Инструкция по установке сертификата ЭЦП казначейство

Как установить корневой сертификат удостоверяющего центра

Для проверки подлинности электронной подписи на компьютере, где и используется ЭЦП, обязательно должен устанавливаться корневой сертификат удостоверяющего центра.

Это открытый ключ, по которому криптопровайдер понимает, какая именно организация выдала электронную подпись и к чьему реестру необходимо обращаться для проверки актуальности ЭЦП.

Более того, только при наличии установленного в системе корневого сертификата на компьютер можно скопировать персональную электронную подпись (в виде открытого ключа, сгенерированного с помощью USB‑токена). Где получить и как установить корневой сертификат удостоверяющего центра?

Где взять корневой сертификат

Корневой сертификат удостоверяющего центра выдается самой организацией, которая и зарегистрировала электронную подпись. Как правило, предоставляют сам файл на CD-накопителе или же предлагают его скачать на официальном сайте.

Если удостоверяющий центр не предоставил необходимый файл при выдаче ЭЦП – следует обращаться к нему за получением информационной помощи.

Также нередко корневые сертификаты можно скачать на официальном сайте УЦ (к примеру, кто получал ЭЦП в «Контур», то может скачать их по адресу https://ca.kontur.ru/about/certificates).

Необходимо обратить внимание, что срок действия корневых сертификатов также ограничен и составляет 12 месяцев с даты их регистрации (выдачей занимается Минкомсвязи, его наличие у УЦ подтверждает, что организация аккредитована). Соответственно, в начале нового календарного года необходимо проводить инсталляцию нового ключа удостоверяющего центра, чтобы продолжать нормально пользоваться электронной подписью.

Можно ли установить ЭЦП без корневого сертификата

Без корневого сертификата электронную подпись установить тоже получится, но такой ключ не будет признаваться в качестве действительного. Соответственно, подписать документ не получится (КриптоПро CSP будет выдавать ошибку, ссылаясь на невозможность проверить подлинность ЭЦП).

Это актуально и для онлайн-сервисов, где выполняется авторизация через ЭЦП. Все это работать не будет даже при считывании открытого ключа непосредственно из USB-накопителя через КриптоАРМ (без интеграции корневого ключа в систему). Операционная система точно так же будет выдавать ошибку, ссылаясь на невозможность проверить подлинность подписи.

Какая информация содержится в корневом сертификате

Что такое корневой сертификат удостоверяющего центра? Это файл, где сохранена сервисная информация об удостоверяющем центре с указанием даты его действия, сервисным интернет-адресом (через который можно связаться с реестром организации). Все эти данные предоставляются в шифрованном виде, которые использует КриптоПро CSP для проверки подлинности открытой персональной ЭЦП.

Основное назначение корневого ключа – это именно проверка подлинности открытого ключа ЭЦП. Открытую подпись гражданина в теории можно украсть, но воспользоваться ею без сертификата от удостоверяющего центра – не получится. То есть, вся эта схема сделана так, чтобы предотвратить факты использования чужой ЭЦП мошенниками или просто третьими лицами.

Как установить

Как установить корневой сертификат удостоверяющего центра?

Понадобится сам файл с расширением .crt. Если он распространяется в форме архива – сперва файл необходимо разархивировать (для этого подойдет приложение WinRAR или 7Z). Затем для установки корневого сертификата необходимо следовать шагам инструкции:

1. Необходимо правой кнопкой кликнуть на файл с расширением .crt;
2. Выбрать «Установить сертификат», после чего запустится «Мастер импорта»;
3. Нажать «Далее»,
4. Выбрать «Поместить все сертификаты в выбранной хранилище»;
5. Из диалогового окна выбрать «Доверенные корневые центры сертификации», нажать ОК (пункт «Показать только физические хранилища» не должен быть отмечен галкой);
6. Нажать «Далее», на предупреждение системы об установке ключа неизвестного назначения можно не обращать внимание и просто закрыть данное окно, затем – кликнуть на «Готово».

В том случае, если пользователь попытается провести установку корневого сертификата удостоверяющего центра, срок действия которого уже истек, то при попытке его импорта система выдаст ошибку.

После установки корневого ключа настоятельно рекомендуется перезагрузить компьютер. В противном случае – могут возникать ошибки при запуске КриптоПро CSP (довольно частая проблема при использовании Windows XP устаревших редакций, которые официально уже не поддерживаются разработчиком ПО).

