Использование Рутокен ЭЦП 2.0 для работы с ЭДО СБИС – Записки IT специалиста

Использование Рутокен ЭЦП 2.0 для работы с ЭДО СБИС - Записки IT специалиста Электронная цифровая подпись

Видеоинструкции раздела «электронная подпись» | сбис помощь

Видеоинструкции раздела «Электронная подпись»

Подписывайтесь на youtube-канал СБИС, чтобы не упустить ни одного нового ролика.

Зарегистрировать электронную подпись в системе | сбис помощь

Зарегистрировать электронную подпись в СБИС

Если вы получили сертификат для сдачи отчетности в офисе продаж, он добавится в программу при соединении с оператором электронного документооборота. Для этого достаточно получить ответы, обновить информацию о лицензиях или выполнить мониторинг системы.

Установить сертификат можно и вручную:

  1. Подключите носитель с ЭП к компьютеру.
  2. В СБИС 2.4 откройте карточку плательщика (меню «Контрагенты/Налогоплательщики», на названии организации).
  3. Перейдите на вкладку «Ответственные лица». Напротив сотрудника, на которого выдана ЭП, нажмите «Получить сертификат».
  4. Выберите «Установить с носителя» и нажмите «Далее».
  5. Кликните «Загрузить сертификат», выберите ЭП. Если система найдет только один ключ, появится сообщение «Обнаружен ключ сертификата. Использовать данный ключ?». Ответьте «Да».
  6. Нажмите «Готово».
  7. Убедитесь, что напротив ФИО сотрудника появился статус «Сертификат действителен», и нажмите «Сохранить».

Если сертификат не появился:

  1. Откройте карточку ответственного лица — выберите сотрудника и нажмите .
  2. Посмотрите статус добавленного сертификата и решите проблему.

Нашли неточность? Выделите текст с ошибкой и нажмите ctrl enter.

Использование рутокен эцп 2.0 для работы с эдо сбис

rutoken-2.0-edo-sbis-000.pngРабота с ЭЦП до сих пор вызывает у многих администраторов существенные затруднения. Мало того, что сама тема является достаточно сложной и требует некоторых базовых знаний, так еще используемые в РФ системы СКЗИ имеют собственные особенности, которые нужно учитывать. Осложняет ситуацию еще и то, что разные типы электронных сервисов используют по умолчанию различные типы СКЗИ и вряд ли смогут оказать качественную поддержку в нестандартной ситуации. В нашем случае все именно так и было, поэтому пришлось во всем разбираться самостоятельно.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Начнем с Рутокен ЭЦП 2.0 – на первый взгляд это самый обычный токен красного цвета, который широко используется в системе ЕГАИС, вместо показавшей низкую надежность JaCarta. Используется для хранения ЭЦП ГОСТ предприятия или индивидуального предпринимателя и RSA-сертификата для доступа к ЕГАИС.

rutoken-2.0-edo-sbis-001.pngНа самом деле Рутокен ЭЦП 2.0 – это не просто токен, а полноценное СКЗИ (средство криптографической защиты информации). В чем разница? Обычные токены являются контейнерами для хранения закрытого ключа (подписи, ЭЦП) и сертификата, при этом закрытый ключ может быть неизвлекаемым, т.е. выполнить его экспорт из токена невозможно. Но для работы с криптографическими функциями требуется специальное приложение – СКЗИ, которое будет шифровать, подписывать, проверять подпись, расшифровывать и т.д. и т.п. Наиболее известными программными СКЗИ являются КриптоПро и ViPNet.

Но у таких систем есть один серьезный недостаток – закрытый ключ выгружается в оперативную память, и хотя предпринимаются серьезные методы защиты этой области памяти, сам факт такой выгрузки дает возможность осуществления атаки с целью завладения закрытым ключом.

Рутокен ЭЦП 2.0 выполняет все криптографические операции самостоятельно, на собственном контроллере, при этом закрытый ключ никогда не покидает пределов токена. Дополнительный плюс – для работы с Рутокен ЭЦП 2.0 не требуется никакое дополнительное ПО, достаточно самого токена и драйверов в системе к нему.

