временный сертификат для криптопро

Электронные цифровые подписи (ЭЦП) всё чаще используются предпринимателями и физлицами. Это экономит время и денежные средства. ЭЦП невозможно подделать, а внесение изменений в данные после подписания документа исключено. Причём для взаимодействия с контролирующими органами необходима именно квалифицированная подпись (КЭП). Получить её можно в аккредитованных удостоверяющих центрах. А вот о том, как установить сертификат ЭЦП на компьютер после её получения, мы пошагово расскажем в этой статье.

Электронная подпись может быть сформирована разными криптопровайдерами. В статье мы расскажем о том, как происходит установка сертификата электронной цифровой подписи, сформированной криптопровайдером КриптоПро.

Для того чтобы установить сертификат на свой компьютер, необходимо скачать КриптоПро CSP. Дистрибутив программы доступен для загрузки на сайте (потребуется регистрация/авторизация).

По просьбам трудящихся публикую инструкцию “выпускаем себе тестовые сертификаты крипто-про как горячие пирожки!”. Здесь описан процесс получение сертификата квалифицированной электронной подписи (КЭП) содержащего любые данные (OID) на тестовом удостоверяющем центре КриптоПро.

Изначально предполагается, что у нас уже установлен CryptoPro CSP и КриптоПро ЭЦП Browser plug-in, если нет, то идем качаем на официальный сайт. Все операции будут описаны относительно работы в ОС Linux. В MacOS и Windows, в принципе, не должно быть существенных отличий, кроме поправки на пути к исполняемым файлам.

Так же необходимо наличие действительного сертификата тестового УЦ КриптоПро в корневом хранилище сертификатов. Проверить его наличие можно командой

/opt/cprocsp/bin/amd64/certmgr -list -store uRoot

В выводе должно быть что-то вроде

Issuer : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
Subject : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
Serial : 0x37418882F539A5924AD44E3DE002EA3C
SHA1 Hash : 0xcd321b87fdabb503829f88db68d893b59a7c5dd3
SubjKeyID : 4e833e1469efec5d7a952b5f11fe37321649552b
Signature Algorithm : ГОСТ Р 34.11/34.10-2001
PublicKey Algorithm : ГОСТ Р 34.10-2001 (512 bits)
Not valid before : 27/05/2019 07:24:26 UTC
Not valid after : 26/05/2024 07:34:05 UTC
PrivateKey Link : No 

И если вдруг его нет, или истек срок действия (Not valid after), то нужно скачать свежий со страницы https://www.cryptopro.ru/certsrv/certcarc.asp, далее по ссылке Загрузка сертификата ЦС и установить командой

sudo /opt/cprocsp/bin/amd64/certmgr -inst -store uRoot -file /tmp/certnew.cer

Из нашей статьи вы узнаете:

При работе с ЭЦП во время подписи документов может понадобиться установка нового сертификата с использованием «КриптоПро CSP» — например, когда у ЭЦП закончился срок, произошла смена главного бухгалтера или директора предприятия, либо необходима установка нового сертификата после оформления в удостоверяющем центре.

Для корректной работы может потребоваться установка личного и корневого сертификата в КриптоПро. Чтобы это сделать придерживайтесь следующей инструкции.

Установка личного сертификата

Для того чтобы установить сертификат с помощью «КриптоПро CSP», выполните следующий алгоритм:

• запустите «КриптоПро», кликнув на иконку на рабочем столе или запустив из меню, перейдя по пути «Пуск» — «Программы» — «КриптоПро» — «КриптоПро CSP»);
• зайдите во вкладку «Сервис»;



• нажмите левой кнопкой мыши на иконку «Просмотреть сертификаты в контейнере»;



• найдите после нажатия кнопки «Обзор» контейнер с вашим сертификатом;



• выберите необходимый контейнер и подтвердите своё действие кнопкой «ОК» и затем «Далее»;





• проверьте правильность информации о сертификате внутри контейнера;
• нажмите кнопку «Установить».

Обратите внимание, что при установке система запоминает последний контейнер, с которого была проведена операция. Например, если вы установили личный сертификат из реестра вашего компьютера, а потом повторили процедуру с флешки, то при отсутствии последней система не сможет найти контейнер.

Как установить корневой сертификат КриптоПро

Для корректной работы сервера надо установить предварительно корневой сертификат в ваше хранилище. Для его получения необходим тестовый центр по сертификации продукта, куда можно попасть при наличии прав администратора. Также для предотвращения проблем необходимо добавить адрес интернет-сайта в список доверенных. Запросите сертификат, загрузив его из сертификационного центра. Чтобы его установить, откройте его и выполните следующие действия:

• зайдите в раздел «Общие»;
• выберите пункт «Установить сертификат»;
• следуйте за шагами мастера по установке, который поможет выполнить операцию.

Если процесс пройдёт корректно, то корневой сертификат появится в хранилище среди доверенных центров.

Как установить контейнер закрытого ключа в реестр

1. Подключите к компьютеру носитель с сертификатом.
2. Перейдите в «Пуск» → «Панель управления» → «КриптоПро CSP», откройте вкладку «Сервис» и нажмите «Скопировать».



