Невозможно получить штамп времени ошибка отправки запроса на штамп времени 0xc2100140 0x80004005

Нашли неточность? Выделите текст с ошибкой и нажмите ctrl + enter.

HappyDragone	#1 Оставлено : 26 января 2022 г. 9:36:20(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 26.01.2022(UTC) Сообщений: 1 Откуда: Москва	1. Настраиваю получение метки времени в службе штампов времени АУЦ Банка России. Win 10 домашняя. На Win 10 Stunnel устанавливается как служба. Создан конф файл. Подписываю в КриптоАРМ 5, где указан адрес службы TSP. Не подписывает, вылетает ошибка Описание ошибки в КриптоАРМ: ——————————————————————————- Статус завершения операции: Неудача. Длительность выполнения операции: 0:00:08.67 Входной файл: D:10UpdInfo.txt Выходной файл: C:UsersSergeAppDataLocalTemp~UpdInfo.txt.sig Описание ошибки: Ошибка сохранения сообщения (0x80004005) Ошибка сохранения сообщения (0x80004005) Произошла ошибка при создании подписи Невозможно получить штамп времени. Ошибка отправки запроса на штамп времени. При попытке отправки запроса возникла ошибка HTTP (0xc2100100) (0x80004005) Рекомендации УЦ после моего обращения по ошибке таковы: Для того чтобы исправить данную ошибку, необходимо установить личный сертификат с привязкой к контейнеру, промежуточный сертификат Банка России и головной корневой сертификат Минком связи в хранилище «Сертификаты (локальный компьютер)» согласно инструкции по доступу к сервисам службы меток доверенного времени размещенной по ссылке http://cbr.ru/certificat…toveryayuschego_centra/. Вероятнее всего у Вас сейчас сертификаты установлены в хранилище – «сертификаты – текущий пользователь». Корневые-промежуточные установил в Локальный компьютер, а вот личный сертификат туда никак не ставится. И ошибка не уходит. Использую Крипто Про CSP 4.0.9944 Пожалуйста, подскажите, как настроить это? Может быть, кто-то сталкивался с настройкой получения метки времени на подпись через stunnel для взаимодействия со службой меток времени на подпись АУЦ Банка России. 2. Решил попробовать настроить на другом ПК с Win7 домашняя базовая. При попытке выполнить команду stunnel.exe — install в командной строке от имени Администратора вываливается: Startservicectrldispatcher being called. this may take several seconds. please wait. Как служба stunnel не появляется в оснастке «Службы». Т.е. и здесь не судьба. А настраивать придется все-таки в Win7, в офисе везде лицензионные Win7 установлены. Пожалуйста, помогите. Что я делаю не так ?! Вдруг кто-то уже сталкивался с настройкой и удачным результатом получения метки времени на подпись в АУЦ Банка России. Если уж на Win 7 не получится, то хоть на Win 10, ибо есть одна машинка в офисе на Win 10 (не домашняя)

Санчир Момолдаев	#2 Оставлено : 28 января 2022 г. 9:09:42(UTC)
Статус: Сотрудник Группы: Модератор, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,002 Сказал(а) «Спасибо»: 83 раз Поблагодарили: 211 раз в 203 постах	Добрый день! согласно документации: 0xC2100100 При попытке отправки запроса возникла ошибка HTTP какой адрес тсп указываете? есть ли прокси? если да необходимо настраивать согласно руководству tsp и ocsp
Техническую поддержку оказываем тут Наша база знаний