Установка в Linux

В современных дистрибутивах Linux установка корневых сертификатов удостоверяющих центров выполняется ничуть не сложнее, нежели в среде Windows. Потребуется файл с расширением .crt, достаточно по нему дважды кликнуть мышкой и выбрать «Установить» (подтвердить выбор необходимо введением пароля пользователя).

При возникновении каких-либо проблем рекомендуется воспользоваться консольной утилитой certmgr. Установка из терминала ключей удостоверяющего центра выполняется по следующей команде: certmgr -inst -store root -file . После ввода данной команды также необходимо указать пароль Root (так как файл интегрируется в корневой раздел диска).

Возможные проблемы и пути их решения

Первое, на что стоит обратить внимание если не устанавливается корневой сертификат удостоверяющего центра – это на лицензию операционной системы. В пиратских версиях Windows функционал, отвечающий за установку и работу с сертификатами, довольно часто полностью обрезан или нарушена целостность хранилищ (из-за некоторых отключенных служб). Поэтому начать следует именно с установки лицензионной версии Windows.

Если при попытке установки корневого сертификата удостоверяющего центра возникает ошибка на недостаточность полномочий пользователя, то это означает, что в систему необходимо войти под логином администратора и выполнить установку в таком режиме. Если речь идет о компьютере, подключенного к локальной сети предприятия, то сертификат импортируется в хранилище сервера.

Windows не может проверить подлинность сертификата

Такая ошибка возникает при использовании устаревшей редакции Windows 7. Необходимо обновить ОС до редакции Service Pack 1 и выполнить импорт сертификата удостоверяющего центра ещё раз.

Также следует упомянуть, что разработчики КриптоПро CSP рекомендуют использовать 64-битные версии операционных систем. Это актуально для Windows 7 и выше. Windows XP последней редакции (Service Pack 3) никогда не выходила в 64-битной вариации, но там с установкой сертификатов никаких подобных проблем не возникает.

Данная ошибка также часто встречается в Windows Vista (кроме редакции Service Pack 2). Решение – обновить операционную систему или установить более актуальную версию. Все это относится не только к пользовательским версиям Windows, но и к серверным.

Ошибка импорта сертификата

Если Windows выдает ошибку при попытке выполнения импорта сертификата во внутреннее хранилище, то это может указывать на:

• использование несовместимого дистрибутива криптопровайдера (следует использовать КриптоПро CSP версии 3.5 или выше);
• копия открытого ключа уже установлена в систему (проверить список можно через КриптоПро CSP из панели управления Windows);
• ошибки в работе с реестром (рекомендуется выполнить восстановление системы или чистку реестра с помощью специального ПО, типа C&CLeaner);
• срок действия корневого сертификата удостоверяющего центра истек (необходимо импортировать действующий, а не отозванный);
• файл ключа поврежден (его целостность проверяется с помощью хеширования, на сайтах удостоверяющих центров может указываться хеш-сумма для проверки).

Если все вышеуказанные причины устранены, но ошибка все равно возникает, то следует выполнить переустановку операционной системы с очисткой всего хранилища ранее установленных пользователем сертификатов.

Обновление корневого сертификата удостоверяющего центра

При наступлении нового календарного года необходимо самостоятельно устанавливать обновленные ключи удостоверяющих центров на компьютеры, где используется ЭЦП (операционная система выдаст соответствующее напоминание при запуске).

Выполнить обновление можно двумя методами:

1. Вручную загрузить и установить необходимый ключ.
2. С помощью специального ПО, распространяемого удостоверяющими центрами (таковое есть, к примеру, в «Контур»).

Установка нового сертификата ничем не отличается от описанной выше. Удалять старый ключ удостоверяющего центра не обязательно – он все равно будет считаться системой как недействительный, использоваться он не будет.

Также некоторые удостоверяющие центры выпускают специальные программы для автоматической установки всех необходимых корневых сертификатов. Информацию на этот счет можно получить в самом УЦ или на их официальном сайте. Для установки обновленных ключей действующее интернет-подключение не нужно, актуальность файла будет автоматически проверена при первом подключении к сети. Такая проверка проводится всего один раз за весь срок действия корневого сертификата.

Итого, как установить корневой сертификат удостоверяющего центра для КриптоПро? Как и любой другой ключ, потребуется лишь указать в качестве хранилища «Доверенные корневые центры». В противном случае – ключ будет импортирован как персональный, для проверки электронной подписи он использоваться не будет.

