Технические требования для работы с электронными подписями и алгоритм выбора электронных подписей в ЕИАС Web описаны в знании 122.
При получении/отправке отчётных форм, сообщений или другой информации, данные поступают/передаются в зашифрованном виде. Для их расшифровки/шифрования системы криптографии, установленные на компьютере пользователя, обращаются к электронной подписи, используемой пользователем для ФГИС ЕИАС.
При возникновении проблем шифрования/расшифровки пользователю следует убедиться в корректности установки/настройки средств криптографии и сертификатов электронных подписей.
Пожалуйста, проверьте корректность установки плагина создания и проверки электронной подписи для браузера «КриптоПро ЭЦП Browser plug-in» на странице проверки плагина.
I. Отсутствие сертификата для выбора/ Ошибки вида «Ошибка при инициализации модуля для работы с Cades plugin» и «Нет доступных сертификатов»
Ошибки означают, что на ПК не установлена сама квалифицированная электронная подпись (установлена некорректно), либо плагин создания и проверки электронной подписи для браузера «КриптоПро ЭЦП Browser plug-in», либо расширение для данного плагина в используемом браузере.
Удостоверьтесь, пожалуйста, в том что:
— нужная электронная подпись корректно установлена на ПК
— на ПК установлен плагин создания и проверки электронной подписи для браузера «КриптоПро ЭЦП Browser plug-in»
— в используемом браузере установлено расширение «КриптоПро ЭЦП Browser plug-in».
Установка электронной подписи описана в знании 31.
Установка плагина и расширения для браузера КриптоПро ЭЦП Browser plug-in в Windows описана в знании по ссылке.
II. Ошибки работы систем криптографии и сертификатов электронных подписей
Если ЕИАС Web выдает сообщение «Не найден сертификат для расшифровки полученных данных», «Неправильный параметр набора ключей», «Произошла внутренняя ошибка в цепочке сертификатов», «Не удается построить цепочку сертификатов для доверенного корневого центра» и т.п., это говорит о том, что на локальном месте пользователя произведена некорректная установка ЭП, либо отсутствуют необходимые корневые сертификаты, либо имеется ограничение на уровне системы криптографии.
Пример:
Для исправления ошибки необходимо проверить следующее:
1). На компьютере пользователя должен быть установлен только один криптопровайдер (CSP)! Использование разных криптопровайдеров на одном рабочем месте приводит к конфликту механизмов шифрования и ошибкам при подписании!
2). Сертификат должен быть установлен для Пользователя, а не для локального компьютера.
При использовании КриптоПро CSP перейдите в оснастку «Сертификаты»: Пуск -> Все программы -> Крипто-Про -> Сертификаты».
Здесь необходимо проверить, не добавлен ли Ваш личный сертификат в хранилище сертификатов для локального компьютера.
Разверните список «Сертификаты (локальный компьютер) -> Личное -> Реестр -> Сертификаты». Если в данном списке присутствует личный сертификат пользователя Вашей организации — его необходимо удалить.
Личный сертификат должен храниться только в «Сертификаты — текущий пользователь -> Личное -> Реестр -> Сертификаты».
Также проверьте хранилища «Другие пользователи» для локального компьютера и текущего пользователя. Личного сертификата там также быть не должно, если он есть — удалить.
3). Убедитесь, что на локальном компьютере установлены корневые сертификаты издателя.
Для этого откройте личный сертификат пользователя и переключитесь на вкладку «Путь сертификации». В цепочке сертификации не должно быть никаких крестиков и восклицательных знаков.
Наличие «крестиков» и/или восклицательных знаков говорит о том, что данные корневые сертификаты не установлены!
Для устранения этой ситуации необходимо отметить требуемый сертификат и нажать кнопку «Просмотр сертификата». В открывшемся окне на вкладке «Общие» нажать на кнопку «Установить сертификат» и поместить данный сертификат в хранилище «Доверенные корневые центры сертификации». В случае отсутствия кнопки установки, переключиться на вкладку «Состав» и экспортировать корневой сертификат себе на компьютер по кнопке «Копировать в файл», затем установить полученный сертификат в хранилище «Доверенные корневые центры сертификации».
Если в цепочке сертификации не указан корневой сертификат издателя или у вас возникают трудности с его получением, то вам необходимо обратиться в Удостоверяющий центр, где вами была приобретена электронная подпись.
Установка набора корневых сертификатов производится в полуавтоматическом режиме — для этого следует перейти в указанную выше оснастку «Сертификаты»: Пуск -> Все программы -> Крипто-Про -> Сертификаты» и перейти в хранилище «Доверенные корневые центры сертификации».
Для корректной работы ФГИС ЕИАС так же требуется установка корневых сертификатов издателя электронной подписи, в частности УЦ СКБ Контур.
4). Переустановите электронную подпись на локальном компьютере через используемый криптопровайдер.
Инструкция по установке ЭП с примером приведена в знании #31.
5). Убедитесь, что номер лицензии на право инспользования крипровайдера введён корректно (знание #37).
III. Алгоритм шифрования/ Ошибка вида «Указан неправильный алгоритм»
1). Практически всегда проблема связана с самим личным сертификатом, которым происходит попытка подписания или с установкой на один ПК нескольких криптопровайдеров.
Скорее всего, сам сертификат повреждён (содержит повреждённый открытый ключ).
