Hdimage где находится в windows 10
Для удобства использования утилит КриптоПро создадим на них символьные ссылки, для этого выполните:
Просмотр версии КриптоПро:
Для установки лицензии выполните (с правами root):
При использовании токенов сервис pcscd должен быть запущен. Проверка статуса pcscd:
если он выключен, то включите его:
Узнать модель подключенного токена:
Работа с криптоконтейнерами
1. Проверить наличие доступных контейнеров:
Имена контейнеров используются для установки личных сертификатов.
- Считыватель HDIMAGE размещается в /var/opt/cprocsp/keys/<имя пользователя>/ т.е в данном случае используется жесткий диск для хранения ключей.
- Считыватель FLASH означает, что используется флешка для хранения приватных ключей.
- Также считывателем может выступать токен.
2. Имена контейнеров могут содержать символы на кириллице, поэтому чтобы корректно отобразить контейнеры используйте следующую команду:
Для дальнейшего использования имен контейнеров содержащих кодировку cp1251, выведем список контейнеров с уникальными именами:
3. Просмотр подробной информации о контейнере:
4. Перечисление контейнеров пользователя:
5. Перечисление контейнеров компьютера:
6. Открыть(проверить) контейнер пользователя:
7. Открыть(проверить) контейнер компьютера:
Установка личных сертификатов
Установку личных сертификатов необходимо производить в консоли обычного пользователя (не root).
1. Установка сертификата без привязки к ключам:
2. Установка личного сертификата cert_bob.cer, сертификат при этом попадает в пользовательское хранилище uMy. Приватный ключ находится на флешке.
3. Установка сертификата с токена (в конце команды указывается контейнер)
если сертификат не привязан к контейнеру на токене, то при установке укажите путь до него через параметр -file:
Установка корневых сертификатов
При установке корневых сертификатов достаточно указать хранилище uRoot. При указании mRoot (при наличии прав администратора) корневой сертификат будет доступен всем пользователям системы.
1. Установка в хранилище КриптоПро:
2. Установка в хранилище ПК:
3. Установка списка отозванных сертификатов crl:
1. Просмотр установленных сертификатов:
2. Просмотр установленных сертификатов в локальном хранилище uMy:
3. Просмотр сертификатов в хранилище ПК (обычно сюда устанавливаются корневых сертификаты):
4. Просмотр сертификатов в контейнере:
5. Просмотр промежуточных сертификатов:
1. Удалить сертификат из личного хранилища сертификатов
Просмотрите установленные сертификаты:
Изучите список всех установленных сертификатов (в общем списке отображаются абсолютно все сертификаты).
Для удаления следует выполнить команду в Терминале:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
2. Удалить сертификаты, установленные в хранилище КриптоПро:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
3. Удалить все сертификаты, установленные в хранилище КриптоПро:
4. Удалить все сертификаты, установленные в хранилище ПК:
Перенос контейнера с flash носителя в локальное хранилище ПК
1. Активируем хранилище HDIMAGE:
2. Посмотрим, какие контейнеры доступны на флешке:
3. Посмотрим доступные контейнеры:
Как видим, появился новый контейнер \\.\HDIMAGE\bob
Теперь flash носитель можно отключить, он нам больше не понадобится.
5. Установим пользовательский сертификат с привязкой к закрытому контейнеру \\.\HDIMAGE\bob
Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.
Загрузить последнюю версию Крипто-Про с официального сайта
Открыть Пуск->Утилиты->Менеджер файлов mc
перейти в каталог куда загрузили архив
Распакуем архив
$ tar -xf linux-amd64_deb.tgz
Перейдем в каталог
$ cd linux-amd64_deb
получим то что на картинке ниже
Жмем клавишу Enter
Выбираем все пункты нажимая на клавишу "Пробел" переход осуществляется клавишами вниз/вверх
Жмем клавишу Enter
Жмем клавишу Enter
Жмем клавишу Enter
Жмем клавишу Enter
Вводим свой серийный номер. Регистр нужно строго соблюдать.
Жмем клавишу Enter
Жмем выбираем Exit клавишами Tab, жмем клавишу Enter, Выбираем Yes, жмем клавишу Enter
они все есть в репозитарии астры, ничего нигде искать дополнительно не надо
Библиотека libccid не ниже 1.4.2
Проверить USB токены можно командой
$ /opt/cprocsp/bin/amd64/list_pcsc
Если что то не работает пишите возможно я что то упустил, а так же пишите коды ошибок, будем пополнять базу знаний и возможные пути решений
$ tar -xf cades_linux_amd64.tar.gz
Конвертируем в deb пакеты
<вывод команды>
Warning: Skipping conversion of scripts in package cprocsp-pki-cades: postinst prerm
Warning: Use the —scripts parameter to include the scripts.
cprocsp-pki-cades_2.0.0-2_amd64.deb generated
cprocsp-pki-phpcades_2.0.0-2_amd64.deb generated
Warning: Skipping conversion of scripts in package cprocsp-pki-plugin: postinst prerm
Warning: Use the —scripts parameter to include the scripts.
cprocsp-pki-plugin_2.0.0-2_amd64.deb generated
Warning: Skipping conversion of scripts in package lsb-cprocsp-devel: prerm
Warning: Use the —scripts parameter to include the scripts.
lsb-cprocsp-devel_4.0.9921-6_all.deb generated
</вывод команды>
если вывод команды был "bash: alien: команда не найдена", то вам надо читать внимательней потребности, установить alien
Выбор ранее не выбранного пакета lsb-cprocsp-devel.
(Чтение базы данных … на данный момент установлено 232442 файла и каталога.)
Подготовка к распаковке lsb-cprocsp-devel_4.0.9921-6_all.deb …
Распаковывается lsb-cprocsp-devel (4.0.9921-6) …
Выбор ранее не выбранного пакета cprocsp-pki-cades.
Подготовка к распаковке cprocsp-pki-cades_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-cades (2.0.0-2) …
Выбор ранее не выбранного пакета cprocsp-pki-phpcades.
Подготовка к распаковке cprocsp-pki-phpcades_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-phpcades (2.0.0-2) …
Выбор ранее не выбранного пакета cprocsp-pki-plugin.
Подготовка к распаковке cprocsp-pki-plugin_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-plugin (2.0.0-2) …
Настраивается пакет lsb-cprocsp-devel (4.0.9921-6) …
Настраивается пакет cprocsp-pki-cades (2.0.0-2) …
Настраивается пакет cprocsp-pki-phpcades (2.0.0-2) …
Настраивается пакет cprocsp-pki-plugin (2.0.0-2) …
Обрабатываются триггеры для libc-bin (2.24-11+deb9u3) …
на всякий пожарный установку лучше повторить, т.к. бывали случаи что установка прошла успешно, а библиотек на месте не было
на всякий пожарный что бы было, если вдруг с путями кто-нибудь из программ случайно, обязательно затупит, сделаем симлинки на библиотеки
создаем симлинк для корректной работы связи расширения браузера с библиотекой установленного плагина
так же желательно сделать симлинки нашел в какой то документации, возможно в них и нет необходимости, эти каталоги это для корректной работы плагинов браузеров и библиотек плагинов,
Одно из самых главных требований при работе с этим плагином, это нужно при КОПИРОВАНИИ или СОЗДАНИИ контейнера установить пинкод
Разархивируем
$ unzip IFCPlugin-3.0.0-x86_64.deb.zip
создаем симлинк для корректной работы связи расширения браузера с библиотекой установленного плагина
config = cert_from_registry = "false";
set_user_pin = "false";
>
Заходим в каталог куда скачали архив
$ unzip ifc.cfg.zip
Копируем конфигурационный файл
Перейти в меню — Дополнительные инструменты — Расширения и включить плагин
На случай диагностики ошибок ifcplugin нужен будет лог /var/log/ifc/engine_logs/engine.log
Вложения
DavidovichDV
New member
Общее описание выводов ошибок
[ErrorCode: 0x00000000]
\\ Код ошибки 0, значит все прошло успешно
Error number 0x8009001f (2148073503).
Неправильный параметр набора ключей.