Источник: https://Pro-ECP.ru/etsp/instruktsii/instruktsiya-po-ustanovke-kornevogo-sertifikata-udostoveryayushhego-tsentra-uts.html

Установка и настройка электронной подписи

  По мере вытеснения бумажного документооборота электронным все большее значение и все большее распространение получает такой инструмент как электронная подпись. Уже сейчас многие ведомства осуществляют обмен документами исключительно в электронном виде, при этом каждый юридически значимый документ подписывается электронной подписью.

Она используется при работе на электронных торговых площадках, при взаимодействии с государственными информационными системами (такими как ГИС ГМП, ГИС ЖКХ и прочие) и даже может быть использована для авторизации на государственных порталах (как например gosuslugi.ru).

Нет никаких сомнений в том, что в дальнейшем расширение сферы применения электронных подписей будет продолжаться, а потому специалистам в сфере информационных технологий крайне важно понимать принцип действия электронной подписи и уметь произвести необходимые мероприятия по установке и настройке программного обеспечения для работы с электронной подписью.

   Конечно, изучение данного вопроса стоило бы начать с федерального закона «Об электронной подписи» (http://www.consultant.ru/document/cons_doc_LAW_112701/), где даются определения понятий, правовой статус электронной подписи, порядок ее использования и прочая полезная информация.

Однако, цель данной статьи показать, как быстро, не вдаваясь в подробности, произвести установку электронной подписи, что в некоторых случаях, в случаях, когда времени на должное изучение нет, будет весьма полезно.

   Установку будем производить на компьютер под управлением операционной системы Windows 7 Professional, закрытый ключ электронной подписи на носителе eToken, а в качестве криптопровайдера будем использовать КриптоПро CSP.   Начнем с установки необходимого программного обеспечения:- КриптоПро CSP версии 3.6 или выше;- Драйвер носителя (при использовании eToken или Рутокен).

   Драйвер для eToken можно скачать бесплатно по следующей ссылке http://www.aladdin-rd.ru/support/downloads/etoken/, драйвер для Рутокен доступен для скачивания по ссылке http://www.rutoken.ru/support/download/drivers-for-windows/.

   В качестве носителя ключевой информации могут также использоваться и другие устройства, такие как флеш-накопитель, смарт-карта или реестр, однако использовать их не рекомендуется так как они не обеспечивают достаточный уровень защиты ключевой информации от несанкционированного доступа.

Установка сертификата ключа электронной подписи

   После того как драйвер eToken (Рутокен) и криптопровайдер КриптоПро CSP установлены, можем начинать установку сертификата ключа проверки электронной подписи.   Запускаем программу КриптоПро CSP, переходим на вкладку «Сервис» и жмем кнопку «Просмотреть сертификаты в контейнере».   В открывшемся окне нажимаем «Обзор», выбираем нужного владельца и жмем «Ок».   В следующем окне ничего не меняем, жмем «Далее».

   Откроется окно, в котором мы можем увидеть краткие сведения о сертификате пользователя (информацию о владельце, срок действия сертификата и его серийный номер).   Чтобы просмотреть подробные сведения нажимаем «Свойства». Если корневой сертификат удостоверяющего центра еще не установлен (как в нашем случае), то во вкладке общие мы увидим сообщение как на рисунке ниже.

   Появится так же сообщение от eToken PKI, с предложением записать сертификат на eToken. Отказываемся, нажимаем «Cansel».
   Сертификат установлен в хранилище сертификатов. Нажимаем «Готово» чтобы завершить установку.

Установка корневого сертификата удостоверяющего центра

   Файл корневого сертификата удостоверяющего центра (с расширением .cer) открываем двойным щелчком мыши и жмем кнопку «Установить сертификат».
   Откроется мастер импорта сертификатов. Жмем «Далее». Затем ставим галочку «Поместить сертификат в следующее хранилище».

   Через «Обзор» указываем папку «Доверенные корневые центры сертификации».    Жмем «Ок» и завершаем установку. Появится сообщение об успешном выполнении операции.   Теперь, открыв свойства сертификата пользователя, мы не увидим прежней ошибки.

   Нам остается только протестировать контейнер закрытого ключа.

Тестирование

   Открываем КриптоПро CSP, и во вкладке «Сервис» нажимаем «Протестировать».
   Находим ключевой контейнер через «Обзор» либо по соответствующему сертификату и жмем «Далее». Появится запрос на ввод pin-кода для контейнера. Вводим пароль и нажимаем «Ок».