В первую очередь именно с представителем Удостоверяющего центра, где была приобретена ЭП, должна осуществляться проверка сертификата на валидность:
- проверка целостности сертификата ключа подписи (файл не должен быть повреждён)
- проверка срока действия сертификата ключа подписи (сертификат не должен быть просроченным)
- проверка действительности корневых сертификатов издателя (сертификаты должны быть корректными)
Если действительно неисправен сам сертификат, то восстановить его или получить новый Вы сможете только в Удостоверяющем центре, где была приобретена ЭП!
Второй важный фактор для проверки: не установлено ли на ПК больше одного СКЗИ (КриптоПро, Лисси, VipNet и др.).
Допустимо наличие только одного криптопровайдера на рабочем месте, информация указана выше (раздел III п. 1)!
2). Дополнительно, с представителем Удостоверяющего центра, где приобреталась электронная подпись можно проверить следующие настройки:
— Имеется ли закрытый ключ, вставлен ли ключевой носитель в ПК, имеется ли корректная привязка закрытого ключа к открытому (сертификату). Убедитесь, что вставлен именно тот ключевой носитель, к которому привязан был ключ (используемый личный сертификат для сервера ФАС России) при установке средствами криптографии.
— При необходимости произведите переустановку электронной подписи на рабочем месте пользователя.
— Верно ли установлен сертификат для пользователя операционной системы, от имени которого которого запускается подписание документов (если для повышения прав вводится логин админа отличный от текущего, то могут быть проблемы).
— Нет ли проблем в пути сертификации используемого личного сертификата. Как проверить корректность вывода сертификата указано выше (раздел III п. 3).
— Соответствует ли алгоритм подписи и хеширования сертификата используемому алгоритму в СКЗИ (криптопровайдере).
Дополнительно отметим, что за помощью в подобных ситуациях Вы должны обратиться в Удостоверяющий центр, где Вы получали сертификат, так как установка ЭП на Ваше рабочее место и её техническое сопровождение — их область ответственности.
За получением дополнительных разъяснений и консультаций по работе ЭП, пожалуйста, обратитесь в Удостоверяющий центр, где была приобретена ЭП.
IV. Ошибка вида «Параметр задан неверно»
1). Данная ошибка означает, что на ПК пользователя установлено более одного криптопровайдера, что приводит к конфликту механизмов шифрования при подписании.
Согласно техническим требованиям по использованию ЕИАС Web, для корректной работы на ПК должен быть установлен только один криптопровайдер.
Практика одновременной установки и использования нескольких криптопровайдеров на одном ПК приводит к конфликту механизмов шифрования и не рекомендуется к применению.
Для корректной работы с ЭП рекомендуем оставить один криптопровайдер, а остальные удалить с устройства.
2). Возможный, но не гарантированный вариант решения ошибки подписания, при дополнительной установке криптопровадера ViPNet.
— Открываете ViPNet клиент
— Выбираете раздел “Дополнительно”
— Снимаете галочку с опции «Поддержка работы ViPNet CSP через MS Cripto API»:
— Нажимаете “Применить” и “ОК”:
— Для принятия настроек нужно обязательно перезагрузить ПК.
— Попробуйте вновь подписать документ в ЕИАС Web.
Ещё раз уточним, что корректное подписание документов ЭП при использовании нескольких криптопровадеров на одном ПК не гарантировано!
V. Ошибка вида «Ошибка исполнения функции»
Ошибка сообщает о недействующей лицензии на криптопровайдер, необходимо проверить актуальность действия лицензии.
По вопросу получения/продления лицензии на право использования криптопровайдера необходимо обратиться в Удостоверяющий центр, где приобреталась электронная подпись, так как установка ЭП и криптопровайдера на Ваше рабочее место и их техническое сопровождение — область ответственности Удостоверяющего центра.
После получения номера лицензии следует активировать ее на компьютере. Подробнее в знании 37.
VI. Ошибка вида «Подписание не удалось. Группа или ресурс не находятся в нужном состоянии для выполнения требуемой операции»
Данная ошибка возникает, если Вы используете стороннюю усовершенствованную электронную подпись, но при этом у Вас не введены лицензии OCSP и TSP.
Для устранения ошибки требуется выполнить следующие шаги:
— Проверьте наличие лицензий служб времени OCSP и TSP (Пуск -> Крипто-Про -> Управление лицензиями КриптоПро PKI)
— Если лицензии отсутствуют или истекли, то их необходимо ввести. Ссылка на инструкцию для ввода лицензии службы TSP и OCS.
Приобрести данные лицензии Вы можете в Удостоверяющем центре. Установка ЭП/криптопровайдера/лицензии на них — область ответственности Удостоверяющего центра.
VII. Ошибка вида «Библиотека поставщика проинициирована неправильно».
Для устранения ошибки нужно:
— переустановить СКЗИ
— переустановить корневые сертификаты
— переустановить используемый сертификат
Дополнительно отметим, что за помощью в подобных ситуациях Вы должны обратиться в Удостоверяющий центр, где Вы получали сертификат, так как установка ЭП на Ваше рабочее место и её техническое сопровождение — их область ответственности.
За получением дополнительных разъяснений и консультаций по работе ЭП, пожалуйста, обратитесь в Удостоверяющий центр, где была приобретена ЭП.