\\ скорее всего нужно добавить пинкод или другой тип стандарта контейнера если ошибка возникает при копировании ключей
\\ -pinsrc 12345678
\\ -pindest 12345678
ERROR: SCardListReaders(NULL)
если ключ вставлен, то скорее всего либо у вас не установлены требуемые библиотеки/драйвера, либо что то мешает его распознать(какой-то пакет из состава Крипто-Про)
Спойлер: Частые команды для управления ключами и сертификатами
Проверить/отобразить USB токены можно командой
$ /opt/cprocsp/bin/amd64/list_pcsc
Примерный вывод:
Aktiv Co. Rutoken S 00 00
если получили ERROR: SCardListReaders(NULL) , если ключ вставлен, то скорее всего либо у вас не установлены требуемые библиотеки/драйвера, либо что то мешает его распознать(какой-то пакет из состава Крипто-Про)
Спойлер: Вывести список всех ключевых носителей и контейнеров
Вывести список всех ключевых носителей и контейнеров
$ /opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fqcn
<вывод команды>
CSP (Type:80) v4.0.9017 KC2 Release Ver:4.0.9944 OS:Linux CPU:AMD64 FastCode:READY:SSSE3.
AcquireContext: OK. HCRYPTPROV: 28131731
\\.\Aktiv Co. Rutoken S 00 00\key1
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 1,380 sec
[ErrorCode: 0x00000000]
</вывод команды>
Вывод всех ключевых носителей и контейнеров с отображением уникального имени
$ /opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fqcn -uniq
<вывод команды>
CSP (Type:80) v4.0.9018 KC2 Release Ver:4.0.9958 OS:Linux CPU:AMD64 FastCode:READY:SSSE3.
AcquireContext: OK. HCRYPTPROV: 16527635
\\.\HDIMAGE\key0 |\\.\HDIMAGE\HDIMAGE\\key0.000\1174
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 2,130 sec
[ErrorCode: 0x00000000]
</вывод команды>
Нужная нам информация между строками " AcquireContext: OK. " и " OK . "
Еще возможный вывод \\.\HDIMAGE\ и \\.\FLASH\, где
\\.\HDIMAGE\ это ключевой носитель сохранен на жестком диске, вроде считывателя реестра в Windows версии. "key0" это имя ключевого контейнера на носителе.
$ /opt/cprocsp/bin/amd64/csptest -keycopy -contsrc ‘\\.\HDIMAGE\key0’ -contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ -typesrc 75 -typedest 75 -pinsrc 12345678 -pindest 12345678
csptest -keycopy \\ Запуск копирования
-contsrc ‘\\.\HDIMAGE\key0’
\\ Указываем откуда копируем "\\.\HDIMAGE" это указатель откуда брать ключ в данном случае из локального расположения,
навроде считывателя реестра в Windows версии. "key0" это имя ключевого контейнера на носителе
-contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’
\\ Указываем куда копируем ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ это указатель на устройство
ОБЯЗАТЕЛЬНО . Имя ключей должно отличаться
ОБЯЗАТЕЛЬНО . Имя ключей должно быть на латинице,
КАТЕГОРИЧЕСКИ не рекомендуется использовать кириллицу или любой другой алфавит отличный от латиницы
-typesrc 75 \\ Тип сформированного контейнера откуда копируется по ГОСТУ где 75(ГОСТ-2001), 80(ГОСТ-2012)
-typedest 75 \\ Тип сформированного контейнера куда копируется
-pinsrc 12345678 \\ Пинкод источника ключевого носителя
-pindest 12345678 \\ Пинкод ключевого носителя
Копирование контейнера с ключами по уникальным именам на случай если имя контейнера содержит кириллицу или какие нибудь непонятные символы
$ /opt/cprocsp/bin/amd64/csptest -keycopy -contsrc ‘HDIMAGE\\key0.000\1174’ -contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ -typesrc 75 -typedest 75 Удаление контейнера с ключами по уникальному имени
$ /opt/cprocsp/bin/amd64/csptest -keyset -delete -cont ‘HDIMAGE\\key0.000\1174’ Спойлер: Импорт, экспорт и удаление сертификатов в хранилище сертификатов *** Импорт корневого доверенного сертификата
$ /opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file ROOT.cer
Вместо ROOT.cer подставить свой корневой серитикат который вы хотите загрузить Спойлер: *** Импорт личного сертификата в хранилище из ключевых носителей
*** Загрузка личного сертификата в хранилище в данном случае из локального считывателя
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘HDIMAGE’
*** Загрузка личного сертификата в хранилище в данном случае из рутокена
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘rutoken’
*** Загрузка личного сертификата в хранилище в данном случае из Флэш накопителя
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘FLASH’
*** Вывод личных сертификатов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uMy
*** Вывод субъекта и серийного номера загруженных личных сертификатов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uMy | grep -iE "^Serial|^Subject"
*** Полный вывод загруженных сертификатов корневых удостоверяющих центров в личном хранилище
$/opt/cprocsp/bin/amd64/certmgr -list -cert -store uroot
*** Вывод субъекта и серийного номера загруженных сертификатов корневых удостоверяющих центров в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store root | grep -iE "^Serial|^Subject"
*** Полный вывод загруженных сертификатов промежуточных серверов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uca
*** Вывод субъекта и серийного номера загруженных сертификатов промежуточных серверов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uca | grep -iE "^Serial|^Subject"
Спойлер: *** Загрузка личного сертификата в хранилище, в данном случае из всех считывателей rutoken
*** Загрузка личного сертификата в личное хранилище сертификатов, в данном случае из всех считывателей rutoken
/opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘rutoken’
<вывод команды>
Match: SCARD\rutoken_32b56458\0B00\7E72
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 1,760 sec
[ErrorCode: 0x00000000]
</вывод команды>
<описание вывода>
Match: SCARD\rutoken_32b56458\0B00\7E72
\\Match это означает что он нашел ключевые носители удовлетворяющие условию и загрузил с него все сертификаты
\\Skip это значит что этот считыватель и контейнер не соответствует запросу и будет проигнорирован
</описание вывода>
/opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file 48b19fb33bb637c88a54d19650730b67e42db121.cer
файл сертификата прикреплен
Спойлер: —Экспорт личного сертификата и закрытого ключа
*** Экспорт в файл сертификата из хранилища
$ /opt/cprocsp/bin/amd64/certmgr -export -cert -dn "CN=" -dest ‘cert.crt’
Сначала выведет список всех имеющихся личных сертификатов, затем нужно ввести порядковый номер сертификата
— Эспорт в файл закрытого ключа из хранилища
/opt/cprocsp/bin/amd64/certmgr -export -file 1234.pfx
Сначала выведет список всех имеющихся личных сертификатов, затем нужно ввести порядковый номер сертификата
Вложения
Blaze
New member
и за что отвечают эти параметры?
P.S. С госзакупками проблем со входом не возникло. Спасибо.
DavidovichDV
New member
и за что отвечают эти параметры?
P.S. С госзакупками проблем со входом не возникло. Спасибо.
1. Да может.
2. нет, можно воспользоваться любым контейнером
3. Это либо от старого функционала который в новой версии не работает, либо планируемый на будущее и сейчас тестируется у разработчика
лучше оставить так как работает, любы изобретения могут привести к сбоям в работе
Blaze
New member
личный сертификат установлен в хранилище -store uMy с привязкой к контейнеру закрытого ключа, в локальном ридере HDIMAGE
В Astra Linux применяется какая версия пакета pcsc-lite ?