Если брать область малого и среднего бизнеса, то чаще всего Рутокен ЭЦП 2.0 можно увидеть в составе системы УТМ ЕГАИС, в последние годы он безальтернативно вытеснил с этого рынка JaCarta. А так как токен уже содержит ЭЦП предприятия, то возникает желание использовать эту подпись и для других целей. Желание это вполне здравое, с некоторыми ограничениями ЭЦП из Рутокен 2.0 можно использовать практически для любых целей. К ограничениям относится невозможность работы с шифрованием CBC, это делает невозможным сдачу отчетов в МВД, Росприроднадзор. а также некоторых отчетов в ПФР и ФСС.

Но обычно этого и не требуется, чаще всего возникает необходимость использовать имеющуюся ЭЦП для ЭДО (электронного документооборота) и интеграции в систему Честный знак (маркировка). Одним из крупнейших провайдеров, предоставляющих услуги ЭДО является СБИС и об интеграции этой системы и подписи размещенной в Рутокен ЭЦП 2.0 у нас сегодня и пойдет речь.

Читайте также:  Как установить новый сертификат в СБиС ? — СБиС онлайн вход

Для понимания ситуации немного обрисуем диспозицию: имеется небольшой сельский магазин уровня минимаркета, одной из первых в нем была внедрена система ЕГАИС, ЭЦП для которой было получено в одном из региональных УЦ. затем возникла необходимость в ЭДО с поставщиками табачной продукции, которое было предоставлено СБИС, при этом использовалась уже существующая подпись из Рутокен ЭЦП 2.0, мы в этой настройке не участвовали, все было выполнено силами сотрудников СБИС.

Прошел год, ЭЦП ГОСТ была перевыпущена, с ЕГАИС никаких проблем не возникло, а вот ЭДО работать отказалось, сообщая, что сертификат не соответствует закрытому ключу. Это понятно и логично, если поменялся закрытый ключ, то нужно заменить и сертификат в ЭДО.

Откроем Панель управления Рутокен и на вкладке Сертификаты выполним экспорт сертификата в формат DER X.509.

rutoken-2.0-edo-sbis-002.pngСледующим шагом, вполне логичным на первый взгляд, будет импорт этого сертификата в СБИС. Он отлично импортируется, но отказывается работать, сообщая, что не может найти контейнер закрытого ключа. Еще одним настораживающим фактором является то, то при попытке импортировать сертификат в СБИС система упорно предлагает старый сертификат, хотя нигде в системе он не установлен.

Здесь мы проявили небольшую слабость и воспользовались опцией “звонок другу”, т.е. в техническую поддержку. Приятная дама из СБИС, пробежав по базовым настройкам сообщила, что скорее всего что-то с подписью, а так как подпись выпустила другая организация, то обращайтесь туда. На наше возражение, что ЕГАИС работает нормально, значит подпись в порядке, дама осталась непреклонна.

Ну за спрос денег не берут, позвонили в УЦ выдавший подпись, там еще раз все проверили, подтвердили, что ЭЦП в порядке, а на вопрос про ЭДО отправили нас туда, где мы это самое ЭДО и приобрели. Ничего другого мы не ожидали, никто не будет помогать разбираться с продуктом конкурентов.

Снова звонок в СБИС, еще одна обходительная и приятная дама, минут двадцать мы с ней выгружали-загружали сертификаты, сравнивали новый сертификат со старым, проверяли настройки, но безуспешно. В итоге она сказала, что может нам только посочувствовать, мол подпись сделана не у них и, следовательно, они бессильны, а в качестве решения проблемы предложила приобрести еще одно ЭЦП, теперь уже от СБИС.

Вариант рабочий, но ведь до этого все работало, да и вгонять заказчика в дополнительные расходы – это не наш метод. Будем разбираться далее. Логика подсказывает: закрытый ключ на Рутокен ЭЦП 2.0 неизвлекаемый, следовательно, сертификат должен работать с токеном, но почему старый сертификат это может, а новый нет? Дополнительная подсказка таится в этом же старом сертификате, который СБИС настойчиво предлагает импортировать, хотя нигде в системе его нет. Тогда откуда? Логично предположить, что из токена, но Панель управления Рутокен никаких дополнительных сертификатов не показывает. Тем не менее они есть!