Детали знания
| ID знания: | 121 |
| Категория: | Web.ЕИАС |
| Дата добавления: | 23.07.2021 10:52:19 |
| Просмотры: | 15063 |
<<
Назад
Обновлено: 29.01.2023
ViPNet PKI Client— универсальный программный комплекс, разработанный компанией ИнфоТеКС. Предназначен для решения основных задач пользователя при работе с сервисами, использующими:
- заверение документов электронной подписью;
- шифрование файлов;
- аутентификацию пользователей для доступа к веб-сервисам;
- построение защищенных TLS-соединений.
В состав ViPNet PKI Client входят следующие компоненты:
- File Unit – компонент для работы с файлами;
- Web Unit – компонент для работы с данными, передаваемыми браузерами;
- CRL Unit – компонент для обеспечения актуальности требуемых для работы c сертификатами CRL;
- Certificate Unit – компонент для управления жизненным циклом сертификатов, менеджер сертификатов;
- TLS Unit – компонент для обеспечения организации TLS-соединений со стороны клиента для защищенного доступа к порталам;
- ViPNet CSP — провайдер криптографических функций.
Для установки ПК ViPNet PKI Client выполните следующие действия:
1. Распакуйте дистрибутив в произвольный каталог с помощью команды:
tar –xvf <путь к каталогу>/pki_client_linux-x86-64-dist.tar.bz2
2. Поместите файл лицензии *.itcslic в каталог с пакетами для установки ViPNet PKI Client.
3. Перейдите в папку с установочным файлом и пакетами ViPNet PKI Client.
4. Запустите сценарий install.sh с правами суперпользователя с помощью команды:
Vipnet PKI Client Settings
Чтобы запустить настройки ViPNet PKI Client, в меню приложений выберите ViPNet PKI Client Settings или выполните команду: /opt/itcs/bin/pki-client-settings
При первом запуске настроек ViPNet PKI Client появится электронная рулетка
Установка сертификатов
Vipnet PKI File Unit
File Unit — программа, которая позволяет выполнять с файлами следующие операции:
- Подтверждать и проверять личность отправителя с помощью электронной подписи
- Обеспечивать безопасность файлов с помощью шифрования и работать с зашифрованными файлами, полученными от других пользователей
Web Unit, TLS Unit и CRL Unit
Программы Web Unit, TLS Unit и CRL Unit (демон pki-client-crlunit) запускаются автоматически после загрузки операционной системы.
Если вы завершили работу программы, то для запуска выполните следующие действия:
Чтобы запустить программу Web Unit, в меню приложений выберите ViPNet PKI Client Web Unit или выполните команду: /opt/itcs/bin/pki-client-web-unit
Чтобы запустить программу TLS Unit, в меню приложений выберите ViPNet PKI Client TLS Unit или выполните команду: /opt/itcs/bin/pki-client-tls-unit
Чтобы запустить программу CRL Unit выполните команду: /etc/init.d/pki-client-crlunit start systemctl start pki-client-crlunit
Если вы используете операционную систему Astra Linux 1.5, выполните команду: /etc/init.d/pki-client-crlunit start
Предварительно должны быть добавлены личные сертификаты в хранилище uMy согласно инструкции: Работа с КриптоПро CSP
Для доступа к Госуслугам с помощью сертификатов следует использовать КриптоПро Linux версии 4r4 и выше.
2) Установить плагин:
sudo dpkg -i IFCPlugin-x86_64.deb
3) Добавить расширение для Госуслуг в браузере chromium:
Для правильной работы плагина в браузере Chromium следует создать символические ссылки:
sudo ln -s /etc/opt/chrome/native-messaging-hosts/ru.rtlabs.ifcplugin.json /etc/chromium/native-messaging-hosts
sudo ln -s /etc/opt/chrome/native-messaging-hosts/ru.rtlabs.ifcplugin.json /etc/chromium/native-messaging-hosts/ru.rtlabs.ifcplugin.json
Настройка конфигурационных файлов
4) Привести конфигурационный файл IFCplugin /etc/ifc.cfg к виду :
Просмотр журналов
Для проверки работы плагина, в терминале в режиме live можно просмотреть логи:
9) Подключив токен, следует нажать кнопку «Готово», после чего система предложит выбрать нужный сертификат ключа проверки ЭЦП:
Для корректной работы электронной подписи требуется криптопровайдер, который будет работать с криптографическими операциями. «КриптоПро CSP» — один из самых популярных и востребованных криптопровайдеров.
Для работы с ЭЦП нужен не только сам криптопровайдер «КриптоПро CSP», но и дополнительный плагин — «КриптоПро ЭЦП Browser plug-in». В этой статье мы расскажем вам о том, как настроить этот плагин в разных браузерах.
КриптоПро ЭЦП Browser plug-in: что из себя представляет и зачем нужен
«КриптоПро ЭЦП Browser plug-in» — плагин, поддерживающий работу «КриптоПро CSP». Он используется на веб-страницах для создания и проверки электронной подписи.
Плагин нужен для работы на торговых площадках и государственных порталах, а также везде, где используется криптопровайдер «КриптоПро CSP». Если установить криптопровайдер без плагина, то между ним и веб-страницей не будет создано взаимодействие. Соответственно, электронная подпись работать не будет.
Как установить и настроить КриптоПро ЭЦП Browser plug-in в разных браузерах
Установка «КриптоПро ЭЦП Browser plug-in» имеет различия в зависимости от браузера. На любой из браузеров нужно установить соответствующее расширение (дополнение).
