И другие), что ключ доступа к порталу госуслуг нельзя использовать, кроме как для осуществления этого самого доступа. Сегодня мы развенчаем этот миф и начнём использовать его по прямому назначению - для осуществления электронной подписи.

Предварительно хочу извиниться перед всеми юниксоидами - будем работать во враждебной среде. Есть возможность работать в линуксах, однако задача становится не столь тривиальной и выходит за рамки данной статьи.

Итак, перед нами Microsoft Windows 7 HB. В стоковой комплектации он, во-первых, ничего не знает про алгоритмы российской криптографии, а во-вторых, про то, как работать с ростелекомовским eToken. Именно этот функционал обеспечивается браузерным плагином портала госуслуг. Но поскольку это вещь-в-себе, нам придётся использовать общедоступные методы.

Когда вы вставляете eToken в USB-порт, Windows пытается отыскать драйвер для неизвестного устройства. Он его не находит и ругается. Чтобы этого не происходило, можно установить драйвера от производителя: http://www.aladdin-rd.ru/support/downloads/26037/ . Делать это не обязательно. Почему, будет написано ниже.

Работа с сертификатом подписи будет вестись через Microsoft Crypto API, то есть для этого необходимо установить сертификат с eToken в хранилище Windows. Это может сделать практически любой криптопровайдер отечественной криптографии. Поскольку мы не желаем тратить деньги (чуть не написал «лишние»), то установим бесплатный криптопровайдер ViPNet CSP от компании «Инфотекc»: http://infotecs.ru/downloads/product_full.php?id_product=2096 (если коллеги знают другой бесплатный - комментируйте). Единственное неудобство состоит в необходимости зарегистрировать ваш экземпляр - формальное выполнение требования российского законодательства о поэкземплярном учёте криптографических средств.

Криптопровайдер ViPNet CSP умеет самостоятельно обращаться к Aladdin eToken ГОСТ, поэтому установка драйверов для eToken не требуется. Просто Windows будет каждый раз при подключении eToken ругаться на неизвестное устройство.

Предположим, CSP успешно установлен. После запуска получаем следующее окно:

Подключаем eToken, кликаем на «Устройства» (eToken начнёт мигать с десяток секунд, ждите – ничего не зависло), в поле «Подключенные устройства» кликаем на eToken GOST. В поле «Контейнеры ключей на устройстве» наблюдаем ваш сертификат (в моём случае 31 – это некий серийный номер):

Выбираем сертификат, нажимаем «Просмотреть» и попадаем в следующее окно:

Наблюдаем предупреждение о невозможности проверить сертификат. Произошло это потому, что Windows не знает сертификат издателя вашего сертификата. Нажимаем «Состав», выбираем поле «Доступ к информации о центрах сертификации» и смотрим:

Доступ к сведениям центра сертификации
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)
Дополнительное имя:
URL=

То есть ваш сертификат выпущен удостоверяющим центром с сертификатом http://certenroll.ca.rt.ru/vuc_ca_rtk.crt . Зайдём по адресу http://certenroll.ca.rt.ru/:

http://certenroll.ca.rt.ru/root_ca_rtk.crt - корневой сертификат Ростелекома, которым подписан корневой сертификат удостоверяющего центра http://certenroll.ca.rt.ru/vuc_ca_rtk.crt . У каждого из этих двух корневых сертификатов есть свои списки отзыва: http://certenroll.ca.rt.ru/root_ca_rtk.crl и http://certenroll.ca.rt.ru/vuc_ca_rtk.crl . Скачиваем все 4 файла. Открываем Проводник и устанавливаем 2 сертификата + 2 списка отзыва к ним: сертификаты кликаем дважды и выбираем «Установить сертификат…», выбираем хранилище автоматически, либо «Доверенные корневые центры сертификации»; списки отзыва устанавливаем по клику правой кнопкой с выбором «Установить список отзыва (CRL)», выбираем хранилище автоматически.
Теперь ваш сертификат будет выглядеть корректно:

Все сертификаты можно посмотреть в Менеджере сертификатов, выполнив в коммандной строке certmgr.

