macOS用の認定された電子署名

による RBC и テンソル, 2019年には、4,6-FZの要件を満たす適格電子署名(CES)の証明書が63万枚ロシアで発行される予定です。 登録されている 8 万人の個人起業家および LLC のうち、XNUMX 人に XNUMX 人の起業家が電子署名を使用していることが判明しました。 EGAIS CEP と、銀行や会計サービスが発行するレポート用のクラウドベースの CEP に加えて、セキュア トークンのユニバーサル CEP が特に興味深いです。 このような証明書を使用すると、政府ポータルにログインして文書に署名できるため、文書が法的に重要になります。

USB トークン上の CEP 証明書のおかげで、相手方または遠隔地の従業員とリモートで契約を締結し、裁判所に文書を送信できます。 オンラインレジを登録し、納税債務を決済し、nalog.ru の個人アカウントで申告書を提出します。 債務と今後の国家サービスの検査について調べてください。

以下のマニュアルが役に立ちます macOS で CEP を使用する – CryptoPro フォーラムを調べたり、Windows に仮想マシンをインストールしたりする必要はありません。

ページ内容

macOS で CEP を使用するために必要なもの:

macOS 用の CEP のインストールと構成

1. CryptoPro CSP のインストール
2. Rutoken ドライバーのインストール
3. 証明書のインストール
   3.1. 古い GOST 証明書をすべて削除します
   3.2. ルート証明書のインストール
   3.3. 認証局の証明書をダウンロードする
   3.4. Rutoken を使用した証明書のインストール
4. 専用ブラウザ Chromium-GOST をインストールする
5. ブラウザ拡張機能のインストール
   5.1 CryptoPro EDS ブラウザ プラグイン
   5.2. 公共サービス用プラグイン
   5.3. State Services のプラグインのセットアップ
   5.4. 拡張機能のアクティブ化
   5.5. CryptoPro EDS ブラウザ プラグイン拡張機能のセットアップ
6. すべてが動作していることを確認する
   6.1. CryptoPro テスト ページに移動する
   6.2. nalog.ru の個人アカウントにアクセスします。
   6.3. 州サービスに移動
7. 動作しなくなった場合の対処方法

コンテナのPINコードを変更する

1. KEP コンテナの名前を調べる
2. 端末からのコマンドでPINを変更する

macOS でのファイルの署名

1. CEP証明書のハッシュを調べる
2. ターミナルからのコマンドでファイルに署名する
3. Apple Automator スクリプトのインストール

書類の署名を確認する

以下の情報はすべて信頼できる情報源から取得したものです (CryptoPro #1 и #2, ルトケン, コーラスコンサルティング, 電気通信・マスコミ省ウラル連邦管区)、信頼できるサイトからソフトウェアをダウンロードすることをお勧めします。 著者は独立したコンサルタントであり、言及されている企業とは一切関係がありません。 これらの指示に従うことにより、お客様はあらゆる行動と結果に対して全責任を負うことになります。

macOS で CEP を使用するために必要なもの:

1. CEP USB トークン Rutoken Lite 上 または ルトケンEDS
2. 暗号コンテナ CryptoPro形式
3. 統合された CryptoPro CSP のライセンス

CryptoPro と組み合わせた eToken および JaCarta メディアは、macOS ではサポートされません。 Rutoken Lite メディアが最良の選択です。価格は 500..1000= ルーブルで、高速に動作し、最大 15 個のキーを保存できます。

暗号化プロバイダー VipNet、Signal-COM、LISSY は macOS ではサポートされていません。 コンテナを変換する方法はありません。 CryptoPro が最良の選択です。証明書のコストは約 1300 = 摩擦です。 個人起業家の場合は 1600 = こすります。 ユルのために。

通常、CryptoPro CSP の年間ライセンスはすでに証明書に含まれており、多くの CA によって無料で提供されます。 そうでない場合は、CryptoPro CSP 厳密にバージョン 4 の永久ライセンスを購入してアクティベートする必要があります (コストは 2700=)。 macOS 用の CryptoPro CSP バージョン 5 は現在動作しません。

macOS 用の CEP のインストールと構成

明らかなこと

• ダウンロードされたすべてのファイルは、デフォルトのディレクトリ ~/Downloads/ にダウンロードされます。
• すべてのインストーラーでは何も変更せず、すべてをデフォルトのままにします。
• macOS で、起動中のソフトウェアが未確認の開発者によるものであるという警告が表示される場合は、システム設定で起動を確認する必要があります。 システム環境設定 —> セキュリティとプライバシー —> とにかく開く;
• macOS がユーザーのパスワードとコンピューターを制御する許可を要求した場合は、パスワードを入力してすべてに同意する必要があります。

1. CryptoPro CSP をインストールする

登録 Web サイト CryptoPro および co ダウンロードページ バージョンをダウンロードしてインストールする CryptoPro CSP 4.0 R4 のために macOS – ダウンロード.