У меня вечно, пока не закроешь страницу, висит на обращении к средству электронной подписи и бесконечно бегает анимация
DavidovichDV
New member
У вас плагин версии 3.0.3 он не работает, нужен 3.0.0, проверено на многих дистрибутивах
pcsc-1.8.20, но это существенной роли не сыграет главное это версия плагина.
amotash
New member
Вложения
DavidovichDV
New member
amotash
New member
DavidovichDV
New member
amotash
New member
Вложения
mfc31
New member
DavidovichDV
New member
renbuar
New member
По данной инструкции зашел на площадки и госуслуги. Спасибо.
renbuar
New member
Andrey, [05.10.18 11:35]
Но мы сделали параметр для отключения требований RFC6125, который может подвергнуть систему опасности для атак с подменой сертификатов:
[root@test-x64-centos7
Система цифровых сертификатов используется аналогично паролям, для подтверждения личности пользователя или ПК, обмена электронной информацией в виртуальной сети. Легковесные файлы содержат личные данные, которые применяются при идентификации личности. Хранилище сертификатов в ОС Windows 10 находится в секретном месте. Иногда фирмам приходится настраивать личные сертификаты, поэтому им важно знать местоположение файлов.
Для чего знать, где хранятся сертификаты?
Каждый файл в хранилище предусмотрен для защиты операционки цифрового устройства. Они препятствуют проникновению вредоносных программ в систему. Отдельная цифровая подпись отвечает за определенный скачанный софт.
Знание о том, где хранятся такие файлы, требуется в случае просмотра или установки корневых, личных сертификатов. В «десятке» инструменты находятся в контейнере двух типов:
- Certificate store локального ПК – включают список файлов для проверки оригинальности сервера.
- Certificate store для пользователя – хранят сертификаты утилит, которые запускает юзер.
Сертификаты представляют собой корневые и личные файлы. Первые являются составным элементом секретного ключа. Вторые предназначены для идентификации юзеров при обмене электронных данных. Поменять настройки в «десятке» можно через mmc оснастки, в том числе через хранилище.
Просмотр установленных сертификатов Windows 10
Список важных объектов: сертификаты для оборудования, персональные файлы – находят несколькими способами с помощью встроенных инструментов, сторонних утилит.
Через «КриптоПро»
Криптопровайдер предназначен для организации защиты программных обеспечений методом шифрования. Менеджер защищает конфиденциальную информацию при обмене данными через сеть интернет, обеспечивает юридическую достоверность электронных документов.
Для включения программы ее требуется скачать с официального сайта разработчика, инсталлировать на компьютер. Все действия выполняются с правами Администратора. Во время установки ПО можно выполнять настройки через панель свойств. После инсталляции потребуется перезагрузить устройство.
Просмотр проверочных ключей ЭЦП происходит по следующему алгоритму:
- Открыть «Все программы».
- Выбрать «КриптоПро».
В открывшемся окне пользователь увидит все актуальные корневые, личные файлы. Обладая администраторскими правами, можно управлять файлами в «десятке»: выполнять копирование, редактирование, деинсталлировать файлы.
Через Certmgr
Диспетчер разрешает проводить различные действия с цифровыми документами. Консоль является частью операционной системы, включает инструменты для функций управления.
Для просмотра данных нужно следовать инструкции:
- Открыть Командную строку, набрать: c Нажать «Enter».
- В меню появившегося окна выбрать «Личное» и «Корневые сертификаты…». Зайдя в разделы, можно развернуть реестры с полным списком ключей.
Без прав Администратора утилита не заработает. Софт имеет ограничение в шифровании данных, где происходит специальное кодирование файлов.
Через Internet Explorer
Браузер интегрирован в ОС Виндовс 10, включает набор инструментов, позволяющих искать и просматривать информацию в виртуальной сети. Если веб-проводник отсутствует в «десятке», его легко можно скачать с официального источника.
С помощью браузера можно найти ЭЦП, следуя инструкции:
- Тапнуть по разделу «Содержание».
- Нажать на подраздел «Сертификаты».
В результате откроется содержимое с полным списком искомых файлов. В веб-сервисе существует возможность их добавления. Юзеру стоит помнить, что корневые ЭЦП удостоверяющих центров деактивировать запрещено.
Аналогичный способ поиска документов выполняется через Центр управления сетями или общим доступом:
Преимущество метода заключается в том, что посмотреть список ЭЦП можно без администраторских прав. Для обычных людей доступен только просмотр, вносить изменения запрещено.
Через контроль управления
Представляет собой один из важнейших компонентов ОС Виндовс 10. С помощью встроенного средства осуществляется управление, запуск, настройка большинства системных функций. Также можно найти, где лежат сертифицированные файлы ЭЦП для их редактирования.
- Нажать: «Win + R».
- Ввести в строку запроса: cmd. Нажать «Enter».
- после этого перейти по команде mmc в терминал;
- В открывшемся списке тапнуть «Добавить изолированную оснастку».
Все действия пользователь может выполнять только с правами Администратора. Такой вариант подходит не каждому человеку, так как некоторые запросы вводятся через Командную строку. Сервисом обычно пользуются системные администраторы или люди, хорошо разбирающиеся в теме.
Существует целый список сторонних ресурсов, позволяющих управлять сертификатами, инсталлированными в ОС Виндовс 10. Но пользоваться такими утилитами не рекомендуется, так как нет гарантии, что в них присутствует команда отправки сертификата на внешний сервер. Надежное сертифицированное приложение – это «КриптоПро», которое дает гарантию защиты от несанкционированного доступа посторонних лиц к ЭЦП.
Также в последних версиях Винды зашифрованные файлы просматривают, перейдя по пути: C:Users\ПОЛЬЗОВАТЕЛЬ\AppData\Roaming\Microsoft\System\Certificates. Словосочетание «Пользователь» меняется на название учетной записи. В результате откроется полный список засекреченных данных.
Сертификаты созданы для безопасной работы цифровой техники. Их достоверность гарантирована сертификационным центром. Управление ЭЦП требует определенных знаний, поэтому работу должен выполнять специалист или продвинутый пользователь.
Скопировать в корень дискеты или флэшки сертификат и приватный ключ (из каталога 999996.000 , 999996 — название (alias) контейнера):
Выполнить команду по копированию ключа с флэшки на диск, ключ попадет в пользовательское хранилище My .
Необходимо выполнять под пользователем, который будет использовать данный контейнер для подписи.
С жесткого диска
Скопировать приватный ключ в хранилище (контейнер), где <username> — имя пользователя linux:
Поставить «минимальные» права:
Узнать реальное название контейнера:
Ассоциировать сертификат с контейнером, сертификат попадет в пользовательское хранилище My :
Если следующая ошибка, нужно узнать реальное название контейнера (см. выше):
Установить сертификат УЦ из-под пользователя root командой:
Проверка успешности установки закрытого ключа
Если выводится PrivateKey Link: Yes. Container: HDIMAGE\\999996.000\D7BB , то есть и сертификат, и приватный ключ, а если выводится PrivateKey Link: No — связи нет, и использовать такой контейнер для подписи не удастся.
Добавление тестового сертификата
Ввести пароль на контейнер test123 .
Ввести пароль на контейнер. По-умолчанию: 12345678
Удаление сертификата
Проверка сертификата
Просмотр всех атрибутов сертификата
В cryptcp нет необходимых инструментов для получения всех атрибутов сертификата. Поэтому следует использовать openssl , но настроив его.
Получаем SHA 1 хеши:
В цикле извлекаем сертификаты:
Настройка openssl для поддержки ГОСТ:
В файл /etc/ssl/openssl.cnf
Экспорт сертификатов на другую машину
Закрытые ключи к сертификатам находятся тут: /var/opt/cprocsp/keys . Поэтому эти ключи переносятся просто: создаем архив и переносим на нужную машину в тот же каталог.
Экспорт самих сертификатов (если их 14):
Переносим эти файлы на машину и смотрим, какие контейнеры есть:
И как обычно, связываем сертификат и закрытый ключ:
Если закрытый ключ и сертификат не подходят друг к другу, будет выведена ошибка:
Если все успешно:
Если нет закрытого ключа, то просто ставим сертификат:
Подписание документа ЭЦП
Пример создания ЭЦП (по SHA1 Hash):
| [ReturnCode: x] | Описание | Возвращаемый код завершения в баше $? |
|---|---|---|
| 0 | успешно | 0 |
| 0x8010006b | Введен неправильный PIN | 107 |
| 0x2000012d | Сертификат не найден | 45 |
| 0x20000065 | Не удалось открыть файл | 101 |
Проверка подписи ЭЦП
Для верифицирования сертификатов нужен сертификат удостоверяющего центра и актуальный список отзыва сертификатов, либо настроенный для этого revocation provider.