Важно!
«КриптоПро ЭЦП Browser plug-in» не работает в браузере EDGE.
Перед непосредственной установкой расширений в браузеры нужно скачать и установить дистрибутив «КриптоПро ЭЦП Browser plug-in».
Установка плагина на компьютер
- Скачайте дистрибутив «КриптоПро ЭЦП Browser plug-in» → здесь.
- Запустите установочный файл cadesplugin.exe и подтвердите установку плагина.
Дальнейшие действия зависят от браузера, в котором будет осуществляться работа с электронной подписью.
Internet Explorer
- Перейдите в «Панель управления» → «Крупные значки» → «Свойства браузера».
Браузер Internet Explorer не требует отдельного включения КриптоПро ЭЦП Browser plug-in.
Google Chrome
- В окне браузера нажмите кнопку «Настройки» (три точки в правом верхнем углу) → «Дополнительные инструменты» → «Расширения».
В правом верхнем углу в списке активированных расширений должен появиться значок CryptoPro Extension for CAdES Browser Plug-in, что свидетельствует о правильной установке.
Яндекс.Браузер
- В браузере откройте меню (три полоски в правом верхнем углу) → «Дополнения».
- Проверьте наличие «КриптоПро ЭЦП» и активируйте его.
Mozilla Firefox
- Скачайте расширение для Mozilla Firefox по ссылке.
- В браузере откройте меню (три полоски в правом верхнем углу) → «Дополнения».
Как проверить браузер
Проверка «КриптоПро ЭЦП Browser plug-in» осуществляется на специальном сервисе разработчика «Cryptopro». Если расширение cadesplugin.exe установлено правильно, оно запросит доступ к сертификатам и ключам при переходе на сайт для проверки. Пользователю необходимо нажать «ОК». Далее появляется уведомление об успешном слиянии модуля, где указаны версия и криптопровайдер.
Чтобы добавить корневые сертификаты в перечень доверенных, требуется настройка. Для этого необходимо:
- Установить в USB-порт съёмный носитель или скачать файл открытого ключа ЭЦП.
- Перейти в «Свойства». При использовании ключевого носителя зайти в панель управления и выбрать «Сертификаты». На верхний сертификат из списка кликнуть правой кнопкой мыши и нажать «Свойства».
- Выделить первый сертификат в открывшемся окне и активировать опцию «Просмотр». Сертификат должен иметь последний актуальный ГОСТ. В ином случае его потребуется обновить.
- В панели управления токена ЭЦП во вкладке «Сертификаты» выбрать «Путь сертификации», далее «Состав», «Копировать в файл», выбрать директорию на ПК, нажать «Сохранить».
- Запустить и установить скачанный файл.
- В мастере импорта сертификатов выбрать хранилище и нажать «ОК».
- После выполнения операции перезапустить ПК.
Если при проверке модуля появилось уведомление «Плагин недоступен», необходимо убедиться что «КриптоПро ЭЦП Browser plug-in» установлен корректно. Достаточно открыть браузер и включить дополнение.
Сбой при переходе по ссылке возникает по причине отсутствия установленного на ПК «КриптоПро CSP». Также ошибка возникает, если операционная система компьютера не была перезапущена после установки всех компонентов.
Сохранённые в кэше файлы также мешают модулю полноценно работать. Чтобы этого избежать, плагин устанавливается в браузер с очищенным кэшем.
Чтобы очистить историю браузера с лишними файлами, необходимо:
- нажать сочетание клавиш Ctrl+Shift+Del;
- выбрать временной диапазон — «За всё время»;
- поставить галочки напротив «История браузера», «Файлы cookie и другие данные сайтов» и «Изображения и файлы, сохранённые в кэше»;
- нажать «Удалить данные».
Проверка подписи КриптоПро
Чтобы проверить ЭЦП, необходимо воспользоваться специальным сервисом компании «КриптоПро»:
- Перейти на сервис КриптоПро DSS.
- Нажать «Выбрать» и указать путь к нужному документу.
- Указать «Проверка требований к квалифицированному сертификату», если того требует формат подписи.
- Система обработает документ представит результат проверки ЭЦП КриптоПро.
Представленный для проверки сервис бесплатный и не требует предварительной регистрации ЭЦП.
Как удалить плагин
Чтобы удалить «КриптоПро ЭЦП Browser plug-in» необходимо выполнить следующие действия:
- зайти в панель управления нажав кнопку меню «Пуск», далее «Параметры»;
- перейти в раздел управления программами в соответствии с версией Windows — «Установка и удаление программ» для Windows XP, «Программы и компоненты» для Windows Vista, Windows 7, Windows 8 или «Приложения» для Windows 10;
- в открывшемся окне выбрать программу «КриптоПро ЭЦП Browser Plug-in»;
- нажать «Удалить»;
- перезагрузить ПК.
Где и как приобрести электронную подпись
Квалифицированную электронную подпись могут выдавать только удостоверяющие центры, аккредитованные Минкомсвязи. УЦ «Астрал-М» предлагает электронные подписи с большим выбором тарифных планов и дополнительных услуг.
Для получения квалифицированной электронной подписи нужно проделать четыре простых шага:
- Оставьте заявку, заполнив форму обратной связи на странице «Астрал-ЭТ».
