חתימה אלקטרונית מוסמכת עבור macOS

על פי RBC и מוֹתֵחַ, בשנת 2019, 4,6 מיליון אישורים של חתימות אלקטרוניות מוסמכות (CES) יונפקו ברוסיה, העומדות בדרישות של 63-FZ. מסתבר שמתוך 8 מיליון יזמים בודדים וחברות LLC רשומים, כל יזם שני משתמש בחתימה אלקטרונית. בנוסף ל-EGAIS CEPs ו-CEPs מבוססי ענן לדיווח שהונפקו על ידי בנקים ושירותי חשבונאות, CEPs אוניברסליים על אסימונים מאובטחים מעניינים במיוחד. אישורים כאלה מאפשרים לך להיכנס לפורטלים ממשלתיים ולחתום על כל מסמך, מה שהופך אותם למשמעותיים מבחינה משפטית.

הודות לתעודת ה-CEP על אסימון USB, ניתן לסיים מרחוק הסכם עם צד שכנגד או עובד מרוחק, ולשלוח מסמכים לבית המשפט; רשום קופה רושמת מקוונת, הסדר חובות מס והגש הצהרה בחשבונך האישי ב-nalog.ru; לברר על חובות ובדיקות עתידיות בשירותי המדינה.

המדריך למטה יעזור לעבוד עם CEP תחת macOS - מבלי ללמוד את הפורומים של CryptoPro ולהתקין מכונה וירטואלית עם Windows.

תוכן

מה אתה צריך כדי לעבוד עם CEP תחת macOS:

התקנה והגדרת CEP עבור macOS

1. התקנת CryptoPro CSP
2. התקנת דרייברים של Rutoken
3. התקנת תעודות
   3.1. אנו מוחקים את כל תעודות GOST הישנות
   3.2. התקנת אישורי שורש
   3.3. הורד אישורי רשות אישורים
   3.4. התקנת תעודה עם Rutoken
4. התקן דפדפן מיוחד Chromium-GOST
5. התקנת הרחבות לדפדפן
   תוסף דפדפן CryptoPro EDS 5.1
   5.2. תוסף לשירותים ציבוריים
   5.3. הגדרת תוסף עבור שירותי המדינה
   5.4. הפעלת הרחבות
   5.5. הגדרת התוסף CryptoPro EDS Browser plug-in
6. בודק שהכל עובד
   6.1. עבור לדף הבדיקה של CryptoPro
   6.2. עבור לחשבון האישי שלך ב-nalog.ru
   6.3. עבור אל שירותי המדינה
7. מה לעשות אם זה מפסיק לעבוד

שינוי קוד ה-PIN של המכולה

1. מציאת השם של מיכל KEP
2. שינוי PIN עם פקודה מהמסוף

חתימה על קבצים ב-macOS

1. גילוי ה-hash של תעודת CEP
2. חתימה על קובץ עם פקודה מהמסוף
3. התקנת Apple Automator Script

בדוק את החתימה על המסמך

כל המידע להלן מתקבל ממקורות מוכרים (CryptoPro #1 и #2, רוטוקן, קורוס-ייעוץ, המחוז הפדרלי של אוראל של משרד הטלקום ותקשורת ההמונים), ומוצע להוריד תוכנה מאתרים מהימנים. הכותב הינו יועץ עצמאי ואינו קשור לאף אחת מהחברות שהוזכרו. על ידי ביצוע הוראות אלה, אתה לוקח על עצמך אחריות מלאה לכל פעולה והשלכות.

מה אתה צריך כדי לעבוד עם CEP תחת macOS:

1. CEP על אסימון USB Rutoken Lite או Rutoken EDS
2. מיכל קריפטו בפורמט CryptoPro
3. עם מובנה רישיון עבור CryptoPro CSP

מדיה eToken ו-JaCarta בשילוב עם CryptoPro אינן נתמכות ב-macOS. המדיה Rutoken Lite היא הבחירה הטובה ביותר, היא עולה 500..1000= רובל, היא עובדת במהירות ומאפשרת לאחסן עד 15 מפתחות.

ספקי הקריפטו VipNet, Signal-COM ו-LISSY אינם נתמכים ב-macOS. אין דרך להמיר מכולות. CryptoPro היא הבחירה הטובה ביותר, עלות התעודה צריכה להיות בערך 1300 = לשפשף. ליזמים בודדים ו-1600 = לשפשף. עבור YUL.

בדרך כלל, רישיון שנתי ל-CryptoPro CSP כבר כלול בתעודה והוא מסופק בחינם על ידי CA רבים. אם זה לא המקרה, אז אתה צריך לרכוש ולהפעיל רישיון תמידי עבור CryptoPro CSP אך ורק גרסה 4 בעלות של 2700=. CryptoPro CSP גרסה 5 עבור macOS אינה פועלת כעת.

