Новости компании
22.10.2013
Светлана Зверева
Количество просмотров: 26902
Чтобы подписывать документы квалифицированной электронной подписью, вам необходим сертификат ключа проверки электронной подписи. Его вы покупаете в любомаккредитованном удостоверяющем центре (УЦ). Для безопасности ключи и сертификат записывают на специальный токен или смарт-карту. Теперь вы должны установить полученный цифровой сертификат с токена на свой компьютер. Как раз об этом наша сегодняшняя статья.
С помощью программы “КриптоАРМ” вы можете не только подписывать и шифровать файлы и документы, но и, прежде всего, удобно работать с вашими цифровыми сертификатами. Устанавливать сертификаты на компьютер, проверять разными способами статус сертификатов, просматривать и печатать подробную информацию о нем и многое другое.
Например, именно с помощью “КриптоАРМ” достаточно просто установить с токена сертификат в личное хранилище сертификатов на своём компьютере. Давайте разберёмся, как это сделать.
1. Установите программу “КриптоАРМ”, если вы этого еще не сделали.
2. Откройте программу “КриптоАРМ” и запустите специальный мастер подключения отчуждаемых носителей. Для этого в главном окне выберите пункт “Сертификаты и запросы на сертификаты” -> “Подключить отчуждаемый носитель”.
Теперь просто следуйте инструкциям программы. На первом шаге перечислен порядок и требования к подключению отчуждаемого носителя. Ознакомьтесь с ними. Вставьте в USB-порт токен и нажмите “Далее”.
3. Укажите из списка криптопровайдер, который вы планируете использовать для электронной подписи:
Работа с отчуждаемыми носителями через «КриптоАРМ» реализована только для криптопровайдеров «КриптоПро CSP» и «КриптоПро УЭК CSP». Вы можете работать с отчуждаемыми носителями, используя и другие криптопровайдеры, но только через средства самого криптопровайдера.
В качестве ключевого носителя укажите «Смарт-карта/USB-токен».
4. В списке контейнеров выберите сертификат, который необходимо установить.
Кстати на этом шаге вы можете просмотреть информацию о сертификате. Для этого выберите контейнер и нажмите на кнопку “Просмотреть сертификат в контейнере”.
Для завершения операции нажмите на кнопку “Готово”. При запросе программы введите пин-код.
5. Операция по установке сертификата завершена.
В окне с результатами выполнения операции вы можете просмотреть дополнительную информацию о статусе импорта сертификатов с отчуждаемого носителя в личное хранилище сертификатов (кнопка “Детали”).
- «успех» — сертификат успешно установлен;
- «успех, но есть замечания» — сертификат установлен, но с некоторыми замечаниями.Например, не получилось построить цепочку сертификатов, т.к. не установлен корневой сертификат УЦ: скачайте его с сайта вашего удостоверяющего центра и установите;
- «неудача» — сертификат не установлен. Причиной, например, может стать то, что в выбранном контейнере отсутствует сертификат;
Если в ходе операции возникли какие-либо замечания, вы можете исправить их прямо в этом окне, выбрав в журнале и нажав на кнопку “Исправить”.
Вот, в принципе, и всё. Вы установили цифровой сертификат с токена на компьютер. Теперь вы можете увидеть свой сертификат в личном хранилище сертификатов.
Где можно увидеть установленный с токена цифровой сертификат?
Чтобы увидеть установленный сертификат, в программе “КриптоАРМ” откройте режим “Эксперт”:
В разделе “Сертификаты” выберите “Личное хранилище сертификатов”. Именно здесь хранятся личные сертификаты, используемые вами и связанные с вашими закрытыми ключами.
Какие статусы цифрового сертификата возможны?
Возможны 3 статуса действительности сертификатов, выданных удостоверяющим центром: «действителен», «неизвестен», «недействителен». В программе «КриптоАРМ» они отображаются специальными значками:
- «зелёная галочка» — выполняются все условия действительности сертификата,
- «знак вопроса» — нет полного доверия к сертификату (отсутствует или просрочен список отозванных сертификатов (СОС). В этом случае рекомендуется обновить статус сертификата. Об этом мы опишем ниже.
Список отзыва сертификатов (СОС/CRL) – документ с электронной подписью уполномоченного лица удостоверяющего центра, включающий в себя список серийных номеров сертификатов, которые на определенный момент времени были отозваны или действие которых было временно приостановлено.
- «красный крестик» — сертификат недействителен.
