Kvalificirani elektronički potpis za macOS

Prema podacima RBK i Tenzor, 2019. godine u Rusiji će biti izdano 4,6 milijuna certifikata kvalificiranih elektroničkih potpisa (KEP), koji su u skladu s zahtjevima zakona 63-FZ. To znači da od 8 milijuna registriranih poduzetnika i društava s ograničenom odgovornošću svaki drugi poduzetnik koristi elektronički potpis. Osim KEP-a za EGAIS i oblačnih KEP-a za podnošenje izvještaja, koje izdaju banke i računovodstveni servisi, posebnu pažnju privlače univerzalni KEP-ovi na zaštićenim tokenima. Ovi certifikati omogućuju prijavu na državne portale i potpisivanje bilo kojih dokumenata, čineći ih pravno značajnima.

Uz KEP certifikat na USB tokenu možete daljinski sklopiti ugovor s poslovnim partnerom ili udaljenim zaposlenikom, poslati dokumente sudu; registrirati online blagajnu, riješiti dugovanja po porezima i predati deklaraciju u osobnom računu na nalog.ru; saznati o dugovanjima i predstojećim provjerama na Gosuslugama.

U sljedećem priručniku pomoći će vam raditi s KEP-om na macOS-u – bez proučavanja foruma KryptoPro i instalacije virtualne mašine s Windowsima.

Sadržaj

Što je potrebno za rad s KEP-om na macOS-u:

Instaliramo i postavljamo KEP na macOS

1. Instaliramo KryptoPro CSP
2. Instaliramo upravljačke programe RUToken
3. Instaliramo certifikate
   3.1. Brišemo sve stare GOST certifikate
   3.2. Instaliramo korijenske certifikate
   3.3. Preuzimamo certifikate certificirajućeg tijela
   3.4. Instaliramo certifikat s RUToken-a
4. Instaliramo posebni preglednik Chromium-GOST
5. Instaliramo proširenja za preglednik
   5.1 KryptoPro ETP preglednički dodatak
   5.2. Dodatak za Gosusluge
   5.3. Podesimo dodatak za Gosusluge
   5.4. Aktiviramo proširenja
   5.5. Podesimo proširenje KryptoPro ETP preglednički dodatak
6. Provjeravamo da sve radi
   6.1. Prijavljujemo se na probnu stranicu KryptoPro
   6.2. Prijavljujemo se u Osobni Račun na nalog.ru
   6.3. Prijavljujemo se na Gosusluge
7. Što učiniti ako prestane raditi

Promjena PIN koda kontejnera

1. Saznajemo naziv kontejnera KEP-a
2. Promjena PIN-a komandnom iz terminala

Potpisivanje datoteka na macOS-u

1. Saznajemo hash certifikata KEP-a
2. Potpisivanje datoteke komandnom iz terminala
3. Instalacija Apple Automator skripte

Provjerite potpis na dokumentu

Sve informacije u nastavku dobivene su iz pouzdanih izvora (KryptoPro #1 i #2, RUToken, Korus-Consulting, UFO Ministarstvo komunikacija), a preuzimanje softvera nudi se s pouzdanih web-stranica. Autor je neovisni konzultant i nije povezan s nijednom od spomenutih tvrtki. Slijedeći ovu uputu, svu odgovornost za bilo kakve radnje i posljedice preuzimate na sebe.

Što je potrebno za rad s KEP-om na macOS-u:

1. KEP na USB tokenu Rutoken Lite ili Rutoken ECP
2. kriptokontejner u KryptoPro formatu
3. s ugrađenom licencom za KryptoPro CSP

Uređaji E eToken i JaCarta u kombinaciji s KryptoPro na macOS nisu podržani. Uređaj Rutoken Lite je optimalan izbor, cijena mu je 500..1000 rub., brzo radi i omogućuje pohranu do 15 ključeva.

Kryptoprovajderi VipNet, Signal-COM i LISSI na macOS nisu podržani. Konverzija kontejnera nije moguća. KryptoPro je optimalan izbor, cijena certifikata trebala bi biti oko 1300 rub. za fizičke osobe i 1600 rub. za pravne osobe.

Obično je godišnja licenca za KryptoPro CSP već uključena u certifikat i mnoge CA pružaju besplatno. Ako to nije slučaj, potrebno je kupiti i aktivirati trajnu licencu za KryptoPro CSP strogo verzije 4, cijena je 2700 rub. KryptoPro CSP verzija 5 trenutno ne radi na macOS.