two_oceans	#3 Оставлено : 28 января 2022 г. 11:10:51(UTC)
Статус: Эксперт Группы: Участники Зарегистрирован: 05.03.2015(UTC) Сообщений: 1,598 Откуда: Иркутская область Сказал(а) «Спасибо»: 110 раз Поблагодарили: 388 раз в 363 постах	Цитата: 4.0.9944 Вообще, если работаете на Win10, желательно бы обновиться хотя бы на последнюю сертифицированную 4.0.9963 (если лицензии на 5.0 нет), либо на 5.0 R2 или новее. Суть в тои, что Десятка постоянно меняется и если у Вас не замороженная версия Десятки давности несколько лет, то не все будет гладко работать с 9944. Цитата: Корневые-промежуточные установил в Локальный компьютер, а вот личный сертификат туда никак не ставится. Для этого нужно панель управления КриптоПро запустить с правами администратора (в 4 версии на первой вкладке общие соответствующая ссылка). Сработает если у пользователя есть права администратора (ну если с корневыми вышло, то полагаю есть). Как обычно на вкладке «Сервис» нажимаете одну из кнопок «Просмотреть сертификаты в контейнере» либо «Установить личный сертификат». Далее в мастере находите переключатель «введенное имя задает ключевой контейнер» выбираете «компьютера». Если был просмотр сертификатов, то нажимаете «Установить» на последнем шаге. Это должно установить сертификат в «Личные» локального компьютера. Тонкий момент разве что в том, что если хотите использовать реестр, то контейнер в реестре пользователя не видно в режиме компьютера, поэтому возможно потребуется сначала скопировать на флэшку (она видна в обоих режимах), потом обратно в реестр уже компьютера. Цитата: 2. Решил попробовать настроить на другом ПК с Win7 домашняя базовая. При попытке выполнить команду stunnel.exe — install в командной строке от имени Администратора вываливается: Пробел там не лишний между — и install? Это конечно самый простой способ создать службу, но не единственный. Также можно использовать другие способы: программку instserv (идет в комплекте у многих драйверов и программ), системную команду sc create (навскидку, у меня на Семерке создается практически одинаковый куст реестра с тем что создает сам stunnel) Код: sc create Stunnel binpath= "D:ProgramsStunnelstunnel.exe" DisplayName= "Stunnel Service" либо добавление файла реестра экспортированного с одного компьютера импортом на другой. В случае файла реестра потребуется перезагрузка. Ах да, не забывайте про разрядность системы. Отредактировано пользователем 28 января 2022 г. 11:15:24(UTC)  | Причина: Не указана

TYMRFIK	#4 Оставлено : 2 ноября 2022 г. 6:25:53(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 02.11.2022(UTC) Сообщений: 11 Сказал(а) «Спасибо»: 2 раз	Добрый день. Пробуем настроить работу со сервисом штампа времени Банка России. И столкнулись с ошибкой: «Не удалось создать подпись из-за ошибки: Время ожидания операции истекло (0x80072EE2)» Конфиг содержит: Цитата: verify = 0 output = C:Stunnelstunnel_cli.log service = Stunnel socket = l:TCP_NODELAY=1 socket = r:TCP_NODELAY=1 debug = 7 [tls1-client-https-1] client = yes accept = 127.0.0.1:10001 connect = 212.40.___.___:443 [tls1-client-https-2] client = yes accept = 127.0.0.1:10002 connect = 212.40.___.___:443 ОС — Windows 10 разрядность 64. Служба stuunel запускается без проблем. КриптоПро версии 5. Установлены все компоненты КриптоПро TLS и OCSP Но лог содержит: Цитата: 2022.11.02 09:47:49 LOG5[9020:7704]: stunnel 4.18 on x86-pc-unknown 2022.11.02 09:47:49 LOG5[9020:7704]: Threading:WIN32 Sockets:SELECT,IPv6 2022.11.02 09:47:49 LOG5[9020:7704]: No limit detected for the number of clients 2022.11.02 09:47:49 LOG7[9020:7704]: FD 300 in non-blocking mode 2022.11.02 09:47:49 LOG7[9020:7704]: SO_REUSEADDR option set on accept socket 2022.11.02 09:47:49 LOG7[9020:7704]: tls1-client-https-1 bound to 127.0.0.1:10001 2022.11.02 09:47:49 LOG7[9020:7704]: FD 304 in non-blocking mode 2022.11.02 09:47:49 LOG7[9020:7704]: SO_REUSEADDR option set on accept socket 2022.11.02 09:47:49 LOG7[9020:7704]: tls1-client-https-2 bound to 127.0.0.1:10002 2022.11.02 09:52:47 LOG5[13256:12108]: stunnel 4.18 on x86-pc-unknown 2022.11.02 09:52:47 LOG5[13256:12108]: Threading:WIN32 Sockets:SELECT,IPv6 2022.11.02 09:52:47 LOG5[13256:12108]: No limit detected for the number of clients 2022.11.02 09:52:47 LOG7[13256:12108]: FD 300 in non-blocking mode 2022.11.02 09:52:47 LOG7[13256:12108]: SO_REUSEADDR option set on accept socket 2022.11.02 09:52:47 LOG7[13256:12108]: tls1-client-https-1 bound to 127.0.0.1:10001 2022.11.02 09:52:47 LOG7[13256:12108]: FD 304 in non-blocking mode 2022.11.02 09:52:47 LOG7[13256:12108]: SO_REUSEADDR option set on accept socket 2022.11.02 09:52:47 LOG7[13256:12108]: tls1-client-https-2 bound to 127.0.0.1:10002 Имеется прокси-сервер: но доступ ко всем адресам cbr.ru открыт! Как можно исправить проблему?