На помощь здесь придет ресурс cvs.ecpexpert.ru, для работы с ним вам потребуется установленный СБИС Плагин. Перейдем в Криптооперации – Установка сертификата и нажмём в вверху кнопку Заполнить, а затем выберем найденный контейнер. Затем загрузим в него выгруженный на предыдущем шаге сертификат кнопкой Выбрать файл и установим, нажав на Установить.

rutoken-2.0-edo-sbis-003.pngПосле выполнения данной операции вернемся в СБИС и выполним импорт подписи, для этого перейдите в раздел Подписи – Другие операции – Зарегистрировать имеющуюся, теперь вместо старой подписи вам предложат импортировать новую.

rutoken-2.0-edo-sbis-004.pngДля дополнительной проверки вернитесь в Подписи, выберите импортированную подпись в самой правой колонке внизу вы должны увидеть надпись Рутокен ЭЦП 2.0 Rutoken ECP, это означает что контейнер закрытого ключа на токене привязан к данному сертификату и будет использоваться при криптографических операциях.

Проверяем ЭДО – все должно работать. Просто? Да. Почему об этом не знают в поддержке СБИС? Хороший вопрос, но мы оставим его без ответа. Надеемся, что данный материал окажется вам полезен.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Как видите предпосылок и вариантов переноса сертификатов из реестра на другой компьютер, предостаточно.

Какие есть варианты по копированию контейнеров закрытых ключей?

Как сгенерировать

Запустите генерацию ключа ЭП одним из способов.

Дальнейший порядок действий зависит от того, каким СКЗИ или носителем вы пользуетесь.

Читайте также:  Как работает электронная цифровая подпись — Бухонлайн

Когда нужно переносить сертификаты в другое место?

И так давайте рассмотрим по каким причинам у вас может появиться необходимость в копировании ваших ЭЦП в другое место.

  1. На текущем физическом компьютере начинает умирать жесткий диск или SSD накопитель (Как проверить жизненные показатели жесткого диска), очень частая история и жизненная, когда люди теряли все свои данные, из-за банальной жадности в покупке нового оборудования и элементарного незнания принципов резервного копирования.
  2. У вас производится модернизация оборудования, его улучшение и вам нужно перенести все сертификаты с закрытыми ключами на другую систему
  3. Вы создали отдельный сервер, в виде виртуальной машины, где будут находится все ваши сертификаты и с ними смогут работать все необходимые сотрудники, терминал для бухгалтерии. Простой пример СБИС, и когда у вас 10-20 организаций.

Копирование закрытого ключа из криптопро

Это самый простой способ, и будет актуальным при небольшом количестве контейнеров с закрытыми ключами. Чтобы выполнить перенос сертификатов из реестра, откройте ваш КриптоПРО, вкладка “Сервис”, нажимаем кнопку “Сервис”, далее через кнопку “Обзор”, откройте “Выбор ключевого контейнера” и укажите, какой сертификат вы будите переносить. В моем примере это контейнер “Копия сертификата в реестре (Семин Иван)”.

Нажимаем “Далее”, вас попросят задать новое имя контейнера с закрытым ключом, введите понятное для себя, для удобства.

У вас откроется окно с выбором носителей, вы можете выбрать либо токен, либо флешку для переноса на другое место. У меня это внешний жесткий диск Z:.

Задаем обязательно пароль, с точки зрения безопасности, так как файлы в таком виде просто скомпрометировать.

Все, на выходе я получил папку со случайным названием и набором ключей в формате key.

Если вы пытаетесь копировать сертификат с токена, то в ряде случаев у вас может появиться ошибка: Ошибка копирования контейнера. У вас нет разрешений на экспорт ключа, потому что при создании ключа не был установлен соответствующий флаг. Ошибка 0x8009000B (-2146893813) Ключ не может быть использован в указанном состоянии.

Связана такая ситуация, что в целях псевдобезопасности, удостоверяющие центры выпускают закрытые ключи без возможности экспорта, и таким образом увеличивают свою прибыль, так как в случае утери или поломки токена, вам придется его перевыпускать, а так как экспорт запрещен, то бэкапа вы сделать не сможете.

Если вы получили ошибку копирования контейнера. У вас нет разрешений на экспорт ключа, то метод с КРиптоПРО вам не поможет

Лицензия

Чтобы приобрести лицензию, свяжитесь с менеджером.