Корневой сертификат УЦ, список отзыва сертификата является одним из реквизитов самого сертификата.
Проверка конкретной подписи из локального хранилища по его хешу:
Проверить, взяв сертификат из file1.sig , подпись файла file2.sig . Практически, надо использовать один и тот же файл:
| [ReturnCode: x] | Текст | Описание | Возвращаемый код завершения в баше $? |
|---|---|---|---|
| 0 | Успешно | 0 | |
| 0x80091004 | Invalid cryptographic message type | Неправильный формат файла | 4 |
| 0x80091010 | The streamed cryptographic message is not ready to return data | Пустой файл | 16 |
Получение исходного файла
Будет ругаться на сертификат (так как не будет проверки), но подпись удалит. Вариант с проверкой:
hdimage где находится в windows 10
Данный ключ необходимо установить в систему, чтобы в последующем им можно было воспользоваться.
Для начала рекомендую проверить что у текущего пользователя существует хранилище для сертифкатов:
Будет выведен список сертификатов в хранилище в следующем формате:
Так же о наличии хранилища свидетельствует папка с именем пользователя в каталоге /var/opt/cprocsp/keys Команда ll /var/opt/cprocsp/keys выведет список пользователей у которых есть хранилища для ключей.
Если хранилища HDIMAGE нет, то его надо создать. Создается оно с правами пользователя root
Теперь надо добавить имеющийся у нас ключ в хранилище. Предположим что есть папка newkeys.000, а ключ надо добавить для пользователя username
В этом случае надо скопировать папку вместе со всеми файлами в каталог /var/opt/cprocsp/keys/username
После копирования нужно установить права доступа.
Если в текущий момент мы находимся не под пользователем username, то надо сделать его владельцем файлов
Но лучше все операции делать под пользователем.
После этого можно проверить, что в хранилище появился новый контейнер. Сделать это можно все той же командой
В результате вывода появится новый контейнер. Обычно его название совпадает с именем папки. Или же имя папки с ключами является префиксом к имени контейнера.
К примеру, вывод данной команды может стать следующим
\\.\HDIMAGE\cert1
\\.\HDIMAGE\cert2
\\.\HDIMAGE\newkeys_KEY_FOR_USER
Можно проверить данный контейнер и ключи в нем на корректность. Для этого можно выполнить следующую команду:
Если ключ был установлен правильно и сам ключ корректен, то утилита выведет информационное сообщение о том что все в порядке.
Если вместе с файлами ключа был еще и файл сертифката, то сертификат тоже надо установить в контейнер. Сделать это можно с помощью команды:
Вывести список доступных сертификатов
После этого сертифкатом и ключем можно пользоваться как обычно.
Как скопировать ЭЦП на флешку с компьютера или другого носителя с ЭЦП?
Некоторым пользователям иногда требуется скопировать ЭЦП на флешку. Например, перенести с одного компьютера на другой или из одной флешки с ЭЦП сделать две флешки. Прочитав нашу инструкцию, вы узнаете, как просто скопировать ЭЦП на флешку, используя функции программы КриптоПро CSP. Если самостоятельно скопировать ЭЦП не получится, обратитесь к нашим компьютерным мастерам. Мы удалённо подключимся к вашему устройству, поможем скопировать ЭЦП и настроим рабочее место.
Инструкция о том, как скопировать ЭЦП на флешку
Наша статья для тех, у кого возникли трудности на начальном этапе.
Обратите внимание, папка “AppData” является скрытой и вам может потребоваться сделать ее видимой, чтобы получить доступ к контейнеру закрытого ключа по указанному адресу.
Если не знаете, как открыть скрытую папку “AppData”.
Как проверить, что ЭЦП действительно скопирована на флешку?
Если вы записали ЭЦП на флешку, а считыватель “FAT12_E” не видите, значит ЭЦП записалась некорректно или не записалась вовсе. Убедитесь, что контейнер с ЭЦП “HDIMAGE” имеется в столбце “Считыватель” и повторите копирование ЭЦП на флешку повторно.
Получилось ли у вас скопировать ЭЦП на флешку?
1.3 Работа с сертификатами КриптоПро
Для удобства использования утилит КриптоПро создадим на них символьные ссылки, для этого выполните:
Просмотр версии КриптоПро:
Для установки лицензии выполните (с правами root):
При использовании токенов сервис pcscd должен быть запущен. Проверка статуса pcscd:
если он выключен, то включите его:
Вывод сообщений журнала службы pcscd:
Узнать модель подключенного токена:
Работа с криптоконтейнерами
1. Проверить наличие доступных контейнеров:
Имена контейнеров используются для установки личных сертификатов.
2. Имена контейнеров могут содержать символы на кириллице, поэтому чтобы корректно отобразить контейнеры используйте следующую команду:
Для дальнейшего использования имен контейнеров содержащих кодировку cp1251, выведем список контейнеров с уникальными именами:
3. Просмотр подробной информации о контейнере:
4. Перечисление контейнеров пользователя:
5. Перечисление контейнеров компьютера:
6. Открыть(проверить) контейнер пользователя:
7. Открыть(проверить) контейнер компьютера:
Установка личных сертификатов
Установку личных сертификатов необходимо производить в консоли обычного пользователя (не root).
1. Установка сертификата без привязки к ключам:
2. Установка личного сертификата cert_bob.cer, сертификат при этом попадает в пользовательское хранилище uMy. Приватный ключ находится на флешке.
в команде указывается сертификат cert_bob.cer, который ассоциируется с приватным контейнером \\.\FLASH\bob’
3. Установка сертификата с токена (в конце команды указывается контейнер)
Установка корневых сертификатов
При установке корневых сертификатов достаточно указать хранилище uRoot. При указании mRoot (при наличии прав администратора) корневой сертификат будет доступен всем пользователям системы.
1. Установка в хранилище КриптоПро:
2. Установка в хранилище ПК:
3. Установка списка отозванных сертификатов crl:
1. Просмотр установленных сертификатов:
2. Просмотр установленных сертификатов в локальном хранилище uMy:
3. Просмотр сертификатов в хранилище ПК (обычно сюда устанавливаются корневых сертификаты):
4. Просмотр сертификатов в контейнере:
5. Просмотр промежуточных сертификатов:
1. Удалить сертификат из личного хранилища сертификатов
Просмотрите установленные сертификаты:
Изучите список всех установленных сертификатов (в общем списке отображаются абсолютно все сертификаты).
Для удаления следует выполнить команду в Терминале:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
2. Удалить сертификаты, установленные в хранилище КриптоПро:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
3. Удалить все сертификаты, установленные в хранилище КриптоПро:
4. Удалить все сертификаты, установленные в хранилище ПК:
Перенос контейнера с flash носителя в локальное хранилище ПК
1. Активируем хранилище HDIMAGE:
2. Посмотрим, какие контейнеры доступны на флешке:
Перейдите на Flash носитель и скопируйте этот контейнер — каталог bob.000 с приватными (закрытыми) ключами в /var/opt/cprocsp/keys/user — в этом каталоге находится локальное хранилище HDIMAGE
3. Посмотрим доступные контейнеры:
Как видим, появился новый контейнер \\.\HDIMAGE\bob
Теперь flash носитель можно отключить, он нам больше не понадобится.
5. Установим пользовательский сертификат с привязкой к закрытому контейнеру \\.\HDIMAGE\bob
Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.
Как открыть Управление дисками в Windows 10?
В этой статье мы расскажем о простых и доступных способах перейти в Управление дисками в Windows 10. Это может понадобиться, если возникнут какие-то проблемы с подключёнными дисками (HDD или SSD) или потребуется получить доступ к системным средствам работы с носителями информации. По традиции начнём с самых удобных и запоминающихся способов.
С помощью кнопки Пуск
С помощью кнопки или строки поиска на панели задач Windows 10
В Windows 10 на панели задач можно увидеть кнопку поиска в виде лупы или строки с текстом “Введите здесь текст для поиска”.