התקנה והגדרת CEP עבור macOS

דברים ברורים

• כל הקבצים שהורדת יורדים לספריית ברירת המחדל: ~/Downloads/;
• אנחנו לא משנים כלום בכל המתקינים, אנחנו משאירים הכל כברירת מחדל;
• אם macOS מציג אזהרה שהתוכנה המופעלת היא ממפתח לא מזוהה, עליך לאשר את ההשקה בהגדרות המערכת: העדפות מערכת -> אבטחה ופרטיות -> פתח בכל מקרה;
• אם macOS מבקש סיסמת משתמש והרשאה לשלוט במחשב, עליך להזין את הסיסמה ולהסכים עם הכל.

1. התקן את CryptoPro CSP

הירשם באתר CryptoPro ושות' להוריד דפים להוריד ולהתקין את הגרסה CryptoPro CSP 4.0 R4 עבור MacOS - להוריד.

2. התקן דרייברים של Rutoken

האתר אומר שזה אופציונלי, אבל עדיף להתקין את זה. שיתוף להוריד דפים הורד והתקן באתר Rutoken מודול תמיכה במחזיק מפתחות - להוריד.

לאחר מכן, חבר את אסימון ה-USB, הפעל את הטרמינל ובצע את הפקודה:

/opt/cprocsp/bin/csptest -card -enum -v

התשובה צריכה להיות:

Aktiv Rutoken…
מתנה בכרטיס...
[קוד שגיאה: 0x00000000]

3. התקן אישורים

3.1. אנו מוחקים את כל תעודות GOST הישנות

אם ניסית בעבר להפעיל CEP תחת macOS, עליך לנקות את כל האישורים שהותקנו בעבר. פקודות אלו בטרמינל ימחקו רק אישורי CryptoPro ולא ישפיעו על אישורים רגילים מ- Keychain ב-macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

התגובה של כל פקודה צריכה לכלול:

אין תעודה התואמת את הקריטריונים

או

המחיקה הושלמה

3.2. התקנת אישורי שורש

אישורי שורש משותפים לכל ה-CEP שהונפקו על ידי כל רשות אישורים. הורד מ להוריד דפים המחוז הפדרלי של אוראל של משרד הטלקום ותקשורת ההמונים:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

התקן עם פקודות בטרמינל:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

כל פקודה צריכה להחזיר:

התקנה:
...
[קוד שגיאה: 0x00000000]

3.3. הורד אישורי רשות אישורים

לאחר מכן, עליך להתקין את האישורים של רשות האישורים שבה הנפקת את ה-CEP. בדרך כלל, אישורי הבסיס של כל CA ממוקמים באתר האינטרנט שלו בקטע ההורדות.

לחלופין, ניתן להוריד אישורים של כל CA אתר האינטרנט של המחוז הפדרלי של אוראל של משרד הטלקום ותקשורת ההמונים. לשם כך, בטופס החיפוש צריך למצוא CA לפי שם, להיכנס לדף עם אישורים ולהוריד הכל משחק תעודות - כלומר אלו עם 'תָקֵף' התאריך השני עדיין לא הגיע. הורד מהקישור בשדה 'טביעת אצבע'.

מסך

באמצעות הדוגמה של CA Corus-Consulting: אתה צריך להוריד 4 אישורים מ להוריד דפים:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

אנו מתקינים את אישורי CA שהורדת באמצעות פקודות מהמסוף:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

איפה אחרי ~/הורדות/ שמות הקבצים שהורדת רשומים; הם יהיו שונים עבור כל CA.

כל פקודה צריכה להחזיר:

התקנה:
...
[קוד שגיאה: 0x00000000]

3.4. התקנת תעודה עם Rutoken

פקודה בטרמינל:

/opt/cprocsp/bin/csptestf -absorb -certs

הפקודה אמורה לחזור:

אישור.
[קוד שגיאה: 0x00000000]

4. התקן דפדפן מיוחד Chromium-GOST

כדי לעבוד עם פורטלים ממשלתיים, תזדקק למבנה מיוחד של דפדפן Chromium - Chromium-GOST. קוד המקור של הפרויקט פתוח, קישור ל מאגר ב-GitHub ניתן על אתר CryptoPro. מניסיון, דפדפנים אחרים CryptoFox и Yandex.Browser הם אינם מתאימים לעבודה עם פורטלים ממשלתיים תחת macOS. כדאי לקחת בחשבון שבחלק מהגירסאות של Chromium-GOST, החשבון האישי ב-nalog.ru עלול לקפוא או שהגלילה עלולה להפסיק לפעול לחלוטין, כך שהחשבון הישן המוכח מוצע לבנות 71.0.3578.98 - להוריד.


