🥇Minősített elektronikus aláírás macOS alatt

A Portworx és az Aqua Security RBC és Tensor, 2019-ben Oroszországban 4,6 millió minősített elektronikus aláírás (KÉP) tanúsítványt bocsátanak ki, amelyek megfelelnek a 63-FZ követelményeinek. Az derül ki, hogy a 8 millió regisztrált egyéni vállalkozó és Kft. közül minden második vállalkozó elektronikus aláírást használ. A KÉP mellett, amelyet az EGAIS számára és a bankok és könyvelő szolgáltatások által benyújtott jelentésekhez adnak ki, különös érdeklődés övezi az univerzális KÉP-t védett tokeneinken. Ezek a tanúsítványok lehetővé teszik a belépést az állami portálokra és bármilyen dokumentum aláírását, jogi értelemben érvényessé téve azokat.

A USB-tokenre kiállított KÉP-tanúsítvány révén távolról köthetünk szerződést egy partnerrel vagy távoli munkavállalóval, dokumentumokat küldhetünk bíróságnak; online pénztárgépet regisztrálhatunk, rendezheti az adósságokat, és benyújthatjuk a bevallást a nalog.ru személyes fiókjában; megismerhetjük az adósságainkat és a közelgő ellenőrzéseket az Állami Szolgáltatások oldalán.

Az alábbi manuál segít dolgozni a KÉP-pel macOS alatt – fórumok tanulmányozása és Windows virtuális gép telepítése nélkül.

Tartalom

Mi szükséges a KÉP macOS alatti használatához:

A KÉP telepítése és beállítása macOS alatt

Kryptopro CSP telepítése
RUTOKEN illesztőprogramok telepítése
Tanúsítványok telepítése
3.1. Minden régi GOST tanúsítvány eltávolítása
3.2. Gyökértanúsítványok telepítése
3.3. A hitelesítéspolitikai központ tanúsítványainak letöltése
3.4. Tanúsítvány telepítése RUTOKEN-nel
Speciális Chromium-GOST böngésző telepítése
Böngészőbővítmények telepítése
5.1 Kryptopro E-sign plug-in
5.2. Plug-in az állami szolgáltatásokhoz
5.3. Plug-in beállítása az állami szolgáltatásokhoz
5.4. Bővítmények aktiválása
5.5. Kryptopro E-sign Browser plug-in beállítása
Ellenőrizzük, hogy minden működik-e
6.1. Belépés a Kryptopro tesztoldalára
6.2. Belépés a nalog.ru személyes fiókjába
6.3. Belépés az állami szolgáltatásokra
Mi a teendő, ha leállt a működés

A konténer PIN-kódjának megváltoztatása

A KÉP konténer nevének megállapítása
PIN megváltoztatása terminál parancssal

Fájlok aláírása macOS alatt

A KÉP tanúsítvány hash-értékének megállapítása
Fájl aláírása terminál parancssal
Apple Automator Script telepítése

A dokumentum aláírásának ellenőrzése

Minden információ, amit lent talál, hiteles forrásokból származik (Kryptopro #1 és #2, RUTOKEN, Korus-Consulting, Miniszteri Közlekedési és Hírközlési Hivatal), és a szoftvert megbízható webhelyekről ajánlják letölteni. A szerző független tanácsadó, és semmilyen kapcsolatban nincs a megemlített cégekkel. A fenti utasításokat követve minden felelősséget átvállal a cselekedeteiért és következményeiért.

Mi szükséges a KÉP macOS alatti használatához:

KÉP Rutoken Lite USB-tokenen vagy Rutoken ETP
kriptokonténer Kryptopro formátumban
beépített Kryptopro CSP licenccel

Az eToken és JaCarta adathordozók a Kryptopro-val nem támogatottak macOS alatt. A Rutoken Lite a legjobb választás, ára 500-1000 rubel, gyorsan működik, és akár 15 kulcs tárolására is alkalmas.

A VipNet, Signal-COM és LISSI kriptoproviderek nem támogatottak macOS alatt. A konténerek átkonvertálása nem lehetséges. A Kryptopro a legjobb választás, a tanúsítvány ára körülbelül 1300 rubel egyéni vállalkozók számára és 1600 rubel jogi személyeknek.

Általában a Kryptopro CSP éves licenc már beépítve van a tanúsítványba, és sok CA ingyenesen biztosítja. Ha nem, meg kell vásárolni és aktiválni a korlátlan Kryptopro CSP licencet, amely szigorúan a 4-es verzióra vonatkozik 2700 rubelért. A Kryptopro CSP 5-ös verziója nem működik jelenleg macOS alatt.