- Подготовьте необходимый пакет документов и отправьте на проверку специалистам УЦ «Астрал-М».
- Оплатите выставленный счёт.
- Получите готовую электронную подпись.
Специалисты УЦ «Астрал-М» помогут вам выбрать подходящий тариф и расскажут, какие документы вам понадобятся для выпуска электронной подписи.
Плагин Госуслуги — специальный программный код, предназначенный для расширения функциональности приложения. В данном случае речь идет о внесении изменений в браузер для использования электронной цифровой подписи. Ниже рассмотрим, какие возможности предоставляет утилита, где ее скачать и как установить. Разберем тонкости применения утилиты и ее альтернативы.
Возможности плагина
Плагин портала Госуслуг для пользователя с электронной подписью может пригодиться для решения ряда задач. Выделим основные:
Это лишь часть ситуаций, в которых может пригодиться плагин Госуслуги для Internet Explorer или другого браузера. Спектр возможностей государственного портала постоянно расширяется, что делает дополнение особенно актуальным.
Где скачать и как установить
- Интернет Эксплорер от 8.0 и выше;
- Сафари 12 и выше;
- Мозиллна Фаерфокс вер. 59 и выше;
- Спутник — 4.0.0 и выше;
- Гугл Хром — 29.0 и выше.
Многие спрашивают, где найти плагин Госуслуги для Яндекс Браузера. К сожалению, опция ЭЦП в этом веб-проводнике (для данной утилиты) не реализована.
Полноценное применение доступно после установки и настройки ПО для компьютера, а также загрузки специальных дополнений.
Перед тем как установить плагин Госулуг на компьютер, удалите старые версии программы (если они были установлены). Для этого сделайте следующее:
- войдите в Пуск;
- в строке поиска введите plugins$;
- в перечне утилит найдите нужный вариант;
- возле него жмите на кнопку Отключить.
Как вариант, можно открыть любое окно в компьютере и скопировать в него C:Users%USERNAME%AppDataRoamingRostelecomIFCPlugin. После этого останется удалить содержимое папки.
Как скачать и установить
- Пролистайте немного ниже и найдите версию для своего компьютера.
- Жмите по файлу, чтобы запустить загрузку.
- Откройте полученный файл с расширением msi.
- Дождитесь, пока программа инициализируется.
- Жмите на кнопку Далее, а далее Установить.
- После завершения процедуры жмите на кнопку Готово.
После этого необходимо перезагрузить ПК. Если у вас включен автоматический запуск плагинов, его лучше отключить. В этом случае повысится уровень безопасности и снизится риск загрязнения ОЗУ. Для блокировки автозапуска сделайте следующие шаги:
- в настройках веб-проводника войдите в дополнительные настройки;
- в личных данных жмите на Настройки содержимого;
- переведите переключатель в положение блокировки;
- подтвердите действие;
- перезагрузите поисковик.
Как настроить
После этого необходимо настроить расширение для плагина Госуслуг для Google Chrome и другого браузера. В зависимости от веб-проводника алгоритм действий может отличаться.
- откройте веб-обозреватель (его сразу необходим обновить);
- справа вверху откройте настройки и найдите Настроить подстройки;
- слева войдите в Панель инструментов расширения;
- найдите справа Crypto Interface Plugin;
- обратите внимание, чтобы он был включен;
Обратите внимание, что от того, насколько точно и внимательно Вы выполните сейчас инструкции зависит работоспособность софта. Так, если Вы пропустите какие-то шаги, может выскочить ошибка «Не установлен плагин Госуслуги в Internet Explorer».
- откройте веб-обозреватель, установите последнюю версию;
- установите утилиту для Госуслуг;
- при первом пуске браузера разрешите установку утилиты;
- если веб-проводник не предложил установку, идите в Меню, а там Дополнения;
- в секции расширения найдите IFCPlugin Extension и убедитесь в его включении.
Для Google Chrome:
- войдите в веб-проводник;
- установите плагин Госуслуги для Google Chrome;
- при первом пуске разрешите его инсталляцию;
- если проводник не предложил установку, включите расширение.
Стоит учесть, что для работы плагина ЭЦП необходимы дополнительные программы:
- Для Виндовс — КриптоПро CSP, Signal-COM CSP, ViPNet CSP, ЛИССИ-CSP.
- Для Линукс и Мак ОС — только токены Рутокен ЭЦП, JaCarta-2 ГОСТ, eToken ГОСТ, Рутокен ЭЦП 2.0, JaCarta ГОСТ.
Как пользоваться
Если вдруг не работает ЭЦП, попробуйте отключить антивирус, обновить веб-обозреватель, переустановить утилиту или проверить целостность носителя цифровой подписи.
Другие плагины
Как отмечалось выше, рассмотренная утилита работает не со всеми браузерами. К примеру, расширение для плагина Госуслуг для Яндекс браузера не предусмотрено. Для решения проблемы можно установить альтернативный вариант, к примеру, Крипто ПРО ЭЦП Browser Plugin.
Итоги
Теперь вы знаете, что такое плагин Госуслуги, где его скачать, и как с ним работать. Понимание этих особенностей значительно упрощает работу и позволяет использовать функционал сайта на 100%.
