сертификаты не найдены криптопро

Иногда при работе с электронной цифровой подписью (ЭЦП) выходит ошибка о том, что ПК не видит сертификат подписи на носителе или о том, что при создании подписи была допущена ошибка. Причина может быть в неустановленном или переставшем работать драйвере, в неисправности токена или в неисправности программной части компьютера.

Причины возникновения ошибки

Ошибка «В контейнере закрытого ключа отсутствует сертификат открытого ключа» может возникать во время установки нового личного сертификата, а также при попытке просмотра закрытых ключей через контейнеры или при экспорте данных с компьютера на флешку или с электронного носителя на ПК.

Обычно причина неисправности кроется в отсутствии на носителе открытого ключа. Исправить ситуацию можно простой установкой.

Иногда во время установки сертификатов электронной цифровой подписи через КриптоПро после выбора ключевого контейнера возникает ошибка: «В контейнере закрытого ключа отсутствует открытый ключ шифрования». Ее устранение в большинстве случаев не требует обращения в службу поддержки пользователей: достаточно лишь следовать пошаговой инструкции установки в контейнер закрытого ключа подписи.

Если электронную подпись нужно использовать на нескольких компьютерах или скопировать сертификат на запасной носитель, то необходимо знать, где ее искать. Обычно сертификаты хранятся в одном месте, но в зависимости от типа используемой операционной системы путь к хранилищу может быть разным.

Содержание

• 1 Где хранится ЭЦП на компьютере
• 2 Как посмотреть сертификат ЭЦП
• 3 Где в реестре хранится ЭЦП
• 4 Где хранится сертификат ЭЦП в ОС Windows XP
• 5 Где хранится ЭЦП в системах Linux

Содержание

1. Компьютер не видит сертификат ЭЦП: первые шаги
2. Электронная подпись повреждена
3. Носитель с сертификатом электронной подписи вставлен в компьютер, но не просматривается через КриптоПро CSP
4. Неисправно устройство (дисковод или USB-разъем), в которое вставлен носитель с сертификатом электронной подписи
5. Что делать при отсутствии своего сертификата в списке на странице «Ваши сертификаты»
6. Пошаговая инструкция решения проблемы
7. Что делать если не найден сертификат или не верен
8. Почему «КриптоПро CSP» может не видеть ключей
9. Почему не виден сертификат ЭЦП на флешке: обобщение
10. Причина 1: драйвер не установлен или устройство отображается в диспетчере устройств с восклицательным знаком
11. Причина 2: долгое опознание носителя на Windows 7
12. Причина 3: USB-порт работает некорректно
13. Причина 4: носитель неисправен

Почему «КриптоПро CSP» может не видеть ключей

В этом случае проверьте следующие параметры:

• успешная установка программы (служба Installer должна быть активна);
• наличие интернет-соединения;
• исправление указанного файла в удостоверяющем центре.

При установке плагина сделайте следующее:

1. Скачать персональный сертификат с учетом указаний мастера. С помощью кнопки «Обзор» указывается путь для сохранения файла с расширением .cer.
2. Используется контейнер с зашифрованным ключом. С помощью кнопки «Обзор» нужно выбрать нужный сертификат на флешке.

Если файлы ранее были установлены неправильно и перенос на новый носитель не удался, выполняется очистка реестра операционной системы.

Для этого в меню CSP предусмотрена кнопка «Удалить пароли». Если приложения и плагины работают без ошибок, а журнал событий выдает ложную информацию, следует просканировать файлы с помощью функции Sfc /scannow.

Если «КриптоПро CSP» не видит ключей, проверьте правильность установки программы.

После этого компоненты перерегистрируются с помощью MSIExec/regserver.

Почему не виден сертификат ЭЦП на носителе

Обычно проблема решается простой перезагрузкой компьютера и объясняется сбоем в работе программных компонентов. Но иногда для исправления ошибки нужно переустановить драйвера или обратиться в службу технической поддержки пользователей.

Причина 1: драйвер не установлен или устройство отображается в диспетчере устройств с восклицательным знаком

Если на носителе Рутокен ЭЦП не найдено ни одного сертификата, а в диспетчере устройств носитель отображается с восклицательным знаком, то проблема кроется в драйвере.

Для исправления ситуации нужно извлечь носитель ЭЦП из компьютера и скачать последнюю версию драйвера. Скачивание нужно производить только с официальных ресурсов:

• для Рутокена — https://www.rutoken.ru/support/download/windows/;
• для eToken — https://erim.ru/gde-skachat-i-kak-ustanovit-drayvery-etoken.html;
• для JaCarta — https://www.aladdin-rd.ru/support/downloads/jacarta.

После установки драйвера нужно снова подключить носитель. Если ошибка повторяется, проверьте корректность работы токена. Для этого подключите его к другому ПК. Если носитель определился системой, то на неисправном компьютере удалите драйвер и установите его заново.

Причина 2: долгое опознание носителя на Windows 7

При работе в ОС Windows 7 драйверы могут долго назначаться. Решение проблемы — дождитесь окончания процесса или обновите версию ОС.

Причина 3: USB-порт работает некорректно

Убедитесь, что проблема в USB-порте, а не в носителе ЭЦП, для этого переключите токен к другому порту. Если носитель определился системой, то перезагрузите ПК. Обычно это помогает справиться с проблемой и запустить работу всех USB-портов. Если перезагрузка не помогла, то желательно обратиться в техническую поддержку для устранения неисправности.

Причина 4: носитель неисправен

Если при переключении носителя к другому ПК или USB-порту флешку компьютер не видит, то проблема в носителе. Чтобы устранить неисправность, обратитесь в сервисный центр для выпуска нового токена.

Почему не виден сертификат ЭЦП на флешке

Простая перезагрузка компьютера обычно устраняет проблему и вызвана неисправностью программных компонентов. Но иногда для исправления ошибки необходимо переустановить драйвера или обратиться в службу поддержки пользователей.