TYMRFIK	#5 Оставлено : 8 ноября 2022 г. 5:12:49(UTC)
Статус: Участник Группы: Участники Зарегистрирован: 02.11.2022(UTC) Сообщений: 11 Сказал(а) «Спасибо»: 2 раз	Решили свою проблему согласно: https://www.cryptopro.ru…aspx?g=posts&t=21366 — Единственно нужно набираться терпения: потому что ответ поступает долго от серверов штампа времени БР.

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.

Использование штампов времени обеспечивает доказательство существования данных на определенный момент времени. В системах электронного документооборота штамп времени является аналогом даты на бумажном документе, а служба штампов времени выступает в роли нотариуса/доверенной стороны, подтверждающей факт существования документа на определенный момент времени.

Сервер функционирует по протоколу TSP поверх HTTP. Штамп времени связывает произвольные данные с меткой времени и заверяется электронной подписью (ЭП) сервера Службы штампов времени. Тестовый TSP-сервер развернут по следующему адресу:

http://soft.lissi.ru:8888/tsa

Тестовый сервер службы штампов времени предназначен только для ознакомительных целей. Сертификат подписи штампов времени выдан Тестовым удостоверяющим центром «ЛИССИ-Софт».

Для обращения к тестовому серверу штампов времени можно воспользоваться утилитой TSP-клиент. Скачать её можно на нашем сайте.

TSP-клиент является утилитой командной строки и имеет следующий синтаксис:

При работе с электронной подписью появилось сообщение «Не удалось отправить запрос на штамп времени».

Причина №1. Работу блокирует антивирусная программа

Причина №2. Не настроено (или настроено некорректно) подключение к прокси-серверу

Настройте прокси-сервер для работы со СБИС3 Плагином.

Причина №3. Работа https запрещена политиками безопасности

1. В Internet Explorer откройте любую https-страницу в интернете, например, https://google.com.
2. Если она не открылась, в браузере нажмите , выберите «Свойства браузера» и на вкладке «Дополнительно» кликните «Восстановить дополнительные параметры».

Причина №4. Не установлены обновления для ОС

Перейдите в «Панель управления/Система и безопасность/Центр обновления Windows» и установите все доступные обновления.

Причина №5. Установлены два криптопровайдера

На одном компьютере нельзя работать с несколькими СКЗИ. Удалите оба и заново установите основной криптопровайдер.

Решение №6. Повреждена СКЗИ

Переустановите СКЗИ, например, КриптоПро. При этом все поврежденные библиотеки, используемые для безопасности ОС, будут заменены. Прибегать к переустановке СКЗИ следует только в «крайнем» случае, когда вы испробовали все описанные способы ее устранения.

Рис.1.
Настройка ПО “КриптоАРМ 5″ для работы со службой штампов времени.

Рис.2.
Настройка личного кабинета участника информационного обмена с ЦБ РФ для работы со службой штампов времени.

* В настоящее время служба TSP ООО “НТСсофт” предоставляется на безвозмездной основе и работает с сертификатами электронной подписи, выданными любым аккредитованным удостоверяющим центром. Однако в дальнейшем, для её работы может потребоваться предварительная авторизация с сертификатом, выданным УЦ ООО “НТСсофт”. По всем возникающим вопросам обращайтесь на ca@ntssoft.ru

Аккредитованный удостоверяющий центр «НТСсофт».
Большой выбор электронных подписей и сопутствующих услуг.

Источник

Использование ПАК «КриптоПро TSP» позволяет участникам информационных систем получать штампы времени, связанные с электронными документами. Штамп времени представляет из себя электронный документ, подписанный электронной цифровой подписью (электронной подписью), где подписанными данными являются значение хэш-функции электронного документа и время предоставления штампа времени. Таким образом, штамп времени однозначно связан с электронным документом, на который он выдается и обеспечивает его целостность.

Для реализации сервиса TSP необходимо на базе «КриптоПро TSP Server» организовать Сервер службы TSP и встроить «КриптоПро TSP Client» в программное обеспечение клиентских рабочих мест. Встраивание «КриптоПро TSP Client» осуществляется с использованием инструментария разработчика – «КриптоПро PKI SDK».

