Как записать сертификат на етокен

По мере вытеснения бумажного документооборота электронным все большее значение и все большее распространение получает такой инструмент как электронная подпись. Уже сейчас многие ведомства осуществляют обмен документами исключительно в электронном виде, при этом каждый юридически значимый документ подписывается электронной подписью. Она используется при работе на электронных торговых площадках, при взаимодействии с государственными информационными системами (такими как ГИС ГМП, ГИС ЖКХ и прочие) и даже может быть использована для авторизации на государственных порталах (как например gosuslugi.ru). Нет никаких сомнений в том, что в дальнейшем расширение сферы применения электронных подписей будет продолжаться, а потому специалистам в сфере информационных технологий крайне важно понимать принцип действия электронной подписи и уметь произвести необходимые мероприятия по установке и настройке программного обеспечения для работы с электронной подписью.

Установка сертификата ключа электронной подписи.

После того как драйвер eToken (Рутокен) и криптопровайдер КриптоПро CSP установлены, можем начинать установку сертификата ключа проверки электронной подписи.
Запускаем программу КриптоПро CSP, переходим на вкладку «Сервис» и жмем кнопку «Просмотреть сертификаты в контейнере».

В открывшемся окне нажимаем «Обзор», выбираем нужного владельца и жмем «Ок».

В следующем окне ничего не меняем, жмем «Далее».

Откроется окно, в котором мы можем увидеть краткие сведения о сертификате пользователя (информацию о владельце, срок действия сертификата и его серийный номер).

Чтобы просмотреть подробные сведения нажимаем «Свойства». Если корневой сертификат удостоверяющего центра еще не установлен (как в нашем случае), то во вкладке общие мы увидим сообщение как на рисунке ниже. Актуальный корневой сертификат удостоверяющего центра, как правило, доступен для скачивания на сайте удостоверяющего центра (организации выдавшей электронную подпись).

Возвращаемся в предыдущее окно и нажимаем «Установить» чтобы продолжить установку сертификата пользователя. Появится сообщение о том, что готовится установка сертификата. Подтверждаем установку нажатием кнопки «Да».

Появится так же сообщение от eToken PKI, с предложением записать сертификат на eToken. Отказываемся, нажимаем «Cansel».

Сертификат установлен в хранилище сертификатов. Нажимаем «Готово» чтобы завершить установку.

Установка корневого сертификата удостоверяющего центра.

Файл корневого сертификата удостоверяющего центра (с расширением .cer) открываем двойным щелчком мыши и жмем кнопку «Установить сертификат».

Откроется мастер импорта сертификатов. Жмем «Далее». Затем ставим галочку «Поместить сертификат в следующее хранилище».

Через «Обзор» указываем папку «Доверенные корневые центры сертификации».

Жмем «Ок» и завершаем установку. Появится сообщение об успешном выполнении операции.

Теперь, открыв свойства сертификата пользователя, мы не увидим прежней ошибки.

Нам остается только протестировать контейнер закрытого ключа.

Тестирование.

Открываем КриптоПро CSP, и во вкладке «Сервис» нажимаем «Протестировать».

Находим ключевой контейнер через «Обзор» либо по соответствующему сертификату и жмем «Далее». Появится запрос на ввод pin-кода для контейнера. Вводим пароль и нажимаем «Ок». Если поставить галочку «Запомнить pin-код», система не будет запрашивать его при всяком обращении к ключевому контейнеру (в том числе при подписании документа), что не рекомендуется в целях защиты от несанкционированного доступа.
Далее откроется окно с информацией о наличии или отсутствии ошибок.

Установка электронной подписи в реестр.

Возможна ситуация, когда закрытый ключ электронной подписи необходимо размножить, чтобы использовать на нескольких компьютерах. В таких случаях оптимальным решением будет произвести установку закрытого ключа электронной подписи в реестр. Для созданного в реестре контейнера можно будет задать пароль и тем самым ограничить доступ к закрытому ключу электронной подписи, который хранится в контейнере. Съемный же носитель, после установки, можно будет передать другому пользователю. Отмечу, что такая мера оправдана в тех случаях, когда, например, несколькими сотрудниками одной организации (ведомства) используется одна и та же подпись (к примеру, подпись органа власти). В остальных же случаях, прибегать к подобным мерам не рекомендуется.

Установка считывателя «Реестр».

Первое что необходимо сделать – произвести установку считывателя. Это достаточно легко сделать с помощью мастера установки считывателей (добавление и удаление считывателей выполняется под учетной записью с правами администратора). Если при установке КриптоПро CSP Вы ставили галочку «Зарегистрировать считыватель «Реестр», как на рисунке ниже, и он присутствует в списке считывателей, можно сразу переходить к копированию контейнера закрытого ключа в реестр.

Запускаем КриптоПро CSP, во вкладке «Оборудование» нажимаем кнопку «Настроить считыватели».

В открывшемся окне жмем «Добавить».

Запустится мастер установки считывателя, жмем «Далее».

Из перечня в окне с права выбираем «Реестр» и жмем «Далее».

Затем задаем имя считывателя, либо оставляем без изменения как в нашем примере и жмем «Далее».

Завершаем работу мастера, нажимаем «Готово».

Копирование контейнера закрытого ключа в реестр.

Считыватель подготовлен, теперь нужно скопировать контейнер с ключевой информацией со съемного носителя eToken в реестр. Для этого выходим в главное меню КриптоПро CSP и во вкладке «Сервис» жмем кнопку «Скопировать». Через «Обзор» указываем контейнер, который хотим скопировать в реестр.

Затем система запросит пароль для доступа к контейнеру на съемном носителе (eToken). Вводим пароль, и в следующем окне задаем имя для ключевого контейнера, который будет создан в реестре.

В следующем окне программа предложит выбрать носитель, на который нужно записать контейнер. Выбираем «Реестр» и жмем «Ок».

Теперь необходимо задать пароль для контейнера, который мы поместили в реестр.

Вводим пароль, подтверждаем и жмем «Ок».
Теперь, запустив функцию тестирования контейнера закрытого ключа, кроме контейнера на съемном носителе, мы увидим созданный контейнер на считывателе «Реестр».
Завершаем процедуру тестирования контейнера. Если ошибок не обнаружено, переходим к установке сертификата ключа электронной подписи (если она не была произведена ранее). Процедура установки сертификата с реестра аналогична процедуре установки со съемного носителя, причем, если сертификат данного владельца уже был установлен со съемного носителя, то повторная его установка после копирования контейнера в реестр не потребуется.

Importing a Certificate onto an eToken

Note : The certificate file must be DER encoded or Base64 (not PKCS #7).

If a PFX file is selected, the private key and corresponding certificate will be imported to the eToken. You will be asked if CA certificates should be imported to the eToken, and you will be asked to enter the password (if it exists) protecting the PFX file.

In the case of a CER file (which contains only X.509 certificates), the program checks if a private key exists on the eToken. If the private key is found, the certificate is stored with it. If no private key is found, then you are asked if you want to store the certificate as a CA certificate.

When downloading a certificate to the computer and then importing the certificate to the eToken, remove the certificate from the local store and reinsert the eToken before using the certificate to sign and encrypt mail. This ensures you are using the certificate and keys stored on the eToken.

Note : It is not possible to import a certificate onto eToken Rescue.

To import a certificate:

To open eToken PKI Client Properties do one of the following:

Right-click or double-click the eToken tray icon and select Open eToken Properties from the menu.

From Windows desktop select Start > Programs > eToken > eToken Properties .

Click the Advanced View icon

The Advanced View window opens.

Do one of the following:

In the left pane of the Advanced View window, select the required eToken and click the Import Certificate icon

In the left pane of the Advanced View window, right click the required eToken Right-click and select Import Certificate from the shortcut menu

Select one of the following

Import a certificate from my personal certificate store (Note: This is available in Windows only)

Import a certificate from a file

If you select the personal certificate store, a list of available certificates is displayed. Only certificates that can be imported on to the eToken are listed. These are:

Certificates with a private key already on the eToken

Certificates that may be imported from the computer together with its private key

If you select Import a certificate from a file, the Choose a certificate window opens.

Select the certificate to import and click Open .

If the certificate requires a password, the Password window opens.

Enter the certificate password.

The Import Operation window opens asking if you want to store the CA certificates on the eToken.

Select Yes or No .

All requested certificates are imported, and a confirmation message opens.

In the left pane of the eToken PKI Client Properties window, select the required eToken.

huh-muh

1) USB-ключ eToken PRO (JAVA).
2) Операционная система Windows XP с установленным в ней eToken PKI Client-ом.
3) Операционная система Slackware 14.1
4) Центр сертификации Microsoft Active Directory Certificate Services со своим веб-интерфейсом.
5) Некий веб-ресурс, который умеет общаться по https с использованием сертификатов, выданных центром сертификации из п.4.

1) Получить сертификат в центре сертификации
2) Записать полученный сертификат на eToken
3) Подключиться к требуемому веб-ресурсу из-под Windows XP с использованием браузера Internet Explorer.

Вообще-то, можно было бы воспользоваться веб-интерфейсом центра сертификации. Но есть маленькая проблема: этот центр с некоторых пор перестал воспринимать Windows XP.

Выглядит это так. Если попытаться при помощи IE8 сделать запрос сертификата через задачу «Advanced certificate request», центр сертификации присылает HTTP-ответ, в котором Content-length указано примеро 90кб, а реальная длина

30кб, причем невооруженным глазом видно, что ответ оборван посередине какого-то vb-скрипта. Не знаю, с чем это связано, тем более, что если подменять User-agent браузера на другие варианты (например, при помощи чудесной утилиты UAPick), то HTTP-ответы формируются нормально.

Можно было бы при помощи подмены User-agent бы притвориться, скажем, IE9+Win7, но этот вариант не подходит: в современных системах работа с сертификатами на стороне клиента реализуется при помощи CertEnroll API, а в Windows XP для этой цели использовалось XEnroll API. Соответственно, если центр сертификации считает клиента работающим под новой ОС, он отправляет ему скрипты, которые выполняются с ошибками.

Остается один вариант: создать запрос на сертификат при помощи чего-нибудь стороннего, а потом, скажем, через FireFox его отправить в центр сертификации, благо, тот для «неподходящих» браузеров предлагает соответствующий интерфейс.

К счастью, под рукой оказался линукс с его openssl. Схема работы такова:

1. Генерируем 1024-битный ключ (eToken на ключи с большей длиной у меня почему-то ругается):

2. При помощи полученного ключа 0000.key делаем запрос сертификата:
Тут обратим внимание на две опции: -utf8 позволяет заполнять поля запроса русскими буквами, а -config my.conf позволяет в файле my.conf выполнить «тонкую настройку», в частности, у меня этот файл выглядит так:

3. Далее открываем получившийся файл 0000.csr в блокноте и копируем его содержимое в соответствующее поле ввода на веб-странице центра сертификации. Этот центр его переваривает и выдаёт сертификат, скажем, 0000.cer

4. Ключ 0000.key и сертификат 0000.cer сливаем в один файл 0000.p12:
и закидываем этот файл на eToken — там в PKI-клиенте есть команда «Импорт сертификата».

Всё. При входе на нужный нам веб-ресурс он штатно должен подхватить сертификат с ключа и применить его по назначению. Если этого не происходит, нужно разбираться, видит ли браузер соответствующий сертификат (Сервис-Свойства обозревателя — вкладка Содержание — кнопка Сертификаты), правильно ли выставлены на компьютере дата-время и т.д., в общем, бр-р-р, тот ещё квест.

Установка личного сертификата

Данная инструкция поможет вам установить личный сертификат с использованием носителей ruToken или eToken.

Если у вас установлена операционная система Windows 7, воспользуйтесь данной инструкцией – Установка личного сертификата для Windows 7

Проверка наличия сертификата в контейнере

Перед установкой личного сертификата с носителя ruToken или eToken необходимо проверить наличие сертификата в контейнере, для этого:
Запустите программу КриптоПро CSP: (Пуск — Настройка — Панель управления — КриптоПро CSP или Пуск — Панель управления — КриптоПро CSP )
Откройте вкладку «Сервис» и нажмите кнопку «Просмотреть сертификаты в контейнере»

ustanovka sert 1