Системная криптографическая ошибка 0x8009200b

Сергй77	#1 Оставлено : 27 ноября 2018 г. 21:12:33(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 27.11.2018(UTC) Сообщений: 4 Откуда: Санкт-Петербург	Пытаюсь создать электронную подпись уже трое суток. В налоговом кабинете для ИП выдает ошибки при попытки проверки возможности подписания документов. Failed to sign hash: Не удается найти сертификат и закрытый ключ для расшифровки. (0x8009200B). Что это означает и как исправить. И еще вопрос при попытки зарегистрировать сертификат на сайте Сервис самостоятельной регистрации налогоплательщиков в системе сдачи налоговой отчетности, файл сертификата загружается, но не отправляется, пишут, что в сертификате в поле субъект отсутствует значение СНИЛС… А куда его вводить???? Отредактировано пользователем 27 ноября 2018 г. 21:16:50(UTC)  | Причина: Не указана
	WWW

Андрей Писарев	#2 Оставлено : 28 ноября 2018 г. 0:07:14(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 11,741 Сказал «Спасибо»: 451 раз Поблагодарили: 1838 раз в 1421 постах	Автор: Сергй77 Пытаюсь создать электронную подпись уже трое суток. В налоговом кабинете для ИП выдает ошибки при попытки проверки возможности подписания документов. Failed to sign hash: Не удается найти сертификат и закрытый ключ для расшифровки. (0x8009200B). Что это означает и как исправить. И еще вопрос при попытки зарегистрировать сертификат на сайте Сервис самостоятельной регистрации налогоплательщиков в системе сдачи налоговой отчетности, файл сертификата загружается, но не отправляется, пишут, что в сертификате в поле субъект отсутствует значение СНИЛС… А куда его вводить???? Здравствуйте. 1) У Вас есть сертификат для ИП? ПускВсе программыКРИПТО-ПРОКриптоПРО CSP Вкладка СервисПротестироватьПо сертификату — укажите сертификат, который используете на сайте. Тестирование выполняется без ошибок? 2) Цитата: в сертификате в поле субъект отсутствует значение СНИЛС Удостоверяющий Центр добавляет в сертификат СНИЛС.
Техническую поддержку оказываем тут Наша база знаний
	WWW

Сергй77	#3 Оставлено : 28 ноября 2018 г. 9:42:41(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 27.11.2018(UTC) Сообщений: 4 Откуда: Санкт-Петербург	Проверка завершена успешно ошибок не обнаружено Контейнер закрытого ключа пользователя имя e0e046932-5323-26a0-b7aa-378fe8cf33e уникальное имя FAT1234333231_KINGSTONe0e04693.0006C41 FQCN \.FAT12_De0e046932-5323-26a0-b7aa-378fe8cf33e проверка целостности контейнера успешно Ключ обмена доступен длина ключа 512 бит экспорт открытого ключа успешно вычисление открытого ключа успешно импорт открытого ключа успешно подпись успешно проверка успешно создание ключа обмена успешно экспорт ключа запрещен алгоритм ГОСТ Р 34.10-2001 DH ГОСТ Р 34.10-2001, параметры обмена по умолчанию ГОСТ Р 34.11-94, параметры по умолчанию ГОСТ 28147-89, параметры по умолчанию сертификат в контейнере соответствует закрытому ключу сертификат в хранилище My CN=Test Certificate FAT1234333231_KINGSTONe0e04693.0006C41; Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider#75; dwFlags: 0x00000000; dwKeySpec: AT_KEYEXCHANGE#1 имя сертификата Test Certificate субъект CN=Test Certificate поставщик E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2 действителен с 26 ноября 2018 г. 16:33:41 действителен по 26 февраля 2019 г. 16:43:41 серийный номер 1200 2F9A C8B8 B480 53C7 778C 4C00 0000 2F9A C8 Срок действия закрытого ключа 26 февраля 2020 г. 16:33:41 Использование ключа обмена разрешено до окончания срока действия закрытого ключа. Ключ подписи отсутствует загрузка ключей успешно Версия контейнера 2 Расширения контейнера некритическое Расширение контейнера КриптоПро CSP. Срок действия ключа обмена действителен по 26 февраля 2020 г. 16:43:12
	WWW

Сергй77	#4 Оставлено : 28 ноября 2018 г. 9:43:38(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 27.11.2018(UTC) Сообщений: 4 Откуда: Санкт-Петербург	т.е. мне нужно выгрузить на флешку сертификат и ехать с ним в удостоверяющий центр?
	WWW

Kleveron	#5 Оставлено : 28 ноября 2018 г. 9:52:17(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 13.09.2016(UTC) Сообщений: 65 Откуда: Воронеж Сказал(а) «Спасибо»: 8 раз Поблагодарили: 3 раз в 3 постах	Автор: Сергй77 т.е. мне нужно выгрузить на флешку сертификат и ехать с ним в удостоверяющий центр? Нет, Вам нужно получить КЭП в Аккредитованном УЦ. А Вы, судя по всему, просто сформировали ЭП на тестовом УЦ КриптоПро