2. Rutokenドライバーをインストールする

ウェブサイトにはオプションと書かれていますが、インストールしたほうが良いでしょう。 コ ダウンロードページ Rutoken Web サイトからダウンロードしてインストールします キーチェーンサポートモジュール – ダウンロード.

次に、USB トークンを接続し、ターミナルを起動してコマンドを実行します。

/opt/cprocsp/bin/csptest -card -enum -v

答えは次のようになります。

アクティヴ・ルトケン…
カードプレゼント…
[エラーコード: 0x00000000]

3. 証明書をインストールする

3.1. 古い GOST 証明書をすべて削除します

以前に macOS で CEP を起動しようとしたことがある場合は、以前にインストールされた証明書をすべてクリアする必要があります。 ターミナルでのこれらのコマンドは CryptoPro 証明書のみを削除し、macOS 上のキーチェーンからの通常の証明書には影響しません。

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

各コマンドの応答には次のものが含まれる必要があります。

基準に一致する証明書がありません

または

削除完了

3.2. ルート証明書のインストール

ルート証明書は、どの証明機関によって発行されたすべての CEP に共通です。 ダウンロードから ダウンロードページ 電気通信・マスコミ省ウラル連邦管区:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

ターミナルでコマンドを使用してインストールします。

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

各コマンドは以下を返すはずです:

インストール：
...
[エラーコード: 0x00000000]

3.3. 認証局の証明書をダウンロードする

次に、CEP を発行した証明機関の証明書をインストールする必要があります。 通常、各 CA のルート証明書は、Web サイトのダウンロード セクションにあります。

あるいは、任意の CA の証明書を次の場所からダウンロードできます。 電気通信・マスコミュニケーション省ウラル連邦管区のウェブサイト。 これを行うには、検索フォームで CA を名前で検索し、証明書のあるページに移動してすべてをダウンロードする必要があります。 演技 証明書 – つまり、 '有効' XNUMX回目のデートはまだ来ていません。 フィールド内のリンクからダウンロード '指紋'.

スクリーンショット

CA Corus-Consulting の例を使用すると、次の場所から 4 つの証明書をダウンロードする必要があります。 ダウンロードページ:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

ターミナルからコマンドを使用して、ダウンロードした CA 証明書をインストールします。

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

その後どこへ 〜/ダウンロード/ ダウンロードされたファイルの名前がリストされますが、CA ごとに異なります。

各コマンドは以下を返すはずです:

インストール：
...
[エラーコード: 0x00000000]

3.4. Rutoken を使用した証明書のインストール

ターミナルでのコマンド:

/opt/cprocsp/bin/csptestf -absorb -certs

コマンドは以下を返すはずです:

[OK]をクリックします。
[エラーコード: 0x00000000]

4. 専用ブラウザ Chromium-GOST をインストールする

政府ポータルを操作するには、Chromium ブラウザの特別なビルドが必要です。 クロム-GOST。 プロジェクトのソースコードが公開されています。リンク先は次のとおりです。 GitHub 上のリポジトリ に与えられます クリプトプロのウェブサイト。 経験上、他のブラウザでは クリプトフォックス и Yandexブラウザ これらは、macOS で政府ポータルを操作するのには適していません。 Chromium-GOST の一部のビルドでは、nalog.ru の個人アカウントがフリーズしたり、スクロールが完全に機能しなくなる可能性があるため、古い実績のあるものが提供されることを考慮する価値があります。 ビルド 71.0.3578.98 – ダウンロード.