Причина 1: драйвер не установлен или устройство отображается в диспетчере устройств с восклицательным знаком

Если на носителе Рутокен ЭЦП сертификаты не обнаружены, а в диспетчере устройств носитель отображается с восклицательным знаком, то проблема связана с драйвером.

Чтобы исправить ситуацию, необходимо удалить с компьютера поддержку цифровой подписи и скачать последнюю версию драйвера. Скачивать нужно только с официальных ресурсов:

После установки драйвера необходимо снова подключить носитель. Если ошибка повторяется, проверьте правильность работы токена. Для этого подключите его к другому ПК. Если система обнаружит носитель, удалите драйвер на неисправном компьютере и установите заново.

Причина 2: долгое опознание носителя на Windows 7

При работе на Windows 7 драйвера могут назначаться долго. Решение проблемы – дождаться окончания процесса или обновить версию операционной системы.

Причина 3: USB-порт работает некорректно

Убедитесь, что проблема связана с портом USB, а не с носителем цифровой подписи, для этого измените токен на другой порт. Если система обнаружит носитель, перезагрузите ПК. Обычно это устраняет проблему и заставляет работать все USB-порты. Если перезагрузка не помогла, рекомендуется обратиться в техподдержку для решения проблемы.

Причина 4: носитель неисправен

Если компьютер не видит флешку при переносе носителя на другой ПК или USB-порт, то проблема с носителем. Для устранения проблемы обратитесь в сервисный центр для выдачи нового токена.

Источники

• https://astral.ru/articles/elektronnaya-podpis/9312/
• https://vkspy.info/pc/kompyuter-ne-vidit-eczp
• https://planshet-info.ru/kompjutery/sbis-jelektronnaja-podpis-ne-najdena
• https://obecp.ru/ne-vidit-sertifikat-etsp.html
• https://Lumpics.ru/cryptopro-not-recognize-flashdrive/
• https://ibexpert.online/ecp/info/oshibka/
• https://myedo.ru/elektronnaya-podpis/nastrojka-i-oshibki/na-nositele-rutoken-ecp-ne-najdeno-ni-odnogo-sertifikata

Почему выходит ошибка при создании подписи

Ошибка создания подписи обычно имеет в расшифровке два значения:

• элемент не найден;
• не удалось построить цепочку сертификатов.

Неисправность работы подписи связана с некорректной работой криптопровайдера, неустановленными или необновленными сертификатами.

Решение проблемы зависит от типа ошибки и обычно не требует обращения в техническую поддержку.

Устранение ошибки ненайденного элемента ЭЦП

Переустановите криптопровайдер на неисправном ПК с официального портала КриптоПро (https://www.cryptopro.ru/downloads). После этого очистите кэш и временные файлы в используемом браузере, а также кэш Java. Затем удалите личные сертификаты и сертификаты главного удостоверяющего центра. Используйте КриптоПро и заново установите новые в соответствии с именем контейнера. После установки корневых сертификатов:

1. перезагрузите компьютер;
2. присоедините носитель ключа электронной подписи;
3. повторите подписание документа.

Если после проделанной работы ошибка сохраняется, то нужно обратиться в сервисный центр.

Устранение ошибки с построением цепочки сертификатов

Обычно ошибку вызывает отсутствие сертификатов доверенных корневых центров. Чтобы устранить неисправность, нужно открыть список сертификатов и найти проблемный. Он будет иметь отметку о проблеме в проверке отношений:

Затем пользователь скачивает с официальной страницы сертификат Минкомсвязи РФ и сертификат удостоверяющего центра, имеющего проблемы в работе. Устанавливают их в раздел «‎Корневые сертификаты»‎, а пошаговый процесс выглядит так:

В нужном сертификате нажать «‎Установить».

В мастере импорта сертификатов нажать «‎Далее» и в новом окне поставить галочку напротив «‎Поместить все сертификаты в следующем хранилище». Нажать «‎Обзор».

В открывшемся списке выбрать «‎Доверенные корневые центры» и нажать последовательно «‎ОК» и «‎Далее».

Нажать «‎Готово», а затем подтвердить установку.

Дождаться установки и перезагрузить ПК. Если после этого подписание сопровождается ошибкой, то необходимо обратиться за помощью в техническую поддержку.

Ошибки в работе носителя электронной подписи могут быть вызваны как неисправностью самого носителя, так и неисправностями в программном обеспечении. Перезагрузите ПК и переключите токен в другой порт, чтобы убедиться в его исправности. Если проблема вызвана тем, что токен поврежден, то необходимо обратиться в сервисный центр компании, выпустившей USB. При ошибке, возникающей во время подписания документа, нужно убедиться в корректной работе всех сертификатов и криптопровайдера и при необходимости провести их полную переустановку.

При возникновении ошибки “Сертификат не имеет связи с закрытым ключом” необходимо выполнить проверку сертификата электронной подписи.

Алгоритм проверки электронной подписи:

В программном продукте 1С необходимо

1. перейти в раздел “Администрирование”

2. “Обмен электронными документами”

3. “Настройка электронной подписи и шифрования”

4. На вкладке “Сертификаты” открыть используемый сертификат

5. Нажать на кнопку “Проверить”

6. Ввести пароль закрытой части ключа и нажать “Проверить”

! Обращаем Ваше внимание, что программа сама увеличит количество * в поле “Пароль:” до 16 при проверке. Данное поведение является штатным и выступает дополнительной защитой конфиденциальных данных в виде количества символов в пароле. Проверка будет осуществлена на основании введенных Вами данных.

Если в ходе проверки напротив пункта “Наличие сертификата в личном списке” возникнет сигнализирующий желтый символ, на него необходимо нажать для открытия технической информации.