Производители средств криптографической защиты информации (СКЗИ) предлагают различные механизмы для интеграции криптосредств в информационные системы. Существуют решения, ориентированные на поддержку систем с Web-интерфейсом, мобильных и десктопных приложений, серверных компонентов. СКЗИ интегрируются в приложения Microsoft и в продукты Open Source, обеспечивают поддержку различных прикладных протоколов и форматов электронной подписи.
С учетом растущего количества проектов с применением ЭЦП и появления массовых проектов для физических лиц, разработчикам подобных проектов требуется хорошо ориентироваться в предлагаемых производителями решениях по ЭЦП для того, чтобы сделать систему удобной в эксплуатации и недорогой в плане техподдержки. Таким образом, если еще лет 5 назад главным фактором выбора криптосредства являлось его полное соответствие требованиям регуляторов, то при сегодняшнем разнообразии важными критериями могут выступать охват поддерживаемых платформ, возможность интеграции с браузером, поддержка мобильных пользователей, возможность установки без прав системного администратора и т.п.
- Рассмотрены в основном СКЗИ, использующиеся на клиентских местах для защиты клиент-серверных соединений по протоколу TLS, для организации ЭЦП, шифрования передаваемых данных;
- Не рассматриваются СКЗИ, применяемые для создания VPN и шифрования файловой системы, хранимых данных, а так же УЦ;
- Отдельно выделены аппаратные криптографические устройства.
- технологий интеграции (CryptoAPI, Active-X, NPAPI и др.), которые поддерживают СКЗИ для встраивания в приложения и прикладные системы;
- интерфейсов, которые предоставляют СКЗИ для встраивания в приложения и прикладные системы.
Криптопровайдеры
Следует отметить, что несовершенство предлагаемых MS Windows механизмов расширения вынуждает разработчиков криптопровайдеров дополнительно модифицировать высокоуровневые криптобиблиотеки и приложения MS Windows в процессе их выполнения для того, чтобы «научить» их использовать российские криптоалгоритмы.
Следует понимать, что не все СКЗИ одного вида реализуют полный объем функциональности, приведенный в таблицах. Для уточнения возможностей криптосредств следуют обратиться к производителю.
- Отсутствие нормальной кроссплатформенности;
- Установка с правами администратора, настройка;
- Установка обновления Windows может потребовать обновления провайдера;
- Необходимость встраивания в приложения посредством модификации кода «на лету»;
- CSP — неродной интерфейс для не-Windows-приложений.
- Широкий охват Windows-приложений;
- Богатый инструментарий для разработчиков защищенных систем;
- Апробированная на большом количестве проектов технология.
Нативные библиотеки
OpenSSL-style
Open Source библиотека OpenSSL обладает широкими криптографическими возможностями и удобным механизмом ее расширения другими криптоалгоритмами. OpenSSL является основным криптоядром для широкого спектра приложений Open Source.
После того, как в эту библиотеку компанией Криптоком были добавлены ГОСТы, появились патчи для «гостификации» многих популярных приложения, использующих OpenSSL. На базе OpenSSL некоторые вендоры разработали и сертифицировали СКЗИ, кроме того в ряд продуктов OpenSSL входит «неявным» образом.
- OpenSSL и его аналоги не поддерживается приложениями Microsoft;
- Необходимость патчить СПО, которое поддерживает OpenSSL, для включения ГОСТов.
- Кроссплатформенность;
- Использование в огромном количестве проектов, открытые исходники большей части проекта — выявление и устранение уязвимостей (как пример, недавнее выявление heartbleed);
- Распространяется копированием — можно делать приложения, не требующие инсталляции;
- Широкий охват приложений СПО, на базе которых можно делать защищенные сертифицированные продукты;
- Широкая интеграция в фреймворки, но при этом проблемы с ГОСТами.
- Функции доступа к устройству;
- Функции записи/чтения произвольных данных;
- Функции работы с ключами (поиск, создание, удаление, импорт, экспорт);
- Функции работы с сертификатами (поиск, импорт, экспорт);
- Функции ЭЦП;
- Функции хэширования;
- Функции шифрования;
- Функции вычисления имитовставки;
- Функции выработки ключа согласования (Диффи-Хeллман);
- Функции экспорта/импорта сессионного ключа;
Для обеспечения быстродействия часть криптопримитивов может быть реализована программно.
Пример совместимости приложений приведен на схеме. Таким образом, возможно использование подходящего приложения в соответствующем месте инфосистемы.
NSS представляет собой криптографическую библиотеку от сообщества Mozilla. NSS используется такими приложениями, как браузер Mozilla Firefox, почтовым клиентом Mozilla Thunderbird.
В данный момент существуют два проекта по «гостификации» NSS:
Библиотеки c собственным интерфейсом
Локальные прокси
Основным принципом действия локального прокси является прием незащищенного соединения от приложения, установка TLS-туннеля с удаленным сервером и передача «прикладного уровня» между приложением и удаленным сервером по этому туннелю.
- прокси должен быть запущен;
- приложение должно работать через прокси, нужно «научить» его этому;
- могут использоваться нестандартные порты, отсюда проблемы в файрволом
- если приложение «ходит» через localhost, то, например, в адресной строке браузера прописано localhost… — нестандартно
- дополнительные ограничения на разработку web-сайта — в ряде случаев использование только относительных ссылок, чтобы не «вылететь» из туннеля
- прокси сконфигурирован на проксирование конечной группы сайтов, расширение группы — это обновление клиентского конфига
- работа через внешний прокси требует дополнительного конфигурирования локального прокси, при этом могут быть проблемы с аутентификацией пользователя на внешнем прокси
- решение использует универсальную технологию, поэтому можно не бояться его устаревания;
- решение может применяться на большом числе платформ, в том числе на мобильных платформах;
- кроссбраузерность, поддержка всех WEB-серверов без модификации;
- не требует инсталляции;
- поддержка различных прикладных протоколов.