С помощью списка приложений в меню Пуск
С помощью адресной строки в проводнике
Еще один вариант открытия утилиты “Управление дисками” из любой папки.
С помощью приложения “Выполнить”
С помощью классической Панели управления
Если не знаете, как воспользоваться данным способом и возникает трудность с поиском классической Панели управления
А какой вариант открытия утилиты “Управление дисками” используете вы?
Напишите в комментариях о своих способах 😉
Краткое руководство пользователя по работе с ЭЦП КриптоПро JCP 1.0.54
Краткое руководство пользователя по работе с ЭЦП КриптоПро JCP 1.0.54.
1 Установка КриптоПро JCP 1.0.54.
Последовательность установки и настройки электронных подписей
— Установить JDK 7u21;
— Установить и настроить JCP;
— Установить корневой сертификат Центра сертификации;
— Отправить готовый запрос на генерацию тестового ключа ЭП.
Проверить работоспособность установленных крипто-механизмов.
Установка JDK 7u21:
Установить JDK 7u21, в соответствии с разрядностью ПК (32-bit или 64- bit).
Установка КриптоПро JCP 1.0.54
— Установить JCP 1.0.54
1) Запустить командную строку от имени Администратора:
б) В командной строке выполнить команду с указанием расположения ПО JCP. «Название диска :», нажать «Enter» Пример: С: (рисунок 1).
Рисунок 1 – Командная строка cmd
2) Ввести команду «cd», указать путь к папке с устанавливаемым модулем JCP, нажать «Enter». Пример: cd C:\jcp.1.0.54\lib (рисунок 2).
Рисунок 2 – Путь к папке
3) Прописать команду «Install. bat «пробел» путь к установленной ранее ПО Java JDK, нажать «Enter». Пример: Install.bat “C:\Program Files (x86)\Java\jdk1.7.0_21”. Путь необходимо взять в “кавычки” (рисунок 3).
Рисунок 3 – Выполнение установки ПО
Запустить выполнение модуля JCP.
5) Выполнить команду ControlPane. bat «пробел» путь к установленной ранее ПО Java JDK, нажать «Enter». Пример: ControlPane.bat “C:\Program Files (x86)\Java\jdk1.7.0_21”.
6) Откроется окно настройки КриптоПРо JCP (рисунок 4)
Рисунок 4 – Настройка КриптоПро JCP
Добавление сертификата в контейнер.
7) Перейти на закладку «Хранилище ключей и сертификатов» двойным щелчком мыши открыть «Контейнер HDImageStore», нажать кнопку «Создать» (рисунок 5)
Рисунок 5 – Контейнер HDImageStore
8) Откроется окно «Генерирования ключей» (рисунок 6). В окне указать «Имя нового контейнера», установить ч\б «Ключ подписи» и «Пароль», ввести в поле «Пароль» личный пароль ЛПУ. Нажать кнопку «Создать».
Рисунок 6 – Генерирование ключа
— В открывшемся окне проставить ч\б BASE64 (рисунок 7). Нажать кнопку «Сохранить».
Рисунок 7 – Запрос на сертификат
— Выбрать путь сохранения файла, указать название файла. Появиться сообщение «Генерирование и запись завершены». Нажать «Ок». Запись добавиться в контейнер (рисунок 8).
Рисунок 8 – Добавление записи в контейнер
а) Переименовать файл, добавив расширение *.txt. Открыть файл с помощью блокнота, скопировать сообщение.
в) Вставить скопированное сообщение в поле запроса, нажать кнопку «Выдать». Нажать на ссылку Загрузить сертификат, выбрать сертификат, нажать кнопку «Сохранить».
г) Перейти в Хранилище контейнеров, выбрать созданный контейнер, ввести пароль, появиться сообщение о замене сертификата, нажать кнопку «Ок». Щелкнуть мышью по контейнеру, ввести пароль. В контейнере отобразиться ключ и сертификат (рисунок 9).
Рисунок 9 – Ключ и сертификат добавлены в контейнер
2 Инструкция по импорту ключей КриптоПро
Для работы в АРМ ЛПУ с ключами КриптоПро необходимо разместить их в хранилище контейнеров КриптоПро JCP. При этом изначально ключи могут храниться в следующих форматах:
· файлы в формате реестра Windows «.reg»;
· файлы на файловой системе в виде директории с наименованием «.000»;
· контейнеры ключей в КриптоПро CSP (физически расположены в реестре ОС Windows).
В настоящей инструкции описан процесс импорта ключей из файлов реестра «.reg» в КриптоПро CSP с последующим импортом в КриптоПро JCP, с которым работает АРМ ЛПУ. В общем виде процедура импорта ключей в КриптоПро JSP выглядит следующим образом:
1. Получить reg-файлы ключей от заказчика.
2. Импортировать reg-файлы ключей на рабочую станцию с КриптоПро CSP.
3. Экспортировать контейнер ключей из КриптоПро CSP на файловую систему.
4. Импортировать контейнер ключей в КриптоПро JCP на рабочей станции с АРМ ЛПУ.
Выполните следующие действия:
1. Получите от заказчика reg-файлы с ключами и сохраните их на файловую систему с установленным СПО КриптоПро CSP.
2. Откройте в текстовом редакторе полученный reg-файл с ключом и найдите строку с веткой реестра вида:
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Crypto Pro\Settings\USERS\ \Keys\ ] – для 64-разрядной версии Windows
[HKEY_LOCAL_MACHINE\SOFTWARE\Crypto Pro\Settings\USERS\ \Keys\ ] – для 32-разрядной версии Windows
3. Вместо SID укажите свой собственный SID, который можно посмотреть в ветке реестра (в зависимости от разрядности ОС Windows):
Для просмотра реестра необходимо от имени администратора запустить команду regedit:
Пуск, Выполнить, regedit
Также SID текущего пользователя можно узнать, выполнив команду:
После изменения сохраните reg-файл.
4. Импортируйте ключ в реестр, дважды щёлкнув на изменённом reg-файле. Теперь этот контейнер ключей распознаётся в КриптоПро CSP.
5. Откройте КриптоПро CSP, перейдите на вкладку «Сервис» и в разделе «Контейнер закрытого ключа» нажмите кнопку «Протестировать…».
6. В открывшемся окне из считывателя «Реестр» выберите контейнер ключей, импортированный на предыдущем шаге, и нажмите кнопку «Далее». В случае успешного выполнения будет показана информация о контейнере закрытого ключа.
7. Для переноса контейнера закрытого ключа из КриптоПро CSP на файловую систему необходимо наличие внешнего накопителя типа USB Flash Drive. Однако не всегда есть возможность подключить к рабочей станции внешний накопитель, например, в том случае, если работа осуществляется на удалённой машине. В таком случае рекомендуется выполнить эмуляцию работы внешнего накопителя при помощи утилиты ImDisk Virtual Disk Driver. Дальнейшие шаги описывают работу именно с этой утилитой.
http://www. ltr-data. se/files/imdiskinst. exe
8. Установите ImDisk Virtual Disk Driver на рабочую станцию, на которой расположено СПО КриптоПро CSP. В результате успешной установки должен появиться пункт «ImDisk Virtual Disk Driver» в панели управления:
9. Запустите утилиту ImDisk Virtual Disk Driver и в открывшемся окне нажмите кнопку «Mount new…».
10. Задайте параметры эмулируемого диска, указав размер. Также выберите пункты «Create virtual disk in physical memory» и «Removable media», после чего нажмите кнопку «OK»:
11. После создания эмулируемого диска произойдёт его автоматическое монтирование. При запросе форматирования этого диска от ОС Windows подтвердите действие, задайте тип файловой системы NTFS:
12. После завершения форматирования диска откройте окно КриптоПро CSP, перейдите на вкладку «Сервис» и в разделе «Контейнер закрытого ключа» нажмите кнопку «Скопировать…».
13. В открывшемся окне выберите контейнер ключей для копирования, нажмите кнопку «Далее».