Сергй77	#6 Оставлено : 28 ноября 2018 г. 11:08:29(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 27.11.2018(UTC) Сообщений: 4 Откуда: Санкт-Петербург	Нет конечно не получали в УЦ… Так сразу бы и написали в налоговом кабинете где что сколько стоит и где это купить… А то что мозг парить, что это можно все установить в тестовом режиме бесплатно.. только время потратил, уже бы давно деньги заплатил и все бы было.
	WWW

Kleveron	#7 Оставлено : 28 ноября 2018 г. 11:30:54(UTC)
Статус: Активный участник Группы: Участники Зарегистрирован: 13.09.2016(UTC) Сообщений: 65 Откуда: Воронеж Сказал(а) «Спасибо»: 8 раз Поблагодарили: 3 раз в 3 постах	Автор: Сергй77 Нет конечно не получали в УЦ… Так сразу бы и написали в налоговом кабинете где что сколько стоит и где это купить… А то что мозг парить, что это можно все установить в тестовом режиме бесплатно.. только время потратил, уже бы давно деньги заплатил и все бы было. Так при авторизации в ЛК так и написано: «Для авторизации в сервисе необходим квалифицированный сертификат ключа проверки электронной подписи (КСКПЭП), выданный Удостоверяющим центром, аккредитованным Минкомсвязи России, который может храниться на любом носителе: жестком диске,USB-ключе или смарт-карте.» А решение где, за сколько покупать это уже решает каждый сам. Налоговая только оставляет ссылку на список аккредитованных УЦ.

Белла1235	#8 Оставлено : 19 апреля 2019 г. 14:04:24(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 19.04.2019(UTC) Сообщений: 3	Вот сейчас пыталась загрузить сертификат на сайте налоговой в Сервис самостоятельной регистрации налогоплательщиков в системе сдачи налоговой отчетности, та же ошибка — нет СНИЛС в поле Субъект. Подпись делали в УЦ два дня назад, там говорят, что они всё добавили.

Александр Лавник	#9 Оставлено : 19 апреля 2019 г. 15:20:17(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 30.06.2016(UTC) Сообщений: 3,192 Сказал «Спасибо»: 51 раз Поблагодарили: 719 раз в 672 постах	Автор: Белла1235 Вот сейчас пыталась загрузить сертификат на сайте налоговой в Сервис самостоятельной регистрации налогоплательщиков в системе сдачи налоговой отчетности, та же ошибка — нет СНИЛС в поле Субъект. Подпись делали в УЦ два дня назад, там говорят, что они всё добавили. Здравствуйте. А СНИЛС действительно есть в компонентах имени субъекта? Проверить можно так: Пуск Все программы КРИПТО-ПРО Сертификаты Сертификаты — текущий пользователь Личное Реестр Сертификаты двойным щелчком открываете Ваш сертификат вкладка Состав поле Субъект
Техническую поддержку оказываем тут Наша база знаний

Белла1235	#10 Оставлено : 20 апреля 2019 г. 8:41:51(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 19.04.2019(UTC) Сообщений: 3	Проверила, СНИЛС есть в сертификате.

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.

Милана	#1 Оставлено : 10 июля 2018 г. 11:21:18(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 10.07.2018(UTC) Сообщений: 4 Откуда: нижняяя тура	Успешно создана электронная подпись с использованием КСКПЭП индивидуального предпринимателя. Failed to sign hash: Не удается найти сертификат и закрытый ключ для расшифровки. (0x8009200B) подскажите что делать?

Андрей Писарев	#2 Оставлено : 10 июля 2018 г. 13:05:42(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 11,741 Сказал «Спасибо»: 451 раз Поблагодарили: 1838 раз в 1421 постах	Здравствуйте. Уточните, где возникает такая ошибка и тот ли сертификат используется программой? Тестирование сертификата выполняется без проблем? СервисПротестироватьПо сертификату
Техническую поддержку оказываем тут Наша база знаний
	WWW

Милана	#3 Оставлено : 10 июля 2018 г. 13:17:04(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 10.07.2018(UTC) Сообщений: 4 Откуда: нижняяя тура	на сайте налоговая. а в сервис-протестировать-обзор-выбор ключевого контейнера в окошечке не чего не появляется!

Андрей Писарев	#4 Оставлено : 10 июля 2018 г. 14:02:45(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 11,741 Сказал «Спасибо»: 451 раз Поблагодарили: 1838 раз в 1421 постах	Автор: Милана на сайте налоговая. а в сервис-протестировать-обзор-выбор ключевого контейнера в окошечке не чего не появляется! и по сертификату — пусто? Тогда начнём сначала… Цитата: >Успешно создана электронная подпись с использованием КСКПЭП индивидуального предпринимателя. Это надпись и под ней ошибка: Failed to sign hash? Вы в УЦ обращались за получением сертификата ИП или на чистом ПК с КриптоПРО CSP пробуете что-то делать на сайте налоговой?
Техническую поддержку оказываем тут Наша база знаний
	WWW

Милана	#5 Оставлено : 10 июля 2018 г. 14:06:07(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 10.07.2018(UTC) Сообщений: 4 Откуда: нижняяя тура	в уц обращалась и получила сертификат подписи.