Массовый перенос ключей и сертификатов cryptopro на другой компьютер

Выше описанные методы хороши, когда у вас один или 5 ключиков в реестре, а как быть если их десятки. Помню лет 5 назад, когда я еще был младшим администратором, то я очень часто устанавливал электронные цифровые подписи главбуху, так как она работала в СБИС и сдавала там постоянно отчетность по огромному количеству организаций, по типу рога и копыта.

Держать кучу токенов было не вариант, и для таких вещей у нее все хранилось в реестре и копия сертификатов была на флешке в сейфе. Флешку потом потеряли, встал вопрос сделать резервную копию всего и плюс обновить систему, в виду нового компьютера, на операционной системе Windows 8.1. ЭЦП было штук 50, а так как я ценю свое время, то и искал методы, выполнить это быстрее, к счастью я его нашел.

Заключался метод переноса сертификатов из реестра, в выгрузке веток и подмене SID значения, но обо всем по порядку. О том, как посмотреть SID пользователя и что это такое я рассказывал.

Открываете командную строку cmd и вводите команду:

Настройте outlook

  1. Откройте Outlook и выберите пункт меню «Файл/Параметры/Центр управления безопасностью».
  2. Нажмите «Параметры центра управления безопасностью».
  3. Перейдите на вкладку «Защита электронной почты» и нажмите «Параметры».
  4. В поле «Сертификат подписи» нажмите «Выбрать» и укажите ЭП, которая будет использоваться для подписания, шифрования и расшифровки сообщений.

    Выбрать можно только сертификат, в описании которого email совпадает с учетной записью Outlook.

  5. Вернитесь на вкладку «Защита электронной почты».

    Чтобы все письма подписывались и шифровались автоматически, включите режимы «Шифровать содержимое и вложения исходящих сообщений» и «Добавлять цифровую подпись к исходящим сообщениям». Иначе настраивать подпись в Outlook нужно будет для каждого письма.

    Установите режим «Отправлять подписанные сообщения открытым текстом», чтобы для всех прикрепленных файлов подпись формировалась как отдельное вложение. Иначе текст сообщения, все файлы и ЭП будут объединены в одно вложение.

Отправьте подписанное сообщение

  1. Нажмите «Создать» или выберите пункт меню «Файл/Создать/Сообщение».
  2. Выберите получателя в поле «Кому» и введите тему сообщения. Если письмо будет содержать файлы, добавьте их в письмо — нажмите «Вложить файл».
  3. Когда сообщение будет готово к отправке, нажмите «Отправить».

Перенос сертификатов в виде пошаговой инструкции

Первые два пункта я описывать тут не стану, так как я уже это подробно рассказывал, посмотрите по ссылкам. Я расскажу, об остальных методах и начнем мы с классического КриптоПРО.

Читайте также:  Как установить сертификат ЭЦП на компьютер?

Данный метод подойдет для тех ситуаций, когда у вас один или 2 сертификата (ЭЦП). Если же их несколько десятков, а это не такая уж и редкость, то такой путь вам не подходит, и там придется выбирать 4-й метод.

Важное замечание. Я буду переносить контейнеры закрытого ключа, которые хранятся в реестре. Если вы храните их только на токене, то переносить контейнеры вам не надо, только сертификаты

Перенос сертификатов из реестра без криптопро

Существуют методы экспортировать закрытый ключ и без изспользования утилиты КриптоПРО. Представим себе ситуацию, что у вас на него кончилась лицензия и вы не успели ее купить. Вам нужно сдать отчетность в СБИС. Вы развернули CryptoPRO на другом компьютере, так как он позволяет 3 месяца бесплатного использования, осталось для СБИС выполнить перенос сертификатов, которые у вас в реестре Windows.

У нас два варианта:

Как открыть оснастку сертификаты я уже подробно рассказывал, посмотрите. Откройте там контейнер “Личное – Сертификаты”. Если у вас в контейнере не один сертификат с одинаковым именем, такое может быть, то откройте сертификат в оснастке mmc и в КриптоПРО и сравните серийные номера сертификата.

В Internet Explore, откройте “Свойства браузера – Содержание – Сертификаты”

Теперь нам необходимо его экспортировать, в оснастке “Сертификаты”, через правый клик, это можно сделать, в Internet Explorer, сразу видно кнопку, экспорт.