3. Нажмите «Обзор…», выберите контейнер с сертификатом, нажмите «ОК» и «Далее».



4. Введите pin-код, затем нажмите «ОК».



5. Оставьте имя контейнера по умолчанию или введите новое.



6. В окне «Устройства» выберите «Реестр» и нажмите «ОК».



7. Установите пароль для контейнера.

После успешного копирования контейнера личный сертификат нужно установить в хранилище «Личные».

Ошибки при установке

Довольно распространённой проблемой при установке становится зависание компьютера. Обычно это связано с установкой нелицензионного ПО, наличием ошибок или отсутствием критических обновлений. Также проблемы могут возникнуть в следующих случаях:

• попытка установить недействительный сертификат;
• указание неверного пути к файлу;
• истечение срока действия сертификата.

Для корректной работы рекомендуем использовать только лицензионное ПО. Приобрести его и получить комплексную техническую поддержку можно в компании «Астрал-М». Мы входим в число официальных дилеров компании «КриптоПро», что подтверждает информация на сайте разработчика. Обращаясь в «Астрал-М», вы получаете:

• поддержку в режиме 24/7;
• оперативное оформление ЭЦП;
• любую форму оплаты;
• консультации по выбору подписи и типа лицензии;
• возможность оформления ЭЦП в офисе клиента и в ускоренном формате.

Для приобретения электронной подписи или криптопровайдера заполните форму обратной связи, чтобы наш специалист связался с вами.

Прайс-лист для ФНС СКЗИ КриптоПро CSP/Токен «КриптоПро CSP» 5.0 и Токен ПО КРИПТО-ПРО СКЗИ «КриптоПро CSP/JCP» «КриптоПро CSP» версии 5.0 «КриптоПро CSP» версии 5.0 (для иностранных лиц) «КриптоПро CSP» версии 4.0 «КриптоПро CSP» версии 4.0 Lic (для иностранных лиц) «Крипто-Про CSP» версии 5.0 КС3 Astra Linux Special Edition КриптоПро JavaCSP КриптоПро JCP 2.0 «КриптоПро CSP» TLS ПАК «КриптоПро УЦ» 2.0 ПАК “Службы УЦ 2.0” Серверные компоненты Клиентские компоненты TSP/OCSP client Средства мониторинга Сертификаты технической поддержки ПАК КриптоПро DSS ПО КриптоПро PKI-Кластер ПО КриптоПро Центр Мониторинга Лицензии на ПО “КриптоПро ЦМ” Сертификаты ТП “КриптоПро ЦМ” ПАКМ КриптоПро HSM и NGate ПАКМ КриптоПро HSM версии 2.0 КриптоПро NGate ПО КриптоПро Архив Дополнительное ПО КриптоПро .NET КриптоПро IPsec КриптоПро PDF КриптоПро Winlogon КриптоПро SSF КриптоПро Office Signature Приложение командной строки КриптоПро Шлюз УЦ-СМЭВ Клиентские компоненты TSP/OCSP client Secure Pack Rus КриптоПро SPR 4.0 Инструментарий разработчика Сертификаты шифрования с лицензией на CSP КриптоПро HLF Лицензия CSP Check Point SecurePlatform Сертификаты ТП, сервисного обслуживания, установки/настройки ПО/Аудит УЦ/СЭП Сертификаты технической поддержки Сертификаты расширенной технической поддержки Сертификаты расширенной круглосуточной технической поддержки Сертификаты на базовое сервисное обслуживание оборудования Сертификаты на расширенное сервисное обслуживание оборудования Сертификаты на установку и(или) обновление и настройку ПО Сертификаты на аудит средств УЦ и СЭП Услуги Услуги УЦ (неквалифицированная ЭП) Сертификаты по ЦСО и РСО Сертификаты класса КС3 по ЦСО и РСО Услуги по выпуску квалифицированных сертификатов Услуги ЦУС VPN Услуги Сервиса Электронной подписи Восстановление лицензии/сертификата ТП/бухгалтерских документов Выезд специалиста Информационно-консультационные услуги Продукция партнёров КриптоАРМ & Trusted TLS ПО КриптоАРМ Trusted Электронные идентификаторы (носители закрытых ключей) Электронные ключи ruToken Считыватели смарт-карт Электронные USB-ключи и смарт-карты ESMART Продукты старых версий «КриптоПро CSP» версии 3.9 «КриптоПро CSP» версии 3.6 Лицензия CSP 3.6 Stonegate Firewall/VPN «Старые дистрибутивы КриптоПро CSP 4.0 и JCP 2.0» ПАК «КриптоПро УЦ» 1.5