Андрей Писарев	#6 Оставлено : 10 июля 2018 г. 14:27:11(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 11,741 Сказал «Спасибо»: 451 раз Поблагодарили: 1838 раз в 1421 постах	Автор: Милана в уц обращалась и получила сертификат подписи. Как устанавливали? По инструкции установите. Раздел 2.5.2 или 2.5.3
Техническую поддержку оказываем тут Наша база знаний
	WWW

Милана	#7 Оставлено : 11 июля 2018 г. 8:00:54(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 10.07.2018(UTC) Сообщений: 4 Откуда: нижняяя тура	да по инструкции

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.

Проблемы с электронной подписью и способы их решения

Использование ЭЦП открывает для владельца подписи дополнительные возможности. Но вместе с этим, иногда сопровождается небольшими техническими проблемами, связанными с необходимостью чёткого выполнения действий, связанных с загрузкой сертификатов, авторизацией, установкой необходимого программного обеспечения, а также системных требований к компьютеру.

Важно отметить, что большинство ошибок при работе с ЭЦП можно устранить в домашних условиях, без необходимости привлечения специалистов со стороны.

Какие виды ошибок ЭЦП бывают

Среди наиболее часто встречающихся ошибок в процессе подписания электронных документов электронной подписью выделяют три ключевых блока:

Проблема с подписанием ЭПЦ

Причины, вызывающие подобную ошибку весьма разнообразны. Тут можно выделить такие основные направления:

• Закрытый ключ со съемного носителя (диска, флешки, Токена), не соответствует имеющемуся ключу открытого сертификата. Банальный человеческий фактор выбора не того носителя информации с ЭЦП. Если же «правильный» ключ утерян, придется обращаться в Удостоверяющий центр для перевыпуска.
• Недействительный сертификат. Чтобы устранить подобную ошибку потребуется переустановить открытый сертификат. Важно учитывать требования криптопровайдера (инструкции по необходимым действиям) для установки открытых сертификатов.
• Сертификат подписи определяется как не проверенный. Потребуется выполнить переустановку корневого сертификата, сформировавшего ЭП Удостоверяющего центра.

• Закончился срок действия криптопровайдера. Необходимо получить новый лицензионный ключ, позволяющий работать с программным обеспечением криптопровайдера. Информация запрашивается через УЦ, либо владельца ПО.
• Не виден сертификат на носителе. Помогает простая перезагрузка компьютера для устранения ошибка генерации.
• Алгоритм сертификата ЭЦП не поддерживается. Подобная ошибка может возникать при подписании электронной отчетности в налоговую. Потребуется переустановить КриптоПро CSP и проверить его на совместительство с имеющейся у вас на компьютере операционной системой.

Как проявляется данная ошибка и что сделать, чтобы исправить

Ошибка исполнения функции с информированием о невозможности подписать документ ЭЦП обычно появляется в момент подписания документа.

Система сразу выводит на экран уведомление о непредвиденной ошибке с кратким указанием причины ее возникновения.

Обычно для ее исправления требуются такие действия:

• проверка наличия, срока действия, подлинности сертификатов и выполнение их замены;
• выполнение проверки корректной работы операционной системы компьютера, ее обновление до минимальных допустимых параметров;

• проверка состояния съемного носителя закрытого ключа;
• выявление и устранение ошибок работы криптопровайдера.

Важно. Причина, из-за которой владелец ЭЦП не может нею воспользоваться, может быть комплексной. Поэтому, если не сработал один из предложенных вариантов, проверьте по другим направлениям.

Проблема с сертификатом

Распространенным явлением во время подписания электронных документов ЭЦП является получение уведомления, что системе не удалось получить доступ к сертификатам, пригодным для формирования подписи.

Здесь причины возникновения неисправности могут быть такими:

1. Пользователь не установил на свой ПК корневые сертификаты УЦ, осуществлявшего формирование и выдачу ЭЦП. Для устранения – скачать и установить на компьютер такой сертификат, либо прописать доступ к нему.
2. Система не видит личных сертификатов владельца ЭЦП. Выдаются одновременно с оформлением ЭП. Их необходимо загрузить на ваш ПК, и подтянуть в криптопровайдер. В дальнейшем можно загрузить через сайт УЦ. Устанавливаются и прописываются на рабочем месте, предназначенном для работы с ЭЦП. С незарегистрированным сертификатом вы не сможете осуществлять подписание электронных документов.
3. Информирование о невалидности сертификатов. Обычно такое возможно в случае, когда заканчивается срок действия сертификата, либо их отзывают. Потребуется обращаться в УЦ, выдавший ЭЦП, для уточнения статуса сертификатов подписи. В некоторых случаях помогает обновление сертификатов на компьютере пользователя. Сделать это можно вручную.

Что делать если не найден сертификат или не верен

Когда сертификат отсутствует в списке «Ваши Сертификаты», проблема может оказаться в отсутствии коренного сертификата УЦ.