הורד ופרק את הארכיון, התקן את הדפדפן על ידי העתקה או גרירה ושחרור שלו לספריית היישומים. לאחר ההתקנה, סגור את Chromium בכוח ואל תפתח אותו עדיין, עבד מ-Safari.

killall Chromium-Gost

5. התקן הרחבות לדפדפן

תוסף דפדפן CryptoPro EDS 5.1

עם להוריד דפים הורד והתקן באתר CryptoPro תוסף דפדפן CryptoPro EDS גרסה 2.0 למשתמשים - להוריד.

5.2. תוסף לשירותים ציבוריים

עם להוריד דפים הורד והתקן בפורטל שירותי המדינה תוסף לעבודה עם פורטל שירותי הממשלה (גרסה עבור macOS) - להוריד.

5.3. הגדרת תוסף עבור שירותי המדינה

הורד את קובץ התצורה הנכון עבור סיומת שירותי המדינה מאתר CryptoPro - להוריד.

בצע פקודות בטרמינל:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents


sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. הפעלת הרחבות

הפעל את דפדפן Chromium-Gost והקלד בשורת הכתובת:

chrome://extensions/

אנו מפעילים את שתי ההרחבות המותקנות:

• תוסף CryptoPro עבור תוסף דפדפן CAdES
• הרחבה עבור תוסף השירותים הציבוריים

צילום מסך

5.5. הגדרת התוסף CryptoPro EDS Browser plug-in

בשורת הכתובת Chromium-Gost אנו מקלידים:

/etc/opt/cprocsp/trusted_sites.html

בדף שמופיע, הוסף את האתרים הבאים לרשימת האתרים המהימנים בזה אחר זה:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

לחץ על "שמור". נקודה ירוקה אמורה להופיע:

רשימת הצמתים המהימנים נשמרה בהצלחה.

צילום מסך

6. בדקו שהכל עובד

6.1. עבור לדף הבדיקה של CryptoPro

בשורת הכתובת Chromium-Gost אנו מקלידים:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

"הפלאגין נטען" אמור להופיע, והאישור שלך צריך להיות קיים ברשימה למטה.
בחר אישור מהרשימה ולחץ על "חתום". תתבקשו להזין את ה-PIN של האישור. כתוצאה מכך, הוא אמור להופיע

החתימה נוצרה בהצלחה

צילום מסך

6.2. עבור לחשבון האישי שלך ב-nalog.ru

ייתכן שלא תוכל לגשת לקישורים מהאתר nalog.ru, כי... המחאות לא יעברו. אתה צריך לעבור דרך קישורים ישירים:

• משרד פרטי PI: https://lkipgost.nalog.ru/lk
• משרד פרטי ЮЛ: https://lkul.nalog.ru

צילום מסך

6.3. עבור אל שירותי המדינה

בעת הכניסה, בחר "התחבר באמצעות חתימה אלקטרונית." ברשימה "בחר אישור מפתח אימות חתימה אלקטרונית" שמופיעה, כל האישורים, כולל שורש ו-CA, יוצגו; עליך לבחור את שלך מתוך אסימון USB ולהזין את ה-PIN.

צילום מסך

7. מה לעשות אם זה מפסיק לעבוד

1. אנו מחברים מחדש את אסימון ה-USB ובודקים שהוא גלוי באמצעות הפקודה בטרמינל:

   sudo /opt/cprocsp/bin/csptest -card -enum -v


2. אנו מנקים את מטמון הדפדפן לכל עת, עבורו אנו מקלידים בשורת הכתובת Chromium-Gost:

   
chrome://settings/clearBrowserData


3. התקן מחדש את אישור CEP באמצעות הפקודה בטרמינל:

   /opt/cprocsp/bin/csptestf -absorb -certs

שינוי קוד ה-PIN של המכולה

קוד PIN מותאם אישית עבור Rutoken כברירת מחדל 12345678, ואין דרך להשאיר את זה ככה. דרישות עבור קוד ה-PIN של Rutoken: 16 תווים לכל היותר, יכול להכיל אותיות ומספרים לטיניים.

1. גלה את השם של מיכל KEP

יתכנו מספר אישורים המאוחסנים באסימון ה-USB ואחסון אחר, ואתה צריך לבחור את האישור הנכון. עם הוספת אסימון ה-USB, נקבל רשימה של כל הקונטיינרים במערכת עם הפקודה בטרמינל:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

הפקודה חייבת למשוך לפחות מיכל אחד ולהחזיר

[קוד שגיאה: 0x00000000]

המכולה שאנחנו צריכים נראה כמו

.Aktiv Rutoken liteXXXXXXXXX

אם מוצגים כמה מכולות כאלה, זה אומר שכתובות כמה תעודות על האסימון, ואתה יודע איזה מהם אתה צריך. מַשְׁמָעוּת XXXXXXXX לאחר הנתח אתה צריך להעתיק ולהדביק בפקודה למטה.