У вас откроется мастер переноса сертификатов, на первом шаге, просто нажимаем далее. После чего вас спросят, что вы хотите экспортировать, выбираем пункт “да, экспортировать закрытый ключ вместе с сертификатом”

Если ваш закрытый ключ запрещено экспортировать, то эта кнопка будет не активна, и можете сразу закрывать данный метод и переходить к следующему.

Следующим этапом в мастере экспорта сертификатов, вам необходимо выбрать формат выгрузки, это будет PFX архив.

Далее вы задаете обязательно пароль и указываете имя и место, где будите сохранять ваш переносимый контейнер с зарытым ключом в формате pfx.

Мастер экспорта сертификатов, выведет вам сводные данные, нажимаем “Готово”.

Отрываем локацию, куда вы его выгрузили, и найдите свой pfx архив.

Теперь вам нужно еще выгрузить открытый ключ в формате cer, для этого так же зайдите в мастер экспорта, но на этот раз выберите “Нет, не экспортировать закрытый ключ”.

Выберите формат файла “X.509 (.CER) в кодировке DEP”, задайте ему имя и место сохранения. На выходе у вас появятся два файла.

Одни открытый ключ в формате cer и закрытый ключ в формате pfx. Этого набора вам будет достаточно, чтобы перенести сертификаты СБИС, Контура и остальных программ на другой компьютер.

Теперь перенесите эти файлы на другое рабочее место и просто запустите, через простой двойной клик. У вас откроется мастер импорта сертификатов, на первом окне выберите нужное вам хранилище, я в своем примере оставлю “Текущий пользователь”.

На втором шаге проверяем импортируемый сертификат.

Указываем пароль, который задавали при выгрузке.

Оставляем автоматический выбор хранилища на основе типа сертификатов.

Готово. Со вторым файлом то же самое. После чего у вас будут перенесены нужные вам ключи и сам сертификат, можно работать.

Подписать документ

  1. Убедитесь, что внесли все изменения и подписываете окончательную версию. Файлы, подписанные ЭП, нельзя менять, иначе подписи станут недействительными.
  2. Перейдите на вкладку «Файл», откройте «Сведения» и нажмите «Добавить электронную подпись (КРИПТО-ПРО)».
  3. В окне «Подписание» проверьте сертификат ЭП, выбрать другой можно по кнопке «Изменить…». Укажите цель подписания документа (например, «аккредитация»).
  4. Нажмите «Подписать».

Проверить, кто и когда подписал документ

Нажмите «Файл/Сведения/Просмотр подписей». В окне «Подписи» вы увидите, кто и когда подписал документ. Чтобы получить подробную информацию, кликните подпись правой кнопкой мыши и выберите «Состав подписи».

Подробнее о работе с ЭП в Microsoft Office Word/Excel читайте в инструкции разработчика.

С чего начать

  1. Получите электронную подпись, оформив заявку по телефону, на сайте УЦ или в личном кабинете. Для работы в СБИС также можно использовать ЭП, выданные другими УЦ.
  2. Запустите мастер настройки рабочего места, чтобы подготовить свой компьютер к использованию ЭП.
  3. Если планируете работать с ЭП вне СБИС, зарегистрируйтесь на тех торговых площадках и госпорталах, где хотите ее использовать.

Системные требования

  1. Microsoft Office 2007/2022/2022/2022/2022 или Microsoft 365 (подписание доступно только в версии рабочего стола, но не во всех подписках).
  2. КриптоПро CSP в соответствии с версией ОС.
  3. КриптоПро Office Signature 2.0.

Требования к носителям и скзи

  • ЭП для работы на торговых площадках нельзя генерировать на незащищенный носитель (флешка, реестр) и токен со встроенной СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta SE, JaCarta-2 SE).
  • Подпись для сдачи отчетности в Росприроднадзор, МВД, ФСС (больничные и ПОВЭД), ПФ («Заявление на подключение страхователя к ЭДО ПФР») должна формироваться на СКЗИ КриптоПро CSP, VipNet CSP или Рутокен ЭЦП 2.0.
Оцените статью
ЭЦП Эксперт
Добавить комментарий

Adblock
detector