アーカイブをダウンロードして解凍し、アプリケーション ディレクトリにコピーまたはドラッグ アンド ドロップしてブラウザをインストールします。 インストール後、Chromium を強制終了し、まだ開かずに Safari から作業します。

killall Chromium-Gost

5. ブラウザ拡張機能をインストールする

5.1 CryptoPro EDS ブラウザ プラグイン

あり ダウンロードページ CryptoPro Web サイトからダウンロードしてインストールします ユーザー向けの CryptoPro EDS ブラウザ プラグイン バージョン 2.0 – ダウンロード.

5.2. 公共サービス用プラグイン

あり ダウンロードページ 国家サービスポータルにダウンロードしてインストールします 政府サービスポータルと連携するためのプラグイン (macOS 用バージョン) – ダウンロード.

5.3. State Services のプラグインのセットアップ

CryptoPro Web サイトから State Services 拡張機能の正しい構成ファイルをダウンロードします。 ダウンロード.

ターミナルでコマンドを実行します。

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents


sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. 拡張機能のアクティブ化

Chromium-Gost ブラウザを起動し、アドレス バーに次のように入力します。

chrome://extensions/

インストールされている両方の拡張機能を有効にします。

• CAdES ブラウザ プラグイン用の CryptoPro 拡張機能
• 公共サービスプラグインの拡張機能

スクリーンショット

5.5. CryptoPro EDS ブラウザ プラグイン拡張機能のセットアップ

Chromium-Gost のアドレス バーに次のように入力します。

/etc/opt/cprocsp/trusted_sites.html

表示されるページで、次のサイトを信頼できるサイトのリストに XNUMX つずつ追加します。

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

「保存」をクリックします。 緑色の点が表示されるはずです。

信頼できるノードのリストが正常に保存されました。

スクリーンショット

6. すべてが動作することを確認します

6.1. CryptoPro テスト ページに移動する

Chromium-Gost のアドレス バーに次のように入力します。

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

「プラグインがロードされました」と表示され、証明書が下のリストに表示されるはずです。
リストから証明書を選択し、「署名」をクリックします。 証明書の PIN を求められます。 その結果、次のように表示されるはずです。

署名は正常に生成されました

スクリーンショット

6.2. nalog.ru の個人アカウントにアクセスします。

nalog.ru サイトからのリンクにアクセスできない場合があります。理由は次のとおりです。 小切手は通らないでしょう。 直接リンクを経由する必要があります。

• 専用事務室 PI: https://lkipgost.nalog.ru/lk
• 専用事務室 ユル: https://lkul.nalog.ru

スクリーンショット

6.3. 州サービスに移動

ログインする際は「電子署名を使用してログインする」を選択してください。 表示される「電子署名検証キー証明書の選択」リストには、ルートと CA を含むすべての証明書が表示されるので、USB トークンから証明書を選択し、PIN を入力する必要があります。

スクリーンショット

7. 動作しなくなった場合の対処方法

1. USB トークンを再接続し、ターミナルで次のコマンドを使用して認識されることを確認します。

   sudo /opt/cprocsp/bin/csptest -card -enum -v


2. ブラウザのキャッシュを常にクリアします。そのために、Chromium-Gost のアドレス バーに次のように入力します。

   
chrome://settings/clearBrowserData


3. ターミナルで次のコマンドを使用して CEP 証明書を再インストールします。

   /opt/cprocsp/bin/csptestf -absorb -certs

コンテナのPINコードを変更する

デフォルトでの Rutoken のカスタム PIN コード 12345678、このままにしておくわけにはいきません。 Rutoken PIN コードの要件: 最大 16 文字、ラテン文字と数字を含めることができます。

1. KEP コンテナの名前を確認します。

USB トークンやその他のストレージには複数の証明書が保存されている場合があるため、正しいものを選択する必要があります。 USB トークンを挿入したら、ターミナルで次のコマンドを使用してシステム内のすべてのコンテナのリストを取得します。

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

コマンドは少なくとも 1 つのコンテナを取り出して返す必要があります。

[エラーコード: 0x00000000]

必要なコンテナは次のようになります

.Aktiv Rutoken liteXXXXXXXX

このようなコンテナーが複数表示された場合は、トークンに複数の証明書が書き込まれており、どれが必要かがわかっていることを意味します。 意味 XXXXXXXX スラッシュの後ろをコピーして、以下のコマンドに貼り付ける必要があります。

