовый сервис электронной подписи
Порядок использования комплектаций ПАКМ «КриптоПро HSM» с компонентом «КриптоПро DSS 2. 0» для работы с квалифицированной электронной подписью
КриптоПро CSP 5. 0 — новое поколение криптопровайдера, развивающее три основные продуктовые линейки компании КриптоПро: КриптоПро CSP (классические токены и другие пассивные хранилища секретных ключей), КриптоПро ФКН CSP/Рутокен CSP (неизвлекаемыe ключи на токенах с защищенным обменом сообщениями) и КриптоПро DSS (ключи в облаке).
Все преимущества продуктов этих линеек не только сохраняются, но и приумножаются в КриптоПро CSP 5. 0: шире список поддерживаемых платформ и алгоритмов, выше быстродействие, удобнее пользовательский интерфейс. Но главное — работа со всеми ключевыми носителями, включая ключи в облаке, теперь единообразна. Для перевода прикладной системы, в которой работал КриптоПро CSP любой из версий, на поддержку ключей в облаке или на новые носители с неизвлекаемыми ключами, не потребуется какая-либо переработка ПО — интерфейс доступа остаётся единым, и работа с ключом в облаке будет происходить точно таким же образом, как и с классическим ключевым носителем.
Назначение КриптоПро CSP
- Формирование и проверка электронной подписи.
- Обеспечение конфиденциальности и контроля целостности информации посредством ее шифрования и имитозащиты.
- Обеспечение аутентичности, конфиденциальности и имитозащиты соединений по протоколам TLS, и IPsec.
- Контроль целостности системного и прикладного программного обеспечения для его защиты от несанкционированных изменений и нарушений доверенного функционирования.
Поддерживаемые алгоритмы
В КриптоПро CSP 5. 0 наряду с российскими реализованы зарубежные криптографические алгоритмы. Теперь пользователи имеют возможность использовать привычные носители ключей для хранения секретных ключей RSA и ECDSA.
Электронная подпись
ГОСТ Р 34. 10-2012 (ГОСТ 34. 10-2018), ECDSA, RSA
Хэш-функции
ГОСТ Р 34. 11-2012 (ГОСТ 34. 11-2018), SHA-1, SHA-2
Шифрование
ГОСТ Р 34. 12-2015 (ГОСТ 34. 12-2018), ГОСТ Р 34. 13-2015 (ГОСТ 34. 13-2018), ГОСТ 28147-89, AES (128/192/256), 3DES, 3DES-112, DES, RC2, RC4
Таблица алгоритмов, поддерживаемых разными версиями КриптоПро CSP.
Поддерживаемые технологии хранения ключей
В криптопровайдере КриптоПро CSP 5. 0 впервые появилась возможность использования ключей, хранящихся на облачном сервисе КриптоПро DSS, через интерфейс CryptoAPI. Теперь ключи, хранимые в облаке, могут быть легко использованы как любыми пользовательскими приложениями, так и большинством приложений компании Microsoft.
Носители с неизвлекаемыми ключами и защищенным обменом сообщениями
В КриптоПро CSP 5. 0 добавлена поддержка носителей с неизвлекаемыми ключами, реализующих протокол SESPAKE, позволяющий провести аутентификацию, не передавая в отрытом виде пароль пользователя, и установить шифрованный канал для обмена сообщений между криптопровайдером и носителем. Нарушитель, находящийся в канале между носителем и приложением пользователя, не может ни украсть пароль при аутентификации, ни подменить подписываемые данные. При использовании подобных носителей полностью решается проблема безопасной работы с неизвлекаемыми ключами.
Компании Актив, ИнфоКрипт и СмартПарк разработали новые защищенные токены, которые поддерживают данный протокол.
Список производителей и моделей поддерживаемых КриптоПро CSP 5. 0 R2
Список производителей и моделей носителей с неизвлекаемыми ключами и защищенным обменом сообщениями поддерживаемых КриптоПро CSP 5. 0 R2
Компания
Носитель
Актив
Рутокен ЭЦП 2. 0 3000 (USB, Type-C, micro)
Смарт-карта Рутокен ЭЦП 3. 0
Инфокрипт
InfoCrypt Token++
СмартПарк
Форос 2. Базис
Многие пользователи хотят иметь возможность работать с неизвлекаемыми ключами, но при этом не обновлять токены до уровня ФКН. Специально для них в провайдер добавлена поддержка популярных ключевых носителей Рутокен ЭЦП 2. 0, JaCarta-2 ГОСТ и InfoCrypt VPN-Key-TLS.