14. В следующем окне задайте имя копии контейнера, нажмите кнопку «Готово». В открывшемся окне выберите эмулируемый диск и нажмите кнопку «OK»:
15. Откройте в проводнике Windows эмулируемый диск. В корневой директории должен находиться контейнер закрытого ключа в виде директории с наименованием «.000».
16. Перейдите в директорию КриптоПро JCP, выполнив команду:
17. Откройте панель управления КриптоПро JCP, выполнив команду, предварительно указав путь к JDK:
ControlPane. bat “C:\ Program Files\Java\jdk1.7.0_21”
18. Перейдите на вкладку «Оборудование» и сохраните путь из поля «Путь к HDImage».
19. Используя проводник Windows, скопируйте директорию с контейнером закрытого ключа из эмулируемого диска в директорию с хранилищем HDImage.
20. В панели управления КриптоПро JCP перейдите на вкладку «Хранилища ключей и сертификатов», в разделе «Хранилища контейнеров» раскройте пункт «HDImageStore» и убедитесь, что новый контейнер появился в списке. При необходимости импортируйте в КриптоПро JCP необходимые сертификаты, в том числе и сертификат закрытого ключа.
21. В окне утилиты ImDisk выберите эмулируемый диск и нажмите кнопку «Remove» для удаления созданного диска:
22. Откройте АРМ ЛПУ и убедитесь, что сертификат, привязанный к новому контейнеру закрытого ключа, доступен пользователю.
КриптоПро
КриптоПро — линейка криптографических утилит (вспомогательных программ), так называемых «криптопровайдеров». Они используются во многих программах российских разработчиков для генерации ЭЦП, работы с сертификатами, организации структуры PKI и т.д. (см.сайт).
Совместимость
По информации разработчика, с ALT Linux совместимы следующие продукты КриптоПро:
- КриптоПро CSP
- КриптоПро JCP
- КриптоПро HSM
- КриптоПро TSP
- КриптоПро OCSP
- КриптоПро ЭЦП Browser plug-in
- КриптоПро SSF
- КриптоПро Stunnel
- Браузер КриптоПро Fox
Установка КриптоПро CSP
Загрузка
Архив с программным обеспечением (КриптоПро CSP 4.0 R4 — сертифицированная версия, КриптоПро CSP 5.0 — несертифицированная) можно загрузить после предварительной регистрации:
- linux-ia32.tgz (19,3 МБ, для i586) — для 32-разрядных систем (x86, rpm) ;
- linux-amd64.tgz (20,1 МБ, для x86_64) — для 64-разрядных систем (x64, rpm) .
Установка
1. Установите пакет cryptopro-preinstall :
2. Распакуйте архив, скачанный с официального сайта КриптоПро:
Таблица 1. Описание необходимых пакетов КриптоПро.
| Пакет | Описание |
|---|---|
| Базовые пакеты: | |
| cprocsp-curl | Библиотека libcurl с реализацией шифрования по ГОСТ |
| lsb-cprocsp-base | Основной пакет КриптоПро CSP |
| lsb-cprocsp-capilite | Интерфейс CAPILite и утилиты |
| lsb-cprocsp-kc1 | Провайдер криптографической службы KC1 |
| lsb-cprocsp-kc2 | Провайдер криптографической службы KC2 (требует наличия аппаратного датчика случайных чисел или гаммы) |
| lsb-cprocsp-rdr | Поддержка ридеров и RNG |
| Дополнительные пакеты: | |
| cprocsp-cptools-gtk | Инструменты КриптоПро — кроссплатформенный графический интерфейс |
| cprocsp-rdr-gui-gtk | Графический интерфейс для диалоговых операций |
| cprocsp-rdr-rutoken | Поддержка карт Рутокен |
| cprocsp-rdr-jacarta | Поддержка карт JaCarta |
| cprocsp-rdr-pcsc | Компоненты PC/SC для ридеров КриптоПро CSP |
| lsb-cprocsp-pkcs11 | Поддержка PKCS11 |
| ifd-rutokens | Конфигурация Рутокеновских карт (или можно взять pcsc-lite-rutokens из репозитория) |
3. Установите пакеты КриптоПро:
-
под правами пользователя root перейдите в папку с распакованным архивом:
- установите пакеты для поддержки токенов (Рутокен S и Рутокен ЭЦП):
- установите пакет для поддержки токенов (JaCarta):
- установите пакет для поддержки носителей с неизвлекаемыми ключами:
- Для установки сертификатов Главного удостоверяющего центра:
Также можно выполнить установку КриптоПро, запустив ./install_gui.sh в распакованном каталоге и выбрав необходимые модули:
Примечания:
- Для КриптоПро CSP 3.6 R2 потребуется установить пакет cprocsp-compat-altlinux-1.0.0-1.noarch.rpm
- Для установки cprocsp-rdr-gui может понадобиться libXm.so.3 ( libopenmotif3 ) и для вывода кириллицы fonts-bitmap-cyr_rfx-iso8859-5 .
- Для установки cprocsp-rdr-gui-gtk потребуется предварительно установить libpangox-compat .
- В версии 4.0.0-alt5 пакета cryptopro-preinstall добавлены подпакеты:
- cryptopro-preinstall-base для установки с cprocsp-compat-altlinux , «предоставляющим» lsb (в случае нежелательности «лишних» зависимостей вроде libqt3 ), и
- cryptopro-preinstall-full для автоустановки зависимостей cprocsp-rdr-gui .
Обновление
Для обновления КриптоПро необходимо:
-
Запомнить текущую конфигурацию:
-
набор установленных пакетов:
Прописывание путей к исполняемым файлам
Утилиты КриптоПро расположены в директориях /opt/cprocsp/sbin/<название_архитектуры> и /opt/cprocsp/bin/<название_архитектуры> .
Чтобы каждый раз не вводить полный путь к утилитам КриптоПро:
- после установки пакета cryptopro-preinstall начните новый сеанс пользователя в консоли;
- выполните от имени пользователя, который будет запускать команды (будет действовать до закрытия терминала):
Проверка лицензии
Проверить срок истечения лицензии можно командой (обратите внимание на строки Expires:):
Для установки другой лицензии выполните (под root):
Проверка версии
Проверить версию КриптоПро можно командой:
Удаление КриптоПро
Настройка оборудования
Настройка устройств хранения (носителей) и считывания (считывателей) ключевой информации и датчиков случайных чисел.
Считыватели (readers) — устройства, предназначенные для чтения ключей. К считывателям относится считыватели дискет (FAT12), считыватели флеш-накопителей (FLASH), считыватели смарт-карт и токенов, считыватель образа дискеты на жестком диске (HDIMAGE) и др.
Ключевые носители (media) являются местом хранения электронной подписи. В качестве носителя ключевой информации могут использоваться: защищенный флэш-накопитель (токен) (Рутокен, JaCarta, ESMART и др.), смарт-карта, флэш-накопитель, дискета.
Ключевые контейнеры — это способ хранения закрытых ключей, реализованный в КриптоПро. Их физическое представление зависит от типа ключевого носителя (на флеш-накопителе, дискете, жестком диске это каталог в котором хранится набор файлов с ключевой информацией; в случае со смарт-картами — файлы в защищенной памяти смарт-карты).
Встроенный в «КриптоПро CSP» датчик случайных чисел (далее ДСЧ) используется для генерации ключей.
Для смарт-карт: ключи дополнительно защищаются кодом доступа к защищенной памяти смарт-карты (PIN). При всех операциях с защищенной памятью (чтение, запись, удаление. ) требуется вводить PIN. Для других носителей: для повышения безопасности на контейнер можно установить пароль. В этом случае всё содержимое контейнера хранится не в открытом виде, а в зашифрованном на этом пароле. Пароль задается при создании контейнера, в дальнейшем для чтения ключей из контейнера необходимо будет вводить пароль.
Управление считывателями
Просмотр доступных (настроенных) считывателей:
Инициализация считывателя HDIMAGE, если его нет в списке доступных считывателей (под правами root):
Считыватель HDIMAGE размещается на /var/opt/cprocsp/keys/<имя пользователя>/ .
Для работы со считывателем PC/SC требуется пакет cprocsp-rdr-pcsc. После подключения считывателя можно просмотреть список видимых считывателей (не зависимо от того, настроены ли они в КриптоПро как считыватели, зависит только от того, какие установлены драйверы для считывателей):
Инициализация считывателя Aktiv Co. Rutoken S 00 00 (требуется, если считыватель есть в списке видимых считывателей и отсутствует в списке настроенных), в параметре -add указывается имя, которое было получено при просмотре видимых считывателей, в параметре -name — удобное для обращения к считывателю имя, например, Rutoken (под правами root):
Современные аппаратные и программно-аппаратные хранилища ключей, такие как Рутокен ЭЦП или eSmart ГОСТ, поддерживаются через интерфейс PCSC. За реализацию этого интерфейса отвечает служба pcscd , которую необходимо запустить перед началом работы с соответствующими устройствами:
Hdimage где находится в windows 10
Для удобства использования утилит КриптоПро создадим на них символьные ссылки, для этого выполните:
Просмотр версии КриптоПро:
Для установки лицензии выполните (с правами root):
При использовании токенов сервис pcscd должен быть запущен. Проверка статуса pcscd:
если он выключен, то включите его:
Узнать модель подключенного токена:
Работа с криптоконтейнерами
1. Проверить наличие доступных контейнеров:
Имена контейнеров используются для установки личных сертификатов.
- Считыватель HDIMAGE размещается в /var/opt/cprocsp/keys/<имя пользователя>/ т.е в данном случае используется жесткий диск для хранения ключей.
- Считыватель FLASH означает, что используется флешка для хранения приватных ключей.
- Также считывателем может выступать токен.
2. Имена контейнеров могут содержать символы на кириллице, поэтому чтобы корректно отобразить контейнеры используйте следующую команду:
Для дальнейшего использования имен контейнеров содержащих кодировку cp1251, выведем список контейнеров с уникальными именами:
3. Просмотр подробной информации о контейнере:
4. Перечисление контейнеров пользователя:
5. Перечисление контейнеров компьютера:
6. Открыть(проверить) контейнер пользователя:
7. Открыть(проверить) контейнер компьютера:
Установка личных сертификатов
Установку личных сертификатов необходимо производить в консоли обычного пользователя (не root).
1. Установка сертификата без привязки к ключам:2. Установка личного сертификата cert_bob.cer, сертификат при этом попадает в пользовательское хранилище uMy. Приватный ключ находится на флешке.
3. Установка сертификата с токена (в конце команды указывается контейнер)
если сертификат не привязан к контейнеру на токене, то при установке укажите путь до него через параметр -file:
Установка корневых сертификатов
При установке корневых сертификатов достаточно указать хранилище uRoot. При указании mRoot (при наличии прав администратора) корневой сертификат будет доступен всем пользователям системы.
1. Установка в хранилище КриптоПро:
2. Установка в хранилище ПК:
3. Установка списка отозванных сертификатов crl:
1. Просмотр установленных сертификатов:
2. Просмотр установленных сертификатов в локальном хранилище uMy:
3. Просмотр сертификатов в хранилище ПК (обычно сюда устанавливаются корневых сертификаты):
4. Просмотр сертификатов в контейнере:
5. Просмотр промежуточных сертификатов:
1. Удалить сертификат из личного хранилища сертификатов
Просмотрите установленные сертификаты:Изучите список всех установленных сертификатов (в общем списке отображаются абсолютно все сертификаты).
Для удаления следует выполнить команду в Терминале:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
2. Удалить сертификаты, установленные в хранилище КриптоПро:
Если установлено более одного сертификата, то будет предложено указать номер удаляемого сертификата.
3. Удалить все сертификаты, установленные в хранилище КриптоПро:
4. Удалить все сертификаты, установленные в хранилище ПК:
Перенос контейнера с flash носителя в локальное хранилище ПК
1. Активируем хранилище HDIMAGE:
2. Посмотрим, какие контейнеры доступны на флешке:
3. Посмотрим доступные контейнеры:
Как видим, появился новый контейнер \\.\HDIMAGE\bob
Теперь flash носитель можно отключить, он нам больше не понадобится.5. Установим пользовательский сертификат с привязкой к закрытому контейнеру \\.\HDIMAGE\bob
Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.
Загрузить последнюю версию Крипто-Про с официального сайта
Открыть Пуск->Утилиты->Менеджер файлов mc
перейти в каталог куда загрузили архивРаспакуем архив
$ tar -xf linux-amd64_deb.tgzПерейдем в каталог
$ cd linux-amd64_debполучим то что на картинке ниже
Жмем клавишу Enter
Выбираем все пункты нажимая на клавишу "Пробел" переход осуществляется клавишами вниз/вверх
Жмем клавишу Enter
Жмем клавишу Enter
Жмем клавишу Enter
Жмем клавишу Enter
Вводим свой серийный номер. Регистр нужно строго соблюдать.
Жмем клавишу EnterЖмем выбираем Exit клавишами Tab, жмем клавишу Enter, Выбираем Yes, жмем клавишу Enter
они все есть в репозитарии астры, ничего нигде искать дополнительно не надо
Библиотека libccid не ниже 1.4.2
Проверить USB токены можно командой
$ /opt/cprocsp/bin/amd64/list_pcscЕсли что то не работает пишите возможно я что то упустил, а так же пишите коды ошибок, будем пополнять базу знаний и возможные пути решений
$ tar -xf cades_linux_amd64.tar.gz
Конвертируем в deb пакеты
<вывод команды>
Warning: Skipping conversion of scripts in package cprocsp-pki-cades: postinst prerm
Warning: Use the —scripts parameter to include the scripts.
cprocsp-pki-cades_2.0.0-2_amd64.deb generated
cprocsp-pki-phpcades_2.0.0-2_amd64.deb generated
Warning: Skipping conversion of scripts in package cprocsp-pki-plugin: postinst prerm
Warning: Use the —scripts parameter to include the scripts.
cprocsp-pki-plugin_2.0.0-2_amd64.deb generated
Warning: Skipping conversion of scripts in package lsb-cprocsp-devel: prerm
Warning: Use the —scripts parameter to include the scripts.
lsb-cprocsp-devel_4.0.9921-6_all.deb generated
</вывод команды>если вывод команды был "bash: alien: команда не найдена", то вам надо читать внимательней потребности, установить alien
Выбор ранее не выбранного пакета lsb-cprocsp-devel.
(Чтение базы данных … на данный момент установлено 232442 файла и каталога.)
Подготовка к распаковке lsb-cprocsp-devel_4.0.9921-6_all.deb …
Распаковывается lsb-cprocsp-devel (4.0.9921-6) …
Выбор ранее не выбранного пакета cprocsp-pki-cades.
Подготовка к распаковке cprocsp-pki-cades_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-cades (2.0.0-2) …
Выбор ранее не выбранного пакета cprocsp-pki-phpcades.
Подготовка к распаковке cprocsp-pki-phpcades_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-phpcades (2.0.0-2) …
Выбор ранее не выбранного пакета cprocsp-pki-plugin.
Подготовка к распаковке cprocsp-pki-plugin_2.0.0-2_amd64.deb …
Распаковывается cprocsp-pki-plugin (2.0.0-2) …
Настраивается пакет lsb-cprocsp-devel (4.0.9921-6) …
Настраивается пакет cprocsp-pki-cades (2.0.0-2) …
Настраивается пакет cprocsp-pki-phpcades (2.0.0-2) …
Настраивается пакет cprocsp-pki-plugin (2.0.0-2) …
Обрабатываются триггеры для libc-bin (2.24-11+deb9u3) …на всякий пожарный установку лучше повторить, т.к. бывали случаи что установка прошла успешно, а библиотек на месте не было
на всякий пожарный что бы было, если вдруг с путями кто-нибудь из программ случайно, обязательно затупит, сделаем симлинки на библиотеки
создаем симлинк для корректной работы связи расширения браузера с библиотекой установленного плагина
так же желательно сделать симлинки нашел в какой то документации, возможно в них и нет необходимости, эти каталоги это для корректной работы плагинов браузеров и библиотек плагинов,
Одно из самых главных требований при работе с этим плагином, это нужно при КОПИРОВАНИИ или СОЗДАНИИ контейнера установить пинкод
Разархивируем
$ unzip IFCPlugin-3.0.0-x86_64.deb.zipсоздаем симлинк для корректной работы связи расширения браузера с библиотекой установленного плагина
config = cert_from_registry = "false";
set_user_pin = "false";
>Заходим в каталог куда скачали архив
$ unzip ifc.cfg.zipКопируем конфигурационный файл
Перейти в меню — Дополнительные инструменты — Расширения и включить плагин
На случай диагностики ошибок ifcplugin нужен будет лог /var/log/ifc/engine_logs/engine.log
Вложения
DavidovichDV
New member
Общее описание выводов ошибок
[ErrorCode: 0x00000000]
\\ Код ошибки 0, значит все прошло успешноError number 0x8009001f (2148073503).