Для устранения этой проблемы необходимо:

• проверить наличие такого сертификата на вашем ПК по пути: «Пуск» — дальше «Все программы» — после этого плагин «КриптоПро» — а уже там «Сертификаты»;
• дальше находим вкладку «Личное», выбираем «Сертификаты»;

• потребуется открыть не отображенный во вкладке сертификат и просмотреть его «Путь сертификации»;
• тут отображаются все цепочки сертификатов в порядке ранжирования. Важно чтобы напротив какого-то из них не стоял желтый, либо красный значок предупреждения. Если подобное присутствует – нажмите на сам сертификат и ознакомьтесь с ошибкой, что выдаст система;
• в зависимости от причины (обычно это окончание действия сертификата, либо не верифицирован) выполните ее устранение.

Чтобы устранить ошибку и перезагрузить отозванный сертификат потребуется выполнить несколько не сложных действий:

• в окне «Свойства браузера» откройте личный сертификат. Попасть туда можно через «Поиск» меню «Пуск». В открытом окошке ищите вкладку «Содержание», дальше вкладку «Сертификаты»;
• после этого во вкладке «Состав» потребуется выбрать позицию «Точки распространения списков отзывов»;
• в следующем блоке под названием «Имя точки распространения» необходимо выполнить копирование ссылки загрузки файла списка отзывов;
• переходя по указанной ссылке необходимо скачать и установить файл списка отзывов (CRL);
• дальше переходим по подсказкам «Мастера импорта сертификатов».

Следующей распространенной проблемой, когда компьютер не видит сертификат на носителе, является сбой в работе программных продуктов компьютера либо Токена (флешки). Обычно помогает простая перезагрузка ПК. Среди прочих популярных проблем этого направления можно выделить такие:

1. На носителе отсутствует драйвер, либо он установлен не корректно. Необходимо скачать последнюю версию драйвера с официального источника и установите его. Можно проверить работоспособность съемного носителя на другом ПК. В этом случае, если другой ПК нормально работает с носителем ЭЦП, переустановите драйверы на первом компьютере.
2. Система долго распознает носитель ЭЦП. Тут проблема в операционной системе. Ее потребуется обновить до минимального уровня, требуемого для работы с ЭЦП.
3. USB-порт работает не корректно. Попробуйте подсоединить Токен (флешку) через другой порт, либо на другом ПК, чтобы убедиться, что проблема не в носителе. Выполните перезагрузку компьютера.
4. Если Токин (флешка) не открывается ни на одном компьютере, значит проблема в носителе. Когда ключ был записан в единственном экземпляре на этот носитель – потребуется обращаться в УЦ для перевыпуска ЭЦП.

Важно. Перед вынесением «окончательного вердикта» касательно работоспособности носителя и сертификата, не поленитесь выполнить их проверку через несколько различных источников.

Проблемы при авторизации

Часто с подобными неприятностями сталкиваются владельцы ЭЦП, пытающиеся пройти регистрацию, либо авторизацию на различных электронных торговых площадках. Пользователю появляется уведомление, что его подпись не авторизирована.

Обычно проблема кроется:

1. Отсутствие регистрации. Потребуется попросту зарегистрироваться на избранном вами ресурсе.
2. Не зарегистрирован сертификат. Возникает после обновления ключа ЭЦП. Устраняется путем регистрации нового сертификата ключа ЭЦП.

В дальнейшем, при работе на самой электронной площадке и попытке подписать электронные документы, могут возникать дополнительные трудности, связанные с такими моментами:

1. Необходимости присоединиться к регламенту. Система не даст возможность полноценно работать, если вы не согласитесь с ее условиями.
2. Невозможность загрузить файл (файлы). Обычно это ошибка превышения размера информации, что допустима для загрузки. Просто смените формат разрешения файла, чтобы уменьшить его размер.
3. Требование использовать определенный браузер (определенную версию браузера). Это системные требования владельца площадки, которые необходимо соблюдать.
4. Проблемы со считыванием сертификатов. Потребуется проверить не просрочены ли ваши сертификаты, а также все ли они установлены на ПК.

Возможно не прошла расшифровка файла ключа. Перезагрузите компьютер. Проверьте, отображается ли съемный носитель ключа ЭЦП, наличие и корректность отображения сертификатов, а также соответствие их (должен быть одинаковый владелец).

Связана с повреждением, либо отсутствием необходимых драйверов на носителе, либо ПК. Потребуется скачать с официального источника недостающий драйвер и переустановить его.

Несоответствие программного продукта операционной системы и съемного носителя (флешки), либо повреждение флешки. Устраняется путем обновления операционной системы до минимально необходимой версии. В случае обнаружения повреждения флешки – может потребоваться перевыпуск ЭЦП удостоверяющим центром.

Потребуется выполнить определенные настройки вашего браузера и добавить программу в меню веб-обозревателя, а также загрузить недостающие сертификаты ЭЦП.