Список производителей и моделей поддерживаемых КриптоПро CSP 5. 0 R2
Список производителей и моделей носителей с неизвлекаемыми ключами поддерживаемых КриптоПро CSP 5. 0 R2
Компания Носитель
ISBC Esmart Token ГОСТ
Актив Рутокен PINPad
Рутокен ЭЦП (USB, micro, Flash)
Рутокен ЭЦП 2. 0 (USB, micro, Flash, Touch)
Рутокен ЭЦП 2. 0 2100 (USB, Type-C, micro)
Рутокен ЭЦП 2. 0 2151
Рутокен ЭЦП PKI (USB, Type-C, micro)
Рутокен ЭЦП 2. 0 Bluetooth
Рутокен TLS (исполнение 1)
Смарт-карта Рутокен ЭЦП SC
Смарт-карта Рутокен ЭЦП 2. 0 2100
Смарт-карта Рутокен ЭЦП 2. 0 2151
Аладдин Р. JaCarta-2 ГОСТ, JaСarta SF/ГОСТ
JaCarta-2 SE/PKI/ГОСТ
Инфокрипт InfoCrypt Token++ TLS
InfoCrypt VPN-Key-TLS
Классические пассивные USB-токены и смарт-карты
Большинство пользователей предпочитает быстрые, дешевые и удобные решения для хранения ключей. Как правило, предпочтение отдаётся токенам и смарт-картам без криптографических сопроцессоров. Как и в предыдущих версиях провайдера, в КриптоПро CSP 5. 0 сохранена поддержка всех совместимых носителей производства компаний Актив, Аладдин Р. , Gemalto/SafeNet, Multisoft, NovaCard, Rosan, Alioth, MorphoKST и СмартПарк.
Кроме того, конечно, как и раньше поддерживаются способы хранения ключей в реестре Windows, на жестком диске, на флеш-накопителях на всех платформах.
Список производителей и моделей поддерживаемых КриптоПро CSP 5. 0 R2
Список производителей и моделей классических пассивных USB-токенов и смарт-карт поддерживаемых КриптоПро CSP 5. 0 R2
Компания Носитель
AliothSCOne Series (v5/v6)
Gemalto Optelio Contactless Dxx Rx
Optelio Dxx FXR3 Java
Optelio G257
Optelio MPH150
ISBC Esmart Token
MorphoKSTMorphoKST
NovaCardCosmo
Rosan G&D element V14 / V15
G&D 3. 45 / 4. 42 / 4. 44 / 4. 45 / 4. 65 / 4. 80
Kona 2200s / 251 / 151s / 261 / 2320
Kona2 S2120s / C2304 / D1080
SafeNet eToken Java Pro JC
eToken 4100
eToken 5100
eToken 5110
eToken 5105
eToken 5205
Актив Рутокен S
Рутокен КП
Рутокен Lite
Смарт-карта Рутокен Lite
Аладдин Р. JaCarta ГОСТ
JaCarta PKI
JaCarta PRO
JaCarta LT
DallasTouch Memory (iButton) DS199x
ИнфокриптInfoCrypt Token++ lite
Мультисофт MS_Key исп. 8 Ангара
MS_Key ESMART исп. 5
СмартПарк Форос
Форос 2
R301 Форос
Оскар
Оскар 2
Рутокен Магистра
Инструменты КриптоПро
В составе КриптоПро CSP 5. 0 появилось кроссплатформенное (Windows/Linux/macOS) графическое приложение — «Инструменты КриптоПро» («CryptoPro Tools»).
Основная идея — предоставить возможность пользователям удобно решать типичные задачи. Все основные функции доступны в простом интерфейсе — при этом мы реализовали и режим для опытных пользователей, открывающий дополнительные возможности.
