Тема от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Добрый день!
Столкнулись с такой проблемой. На Рутокене ЭЦП 3.0 (3220) записаны 2 ключа ЭП, RSA и ГОСТ. RSA ключ на Рутокен импортирован из файла PFX. ГОСТ ключ записан с помощью Криптопро CSP 5.0 с другого Usb-ключа. При входе на портал Госуслуг с помощью электронной подписи, вместо окна, в котором необходимо указать сертификат для аутентификации сразу открывается окно КриптоПро CSP 5.0 в котором необходимо указать место размещения ключа ЭП к сертификату и указывает при этом имя контейнера ключа RSA. После закрытия окна КриптоПро следом появляется окно с возможностью выбора сертификата, но установленных в ОС сертификатов в этом окне нет. В окне отображен единственный сертификат с ключом, записанным в реестр ОС (КриптоПро CSP) и при этом показанный сертификат не установлен в ОС, этого сертификата в хранилище сертификатов пользователя ОС нет. Т.е. плагин Госуслуг следующим шагом проверяет реестр на наличие контейнеров с ключами ЭП и сертификатами и их и предлагает. В самой ОС установлено несколько ГОСТ сертификатов, но их на выбор плагин не предлагает. При аналогичном сценарии с Etoken PRO JAVA 72K сперва появляется окно выбора нужного сертификата. Пробовали на ОС Win 10, КриптоПро CSP 5.0 12000, Chromium-gost, Chrom, Яндекс браузер, последний опубликованный плагин Госуслуг, Панель управления рутокен 4.16.0.0.
Может кто-то уже сталкивался с такой проблемой и нашел решение?

Ответ от Павел Анфимов

  • Павел Анфимов
  • Администратор
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

le0nid, добрый день!

Убедитесь, пожалуйста, что ГОСТ-контейнер зарегистрирован в личном хранилище сертификатов Windows, согласно руководству https://dev.rutoken.ru/display/KB/CP1003.

Если сертификат уже зарегистрирован, то попробуйте отключить поддержку международных алгоритмов RSA\ECDSA в КриптоПро CSP.
Это можно сделать в настройках при установке КриптоПро CSP, или зайдя в «Приложения и возможности» выбрав «КриптоПро CSP» и нажав «Изменить» и выключить пункт "Поддержка RSA\ECDSA криптопровайдера".

Ответ от Павел Анфимов

  • Павел Анфимов
  • Администратор
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

le0nid, прикрепите, пожалуйста, скриншот окна, которое вы описываете:

При входе на портал Госуслуг с помощью электронной подписи, вместо окна, в котором необходимо указать сертификат для аутентификации сразу открывается окно КриптоПро CSP 5.0 в котором необходимо указать место размещения ключа ЭП к сертификату и указывает при этом имя контейнера ключа RSA.

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Павел, сертификат устанавливал разными способами, но всегда один и тот же результат. Поддержка RSA\ECDSA криптопровайдера отключена.

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

https://forum.rutoken.ru/uploads/images/2023/07/42a11b1701d47d4a7610de68536dbaed.png
Первое слева окно. Далее информация о сертификате.


Павел Анфимов пишет:

le0nid, прикрепите, пожалуйста, скриншот окна, которое вы описываете:

При входе на портал Госуслуг с помощью электронной подписи, вместо окна, в котором необходимо указать сертификат для аутентификации сразу открывается окно КриптоПро CSP 5.0 в котором необходимо указать место размещения ключа ЭП к сертификату и указывает при этом имя контейнера ключа RSA.

Ответ от Аверченко Кирилл

  • Аверченко Кирилл
  • Техническая поддержка
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

le0nid, добрый день.
Ошибку воспроизвели. Нашли пока что два пути решения:
1. В настройках считывателей КриптоПро удалить считыватели PKCS11 или регистрацию библиотеки rtpkcs11ecp.
2. Установить версию КриптоПро R3. На сборке 5.0.12900 ошибка не воспроизводится.

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Кирилл, добрый день!
Спасибо за ответ! Будем адаптировать варианты под нас. Выходит это КриптоПро вносит деструктив в работу плагина Госуслуг?

Ответ от Аверченко Кирилл

  • Аверченко Кирилл
  • Техническая поддержка
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

le0nid, скорее это особенность работы плагина Госуслуг.
Он разрабатывался очень давно и в то время в КриптоПро не было поддержки считывателей PKCS#11.
Из-за добавления такой возможности, на Госуслугах начинают отображаться объекты, доступные через нашу библиотеку rtpkcs11ecp. Но, поскольку, алгоритм RSA там не поддерживается, то и возникает ошибка.
Скорее всего там механизм примерно следующий:
1. Перебираются доступные сертификаты.
2. Берется первый и к нему ищется ключевая пара.
3. Ключевая пара RSA не подходит и это вызывает ошибку.

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Доброго времени суток!
Коллеги, предложенный вариант 2 с установкой КриптоПро 12900 без отключения PKCS11 перестал работать. Может появилось какое-то еще решение проблемы?

Ответ от Аверченко Кирилл

  • Аверченко Кирилл
  • Техническая поддержка
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

le0nid, добрый день.
А что изменилось в окружении? Плагин госуслуг обновился?
Пробовали более свежую версию КриптоПро?

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Кирилл, плагин Госуслуг тот- же. Из изменений была только переустановка КриптоПро с 12900 на 12000 и обратно. Сказать точно, когда плагин перестал отрабатывать затрудняюсь. После пробовал и со сборкой 12999, результат не изменился. Если раньше ошибка выглядела так, что плагин открывал диалоговое окно КриптоПро для выбора контейнера RSA сертификата, то сейчас после запуска входа по ЭП появляющееся окно плагина бесконечно ищет сертификаты и все. До диалогового окна КриптоПро дело не доходит.

Ответ от Аверченко Кирилл

  • Аверченко Кирилл
  • Техническая поддержка
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

А если отключить библиотеку rtpkcs11ecp в настройках КриптоПро, работает плагин ГосУслуг?

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Если отключить, то работает. Но в таком случае перестают работать сертификаты физлиц на рутокенах на pksc11.

Ответ от Аверченко Кирилл

  • Аверченко Кирилл
  • Техническая поддержка
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Проблема только с токеном, на котором есть RSA сертификат?

Ответ от le0nid

  • le0nid
  • Посетитель
  • Неактивен

Re: Плагин Госуслуг и сертификаты на рутокене ГОСТ и RSA

Да, именно так.