Instaliramo i postavljamo KEP na macOS

Očigledne stvari

• svi preuzeti datoteke preuzimaju se u zadani direktorij: ~/Downloads/;
• u svim instalaterima ništa ne mijenjamo, sve ostavljamo po zadanim postavkama;
• ako macOS prikazuje upozorenje da se pokreće softver od nepoznatog proizvođača – potrebno je potvrditi pokretanje u sistemskim postavkama: Postavke sustava —> Sigurnost i privatnost —> Otvori u svakom slučaju;
• ako macOS traži lozinku korisnika i dopuštenje za upravljanje računalom – potrebno je unijeti lozinku i pristati na sve.

1. Instaliramo KryptoPro CSP

Registriramo se na KryptoPro web stranici i sa stranice za preuzimanje preuzimamo i instaliramo verziju KryptoPro CSP 4.0 R4 za macOS – preuzimanje.

2. Instaliramo vozače Rutoken

Na web stranici piše da je to opcionalno, ali bolje je instalirati. Sa stranice za preuzimanje web stranice Rutoken preuzimamo i instaliramo Modul za podršku KeyChain-u – preuzimanje.

Nakon toga priključujemo usb token, pokrećemo terminal i izvršavamo naredbu:

/opt/cprocsp/bin/csptest -card -enum -v

U odgovoru bi trebalo biti:

Aktiv Rutoken…
Kartica prisutna…
[ErrorCode: 0x00000000]

3. Instaliramo certifikate

3.1. Brišemo sve stare GOST certifikate

Ako su ranije postojali pokušaji pokretanja KEP-a na macOS, potrebno je očistiti sve ranije instalirane certifikate. Ove naredbe u terminalu će ukloniti samo KryptoPro certifikate i neće utjecati na obične certifikate iz Keychain-a na macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Svaki odgovor komande treba da sadrži:

Nema certifikata koji odgovara kriterijumu

ili

Brisanje je završeno

3.2. Instaliramo korijenske certifikate

Koreni certifikati su zajednički za sve kvalifikovane elektronske potpise izdatih od strane bilo kog sertifikacionog tela. Preuzimamo sa stranice za preuzimanje UFO Mincomsvyaz:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

Instaliramo naredbama u terminalu:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Svaka komanda treba da vrati:

Instalacija:
…
[ErrorCode: 0x00000000]

3.3. Preuzimamo certifikate certificirajućeg tijela

Zatim treba instalirati sertifikate sertifikacionog tela, odakle ste izradili kvalifikovani elektronski potpis. Obično se koreni sertifikati svakog sertifikacionog tela nalaze na njihovom sajtu u sekciji za preuzimanje.

Alternativno, sertifikate bilo kog sertifikacionog tela možete preuzeti sa sajta UFO Mincomsvyaz. Za to, u pretrazi treba naći sertifikaciono telo po nazivu, preći na stranicu sa sertifikatima i preuzeti sve aktualne sertifikate – to jest one kod kojih je u polju ‘Važi’ drugi datum još nije nastupio. Preuzimati putem linka iz polja ‘Otisak’.

Snimci ekrana

Na primeru sertifikacionog tela Korus-Konsalting: treba preuzeti 4 sertifikata sa stranice za preuzimanje:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

Preuzeti sertifikate sertifikacionog tela instaliramo naredbama iz terminala:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

gde posle ~/Downloads/ dolaze imena preuzetih fajlova; za svako sertifikaciono telo će biti različita.

Svaka komanda treba da vrati:

Instalacija:
…
[ErrorCode: 0x00000000]

3.4. Instaliramo certifikat s RUToken-a

Komanda u terminalu:

/opt/cprocsp/bin/csptestf -absorb -certs

Komanda treba da vrati:

OK.
[ErrorCode: 0x00000000]

4. Instaliramo posebnu verziju pretraživača Chromium-GOST

Za rad sa državnim portalima potrebna je posebna verzija pretraživača Chromium – Chromium-GOST. Izvorni kod projekta je otvoren, link na repozitorijum na GitHubu naveden je na sajtu KryptoPro. Po iskustvu, drugi pretraživači CryptoFox i Yandex.Brauzer za rad sa državnim portalima pod macOS nisu pogodni. Treba uzeti u obzir da u nekim verzijama Chromium-GOST lični kabinet na nalog.ru može da se zamrzne ili uopšte prestane da radi skrolovanje, pa se preporučuje stara proveren verzija 71.0.3578.98 – preuzimanje.