Поддерживаемое программное обеспечение
КриптоПро CSP позволяет быстро и безопасно использовать российские криптографические алгоритмы в следующих стандартных приложениях:
- Офисный пакет Microsoft Office
- Почтовый сервер Microsoft Exchange и клиент Microsoft Outlook
- Продукты Adobe
- Браузеры Яндекс.Браузер, Спутник, Internet Explorer, Chromium GOST
- Средство формирования и проверки подписи приложений Microsoft Authenticode
- Веб-серверы Microsoft IIS, nginx, Apache
- Средства удаленных рабочих столов Microsoft Remote Desktop Services
- Microsoft Active Directory
Интеграция с платформой КриптоПро
С первого же релиза обеспечивается поддержка и совместимость со всеми нашими продуктами:
- КриптоПро УЦ
- Службы УЦ
- КриптоПро ЭЦП
- КриптоПро IPsec
- КриптоПро EFS
- КриптоПро .NET
- КриптоПро Java CSP
- КриптоПро NGate
Операционные системы и аппаратные платформы
Традиционно мы работаем в непревзойдённо широком спектре систем:
- Microsoft Windows
- macOS
- Linux
- FreeBSD
- Solaris
- AIX
- iOS
- Android
- Sailfish OS
- Аврора
- Intel, AMD
- PowerPC
- ARM (в т.ч. Байкал-М, Apple M1)
- MIPS (Байкал-Т)
- VLIW (Эльбрус)
- Sparc
- Microsoft Hyper-V
- VMWare
- Oracle Virtual Box
- RHEV
Таблица операционных систем, поддерживаемых разными версиями КриптоПро CSP.
Классификация операционных систем для использования КриптоПро CSP c лицензией на рабочее место и сервер.
Интерфейсы для встраивания
Для встраивания в приложения на всех платформах КриптоПро CSP доступен через стандартные интерфейсы для криптографических средств:
- Microsoft CryptoAPI
- OpenSSL engine
- Java CSP (Java Cryptography Architecture)
- Qt SSL
Производительность на любой вкус
Многолетний опыт разработки позволяет нам охватить все решения от миниатюрных ARM-плат, таких как Raspberry PI, до многопроцессорных серверов на базе Intel Xeon, AMD EPYC и PowerPC, отлично масштабируя производительность.
Регулирующие документы
Если заменяете демопрограмму на основную или переходите на следующую версию дистрибутива, переустановите КриптоПро. Удостоверьтесь в том, что на компьютере есть лицензия КриптоПро или сертификаты. Если нет, сохраните их.
Через запуск меню имеющейся программы с функциями администратора системы удалите предыдущую программу стандартным способом.
Если через панель установки и удаления корректно удалить программу не получается, используйте дистрибутив. В аварийном случае удалите через специальную утилиту. Здесь найдете эти программы:
Утилита подходит для всех версий CSP. Для выполнения очистки запустите файл cspclean. exe, перезагрузите компьютер и повторно запустите утилиту.
Теперь установите новый продукт.
Установить вручную
Заранее проверьте, нет ли на компьютере уже действующего СКЗИ. Если криптопровайдер используется другими программами, например системой «Клиент-банк», рекомендуем установить КриптоПро CSP на другое рабочее место, так как на одном компьютере нельзя использовать несколько СКЗИ.
- Зайдите на сайт производителя СКЗИ.
- В меню выберите «Продукты/КриптоПро CSP/Загрузка файлов».
- Чтобы получить дистрибутив КриптоПро CSP, зарегистрируйтесь на сайте: в открывшемся окне перейдите на вкладку «Регистрация», заполните данные и нажмите «Регистрация». Это формальная бесплатная процедура.
- Выберите версию криптопровайдера, которая подходит для вашей ОС.
Рекомендуем использовать сертифицированную версию СКЗИ — КриптоПро CSP 4. 0 R4.
- Следуйте указаниям мастера. В окне выбора компонентов отметьте все пункты, кроме «KC2».
- Если будете работать с носителем JaCarta-2 SE, после завершения мастера установки в каталоге с распакованным архивом выполните командуsudo yum install ./cprocsp-rdr-jacarta-<версия_файла>Планируете использовать другой носитель — переходите к следующему шагу.
- Перезагрузите систему и введите номер лицензии. Его не нужно указывать, если вы используете сертификат со встроенной лицензией.
Ответы на часто задаваемые вопросы об установке КриптоПро CSP на устройство с операционной системой Linux можно найти на сайте СКЗИ. Если после установки СКЗИ наблюдаются проблемы с компьютером (не включается, появляются ошибки операционной системы), обратитесь в техподдержку КриптоПро CSP.
