🥇Kvalifikovaný elektronický podpis pro macOS

Podle údajů RBC a Tensor, v roce 2019 bude v Rusku vydáno 4,6 milionu certifikátů kvalifikovaných elektronických podpisů (KEP), které splňují požadavky zákona 63-FZ. To znamená, že z 8 milionů registrovaných podnikatelů a společností s ručením omezeným používá každý druhý podnikatel elektronický podpis. Kromě KEP pro EGAIS a cloudových KEP pro podávání zpráv, vydávaných bankami a účetními službami, vzbuzují zvláštní zájem univerzální KEP na zabezpečených tokenech. Tyto certifikáty umožňují přihlášení na státní portály a podepisování jakýchkoli dokumentů, čímž je činí právně závaznými.

Díky certifikátu KEP na USB-tokenu lze vzdáleně uzavřít smlouvu s kontrahentem nebo vzdáleným zaměstnancem, zaslat dokumenty k soudu; zaregistrovat online pokladnu, vyřešit daňové závazky a podat daňové přiznání ve svém osobním účtu na nalog.ru; zjistit závazky a nadcházející kontroly na portálu Státní služby.

Následující příručka pomůže pracovat s KEP na macOS – bez zkoumání fór KryptoPro a instalace virtuálního stroje s Windows.

Obsah

Co potřebujete pro práci s KEP na macOS:

Instalujeme a nastavujeme KEP na macOS

Instalujeme KryptoPro CSP
Instalujeme ovladače RUTOKEN
Instalujeme certifikáty
3.1. Odstraníme všechny staré GOST certifikáty
3.2. Instalujeme kořenové certifikáty
3.3. Stahujeme certifikáty certifikační autority
3.4. Instalujeme certifikát s RUTOKEN
Instalujeme zvláštní prohlížeč Chromium-GOST
Instalujeme rozšíření pro prohlížeč
5.1 KryptoPro EDS Browser plug-in
5.2. Plugin pro Státní služby
5.3. Nastavujeme plugin pro Státní služby
5.4. Aktivujeme rozšíření
5.5. Nastavujeme rozšíření KryptoPro EDS Browser plug-in
Kontrolujeme, že vše funguje
6.1. Přihlásíme se na testovací stránku KryptoPro
6.2. Přihlásíme se do osobního účtu na nalog.ru
6.3. Přihlásíme se na Státní služby
Co dělat, pokud to přestane fungovat

Změna PIN kódu kontejnere

Zjistíme název kontejneru KEP
Změna PIN příkazem z terminalu

Podpis souborů na macOS

Zjistíme hash certifikátu KEP
Podpis souboru příkazem z terminalu
Instalace Apple Automator Script

Zkontrolovat podpis na dokumentu

Všechny informace níže byly získány z autoritativních zdrojů (KryptoPro #1 a #2, RUTOKEN, Korus-Consulting, UFO Ministerstvo komunikací), a stahování softwaru je navrhováno pouze z důvěryhodných stránek. Autor je nezávislý konzultant a není spojen s žádnou z uvedených společností. Dodržováním tohoto návodu přebíráte veškerou odpovědnost za jakékoliv činnosti a následky.

Co potřebujete pro práci s KEP na macOS:

KEP na USB tokenu Rutoken Lite nebo Rutoken EDS
kryptokontejner ve formátu CryptoPro
s vestavěnou licencí pro CryptoPro CSP

Úložná zařízení eToken a JaCarta v kombinaci s CryptoPro na macOS nejsou podporována. Rutoken Lite je optimální volbou, stojí 500..1000= Kč, rychle funguje a umožňuje uložit až 15 klíčů.

Kryptoprovidery VipNet, Signal-COM a LISSi na macOS nejsou podporovány. Převod kontejnerů není možný. CryptoPro je optimální volbou, cena certifikátu by měla být kolem 1300= Kč pro OSVČ a 1600= Kč pro právnické osoby.

Obvykle je roční licence na CryptoPro CSP již zahrnuta v certifikátu a mnohé certifikační autority ji poskytují zdarma. Pokud tomu tak není, je nutno zakoupit a aktivovat doživotní licenci pro CryptoPro CSP verze 4 za cenu 2700=. CryptoPro CSP verze 5 momentálně na macOS nefunguje.

