Kvalificeret elektronisk signatur på macOS

Ifølge data fra RBC og Tensor, i 2019 vil der i Rusland blive udstedt 4,6 millioner kvalificerede digitale underskriftscertifikater (KÊP), som opfylder kravene i 63-FZ. Det viser sig, at ud af 8 millioner registrerede enkeltpersoner og selskaber anvender hver anden iværksætter en digital underskrift. Udover KÊP til EGAIS og cloud-baserede KÊP til indsendelse af rapporter, der udstedes af banker og regnskabstjenester, er der særlig interesse for universelle KÊP på beskyttede tokens. Sådanne certifikater gør det muligt at logge ind på offentlige portaler og underskrive dokumenter, hvilket gør dem juridisk bindende.

Takket være KÊP-certifikatet på en USB-token kan man på afstand indgå en kontrakt med en modpart eller fjernmedarbejder, sende dokumenter til retten; registrere en online-kasse, regulere gældskrav og indsende en selvangivelse i personlig konto på nalog.ru; få information om gæld og kommende kontrol på Borger.dk.

Den nedenstående manual vil hjælpe med at arbejde med KÊP på macOS – uden at skulle studere KrytoPro-fora og installation af en virtuel maskine med Windows.

Indhold

Hvad der er nødvendigt for at arbejde med KÊP på macOS:

Installerer og konfigurerer KÊP på macOS

1. Installerer KrytoPro CSP
2. Installerer drivere til Rutoken
3. Installerer certifikater
   3.1. Fjern alle gamle GOST-certifikater
   3.2. Installerer rodcertifikater
   3.3. Downloader certifikater fra certificeringsmyndigheden
   3.4. Installerer certifikatet med Rutoken
4. Installerer den særlige browser Chromium-GOST
5. Installerer udvidelser til browseren
   5.1 KrytoPro E-signatur Browser plug-in
   5.2. Plugin til Borger.dk
   5.3. Konfigurerer plugin til Borger.dk
   5.4. Aktiverer udvidelser
   5.5. Konfigurerer KrytoPro E-signatur Browser plug-in
6. Tjekker at alt fungerer
   6.1. Går ind på test-siden KrytoPro
   6.2. Går ind i den Personlige Konto på nalog.ru
   6.3. Går ind på Borger.dk
7. Hvad skal man gøre, hvis det stopper med at fungere

Ændring af PIN-kode på containeren

1. Finder navnet på KÊP-containeren
2. Ændring af PIN med en kommando fra terminalen

Underskrive filer på macOS

1. Finder hash-værdien af KÊP-certifikatet
2. Underskriver en fil med en kommando fra terminalen
3. Installation af Apple Automator Script

Tjekker underskriften på dokumentet

Al information nedenfor er hentet fra autoritative kilder (KrytoPro #1 og #2, Rutoken, Korus-Consulting, UFO Ministeriet for Kommunikation), og software kan downloades fra pålidelige websteder. Forfatteren er en uafhængig konsulent og har ingen forbindelse til nogen af de nævnte virksomheder. Ved at følge denne instruktion påtager du dig hele ansvaret for enhver handling og konsekvens.

Hvad der er nødvendigt for at arbejde med KÊP på macOS:

1. KÆP på USB-token Rutoken Lite eller Rutoken E-signatur
2. kryptokontainer i KryptoPro format
3. med indbygget licens til KryptoPro CSP

Enheder eToken og JaCarta fungerer ikke med KryptoPro under macOS. Rutoken Lite er det bedste valg, det koster 500–1000 rubler, fungerer hurtigt og kan gemme op til 15 nøgler.

Kryptoleverandørerne VipNet, Signal-COM og LISSI understøttes ikke under macOS. Det er ikke muligt at konvertere containerne. KryptoPro er det bedste valg, prisen for certificatet skal være omkring 1300 rubler for enkeltpersoner og 1600 rubler for juridiske personer.

Normalt er årslicensen til KryptoPro CSP allerede inkluderet i certificatet og gives gratis af mange CA'er. Hvis dette ikke er tilfældet, skal du købe og aktivere en livslang licens til KryptoPro CSP af version 4, som koster 2700 rubler. KryptoPro CSP version 5 fungerer i øjeblikket ikke under macOS.