Рекомендуем использовать сертифицированную версию СКЗИ — КриптоПро CSP 4. 0 R4. Если вы будете работать с носителем JaCarta-2 SE или на macOS версии 10. 15 Catalina и выше, подойдет только КриптоПро CSP 5.
- Откройте установочный пакет с расширением *.dmg и запустите файл *.mpkg.
- Ничего не меняя, пройдите мастер установки. Когда мастер запросит разрешение на установку, введите имя и пароль пользователя с правами администратора или учетной записи root.
- После установки программы введите номер лицензии. Его не нужно указывать, если вы используете сертификат со встроенной лицензией.
- Перезагрузите компьютер.
Нашли неточность? Выделите текст с ошибкой и нажмите ctrl + enter.
Как получить электронную подпись
Можно использовать простую электронную подпись и без информационной системы. Для этого надо подписать с контрагентом соглашение об обмене документами по электронной почте с использованием такой подписи. В качестве подписи используется адрес электронной почты и пароль к определенному почтовому ящику.
Бесплатная установка КриптоПро
Помните, что бесплатная (демонстрационная) версия программы доступна ограниченное количество времени (90 дней), во течение которого функционал неограничен. Бесплатная версия программы доступна только для тех, кто впервые устанавливает ПО на компьютер. Если ранее на вашем компьютере уже стояло ПО КриптоПро, данная версия активирована не будет. Чтобы понять, как установить программу КриптоПро на компьютер бесплатно, обратитесь на официальный сайт разработчика.
Имея необходимые сведения, используем программу в демонстрационном режиме. Вот инструкция, как бесплатно пользоваться КриптоПро:
Шаг 1. Загружаем файлы через продукты и вкладку СКЗИ «КриптоПро CSP».
Шаг 2. Пройдем предварительную регистрацию и ответим на несколько вопросов. Заполняем поля и отправляем запрос на регистрацию, совершаем дальнейшие действия, следуя подсказкам.
Шаг 3. Выбираем продукт, который соответствует операционной системе компьютера, и скачиваем его. Загружается быстро. Запускаем программный файл с расширением. ехе. Программная система безопасности предупредит о том, что в компьютер внесут изменения. Если согласны, нажимаем «Установить». Загружается модуль.
После того как установили последнюю версию, работайте с программой сразу. Если загружали предыдущие версии, перезагрузите компьютер сразу или отложите это действие.
Получается, что бесплатно установить СКЗИ КриптоПро — это означает не вводить серийный номер.
Бессрочные лицензии бесплатно выдает Федеральное казначейство бюджетным, казенным учреждениям. Некоторые коммерческие удостоверяющие центры выдают лицензии бесплатно при условии выпуска у них сертификата электронной подписи.
Теперь вы знаете, как пользоваться КриптоПро бесплатно.
Сервис сертификата электронной подписи
Из доступных в электронной форме услуг установите сертификат КриптоПро для ЭЦП. Получите юридически значимую подпись, которая проверит, зашифрует и дешифрует документы в электронной форме с помощью сертификата.
Через вкладку «Услуги» откроем «Сервис электронной подписи».
Сервис электронной подписи (СЭП) предназначен для шифрования и расшифрования электронных документов, формирования запросов на создание и управление сертификатами ключей проверки электронной подписи, создания и проверки электронной подписи различного формата криптографических сообщений.
Предлагаются два режима использования ключей ЭП:
- серверный («облачный»). В этом случае никаких дополнительных компонент на рабочее место пользователя устанавливать не требуется, электронная подпись создается на сервере СЭП;
- локальный (DSS Lite). Ключи создаются и используются на рабочих местах (ключевых носителях) пользователей.
Чтобы работать с «облачным» режимом, понадобится криптографический модуль.
Локальный режим позволяет подписывать документы всех распространенных форматов на различных платформах с использованием средства ЭП, установленного на устройстве пользователя.
Для использования требуется установка программного обеспечения.
Для загрузки и проверки электронной подписи на web-страницах с применением КриптоПро CSP понадобится плагин. Он предназначен для создания и проверки электронной подписи (ЭП) на веб-страницах и поддерживает работу с широким набором алгоритмов, как встроенных в операционную систему, так и доустановленных дополнительно.
Просто следуйте указаниям.
Способы установки
Чтобы приобрести лицензию, обратитесь к менеджеру или оформите заявку.
