Форум Рутокен — SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (Аверченко Кирилл) — Fri, 04 Dec 2020 10:19:03 +0000

Добрый день.

sanyo пишет:

Можно ли где-то взять список отозванных сертификатов вашего тестового УЦ?

Спасибо за описание проблемы.
Мы добавили на наш портал ra.rutoken.ru файл crl. Теперь в тестовых сертификатах, выписанных на этом УЦ есть дополнительное поле со ссылкой на crl.
Тестовая страница плагина КриптоПро теперь проверят подлинность сертификатов без ошибок построения цепочки.

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Thu, 12 Nov 2020 12:08:18 +0000

Надо было разобраться с интересным устройством - SafeTouch. Это устройство умеет показывать сведения о подписываемом документе на встроенном экране. И тут первый облом - нужен нормальный сертификат, выданный УЦ.

https://www.cryptopro.ru/forum2/default … #post43902

Может быть, SafeTouch PRO глючит с тестовыми сертификатами, у которых нет цепочки доверия?

Как мне свой тестовый сертификат сделать доверенным (в пределах моего компьютера)?

Если кому-нибудь интересно (например, тоже решает подобные проблемы), то вопросы по Rutoken+SafeTouchPRO+КриптоПРО обсуждаются в ветках:

https://www.cryptopro.ru/forum2/default … mp;t=18369

https://www.cryptopro.ru/forum2/default … p;m=120445

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (asoldatov) — Wed, 11 Nov 2020 20:53:43 +0000

sanyo пишет:

Все же КриптоПрошники могли бы хотя бы более подробное сообщение о причине ошибки выдать.

Рекомендую впредь, при возникновении аналогичных ошибок, писать в первую очередь на портал технической поддержки ООО "КРИПТО-ПРО", нежели на форумы - получите более оперативный ответ.

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (Ксения Шаврова) — Wed, 11 Nov 2020 15:04:02 +0000

sanyo пишет:

Можно ли где-то взять список отозванных сертификатов вашего тестового УЦ?

Портал ra.rutoken.ru был сделан исключительно для целей демонстрации возможностей Рутокен Плагина и аппаратной криптографии устройств из семейства Рутокен ЭЦП 2.0.
На текущий момент портал генерирует сертификаты без crl. Скорее всего, поэтому возникает ошибка.
Внесём в план и постараемся исправить это в последующих обновлениях.
Вы можете пойти другим путем, сгенерировать ключи и запрос на сертификат, и загрузить запрос в тестовый УЦ КриптоПро или пропустить ошибку.

sanyo пишет:

Наверно, это какая-то очень старая прошивка? Где бы раздобыть прошивку поновее?

Написать производителю на e-mail info@safe-tech.ru

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 13:32:47 +0000

При нажатии и отпускании двух кнопок SafeTouch PRO одновременно, считыватель показывает следующее:

HW 01.04.01  FW 1.1.0S
build: 08.11.2017

Наверно, это какая-то очень старая прошивка? Где бы раздобыть прошивку поновее?

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 13:25:14 +0000

Вообщем передо мной пара новеньких устройств "SafeTouch PRO" (по крайне мере на них и упаковке так написано, что они PRO, экран при включении показывает строку SafeTouch PRO и выглядят они также как на странице разработчика, даже есть серийные номера) и при включенной опции КриптоПРО "Show advanced / Settings": "Enforce trust screen device usage" они выдают ошибки аналогично обычному считывателю, а без этой опции они работают аналогично обычному считывателю без какого-либо подтверждения подписания :( но и без сообщений об ошибках.

Что я делаю не так? Как добиться запроса на подтверждение подписания от SafeTouch PRO?

Я приобрел еще одну пару обычных считывателей, замаскированных под внешний вид SafeTouch PRO?