Услуги ЦУС VPN В случае, если Вам необходимо получить счет на оплату с реквизитами банка, находящегося не под санкциями США, ЕС и других стран, просим указать данную информацию в разделе «Комментарии» к заказу. Уважаемые партнёры, текущую цену и сроки поставки ПАКМ “КриптоПро HSM” и АП “КриптоПро NGate” уточняйте путём обращения на общий адрес info@cryptopro.ru или в контрактно-производственный отдел kpo@cryptopro.ru. ВНИМАНИЕ: Лицензия на право использования ПО не включает в себя дистрибутив программного обеспечения. Наименование Цена Количество Услуги ЦУС VPN по изготовлению сертификата открытого ключа 1 000,00 ₽ Услуги ЦУС VPN по изготовлению сертификата открытого ключа класса КС3 1 500,00 ₽ Услуги ЦУС VPN по изготовлению сертификата открытого ключа для аутентификации VPN-шлюза NGate * – данный сертификат предназначен для использования совместно с КриптоПро Ngate 4 000,00 ₽ Услуги ЦУС VPN по изготовлению сертификата открытого ключа для аутентификации VPN-шлюза NGate класса КС3 * – данный сертификат предназначен для использования совместно с КриптоПро Ngate 6 000,00 ₽ Услуги ЦУС VPN по изготовлению сертификата открытого ключа для аутентификации VPN-шлюза * – данный сертификат предназначен для использования с VPN-шлюзами, отличными от КриптоПро Ngate 5 000,00 ₽ Услуги ЦУС VPN по изготовлению сертификата открытого ключа для аутентификации VPN-шлюза класса КС3 * – данный сертификат предназначен для использования с VPN-шлюзами, отличными от КриптоПро Ngate 7 000,00 ₽ Услуги по подключению одного оператора в ЦУС VPN сроком 1 год * Счет выставляется только при наличии подписанного Оператором договора на обслуживание в УЦ. Тип обращения “Оператор ЦУС VPN “Запросить договор 3 900,00 ₽

Установка и эксплуатация компонентов ПАК «КриптоПро УЦ» должна производиться на основании лицензий, выданных производителем или поставщиком продукта.

В ПАК «КриптоПро УЦ» имеется два вида лицензий на компоненты:

• лицензия на стандартную версию продукта (стандартная лицензия);
• лицензия на расширенную версию продукта (расширенная лицензия).

Стандартная лицензия предоставляет право установки и эксплуатации одной копии продукта в соответствии с указанными в ней ограничениями без права изменения отдельных параметров конфигурации программного обеспечения компонента, определенного производителем по умолчанию.

Расширенная лицензия предоставляет право установки и эксплуатации одной копии компонента продукта в соответствии с указанными в ней ограничениями с правом изменения параметров конфигурации программного обеспечения компонента, определенного производителем по умолчанию.

Для рабочих мест пользователей УЦ не требуется наличие лицензий ПАК «КриптоПро УЦ». Они должны обеспечиваться лицензиями СКЗИ КриптоПро CSP, не входящими в состав ПАК «КриптоПро УЦ».

Лицензия Центра Сертификации

Параметры конфигурации, запрещаемые для изменения в стандартной лицензии:

• Параметры модуля политики КриптоПро УЦ;
• Параметры модуля выхода КриптоПро УЦ.

Ограничения лицензии:

• Наименование организации;
• Количество пользователей УЦ, являющихся владельцами сертификатов открытых ключей, изданных данным Центром Сертификации;
• Срок действия лицензии.

Производитель продукта в лице ООО «КРИПТО-ПРО» (г. Москва) предоставляет с каждой копией Центра Сертификации для ознакомления стандартную лицензию сроком действия 1 (один) месяц до 100 (ста) пользователей.

Учет зарегистрированных пользователей осуществляется на Центре Сертификации ПАК «КриптоПро УЦ». Счетчик зарегистрированных пользователей увеличивается на единицу только в случае одновременного выполнения следующих условий:

• При изготовлении сертификата открытого ключа идентификационные данные пользователя, для которого изготавливается сертификат, отличны от идентификационных данных пользователей, для которых уже были изготовлены сертификаты;
• При изготовлении сертификата открытого ключа запрос на изготовление сертификата открытого ключа не содержит область использования – «Временный доступ к Центру Регистрации» (OID 1.2.643.2.2.34.2).

Удаление пользователя средствами АРМ администратора Центра Регистрации влечет удаление соответствующей учетной записи только в базе данных Центра Регистрации. Соответственно, на Центре Сертификации значение счетчика зарегистрированных пользователей остается прежним и не уменьшается.

При необходимости зарегистрировать нового пользователя и изготовить для него сертификат открытого ключа для проведения тестов (зарегистрировать тестового пользователя), в данный сертификат в расширение «Улучшенный ключ» (Extended Key Usage) потребуется занести область использования «Временный доступ к Центру Регистрации» (OID 1.2.643.2.2.34.2) в дополнение к необходимым для выполнения тестовых задач областям. Счетчик зарегистрированных пользователей в данном случае не увеличится.

Лицензия Центра Регистрации

Параметры конфигурации, запрещаемые для изменения в стандартной лицензии:

• Политики обработки подписанных и неподписанных запросов;
• Политика имен;
• Системные роли;
• Шаблоны писем;
• Параметры модуля экспорта сертификатов;
• Параметры доступа к методам на вкладке Безопасность;
• Параметры регламентных заданий;
• Параметры веб-интерфейса.

Ограничения лицензии:

• Наименование организации;
• Срок действия лицензии.

Производитель продукта в лице ООО «КРИПТО-ПРО» (г. Москва) предоставляет с каждой копией Центра Регистрации для ознакомления стандартную лицензию сроком действия 1 (один) месяц.