Причины могут быть самые разные: срок действия сертификата истёк; в актуальном списке отозванных сертификатов (СОС) находится указанный сертификат; не строится цепочка сертификации; сертификат имеет некорректную электронную подпись; не удалось получить СОС из удостоверяющего центра (если выполняется обязательная проверка по СОС, полученному из УЦ)
Как обновить статус цифрового сертификата?
Чтобы обновить статус сертификата, в контекстном меню объекта или на панели инструментов, выберите пункт «Проверить статус»:
- по локальному списку отзыва сертификатов (списку, установленному в хранилище «Списки отзыва сертификатов»);
- по списку отзыва из Удостоверяющего центра (в онлайн-режиме);
- с использованием Revocation Provider;
- проверить в OCSP службе.
Если нет особых указаний по обновлению статуса сертификата, рекомендуем проверять по списку отзыва, полученному из УЦ (в программе значится, как «По CRL, полученному из УЦ»)
Статус сертификата будет обновлен:
Как настроить автоматическую проверку статуса сертификата?
Чтобы каждый раз не проверять вручную статус сертификата, вы можете настроить в программе “КриптоАРМ” автоматическую загрузку списка отозванных сертификатов. Чтобы это сделать:
1) Откройте “КриптоАРМ” -> Вид “Эксперт” -> раздел “Настройки”. В правом окне создайте новую настройку или измените уже имеющуюся.
В окне “Параметры настройки” выберите закладку “Верификация сертификатов”. Добавьте нужный УЦ выбором из имеющихся или все УЦ.
2) В настройках браузера Internet Explorer НЕ должна быть включена автоматическая настройка прокси-сервера. Проверьте настройки вашего браузера. Для этого запустите “Internet Explorer” -> меню “Сервис” -> пункт “Свойства обозревателя” -> закладка “Подключения” -> кнопка “Настройка сети” -> должны быть сброшены флажки “Автоматическое определение параметров” и “Использовать скрипт автоматической настройки”.
Источник: https://cryptoarm.ru/kak-ustanovit-cifrovoi-sertifikat-s-tokena-na-komputer
Работа с отозванными сертификатами в системе DIRECTUM
Список отзывов сертификатов (Certificate revocation list) — представляет собой файл указывающий на список сертификатов с указанием серийного номера сертификата, даты отзыва, причина отзыва. В целом списки отзыва сертификатов (CRL) используются для передачи сведений об отзыве сертификатов пользователям, компьютерам и приложениям, пытающимся проверить подлинность сертификата.
При каких ситуациях ваш сертификат может попасть в указанный список:
1. При выдаче сертификата УЦ ошибся в части реквизитов, поэтому был выдан новый сертификат.
2. Сертификатом завладело третье лицо, кто мог бы подписывать за вас (т.н. компрометация ключа).
3. Сертификат был отозван по заявлению владельца сертификата.
4. Сменилось уполномоченное лицо, владеющее сертификатом;
Формируется указанный список центром сертификации и публикуется в любое доступное место для пользователей, чтобы пользователь в свою очередь мог его установить.
После проведенной установки CRL файла ПО использующее функции подписания и шифрования будет проверять находится ли ваш сертификат в указанном списке. В случае если ваш сертификат находится в списке, то подписывать и шифровать файлы и документы данным сертификатом вы уже не сможете.
Что это нам дает? Прежде всего вы всегда можете быть уверены, что сертификат, с которым вы сейчас работаете, является действующим и легитимность выполняемых действий будет подтверждена. Соответственно все законно и мы можем работать в дальнейшем спокойно.
Предположим, что кому-то (или чему-то) сертификат больше не нужен (человек уволился, скомпрометирован секретный ключ и т.п.). Срок действия сертификата ещё не кончился, но нужно, чтобы он не работал. Для этого администратор CA обновляет список отозванных сертификатов и размещает его в доступном для всех месте.
Петя уволился (сам или нет..)1. На место Пети посадили Колю, который получил полный доступ к всей информации Пети. При этом ещё не все знают, что Пети нет.2. Маша (которая ещё не знает, что случилось) шлёт Пете файл (что-то личное?!), зашифровав его Петиним открытым ключом.
3. Коля имеет доступ к секретному ключу Пети и может прочитать информацию от Маши. Так же не забываем, что он может ставить ЭЦП от имени Пети.