2.端末からコマンドでPINを変更する

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

どこ XXXXXXXX – ステップ 1 で取得したコンテナーの名前 (必ず引用符で囲みます)。

CryptoPro ダイアログが表示され、証明書にアクセスするために古い PIN コードを要求され、その後、新しい PIN コードを入力するための別のダイアログが表示されます。 準備ができて。

スクリーンショット

macOS でのファイルの署名

macOS では、ソフトウェアでファイルに署名できます クリプトアーム (ライセンスコスト 2500 = こすれ)、またはターミナル経由の簡単なコマンド - 無料。

1. CEP 証明書のハッシュを確認します。

XNUMX つのトークンおよび他のストアに複数の証明書が存在する可能性があります。 これから書類に署名する相手を明確に特定する必要があります。 一度完了しました。
トークンを挿入する必要があります。 ターミナルから次のコマンドを使用して、リポジトリ内の証明書のリストを取得します。

/opt/cprocsp/bin/certmgr -list

このコマンドは、次の形式の証明書を少なくとも 1 つ出力する必要があります。

Certmgr 1.1 ©「Crypto-Pro」、2007-2018。
証明書、CRL、ストアを管理するためのプログラム
====================
1---
発行者： [メール保護]、... CN=LLC KORUS Consulting CIS...
件名： [メール保護]、... CN=ザハロフ セルゲイ アナトリエヴィチ...
シリアル: 0x0000000000000000000000000000000000
SHA1 ハッシュ: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
...
コンテナ: SCARDrutoken_lt_00000000 000 000
...
====================
[エラーコード: 0x00000000]

Container パラメーターに必要な証明書には、次のような値が必要です。 SCARDrutoken…。 このような値を持つ証明書が複数ある場合は、トークンに複数の証明書が記録されており、どれが必要かがわかります。 パラメータ値 SHA1ハッシュ (40 文字) をコピーして、以下のコマンドに貼り付ける必要があります。

2. ターミナルからのコマンドでファイルに署名する

ターミナルで、署名するファイルのあるディレクトリに移動し、次のコマンドを実行します。

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

どこ XXXX… – ステップ 1 で取得した証明書ハッシュ、および FILE – 署名するファイル名 (拡張子はすべて付きますが、パスは含まれません)。

コマンドは以下を返すはずです:

署名付きメッセージが作成されます。
[エラーコード: 0x00000000]

拡張子 *.sgn の電子署名ファイルが作成されます。これは、DER エンコーディングを使用した CMS 形式の分離された署名です。

3. Apple Automator スクリプトをインストールする

毎回ターミナルを操作する必要がないようにするには、Automator スクリプトを XNUMX 回インストールすると、Finder のコンテキスト メニューからドキュメントに署名できます。 これを行うには、アーカイブをダウンロードします - ダウンロード.

1. アーカイブを解凍する 「CryptoPro.zip で署名」
2. 打ち上げ Automatorの
3. 解凍されたファイルを見つけて開きます 「CryptoPro.workflow で署名」
4. ブロック内 シェルスクリプトを実行する テキストを変更する ××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××××× パラメータ値に SHA1ハッシュ 上記で取得した CEP 証明書。
5. スクリプトを保存します: ⌘Command + S
6. ファイルを実行します 「CryptoPro.workflow で署名」 そしてインストールを確認します。
7. システムに行きましょう 設定 -> 拡張機能 -> ファインダー そしてそれを確認してください CryptoPro で署名する 迅速な行動が注目されました。
8. Finder で、任意のファイルのコンテキスト メニューを呼び出し、セクションで クイックアクション および/または サービス アイテムを選択 CryptoPro で署名する
9. 表示される CryptoPro ダイアログで、CEP からのユーザー PIN コードを入力します。
10. 拡張子 *.sgn を持つファイルが現在のディレクトリに表示されます。これは、DER エンコーディングを使用した CMS 形式の分離された署名です。

スクリーンショット

Apple Automator ウィンドウ:

システム環境設定：

ファインダーのコンテキスト メニュー:

書類の署名を確認する

文書の内容に秘密や秘密が含まれていない場合、最も簡単な方法は、州サービス ポータルの Web サービスを使用することです。 https://www.gosuslugi.ru/pgu/eds。 こうすることで、信頼できるリソースからスクリーンショットを撮り、署名に問題がないことを確認できます。

スクリーンショット

出所： habr.com