Installerer og konfigurerer KÊP på macOS

Åbenlyse ting

• alle downloadede filer gemmes i standardkataloget: ~/Downloads/;
• i alle installatører ændrer vi ikke noget, alt efterlades som standard;
• hvis macOS viser en advarsel om, at programmet er fra en ukendt udvikler - skal du bekræfte kørsel i systemindstillingerne: Systemindstillinger —> Sikkerhed & Privatliv —> Åbn alligevel;
• hvis macOS beder om brugernes adgangskode og tilladelse til at styre computeren - skal du indtaste adgangskoden og acceptere alt.

1. Installer KryptoPro CSP

Registrer dig på KryptoPro's hjemmeside og fra downloadsiden downloader og installer versionen KryptoPro CSP 4.0 R4 for macOS – downloade.

2. Installer Rutoken-drivere

Det står skrevet på hjemmesiden, at dette er valgfrit, men det er bedst at installere det. Fra downloadsiden hjemmesiden for Rutoken downloader og installerer vi Modul til støtte for KeyChain – downloade.

Tilslut USB-token, åbn terminalen og udfør kommandoen:

/opt/cprocsp/bin/csptest -card -enum -v

I svaret skal der være:

Aktiv Rutoken…
Kort til stede…
[FejlKode: 0x00000000]

3. Installer certifikater

3.1. Fjern alle gamle GOST-certifikater

Hvis der tidligere har været forsøg på at køre KÆP under macOS, skal alle tidligere installerede certifikater renses. Disse kommandoer i terminalen vil kun slette KryptoPro-certifikaterne og berører ikke almindelige certifikater i Keychain under macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Hver kommando skal returnere:

Ingen certifikat, der matcher kriterierne

eller

Sletning komplet

3.2. Installerer rodcertifikater

Rodcertifikater er fælles for alle digitale signaturer (KÉP) udstedt af et certifikatudstedelsescenter. Download fra downloadsiden UFO for Ministeriet for Digitalisering:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

Installerer med følgende kommandoer i terminalen:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Hver kommando skal returnere:

Installerer:
…
[FejlKode: 0x00000000]

3.3. Downloader certifikater fra certificeringsmyndigheden

Dernæst skal du installere certifikaterne fra det certifikatudstedelsescenter, hvor du har fået KÉP udstedt. Som regel findes rodcertifikaterne for hvert CА på deres websted i downloadafsnittet.

Alternativt kan certifikaterne fra ethvert CА downloades fra UFO for Ministeriet for Digitalisering. For at gøre dette skal du i søgefeltet finde CА efter navn, gå til siden med certifikaterne og downloade alle aktive certifikater - det vil sige dem, hvor feltet ‘Gælder’ den anden dato endnu ikke er nået. Download ved at klikke på linket i feltet ‘Fingerprint’.

Screenshots

Som et eksempel med CА Corus-Consulting: du skal downloade 4 certifikater fra downloadsiden:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

De downloadede certifikater fra CА installeres med kommandoerne fra terminalen:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

hvor efter ~/Downloads/ følger navnene på de downloadede filer, som vil være unikke for hver CА.

Hver kommando skal returnere:

Installerer:
…
[FejlKode: 0x00000000]

3.4. Installerer certifikatet med Rutoken

Kommandoen i terminalen:

/opt/cprocsp/bin/csptestf -absorb -certs

Kommandoen skal returnere:

OK.
[FejlKode: 0x00000000]

4. Installerer den specielle browser Chromium-GOST

For at arbejde med statslige portaler kræves en specialversion af browseren Chrome - Chromium-GOST. Kildekoden til projektet er åbnet, linket til repository på GitHub gives på CryptoPro-webstedet. Erfaringen viser, at andre browsere CryptoFox og Yandex.Browser ikke egner sig til at arbejde med statslige portaler i macOS. Bemærk, at i nogle versioner af Chromium-GOST kan personlig konto på nalog.ru fryse eller rulle ikke fungerer, så den gamle, velprøvede version 71.0.3578.98 – downloade.