Для чего нужны штампы времени

• Фиксация времени создания электронного документа. Применение штампа времени позволяет зафиксировать время создания электронного документа. Для этого после создания документа необходимо сформировать запрос на получение штампа времени. Полученный штамп времени обеспечит доказательство факта существования электронного документа на момент времени, указанный в штампе.
• Фиксация времени формирования электронной цифровой подписи (электронной подписи) электронного документа. Штамп времени может использоваться в качестве доказательства, определяющего момент подписания электронного документа (1-ФЗ «Об ЭЦП», Статья 4; 63-ФЗ «Об ЭП», Статья 11). Для этого после создания электронной цифровой подписи (электронной подписи) документа необходимо сформировать запрос на получение штампа времени. Полученный штамп времени обеспечит доказательство, определяющее момент времени подписания электронного документа.
• Фиксация времени выполнения какой-либо операции, связанной с обработкой электронного документа. Штамп времени на электронный документ может быть получен при выполнении какой-либо операции, связанной с его обработкой, при необходимости зафиксировать время выполнения этой операции. Например, штамп времени может быть получен при поступлении от пользователя электронного документа на сервер электронного документооборота, либо при предоставлении документа какому-либо пользователю.
• Долговременное хранение электронных документов, в том числе и после истечения срока действия сертификатов проверки подписи пользователя. Использование штампов времени позволяет обеспечить доказательство времени формирования электронной цифровой подписи (электронной подписи) электронного документа. Если дополнительно на момент времени формирования ЭЦП (ЭП) рядом со значением ЭЦП (ЭП) и штампом времени сохранить и доказательство действительности сертификата (например, получить и сохранить OCSP-ответ), то проверку указанной ЭЦП (ЭП) можно обеспечить на момент времени её формирования (полная аналогия с бумажным документооборотом). И такую подпись можно будет успешно проверять в течение срока действия ключа проверки подписи Службы штампов времени. А что делать, когда сертификат Службы штампов времени истечет? Ответ прост: до истечения этого сертификата получить ещё один штамп времени на указанный документ (уже с использованием нового закрытого ключа и сертификата Службы штампов времени): этот новый штамп зафиксирует время, на которое старый сертификат службы штампов времени был действителен, и обеспечит целостность этого электронного документа при дальнейшем хранении в течение срока действия сертификата нового штампа времени.

Краткое описание протокола TSP

Протокол TSP (Time-Stamp Protocol) является протоколом типа «запрос-ответ». Весь обмен заключается в двух сообщениях. Клиент инициирует взаимодействие, посылая серверу запрос на штамп времени, на что сервер возвращает ответ, содержащий выпущенный штамп или не содержащий его в случае ошибки.

Запрос на штамп времени

Запрос на штамп времени включает следующие поля:

• Значение хэш-функции от документа, на который запрашивается штамп (обязательно указывается, какой именно алгоритм хэширования используется);
• Объектный идентификатор (OID) политики запрашиваемого штампа (необязательно);
• Nonce — случайное число, идентифицирующее данную транзакцию протокола TSP (необязательно);
• Дополнения (Extensions) (необязательно).

Идентификатор политики определяет, по какой политике должен быть выдан штамп времени. Политики штампов времени задаются сервером штампов времени и устанавливают набор правил, по которым выдаются штампы времени, а также области их применения.

Например, в системе может быть определено несколько политик с разными идентификаторами и следующим описанием:

• Политика для тестовых штампов. Штампы по этой политике выдаются всем пользователям, но могут использоваться только для тестовых целей, а система документооборота не будет принимать такие штампы.
• Основная политика штампов. Штампы по этой политике выдаются всем зарегистрированным пользователям системы, стоимость одного штампа составляет 5 копеек, точность времени в штампе составляет 10 секунд, а система документооборота будет принимать такие штампы для документов, не являющихся важными.
• Точная политика штампов. Штампы по этой политике выдаются пользователям, допущенным к работе с важными документами, стоимость одного штампа составляет 25 копеек, точность времени в штампе составляет 1 секунду, а система документооборота будет принимать такие штампы для любых документов.

Поле Nonce позволяет клиенту проверить своевременность полученного ответа, в котором сервер штампов времени должен разместить то же самое значение nonce, которое было в запросе.

Ответ сервера штампов времени

Ответ сервера штампов времени содержит следующие поля:

• Статус операции и информация об ошибке;
• Штамп времени (если статус успешный).

Штамп времени представляет собой CMS-сообщение (PKCS#7) типа SignedData (см. RFC 3369 «Cryptographic Message Syntax (CMS)»). Содержимым этого сообщения является структура со следующими полями:

• Значение хэш-функции от документа, на который выдан штамп (обязательно указывается, какой именно алгоритм хэширования используется);
• Объектный идентификатор (OID) политики штампа;
• Время выдачи штампа;
• Точность времени;
• Признак строгой упорядоченности штампов (Ordering);
• Nonce — случайное число, идентифицирующее данную транзакцию протокола TSP (совпадает с соответствующим полем запроса);
• Дополнения (Extensions) (необязательно).

Сервер штампов указывает признак ordering, если он работает в режиме строгой упорядоченности штампов. Т.е. сравнение времён двух выданных этим серверов штампов даже без учёта точности времени определяет порядок их выдачи.

Как хранить штампы времени совместно с документами

В RFC 3161 «Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)» описан вариант хранения штампа времени на документ с ЭЦП (ЭП) формата CMS SignedData в неподписанном атрибуте этого CMS-сообщения.