Лицензия АРМ администратора Центра Регистрации

Для указанного компонента существуют только расширенные лицензии с возможным ограничением по времени.

Производитель продукта в лице ООО «КРИПТО-ПРО» (г. Москва) предоставляет с каждой копией АРМ администратора Центра Регистрации для ознакомления лицензию сроком действия 1 (один) месяц.

Лицензия АРМ разбора конфликтных ситуаций

Для указанного компонента существуют только расширенные лицензии ч возможным ограничением по времени.

Производитель продукта в лице ООО «КРИПТО-ПРО» (г. Москва) предоставляет с каждой копией АРМ разбора конфликтных ситуаций для ознакомления лицензию сроком действия 1 (один) месяц.

• Страница для печати

Квалифицированная электронная подпись состоит из открытого и закрытого ключа. Обе составляющие создаются с помощью криптографических алгоритмов. Для работы с КЭП нужно использовать оба ключа — каждый из них выполняет свою функцию.

Что такое открытый ключ ЭЦП

Открытый ключ электронной подписи представляется в виде электронного сертификата или бумажного документа. Сертификат выдаётся только удостоверяющим центром и содержит информацию, которая используется для проверки подписи владельца и шифрования данных.

Открытый ключ можно использовать для работы с партнёрами, в отличие от закрытого, который хранится в защищённом месте. Контрагенты могут использовать открытый ключ владельца для шифрования данных, которые ему посылают. Это означает, что после отправки этих данных, получить доступ к ним сможет только владелец закрытой части ключа.

Сертификат содержит в себе следующие данные:

• срок действия сертификата;

• реквизиты удостоверяющего центра;

• ФИО владельца сертификата;

• название криптографического алгоритма;

Электронный сертификат виден на обычных носителях в виде файла с расширением .cer, а на защищённых картах Рутокен, eToken и JaCarta он скрыт. Чтобы увидеть скрытый сертификат, его необходимо экспортировать.

Инструкция как экспортировать открытый ключ

Экспортировать открытый ключ электронной подписи можно через свойства обозревателя либо из криптопровайдера КриптоПро CSP. При этом носитель с ключом должен быть подключён к компьютеру.

Экспорт открытого ключа через свойства обозревателя

1. В системе Windows перейдите в «Пуск» → «Панель управления» → «Свойства обозревателя (Свойства браузера)».

2. Перейдите на вкладку «Содержание» и нажмите на кнопку «Сертификаты».

3. В списке выберите нужный сертификат, щёлкнув по его названию, и нажмите кнопку «Экспорт».

4.В окне «Мастер экспорта сертификатов» нажмите кнопку «Далее», затем «Нет, не экспортировать закрытый ключ» и снова «Далее».

5. В окне «Формат экспортируемого файла» выберите «Файлы в DER-кодировке X.509 (.CER)» и нажмите кнопку «Далее».

6. Выберите место сохранения сертификата, нажав кнопку «Обзор», затем нажмите на кнопку «Сохранить» → «Далее» → «Готово».

Экспорт открытого ключа из КриптоПро CSP

1. В системе Windows перейдите в «Пуск» → «Панель управления» → «КриптоПро CSP».

2. Перейдите на вкладку «Сервис» и нажмите кнопку «Просмотреть сертификаты в контейнере».

3. Нажмите кнопку «Обзор», выберите нужный контейнер и нажмите «Ок» → «Далее».

4. В окне «Сертификат для просмотра» нажмите кнопку «Свойства».

5. Перейдите на вкладку «Состав» и нажмите кнопку «Копировать в файл».

6. В окне «Мастер экспорта сертификатов» нажмите кнопку «Далее», затем «Нет, не экспортировать закрытый ключ» и снова «Далее».

7. В окне «Формат экспортируемого файла» выберите «Файлы в DER-кодировке X.509 (.CER)» и нажмите кнопку «Далее».

8. Выберите место сохранения сертификата, нажав кнопку «Обзор», затем нажмите на кнопку «Сохранить» → «Далее» → «Готово».

Что такое закрытый ключ ЭЦП

Закрытый ключ представлен в виде уникального набора символов, которые используются криптографическим алгоритмом для создания защищённой части электронной подписи.

Владелец электронной подписи использует именно закрытую часть для подписания электронных документов. Любой, кто получает доступ к закрытому ключу электронной подписи, может им воспользоваться. Поэтому его хранят на защищённых носителях: смарт-карте, токене, USB-носителе или дискете.

Хранить закрытый ключ можно на компьютере, однако это небезопасно — воспользоваться им сможет любой, кто имеет доступ к компьютеру. Самым защищённым носителем считается смарт-карта, так как на ней используется двухфакторная аутентификация.

Как и в случае с сертификатом, закрытый ключ может быть как скрыт так и виден, в зависимости от носителя. Он представлен в виде папки, которая содержит несколько файлов с расширением .key, поэтому закрытый ключ также называют контейнером. Скрытый контейнер с закрытым ключом нужно экспортировать, чтобы получить к нему прямой доступ.

Инструкция как экспортировать закрытый ключ

Выполнять экспорт закрытого ключа электронной подписи можно из криптопровайдера КриптоПро CSP.