Download og pak arkivet ud, installer browseren ved at kopiere eller trække og slippe det i Applikationer-kataloget. Efter installationen tvinger vi Chromium til at lukke og åbner det ikke, vi arbejder fra Safari.

killall Chromium-Gost

5. Installerer udvidelser til browseren

5.1 KrytoPro E-signatur Browser plug-in

Fra downloadsiden På KryptoPro downloader og installerer vi KryptoPro EDS Browser plug-in version 2.0 til brugere – downloade.

5.2. Plugin til Borger.dk

Fra downloadsiden På portalen for offentlige tjenester downloader og installerer vi Plugin til arbejde med den offentlige tjenesteportal (version til macOS) – downloade.

5.3. Konfigurerer plugin til Borger.dk

Vi downloader den korrekte konfigurationsfil til udvidelsen for offentlige tjenester fra KryptoPro-siden – downloade.

Vi udfører kommandoer i terminalen:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktiverer udvidelser

Vi starter browseren Chromium-Gost og indtaster i adresselinjen:

chrome://extensions/

Vi aktiverer begge installerede udvidelser:

• CryptoPro Extension for CAdES Browser Plug-in
• Udvidelse til plugin for offentlige tjenester

Screenshot

5.5. Konfigurerer KrytoPro E-signatur Browser plug-in

I adresselinjen i Chromium-Gost indtaster vi:

/etc/opt/cprocsp/trusted_sites.html

På den fremkomne side tilføjer vi en efter en følgende hjemmesider til listen over betroede værter:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Vi trykker "Gem". Der skal vises et grønt banner:

Listen over betroede værter er gemt korrekt.

Screenshot

6. Tjekker at alt fungerer

6.1. Går ind på test-siden KrytoPro

I adresselinjen i Chromium-Gost indtaster vi:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Der skal vises "Plugin er blevet indlæst", og dit certifikat skal være til stede i listen nedenfor.
Vi vælger certifikatet fra listen og trykker "Underskriv". Der vil blive bedt om certifikatets PIN-kode. Til sidst skal der vises

Underskrift er blevet dannet succesfuldt

Screenshot

6.2. Går ind i den Personlige Konto på nalog.ru

Det kan være, at links fra nalog.ru ikke virker, da kontrollerne ikke vil blive bestået. Man skal gå ind via de direkte links:

• Personligt kabinet IVS: https://lkipgost.nalog.ru/lk
• Personligt kabinet Juridisk enhed: https://lkul.nalog.ru

Screenshot

6.3. Går ind på Borger.dk

Ved autorisation vælger vi "Log ind med digital signatur". I den fremkomne liste "Valg af certifikat til validering af digital signatur" vil alle certifikater blive vist, inklusiv rodcertifikater og CA, man skal vælge dit certifikat fra USB-token og indtaste PIN.

Screenshot

7. Hvad hvis det stopper med at virke

1. Genopretter USB-token og tjekker, at den er synlig ved hjælp af kommandoen i terminalen:

   sudo /opt/cprocsp/bin/csptest -card -enum -v

2. Vi rydder browserens cache for altid, for dette indtaster vi i adresselinjen i Chromium-Gost:

   chrome://settings/clearBrowserData

3. Vi geninstallerer KЭП certifikatet ved hjælp af kommandoen i terminalen:

   /opt/cprocsp/bin/csptestf -absorb -certs

Ændring af PIN-kode på containeren

Brugerens PIN-kode på Rutoken er som standard 12345678, og det må ikke efterlades i denne form. Krav til Rutoken PIN-koden: max. 16 tegn, kan indeholde latinske bogstaver og tal.

1. Vi finder ud af navnet på KЭП-containeren

På USB-nøglen og i andre lagringsenheder kan der være flere certifikater, og det er nødvendigt at vælge det rigtige. Når USB-nøglen er tilsluttet, får vi en liste over alle containere i systemet med kommandoen i terminalen:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Kommandoen skal vise mindst 1 container og returnere

[FejlKode: 0x00000000]

Den ønskede container ser ud som

.Aktiv Rutoken liteXXXXXXXX

Hvis der vises flere af disse containere, betyder det, at der er flere certifikater gemt på nøglen, og du er klar over, hvilket du har brug for. Værdien XXXXXXXX efter skråstregen skal kopieres og indsættes i kommandoen nedenfor.