Если в технической информации об ошибке указано “Сертификат не найден на компьютере.Проверка подписания, созданной подписи и расшифровки не могут быть выполнены.” это обозначает, что сертификат не установлен на данном рабочем месте в личном списке. Проверить это можно перейдя в Панель управления – Свойства браузера

Как видно на примере в личных действительно отсутствует сертификат электронной подписи.

Решение: Установить сертификат в личный список.

Корректная установка сертификата в личный список происходит из программы криптографии.

1. Для пользователей, использующих VIPNet CSP

Запустить VIPNet CSP – выбрать необходимый контейнер и нажать “Свойства”

В открывшемся окне свойств контейнера необходимо нажать “Открыть” для открытия сертификата электронной подписи.

В сертификате необходимо нажать “Установить сертификат”

В открывшемся мастере импорта сертификатов необходимо выбрать в расположении хранилища “Текущий пользователь” и нажать “Далее”

Затем выбрать “Поместить все сертификаты в следующее хранилище” и нажать “Обзор”. В открывшемся окне выбрать хранилище “Личное” и нажать “ОК”. Завершить установку сертификата.

2. Для пользователей, использующих КриптоПро CSP

Запустить КриптоПро CSP. Для этого необходимо перейти в Пуск – Панель управления – КриптоПро CSP

В открывшемся окне криптопровайдера перейти на вкладку “Сервис” и нажать “Просмотреть сертификат в контейнере…”.

Затем нажать “Обзор” и выбрать необходимый контейнер закрытого ключа.

В открывшемся окне необходимо выбрать необходимый контейнер закрытого ключа и нажать “ОК”

В следующем окне можно сверить данные о выбранного сертификата и нажать “Установить”.

После чего появиться окно, свидетельствующее о том, что сертификат установлен в хранилище “Личные” текущего пользователя.

После установки сертификат появится в хранилище “Личные” в свойствах браузера.

После установки сертификата в хранилище “Личные” ошибка не воспроизводится.

Также вам может быть интересно:

Настройка КриптоПРО для работы с 1С-ЭДО в Linux

Настройка КриптоПРО для работы с 1С-ЭДО в macOS

Нет доступного сертификата для подписания документов.

При возникновении ошибки “Сертификат не имеет связи с закрытым ключом” необходимо выполнить проверку сертификата электронной подписи.

Алгоритм проверки электронной подписи:

В программном продукте 1С необходимо

1. перейти в раздел “Администрирование”

2. “Обмен электронными документами”

3. “Настройка электронной подписи и шифрования”

4. На вкладке “Сертификаты” открыть используемый сертификат

5. Нажать на кнопку “Проверить”

6. Ввести пароль закрытой части ключа и нажать “Проверить”

! Обращаем Ваше внимание, что программа сама увеличит количество * в поле “Пароль:” до 16 при проверке. Данное поведение является штатным и выступает дополнительной защитой конфиденциальных данных в виде количества символов в пароле. Проверка будет осуществлена на основании введенных Вами данных.

Если в ходе проверки напротив пункта “Наличие сертификата в личном списке” возникнет сигнализирующий желтый символ, на него необходимо нажать для открытия технической информации.

Если в технической информации об ошибке указано “Сертификат не найден на компьютере.Проверка подписания, созданной подписи и расшифровки не могут быть выполнены.” это обозначает, что сертификат не установлен на данном рабочем месте в личном списке. Проверить это можно перейдя в Панель управления – Свойства браузера

В сертификатах перейти на вкладку “Личные”.

Как видно на примере в личных действительно отсутствует сертификат электронной подписи.

Решение: Установить сертификат в личный список.

Корректная установка сертификата в личный список происходит из программы криптографии.

1. Для пользователей, использующих VIPNet CSP

Запустить VIPNet CSP – выбрать необходимый контейнер и нажать “Свойства”

В открывшемся окне свойств контейнера необходимо нажать “Открыть” для открытия сертификата электронной подписи.

В сертификате необходимо нажать “Установить сертификат”

В открывшемся мастере импорта сертификатов необходимо выбрать в расположении хранилища “Текущий пользователь” и нажать “Далее”

Затем выбрать “Поместить все сертификаты в следующее хранилище” и нажать “Обзор”. В открывшемся окне выбрать хранилище “Личное” и нажать “ОК”. Завершить установку сертификата.

2. Для пользователей, использующих КриптоПро CSP

Запустить КриптоПро CSP. Для этого необходимо перейти в Пуск – Панель управления – КриптоПро CSP

В открывшемся окне криптопровайдера перейти на вкладку “Сервис” и нажать “Просмотреть сертификат в контейнере…”.

Затем нажать “Обзор” и выбрать необходимый контейнер закрытого ключа.

В открывшемся окне необходимо выбрать необходимый контейнер закрытого ключа и нажать “ОК”

В следующем окне можно сверить данные о выбранного сертификата и нажать “Установить”.

После чего появиться окно, свидетельствующее о том, что сертификат установлен в хранилище “Личные” текущего пользователя.

После установки сертификат появится в хранилище “Личные” в свойствах браузера.

После установки сертификата в хранилище “Личные” ошибка не воспроизводится.

Также вам может быть интересно:

Настройка КриптоПРО для работы с 1С-ЭДО в Linux

Настройка КриптоПРО для работы с 1С-ЭДО в macOS

Нет доступного сертификата для подписания документов.

19 дек 2021 08:48 #19821
от Kven

Всем здравствуйте! Похожая
sedkazna.ru/forum.html?view=topic&catid=9&id=1160тема на форуме
есть, но мою проблему решить не помогает. Столкнулся со следующей проблемой – установил в реестр пользовательский сертификат через КриптоПро (4.0.9842), когда проводил установку пользовательского сертификата – поставил галочку “Установить сертификат (цепочку сертификатов) в контейнер”. Захожу в Континент TLS (2.0.1440.0), то там на вкладке пользовательские сертификаты, в графе статус сертификата пишет “Не найден корневой сертификат, невозможно проверить цепочку сертификатов”. При подключении к базе данных 1С наличие сертификатов не показывает, и войти не удается, при этом, если Континент не запускать, то выбор сертификатов предоставляет, но нет соединения и выдает ошибку ssl соединения. Подскажите пожалуйста, что можно сделать чтобы Континент подтягивал сертификат пользователя?