Для организации долговременного архивного хранения документов с ЭЦП (ЭП) могут использоваться штампы времени, а также дополнительные данные, необходимые для подтверждения подлинности ЭЦП (ЭП) – так называемые доказательства подлинности ЭЦП (ЭП). К таковым относятся:

• Штампы времени;
• Сертификат ключа подписи, использованного для создания оригинальной ЭЦП (ЭП);
• Сертификат УЦ, издавшего сертификат ключа подписи (если цепочка сертификатов содержит другие УЦ, то их сертификаты также необходимо проверить);
• Сертификат Службы штампов времени;
• Цепочка сертификатов для проверки сертификата Службы штампов времени;
• Информацию о статусе сертификатов (Списки отозванных сертификатов или OCSP-ответы).

Для обеспечения актуальности ЭЦП (ЭП) при долговременном хранении необходимо периодически получать новые штампы времени.

Возможный вариант форматов данных и идентификаторы атрибутов для долговременного хранения документов с ЭЦП (ЭП) на основе CMS-сообщений описаны в европейском стандарте CAdES (ETSI TS 101 733). Версия этого стандарта опубликована в виде RFC 5126 «CMS Advanced Electronic Signatures (CAdES)»>RFC 5126 «CMS Advanced Electronic Signatures (CAdES)».

Источник

Минакова Юлия

бухгалтер

Метка времени не прошла проверку

Результат проверки ЭП: Метка времени не прошла проверку? Что это означает? Спасибо.

Добрый вечер, Наталья!

Это значит, что ЭП уже не действительна.

Кроме заверения документов электронной подписью, вы можете удостоверять точное время их создания.

Использование меток времени в электронном документообороте позволит вам создавать официальное доказательство факта существования документа на определённый момент времени.

Что такое метка времени

Метка времени — это подписанный ЭЦП документ, которым Служба метки времени удостоверяет, что в указанный момент времени ей было предоставлено значение хэш-функции от документа. Само значение хэш-функции также указывается в метке.

С помощью метки времени можно проверять:

Достоверность времени создания документа

Метка времени на документе удостоверяет точное время создания этого документа для того, чтобы в последующем разрешать конфликты, связанные с его использованием. Таким образом, с помощью метки времени вы обеспечиваете неотрекаемость автора документа от своей подписи.

Сохранность актуальности электронной подписи

Наличие метки времени в подписанном документе позволяет продлевать срок действия электронной подписи. Такой штамп удостоверяет, например, что подпись была создана до того, как сертификат ключа подписи был аннулирован (отозван). Таким образом, для проверки подписи, созданной до момента отзыва сертификата, вы можете использовать уже отозванный сертификат. Цепочка меток времени позволяет создавать системы архивного хранения электронных документов, сохраняющие актуальность ЭЦП в документах. В ином случае, актуальность подписанного документа ограничена сроком действия сертификата ключа подписи.

Усовершенствованная электронная подпись

Электронная подпись необходима для визирования различного рода документации. Усовершенствованная ЭП содержит данные о времени создания визирования (TSP) и статусе сертификата (OCSP) в момент его изменения (отозван он или находится в действующем состоянии).
Время подписи синхронизируется с сервером точного времени, который расположен в УЦ. Для того, чтобы это было возможно, в момент подписания документа посылается сигнал на сервер и формируется метка точного времени, которая фиксируется в подписи.

Усовершенствованная электронная подпись имеет правовую подоплеку, благодаря цифровой квитанции, которую выдает удостоверяющий центр. Данная квитанция формируется в момент подписи благодаря OCSP. В документе фиксируется статус и ставится отметка времени, которая подтверждает целостность файла на этапе проверки. Статус хранится в ЭП.

Для чего применяют усовершенствованную цифровую подпись?

Благодаря ЭП можно подтвердить юридический статус документа при возникновении различных споров. Такие ситуации чаще всего возникают, к примеру, для доказательства авторства или целостности файла. В таких случаях очень важно знать точное время подписания.

Подлинность усовершенствованной ЭП можно проверить даже спустя долгий период времени, кроме того, она действительна и по истечению срока действия сертификата.
В современном цифровом документообороте применение подписи с меткой времени считается необходимым условием для государственных служб, к примеру, для таможенного контроля Федерального значения.

Где применяют усовершенствованную электронную подпись?

Усовершенствованная ЭП используется в специально разработанных системах цифрового документооборота, где есть физическая возможность просмотра отметки времени.
Использование усовершенствованной электронной подписи сможет надежно защитить документы и разрешить любые спорные вопросы.