1. Перейдите на вкладку «Сервис» и нажмите на кнопку «Скопировать контейнер».












2. Если вы копируете закрытый ключ с защищённого носителя, введите pin-код.

3. Введите название копии закрытого ключа и нажмите «Готово».








4. В окне «Выбор ключевого носителя» выберите носитель, на который будет произведено копирование контейнера с закрытым ключом.





5. Установите пароль на контейнер. Несмотря на то что этот шаг необязательный, установка пароля обеспечит дополнительную защиту.

Открытый и закрытый ключи квалифицированной электронной подписи выполняют разные функции, но для работы нужны обе части. В некоторых случаях владельцу ЭЦП нужно сделать экспорт на другой носитель, воспользоваться он может как средствами Windows, так и криптопровайдером КриптоПро CSP.

java.lang.IllegalArgumentException: Hash or Sign ERROR: 0x57	at ru.CryptoPro.JCSP.MSCAPI.MSHashNSignException.procCode(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.createHash(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.a(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.initHashGR3411(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_4.a(Unknown Source)	at ru.CryptoPro.JCSP.Key.AbstractKeySpec.prepareHash(Unknown Source)	at ru.CryptoPro.JCSP.Digest.BaseGostDigest.prepare(Unknown Source)	at ru.CryptoPro.JCSP.Digest.BaseGostDigest.engineUpdate(Unknown Source)	at ru.CryptoPro.JCSP.Sign.CryptoProSign.engineUpdate(Unknown Source)	at java.security.Signature.update(Unknown Source)	at java.security.Signature.update(Unknown Source)	at ru.soi.service.crypto.SigningService.signAndVerify(SigningService.java:159)	at ru.soi.service.crypto.SigningService.signingFile(SigningService.java:268)	at ru.soi.controller.v1.signature.SignatureServiceController.normalSignFile(SignatureServiceController.java:247)	at ru.soi.controller.v1.signature.SignatureServiceController$$FastClassBySpringCGLIB$$e441f2bc.invoke(<generated>)

 FileAsByteArrayManager fileAsByteArrayManager = new FileAsByteArrayManager(); byte[] fileInByte = fileAsByteArrayManager.readfileAsBytes(inFile); byte[] signInByte = signAndVerify(JCP.GOST_SIGN_2012_256_NAME, alias, "".toCharArray(), cryptoParams.getAsk_pin_in_window(), fileInByte); String fileNameSig = inFile.getAbsolutePath() + ".sig"; fileAsByteArrayManager.writeFile(signInByte, fileNameSig); return fileNameSig; public byte[] signAndVerify(String signAlgName, String alias, char[] password, boolean askPinInWindow, byte[] fileInByte) throws Exception { KeyStore keyStore = getKS(alias); PrivateKey privateKey; PublicKey publicKey; Certificate certificate;
// askPinInWindow = true if (askPinInWindow) { privateKey = (PrivateKey) keyStore.getKey(alias, null); certificate = keyStore.getCertificate(alias); publicKey = certificate.getPublicKey(); } else { KeyStore.ProtectionParameter protectedParam = new KeyStore.PasswordProtection(password); JCPPrivateKeyEntry entry = (JCPPrivateKeyEntry) keyStore.getEntry(alias, protectedParam); privateKey = entry.getPrivateKey(); certificate = entry.getCertificate(); publicKey = certificate.getPublicKey(); } if (isNull(privateKey)) throw new NotFoundException("not found private key for alias: " + alias); Signature signer = Signature.getInstance(signAlgName, JCSP.PROVIDER_NAME); signer.initSign(privateKey); signer.update(fileInByte); byte[] signature = signer.sign(); Encoder encoder = new Encoder(); log.info("Signature: " + encoder.encode(signature)); Signature validator = Signature.getInstance(signAlgName, JCSP.PROVIDER_NAME); validator.initVerify(publicKey); validator.update(fileInByte); boolean valid = validator.verify(signature); log.info("Signature verified: " + valid); if (!valid) throw new Exception(); signature = (new SignatureChecker()).cmsSignature((X509Certificate) certificate, signature); return signature; } public static KeyStore getKS(String alias) throws Exception { // только хранилище MY KeyStoreConfig.getInstance().getNames(); KeyStore store = KeyStore.getInstance(MY, JCSP.PROVIDER_NAME); store.load(null, null); Object c = store.getCertificate(alias); if (null != c) { log.info(MY); return store; } throw new Exception("no store found for " + alias); }

 KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("GOST3410DH_2012_256", "JCSP"); keyPairGenerator.initialize(new NameAlgIdSpec("\SCARD\ESMART_0000000*cardSerial*0000000\\test_alias")); keyPairGenerator.initialize(new PasswordParamsSpec("12345678")); KeyPair pair = keyPairGenerator.generateKeyPair();

 KeyStore keyStore = KeyStore.getInstance(readerName, provider); keyStore.load(null, null); KeyStore.ProtectionParameter param = null; if (password != null) param = new KeyStore.PasswordProtection(password); KeyStore.Entry entry = keyStore.getEntry(alias , param); keyStore.setEntry(alias + ContainerStore.PASSWORD_PREFIX + new String(newPassword), entry, new KeyStore.PasswordProtection(newPassword));