A KÉP telepítése és beállítása macOS alatt

Nyilvánvaló dolgok

minden letöltött fájl az alapértelmezett könyvtárba kerül: ~/Downloads/;
az összes telepítőben semmit nem változtatunk, mindent az alapértelmezett beállítások szerint hagyunk;
ha macOS figyelmeztetést ad, hogy a futtatott program nem telepített fejlesztőtől származik – a rendszerbeállításokban szükséges a futtatás megerősítése: System Preferences —> Security & Privacy —> Open Anyway;
ha a macOS kéri a felhasználói jelszót és engedélyt a számítógép kezelésére – be kell lépni a jelszót és mindennel egyetérteni.

1. Telepítjük a Kryptopro CSP-t

Regisztrálunk a Kryptopro oldalán, és a letöltési oldalról letöltjük és telepítjük a Kryptopro CSP 4.0 R4 a macOS – letölteni.

2. Telepítjük a Rutoken illesztőprogramokat

Az oldalon azt írják, hogy ez opcionális, de jobb, ha telepítjük. Az letöltési oldalról oldalon a Rutoken letöltjük és telepítjük Kulcsok összekapcsolásához szükséges modul (KeyChain) – letölteni.

Ezután csatlakoztatjuk az usb-token-t, megnyitjuk a terminált, és végrehajtjuk a következő parancsot:

/opt/cprocsp/bin/csptest -card -enum -v

A válaszban a következőt kell látni:

Aktiválva a Rutoken…
Kártya jelen van…
[ErrorCode: 0x00000000]

3. Telepítjük a tanúsítványokat

3.1. Minden régi GOST tanúsítvány eltávolítása

Ha korábban voltak próbálkozások a KÉP futtatására macOS alatt, szükséges eltávolítani az összes korábban telepített tanúsítványt. Ezek a parancsok a terminálban csak a Kryptopro tanúsítványokat törlik, és nem érintik a macOS Keychainből származó normál tanúsítványokat.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Minden parancs válaszának tartalmaznia kell:

Nincs a kritériumoknak megfelelő tanúsítvány

vagy

Törlés befejezve

3.2. Gyökértanúsítványok telepítése

A gyökér tanúsítványok közösek minden KÉP esetében, amelyet bármely tanúsító hatóság bocsátott ki. Letölthető a letöltési oldalról Miniszterelnökség:

Telepítés a terminálban végzett parancsokkal:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Minden parancsnak a következőt kell visszaadnia:

Telepítés:
…
[ErrorCode: 0x00000000]

3.3. A hitelesítéspolitikai központ tanúsítványainak letöltése

Ezután telepíteni kell a tanúsító hatóság tanúsítványait, amelyből a KÉP-t kiadta. Általában a gyökértanúsítványokat minden tanúsító hatóság a weboldalán a letöltések szakaszban található.

Alternatívaként bármely tanúsító hatóság tanúsítványai letölthetők a Miniszterelnökség hivatalos honlapjáról. Ehhez a keresőformában meg kell találni a tanúsító hatóságot a neve alapján, át kell menni a tanúsítványokkal kapcsolatos oldalra, és le kell tölteni az összes érvényes tanúsítványokat, vagyis azokat, amelyeknél a ‘Érvényesség’ második dátuma még nem járt le. Le kell tölteni a ‘Ujjlenyomat’.

Képernyőképek

mezőből a hivatkozást letöltési oldalról:

A Korus-Konszultáció példáján: le kell tölteni 4 tanúsítványt a

A letöltött tanúsítványokat a terminál parancsaival telepítjük:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer ahol a ~/Downloads/

Minden parancsnak a következőt kell visszaadnia:

Telepítés:
…
[ErrorCode: 0x00000000]

3.4. Tanúsítvány telepítése RUTOKEN-nel

után a letöltött fájlok nevei következnek, minden tanúsító hatóságnál más és más lesz.