Браузерные плагины
Кроссбраузерные плагины
ActiveX
Читайте также:
- Приложение как создать свой собственный словарь
- Какие приложения поддерживают chromecast
- Создать приложение на андроид студио
- Прежде чем продолжить откройте приложение outlook iphone
- Gangstar vegas приложение не установлено
О программе
ViPNet PKI Client— универсальный программный комплекс, разработанный компанией ИнфоТеКС. Предназначен для решения основных задач пользователя при работе с сервисами, использующими:
- заверение документов электронной подписью;
- шифрование файлов;
- аутентификацию пользователей для доступа к веб-сервисам;
- построение защищенных TLS-соединений.
Состав ПО
В состав ViPNet PKI Client входят следующие компоненты:
- File Unit – компонент для работы с файлами;
- Web Unit – компонент для работы с данными, передаваемыми браузерами;
- CRL Unit – компонент для обеспечения актуальности требуемых для работы c сертификатами CRL;
- Certificate Unit – компонент для управления жизненным циклом сертификатов, менеджер сертификатов;
- TLS Unit – компонент для обеспечения организации TLS-соединений со стороны клиента для защищенного доступа к порталам;
- ViPNet CSP — провайдер криптографических функций.
Установка
Для установки ПК ViPNet PKI Client выполните следующие действия:
1. Распакуйте дистрибутив в произвольный каталог с помощью команды:
tar –xvf <путь к каталогу>/pki_client_linux-x86-64-dist.tar.bz2
2. Поместите файл лицензии *.itcslic в каталог с пакетами для установки ViPNet PKI Client.
3. Перейдите в папку с установочным файлом и пакетами ViPNet PKI Client.
4. Запустите сценарий install.sh с правами суперпользователя с помощью команды:
sudo ./install.sh
5. Программа установки выполнит проверку наличия пакетов, необходимых для установки. Если какой-либо пакет не будет найден, программа установки завершит свою работу, и вы получите соответствующее сообщение. В этом случае установите недостающие пакеты и снова запустите программу установки.
Примечание. Если на вашем компьютере установлен криптопровайдер ViPNet CSP версии ниже 4.2.8, то во время установки возможны сообщения о конфликтах с существующими пакетами. В этом случае удалите эти пакеты и снова запустите программу установки.
Запуск и настройки компонентов
Vipnet PKI Client Settings
Чтобы запустить настройки ViPNet PKI Client, в меню приложений выберите ViPNet PKI Client Settings или выполните команду: /opt/itcs/bin/pki-client-settings
При первом запуске настроек ViPNet PKI Client появится электронная рулетка
Установка сертификатов
Vipnet PKI File Unit
File Unit — программа, которая позволяет выполнять с файлами следующие операции:
- Подтверждать и проверять личность отправителя с помощью электронной подписи
- Обеспечивать безопасность файлов с помощью шифрования и работать с зашифрованными файлами, полученными от других пользователей
Web Unit, TLS Unit и CRL Unit
Программы Web Unit, TLS Unit и CRL Unit (демон pki-client-crlunit) запускаются автоматически после загрузки операционной системы.
Если вы завершили работу программы, то для запуска выполните следующие действия:
Чтобы запустить программу Web Unit, в меню приложений выберите ViPNet PKI Client Web Unit или выполните команду: /opt/itcs/bin/pki-client-web-unit
Чтобы запустить программу TLS Unit, в меню приложений выберите ViPNet PKI Client TLS Unit или выполните команду: /opt/itcs/bin/pki-client-tls-unit
Чтобы запустить программу CRL Unit выполните команду: /etc/init.d/pki-client-crlunit start systemctl start pki-client-crlunit
Если вы используете операционную систему Astra Linux 1.5, выполните команду: /etc/init.d/pki-client-crlunit start
Предварительно должны быть добавлены личные сертификаты в хранилище uMy согласно инструкции: Работа с КриптоПро CSP
Для доступа к Госуслугам с помощью сертификатов следует использовать КриптоПро Linux версии 4r4 и выше.