 KeyStore keyStore = KeyStore.getInstance(readerName, provider); keyStore.load(null, null); KeyStore.ProtectionParameter param = null; if (password != null) param = new KeyStore.PasswordProtection(password); JCPPrivateKeyEntry entry = (JCPPrivateKeyEntry) ((Object) keyStore.getEntry(alias , param));

Caused by: ru.CryptoPro.JCP.KeyStore.InvalidPasswordException	at ru.CryptoPro.JCSP.MSCAPI.cl_2.a(Unknown Source)	at ru.CryptoPro.JCSP.Key.AbstractKeySpec.read(Unknown Source)	at ru.CryptoPro.JCSP.KeyStore.CSPStore.a(Unknown Source)	at ru.CryptoPro.JCSP.KeyStore.CSPStore.a(Unknown Source)	at ru.CryptoPro.JCSP.KeyStore.CSPStore.engineGetEntry(Unknown Source)	at ru.CryptoPro.JCSP.KeyStore.MetaCSPStore.engineGetEntry(Unknown Source)	at java.base/java.security.KeyStore.getEntry(KeyStore.java:1555)	at test.javaCsp.JcspHelper.getJCPPrivateKeyEntry(JcspHelper.java:158)	at test.JcspHelper.validateTokenContainer(JcspHelper.java:205)	at test.JcspService.validateToken(JcspService.java:123)	... 65 more
Caused by: java.security.AccessControlException: ProvParam ERROR: 0x8010006b	at ru.CryptoPro.JCSP.MSCAPI.cl_5.setPassword(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.a(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.openContainerWithSetPin(Unknown Source)	... 75 more
Caused by: ru.CryptoPro.JCSP.MSCAPI.MSProvParamException: ProvParam ERROR: 0x8010006b	at ru.CryptoPro.JCSP.MSCAPI.MSProvParamException.procCode(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.setProvParam(Unknown Source)	... 78 more

Caused by: java.security.ProviderException: Error in key creation	at ru.CryptoPro.JCSP.Key.GostKeyPairGenerator.throwEx(Unknown Source)	at ru.CryptoPro.JCSP.Key.GostKeyPairGenerator.generateKeyPair(Unknown Source)	at test.JcspHelper.generateKeyPairOnToken(JcspHelper.java:100)	at test.JcspService.generateKeyPair(JcspService.java:90)	... 65 more
Caused by: java.security.UnrecoverableKeyException: Wrong Password	at ru.CryptoPro.JCSP.MSCAPI.cl_2.a(Unknown Source)	at ru.CryptoPro.JCSP.Key.AbstractKeySpec.create(Unknown Source)	... 68 more
Caused by: java.security.AccessControlException: ProvParam ERROR: 0x8010006b	at ru.CryptoPro.JCSP.MSCAPI.cl_5.setPassword(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.a(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.createContainerWithSetPin(Unknown Source)	... 70 more
Caused by: ru.CryptoPro.JCSP.MSCAPI.MSProvParamException: ProvParam ERROR: 0x8010006b	at ru.CryptoPro.JCSP.MSCAPI.MSProvParamException.procCode(Unknown Source)	at ru.CryptoPro.JCSP.MSCAPI.cl_5.setProvParam(Unknown Source)	... 73 more

# Регистрация плагина и настройка пути к файлу TSL
Add-VsCertificateVerifierPlugin -Assembly SVS.CertificateVerifier.Qualified.dll -PluginDescription "Проверка сертификата на соответствие установленной форме" -Parameters @{'TSLPath'='C:\TSL.xml'}
# Добавление отпечатков корневых сертификатов Минцифры РФ
Add-VsQualifiedCAThumbprints -Thumbprint 4bc6dc14d97010c41a26e058ad851f81c842415a
Add-VsQualifiedCAThumbprints -Thumbprint aff05c9e2464941e7ec2ab15c91539360b79aa9d
Add-VsQualifiedCAThumbprints -Thumbprint 2f0cb09be3550ef17ec4f29c90abd18bfcaad63a

DSS.TslTool.exe --skipcrl --skipcerts --skiproot

wget https://e-trust.gosuslugi.ru/app/scc/portal/api/v1/portal/ca/getxml -OutFile E:\tmp\tsl.xml

$ErrorActionPreference = "Stop"
# Полный путь к загруженному файлу TSL
$sourceFile = "E:\tmp\tsl_source\tsl.xml"
# Полный путь к файлу TSL, используемому SVS
$destinationFile = "E:\tmp\tsl_target\tsl.xml"
# Загрузка файла TSL
wget https://e-trust.gosuslugi.ru/app/scc/portal/api/v1/portal/ca/getxml -OutFile $sourceFile
if (!(Test-Path $sourceFile -PathType Leaf)) { # Загруженный файл TSL отсутствует Write-Host "Файл TSL отсутствует! " $sourceFile exit 2;
}
$targetFolder1 = Split-Path $destinationFile -Parent
if (!(Test-Path $targetFolder1 -PathType Container)) { # Не существует каталог, в который требуется скопировать файл TSL Write-Host "Каталог не существует! " $targetFolder1 exit 2;
}
if (!(Test-Path $destinationFile -PathType Leaf)) { Write-Host "Копирование нового файла TSL..." # Целевой файл TSL отсутствует # Просто копируем файл TSL Copy-Item $sourceFile -Destination $destinationFile
} else { # Целевой файл TSL присутствует # Копируем файл TSL при помощи временного файла Write-Host "Замена существующего файла TSL... " $targetFolder = Split-Path $destinationFile -Parent $tmpTslPath = Join-Path -Path $targetFolder -ChildPath "temp_tsl.xml" if (Test-Path $tmpTslPath -PathType Leaf) { # Если временный файл существует, удалим его Remove-Item $tmpTslPath -Force } # Копируем TSL во временный файл Copy-Item $sourceFile -Destination $tmpTslPath # Перемещаем TSL в целевой файл Move-Item $tmpTslPath -Destination $destinationFile -Force
}