/opt/cprocsp/bin/csptestf -absorb -certs

A terminál parancsa:

OK.
[ErrorCode: 0x00000000]

4. Telepítsük a Chromium-GOST nevű különleges böngészőt

A kormányzati portálokhoz szükség van egy különleges Chromium-böngésző verzióra - Chromium-GOST. A projekt forráskódja nyilvános, a link a GitHub adattárhoz tekinthető a Kryptopro weboldalán. Tapasztalataink szerint más böngészők, CryptoFox, és Yandex.Browser nem alkalmasak a kormányzati portálok böngészésére macOS-on. Figyelembe kell venni, hogy a Chromium-GOST egyes verzióiban a nalog.ru személyes fiók lefagyhat, vagy akár a görgetés is leállhat, ezért javasolt a régi, bevált 71.0.3578.98 – letölteni.

verziót letölteni és kibővítve telepíteni, úgy hogy átkonvertálva vagy drag & drop módszerrel az Applications mappába másoljuk. Telepítés után erőszakkal zárjuk be a Chromiun-t, és ne nyissuk meg, először dolgozzunk a Safariból.

killall Chromium-Gost

5. Telepítsük a böngésző kiterjesztéseit

5.1 Kryptopro E-sign plug-in

A letöltési oldalról Kryptopro weboldaláról töltjük le és telepítjük Kryptopro E-aláírás böngésző plugin 2.0 verzió, felhasználóknak – letölteni.

5.2. Plug-in az állami szolgáltatásokhoz

A letöltési oldalról az Állami Szolgáltatások portáljáról töltjük le és telepítjük Kiterjesztés az állami szolgáltatások portál működéséhez (macOS verzió) – letölteni.

5.3. Plug-in beállítása az állami szolgáltatásokhoz

Töltsük le a megfelelő konfigurációs fájlt az Állami Szolgáltatások kiterjesztéséhez a Kryptopro weboldaláról – letölteni.

Futtassuk a parancsokat a terminálban:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents0

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Bővítmények aktiválása

Indítsuk el a Chromium-Gost böngészőt, és a címsorba írjuk be:

chrome://extensions/

Aktiváljuk mindkét telepített kiterjesztést:

CryptoPro Kiterjesztés a CAdES Böngésző Pluginhoz
Kiterjesztés az állami szolgáltatások pluginhoz

Képernyőkép

5.5. Kryptopro E-sign Browser plug-in beállítása

A Chromium-Gost címsorába írjuk be:

/etc/opt/cprocsp/trusted_sites.html

A megjelenő oldalon a megbízható hostok listájához folyamatosan adjuk hozzá a következő weboldalakat:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Kattintsunk a "Mentés" gombra. Zöld sávnak kell megjelennie:

A megbízható hostok listája sikeresen elmentve.

Képernyőkép

6. Ellenőrizzük, hogy minden működik-e

6.1. Belépés a Kryptopro tesztoldalára

A Chromium-Gost címsorába írjuk be:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

"Plugin betöltve" üzenetet kell látnunk, a lenti listában pedig a tanúsítványának is szerepelnie kell.
Válasszuk ki a tanúsítványt a listából, és kattintsunk a "Aláírás" gombra. A tanúsítvány PIN-kódját fogja kérni. A végeredménynek a következőt kell mutatnia:

Az aláírás sikeres létrejötte

Képernyőkép

6.2. Belépés a nalog.ru személyes fiókjába

A nalog.ru weboldalakról nem tudunk belépni, mert nem teljesülnek az ellenőrzések. Közvetlen linkeken kell belépni:

Személyes fiók EGT: https://lkipgost.nalog.ru/lk
Személyes fiók Jogi személy: https://lkul.nalog.ru

Képernyőkép

6.3. Belépés az állami szolgáltatásokra

A bejelentkezés során válasszuk a „Bejelentkezés elektronikus aláírással” lehetőséget. A megjelenő "Tanúsítvány kiválasztása" listájában minden tanúsítvány, beleértve a gyökeret és az ÁU-t, látható lesz; válasszuk ki a sajátunkat az USB/tokenről, és írjuk be a PIN-t.

Képernyőkép

7. Mi a teendő, ha megszűnt a működés

Csatlakoztassuk újra az USB tokent, és ellenőrizzük, hogy látható-e a következő terminálparancs segítségével:
```
sudo /opt/cprocsp/bin/csptest -card -enum -v
```
Töröljük a böngésző gyorsítótárát minden időről, ehhez írjuk be a Chromium-Gost címsorába:
```
chrome://settings/clearBrowserData
```
Telepítsük vissza a KÉP tanúsítványt a terminálparancs segítségével:
```
/opt/cprocsp/bin/csptestf -absorb -certs
```

A konténer PIN-kódjának megváltoztatása

A Rutoken alapértelmezett PIN-kódja 12345678, és ezt ebben a formában nem szabad hagyni. A Rutoken PIN-kódjának követelményei: max. 16 karakter, tartalmazhat latin betűket és számokat.