Preuzimamo i raspakujemo arhivu, instaliramo pretraživač kopiranjem ili prevlačenjem u katalog Applications. Nakon instalacije prisilno zatvorimo Chromium i za sada ga ne otvaramo, radimo preko Safarija.

killall Chromium-Gost

5. Instaliramo proširenja za preglednik

5.1 KryptoPro ETP preglednički dodatak

Na stranice za preuzimanje web stranici CryptoPro preuzimamo i instaliramo CryptoPro ECP Browser plug-in verzija 2.0 za korisnike – preuzimanje.

5.2. Dodatak za Gosusluge

Na stranice za preuzimanje na portalu eGrađani preuzimamo i instaliramo Proširenje za rad s portalom državnih usluga (verzija za macOS) – preuzimanje.

5.3. Podesimo dodatak za Gosusluge

Preuzimamo ispravnu konfiguracijsku datoteku za proširenje eGrađani sa stranice CryptoPro – preuzimanje.

Izvršavamo naredbe u terminalu:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktiviramo proširenja

Pokrećemo preglednik Chromium-Gost i u adresnu traku upisujemo:

chrome://extensions/

Aktiviramo oba instalirana proširenja:

• CryptoPro proširenje za CAdES Browser Plug-in
• Proširenje za plug-in eGrađani

Snimka ekrana

5.5. Podesimo proširenje KryptoPro ETP preglednički dodatak

U adresnoj traci Chromium-Gost upisujemo:

/etc/opt/cprocsp/trusted_sites.html

Na pojavljenoj stranici u popis pouzdanih čvorova redom dodajemo sljedeće stranice:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Kliknemo “Spremi”. Trebala bi se pojaviti zelena obavijest:

Popis pouzdanih čvorova uspješno je spremljen.

Snimka ekrana

6. Provjeravamo da li sve radi

6.1. Prijavljujemo se na probnu stranicu KryptoPro

U adresnoj traci Chromium-Gost upisujemo:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Trebalo bi biti prikazano “Proširenje učitano”, a na listi ispod treba biti vaš certifikat.
Biramo certifikat s liste i kliknemo “Potpiši”. Bit će zatražen PIN kod certifikata. Na kraju bi se trebala prikazati

Potpis je uspješno generiran

Snimka ekrana

6.2. Prijavljujemo se u Osobni Račun na nalog.ru

Preko linkova s web stranice nalog.ru možda nećete moći ući, jer neće proći provjere. Trebate ući putem izravnih linkova:

• Osobni kabinet Samostalni poduzetnik: https://lkipgost.nalog.ru/lk
• Osobni kabinet Pravno lice: https://lkul.nalog.ru

Snimka ekrana

6.3. Prijavljujemo se na Gosusluge

Prilikom prijave odabiremo „Prijaviti se putem elektroničkog potpisa“. U pojavljenom popisu „Odabir certifikata za provjeru elektroničkog potpisa“ bit će prikazani svi certifikati, uključujući korijenske i CA, trebate odabrati svoj s usb-tokena i unijeti PIN.

Snimka ekrana

7. Što učiniti ako prestane raditi

1. Ponovo povezujemo usb-token i provjeravamo je li vidljiv pomoću komande u terminalu:

   sudo /opt/cprocsp/bin/csptest -card -enum -v

2. Brišemo keš preglednika za cijelo vrijeme, za što u adresnoj traci Chromium-Gost upisujemo:

   chrome://settings/clearBrowserData

3. Ponovno instaliramo certifikat KEP pomoću komande u terminalu:

   /opt/cprocsp/bin/csptestf -absorb -certs

Promjena PIN koda kontejnera

Korisnički PIN kod na RUToken po zadanim postavkama 12345678, i ne smije se ostaviti u ovom obliku. Zahtjevi za PIN kod RUToken: max. 16 znakova, može sadržavati latinična slova i brojke.

1. Utvrđujemo naziv kontejnera KEP

Na USB tokenu i drugim spremnicima može biti pohranjenih više certifikata, a potrebno je odabrati pravi. Kada je USB token umetnut, dobivamo popis svih kontejnera u sustavu naredbom u terminalu:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Naredba treba ispisati najmanje jedan kontejner i vratiti

[ErrorCode: 0x00000000]

Potrebni kontejner izgleda kao

.Aktiv Rutoken liteXXXXXXXX

Ako se ispisuje više takvih kontejnera, to znači da je na tokenu zapisano više certifikata, i svjesni ste koji vam je točno potreban. Vrijednost XXXXXXXX nakon kose crte potrebno je kopirati i umetnuti u sljedeću naredbu.