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

19 дек 2021 18:05 #19822
от Alex67

Ну и что вам мешает установить корневой сертификат?
Чтобы цепочка строилась кроме личного сертификата необходимо устанавливать корневой и промежуточный.
На сайте россказна ГИС удостоверяющий центр корневые сертификаты.

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

20 дек 2021 05:22 – 20 дек 2021 05:25 #19824
от FarWinter

Kven пишет: установил в реестр пользовательский сертификат через КриптоПро (4.0.9842),
когда проводил установку пользовательского сертификата – поставил галочку “Установить сертификат (цепочку сертификатов) в контейнер”. Захожу в Континент TLS (2.0.1440.0)

1. Если подписание будет происходить через Jinn-Client, закрытый ключ должен быть установлен на флешке или другом носителе.

2. Установить с помощью автоматического инсталлятора все нужные корневые сертификаты ФК
sedkazna.ru/forum.html?view=topic&defaul…=1011&start=30#18540

3. КриптоПРО нужно обновить минимум до версии 4.0.9944 и перезагрузить ПК.
sedkazna.ru/forum.html?view=topic&catid=9&id=1011#14063
пункт

0.2 Обновить КриптоПро 4.0 до 4.0.9944

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

25 дек 2021 07:04 #19859
от ranger

Я бы всё-таки использовал 9963

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

27 дек 2021 09:07 #19863
от Alex_04

Я бы всё-таки использовал 9963

Да лучше уж сразу последнюю сертифицированную 9975 (R5) — хуже не будет (надеюсь).

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

11 янв 2022 10:16 – 11 янв 2022 10:16 #19905
от ranger

Alex_04 пишет: Да лучше уж сразу последнюю сертифицированную 9975 (R5) — хуже не будет (надеюсь).

Вы что-то путаете – 9975 R5 не планируется сертифицировать

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

11 янв 2022 12:31 #19910
от Alex_04

Alex_04 пишет: Да лучше уж сразу последнюю сертифицированную 9975 (R5) — хуже не будет (надеюсь).

Вы что-то путаете – 9975 R5 не планируется сертифицировать

Да — Вы правы, пардон за ошибку. Но мнение то же — хуже не будет, имхо.

Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.

Где хранится ЭЦП на компьютере

Найти сертификат ключа электронной подписи на ОС Windows Vista и выше можно по адресу: C:Users/ПОЛЬЗОВАТЕЛЬ/App/Data/Roaming/MicrosoftSystem/Certificates. Где «‎Пользователь» — это название учетной записи ПК. В целях безопасности система сохраняет в данной папке только открытый, т.е. доступный всем, ключ ЭЦП. Закрытый ключ не копируется на жесткий диск и хранится на токене. Используется он для генерации открытых ключей.

Для программного пользования открытый ключ хранится в папке Windows в зашифрованном виде. Скопировать этот файл не получится, т.к. система не дает права доступа к нему. Просмотр установленных сертификатов возможен только администратор ПК.

Сертификат ЭЦП имеет формат .cer или .csr, и занимает несколько КВ памяти. В операционных системах MacOS и Linux формат файла не меняется, поскольку является единым для использования на территории РФ.

Носитель с сертификатом электронной подписи вставлен в компьютер, но не просматривается через КриптоПро CSP

Например, ваш сертификат ЭП может находиться в системном реестре. В этом случае сменные носители вставлять не нужно.

1. Откройте меню «Пуск» и перейдите в «Панель управления/КриптоПро CSP».
2. Проверьте, добавлен ли ваш носитель в список установленных считывателей во вкладке «Оборудование» (кнопка «Настроить считыватели»).
   Если вашего нет в списке установленных ридеров, добавьте его (нажмите «Добавить»).
3. Смотрите сертификат в ваших СМИ.
   Если сертификат не виден, попробуйте просмотреть его на другой рабочей станции, где также установлен СКЗИ КриптоПро CSP. Если он там доступен для просмотра, переустановите СКЗИ, если его там тоже не видно, то ключ ЭП поврежден, нужно получить новый.

Пошаговая инструкция установки личного сертификата

Чтобы установить личный сертификат, не записанный на ключевой носитель, нужно:

• Запустить программу КриптоПро: «Пуск»/«Настройка»/«Панель управления»/«КриптоПро CSP».
• Перейти через раздел «Сервис» во вкладку «Установить личный сертификат».

• Нажать «Далее».
• Указать путь к закрытому ключу электронной цифровой подписи через кнопку «Обзор». Пользователь в открывшейся папке выбирает файл, заканчивающийся расширением .cer.
• После этого пользователю предстоит нажать «Открыть».

• В поле «Имя файла» должен появиться путь доступа к ключу ЭЦП, после чего для продолжения установки нажимают кнопку «Далее».
• В новом окне появляется сервисное сообщение КриптоПро CSP с данными владельца подписи и нового сертификата. Информацию нужно проверить и нажать «Далее».

Следующий шаг — это выбор ключевого контейнера. Пользователь должен:

• В рабочем окне «Контейнер закрытого ключа» нажать «Обзор» и выбрать контейнер, соответствующий названию ЭЦП.

• Нажать «Далее» после того, как в графе «Имя ключевого контейнера» появится название контейнера.
• При необходимости ввести пин-код ключевого носителя.

Затем нужно выбрать хранилище. Делает это так:

• Пользователь нажимает «Обзор» и выбирает «Личное хранилище».