1. Határozzuk meg a KÉP tároló nevét

A USB token and other storage devices can hold multiple certificates, and you need to choose the correct one. With the USB token inserted, we can get a list of all containers in the system with the command in terminal:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

The command should output at least 1 container and return

[ErrorCode: 0x00000000]

The container we need looks like

.Aktiv Rutoken liteXXXXXXXX

If multiple containers are displayed, it means that several certificates are stored on the token, and you know which one you need. The value XXXXXXXX after the slash should be copied and inserted into the command below.

2. Change PIN using the command from terminal

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

ahol XXXXXXXX – the name of the container obtained in step 1 (must be in quotes).

A CryptoPro dialog will appear asking for the old PIN code to access the certificate, followed by another dialog to enter the new PIN code. Done.

Képernyőkép

Fájlok aláírása macOS alatt

In macOS, files can be signed in the software CryptoArm (the cost of the license is 2500 rubles), or with a simple command through the terminal – for free.

1. Determine the hash of the digital signature certificate

There can be multiple certificates on the token and in other storage devices. You need to uniquely identify the one you will use to sign documents from now on. This is done once.
The token must be inserted. Get a list of certificates in the storage with the command from terminal:

/opt/cprocsp/bin/certmgr -list

The command should output at least 1 certificate of the type:

Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program for managing certificates, CRLs and stores
= = = = = = = = = = = = = = = = = = = =
1——-
Issuer: E=help@esphere.ru,… CN=OOO KORUS Consulting CIS…
Subject: E=sergzah@gmail.com,… CN=Zaharov Sergey Anatolyevich…
Serial: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Container: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

The required certificate must have a value in the Container parameter like SCARDrutoken…. If there are multiple certificates with such values, it means several certificates are stored on the token, and you know which one you need. The value of the parameter SHA1 Hash (40 characters) should be copied and inserted into the command below.

2. Sign the file using the command from terminal

In terminal, navigate to the folder with the file to be signed and execute the command:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

ahol XXXX… – the hash of the certificate obtained in step 1, and FILE – the name of the file to be signed (with all extensions, but without the path).

A terminál parancsa:

Signed message is created.
[ErrorCode: 0x00000000]

An electronic signature file with the extension *.sgn will be created – this is a detached signature in CMS format with DER encoding.

3. Installing Apple Automator Script

Annak érdekében, hogy ne kelljen mindig terminált használni, egyszer telepíthetjük az Automator Scriptet, amellyel a dokumentumokat a Finder kontextusmenüjéből lehet aláírni. Ehhez töltse le a ZIP fájlt - letölteni.

Bontsuk ki a ZIP fájlt ‘Sign with CryptoPro.zip’
Indítás Automatorral
Keressük meg és nyissuk meg a kicsomagolt fájlt ‘Sign with CryptoPro.workflow’
A blokkban Run Shell Script módosítsuk a szöveget XXXXXX az aláírási tanúsítvány paraméterének értékére, amelyet korábban megkaptunk. SHA1 Hash Mentse el a scriptet: ⌘Command + S
Futtassuk a fájlt
és erősítsük meg a telepítést. ‘Sign with CryptoPro.workflow’ Lépjünk a System
Preferences → Extensions → Finder és ellenőrizzük, hogy Sign with CryptoPro gyors művelet be van jelölve. A Finderben hívja elő bármely fájl kontextusmenüjét, és a
Quick Actions és/vagy Services pontot válassza ki A megjelenő CryptoPro párbeszédpanelen adja meg a KEP felhasználói PIN-kódját. gyors művelet be van jelölve.
A jelenlegi mappában megjelenik egy fájl *.sgn kiterjesztéssel – leválasztott aláírás CMS formátumban, DER kódolással.
Apple Automator ablak:

Képernyőképek

System Preferences:

Finder kontextusmenü:

Ha a dokumentum tartalma nem tartalmaz titkokat és rejtélyeket, legjobban a kormányzati szolgáltatások portálján található webszolgáltatást érdemes igénybe venni –

A dokumentum aláírásának ellenőrzése

. Így képernyőképet készíthet egy megbízható forrásról, és biztos lehet benne, hogy az aláírás rendben van. https://www.gosuslugi.ru/pgu/eds🥇Minősített elektronikus aláírás macOS alatt | ProHoster

Képernyőképek