Сервер доверенного времени (TSA, timestamp)

Для получения доступа к серверу доверенного времени необходимо скачать TSA-клиент, заполнив форму ниже.

Доступ к сервису привязывается к Вашему внешнему IP-адресу.

При попытке подключиться с другого адреса доступ будет запрещён. В этом случае скачайте TSA-клиент заново из того места, откуда пытаетесь подключиться.

Для Вашего удобства Ваш текущий внешний IP-адрес показан на странице.

В настоящий момент доступ к серверу доверенного времени осуществляется бесплатно. Это продлится до окончания промо-периода, о завершении которого будет сообщено дополнительно. В этой связи убедительно просим указывать актуальный e-mail.

Ваш IP был определён автоматически: . Использовать его

Что такое доверенное время?

Предположим, у Вас есть некоторые данные или файл. С помощью доверенного времени (TSA, timestamp) Вы можете получить свидетельство того, что именно эти данные в этот момент есть у Вас. В будущем наличие такого свидетельства поможет доказать, например, Ваше авторство этого файла. Поскольку Вы-автор, у Вас данный файл окажется раньше всех, и это будет подтверждено подписанной электронной подписью меткой времени, которая была получена от сервера доверенного времени. Если позже кто-то скопировал этот файл и также получил доверенный timestamp, в его метке будет указано более позднее время. Соответственно, при сравнении этих меток будет очевидно, что Ваш файл был создан раньше.

Другой пример использования — электронные аукционы. Нередко возникает ситуация, когда важно точно определить последовательность поданных заявок. От этого может решиться судьба лота или контракта. В этом случае метка доверенного времени позволит определить точную последовательность поданных заявок, своего рода фотофиниш.

Кроме того, метка доверенного времени (timestamp) стала неотъемлемой составляющей каждого запроса в систему Государственной информационной системы о государственных и муниципальных платежах (ГИС ГМП) Федерального казначейства России. Соответственно, Вы можете использовать нашу службу для выставления меток TSA. Однако следует учесть тот факт, что от нас Вы получаете только метку времени, составление же полноценного XAdES вверяется полностью Вам в руки.

Работает все это следующим образом. Сначала, с помощью специальных криптографических средств, вычисляется хэш от файла. Затем на основании этого хэша формируется запрос на получение метки времени. Запрос отправляется на сервер, который извлекает из него хэш, добавляет к нему точное время и подписывает всё это своим закрытым ключом. Полученный таким образом ответ возвращается пользователю.

Каким образом наличие метки доверенного времени доказывает наличие у Вас именно этого файла строго в определённый момент в прошлом? Дело в том, что внутри метки имеется уникальный хэш Вашего файла и точное время, которое указал сервер. «Неподдельность», фактически отсутствие изменений в метке после того, как она была сформирована сервером, доказывается его электронной подписью (ЭП) в метке — если метка будет изменена после подписания, подпись ей соответствовать не будет и факт подлога станет очевиден.

Насколько точно идут наши часы?

RFC 3161 требует наличия у сервера TSA источника точного времени. Поэтому наш сервер оборудован высокоточными часами, которые постоянно синхронизируются с сигналами точного времени, получаемыми от спутников навигационных систем ГЛОНАСС и GPS.

Получение метки времени

Метку доверенного времени можно получить от нашего сервера с помощью TSA-клиента, форма для скачивания которого находится в начале страницы. После скачивания Вам потребуется лишь запустить скрипт TSAreq.bat из командной строки Windows, указав ему в качестве параметра файл для подписи. Например, так: TSAreq.bat test.txt
Дальше TSA-клиент сделает всё сам. Метка времени будет записана в отдельный файл — tsreply.

Проверка подлинности метки времени

Для того, чтобы проверить, что метка времени не поддельная, а действительно была выдана сервером, Вам понадобится сертификат Удостоверяющего Центра, который выдал серверу сертификат его ключа (tsaca.crt, находится в подкаталоге crypto архива).

Для проверки подлинности метки нужно выполнить скрипт TSAverify.bat из командной строки Windows:

Появилась ошибка «Не удалось отправить запрос на штамп времени»

При работе с электронной подписью появилось сообщение «Не удалось отправить запрос на штамп времени».

Причина №1. Работу блокирует антивирусная программа

Настройте антивирусы и программы-блокировщики на работу со СБИС3 Плагином.

Причина №2. Не настроено (или настроено некорректно) подключение к прокси-серверу

Настройте прокси-сервер для работы со СБИС3 Плагином.

Причина №3. Работа https запрещена политиками безопасности

1. В Internet Explorer откройте любую https-страницу в интернете, например, https://google.com.
2. Если она не открылась, в браузере нажмите , выберите «Свойства браузера» и на вкладке «Дополнительно» кликните «Восстановить дополнительные параметры».
3. Перейдите на вкладку «Содержание» нажмите «Очистить SSL».
4. Проверьте дату и время на компьютере. Настройте для них автоматическую синхронизацию (доступно для всех ОС, кроме Windows 7).