• После того как название хранилища отразится в соответствующей графе пользователь нажимает «Далее».

• После выбора контейнера для подтверждения установки нужно нажать «Готово».

Если выйдет сообщение о том, что сертификат уже есть в хранилище, нужно нажать «Да».

Остается лишь перезагрузить компьютер и попробовать подписать документ. Если ошибка будет повторяться, то необходимо обратиться в сервисный центр для незапланированной замены носителя электронной подписи и закрытого ключа ЭЦП. Проблема может крыться в неисправности токена.

Установка в КриптоПРО версии 3. 62 R2

Установка личного сертификата в КриптоПро версии 3.62 R2 и выше происходит иначе. В окне программы следует выбрать пункт «Установить» и подтвердить замену (если требуется). Если запроса на замену не вышло, нужно открыть вкладку «Сертификат для просмотра» и выбрать «Свойства».

В новом окне выбрать пункт «Установить».

После этого запустится «Мастер установки», в котором нужно нажать кнопку «Далее». После этого следует выбрать пункт «Поместить все сертификаты в хранилище». Для выбора хранилища нужно нажать «Обзор».

Для дальнейшей установки нужно выбрать «Личное хранилище».

В новом окне пользователю предстоит последовательно нажать «Далее» и «Готово». Через несколько секунд появится сообщение об успешной замене (установке) сертификата.

Ошибка отсутствия ключа электронной цифровой подписи в контейнера возникает обычно из-за отсутствия соответствующего сертификата. Решить проблему просто: установить личный сертификат и перезагрузить ПК. Способ установки зависит от версии используемого программного обеспечения КриптоПро и занимает всего несколько минут. Если после замены или установки открытого ключа проблема не исчезла, лучше обратиться в сервисный центр для перевыпуска электронной подписи.

Установка сертификатов используя КриптоПРО в Linux

Описание процесса установки приведено на примере дистрибутива семейства Debian (x64).Названия файлов и директорий могут варьироваться от системы к системе.

При установке личных сертификатов не нужны права суперпользователя, и наоборот, при установке сертификатов УЦ(корневых и промежуточных) могут потребоваться такие права.

Подключите USB носитель с ключевыми контейнерами и проверьте результат команды:

/opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -fqcn -verifycCSP (Type:80) v4.0.9009 KC1 Release Ver:4.0.9797 OS:Linux CPU:AMD64 FastCode:READY:AVX.
AcquireContext: OK. HCRYPTPROV: 16188003
\\.\FLASH\ivanov
\\.\FLASH\petrov
\\.\FLASH\sidorov
\\.\FLASH\vasiliev
\\.\FLASH\smirnov
OK.
Total: SYS: 0,020 sec USR: 0,060 sec UTC: 0,180 sec

Можно сразу установить личные сертификатов из всех доступных контейнеров одной командой:/opt/cprocsp/bin/amd64/csptestf -absorb -certsПроизойдет установка сертификатов, находящихся во всех доступных в момент запуска команды контейнерах (съемных флэш-носителях, жесткого диска и т. д.) в хранилище uMy.

Где в реестре хранится ЭЦП

Иногда реестр используется как ключевой носитель, т.е. он подходит для импорта и экспорта сертификатов. Где находится сертификат ЭЦП зависит от битности системы:

• для 32-битной ОС путь выглядит так: HKEY_LOCAL_MACHINE\SOFTWARE\CryptoPro\Settings\ Users\(идентификатор пользователя)\Keys\(Название контейнера)
• для 64-битной ОС путь к ключам такой: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Crypto Pro\Settings \USERS\(идентификатор пользователя)\Keys\(Название хранилища)
• реже ключи электронной подписи можно найти тут: HKEY_USERS\S-1-5-21-{SID}_Classes\VirtualStore\MACHINE\SOFTWARE \[Wow6432Node]\Crypto Pro\Settings\USERS\S-1-5-21-{SID}\Keys\

SID — это идентификатор пользователя, который идентифицирует данную учетную запись. Узнать его можно через командную строку и команду WHOAMI/USER.

Что делать при отсутствии своего сертификата в списке на странице «Ваши сертификаты»

Если такой объект не был установлен, перейдите на веб-страницу удостоверяющего центра, скачайте и установите компоненты персональной электронной подписи. Если сертификат был загружен ранее, проверьте, успешно ли он был загружен. Для этого выполните следующие шаги:

1. Перейти в меню «Пуск». Выберите раздел «Все программы». После этого в списке вы должны найти «КриптоПро».
2. В открывшемся окне выберите вариант «Личные», перейдите на вкладку «Сертификаты».
3. Двойной щелчок открывает объект, который не отображается в списке. Перейдите в раздел «Путь сертификации». Вот цепочка, в которую входят личные файлы, корневые сертификаты удостоверяющего центра, ключи вышестоящих органов, проводивших аккредитацию.
4. Они проверяют предупреждающие знаки возле найденных объектов, например, перекрестков. В этом случае сертификат считается недействительным. Нажав на файл, вы сможете увидеть причину ошибки.
5. Если срок действия элементов истек, необходимо обратиться в удостоверяющий центр для продления. Если предупреждающих знаков нет, а имеющиеся файлы не проходят проверку, производится переустановка корневого сертификата персональной электронной подписи.

Неисправно устройство (дисковод или USB-разъем), в которое вставлен носитель с сертификатом электронной подписи

Вставьте носитель с электронной подписью в другое устройство или USB-порт и снова нажмите кнопку «Зарегистрировать новую учетную запись» или «Зарегистрировать с сертификатом».

В электронном документообороте усиленная квалифицированная электронная подпись полностью заменяет собственноручную подпись. Это безоговорочно указывает на автора документа и доказывает, что документ не подвергался изменениям после подписания.

Электронная подпись повреждена

Если сертификат электронной подписи находится на дискете, не забудьте проверить положение шторки защиты от записи.