Если бы Маша проверила Петин сертификат по CRL, то она бы узнала, что сертификатом Пети шифровать уже нельзя. Да и другие люди должны знать, что Петя ничего больше подписывать не должен. Т.е. все должны регулярно обновлять CRL (если это не делается автоматически или ПО само не производит on-line проверку сертификата).
Таким нехитрым образом происходит работа CRL. Более глубже вдаваться в теорию работы со списками отзывов сертификатов нет смысла, поэтому перейдем к практике.
Итак, что же нам прежде всего необходимо сделать, чтобы мы могли полноценно использовать CRL в практических целях организации? Во-первых, если ЦС не развернут в вашей организации, то желательно запрашивать раз в неделю (т.к.
CRL во внешних организациях, зачастую формируются именно раз в неделю), и проводить его установку на локальные машины в профиль пользователя. Если же в вашей организации развернут ЦС, то формирование crl и его применение в дальнейшем лежит на ваших плечах.
Подробнее опишем ситуацию ниже.
Ситуация: ЦС был выдан сертификат. В DIRECTUM указанным сертификатом даже было подписано задание, задачи, документы. Выданным сертификатом завладело третье лицо, нам необходимо обеспечить, чтобы в рамках системы DIRECTUM, указанный сертификат уже не мог использоваться.
В дальнейшем будем иметь дело со следующим сертификатом:
А вот и подписанное задание данным сертификатом.
Отзыв сертификата
Итак опишу действия необходимые для отзыва сертификата.
1. Заходим в консоль ЦС. Открываем раздел «Выданные сертификаты».
2. Вызываем контекстное меню на необходимом нам сертификате, выбираем пункт «Все задачи» -> «Отзыв сертификата».
3. Проверяем, что сертификат отозван. На рисунке будет также видно, что серийный номер совпадает с тем, что был изначально указан в задаче.
На этом операции по отзыву сертификата окончены. Сейчас переходим к следующему пункту
Формирование CRL
CRL формируется также на самом ЦС довольно нехитрыми действиями.
1. Зайдите в консоль ЦС. Выбираем раздел «Отозванные сертификаты. Вызовем контекстное меню и выберем пункт «Все задачи» -> «Публикация».
Выберите тип публикуемого CRL: полный или разностный. Основное отличие это формирование полного списка или за выбранный при настройке период публикации. Если в вашей организации выдачей сертификатов не занимаются каждый день, и список формируемых сертификатов не велик, то лучше выбрать тип «Полный». После выполнения указанных действий, получаем список отозванных сертификатов.
Также сформировать список CRL можно и при помощи командной строки вызвав команду certutil -crl.
2. После публикации указанного списка, необходимо его сформировать в файл. Для этого зайдите в веб-форму ЦС. Выберите действие «Загрузка сертификата ЦС, цепочки сертификатов или CRL» -> «Загрузка сертификата ЦС, цепочки сертификатов или CRL». Сохраните указанный файл на компьютере.
После проделанных операций мы получаем список отзывов сертификата. Выглядит он следующим образом:
Замечаем, что в указанном списке уже есть наш сертификат, который мы отозвали. Операция формирования CRL завершена, перейдем к следующему пункту
Установка CRL
Установка CRL проводится на каждом локальном профиле. При этом устанавливается указанный список, как обычный сертификат:
Далее знакомый интерфейс по установке сертификатов предложит нам установить сертификат. Особенностей в этом случае нет: выбираем «Автоматический выбор хранилища». После установки списка отзывов, можно проверять работает ли он, и можем ли мы подписать, что-либо после указанных операций.
Проверка работоспособности CRL
Итак, наступает ответственный момент, в котором нам необходимо проверить работает ли список отозванных сертификатов в нашем случае. Для этого после установки CRL зайдите в систему DIRECTUM и попытайтесь подписать какой-либо объект системы отозванным сертификатом. Если все действия были проделаны верно, то мы получим сообщение следующего вида:
А теперь проверим данные в компоненте «Пользователи», действительно ли ИД сертификата в сообщении равен тому, что указан в карточке пользователя:
Как видно из скриншота, информация совпадает, выполнять подписание указанным сертификатом мы больше не можем. Главное предназначение списка отзыва сертификатов выполняется.
Дополнительную информацию о процедуре формирования CRL, а также необходимых команд, вы можете найти на следующем ресурсе:
1. http://technet.microsoft.com/ru-ru/library/cc739815(v=ws.10).aspx
Источник: https://club.directum.ru/post/512