Instalujeme a nastavujeme KEP na macOS

Očividné věci

všechny stahované soubory se stahují do výchozího adresáře: ~/Downloads/;
v žádném instalačním programu nic neměníme, vše necháme výchozí;
pokud macOS zobrazí varování, že spouštěný software pochází od neznámého vývojáře – je třeba potvrdit spuštění v systémových nastaveních: System Preferences —> Security & Privacy —> Open Anyway;
pokud macOS požaduje uživatelské heslo a povolení pro řízení počítače – je třeba zadat heslo a se vším souhlasit.

1. Instalujeme CryptoPro CSP

Registrujeme se na stránkách CryptoPro a z na stránce pro stahování stahujeme a instalujeme verzi CryptoPro CSP 4.0 R4 pro macOS – stáhnout.

2. Instalujeme ovladače Rutoken

Na stránkách je uvedeno, že je to volitelné, ale je lepší to nainstalovat. Z na stránce pro stahování na stránkách Rutoken stahujeme a instalujeme Modul podpory pro KeyChain – stáhnout.

Dále připojíme USB token, spustíme terminál a provedeme příkaz:

/opt/cprocsp/bin/csptest -card -enum -v

V odpovědi by mělo být:

Aktivován Rutoken…
Karta je přítomná…
[ErrorCode: 0x00000000]

3. Instalujeme certifikáty

3.1. Odstraníme všechny staré GOST certifikáty

Pokud již byly pokusy o spuštění KEP na macOS, je nutné vyčistit všechny dříve nainstalované certifikáty. Tyto příkazy v terminálu odstraní pouze certifikáty CryptoPro a neovlivní běžné certifikáty v Keychain v macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Na každém výstupu příkazu by mělo být:

Žádný certifikát neodpovídá kritériím

nebo

Odstranění dokončeno

3.2. Instalujeme kořenové certifikáty

Kořenové certifikáty jsou společné pro všechny certifikáty vydané jakýmkoli certifikačním úřadem. Stáhněte si je z na stránce pro stahování UFO Ministerstva komunikací:

Instalujeme pomocí příkazů v terminálu:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Každý příkaz by měl vracet:

Instaluje:
…
[ErrorCode: 0x00000000]

3.3. Stahujeme certifikáty certifikační autority

Dále je potřeba nainstalovat certifikáty certifikačního úřadu, ve kterém byly vydány certifikáty. Obvykle kořenové certifikáty každého úřadu jsou na jeho webu v sekci ke stažení.

Alternativně lze certifikáty jakéhokoli úřadu stáhnout z webu UFO Ministerstva komunikací. K tomu je třeba v hledání najít úřad podle názvu, přejít na stránku s certifikáty a stáhnout všechny platné certifikáty – tedy ty, u kterých v poli 'Platnost' druhé datum ještě nenastalo. Stahujte podle odkazu v poli 'Otisk'.

Snímek obrazovky

Na příkladu certifikačního úřadu Korus-Consulting: je potřeba stáhnout 4 certifikáty z na stránce pro stahování:

Stáhnuté certifikáty úřadu instalujeme příkazy z terminálu:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

kde za ~/Downloads/ následují názvy stažených souborů, pro každý úřad budou jiné.

Každý příkaz by měl vracet:

Instaluje:
…
[ErrorCode: 0x00000000]

3.4. Instalujeme certifikát s RUTOKEN

Příkaz v terminálu:

/opt/cprocsp/bin/csptestf -absorb -certs

Příkaz by měl vrátit:

OK.
[ErrorCode: 0x00000000]

4. Instalujeme speciální prohlížeč Chromium-GOST

Pro práci s vládními portály je potřeba speciální verze prohlížeče Chromium – Chromium-GOST. Zdrojový kód projektu je otevřený, odkaz na repozitář na GitHubu je uveden na webu KryptoPro. Podle zkušeností, jiné prohlížeče CryptoFox a Yandex.Browser pro práci s vládními portály pod macOS nevyhovují. Je třeba mít na paměti, že v některých verzích Chromium-GOST se může osobní účet na nalog.ru zasekávat nebo se může zastavit posouvání, proto se doporučuje stará osvědčená verze 71.0.3578.98 – stáhnout.