1. Запустите консоль КриптоПро CSP: запустите «Пуск/Панель управления/КриптоПро CSP».
2. Проверьте работоспособность электронной подписи, скопировав ее на другой съемный носитель или в реестр (во вкладке «Сервис» нажмите «Копировать контейнер» и следуйте указаниям мастера).
   Если копия не удалась, электронная подпись физически повреждена.

Где хранится ЭЦП в системах Linux

В Linux системах список контейнеров с закрытыми ключами можно найти при помощи утилиты csptest. Находится она в директории:  /opt/cprocsp/bin/<архитектура>.

Список контейнеров компьютера: csptest -keyset -enum_cont -verifycontext -fqcn -machinekeys. Список контейнеров пользователя: csptest -keyset -enum_cont -verifycontext -fqcn. В списках имена контейнеров даются в виде, понятном для бинарных утилит, входящих в состав дистрибутива CSP.

Закрытые ключи хранятся в хранилище HDImageStore на жестком диске, и доступны они и для CSP, и для JCP.

Просмотреть список ключей электронной подписи на ОС Windows может только пользователь с правами администратора. Обычно ключи хранятся в системных папках и имеют расширение .cer или .csr. Чтобы посмотреть список, удалить ненужные элементы или скопировать их на внешний носитель можно воспользоваться программой КриптоПро, браузером Internet Explorer, консолью управления или специальной утилитой certmgr. В Windows XP открытые и закрытые ключи хранятся в разных папках, а закрытые дополнительно шифруются паролем, состоящим из комбинации случайных чисел. Системы Linux хранят все сертификаты в отдельной директории, а пусть к ним задается вручную при помощи команд.

Что делать если не найден сертификат или не верен

Когда сертификат отсутствует в списке «Ваши сертификаты», проблема может заключаться в отсутствии сертификата корневого ЦС.

Для решения этой проблемы необходимо:

• проверьте наличие такого сертификата на вашем ПК по пути: «Пуск» — затем «Все программы» — затем плагин «КриптоПро» — и уже там «Сертификаты»;
• затем находим вкладку «Личные», выбираем «Сертификаты»;

• вам нужно будет открыть сертификат, который не отображается во вкладке и посмотреть его «Путь сертификации»;
• отображает все цепочки сертификатов в порядке сортировки. Важно, чтобы перед одним из них не было желтого или красного предупреждающего значка. Если он присутствует, нажмите на сам сертификат и прочитайте ошибку, которую выдаст система;
• в зависимости от причины (обычно это истечение срока действия сертификата или неверификация) удалите его.

Чтобы исправить ошибку и перезагрузить отозванный сертификат, вам потребуется выполнить несколько простых действий:

• в окне «Свойства обозревателя» откройте личный сертификат. Попасть туда можно через меню «Поиск» «Пуск». В открывшемся окне найдите вкладку «Содержание», затем вкладку «Сертификаты»;
• после этого во вкладке «Состав» нужно будет выбрать позицию «Точки раздачи обзорных списков»;
• в следующем блоке под названием «Название точки распространения» необходимо скопировать ссылку на скачивание файла со списком комментариев;
• перейдя по указанной ссылке, необходимо скачать и установить файл списка комментариев (CRL);
• затем следуйте подсказкам «Мастера импорта сертификатов».

Следующая распространенная проблема, когда компьютер не видит сертификат на носителе, это неисправность программных продуктов компьютера или Токена (флешки). Обычно помогает простая перезагрузка ПК. Среди других популярных задач в этой области можно выделить следующие:

1. В середине нет драйвера или он установлен неправильно. Вам необходимо скачать последнюю версию драйвера из официального источника и установить его. Вы можете проверить работоспособность съемного носителя на другом ПК. В этом случае, если другой ПК нормально работает с поддержкой цифровой подписи, переустановите драйверы на первом ПК.
2. Система долго распознает носителя ЭЦП. Возникла проблема с операционной системой. Его нужно будет обновить до минимального уровня, необходимого для работы с ЭЦП.
3. Порт USB не работает должным образом. Попробуйте подключить Токен (флешку) через другой порт или на другом ПК, чтобы убедиться, что проблема не в носителе. Перезагрузите компьютер.
4. Если Токин (флешка) не открывается ни на одном компе, то проблема с носителем. Когда ключ был записан в единственном экземпляре на этот носитель, вам необходимо будет обратиться в УЦ для перевыпуска ЭЦП.

Важный. Прежде чем вынести «окончательный вердикт» о исправности носителя и сертификата, не поленитесь проверить их через несколько разных источников.

Как посмотреть сертификат ЭЦП

Посмотреть установленные сертификаты можно при помощи Internet Explorer, Certmgr, консоль управления или КриптоПро. Пользоваться другими компьютерными программами не рекомендуется: они могут иметь встроенную команду отправки ключа ЭЦП на сторонний сервер, что приведет к компрометации подписи и невозможности ее использования.

Через КриптоПро

Как найти сертификат ЭЦП на компьютере при помощи КриптоПро:

1. открыть «‎Пуск»;
2. через вкладку «‎Все программы» перейти в «‎КриптоПро»;
3. выбрать вкладку «‎Сертификаты».

Этим способом могут воспользоваться пользователи или администраторы ПК (если пользователю будет отказано в доступе, необходимо дополнительно запросить права администратора). В открывшемся окне будет список всех сертификатов, установленных на данном ПК. В содержащем сертификаты хранилище, можно посмотреть информацию по каждому, скопировать контейнер закрытых ключей КриптоПро на другой компьютер, внешний носитель или удалить недействительный ключ ЭЦП.

Через Certmgr

Найти файл сертификата можно и при помощи встроенного менеджера, который присутствует во всех ОС Windows. Через него можно не только посмотреть все личные сертификаты, но и сертификаты УЦ и партнеров Microsoft.