Причина №4. Не установлены обновления для ОС

Перейдите в «Панель управления/Система и безопасность/Центр обновления Windows» и установите все доступные обновления.

Причина №5. Установлены два криптопровайдера

На одном компьютере нельзя работать с несколькими СКЗИ. Удалите оба и заново установите основной криптопровайдер.

Решение №6. Повреждена СКЗИ

Переустановите СКЗИ, например, КриптоПро. При этом все поврежденные библиотеки, используемые для безопасности ОС, будут заменены. Прибегать к переустановке СКЗИ следует только в «крайнем» случае, когда вы испробовали все описанные способы ее устранения.

Использование ПАК «КриптоПро TSP» позволяет участникам информационных систем получать штампы времени, связанные с электронными документами. Штамп времени представляет из себя электронный документ, подписанный электронной цифровой подписью (электронной подписью), где подписанными данными являются значение хэш-функции электронного документа и время предоставления штампа времени. Таким образом, штамп времени однозначно связан с электронным документом, на который он выдается и обеспечивает его целостность.

Для реализации сервиса TSP необходимо на базе «КриптоПро TSP Server» организовать Сервер службы TSP и встроить «КриптоПро TSP Client» в программное обеспечение клиентских рабочих мест. Встраивание «КриптоПро TSP Client» осуществляется с использованием инструментария разработчика – «КриптоПро PKI SDK».

Для чего нужны штампы времени

• Фиксация времени создания электронного документа. Применение штампа времени позволяет зафиксировать время создания электронного документа. Для этого после создания документа необходимо сформировать запрос на получение штампа времени. Полученный штамп времени обеспечит доказательство факта существования электронного документа на момент времени, указанный в штампе.
• Фиксация времени формирования электронной цифровой подписи (электронной подписи) электронного документа. Штамп времени может использоваться в качестве доказательства, определяющего момент подписания электронного документа (1-ФЗ «Об ЭЦП», Статья 4; 63-ФЗ «Об ЭП», Статья 11). Для этого после создания электронной цифровой подписи (электронной подписи) документа необходимо сформировать запрос на получение штампа времени. Полученный штамп времени обеспечит доказательство, определяющее момент времени подписания электронного документа.
• Фиксация времени выполнения какой-либо операции, связанной с обработкой электронного документа. Штамп времени на электронный документ может быть получен при выполнении какой-либо операции, связанной с его обработкой, при необходимости зафиксировать время выполнения этой операции. Например, штамп времени может быть получен при поступлении от пользователя электронного документа на сервер электронного документооборота, либо при предоставлении документа какому-либо пользователю.
• Долговременное хранение электронных документов, в том числе и после истечения срока действия сертификатов проверки подписи пользователя. Использование штампов времени позволяет обеспечить доказательство времени формирования электронной цифровой подписи (электронной подписи) электронного документа. Если дополнительно на момент времени формирования ЭЦП (ЭП) рядом со значением ЭЦП (ЭП) и штампом времени сохранить и доказательство действительности сертификата (например, получить и сохранить OCSP-ответ), то проверку указанной ЭЦП (ЭП) можно обеспечить на момент времени её формирования (полная аналогия с бумажным документооборотом). И такую подпись можно будет успешно проверять в течение срока действия ключа проверки подписи Службы штампов времени. А что делать, когда сертификат Службы штампов времени истечет? Ответ прост: до истечения этого сертификата получить ещё один штамп времени на указанный документ (уже с использованием нового закрытого ключа и сертификата Службы штампов времени): этот новый штамп зафиксирует время, на которое старый сертификат службы штампов времени был действителен, и обеспечит целостность этого электронного документа при дальнейшем хранении в течение срока действия сертификата нового штампа времени.

Краткое описание протокола TSP

Протокол TSP (Time-Stamp Protocol) является протоколом типа «запрос-ответ». Весь обмен заключается в двух сообщениях. Клиент инициирует взаимодействие, посылая серверу запрос на штамп времени, на что сервер возвращает ответ, содержащий выпущенный штамп или не содержащий его в случае ошибки.

Запрос на штамп времени

Запрос на штамп времени включает следующие поля:

• Значение хэш-функции от документа, на который запрашивается штамп (обязательно указывается, какой именно алгоритм хэширования используется);
• Объектный идентификатор (OID) политики запрашиваемого штампа (необязательно);
• Nonce — случайное число, идентифицирующее данную транзакцию протокола TSP (необязательно);
• Дополнения (Extensions) (необязательно).