Установка плагина для работы с порталом государственных услуг
Для аутентификации через ЕСИА esia.gosuslugi.ru следует:
1) Скачать IFCP-плагин с сайта ГосУслуг в формате «deb» — файл IFCPlugin-x86_64.deb с сайта: https://ds-plugin.gosuslugi.ru/plugin/upload/Index.spr
2) Установить плагин:
sudo dpkg -i IFCPlugin-x86_64.deb
3) Добавить расширение для Госуслуг в браузере chromium:
Расширение для chromium
Для правильной работы плагина в браузере следует создать символические ссылки:
sudo ln -s /etc/opt/chrome/native-messaging-hosts/ru.rtlabs.ifcplugin.json /etc/chromium/native-messaging-hosts
sudo ln -s /etc/opt/chrome/native-messaging-hosts/ru.rtlabs.ifcplugin.json /etc/chromium/native-messaging-hosts/ru.rtlabs.ifcplugin.json
Настройка конфигурационных файлов
4) Привести конфигурационный файл IFCplugin /etc/ifc.cfg к виду :
log = {
level = "DEBUG";
}
config = {
cert_from_registry = "false";
set_user_pin = "false";
}
params =
(
{ name = "CryptoPro CSP";
alias = "cprocsp";
type = "pkcs11";
alg = "gost2001";
model = "CPPKCS 3";
lib_linux = "/opt/cprocsp/lib/amd64/libcppkcs11.so";
},
{ name = "Криптопровайдер VipNet CSP";
alias = "VIPNet";прописать
type = "capi";
provider_name = "Infotecs Cryptographic Service Provider";
provider_num = "2";
skip_pkcs11_list = "true";
},
{ name = "Криптопровайдер VipNet CSP";
alias = "VIPNet_linux";
type = "capi_linux";
provider_name = "Infotecs Cryptographic Service Provider";
provider_num = "2";
skip_pkcs11_list = "true";
},
{ name = "Криптопровайдер КриптоПро CSP";
alias = "CryptoPro";
type = "capi";
provider_name = "Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider";
provider_num = "75";
skip_pkcs11_list = "false";
},
{ name = "Криптопровайдер КриптоПро Рутокен CSP";
alias = "CryptoPro_Rutoken";
type = "capi";
provider_name = "GOST R 34.10-2001 Rutoken CSP";
provider_num = "75";
skip_pkcs11_list = "false";
},
{ name = "Криптопровайдер Signal-COM CSP";
alias = "SignalCom";
type = "capi";
provider_name = "Signal-COM CPGOST Cryptographic Provider";
provider_num = "75";
skip_pkcs11_list = "false";
},
{ name = "Криптопровайдер Signal-COM CSP";
alias = "SignalCom_2012_256";
type = "capi";
provider_name = "Signal-COM GOST R 34.10-2012 (256) Cryptographic Provider";
provider_num = "80";
skip_pkcs11_list = "false";
},
{ name = "Криптопровайдер Signal-COM CSP";
alias = "SignalCom_2012_512";
type = "capi";прописать
provider_name = "Signal-COM GOST R 34.10-2012 (512) Cryptographic Provider";
provider_num = "81";
skip_pkcs11_list = "false";
},
{ name = "Криптопровайдер LISSI-CSP";
alias = "LISSI-CSP";
type = "capi";
provider_name = "LISSI-CSP";
provider_num = "75";
skip_pkcs11_list = "false";
},
{ name = "JaCarta Криптотокен";
alias = "JaCarta";
type = "pkcs11";
alg = "gost2001";
model = "eToken GOST,JaCarta GOST 2.0";
lib_win = "jcPKCS11-2.DLL";
lib_linux = "libjcPKCS11-2.so.2.4.0";
lib_mac = "jcPKCS11-2";
},
{ name = "Актив руТокен ЭЦП";
alias = "ruTokenECP";
type = "pkcs11";
alg = "gost2001";
model = "Rutoken ECP";
lib_win = "rtpkcs11ecp.dll";
lib_linux = "librtpkcs11ecp.so";
lib_mac = "librtpkcs11ecp.dylib";
}
);
Просмотр журналов
Для проверки работы плагина, в терминале в режиме live можно просмотреть логи:
tail -f /var/log/ifc/engine_logs/engine.log
Вход с помощью электронной подписи
Для авторизации следует пройти по адресу: esia.gosuslugi.ru и выбрать Вход с помощью электронной подписи
9) Подключив токен, следует нажать кнопку «Готово», после чего система предложит выбрать нужный сертификат ключа проверки ЭЦП:
При генерации подписи, в момент записи сертификата электронной подписи на защищенный носитель, происходит данная ошибка из-за установленной версии vipnet CSP 4.2.
Способы решения ошибки:
1. Запись сертификата электронной подписи вручную через vipnet CSP.
- Закройте окно с ошибкой.
- Будет осуществлен возврат на обратную страницу, обновите ее и нажмите на скачать сертификат.
- Сохраните сертификат на рабочий стол.
- Откройте VipNet CSP
1 – выберите защищенной носитель.
2 – выберите подпись, на которую требуется запись сертификата.
3 – Выберите установить сертификат.
- Выберите сертификат, который ранее сохранили на рабочий стол, нажмите открыть.
- В появившемся окне нажмите 2 раза «далее» и готово.
- Открывшееся окно само закроется.
- Необходимо проверить установился ли сертификат в контейнер подписи, вновь выбираем подпись, после нажимаем на «свойства».
- В открывшемся окне, если в поле «Сертификат» указана данная информация, значит сертификат подписи установлен успешно.
2. Переустановить версию Vip net CSP минимум на 4.4.
Внимание:
1. Прежде чем изменять версию Vip net CSP, уточните у технической поддержки Вашего программного обеспечения поддерживаемость версий выше 4.2.
2. Возможны случаи, что выпушенные электронные подписи на версии 4.4, не работали на версии 4.2. Если Вам критично использовать версию 4.2, то используйте 1 пункт данной инструкции.
Остались вопросы? Как мы можем помочь?
Как мы можем помочь?
Ошибка (sun.security.pkcs11.wrapper.PKCS11Exception CKR_FUNCTION_FAILED)Ошибка создания ключевой пары (0X3)