. Stahujeme a rozbalujeme archiv, instalujeme prohlížeč kopírováním nebo přetažením do složky Aplikace. Po instalaci násilně zavřete Chromium a zatím ho neotevírejte, pracujeme z Safari.

killall Chromium-Gost

5. Nainstalujeme rozšíření prohlížeče

5.1 KryptoPro EDS Browser plug-in

Na na stránce pro stahování webu CryptoPro stáhneme a nainstalujeme CryptoPro EDS prohlížeč plug-in verze 2.0 pro uživatele – stáhnout.

5.2. Plugin pro Státní služby

Na na stránce pro stahování na portálu státních služeb stáhneme a nainstalujeme Plugin pro práci s portálem státních služeb (verze pro macOS) – stáhnout.

5.3. Nastavujeme plugin pro Státní služby

Stahujeme správný konfigurační soubor pro rozšíření státních služeb z webu CryptoPro – stáhnout.

Vykonáváme příkazy v terminálu:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktivujeme rozšíření

Spouštíme prohlížeč Chromium-Gost a do adresního řádku píšeme:

chrome://extensions/

Zapneme obě nainstalovaná rozšíření:

CryptoPro Extension for CAdES Browser Plug-in
Rozšíření pro plugin státních služeb

Snímek obrazovky

5.5. Nastavujeme rozšíření KryptoPro EDS Browser plug-in

Do adresního řádku Chromium-Gost píšeme:

/etc/opt/cprocsp/trusted_sites.html

Na zobrazené stránce do seznamu důvěryhodných uzlů postupně přidáváme weby:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Klikneme na „Uložit“. Měla by se objevit zelená lišta:

Seznam důvěryhodných uzlů byl úspěšně uložen.

Snímek obrazovky

6. Ověřujeme, že vše funguje

6.1. Přihlásíme se na testovací stránku KryptoPro

Do adresního řádku Chromium-Gost píšeme:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Mělo by se zobrazit „Plugin je nahrán“, a v seznamu níže by měl být váš certifikát.
Vybereme certifikát ze seznamu a klikneme na „Podepsat“. Bude vyžadován PIN kód certifikátu. Mělo by se zobrazit

Podpis byl úspěšně vytvořen

Snímek obrazovky

6.2. Přihlásíme se do osobního účtu na nalog.ru

Odkazy z webu nalog.ru nemusí fungovat, protože nebude splněno ověření. Je nutné přistupovat přímo:

Osobní kabinet OSVČ: https://lkipgost.nalog.ru/lk
Osobní kabinet Právnická osoba: https://lkul.nalog.ru

Snímek obrazovky

6.3. Přihlásíme se na Státní služby

Při autorizaci vyberte „Přihlásit pomocí elektronického podpisu“. V zobrazeném seznamu „Výběr certifikátu klíče pro ověření elektronického podpisu“ budou uvedeny všechny certifikáty, včetně kořenových a certifikačních autorit, vyberte svůj z USB tokenu a zadejte PIN.

Snímek obrazovky

7. Co dělat, pokud přestalo fungovat

Odpojujeme USB token a ověřujeme, že je vidět pomocí příkazu v terminálu:
```
sudo /opt/cprocsp/bin/csptest -card -enum -v
```
Vymažeme cache prohlížeče za celé období, k čemuž do adresního řádku Chromium-Gost píšeme:
```
chrome://settings/clearBrowserData
```
Znovu nainstalujeme certifikát EDS pomocí příkazu v terminálu:
```
/opt/cprocsp/bin/csptestf -absorb -certs
```

Změna PIN kódu kontejnere

Základní PIN kód na RUTOKEN je 12345678, a nesmí být ponechán takto. Požadavky na PIN kód RUTOKEN: maximálně 16 znaků, může obsahovat latinská písmena a číslice.

1. Zjistíme název kontejneru EDS

Na USB tokenu a v dalších úložištích může být uloženo několik certifikátů, a je nutné vybrat ten správný. Po vložení USB tokenu získáme seznam všech kontejnerů v systému příkazem v terminálu:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Příkaz by měl vrátit minimálně 1 kontejner a vrátit

[ErrorCode: 0x00000000]

Požadovaný kontejner má podobu

.Aktiv Rutoken liteXXXXXXXX

Pokud se zobrazuje více těchto kontejnerů, znamená to, že na tokenu je uloženo několik certifikátů a vy víte, který přesně potřebujete. Hodnota XXXXXXXX po lomítku musí být zkopírována a vložena do níže uvedeného příkazu.