Хранение сертификатов в Windows (от 7 версии) осуществляется по адресу: C:UsersПОЛЬЗОВАТЕЛЬAppDataRoamingMicrosoftSystemCertificates

где вместо «ПОЛЬЗОВАТЕЛЬ» должно стоять наименование вашего ПК

Источник

Перечень типовых ошибок при наложении ЭЦП

Неизвестный криптографический алгоритм (80091002)

На компьютере не установлено приложение от криптопровайдера, указанного в сертификате, которым осуществляется попытка наложения ЭЦП либо которым подписан документ (при проверке ЭЦП) — см. свойство сертификата «Алгоритм подписи». Например, ПО от Крипто Про, если ключевая пара (открытый и закрытый) созданы по ГОСТ .

Не удается найти указанный файл (00000002)

Неизвестная ошибка. (C000000D)

Проблема в совместимости ПО «Крипто Про» и «Континент АП», способы решения см на форумах соответствующих ПО. См так же обсуждение на форуме «Бюджет-СМАРТ» https://keysystems.ru/forum/index.php?showtopic=19187&p=157205 .

Статус аннулирования сертификатов не выяснен. Не удалось загрузить действующий список отозванных сертификатов — состояние (статус) ЭЦП.

Не удается построить цепочку сертификатов для доверенного корневого центра — сообщение при наложении ЭЦП.

Корневой сертификат УЦ обычно обновляется ежегодно. На сервисе ОД должен быть установлен корневой сертификат УЦ, под которым выдавались ключи пользователям.

Примеры ситуаций, приводящие к вышеприведенной ошибке: часть пользователей имеют ключи 2011г, часть 2012г, установлен корневой сертификат 2012г — пользователи с сертификатами 2011г не смогут подписать (либо их подпись станет неверна).

Один из сертификатов в цепочке не является доверенным — причина в том, что корневой сертификат УЦ не установлен в список «Доверенные корневые центры сертификации» на компьютере, где проверяется ЭЦП.

Документ не удовлетворяет условиям схем работы с ЭП

Нет подходящего варианта в автомате ЭЦП для данного документа. Если автомат не настраивался, то не следует включать настройку «Использовать Автомат ЭЦП».

Невозможно создать файл, так как он уже существует.

B7: CryptMsgUpdate

При установке сертификата на компьютер пользователя средствами Крипто ПРО был выбран неверный криптопровайдер в поле «Выберите CSP для поиска ключевых контейнеров».

Возникла ошибка при соединении с сервисом проверки ЭЦП: .

Настройка «Меню Настройки: НАСТРОЙКИ Электронная подпись Сервис проверки ЭЦП» указана неверно (несуществующий адрес), либо SQL сервер не может подключиться к сервису ОД из указанной настройки (ограничения сетевых экранов, антивирусы и т.п.).

Отказано в доступе. 80090010: CryptMsgOpenToEncode HResult: -2146233296

Истёк срок действия закрытого ключа. Для получения подробных сведений о сроках и причинах, следует протестировать контейнер закрытого ключа в ПО «Крипто Про» — обратить внимание на информацию вида:

Срок действия закрытого ключа 20 января 2019 г. 11:27:15

Использование ключа обмена запрещено. Срок действия закрытого ключа истек.

Сannot connect или Cannot resolve IP address или Error get version

Источник

Ibank ошибка при работе с сервисом проверки сторонних сертификатов

Эта статья описывает типичные ошибки работы КриптоПро ЭЦП Browser plug-in в браузерах и предлагает способы их решения.

Появляется окно КриптоПро CSP Вставьте ключевой носитель

Появление данного окна значит, что у Вас не вставлен носитель с закрытым ключом для выбранного Вами сертификата.

Необходимо вставить ключевой носитель. Убедитесть, что устройство отображается в Диспетчере Устройств Windows. Установите драйверы на устройство с сайта производителя если они не установлены.

Если предыдущие действия не помогли, необходимо переустановить сертификат в хранилище Личное текущего пользователя с привязкой к закрытому ключу. См статью.

Не удалось создать подпись из-за ошибки: Не удается построить цепочку сертификатов для доверенного корневого центра. (0x800B010A)

Эта ошибка возникает, когда невозможно проверить статус сертификата (нет доступа к спискам отзыва или OCSP службе), либо не установлены корневые сертификаты.

Проверьте, строится ли цепочка доверия: откройте сертификат (например через Пуск -> Все программы -> КриптоПро -> Сертификаты-Текущий Пользователь -> Личное -> Сертификаты), перейдите на вкладку Путь сертификации. Если на этой вкладке присутствуют красные кресты, или вообще нет ничего кроме текущего сертификата (кроме тех случаев если сертификат является самоподписанным), значит цепочка доверия не построена.

Скриншоты с примерами сертификатов, у которых не строится цепочка доверия.

Чтобы цепочка доверия построилась необходимо скачать и установить корневые и промежуточные сертификаты. Скачать их можно с сайта УЦ, издавшего сертификат.

Если вы используете квалифицированный сертификат, то попробуйте установить в доверенные корневые эти 2 сертификата. Это сертификаты Головного УЦ Минкомсвязи и Минцифры. От них, при наличии интернета, должна построится цепочка доверия у любого квалифицированного сертификата.

Чтобы установить скачанный сертификат в доверенные корневые центры сертификации, нажмите по нему правой кнопкой-Выберите пункт –Установить сертификат- Локальный компьютер (если такой выбор есть) — Поместить все сертификаты в следующие хранилище-Обзор-Доверенные корневые центры сертификации-Ок- Далее- Готово- когда появится предупреждение системы безопасности об установке сертификата- нажмите Да-Ок.

Если этого недостаточно, обратитесь в УЦ, выдавший вам сертификат, за сертификатом самого УЦ.

Полученный от УЦ сертификат является промежуточным в цепочке Минкомсвязи -> УЦ -> вы, поэтому при его установке выбирайте хранилище «Промежуточные центры сертификации».

Важно: Если вы создаете CAdES-T (доверенное время) или CAdES-XLongType 1 (доверенное время и доказательства подлинности), ошибка цепочки может возникать если нет доверия к сертификату оператора TSP службы. В этом случае необходимо установить в доверенные корневые центры сертификации корневой сертификат УЦ, предоставляющего службу TSP.

При создании подписи появляется окно с ошибкой «Не удается найти сертификат и закрытый ключ для расшифровки. (0x8009200B)», в информации о сесртификате отображается «нет привязки к закрытому ключу»

Важно: На наших демо-страницах подпись будет создана даже если привязки к ЗК нет. При этом сертификат должен находиться в контейнере. Сообщение «нет привязки к закрытому ключу» в данном случае будет носить информационный характер. Однако для обеспечения совместимости со сторонними площадками мы рекомендуем выполнять привязку сертификата к закрытому ключу.

Подпись создается, но также отображается статус «ошибка при проверке цепочки сертификатов».

Это значит, что нет доступа к спискам отозванных сертификатов.

Списки отозванных сертификатов можно скачать на сайте УЦ, выдавшем сертификат, после получения списка его необходимо установить, процедура идентична процедуре установки промежуточного сертификата ЦС. При отсутствии ограничений на доступ в сеть Интернет списки обновляются автоматически.

Ошибка: 0x8007064A/0x8007065B

Причина ошибки — истёк срок действия лицензий на КриптоПро CSP и/или КриптоПро TSP Client 2.0 и/или Криптопро OCSP Client 2.0.

Для создания CAdES-BES подписи должна быть действующая лицензия на КриптоПро CSP.

Для создания CAdES-T должны быть действующими лицензии на: КриптоПро CSP, КриптоПро TSP Client 2.0.

Для создания XLT1 должны быть действующими лицензии на: КриптоПро CSP, КриптоПро TSP Client 2.0, КриптоПро OCSP Client 2.0

Посмотреть статус лицензий можно через: Пуск- Все программы- КРИПТО-ПРО- Управление лицензиями КриптоПро PKI.

Чтобы активировать имеющуюся лицензию:

— откройте Пуск -> Все программы -> КРИПТО-ПРО -> Управление лицензиями КриптоПро PKI

— выберите нужный программный продукт -> откройте контекстное меню (щелкнуть правой кнопкой мыши) -> выберите пункт «Все задачи» -> выберите пункт «Ввести серийный номер. «

— введите в поле информацию о лицензии и нажмите OK чтобы сохранить её.

Отказано в доступе (0x80090010)

Причина ошибки: Истек срок действия закрытого ключа. Проверьте срок действия Зайдите в Пуск -> Все программы -> КРИПТО-ПРО -> Крипто-Про CSP. Перейдите на вкладку Сервис. Нажмите кнопку «Протестировать», выберите контейнер с закрытым ключом кнопкой «Обзор» или «По сертификату» и в результатах тестирования Вы сможете увидеть срок его действия. Рекомендуется получить новый ключ.

Ошибка: Invalid algorithm specified. (0x80090008)

Ошибка возникает, если Вы используете сертификат, алгоритм которого не поддерживается Вашим криптопровайдером.

Пример: У вас установлен КриптоПро CSP 3.9 а сертификат Выпущен по ГОСТ 2012.

Или если используется алгоритм хеширования, не соответствующий сертификату.

Так же проверьте актуальность версии КриптоПро CSP.

Источник

How can we solve CryptAcquireCertificatePrivateKey fails with 0x8009200B when adding certificate from smartcard to local user store?

In an enrollment system where users generate smartcard certificate request online to a CA, the certificate is loaded ‘offline’ in the smartcard, for example several days after the request was issued so the certenrolllib objects used for the creation of the request cannot be used for installing the certificate on the card and the card generated the private key which will never and cannot anyway be exported outside of the card.

When we load the certificate in the card, we use the Minidriver API, we have the name of the key container that was used for generation of the key (usually a GUID, something like lr-e46f1586-7133-4284-895d-557e2261c24d) we start to read the cmapfile and we get the keycontainer index XX that corresponds to that GUID and we create a kscXX certificate in the mscp folder in the card minidriver filesystem, we compress with zlib the DER binary certificate obtained from the CA, we add a header and we load that on the kscXX file.

We can see that the on card certificate is well formed and that we can see it using various tools. The problem is that this certificate does not appear on the Microsoft user store. In fact it ‘may’ appear sometimes especially if the container is the default container, but anyway not immediately and not in all OS.

We created a lib using MSCAPI that get the certificate context and that proves private key ownership by using CryptAcquireCertificatePrivateKey in the following code (used in say: addCardCertToStore.exe tool for example)

Logging with PIN, getting the userkey etc.:

 fStatus = CryptGetKeyParam(
    hKey,                  // HCRYPTKEY hKey,
    KP_CERTIFICATE,        // DWORD dwParam,
    pCertBlob,             // BYTE* pbData,
    &dwCertLen,            // DWORD* pdwDataLen,
    0                      // DWORD dwFlags
    );

if (!fStatus)
{
    return 1;
}


pCertContext = CertCreateCertificateContext(
    PKCS_7_ASN_ENCODING | X509_ASN_ENCODING,
    pCertBlob,
    dwCertLen);

    //trying to prove privatekey ownership by calling CryptAcquireCertificatePrivateKey


HCRYPTPROV_OR_NCRYPT_KEY_HANDLE  hCrypt;

    DWORD  hInfo;

fStatus=CryptAcquireCertificatePrivateKey(pCertContext,0,NULL,&hCrypt,&hInfo,NULL);

     if (!fStatus)
{
     return 1;
}



    hStoreHandle = CertOpenStore(CERT_STORE_PROV_SYSTEM, 0, 0, CERT_SYSTEM_STORE_CURRENT_USER, L"My");

// saving certificate context to store

If CryptAcquireCertificatePrivateKey is not called, then the certificate is always exported to store, but without private key ownership and then cannot be used for operations like signature etc.

However, when we use CryptAcquireCertificatePrivateKey indeed ‘50% of the times’ we can save the certificate to store with private key ownership, but not always, in several case we see 0x8009200B error (CRYPT_E_NO_KEY_PROPERTY , e.g. ‘Cannot find the certificate and private key for decryption.’) when call CryptAcquireCertificatePrivateKey. This error may happen for example the first time we launch the addCardCertToStore.exe then if we restart addCardCertToStore.exe a second time it may work, CryptAcquireCertificatePrivateKey returns OK, and certificate is installed in the store, sometimes we have to call it three times, sometimes it seems it will never complete and sometimes it works after we reinsert the card, sometimes it fails because the certificate was installed automatically after a while in the store and by deleting this certificate CryptAcquireCertificatePrivateKey works and add again the certificate on the store.

I know that the CSP is maintaining a cache and that it scans periodically the card to update that cache and that it may or may not detect a new certificate on card and add it to the store alone and that some MSCAPI operation can have the effect of having the CSP updating the store from the card certificates independently of the operation itself.

At the end the question is: why such a strange behaviour of CryptAcquireCertificatePrivateKey and how can we interpret the error code 0x8009200B (access denied) in that context?
And other point is that should we install the DER certificate on card not by using minidriver API but by using MSCAPI functions (if this is possible)?
How can we have a steady way of adding the card certificate to the store?

How can we solve CryptAcquireCertificatePrivateKey fails with 0x8009200B when adding certificate from smartcard to local user store?

In an enrollment system where users generate smartcard certificate request online to a CA, the certificate is loaded ‘offline’ in the smartcard, for example several days after the request was issued so the certenrolllib objects used for the creation of the request cannot be used for installing the certificate on the card and the card generated the private key which will never and cannot anyway be exported outside of the card.

When we load the certificate in the card, we use the Minidriver API, we have the name of the key container that was used for generation of the key (usually a GUID, something like lr-e46f1586-7133-4284-895d-557e2261c24d) we start to read the cmapfile and we get the keycontainer index XX that corresponds to that GUID and we create a kscXX certificate in the mscp folder in the card minidriver filesystem, we compress with zlib the DER binary certificate obtained from the CA, we add a header and we load that on the kscXX file.

We can see that the on card certificate is well formed and that we can see it using various tools. The problem is that this certificate does not appear on the Microsoft user store. In fact it ‘may’ appear sometimes especially if the container is the default container, but anyway not immediately and not in all OS.

We created a lib using MSCAPI that get the certificate context and that proves private key ownership by using CryptAcquireCertificatePrivateKey in the following code (used in say: addCardCertToStore.exe tool for example)

Logging with PIN, getting the userkey etc.:

 fStatus = CryptGetKeyParam(
    hKey,                  // HCRYPTKEY hKey,
    KP_CERTIFICATE,        // DWORD dwParam,
    pCertBlob,             // BYTE* pbData,
    &dwCertLen,            // DWORD* pdwDataLen,
    0                      // DWORD dwFlags
    );

if (!fStatus)
{
    return 1;
}


pCertContext = CertCreateCertificateContext(
    PKCS_7_ASN_ENCODING | X509_ASN_ENCODING,
    pCertBlob,
    dwCertLen);

    //trying to prove privatekey ownership by calling CryptAcquireCertificatePrivateKey


HCRYPTPROV_OR_NCRYPT_KEY_HANDLE  hCrypt;

    DWORD  hInfo;

fStatus=CryptAcquireCertificatePrivateKey(pCertContext,0,NULL,&hCrypt,&hInfo,NULL);

     if (!fStatus)
{
     return 1;
}



    hStoreHandle = CertOpenStore(CERT_STORE_PROV_SYSTEM, 0, 0, CERT_SYSTEM_STORE_CURRENT_USER, L"My");

// saving certificate context to store

If CryptAcquireCertificatePrivateKey is not called, then the certificate is always exported to store, but without private key ownership and then cannot be used for operations like signature etc.