Set-VsCertificateVerifierPlugin -ID 1 -CheckByDefaultRequired 1

Set-VsProperties -IncludeCertPluginErrorInfoInMainError 1
Restart-VsInstance

Пошаговая инструкция установки ЭЦП в КриптоПро

1. Откройте программу КриптоПро CSP.
2. Во вкладке Сервис нажмите кнопку Просмотреть сертификат в контейнере.



3. Теперь нажмите Обзор .



4. КриптоПро выдаст вам окно с предложением выбрать контейнер. Там же будет отображаться доступный считыватель.



А если закрытый ключ содержится в виде файлов?

Закрытый ключ может быть в виде шести файлов: header.key, masks.key, masks2.key, name.key, primary.key, primary2.key

И если эти файлы находятся в корневой папке (то есть, записаны непосредственно на жёсткий диск), то КриптоПро CSP их не «увидит». Соответственно, все действия нужно производить только после того, как каждый файл перенесён на флешку. Причём находиться он должен в папке первого уровня.

После выбора контейнера откроется окно Сертификаты в контейнере закрытого ключа. С помощью кнопки Установить начните установку сертификата.



5. Если установка прошла успешно, перед вами появится окно о завершении операции. Закройте его, нажав ОК.

Если автоматическая установка сертификата не удалась, может потребоваться ручная установка. О том, как её осуществить, читайте нашей пошаговой инструкции.

Технические требования для КриптоПро CSP

Перед установкой КриптоПро убедитесь, что ваш компьютер отвечает минимальным техническим требованиям:

• Процессор – Intel Core 2 Duo или другой схожий по производительности x86-совместимый процессор с количеством ядер 2 и более.
• Объем оперативной памяти – не менее 1 Гб.
• Свободное место на жестком диске – не менее 100 Мб.

• Операционная система Windows – Windows Server 2003 (32-разрядная), Windows Vista (32/64-разрядная), Windows 7 (32/64-разрядная), Windows Server 2008 (32/64-разрядная), Windows Server 2008 R2 (64-разрядная), Windows 8 (32/64-разрядная), Windows Server 2012 (64-разрядная), Windows 8.1 (32/64-разрядная), Windows Server 2012 R2 (64-разрядная), Windows 10 (32/64-разрядная), Windows Server 2016 (64-разрядная).

  При использовании более ранних версий Windows, чем Windows 8, на компьютере должен быть установлен накопительный пакет обновления часовых поясов KB2570791.

  Для операционной системы должен быть установлен последний пакет обновлений.

• Internet Explorer – версия 8.0 или выше.

Как настроить рабочее место

После установки сертификата квалифицированной ЭЦП на персональном компьютере, потребуется настройка рабочего места. Необходимо проверить установку и работоспособность:

• криптопровайдера;
• физического носителя;
• браузера;
• Астрал плагина;
• плагина Astral Toolbox;
• ЭЦП на любом портале для программного продукта Астрал-ЭТ.

Проверка криптопровайдера

Чтобы проверить установку КриптоПро CSP на компьютере, необходимо зайти в «Панель управления» → «Установка и удаление программ», в других случаях «Программы и компоненты» → при одном нажатии правой кнопкой мыши на иконку программы, можно увидеть версию продукта.

Проверка ЭЦП

Необходимо убедиться, что срок действия подписи не истёк.
Рассмотрим один из способов:
Открываем криптопровайдер КриптоПро CSP → вкладка «Сервис» → «Просмотреть сертификаты в контейнере» → раздел «Обзор» → выбираем ЭЦП, которую хотим проверить и нажимаем «Ок» → после нажатия «Далее» появится окно с информацией о сертификате подписи.
Если подпись используется с отчуждённого физического носителя, необходимо проверить устройство на внешние повреждения.

Настройка браузера

Для настройки работы браузера с ЭЦП, использующей КриптоПро, необходимо произвести установку плагина. Для каждого браузера потребуется определённое расширение. Разобраться поможет наша подробная инструкция.

Проверка плагинов

При возникновении проблем с Астрал Плагин требуется произвести его переустановку или произвести настройку межсетевого экрана или интернет-браузеров.
Если используются «Астрал Онлайн» или «Астрал.ОФД», плагины Astral Toolbox уже могут быть установлены. Версии данных плагинов не совместимы с продуктом «Астрал Отчёт 5.0». Обязательно требуется установка плагина не ниже версии 2.19.2.