Метод может использоваться только администратором ПК. Для просмотра нужно:

1. открыть «‎Пуск»;
2. ввести команду certmgr.msc в строку поиска и нажать Enter;
3. в левой колонке открывшегося окна будет список личных и корневых сертификатов.

С шифрованными сертификатами приложение работает ограниченно и не всегда корректно отражает все электронные подписи, установленные пользователем.

Через Internet Explorer

Интернет-браузер IE входит в комплектацию всех ОС семейства Windows XP и выше и позволяет также найти сертификаты ЭЦП на компьютере. Для просмотра нужно:

1. запустить браузер;
2. через «‎Меню» перейти в «‎Свойства браузера»;
3. в новом окне выбрать вкладку «‎Содержание»;
4. выбрать «‎Сертификаты».

Далее откроется окно с перечнем всех сертификатов, установленных пользователем и сторонними поставщиками ПО. В данном меню возможен перенос ключей и сертификатов на внешний носитель, удаление открытых ключей. Удаление корневых сертификатов УЦ через меню IE невозможно.

Через консоль управления

Просмотр сертификатов в ОС Windows через консоль управления запускается в несколько этапов:

1. пользователь открывает командную строку;
2. вводит команду mmc и нажимает Enter;
3. нажимает на «‎Файл» и «‎Добавить/удалить оснастку cryptopro»;
4. выбирает последовательно «‎Добавить» и «Добавить изолированную оснастку»;
5. выбирает «Сертификаты».

Дополнительно можно просмотреть ключи ЭЦП по конкретной учетной записи. Способ также доступен только пользователям с правами администратора ПК. Через консоль можно не только просматривать информация, но и удалять, копировать, добавлять контейнеры с ключами ЭЦП. Неудобство метода в том, что все команды необходимо вводить вручную. Обычны работа через консоль осуществляется на windows server для настройки прав доступа всех пользователей.

Компьютер не видит сертификат ЭЦП

Если компьютер не видит сертификат электронной подписи, то в операционной системе Windows нужно зайти по адресу: Пуск — Панель управления — КриптоПРО CSP — Инструменты — Тест — По сертификату. Таким образом можно понять, установлен ли сертификат в личном магазине пользователя с привязкой к RuToken. Если браузер пользователя не видит ЭЦП и не может зарегистрироваться на сайте или подключить ЭЦП, необходимо определить, добавлен ли интересующий сайт в доверенные:

• Пуск — Все программы — КРИПТО-ПРО — Плагин настройки ЭЦП. Лучше использовать браузер Internet Explorer, так как в других браузерах java-скрипт может работать некорректно.

Если компьютер не видит ЭЦП, необходимо предварительно посетить тематический форум компании КриптоПро. Если проблема не решается самостоятельно, обратитесь в службу поддержки (отправьте туда журналы приложений и системных событий, укажите версию/сборку CSP, ОС).

Пошаговая инструкция решения проблемы

Если флешка с ЭЦП не работает, выполните следующие действия:

1. Установите необходимые программные компоненты для корректного использования сайта. К ним относятся плагины для сайтов «Госуслуги», «Госзакупки» и др
2. Проверьте правильность настроек даты, времени и часового пояса на компьютере.
3. Проверьте, существует ли сертификат в личном хранилище. Если он отсутствует или поврежден, переустановите его. Убедитесь, что срок действия найденного сертификата не истек.
4. Включите функцию просмотра совместимости. Эта рекомендация относится к пользователям Internet Explorer. Чтобы найти функцию, зайдите в меню, откройте раздел «Параметры просмотра», пункт «Добавить адрес портала».
5. Проверьте работу системы в других браузерах. Если система по-прежнему не подписывает документ, попробуйте другое устройство.
6. Проверьте операционную систему на наличие вирусов. Для этого используйте специальные утилиты, такие как «Антивирус Касперского».

Просканируйте операционную систему на наличие вирусов.

Пример установки отдельно взятого сертификата из контейнера

При необходимости скопируйте ключевой контейнер \\.\FLASH\.\sidorov на жесткий диск:

/opt/cprocsp/bin/amd64/csptest -keycopy -contsrc '\\.\FLASH\sidorov' -contdest '\\.\HDIMAGE\sidor'CSP (Type:80) v4.0.9009 KC1 Release Ver:4.0.9797 OS:Linux CPU:AMD64 FastCode:READY:AVX.
CryptAcquireContext succeeded.HCRYPTPROV: 38556259
CryptAcquireContext succeeded.HCRYPTPROV: 38770755
Total: SYS: 0,000 sec USR: 0,100 sec UTC: 14,920 sec
[ErrorCode: 0x00000000]

Наличие [ErrorCode: 0x00000000] в завершении каждой команды КриптоПРО говорит о ее успешном выполнении.

Проверьте наличие нового контейнера \\.\HDIMAGE\sidor:

/opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -fqcn -verifycCSP (Type:80) v4.0.9009 KC1 Release Ver:4.0.9797 OS:Linux CPU:AMD64 FastCode:READY:AVX.
AcquireContext: OK. HCRYPTPROV: 34554467
\\.\FLASH\ivanov
\\.\FLASH\petrov
\\.\FLASH\sidorov
\\.\FLASH\vasiliev
\\.\FLASH\smirnov
\\.\HDIMAGE\sidor
OK.
Total: SYS: 0,010 sec USR: 0,050 sec UTC: 0,130 sec
[ErrorCode: 0x00000000]

Установите личный сертификат:

/opt/cprocsp/bin/amd64/certmgr -inst -cont '\.HDIMAGEsidor'Certmgr 1.0 (c) "CryptoPro", 2007-2010.
program for managing certificates, CRLs and stores
Install:
=============================================================================
1-------
Issuer : OGRN=1234567890123, INN=1234567890, STREET=Арбат, E=info@berkut.ru, C=RU, S=77 г.Москва, L=Москва, O=ООО 'Беркут', OU=Удостоверяющий центр, CN=UCESTP
Subject : SNILS=12345678901, OGRN=1234567890123, INN=0011234567890, E=sidorov@mail.ru, C=RU, S=10 Республика Карелия, L=Петрозаводск, O=ООО Ромашка, CN=Сидоров Николай Павлович, T=Администратор, G=Николай Павлович, SN=Сидоров
Serial : 0x12C40953000000000019
SHA1 Hash : 0xdd0ea8db46a372571c55315cd7e4d8e2de8fb9b6
SubjKeyID : 5fc37e578cce0abe739c4da227f68a2f9abcb128
Signature Algorithm : ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm : ГОСТ Р 34.10-2001 (512 bits)
Not valid before : 09/08/2016 06:07:00 UTC
Not valid after : 09/11/2017 06:17:00 UTC
PrivateKey Link : No
CA cert URL : <mark>http://cert1.ucestp.ru/estp.crt</mark>
Extended Key Usage : 1.3.6.1.5.5.7.3.4
1.3.6.1.5.5.7.3.2
=============================================================================
[ErrorCode: 0x00000000]

Скачайте корневой сертификат по ссылке выше (из поля CA cert URL): http://cert1.ucestp.ru/estp.crt и перенесите его, например, в домашнюю папку:

cp ~/Загрузки/estp.crt ~/estp.crt

Установите корневой сертификат (возможно потребуются права суперпользователя):

/opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file ~/estp.crtCertmgr 1.0 (c) "CryptoPro", 2007-2010.
program for managing certificates, CRLs and stores
Install:
=============================================================================
1-------
Issuer : OGRN=1234567890123, INN=1234567890, STREET=Арбат, E=info@berkut.ru, C=RU, S=77 г.Москва, L=Москва, O=ООО 'Беркут', OU=Удостоверяющий центр, CN=UCESTP
Subject : OGRN=1234567890123, INN=1234567890, STREET=Арбат, E=info@berkut.ru, C=RU, S=77 г.Москва, L=Москва, O=ООО 'Беркут', OU=Удостоверяющий центр, CN=UCESTP
Serial : 0x50D7BC0E4A3EC9994454EB83013EE5F5
SHA1 Hash : 0xd2144a3e098b6f2decb224257f48e2b7c6d85209
SubjKeyID : 07b753cd561dee8e5e83407be4575ecc05bfec14
Signature Algorithm : ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm : ГОСТ Р 34.10-2001 (512 bits)
Not valid before : 17/06/2016 13:15:21 UTC
Not valid after : 17/06/2021 13:25:01 UTC
PrivateKey Link : No
=============================================================================
[ErrorCode: 0x00000000]

Проверьте установку личного сертификата:

/opt/cprocsp/bin/amd64/certmgr -list -store uMyCertmgr 1.0 (c) "CryptoPro", 2007-2010.
program for managing certificates, CRLs and stores
=============================================================================
1-------
Issuer : OGRN=1234567890123, INN=1234567890, STREET=Арбат, E=info@berkut.ru, C=RU, S=77 г.Москва, L=Москва, O=ООО 'Беркут', OU=Удостоверяющий центр, CN=UCESTP
Subject : SNILS=12345678901, OGRN=1234567890123, INN=0011234567890, E=sidorov@mail.ru, C=RU, S=10 Республика Карелия, L=Петрозаводск, O=ООО Ромашка, CN=Сидоров Николай Павлович, T=Администратор, G=Николай Павлович, SN=Сидоров
Serial : 0x12C40953000000000019
SHA1 Hash : 0xdd0ea8db46a372571c55315cd7e4d8e2de8fb9b6
SubjKeyID : 5fc37e578cce0abe739c4da227f68a2f9abcb128
Signature Algorithm : ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm : ГОСТ Р 34.10-2001 (512 bits)
Not valid before : 09/08/2016 06:07:00 UTC
Not valid after : 09/11/2017 06:17:00 UTC
PrivateKey Link : Yes
Container : HDIMAGE\\sidor.000\2B01
Provider Name : Crypto-Pro GOST R 34.10-2012 KC1 CSP
Provider Info : ProvType: 80, KeySpec: 1, Flags: 0x0
CA cert URL : http://cert1.ucestp.ru/estp.crt
Extended Key Usage : 1.3.6.1.5.5.7.3.4
1.3.6.1.5.5.7.3.2
=============================================================================
[ErrorCode: 0x00000000]

Где хранится сертификат ЭЦП в ОС Windows XP

К базовым компонентам ОС Windows XP относятся службы сертификации, а XP Professional уже поддерживает многоуровневые иерархии центра сертификации (ЦС) как с изолированными и интерактивными ЦС, так и сети ЦС с доверительными перекрестными отношениями.

Открытые ключи ЭЦП Windows XP хранит в личном хранилище, а т.к. они представляют собой общедоступную информацию, то хранятся в виде открытого текста. Сертификаты пользователя находятся по адресу:

Documents and Settings\<имя_пользователя>\ApplicationData\Microsoft\ SystemCertificates\My\Certificates. Они автоматически вносятся в локальный реестр при каждом входе в систему. Если профиль перемещаемый, то открытые ключи хранятся обычно не на ПК, а следуют за пользователем при каждом входе в систему с внешнего носителя.

Такие поставщики услуг криптографии, как Enchanced CSP и Base CSP хранят закрытые ключи электронной подписи в папке %SystemRoot%\Documents and Settings\<имя_пользователя>\ Application Data\Microsoft\Crypto\RSA. Если профиль перемещаемый, то они расположены в папке RSA на контроллере домена. В этом случае на ПК они загружаются только на время работы профиля. Все файлы в данной папке шифруются случайным симметричным ключом автоматически. Основной ключ пользователя имеет длину в 64 символа и создается проверенным генератором случайных чисел.