2. Promjena PIN-a naredbom iz terminala

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

gdje XXXXXXXX – naziv kontejnera, dobiven u koraku 1 (obavezno u navodnicima).

Pojavit će se dijalog CryptoPro s upitom za stari PIN kod za pristup certifikatu, zatim još jedan dijalog za unos novog PIN koda. Gotovo.

Snimka ekrana

Potpisivanje datoteka na macOS-u

Na macOS-u datoteke se mogu potpisivati u softveru KryptoArm (cijena licence 2500= rub.), ili jednostavnom naredbom kroz terminal – besplatno.

1. Utvrđujemo heš certifikata KEP

Na tokenu i drugim spremnicima može biti više certifikata. Potrebno ih je jednoznačno identificirati onaj kojim ćemo ubuduće potpisivati dokumente. Radi se to jednom.
Token mora biti umetnut. Dobivamo popis certifikata u spremnicima naredbom iz terminala:

/opt/cprocsp/bin/certmgr -list

Naredba treba ispisati najmanje 1 certifikat u obliku:

Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program za upravljanje certifikatima, CRL-ovima i spremnicima
= = = = = = = = = = = = = = = = = = = =
1——-
Izvornik: E=help@esphere.ru,… CN=OOO KORUS Konsalting SNG…
Subjekt: E=sergzah@gmail.com,… CN=Zaharov Sergey Anatol'evič…
Serijski broj: 0x0000000000000000000000000000000000
SHA1 heš: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Kontejner: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

Za potrebni certifikat u parametru Kontejner mora biti vrijednost oblika SCARDrutoken…. Ako postoji više certifikata s takvim vrijednostima, to znači da je na tokenu zapisano više certifikata, i svjesni ste koji vam je potreban. Vrijednost parametra SHA1 heš (40 znakova) potrebno je kopirati i umetnuti u sljedeću naredbu.

2. Potpisivanje datoteke naredbom iz terminala

U terminalu prelazimo u katalog s datotekom za potpisivanje i izvršavamo naredbu:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

gdje XXXXX… – heš certifikata, dobiven u koraku 1, a FILE – naziv datoteke za potpisivanje (sa svim ekstenzijama, bez putanje).

Komanda treba da vrati:

Potpisana poruka je stvorena.
[ErrorCode: 0x00000000]

Bit će stvorena datoteka elektroničkog potpisa s ekstenzijom *.sgn – to je odvojeni potpis u CMS formatu s DER kodiranjem.

3. Instalacija Apple Automator skripte

Kako ne biste svaki put radili s terminalom, jednom možete instalirati Automator Script, putem kojeg možete potpisivati dokumente iz kontekstnog izbornika Findera. Da biste to učinili, preuzmite arhivu – preuzimanje.

1. Raspakirajte arhivu ‘Sign with CryptoPro.zip’
2. Pokrenite Automator
3. Pronađite i otvorite raspakiranu datoteku ‘Sign with CryptoPro.workflow’
4. U bloku Pokreni Shell Skriptu promijenite tekst XXXXXXXXXXXXXXXXXXXXXXXXXX na vrijednost parametra SHA1 heš certifikata KEP, dobivenog ranije.
5. Spremite skriptu: ⌘Command + S
6. Pokrenite datoteku ‘Sign with CryptoPro.workflow’ i potvrdite instalaciju.
7. Idite u System Preferences —> Extensions —> Finder i provjerite da li je Sign with CryptoPro brza akcija označena.
8. U Findera otvorite kontekstni izbornik bilo koje datoteke, i u odjeljku Quick Actions i/ili Services odaberite stavku Sign with CryptoPro
9. U dijaloškom okviru KryptoPro unesite PIN kod korisnika za KEP
10. U trenutnom direktoriju pojavljuje se datoteka s ekstenzijom *.sgn – odvojeni potpis u CMS formatu s DER kodiranjem.

Snimci ekrana

Prozor Apple Automatora:

Postavke sustava:

Kontekstni izbornik Finder:

Provjerite potpis na dokumentu

Ako sadrži dokumenta ne sadrži tajne i misterije, najbolje je iskoristiti web servis na portalu Državnih usluga – https://www.gosuslugi.ru/pgu/eds. Tako možete napraviti snimku zaslona s pouzdane stranice i biti sigurni da je s potpisom sve u redu.

Snimci ekrana

Izvor: habr.com