Устанавливаем КриптоПро
Из описания приобретенной программы делаем вывод о том, с какими операционными системами она совместима. Удостоверимся, что у нужного функционала есть сертификат.
Во вкладке «Продукты» выберем раздел «Сертификаты».
Ознакомимся с описанием.
Когда появятся предпочтения по выбору определенной версии, получите представление о возможных затратах. Стоимость и набор продуктов различается в зависимости от того, кто приобретает программу:
- юридические лица;
- ИП;
- физические лица;
- иностранные физические лица.
Опубликован прайс-лист услуг получения лицензий и сертификатов компании по состоянию на июнь 2022 года. Например, для юридических лиц сертификат на годовую техническую поддержку на рабочем месте стоит 850 рублей, а сертификат на установку и (или) обновление на рабочем месте или сервере — 5500 руб.
Подробнее со всеми прайс-листами можно ознакомиться в разделе “Приобретение” на сайте КриптоПро.
КриптоПро в госзакупках
Функции по контролю и надзору в финансово-бюджетной сфере осуществляет Федеральное казначейство РФ. В случае обнаружения признаков нарушения законодательства о контрактной системе в действиях заказчика при осуществлении им закупки обращение о таком нарушении необходимо направить для рассмотрения в Федеральное казначейство.
- в целях установления законности составления и исполнения бюджетов различных уровней;
- в отношении расходов, связанных с осуществлением закупок;
- в осуществлении достоверности учета таких расходов.
Проще говоря, Федеральное казначейство осуществляет контроль и надзор в финансово-бюджетной сфере.
В приведенной ниже инструкции расскажем, с чего начать и как установить КриптоПро на компьютер пошагово.
Шаг 1. Зайдите на сайт Казначейства РФ.
Шаг 2. Заходим во вкладку «Удостоверяющий центр».
Шаг 3. Нажимаем кнопку «Программное обеспечение».
Шаг 4. Скачиваем файл «АРМ Генерации ключей».
Шаг 5. Извлекаем файлы из скачанной папки.
Шаг 6. Видим первое окно установщика программы. Нажимаем «Далее».
Шаг 7. Соглашаемся с лицензионным соглашением, нажав кнопку «Согласен».
Шаг 8. Действуем по инструкции, размещенной ниже.
Шаг 9. Выбираем «Далее» и «Установить».
Шаг 10. После завершения установки появится окно, свидетельствующее об успешной установке программы. Нажимаем «ОК».
Теперь осталось только запустить программу. Делаем это в два шага.
Шаг 1. Заходим в меню «Пуск».
Шаг 2. После запуска программы нажимаем кнопку «Создать запрос на сертификат». Все.
Как учесть расходы на покупку ЭЦП
Чтобы подписывать документы, составленные в электронной форме, надо приобрести электронную подпись (ЭП) в удостоверяющем центре. Покупка складывается из приобретения:
- услуг по созданию ключа, ключа проверки и его сертификата;
- материального носителя ключа (иначе — ключевого носителя, токена);
- неисключительной лицензии (экземпляра программы) на средство криптографической защиты информации (СКЗИ) — специального программного обеспечения для работы.
Как используют программу
Разработчик на сайте указывает, что такое КриптоПро, — это разработанная одноименной компанией линейка криптографических утилит (вспомогательных программ) — так называемых криптопровайдеров, средство криптографической защиты информации (СКЗИ). Эта программа защищает информацию через шифрование и создание электронных подписей (ЭП). Без применения таких программ использование ЭЦП становится невозможным.
Эти сертификаты подтверждают значимость и статус электронных документов при работе:
- с электронными площадками;
- электронной отчетностью;
- клиент-банками;
- при обмене между пользователями в сети.
Криптографическая защита основана на исполнении нацстандартов в этой области:
- ГОСТ Р 34.10-2012 (взамен 34.10-2001) об ЭЦП;
- ГОСТ Р 34.11-2012 (сменил 34.11-94) о кэшировании;
- ГОСТ 28147-89 об алгоритме криптопреобразования.
Компания ввела в действие программные модули CryptoPro Cryptographic Service Provider (CSP), которые совместимы с интерфейсом Microsoft. Простыми словами, КриптоПро — программа, которая шифрует, защищает информацию и хранит секретные ключи.