2. שנה PIN באמצעות פקודה מהמסוף

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

איפה XXXXXXXX – שם המיכל שהושג בשלב 1 (בהכרח במרכאות).

תופיע תיבת דו-שיח CryptoPro המבקשת את קוד ה-PIN הישן כדי לגשת לאישור, ולאחר מכן תיבת דו-שיח נוספת להזנת קוד ה-PIN החדש. מוּכָן.

צילום מסך

חתימה על קבצים ב-macOS

ב-macOS, ניתן להכניס קבצים לתוכנה CryptoArm (עלות רישיון 2500 = שפשוף.), או פקודה פשוטה דרך הטרמינל - חינם.

1. גלה את ה-hash של תעודת CEP

יכולות להיות אישורים מרובים על אסימון ובחנויות אחרות. עלינו לזהות בבירור את מי שאיתו נחתום על מסמכים מעתה ואילך. נעשה פעם אחת.
יש להכניס את האסימון. אנו מקבלים רשימה של אישורים במאגרים עם הפקודה מהמסוף:

/opt/cprocsp/bin/certmgr -list

הפקודה חייבת להוציא לפחות אישור אחד מהטופס:

Certmgr 1.1 © "Crypto-Pro", 2007-2018.
תוכנית לניהול תעודות, CRL וחנויות
= = = = = = = = = = = = = = = = = = = = = =
1---
מנפיק: [מוגן בדוא"ל],... CN=LLC KORUS Consulting CIS...
נושא: [מוגן בדוא"ל],... CN=זכרוב סרגיי אנטולייביץ'...
סדרתי: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
...
מיכל: SCARDrutoken_lt_00000000 000 000
...
= = = = = = = = = = = = = = = = = = = = = =
[קוד שגיאה: 0x00000000]

האישור שאנו צריכים בפרמטר Container חייב להיות בעל ערך כמו SCARDrutoken…. אם יש כמה תעודות עם ערכים כאלה, אז יש כמה תעודות רשומות על האסימון, ואתה יודע איזה מהם אתה צריך. ערך פרמטר SHA1 Hash (40 תווים) יש להעתיק ולהדביק בפקודה למטה.

2. חתימה על קובץ בפקודה מהמסוף

במסוף, עבור לספרייה עם הקובץ כדי לחתום ולהפעיל את הפקודה:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

איפה XXXX... – Hash של אישור שהושג בשלב 1, וכן קובץ - שם קובץ לחתום (עם כל הסיומות, אך ללא נתיב).

הפקודה אמורה לחזור:

נוצרת הודעה חתומה.
[קוד שגיאה: 0x00000000]

ייווצר קובץ חתימה אלקטרונית עם הסיומת *.sgn - זוהי חתימה מנותקת בפורמט CMS עם קידוד DER.

3. התקן את סקריפט Apple Automator

כדי להימנע מעבודה עם הטרמינל בכל פעם, אתה יכול להתקין את Automator Script פעם אחת, איתו תוכל לחתום על מסמכים מתפריט ההקשר של Finder. כדי לעשות זאת, הורד את הארכיון - להוריד.

1. מפרקים את הארכיון 'חתום עם CryptoPro.zip'
2. רוץ Automator
3. מצא ופתח את הקובץ שנפרק 'חתום עם CryptoPro.workflow'
4. בבלוק הפעל את סקריפט Shell לשנות את הטקסט XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX לערך הפרמטר SHA1 Hash תעודת CEP שהושגה לעיל.
5. שמור את הסקריפט: ⌘Command + S
6. הפעל את הקובץ 'חתום עם CryptoPro.workflow' ואשר את ההתקנה.
7. בוא נלך למערכת העדפות -> הרחבות -> Finder ולבדוק את זה חתום עם CryptoPro ציין פעולה מהירה.
8. ב-Finder, קרא לתפריט ההקשר של כל קובץ, ובקטע פעולות מהירות ו / או שירותים בחר פריט חתום עם CryptoPro
9. בתיבת הדו-שיח CryptoPro שמופיעה, הזן את קוד ה-PIN של המשתמש מה-CEP
10. בספרייה הנוכחית יופיע קובץ עם הסיומת *.sgn - חתימה מנותקת בפורמט CMS עם קידוד DER.

מסך

חלון Apple Automator:

העדפות מערכת:

תפריט ההקשר של Finder:

בדוק את החתימה על המסמך

אם תוכן המסמך אינו מכיל סודות וסודות, הרי שהדרך הקלה ביותר היא להשתמש בשירות האינטרנט בפורטל שירותי המדינה - https://www.gosuslugi.ru/pgu/eds. כך תוכלו לצלם צילום מסך ממשאב בעל מוניטין ולהיות בטוח שהכל בסדר עם החתימה.

מסך

מקור: www.habr.com