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 13:22:07 +0000

И выдает он следующее при включенной опции TrustScreen:

root@backup1:/utils/custom/sc/cryptopro# ./sign.sh /download/test.txt
++ CertCN=SNILS=XXX
++ /opt/cprocsp/bin/amd64/csptestf -sfsign -sign -in /download/test.txt -out /download/test.txt.sig -my SNILS=XXX -detached
#0: 
Subject: CN=AAA, SN=AAA, G=AAA, INN=XXX, SNILS=XXX, O=AAA, OGRN=XXX, T=AAA, C=RU, S=г. Москва, L=г. Москва
Valid  : 10.11.2020 15:26:43 - 10.11.2021 15:26:43 (UTC)
Issuer : C=RU, S=Russia, L=Moscow, O=ZAO Aktiv-Soft, OU=Rutoken, CN=Rutoken TEST CA GOST

Source message length: 3
Calculated signature (or signed message) length: 659
../../../../CSPbuild/CSP/samples/csptest/signtsf.c:604:Signature creation error
Error 0x80004005: Unspecified error 
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 2.390 sec
[ErrorCode: 0x80004005]
root@backup1:/utils/custom/sc/cryptopro# ./sign.sh /download/test.txt
++ CertCN=SNILS=XXX
++ /opt/cprocsp/bin/amd64/csptestf -sfsign -sign -in /download/test.txt -out /download/test.txt.sig -my SNILS=XXX -detached
#0: 
Subject: CN=AAA, SN=AAA, G=AAA, INN=XXX, SNILS=XXX, O=AAA, OGRN=XXX, T=AAA, C=RU, S=г. Москва, L=г. Москва
Valid  : 10.11.2020 15:26:43 - 10.11.2021 15:26:43 (UTC)
Issuer : C=RU, S=Russia, L=Moscow, O=ZAO Aktiv-Soft, OU=Rutoken, CN=Rutoken TEST CA GOST

../../../../CSPbuild/CSP/samples/csptest/signtsf.c:455:Cryptographic context could not be acquired.
Error 0x8010006e: The action was cancelled by the user. 
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 2.430 sec
[ErrorCode: 0x8010006e]

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 13:18:44 +0000

Интересно, а почему при подключении SafeTouch PRO этот считыватель даже ненужно вручную добавлять в КриптоПРО в качестве считывателя?

/opt/cprocsp/sbin/amd64/cpconfig -hardware reader -view

автоматически показал мне следующее после подключения SafeTouch PRO:

Nick name: HDIMAGE
Connect name: 
Reader name: HDD key storage

Nick name: SafeTech SafeTouch (01040101000100) 00 00
Connect name: 
Reader name: SafeTech SafeTouch (01040101000100) 00 00

Считыватель ACR и даже Rutoken ECP2 Touch приходилось прописывать вручную с помощью команд:

./cpconfig -hardware reader -add "ACS ACR3901U ICC Reader 00 00"
./cpconfig -hardware reader -add 'Aktiv Rutoken ECP 01 00'

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 13:07:59 +0000

asoldatov пишет:

Нужен номер сборки "летней" версии.

Прошу прощения, проблема была не из-за новой версии КриптоПро,
а по причине того, что я включил галочку: "Show advanced / Settings":
"Enforce trust screen device usage", с обычным ридером в таком режиме попытка подписи выдает ошибку:

++ /opt/cprocsp/bin/amd64/csptestf -sfsign -sign -in /download/test.txt -out /download/test.txt.sig -my SNILS=XXX -detached                                          
#0:                                                                                                                                                                          
Subject: CN=AAA, SN=AAA, G=AAA, INN=XXX, SNILS=XXX, O=AAA, OGRN=XXX, T=AAA, C=RU, S=г. Москва, L=г. Москва                                        
Valid  : 10.11.2020 15:26:43 - 10.11.2021 15:26:43 (UTC)                                                                                                                     
Issuer : C=RU, S=Russia, L=Moscow, O=ZAO Aktiv-Soft, OU=Rutoken, CN=Rutoken TEST CA GOST                                                                                     

Source message length: 3
Calculated signature (or signed message) length: 659
../../../../CSPbuild/CSP/samples/csptest/signtsf.c:604:Signature creation error
Error 0x80004005: Unspecified error 
Total: SYS: 0.010 sec USR: 0.000 sec UTC: 1.440 sec
[ErrorCode: 0x80004005]

Все же КриптоПрошники могли бы хотя бы более подробное сообщение о причине ошибки выдать.

asoldatov пишет:

Под "последней" версией подразумеваете 5.0.11944?