Создание тестового сертификата

Введение

Для создания тестового сертификата есть два пути. Первый путь подразумевает использование КриптоПро ЭЦП Browser plug-in, второй же путь предназначен для того, чтобы без него обойтись.

Путь 1

• Установить корневой сертификат КриптоПро вместе со списком отозванных сертификатов (ссылка). Краткую рекомендацию по установке можно видеть здесь (ссылка) в пункте “Установка сертификатов”.
• Использовать Тестовый центр КриптоПро для генерации личного тестового сертификата. Ниже можно увидеть то, как должна выглядеть при этом тестовая страница (если нужно впоследствии копировать контейнер с сертификатом и закрытым ключом на носитель, надо использовать опцию “пометить ключ как экспортируемый”).

После проделанных действий сертификат автоматически установится и будет размещён в контейнере, расположенном на жёстком диске компьютера, с которого был сделан запрос. После этого его можно скопировать на требуемое устройство. Для копирования контейнера 1 в контейнер 2 можно использовать следующую команду:

/opt/cprocsp/bin/amd64/csptest -keycopy -contsrc '<путь к контейнеру 1>' -contdest '<путь к контейнеру 2>'

где пути к контейнерам и их названия можно узнать с помощью следующей команды:

/opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fq

Путь 2

• Установить корневой сертификат КриптоПро вместе со списком отозванных сертификатов (ссылка). Краткую рекомендацию по установке можно видеть здесь (ссылка) в пункте “Установка сертификатов”.
• Создать запрос на сертификат средствами КриптоПро CSP 4.0:

/opt/cprocsp/bin/amd64/cryptcp -creatrqst -dn "список имён полей" -cont 'путь к контейнеру' <название_файла>.csr

подробнее о данной команде можно узнать в инструкции в пункте 2.7.

• Копировать содержимое получившегося файла сюда в строку “Сохранённый запрос” и нажать “Выдать >”.

• Сохранить получившийся сертификат и установить его.

Теперь приступаем к выпуску сертификата

Идем на страницу https://aleksandr-ru.github.io/RusCryptoJS/cryptopro.html#Выпуск_сертификата и вводим нужный нам DN (в формате JSON объекта), например:

{
  "CN": "ОАО ТЕСТ",
  "2.5.4.4": "Иванов",
  "2.5.4.42": "Иван",
  "2.5.4.12": "Директор департамента",
  "2.5.4.9": "ул. Ивановская 99",
  "2.5.4.11": "Отдел маркетинга",
  "O": "ОАО \"Тест\"",
  "2.5.4.7": "г. Москва",
  "2.5.4.8": "77 г. Москва",
  "C": "RU",
  "1.2.840.113549.1.9.1": "example@domain.ru",
  "1.2.643.3.131.1.1": "2727020780",
  "1.2.643.100.1": "1022700525363",
  "1.2.643.100.3": "00000000052"
}

где в следующих OID должны быть корректные (проходящие по контрольной сумме) данные

1.2.643.3.131.1.1: ИНН
1.2.643.100.1: ОГРН
1.2.643.100.5: ОГРНИП
1.2.643.100.3: СНИЛС

Для КПП нет официального OID, но некоторые используют 1.2.643.100.4. Другие ГОСТ-овые OID можно посмотреть, например, по ссылке или в документе ФОРМАТ СЕРТИФИКАТА.pdf

Далее жмем Создать запрос на сертификат, соглашаемся со всем и следуем инструкциям от CSP. В результате мы получаем запрос на сертификат (CSR) закодированный в base-64, копируем его в буфер обмена.

Переходим на сайт тестового УЦ КриптоПро по ссылке https://www.cryptopro.ru/certsrv/certrqxt.asp, вставляем скопированный CSR в поле и жмем Выдать. 

На следующей странице обязательно выбираем Base64-шифрование и жмем на ссылку Загрузить сертификат.

Открываем полученный файл в любом редакторе и удаляем —–BEGIN CERTIFICATE—– в начале и —–END CERTIFICATE—– в конце, так чтоб осталось только тело сертификата между ними, и копируем его в буфер обмена.

Возвращаемся на страничку RusCryptoJS, где был создан CSR и вставляем скопированный сертификат в поле Certificate и жмем Записать сертификат. Параллельно можно поглядывать в консоль браузера, если интересно)

Дожидаемся сообщения об успехе, сертификат записан. Теперь сертификат со ссылкой на приватный ключ появится в выводе команды

/opt/cprocsp/bin/amd64/certmgr -list -store uMy

Полученным сертификатом можно полноценно пользоваться в тестовых целях, включая электронную подпись.

Удалённая настройка рабочего места

Если вы не смогли настроить необходимые программы рабочего стола самостоятельно, у нас существует возможность заказать данную услугу. Наши специалисты произведут качественную настройку рабочего места для работы с ЭЦП удалённо: сэкономят время, установят соответствующее расширение для браузера, произведут настройку плагинов, соблюдая нюансы по их установке.

На этом всё! Всем, кто решил обезопасить себя и свой бизнес, используя электронную подпись взамен обычной, желаем успехов в установке!