2. Změna PIN příkazem z terminálu

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

kde XXXXXXXX – název kontejneru získaný v kroku 1 (povinně v uvozovkách).

Objeví se dialog CryptoPro s požadavkem na starý PIN kód pro přístup k certifikátu, poté další dialog pro zadání nového PIN kódu. Hotovo.

Snímek obrazovky

Podpis souborů na macOS

V macOS lze soubory podepisovat v softwaru CryptoArm (cena licence 2500 rub.), nebo jednoduchým příkazem přes terminál – zdarma.

1. Zjistíme hash certifikátu ZEP

Na tokenu a v dalších úložištích může být několik certifikátů. Je nutné jednoznačně identifikovat ten, kterým budeme podepisovat dokumenty. Provádí se to jednou.
Token musí být vložen. Získáme seznam certifikátů v úložištích příkazem z terminálu:

/opt/cprocsp/bin/certmgr -list

Příkaz by měl vrátit minimálně 1 certifikát ve formátu:

Certmgr 1.1 © „Crypto-Pro“, 2007-2018.
program pro správu certifikátů, CRL a úložišť
= = = = = = = = = = = = = = = = = = = =
1——-
Vydavatel: E=help@esphere.ru,… CN=OOO KORUS Consulting СНГ…
Subjekt: E=sergzah@gmail.com,… CN=Zacharov Sergey Anatoljevič…
Sériové číslo: 0x0000000000000000000000000000000000
SHA1 hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Kontejner: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

U požadovaného certifikátu by měl mít parametr Kontejner hodnotu ve formátu SCARDrutoken…. Pokud by bylo více certifikátů s takovými hodnotami, znamená to, že na tokenu je uloženo několik certifikátů a vy víte, který přesně potřebujete. Hodnota parametru SHA1 hash (40 znaků) musí být zkopírována a vložena do níže uvedeného příkazu.

2. Podepsání souboru příkazem z terminálu

V terminálu přejdeme do adresáře se souborem, který chceme podepsat, a provedeme příkaz:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

kde XXXX… – hash certifikátu získaný v kroku 1, a FILE – název souboru k podepsání (se všemi příponami, ale bez cesty).

Příkaz by měl vrátit:

Podepsaná zpráva byla vytvořena.
[ErrorCode: 0x00000000]

Bude vytvořen soubor elektronického podpisu s příponou *.sgn – to je odpojený podpis ve formátu CMS s kódováním DER.

3. Instalace Apple Automator Script

Aby se vám každou chvíli nepracovalo s terminálem, můžete jednou nainstalovat skript Automator, díky němuž budete moci podepisovat dokumenty přímo z kontextového menu Finderu. K tomu si stáhneme archiv – stáhnout.

Rozbalíme archiv ‘Sign with CryptoPro.zip’
Spouštíme Automator
Najdeme a otevřeme rozbalený soubor ‘Sign with CryptoPro.workflow’
V bloku Run Shell Script změníme text XXXXXXXXXXXXXXX na hodnotu parametru SHA1 hash certifikátu KEP, získaného výše.
Uložíme skript: ⌘Command + S
Spustíme soubor ‘Sign with CryptoPro.workflow’ a potvrdíme instalaci.
Přejdeme do System Preferences —> Extensions —> Finder a zkontrolujeme, že Sign with CryptoPro rychlá akce je zaškrtnuta.
V Finderu vyvoláme kontextové menu jakéhokoli souboru, a v sekci Quick Actions a/nebo Services vybereme položku Sign with CryptoPro
V zobrazeném dialogu KryptoPro zadáme PIN kód uživatele od KEP
V aktuálním katalogu se objeví soubor s příponou *.sgn – oddělený podpis ve formátu CMS s kódováním DER.

Snímek obrazovky

Okno Apple Automator:

System Preferences:

Kontextové menu Finder:

Zkontrolovat podpis na dokumentu

Pokud obsah dokumentu neobsahuje tajemství a související informace, je nejjednodušší použít webovou službu na portálu státních služeb – https://www.gosuslugi.ru/pgu/eds. Tak si můžete pořídit snímek z důvěryhodného zdroje a být si jistí, že s podpisem je vše v pořádku.

Snímek obrazovky

Zdroj: habr.com