Идентификатор политики определяет, по какой политике должен быть выдан штамп времени. Политики штампов времени задаются сервером штампов времени и устанавливают набор правил, по которым выдаются штампы времени, а также области их применения.

Например, в системе может быть определено несколько политик с разными идентификаторами и следующим описанием:

• Политика для тестовых штампов. Штампы по этой политике выдаются всем пользователям, но могут использоваться только для тестовых целей, а система документооборота не будет принимать такие штампы.
• Основная политика штампов. Штампы по этой политике выдаются всем зарегистрированным пользователям системы, стоимость одного штампа составляет 5 копеек, точность времени в штампе составляет 10 секунд, а система документооборота будет принимать такие штампы для документов, не являющихся важными.
• Точная политика штампов. Штампы по этой политике выдаются пользователям, допущенным к работе с важными документами, стоимость одного штампа составляет 25 копеек, точность времени в штампе составляет 1 секунду, а система документооборота будет принимать такие штампы для любых документов.

Поле Nonce позволяет клиенту проверить своевременность полученного ответа, в котором сервер штампов времени должен разместить то же самое значение nonce, которое было в запросе.

Ответ сервера штампов времени

Ответ сервера штампов времени содержит следующие поля:

• Статус операции и информация об ошибке;
• Штамп времени (если статус успешный).

Штамп времени представляет собой CMS-сообщение (PKCS#7) типа SignedData (см. RFC 3369 «Cryptographic Message Syntax (CMS)»). Содержимым этого сообщения является структура со следующими полями:

• Значение хэш-функции от документа, на который выдан штамп (обязательно указывается, какой именно алгоритм хэширования используется);
• Объектный идентификатор (OID) политики штампа;
• Время выдачи штампа;
• Точность времени;
• Признак строгой упорядоченности штампов (Ordering);
• Nonce — случайное число, идентифицирующее данную транзакцию протокола TSP (совпадает с соответствующим полем запроса);
• Дополнения (Extensions) (необязательно).

Сервер штампов указывает признак ordering, если он работает в режиме строгой упорядоченности штампов. Т.е. сравнение времён двух выданных этим серверов штампов даже без учёта точности времени определяет порядок их выдачи.

Как хранить штампы времени совместно с документами

В RFC 3161 «Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)» описан вариант хранения штампа времени на документ с ЭЦП (ЭП) формата CMS SignedData в неподписанном атрибуте этого CMS-сообщения.

Для организации долговременного архивного хранения документов с ЭЦП (ЭП) могут использоваться штампы времени, а также дополнительные данные, необходимые для подтверждения подлинности ЭЦП (ЭП) – так называемые доказательства подлинности ЭЦП (ЭП). К таковым относятся:

• Штампы времени;
• Сертификат ключа подписи, использованного для создания оригинальной ЭЦП (ЭП);
• Сертификат УЦ, издавшего сертификат ключа подписи (если цепочка сертификатов содержит другие УЦ, то их сертификаты также необходимо проверить);
• Сертификат Службы штампов времени;
• Цепочка сертификатов для проверки сертификата Службы штампов времени;
• Информацию о статусе сертификатов (Списки отозванных сертификатов или OCSP-ответы).

Для обеспечения актуальности ЭЦП (ЭП) при долговременном хранении необходимо периодически получать новые штампы времени.

Возможный вариант форматов данных и идентификаторы атрибутов для долговременного хранения документов с ЭЦП (ЭП) на основе CMS-сообщений описаны в европейском стандарте CAdES (ETSI TS 101 733). Версия этого стандарта опубликована в виде RFC 5126 «CMS Advanced Electronic Signatures (CAdES)».

Time Stamp Protocol

Time stamp protocol (протокол штампа времени) или TSP — это криптографический протокол, позволяющий создавать доказательство факта существования электронного документа на определённый момент времени.

«Штамп времени» (англ. time-stamp) — это документ, подписанный электронной подписью (ЭП). Этим документом «центр штампов времени» удостоверяет, что в определённый момент времени ему был предоставлен результат вычисления хеш-функции от содержимого документа, факт существования которого необходимо подтвердить. Результат вычисления хеш-функции и момент времени указываются в «штампе».

«Центр штампов времени» (англ. time stamping authority, TSA) — доверенный субъект PKI, обладающий точным и надёжным источником времени и оказывающий услуги по созданию «штампов времени».

Результат вычисления хеш-функции от содержимого документа, на который получен «штамп времени», служит для связывания «штампа» с документом. «Центр штампов времени» не узнает содержимое документа, так как в «штамп времени» включается только результат вычисления хеш-функции от содержимого документа (сохраняется конфиденциальность документа).

Источник