Необходимо убедиться, что установленные сертификаты не являются поддельными. Им можно сверить с реестром подсистемы удостоверяющих центров Министерства связи по ссылке http://reestr-pki.ru/reestr_uc.html . В поиске вводим "Ростелеком" и смотрим сертификаты УЦ проекта "Электронное правительство" ОАО "Ростелеком". Сертификат по ссылке http://reestr-pki.ru/cert.php?id=710 соответствует сертификату УЛ УЦ ЭП РТК в хранилище сертификатов, а сертификат http://reestr-pki.ru/cert.php?id=711 - серификату УЦ ЭП РТК.

Теперь необходимо настроить прикладное ПО на примере Microsoft Outlook 2010 (также можно использовать подпись в любой программе, которая использует Microsoft Crypto API, например, The Bat! или Microsoft Word).
Ваш сертификат выпущен на почтовый ящик, указанный при регистрации на портале Госуслуг. Смотрите в деталях сертификата в поле «Субъект» позицию «E=мыло@домен.tld». Outlook не даст подписывать письма при несовпадении имени ящика с именем ящика в сертификате.
После настройки почтового ящика в Outlook подключаем eToken и идём в Файл – Параметры – Центр управления безопасностью – Параметры центра управления безопасностью – Защита электронной почты – Параметры… Задаём имя конфигурации и выбираем сертификат подписи и сертификат шифрования. Поиск учётных данных происходит с десяток секунд, в процессе мигает лампочка на eToken. После подобных экспериментов у меня сертификатов много, выбираю сертификат УЦ ЭП РТК:

ОК. Составляем письмо, выбираем вкладку «Параметры» и жмём «Подписать»:

«Отправить», вводим ПИН-код от eToken. Во входящих письмах наблюдаем письмо с электронной подписью (обведено красным):

Правый значок кликабельный, можно посмотреть разнообразную информацию о подписи.
Для того, чтобы ваш адресат сумел проверить подпись, у него также должен быть установлен криптопровайдер отечественной криптографии и 2 сертификата со списками отзыва, которые мы устанавливали ранее. Прошу заметить, что список отзыва удостоверяющего центра обновляется ежедневно.
Похожим образом подписываются документы Microsoft Office.

В ближайшем будущем будет готова статья, как использовать Ростелекомовский и не только eToken по своему усмотрению, а не только так, как хочется Microsoft Crypto API.

__________________________________

5 мая 2012 г., Лабазников Н.В., Начальник отдела сетевых технологий и информационной безопасности ООО"УЦИ"

Все права на статью принадлежат ООО "УЦИ". Разрешается копирование статьи без уведомления правообладателя. При копировании необходимо указывать ссылку на источник.

ЭЦП расшифровывается как электронно-цифровая подпись. Хоть данная технология подтверждения документов была изобретена и введена в России давно, широкого распространения среди населения она не получила по сей день. Получение ЭЦП упростит оформление документов и получение различных услуг в том случае, если вы подаете заявления через интернет. Для таких людей ЭЦП станет практически незаменимой альтернативой. Также данная подпись используется при пересылке документов через интернет. Прежде чем посчитать документ подлинным, необходимо выполнить проверку ЭЦП. В данной статье вы узнаете, как осуществляется проверка ЭЦП на Госуслуги, что понадобится для этой процедуры и многое другое.

Для чего подтверждать ЭЦП?

Использовать электронный документ в настоящее время может абсолютно любой гражданин РФ в своих целях, которые не противоречат закону. Проверка документа с использование электронной подписи необходимо по нескольким причинам:

• определяет достоверность документа;
• идентифицирует личность владельца подписи;
• вы сможете удостовериться в том, что документ не был отправлен случайно;
• после подтверждения ЭЦП вы сможете использовать данные в случае отказа человека, подписавшего документ.

Без специального сервиса проверка ЭЦП невозможно. У вас не получится самостоятельно расшифровать код. Стоит упомянуть, что сама электронная подпись может быть в виде картинки, цифрового ключа или вовсе не иметь визуального отображения.

Технический процесс проверки достаточно сложен и невозможен без вычислительной машины. Оно и понятно – уровень надежности и защищенности таких документов должен быть крайне высок. В подробности технической стороны процесса расшифровки и подтверждения вдаваться не будем, а рассмотрим процедуру с пользовательской точки зрения.