Неправильный параметр набора ключей.
\\ скорее всего нужно добавить пинкод или другой тип стандарта контейнера если ошибка возникает при копировании ключей
\\ -pinsrc 12345678
\\ -pindest 12345678ERROR: SCardListReaders(NULL)
если ключ вставлен, то скорее всего либо у вас не установлены требуемые библиотеки/драйвера, либо что то мешает его распознать(какой-то пакет из состава Крипто-Про)Спойлер: Частые команды для управления ключами и сертификатами
Проверить/отобразить USB токены можно командой
$ /opt/cprocsp/bin/amd64/list_pcsc
Примерный вывод:
Aktiv Co. Rutoken S 00 00если получили ERROR: SCardListReaders(NULL) , если ключ вставлен, то скорее всего либо у вас не установлены требуемые библиотеки/драйвера, либо что то мешает его распознать(какой-то пакет из состава Крипто-Про)
Спойлер: Вывести список всех ключевых носителей и контейнеров
Вывести список всех ключевых носителей и контейнеров
$ /opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fqcn<вывод команды>
CSP (Type:80) v4.0.9017 KC2 Release Ver:4.0.9944 OS:Linux CPU:AMD64 FastCode:READY:SSSE3.
AcquireContext: OK. HCRYPTPROV: 28131731
\\.\Aktiv Co. Rutoken S 00 00\key1
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 1,380 sec
[ErrorCode: 0x00000000]
</вывод команды>Вывод всех ключевых носителей и контейнеров с отображением уникального имени
$ /opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fqcn -uniq<вывод команды>
CSP (Type:80) v4.0.9018 KC2 Release Ver:4.0.9958 OS:Linux CPU:AMD64 FastCode:READY:SSSE3.
AcquireContext: OK. HCRYPTPROV: 16527635
\\.\HDIMAGE\key0 |\\.\HDIMAGE\HDIMAGE\\key0.000\1174
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 2,130 sec
[ErrorCode: 0x00000000]
</вывод команды>Нужная нам информация между строками " AcquireContext: OK. " и " OK . "
Еще возможный вывод \\.\HDIMAGE\ и \\.\FLASH\, где
\\.\HDIMAGE\ это ключевой носитель сохранен на жестком диске, вроде считывателя реестра в Windows версии. "key0" это имя ключевого контейнера на носителе.
$ /opt/cprocsp/bin/amd64/csptest -keycopy -contsrc ‘\\.\HDIMAGE\key0’ -contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ -typesrc 75 -typedest 75 -pinsrc 12345678 -pindest 12345678
csptest -keycopy \\ Запуск копирования
-contsrc ‘\\.\HDIMAGE\key0’\\ Указываем откуда копируем "\\.\HDIMAGE" это указатель откуда брать ключ в данном случае из локального расположения,
навроде считывателя реестра в Windows версии. "key0" это имя ключевого контейнера на носителе
-contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’
\\ Указываем куда копируем ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ это указатель на устройство
ОБЯЗАТЕЛЬНО . Имя ключей должно отличаться
ОБЯЗАТЕЛЬНО . Имя ключей должно быть на латинице,
КАТЕГОРИЧЕСКИ не рекомендуется использовать кириллицу или любой другой алфавит отличный от латиницы-typesrc 75 \\ Тип сформированного контейнера откуда копируется по ГОСТУ где 75(ГОСТ-2001), 80(ГОСТ-2012)
-typedest 75 \\ Тип сформированного контейнера куда копируется
-pinsrc 12345678 \\ Пинкод источника ключевого носителя
-pindest 12345678 \\ Пинкод ключевого носителяКопирование контейнера с ключами по уникальным именам на случай если имя контейнера содержит кириллицу или какие нибудь непонятные символы
$ /opt/cprocsp/bin/amd64/csptest -keycopy -contsrc ‘HDIMAGE\\key0.000\1174’ -contdest ‘\\.\Aktiv Co. Rutoken S 00 00\key1’ -typesrc 75 -typedest 75 Удаление контейнера с ключами по уникальному имени
$ /opt/cprocsp/bin/amd64/csptest -keyset -delete -cont ‘HDIMAGE\\key0.000\1174’ Спойлер: Импорт, экспорт и удаление сертификатов в хранилище сертификатов *** Импорт корневого доверенного сертификата
$ /opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file ROOT.cer
Вместо ROOT.cer подставить свой корневой серитикат который вы хотите загрузить Спойлер: *** Импорт личного сертификата в хранилище из ключевых носителей*** Загрузка личного сертификата в хранилище в данном случае из локального считывателя
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘HDIMAGE’*** Загрузка личного сертификата в хранилище в данном случае из рутокена
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘rutoken’*** Загрузка личного сертификата в хранилище в данном случае из Флэш накопителя
$ /opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘FLASH’*** Вывод личных сертификатов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uMy*** Вывод субъекта и серийного номера загруженных личных сертификатов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uMy | grep -iE "^Serial|^Subject"*** Полный вывод загруженных сертификатов корневых удостоверяющих центров в личном хранилище
$/opt/cprocsp/bin/amd64/certmgr -list -cert -store uroot*** Вывод субъекта и серийного номера загруженных сертификатов корневых удостоверяющих центров в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store root | grep -iE "^Serial|^Subject"*** Полный вывод загруженных сертификатов промежуточных серверов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uca*** Вывод субъекта и серийного номера загруженных сертификатов промежуточных серверов в личном хранилище
$ /opt/cprocsp/bin/amd64/certmgr -list -cert -store uca | grep -iE "^Serial|^Subject"Спойлер: *** Загрузка личного сертификата в хранилище, в данном случае из всех считывателей rutoken
*** Загрузка личного сертификата в личное хранилище сертификатов, в данном случае из всех считывателей rutoken
/opt/cprocsp/bin/amd64/csptestf -absorb -cert -pattern ‘rutoken’<вывод команды>
Match: SCARD\rutoken_32b56458\0B00\7E72
OK.
Total: SYS: 0,000 sec USR: 0,000 sec UTC: 1,760 sec
[ErrorCode: 0x00000000]
</вывод команды><описание вывода>
Match: SCARD\rutoken_32b56458\0B00\7E72
\\Match это означает что он нашел ключевые носители удовлетворяющие условию и загрузил с него все сертификаты
\\Skip это значит что этот считыватель и контейнер не соответствует запросу и будет проигнорирован
</описание вывода>/opt/cprocsp/bin/amd64/certmgr -inst -store uroot -file 48b19fb33bb637c88a54d19650730b67e42db121.cer
файл сертификата прикреплен
Спойлер: —Экспорт личного сертификата и закрытого ключа
*** Экспорт в файл сертификата из хранилища
$ /opt/cprocsp/bin/amd64/certmgr -export -cert -dn "CN=" -dest ‘cert.crt’
Сначала выведет список всех имеющихся личных сертификатов, затем нужно ввести порядковый номер сертификата— Эспорт в файл закрытого ключа из хранилища
/opt/cprocsp/bin/amd64/certmgr -export -file 1234.pfx
Сначала выведет список всех имеющихся личных сертификатов, затем нужно ввести порядковый номер сертификата