ii  cprocsp-cptools-gtk-64               5.0.11944-6                          amd64        GUI application for various CSP tasks. Build 11944.
ii  cprocsp-curl-64                      5.0.11944-6                          amd64        CryptoPro cURL shared library and application. Build 11944.
ii  cprocsp-pki-cades-64                 2.0.14071-1                          amd64        CryptoPro ECP SDK
ii  cprocsp-pki-phpcades-64              2.0.14071-1                          amd64        CryptoPro ECP SDK PHP extension
ii  cprocsp-pki-plugin-64                2.0.14071-1                          amd64        CryptoPro ECP Browser plug-in
ii  cprocsp-rdr-esmart-64                5.0.11944-6                          amd64        Esmart support module
ii  cprocsp-rdr-gui-gtk-64               5.0.11944-6                          amd64        CryptoPro CSP GTK GUI components. Build 11944.
ii  cprocsp-rdr-jacarta-64               5.0.0                                amd64        JaCarta components for CryptoPro CSP for use JaCarta devices. Build 1170.
ii  cprocsp-rdr-pcsc-64                  5.0.11944-6                          amd64        CryptoPro CSP. PC/SC devices support. Build 11944.
ii  cprocsp-rdr-rutoken-64               5.0.11944-6                          amd64        Rutoken support module
ii  lsb-cprocsp-base                     5.0.11944-6                          all          CryptoPro CSP directories and scripts. Build 11944.
ii  lsb-cprocsp-ca-certs                 5.0.11944-6                          all          CryptoPro CA certificates. Build 11944.
ii  lsb-cprocsp-capilite-64              5.0.11944-6                          amd64        CryptoPro CSP. CryptoAPI Lite libraries and applications. Build 11944.
ii  lsb-cprocsp-devel                    5.0.11944-6                          all          CryptoPro CSP developer headers and examples. Build 11944.
ii  lsb-cprocsp-kc1-64                   5.0.11944-6                          amd64        CryptoPro CSP KC1. Build 11944.
ii  lsb-cprocsp-kc2-64                   5.0.11944-6                          amd64        CryptoPro CSP KC2. Build 11944.
ii  lsb-cprocsp-pkcs11-64                5.0.11944-6                          amd64        CryptoPro PKCS11. Build 11944.
ii  lsb-cprocsp-rdr-64                   5.0.11944-6                          amd64        CryptoPro CSP common libraries and utilities. Build 11944.

asoldatov пишет:

Нужны точные команды, которые Вы выполняете.

/opt/cprocsp/bin/amd64/csptestf -sfsign -sign -in $1 -out $1.sig -my "$CertCN" -detached; 

и

/opt/cprocsp/bin/amd64/cryptcp -sign -detach -dn "$CertCN" -pin 12345678 $1 $1.sig;

asoldatov пишет:

Используете тот же тестовый сертификат, о котором речь шла выше "CN=AAA"?

Да

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (asoldatov) — Wed, 11 Nov 2020 11:20:45 +0000

sanyo пишет:

Добрый день,
Еще интересный нюанс:
Летней версией КриптоПро удается подписать тестовый файл test.txt моим тестовым сертификатом,
а последней версией КриптоПро не удается, вываливается какая-то ошибка потом скопирую ее сюда, сейчас ее нет под рукой.
Причем пробовал двумя утилитами: cryptcp и еще csptestf -sign
обе они работают в летней версии КриптоПро и неработают в последней.
В обоих случаях cryptcp предупреждает о проблемном сертификате (вроде цепочка не нравится или что-то в этом духе).
Позже еще раз попробую и дополню деталями с кодами ошибок.

Нужен номер сборки "летней" версии.
Под "последней" версией подразумеваете 5.0.11944?
Нужны точные команды, которые Вы выполняете.
Используете тот же тестовый сертификат, о котором речь шла выше "CN=AAA"?

