Форум Рутокен — Автоматическая регистрация сертификата из Рутокен ЭЦП

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2022-07-15T14:46:44Z

inbank, да, в этом случае можно только воспользоваться браузером Firefox, в котором добавить библиотеку rtpkcs11ecp.dll в раздел Модули защиты.
Еще как менее безопасный вариант: на вашем УЦ создать файловый ключ, выпустить сертификат и создать контейнер pfx через openssl.
После этого на Windows записать этот контейнер командой:
certutil -csp "Microsoft Base Smart Card Crypto Provider" -importpfx C:\cert.pfx
В этом случае сертификат запишется на токен через криптопровайдер и его можно будет успешно использовать в Windows.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2022-07-14T21:33:05Z

Выяснил, отчего "Generate certificate" неактивна. Надо залогиниться с административным PIN'ом, чтобы её активировать.
Но средство генерации csr, входящее в комплект софта к рутокену не годится -- оно предлагает только лишь ГОСТовые алгоритмы для ключей.

а нужна пара RSA ключей, которые в linux создавались следующим образом:

$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so --keypairgen --key-type "rsa:2048" -l --id 45 --slot-description "Aktiv Rutoken ECP 00 00"

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2022-07-14T20:51:04Z

Это необходимо для аутентификации пользователя.
Например, на веб-сервере.

И это прекрасно работает в linux-системах, где и создавалась ключевая пара с использованием библиотеки librtpkcs11ecp.so

Теперь я пытаюсь выполнять аналогичные вещи в windows-системе.
Для аутентификации на ssh-сервере, например, понадобилось установить фреймворк opensc (см. https://github.com/OpenSC/OpenSC/releases)
И она работает, если использовать с ssh-клиентом аналогичную библиотеку от Aktiv:

C:\Users\ovcharov>ssh -I "C:\Program Files\OpenSC Project\OpenSC\pkcs11\rtPKCS11ECP.dll" ovcharov@192.168.195.23
Enter PIN for 'Rutoken ECP ':
Last login: Thu May 26 12:33:13 2022 from 192.168.224.44
ovcharov@rhel8 ~$

А вот в случае браузера и веб-сервера система желает задействовать сертификат, который находится в разделе Personal виндового хранилища сертификатов (см.картинку выше).
Но как я уже говорил, объяснить системе, что соответствующий сертификату приватный ключ надо искать на ruToken'е, не получается.

Что можно сделать? Хотел попробовать сгенерировать ещё одну ключевую пару в Windows и сертифицировать публичный ключ на том же ЦС. Но почему-то кнопочка "Generate certificate" (та что левее "Import") неактивна -- это видно на моей первой картинке

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2022-07-14T08:40:04Z

inbank, добрый день.
Сертификаты, созданные через библиотеку PKCS#11 не получится зарегистрировать через Панель управления Рутокен в личное хранилище Windows.
Подскажите, для какой задачи необходима такая регистрация?

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2022-07-13T16:59:12Z

Здравствуйте. Решил не создавать аналогичную тему, а продолжить эту.

У меня есть проблема с регистрацией сертификата на ruToken в Windows 10
Вот на картинке видно, что токен содержит сертификат юзеру ovcharov с неизвлекаемым приватным ключом.
Там же видно, что сервис Certificate Propagation запущен и работает.

но в оснастке сертификатов (текущий юзер, личные сертификаты) он не появляется:

Я пробовал экспортировать сертификат с токена в base64 формате и вручную добавлять его в юзерские личные. Это получилось, но тут видно, что этому сертификату не соответствует никакого приватного ключа (нет значка-ключика слева):

Вопрос -- как привязать к сертификату из виндового юзерского хранилища приватный ключ, хранящийся на токене?
Сразу уточню, что никаких отечественных криптопровайдеров у меня не установлено -- ключ ведь RSA, так что они не нужны.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-24T00:23:06Z

Ясно. Спасибо!

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T11:13:10Z

rad пишет:

Отключил рутокен и заново его подключил. Возможность подписания документв в СЭД появилась. После отключения рутокена и попытке подписать документ ошибка "Набор ключей не существует", меня это устраивает. Но смущает то, что в локальное хранилище все также автоматически попадает сертификат.

Тот факт, что сертификат попадает в локальное хранилище, не означает, что закрытый ключ лежит в локальном хранилище. Сертификат - информация не секретная и без закрытого ключа подписать на нем ничего нельзя. Там всего лишь есть ссылка на контейнер, где его искать. В данном случае - на токене.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T11:07:18Z

Написал письмо на адрес, указанный при регистрации

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T09:47:59Z

Отключил рутокен и заново его подключил. Возможность подписания документв в СЭД появилась. После отключения рутокена и попытке подписать документ ошибка "Набор ключей не существует", меня это устраивает. Но смущает то, что в локальное хранилище все также автоматически попадает сертификат:
Рис.5:

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T09:21:03Z

Сгенерировал через Aktiv Rutoken CSP. Галочку "Пометить ключ как экспортируемый" не ставил(рис.3). Закрытый ключ как я понял записался на рутокен. Теперь выходит такая ошибка (рис.4).
Рис.3:

Рис.4:

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T09:05:18Z

Попробую еще, сгенерирую через Aktiv Rutoken CSP, но не буду импортировать сертификат с открытым ключом.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T09:04:09Z

Да, экспериментирую. Генерировать ключ через Aktiv Rutoken CSP пробовал, при этом затем на рутокен импортировал сертификат с открытым ключ. В этом случае происходит тоже самое, да возможно весь контейнер импортируется в локальное хранилище.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T08:46:15Z

Я если правильно понимаю, вы сейчас экспериментируете пока. Так?
Вы пробовали генерировать ключи через Aktiv Rutoken CSP, а не импортировать их?
При таком способе на Рутокен ЭЦП сгенерируется неизвлекаемый приватный ключ и возможности подписывать документы без токена не будет никакой.
А с импортом надо поразбираться, так не должно быть, чтобы можно было подписывать имея только сертификат без закрытого ключа. Возможно в локальное хранилище у вас импортируется весь контейнер вместе с закрытым ключом.

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-23T08:04:06Z

Сгенерированные ключи перемещаю на Рутокен ЭЦП с помощью Панели управления Рутокен, они используются для подписания документов в СЭД DIRECTUM. Как я понял СЭД ищет сертификат с закр.ключом в локальном хранилище. Так как если не находит его, то выдает такое сообщение "Сертификат, содержащий закрытый ключ, не найден в личном хранилище" (рис.1). Сейчас, как уже писал, при вставке рутокена в юсб-порт в локальном хранилище появляется сертификат с закрытым ключом (рис.2). Т.е. если я отключаю рутокен, возможность подписывать документы остается.
рис.1:

рис.2:

Re: Автоматическая регистрация сертификата из Рутокен ЭЦП

2014-04-22T08:48:52Z

rad пишет:

Еще сразу второй вопрос, что нужно для генерации ключей на самом токене(Рутокен ЭЦП)? Какое ПО?

Каким образом планируется использовать эти сгенерированные ключи в дальнейшем? От этого зависит ответ на ваш вопрос.

Если вы планируете генерировать RSA ключи и использовать MS CA, кроме установленного комплекта драйверов Рутокен, ничего не потребуется. При генерации запросов на сертификат нужно указать, что будет использоваться Aktiv Rutoken CSP v1.0 и ключи будут генерироваться именно этим CSP.