However, when we use CryptAcquireCertificatePrivateKey indeed ‘50% of the times’ we can save the certificate to store with private key ownership, but not always, in several case we see 0x8009200B error (CRYPT_E_NO_KEY_PROPERTY , e.g. ‘Cannot find the certificate and private key for decryption.’) when call CryptAcquireCertificatePrivateKey. This error may happen for example the first time we launch the addCardCertToStore.exe then if we restart addCardCertToStore.exe a second time it may work, CryptAcquireCertificatePrivateKey returns OK, and certificate is installed in the store, sometimes we have to call it three times, sometimes it seems it will never complete and sometimes it works after we reinsert the card, sometimes it fails because the certificate was installed automatically after a while in the store and by deleting this certificate CryptAcquireCertificatePrivateKey works and add again the certificate on the store.

I know that the CSP is maintaining a cache and that it scans periodically the card to update that cache and that it may or may not detect a new certificate on card and add it to the store alone and that some MSCAPI operation can have the effect of having the CSP updating the store from the card certificates independently of the operation itself.

At the end the question is: why such a strange behaviour of CryptAcquireCertificatePrivateKey and how can we interpret the error code 0x8009200B (access denied) in that context?
And other point is that should we install the DER certificate on card not by using minidriver API but by using MSCAPI functions (if this is possible)?
How can we have a steady way of adding the card certificate to the store?

ЭЦП — довольно сложный цифровой продукт, обращение с которым в определенных ситуациях может потребовать некоторых навыков и знаний. Например, в ходе установки сертификатов ЭП посредством «КриптоПро» после выбора соответствующего ключевого контейнера нередко выдаются неприятные сообщения об ошибке вследствие отсутствия открытого шифровочного ключа, который необходим для обеспечения информационной безопасности, без чего система не будет принимать ЭЦП.

Такую ошибку несложно устранить без вызова специалиста или обращения в службу поддержки. Алгоритм действий, направленных на решение этой проблемы, приводится ниже.

Что может послужить причиной такой ошибки

Всплывающее окно со злополучным сообщением об ошибке появляется на экранах пользователей в тех случаях, если система не смогла обнаружить соответствующий ключ на носителе. Такая ситуация происходит при следующих действиях пользователей:

• установка сертификата впервые;
• экспортирование данных на внешний носитель;
• попытка просмотра ключей в контейнерах ключей;
• загрузка информации на компьютер извне.

В целях устранения ошибки обычно бывает достаточно произвести корректную ручную переустановку сертификата.

Решение ошибки: отсутствие электронного сертификата в контейнере закрытого ключа

Для начала запускаем «КриптоПро» нажатием кнопки «Пуск». Затем выбираем «Настройку», в возникающем на мониторе окне заходим в опцию панели управления, далее «сервис – установить личный сертификат».

Далее, через кнопку «обзор» указываем путь, где сохранен открытый ключ – файл с расширением *.cert или *.crt

Жмём «Далее», в мастере установки сертификата мы увидим путь, который указывали до нашего сертификата.

Нам отображается информация, содержащаяся в открытом ключе на пользователя, жмём «далее»

В следующем окне можно воспользоваться двумя путями поиска нужного контейнера закрытого ключа:

• «найти контейнер автоматически
• вручную через «обзор»

В первом случае КриптоПро на основе данных из открытого ключа подберет закрытый, в случае с ручным поиском нужно будет знать название закрытого ключа, чтобы выбрать его для установки

Самый простой вариант выбрать автоматический поиск, затем после «обнаружения» необходимого контейнера, мы увидим заполненную строчку с его именем и после жмём «Далее»

Личный сертификат пользователя всегда устанавливается в хранилище «Личное», можно выбрать как вручную, так и КриптоПро может сделать это за вас по умолчанию, затем подтверждаем установку цепочки сертификатов и жмём «Далее»

>

В случае успешной установки КриптоПро выдаст окно с информацией об окончании процедуры и жмём «Готово»

Затем появится окно с подтверждением данной операции, жмём «ДА»

В следующем окне увидим информацию о том, что процесс окончен успешно. Сертификат установлен в контейнер закрытого ключа.

Особенности версий КриптоПро

С января 2019 года квалифицированные сертификаты могут выпускаться только по ГОСТ 2012, выпуск по другому ГОСТу прекращен. Мы об этом писали ранее в статье. Важно помнить, что версии криптопро на ГОСТ 2012 работают только с версии 4.0 и выше. Все старые версии КриптоПро, для нормальной работы, потребуется обновить или заменить на актуальную. Сделать это нужно не позднее 31 декабря 2019 года.