Способы подтверждения ЭЦП

Далее мы рассмотрим самый простой и доступный способ – это проверка ЭЦП на Госуслуги. Однако, если вы по каким-либо причинам не можете воспользоваться сайтом, то используйте один из методов, приведенных ниже:

• специальные программы. Найти подобные можно по соответствующему запросу в интернете;
• программа Microsoft Word;
• сторонние неофициальные сервисы в интернете.

В том случае, если ничего не препятствует вашей работе с единым порталом Госуслуги, перейдем непосредственно к описанию процесса.

Пошаговая инструкция

Проверка ЭЦП на Госуслуги осуществляется довольно быстро. Стоит отметить, что для данной процедуры вам не потребуется регистрация, подтверждение учетной записи и все другие этапы, которые отнимают много времени.

Дальнейшая пошаговая инструкция будет сопровождаться скриншотами, поэтому вы не сможете запутаться или открыть не ту страницу. Для осуществления процесса проверки вам необходимо наличие следующих элементов:

• компьютер с доступом в интернет;
• браузер для входа на сайт;
• носитель ЭЦП или соответствующий файл.

Проверка ЭЦП Госуслуги осуществляется следующим образом:

Возможности портала по подтверждению электронной подписи

На фото вы видите пункты, по которым возможна проверка подлинности документа с ЭЦП. Давайте разберем каждый из них отдельно:

• подтверждение сертификата – с помощью этой возможности вы можете получить информацию о владельце подписи, сроке ее действия и органе, который выдал данный документ;
• подтверждение электронного документа позволяет проверить подлинность файла с использованием электронной подписи;
• подтверждение отсоединенной подписи с помощью официальных утилит портала Госуслуги.

Проверка сертификата

Для проведения процедуры проверки сертификата выполните следующие действия:

После этого будет выполнена проверка ЭЦП на Госуслуги, и вы получите всю необходимую информацию.

Проверка электронного документа с ЭП

Чтобы проверить документ с ЭП (электронной подписью), следуйте представленному руководству:

Проверка документа и отсоединенной подписи

Отсоединенная ЭЦП представляет собой отдельный файл, который прилагается к основному документу. Если в предыдущих случаях подпись была наложена на сам документ, то сейчас вам придется воспользоваться одним из следующих способов: автоматическая проверка на сайте или подтверждение по значению хэш-функции. Рассмотрим оба варианта.

Чтобы проверить автоматически, нажмите на кнопку, отмеченную на фото:
Далее загрузите отдельно файл с документом и файл с подписью:
Снова введите капчу в соответствующее поле и нажмите кнопку «Проверить».

Три необходимых шага для работы с ЭЦП в УЭК на сайте госуслуг (gosuslugi.ru) March 16th, 2013

Оригинал взят у mr_simm в Три необходимых шага для работы с ЭЦП в УЭК на сайте госуслуг (gosuslugi.ru)

3. Работа с сайтом госуслуг - «Установка плагина для работы с порталом государственных услуг » (устанавливать плагин ростелекома следует без запущенных браузеров). Согласно инструкции так же добавляем адрес https://esia.gosuslugi.ru в «список надёжных узлов для Internet Explorer» (как?) .

При регистрации на портале госуслуг с помощью ЭЦП выбираем пункт «Подтвердить личность с помощью электронной подписи», затем «Средство электронной подписи с программным криптопровайдером», нажимаем «Далее», выбираем сертификат для регистрации по ЭЦП, после нажатия на «ОК» и длительного ожидания в поле «Пароль» вводим 6-значный «ИД.ПИН2» от УЭК.
При входе на портал госуслуг с помощью ЭЦП (может понадобиться, если забыли пароль) выбираем авторизацию «Через криптопровайдер», нажимаем «Войти», выбираем сертификат для авторизации по ЭЦП, после нажатия «ОК» и длительного ожидания в поле «Пароль» вводим 6-значный «ИД.ПИН2» от УЭК.
Если трижды ошибётесь с вводом пароля… придётся идти ножками разблокировать ЭЦП туда, где получали , для разблокировки потребуется 8-значный «ИД.КРП» от УЭК.
Для полноты добавлю, что «ИД.ПИН1» от УЭК служит для идентификации владельца (может запрашиваться, например, в регистратуре больницы), а «БанкПИН» является паролем банковского приложения карты (запрашивается в терминалах, на кассах).