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (asoldatov) — Wed, 11 Nov 2020 11:15:50 +0000

sanyo пишет:

Браузер на странице:
https://www.cryptopro.ru/sites/default/ … ample.html
показывает следующее:
Информация о сертификате
Владелец: CN=AAA

Издатель: CN=Rutoken TEST CA GOST

Выдан: 10.11.2020 15:26:43 UTC

Действителен до: 10.11.2021 15:26:43 UTC

Криптопровайдер: Crypto-Pro GOST R 34.10-2012 KC1 CSP

Ссылка на закрытый ключ: SCARD\rutoken_pkcs_sc_3b89646b\pkcs_key_02e6

Алгоритм ключа: ГОСТ Р 34.10-2012

Статус: Ошибка при проверке цепочки сертификатов. Возможно на компьютере не установлены сертификаты УЦ, выдавшего ваш сертификат

Установлен в хранилище: Нет
О каком хранилище идет речь?
Как все это исправить?
Можно ли где-то взять список отозванных сертификатов вашего тестового УЦ?
Пусть пустой, для команды:
/opt/cprocsp/bin/amd64/certmgr -inst -crl -file ~/Загрузки/<название файла>.crl
что-то типа:
https://www.cryptopro.ru/certsrv/certcarc.asp

Добрый день.
Могу ответить только по логике работы демо-страницы - Вы можете проигнорировать ошибку и нажать кнопку "Подписать". Подписание будет выполнено успешно, несмотря на невозможность проверки сертификата подписанта.

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 10:15:28 +0000

Правильно ли я понимаю, что рабочей летней версии КриптоПро достаточно для тестирования совместимости смарткарты Rutoken ECP2 2100 (с которой я все это - выше проверял) и считывателя SafeTouch PRO?

Т.е. исправный SafeTouch PRO должен запрашивать подтверждение нажатием кнопки при моем простейшем рабочем тесте подписания?

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Wed, 11 Nov 2020 10:12:07 +0000

Добрый день,

Еще интересный нюанс:

Летней версией КриптоПро удается подписать тестовый файл test.txt моим тестовым сертификатом,

а последней версией КриптоПро не удается, вываливается какая-то ошибка потом скопирую ее сюда, сейчас ее нет под рукой.

Причем пробовал двумя утилитами: cryptcp и еще csptestf -sign

обе они работают в летней версии КриптоПро и неработают в последней.

В обоих случаях cryptcp предупреждает о проблемном сертификате (вроде цепочка не нравится или что-то в этом духе).

Позже еще раз попробую и дополню деталями с кодами ошибок.

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (Евгений Мироненко) — Wed, 11 Nov 2020 08:43:12 +0000

Добрый день!

Для диагностики проблемы предлагаю следующий сценарий:
1. На https://ra.rutoken.ru выполнить создание запроса на сертификат.
2. На http://testgost2012.cryptopro.ru/certsrv/ выполнить выпуск сертификата, также сохранить корневой сертификат Тестового УЦ.
3. На https://ra.rutoken.ru выполнить импорт сертификата на токен.
4. Выполнить ваш тестовый сценарий с шага "добавил в хранилище uroot и пытался добавить в CA закладки доверенных сертификатов браузеров".

Успешное выполнение данного сценария проявит необходимость искать проблему в сертификате тестового УЦ Рутокен. Неуспешное -- необходимость обращения в поддержку КриптоПро для дальнейшей диагностики проблемы.

Re: SafeTouch PRO и личный сертификат ключа подписи из вашего тестового УЦ

null@example.com (sanyo) — Tue, 10 Nov 2020 21:48:47 +0000

Браузер на странице:
https://www.cryptopro.ru/sites/default/ … ample.html
показывает следующее:

Информация о сертификате
Владелец: CN=AAA

Издатель: CN=Rutoken TEST CA GOST

Выдан: 10.11.2020 15:26:43 UTC

Действителен до: 10.11.2021 15:26:43 UTC

Криптопровайдер: Crypto-Pro GOST R 34.10-2012 KC1 CSP

Ссылка на закрытый ключ: SCARD\rutoken_pkcs_sc_3b89646b\pkcs_key_02e6

Алгоритм ключа: ГОСТ Р 34.10-2012

Статус: Ошибка при проверке цепочки сертификатов. Возможно на компьютере не установлены сертификаты УЦ, выдавшего ваш сертификат

Установлен в хранилище: Нет

О каком хранилище идет речь?

Как все это исправить?

Можно ли где-то взять список отозванных сертификатов вашего тестового УЦ?
Пусть пустой, для команды:
/opt/cprocsp/bin/amd64/certmgr -inst -crl -file ~/Загрузки/<название файла>.crl

что-то типа:
https://www.cryptopro.ru/certsrv/certcarc.asp