2. Ændring af PIN-koden med kommandoen fra terminalen

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

hvor XXXXXXXX – navnet på containeren, fået i trin 1 (skal være i anførselstegn).

Der vises en dialog fra KryptoPro med anmodning om den gamle PIN-kode for adgang til certifikatet, derefter endnu en dialog til indtastning af den nye PIN-kode. Klar.

Screenshot

Underskrive filer på macOS

I macOS kan filer underskrives i software KryptoArm (licensprisen er 2500 rubler), eller med en enkel kommando via terminalen – gratis.

1. Find hash af KEP-certifikatet

På nøglen og i andre lagringsenheder kan der være flere certifikater. Det er nødvendigt entydigt at identificere det, vi fremover vil bruge til at underskrive dokumenter. Dette gøres én gang.
Nøglen skal være indsat. Vi får en liste over certifikater i lagringsenhederne med kommandoen fra terminalen:

/opt/cprocsp/bin/certmgr -list

Kommandoen skal vise mindst 1 certifikat af følgende type:

Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program til at administrere certifikater, CRLs og lagre
= = = = = = = = = = = = = = = = = = = =
1——-
Udsteder: E=help@esphere.ru,… CN=ООО КОРУС Консалтинг СНГ…
Emne: E=sergzah@gmail.com,… CN=Захаров Сергей Анатольевич…
Serienummer: 0x0000000000000000000000000000000000
SHA1-Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Container: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[FejlKode: 0x00000000]

For det certifikat, vi har brug for, skal parameteren Container have en værdi, der ser ud som SCARDrutoken…. Hvis der er flere certifikater med sådanne værdier, betyder det, at der er flere certifikater gemt på nøglen, og du er klar over, hvilket du har brug for. Værdien af parameteren SHA1-Hash (40 tegn) skal kopieres og indsættes i kommandoen nedenfor.

2. Underskrift af filen med kommandoen fra terminalen

I terminalen bevæger vi os til kataloget med filen, der skal underskrives, og udfører kommandoen:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

hvor XXXX… – hash af certifikatet, fået i trin 1, og FILE – navnet på filen til underskrift (med alle filendelser, men uden sti).

Kommandoen skal returnere:

Den signerede meddelelse er oprettet.
[FejlKode: 0x00000000]

Der bliver oprettet en fil med den elektroniske underskrift med filtypen *.sgn – dette er en adskilt underskrift i CMS-format med DER-kodning.

3. Installation af Apple Automator Script

For convenience, you can install the Automator Script once, which allows you to sign documents from the Finder context menu. To do this, download the archive – downloade.

1. Unpack the archive ‘Sign with CryptoPro.zip’
2. Starting Automator
3. Find and open the extracted file ‘Sign with CryptoPro.workflow’
4. I blokken Run Shell Script change the text XXXXXXXXXXXXXXXXXXXXXXXXXX to the parameter value SHA1-Hash of the EDS certificate obtained above.
5. Save the script: ⌘Command + S
6. Run the file ‘Sign with CryptoPro.workflow’ and confirm the installation.
7. Go to System Preferences —> Extensions —> Finder and check that Sign with CryptoPro quick action is checked.
8. In Finder, open the context menu of any file, and under Quick Actions og/eller Services select the item Sign with CryptoPro
9. In the dialog that appears, enter the user PIN for the EDS
10. A file with the extension *.sgn will appear in the current directory – a detached signature in CMS format with DER encoding.

Screenshots

Apple Automator window:

System Preferences:

Finder context menu:

Tjekker underskriften på dokumentet

If the document's content does not contain secrets or confidential information, it is easiest to use the web service on the State Services portal – https://www.gosuslugi.ru/pgu/eds. This way, you can take a screenshot from an authoritative resource and be confident that everything is okay with the signature.

Screenshots

Kilde: habr.com