Ну и напоследок - ЧаВо (Ча стые Во просы) от разработчиков:
В процессе установки Крипто Про ЭЦП Browser piug-in позникает ошибка 1603 - установите обязательные пакеты обновлений .
Не устанавливается КриптоПро ЭЦП Browser plug-in - в случае, если предыдущий совет не подошёл - попробуйте отправить багрепорт разработчикам.
Список поддерживаемых ридеров для работы с УЭК (ещё один) - сложилось впечатление, что содержит список «Илитных» моделей, чтобы отпугнуть пользователей:)

PS: зачеркнул (вот так) то, без чего лично я вполне обошёлся.

Одному из сотрудников нашей компании понадобилось зарегистрироваться на портале Госуслуг. Как известно, на портале сейчас есть возможность входить в личный кабинет по логину/паролю, либо по электронной подписи. Вариант с логином/паролем был отброшен в силу профессиональной паранойи, и поехал сотрудник в УЦ Ростелекома - оператора системы - получать сертификат. В УЦ ему в качестве носителя электронной подписи/аппаратного СКЗИ не предложили Рутокен ЭЦП. В силу корпоративного патриотизма сотрудник решил не форсировать события, а попробовать-таки зайти на Госуслуги, используя для электронной подписи Рутокен ЭЦП.
Что из этого получилось, описано под катом.

• На портале Госуслуг для проведения ЭП используется специальный браузерный плагин, который достаточно универсален. В качестве средств ЭП он умеет “подцеплять” как аппаратные СКЗИ, так и программные криптопровайдеры.
  Рутокен ЭЦП в этом плагине поддерживается.
• Поддерживается Рутокен ЭЦП через нашу библиотеку, реализующую стандарт PKCS#11.
• Процедура входа в личной кабинет на портале Госуслуг по ЭП представляет собой подпись случайных данных, отправляемых сервером. Подпись формируется в формате PKCS#7. Для аутентификации пользователя сервер использует информацию из сертификата X.509, а успешная проверка подписи подтверждает наличие у пользователя закрытого ключа, соответствующего сертификату.
• Для того чтобы сервер принял пользовательский сертификат, тот должен быть усиленным квалифицированным.

Задача разбилась на подзадачи:

• Сгенерировать ключ на Рутокен ЭЦП в формате, совместимом с форматом плагина Госуслуг, то есть через библиотеку PKCS#11
• Узнать, какие аккредитованные УЦ выдают квалифицированные сертификаты для физлиц
• Договориться с одним из этих УЦ, что он выдаст сертификат на основе запроса, сделанного удаленно.
• Сформировать правильный запрос на квалифицированный сертификат.
• Транспортировать запрос в УЦ.
• Получить сертификат и записать его на Рутокен ЭЦП в формате, совместимом с форматом плагина Госуслуг, то есть через библиотеку PKCS#11.

С УЦ мы договорились довольно быстро. Один из основных наших партнеров, УЦ СКБ Контур, аккредитован в системе Госуслуг и согласился выдать нам сертификат по описанной схеме.
Для решения технических вопросов мы решили использовать Рутокен Плагин , который также работает через библиотеку PKCS#11 и совместим с плагином Госуслуг.

Центр регистрации

Для генерации ключа, создания запроса и записи сертификата мы сделали набор web-страниц, который условно назвали Центр регистрации. Этот Центр регистрации не требует серверной части, все операции осуществляются на клиенте. Для работы Центра регистрации требуется установка Рутокен Плагин.

Центр регистрации позволяет:

• Просматривать ключевые пары и сертификаты на подключенных устройствах Рутокен ЭЦП (под просмотром ключевых пар понимается просмотр информации о них)
• Генерировать новую ключевую пару
• Формировать запрос в формате PKCS#10 для выбранной ключевой пары
• Формировать запросы по шаблону
• Импортировать сертификат на устройство
• Удалять сертификат с устройства

Генерация ключа и формирование запроса на сертификат

Ниже приведена инструкция по генерации ключа и формированию запроса на сертификат c помощью Центра регистрации:

1. Запустить Центр регистрации:

2. Подключить Рутокен ЭЦП к компьютеру, выбрать токен, ввести PIN-код:

После выбора токена отобразится меню:

3. Нажать кнопку “Создать ключ”:

Затем нажать «Создать запрос на этом ключе»

4. На странице создания запроса выбрать шаблон “СКБ Контур, для физлиц”, заполнить поля запроса, нажать кнопку “Создать запрос” (все поля должны быть заполнены, в данном случае реализован тестовый пример):

5. Скопировать запрос для отправки его в УЦ:

6. Сгенерированный ключ появился в списке:

После отправки запроса сотруднику пришло уведомление о необходимости явиться в офис УЦ для подтверждения личности.
После прохождения проверки наш сотрудник получил сертификат.