Если поставить галочку «Запомнить pin-код», система не будет запрашивать его при всяком обращении к ключевому контейнеру (в том числе при подписании документа), что не рекомендуется в целях защиты от несанкционированного доступа.

   Далее откроется окно с  информацией о наличии или отсутствии ошибок.

Установка электронной подписи в реестр

   Возможна ситуация, когда закрытый ключ электронной подписи необходимо размножить, чтобы использовать на нескольких компьютерах. В таких случаях оптимальным решением будет произвести установку закрытого ключа электронной подписи в реестр.

Для созданного в реестре контейнера можно будет задать пароль и тем самым ограничить доступ к закрытому ключу электронной подписи, который хранится в контейнере. Съемный же носитель, после установки, можно будет передать другому пользователю.

Отмечу, что такая мера оправдана в тех случаях, когда, например, несколькими сотрудниками одной организации (ведомства) используется одна и та же подпись (к примеру, подпись органа власти). В остальных же случаях, прибегать к подобным мерам не рекомендуется.

Установка считывателя «Реестр»

   Первое что необходимо сделать – произвести установку считывателя. Это достаточно легко сделать с помощью мастера установки считывателей (добавление и удаление считывателей выполняется под учетной записью с правами администратора).

Если при установке КриптоПро CSP Вы ставили галочку «Зарегистрировать считыватель «Реестр», как на рисунке ниже, и он присутствует в списке считывателей, можно сразу переходить к копированию контейнера закрытого ключа в реестр.
   Запускаем КриптоПро CSP, во вкладке «Оборудование» нажимаем кнопку «Настроить считыватели».   В открывшемся окне жмем «Добавить».   Запустится мастер установки считывателя, жмем «Далее».

   Из перечня в окне с права выбираем «Реестр» и жмем «Далее».   Затем задаем имя считывателя, либо оставляем без изменения как в нашем примере и жмем «Далее».
   Завершаем работу мастера, нажимаем «Готово».

Копирование контейнера закрытого ключа в реестр

   Считыватель подготовлен, теперь нужно скопировать контейнер с ключевой информацией со съемного носителя eToken в реестр. Для этого выходим в главное меню КриптоПро CSP и во вкладке «Сервис» жмем кнопку «Скопировать». Через «Обзор» указываем контейнер, который хотим скопировать в реестр.
   Затем система запросит пароль для доступа к контейнеру на съемном носителе (eToken).

Вводим пароль, и в следующем окне задаем имя для ключевого контейнера, который будет создан в реестре.   В следующем окне программа предложит выбрать носитель, на который нужно записать контейнер. Выбираем «Реестр» и жмем «Ок».   Теперь необходимо задать пароль для контейнера, который мы поместили в реестр.   Вводим пароль, подтверждаем и жмем «Ок».

   Теперь, запустив функцию тестирования контейнера закрытого ключа, кроме контейнера на съемном носителе, мы увидим созданный контейнер на считывателе «Реестр».

   Завершаем процедуру тестирования контейнера. Если ошибок не обнаружено, переходим к установке сертификата ключа электронной подписи (если она не была произведена ранее).

Процедура установки сертификата с реестра аналогична процедуре установки со съемного носителя, причем, если сертификат данного владельца уже был установлен со съемного носителя, то повторная его установка после копирования контейнера в реестр не потребуется.

Источник: http://pk-help.com/workstation/installing-and-configuring-the-electronic-signature

Фзс росказна перевыпуск сертификата | инструкция

Информация обновлена: 12.06.2019

Эта статья описывает перевыпуск действующего сертификата в УЦ ФК. Если получаете сертификат в первый раз, то вам сюда.

Удаленный перевыпуск сертификата в удостоверяющем центре Федерального казначейства возможен, если:

• ваш сертификат действует и до окончания срока действия не менее 6 дней. А лучше еще больше, т.к. удостоверяющий центр Казначейства может выпускать сертификат дольше 6 дней, если проверка данных через СМЭВ не выполнится за 5 дней. Это бывает крайне редко, но вполне реально;
• сертификат руководителя вашей организации действует;
• документы предоставленные ранее в УЦ ФК — паспорт, согласие на обработку персональных данных, доверенность еще актуальны. В противном случае обновленные документы придется относить в УЦ.

Итак, сам перевыпуск сертификата через ФЗС будет состоять из следующих этапов:

Создание закрытого ключа и запроса, подпись запроса владельцем сертификата

Входим на портал ФЗС по электронной подписи. Не забываем что ЭЦП должна быть установлена с помощью КриптоПро, также должен быть установлен корневой сертификат головоного удостоверяющего цента.

На главной странице портала ФЗС https://fzs.roskazna.ru/ нажимаем «Войти по сертификату».

Выбираем сертификат который будем перевыпускать.

Как обычно КриптоПро просит пароль. Вводим пароль, нажимаем «ОК».

На вкладке «Получение сертификата» указываем Субъект РФ и орган ФК, где перевыпускаем сертификат. ОГРН организации определяется автоматически. Нажимаем «ДАЛЕЕ».

Выбираем какой именно сертификат (физического или юридического лица) будем перевыпускать. В нашем случае сертификат физического лица. Нажимаем «ВНЕСТИ СВЕДЕНИЯ».

Для клиентов казначейства не требуется полномочие «Landocs. Делопроизводство», т.к. оно используется только работниками казначейства.

В большинстве случаев используется класс защиты КС1.

После выбора полномочий и уточнения данных (если это необходимо) нажимаем «СОХРАНИТЬ И СФОРМИРОВАТЬ ЗАПРОС НА СЕРТИФИКАТ».

Подтверждаем доступ в интернет — нажимаем «Да».

Далее следует стандарное:

• выбор носителя для закрытого ключа: либо реестр, либо флешка, либо рутокен;
• генерация закрытого ключа посредством перемещения мыши или нажимания на клавиатуру;
• ввод нового пароля два раза.

Следующий шаг — внесение сведений о документах для получения сертификата.

На открывшейся странице можно отредактировать паспортные данные (в случае его смены), и прикрепить новую доверенность (если предыдущая уже неактуальна). Если все верно нажимаем «СОХРАНИТЬ».

Следующий шаг — формирование заявление на сертификат.

Заполняем в заявлении на получение сертификата название документа на основании которого обращаемся в УЦ, дата и регистрационный номер документа.

Вводим кодовое слово, должность владельца ЭП, И.О. Фамилия владельца ЭП, должность руководителя, И.О. Фамилия руководителя. Нажимаем «СОХРАНИТЬ И СФОРМИРОВАТЬ ПЕЧАТНУЮ ФОРМУ».

В следующем окне ставим галку напротив «Получать сведения об изменениях статуса запроса», вводим e-mail куда будут приходить извещения, сохраняем адрес и нажимаем «ПОДПИСАТЬ СВЕДЕНИЯ ЭП И ПОДПАТЬ ЗАПРОС».

Подписываем запрос ЭП.

Подтверждаем доступ.

Выбираем сертификат. Нажимаем «ПОДПИСАТЬ ЭП».

Копируем ссылку и отправляем ее руководителю на подписание запроса.

В результате мы видим такую форму.

Подпись запроса руководителем

Руководителю необходимо войти по сертификату в ФЗС, выбрать вкладу «Запросы на согласование», кликнуть на нужный запрос.

На следующей странице нажимаем на иконку «Согласовать».

На следующей странице внизу (пунтк 2) ставим галку напротив «Комплект на получение сертификата согласован» и нажимаем «СОГЛАСОВАТЬ И ПОДПИСАТЬ ЭП».

На следующей странице нажимаем «ПОДПИСАТЬ ЭП».

Далее подтверждаем доступ — выбираем «ДА».

Следующий шаг.

В итоге появляется такая страница.

Несмотря что пишут «личный визит в УЦ ФК не требуется», лучше позвонить в ваш УЦ и уточнить. Например, наш местный УЦ требует приносить новые формы согласий и доверенностей. Если поменяли паспорт, то визита в УЦ не избежать.

Получение сертификата

После получения письма счастья о готовности сертификата, можно заходить в личный кабинет ФЗС для его получения.

На вкладке «МОИ ЗАПРОСЫ» нажимаем «СКАЧАТЬ СЕРТИФИКАТ».

Далее ознакамливаемся с информацией, содержащейся в сертификате, подписываем сведения электронной подписью и скачиваем сертификат.

Инструкцию о том как установить полученный сертификат в КриптоПро смотрим тут.

Источник: https://ElektronnayaPodpis.info/fzs-roskazna-perevypusk-sertifikata-instrukcija/