Импорт сертификата

1. Выбрать в списке токен, нажать кнопку “Импортировать сертификат”, полученный сертификат вставить в форму ввода, нажать кнопку “Импортировать”:

2. При импорте выбрать тип сертификата “Пользовательский”:

3. После этого появится окно с отображением сертификата и сообщением об успешном импорте на Рутокен ЭЦП (на картинке приведен пример импорта тестового сертификата, полученного в тестовом УЦ):

4. Сертификат отобразится в списке:

Вход на портал Госуслуг

Сотрудник установил плагин Госуслуг, и ему удалось войти на портал по ЭП.

Выбираем “По электронной подписи”:

Выбираем сертификат:

Вводим PIN-код:

Попадаем в личный кабинет:

Вместо заключения

Концепция аппаратных СКЗИ, выполненных в различных форм-факторах, может быть востребована в массовых проектах, ориентированных на физлиц. В первую очередь за счет упрощения использования криптографии. Плагины, осуществляющие интеграцию браузера и аппаратных криптографических решений должны развиваться в сторону увеличения легкости установки и расширения возможностей. Тогда эти решения будут чаще и больше использовать.

Для того, чтоб была возможность выдачи квалифицированных сертификатов на Рутокен ЭЦП, которые можно было бы использовать с плагином Госуслуг или с Рутокен Плагин, сделана локальная версия Центра регистрации, ее можно использовать непосредственно в точках выдачи сертификатов.

Для корректной работы перед установкой актуальной версии плагина (доступной по ссылке)рекомендуется вручную удалить предыдущие версии плагина через Панель управления, предварительно закрыв все окна бразуера(ов) на компьютере.

Внимание! Перед установкой плагина рекомендуется вручную очистить папку C:\Users\%USERPROFILE%\AppData\Roaming\Rostelecom\IFCPlugin . Для этого скопируйте путь к папке в адресную строку проводника и удалите ее содержимое.

2. Mozilla Firefox

Для того, чтобы настроить браузер Mozilla Firefox для работы с электронной подписью на портале Госуслуг, необходимо выполнить следующие действия:

• Установить плагин Госуслуг.
• Открыть браузер Mozilla Firefox:

Внимание! Плагин поддерживается в Mozilla Firefox версии 50.0 и выше.

• Разрешить установку расширения / включить расширение IFCPlugin Extension.

При первом запуске:

• В настройках. Открыть раздел «Дополнения» с помощью значка меню в правом верхнем окне браузера – «Дополнения»:

• Перейти к разделу «Расширения»:

• Убедиться, что расширение IFCPlugin Extension включено (отображается статус «Отключить»):

3. Google Chrome

Для того, чтобы настроить браузер Google Chrome для работы с электронной подписью на портале Госуслуг, необходимо выполнить следующие действия:

• Открыть браузер Google Chrome:

Внимание! Плагин поддерживается в Google Chrome версии 29.0 и выше.

• Включить расширение «Расширение для плагина Госуслуг».
• При первом запуске браузера после установки расширения. Нажать «Включить расширение»:

• В настройках. Открыть раздел «Настройки» с помощью значка меню в правом верхнем окне браузера, выбрать «Дополнительные инструменты», затем «Расширения»:

• Установить флажок «Включено» для расширения «Расширение для плагина Госуслуг»:

Внимание! Если расширение не отображается в списке установленных расширений в браузере, необходимо установить его из «Интернет-магазина расширений Chrome» вручную. Для этого скопируйте ссылку:

https://chrome.google.com/webstore/detail/ifcplugin — extension/pbefkdcndngodfeigfdgiodgnmbgcfha?hl=ru&authuser=1 в адресную строку браузера и нажмите «Установить»: