Квалификуван електронски потпис за macOS

Според РБЦ и Тензор, во 2019 година, во Русија ќе бидат издадени 4,6 милиони сертификати за квалификувани електронски потписи (CES), исполнувајќи ги барањата на 63-FZ. Излегува дека од 8 милиони регистрирани индивидуални претприемачи и ДОО, секој втор претприемач користи електронски потпис. Покрај EGAIS CEP и CEP базирани на облак за известување издадени од банки и сметководствени услуги, универзалните CEP за безбедни токени се од особен интерес. Таквите сертификати ви дозволуваат да се најавите на владините портали и да потпишете какви било документи, што ги прави правно значајни.

Благодарение на сертификатот CEP на USB токен, можете од далечина да склучите договор со договорна страна или далечински вработен и да испратите документи до судот; регистрирајте онлајн каса, подмирете ги даночните долгови и поднесете декларација на вашата лична сметка на nalog.ru; дознајте за долговите и претстојните инспекции во државните служби.

Упатството подолу ќе ви помогне работа со CEP под macOS – без да ги проучувате форумите на CryptoPro и да инсталирате виртуелна машина со Windows.

содржина

Што ви е потребно за да работите со CEP под macOS:

Инсталирање и конфигурирање на CEP за macOS

1. Инсталирање на CryptoPro CSP
2. Инсталирање на драјвери за Rutoken
3. Инсталирање сертификати
   3.1. Ги бришеме сите стари ГОСТ сертификати
   3.2. Инсталирање на root сертификати
   3.3. Преземете сертификати од органот за сертификација
   3.4. Инсталирање на сертификат со Rutoken
4. Инсталирајте специјален прелистувач Chromium-GOST
5. Инсталирање на екстензии на прелистувачот
   5.1 Приклучок за прелистувач CryptoPro EDS
   5.2. Приклучок за јавни услуги
   5.3. Поставување приклучок за државни услуги
   5.4. Активирање на екстензии
   5.5. Поставување на наставката за приклучок на прелистувачот CryptoPro EDS
6. Проверете дали сè работи
   6.1. Одете на страницата за тестирање CryptoPro
   6.2. Одете на вашата лична сметка на nalog.ru
   6.3. Одете во државните служби
7. Што да направите ако престане да работи

Промена на PIN-кодот на контејнерот

1. Дознавање на името на контејнерот КЕП
2. Промена на PIN со команда од терминалот

Потпишување датотеки на macOS

1. Дознавање на хашот на сертификатот CEP
2. Потпишување датотека со команда од терминалот
3. Инсталирање на скрипта на Apple Automator

Проверете го потписот на документот

Сите информации подолу се добиени од реномирани извори (CryptoPro #1 и #2, Рутокен, Корус-консалтинг, Федерален округ Урал на Министерството за телекомуникации и масовни комуникации), и се предлага да се преземе софтвер од доверливи страници. Авторот е независен консултант и не е поврзан со ниту една од споменатите компании. Следејќи ги овие упатства, вие преземате целосна одговорност за какви било дејства и последици.

Што ви е потребно за да работите со CEP под macOS:

1. CEP на USB токен Rutoken Lite или Рутокен ЕДС
2. крипто-контејнер во CryptoPro формат
3. со вграден лиценца за CryptoPro CSP

Медиумите eToken и JaCarta во врска со CryptoPro не се поддржани во macOS. Медиумот Rutoken Lite е најдобриот избор, чини 500..1000= рубли, работи брзо и ви овозможува да складирате до 15 клучеви.

Обезбедувачите на крипто VipNet, Signal-COM и LISSY не се поддржани на macOS. Не постои начин да се конвертираат контејнерите. CryptoPro е најдобриот избор, цената на сертификатот треба да биде околу 1300 = Бришење. за индивидуални претприемачи и 1600 = руб. за YUL.

Вообичаено, годишната лиценца за CryptoPro CSP е веќе вклучена во сертификатот и е обезбедена бесплатно од многу CA. Ако ова не е случај, тогаш треба да купите и активирате вечна лиценца за CryptoPro CSP строго верзија 4 која чини 2700=. CryptoPro CSP верзија 5 за macOS во моментов не работи.

Инсталирање и конфигурирање на CEP за macOS

Очигледни работи

• сите преземени датотеки се преземаат во стандардниот директориум: ~/Downloads/;
• Ние не менуваме ништо во сите инсталатери, оставаме сè како стандардно;
• ако macOS прикаже предупредување дека софтверот што се стартува е од неидентификуван развивач, треба да го потврдите стартувањето во системските поставки: Системски поставки —> Безбедност и приватност —> Отвори во секој случај;
• ако macOS бара корисничка лозинка и дозвола за контрола на компјутерот, треба да ја внесете лозинката и да се согласите со сè.

1. Инсталирајте CryptoPro CSP

Регистрирајте се на веб-страницата CryptoPro и ко страници за преземање преземете ја и инсталирајте ја верзијата CryptoPro CSP 4.0 R4 за MacOS - преземете.

2. Инсталирајте Rutoken драјвери

Веб-страницата вели дека ова е опционално, но подобро е да го инсталирате. Ко страници за преземање преземете и инсталирате на веб-страницата на Рутокен Модул за поддршка на синџирот на клучеви - преземете.

Следно, поврзете го USB-токенот, стартувајте го терминалот и извршете ја командата:

/opt/cprocsp/bin/csptest -card -enum -v

Одговорот треба да биде:

Актив Рутокен…
Подарок од картичка…
[Код на грешка: 0x00000000]

3. Инсталирајте сертификати

3.1. Ги бришеме сите стари ГОСТ сертификати

Ако претходно сте се обиделе да стартувате CEP под macOS, тогаш треба да ги исчистите сите претходно инсталирани сертификати. Овие команди во терминалот ќе ги избришат само сертификатите CryptoPro и нема да влијаат на редовните сертификати од Keychain на macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Одговорот на секоја команда треба да вклучува:

Нема сертификат кој одговара на критериумите

или

Бришењето е завршено

3.2. Инсталирање на root сертификати

Корените сертификати се заеднички за сите CEP издадени од кој било орган за сертификација. Преземете од страници за преземање Федерален округ Урал на Министерството за телекомуникации и масовни комуникации:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

Инсталирајте со команди во терминал:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Секоја команда треба да се врати:

Инсталирање:
...
[Код на грешка: 0x00000000]

3.3. Преземете сертификати од органот за сертификација

Следно, треба да ги инсталирате сертификатите на органот за сертификација каде што сте го издале CEP. Вообичаено, коренските сертификати на секој CA се наоѓаат на неговата веб-страница во делот за преземања.

Алтернативно, сертификатите за кој било CA може да се преземат од веб-страница на Федералниот округ Урал на Министерството за телекомуникации и масовни комуникации. За да го направите ова, во формуларот за пребарување треба да најдете CA по име, одете на страницата со сертификати и преземете сè дејствување сертификати – односно оние со „Важи“ вториот датум сè уште не е пристигнат. Преземете од врската во полето 'отпечаток од прст'.

Screenshot-

Користејќи го примерот на CA Corus-Consulting: треба да преземете 4 сертификати од страници за преземање:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

Ги инсталираме преземените CA сертификати користејќи команди од терминалот:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

каде после ~/Преземања/ Имињата на преземените датотеки се наведени; тие ќе бидат различни за секоја CA.

Секоја команда треба да се врати:

Инсталирање:
...
[Код на грешка: 0x00000000]

3.4. Инсталирање на сертификат со Rutoken

Команда во терминал:

/opt/cprocsp/bin/csptestf -absorb -certs

Командата треба да се врати:

OK.
[Код на грешка: 0x00000000]

4. Инсталирајте специјален прелистувач Chromium-GOST

За да работите со владините портали, ќе ви треба специјална верзија на прелистувачот Chromium - Хром-ГОСТ. Изворниот код на проектот е отворен, линк до складиште на GitHub се дава на Веб-страница CryptoPro. Од искуство, други прелистувачи CryptoFox и Прелистувач Yandex Тие не се погодни за работа со владини портали под macOS. Вреди да се земе предвид дека во некои изданија на Chromium-GOST, личната сметка на nalog.ru може да се замрзне или лизгањето може целосно да престане да работи, па се нуди старата докажана изгради 71.0.3578.98 - преземете.


Преземете ја и отпакувајте ја архивата, инсталирајте го прелистувачот со копирање или влечење и пуштање во директориумот Апликации. По инсталацијата, присилно затворете го Chromium и сè уште не отворајте го, работете од Safari.

killall Chromium-Gost

5. Инсталирајте екстензии на прелистувачот

5.1 Приклучок за прелистувач CryptoPro EDS

Со страници за преземање преземете и инсталирајте на веб-страницата CryptoPro CryptoPro EDS Browser plug-in верзија 2.0 за корисници - преземете.

5.2. Приклучок за јавни услуги

Со страници за преземање преземете и инсталирате на порталот за државни услуги Приклучок за работа со порталот за владини услуги (верзија за macOS) - преземете.

5.3. Поставување приклучок за државни услуги

Преземете ја правилната конфигурациска датотека за екстензијата Државни услуги од веб-страницата CryptoPro - преземете.

Извршете команди во терминал:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents


sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Активирање на екстензии

Стартувајте го прелистувачот Chromium-Gost и напишете ја лентата за адреси:

chrome://extensions/

Ги овозможуваме двете инсталирани екстензии:

• Приклучок за прелистувач CryptoPro за CAdES
• Екстензија за приклучокот за државни услуги

Екранот

5.5. Поставување на наставката за приклучок на прелистувачот CryptoPro EDS

Во лентата за адреси на Chromium-Gost пишуваме:

/etc/opt/cprocsp/trusted_sites.html

На страницата што се појавува, додајте ги следните страници на списокот со доверливи страници една по една:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Кликнете на „Зачувај“. Треба да се појави зелена точка:

Списокот на доверливи јазли е успешно зачуван.

Екранот

6. Проверете дали сè работи

6.1. Одете на страницата за тестирање CryptoPro

Во лентата за адреси на Chromium-Gost пишуваме:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Треба да се прикаже „Приклучокот е вчитан“, а вашиот сертификат треба да биде присутен на списокот подолу.
Изберете сертификат од списокот и кликнете „Потпиши“. Ќе ви биде побаран ПИН за сертификатот. Како резултат на тоа, треба да се прикаже

Потписот е генериран успешно

Екранот

6.2. Одете на вашата лична сметка на nalog.ru

Можеби нема да можете да пристапите до линковите од страницата nalog.ru, бидејќи ... проверките нема да поминат. Треба да поминете низ директни врски:

• Кабинет PI: https://lkipgost.nalog.ru/lk
• Кабинет Правно лице: https://lkul.nalog.ru

Екранот

6.3. Одете во државните служби

Кога се најавувате, изберете „Најави се со електронски потпис“. Во списокот „Изберете сертификат за проверка на клучот за електронски потпис“ што се појавува, ќе се прикажат сите сертификати, вклучувајќи ги root и CA; треба да го изберете вашиот од USB токен и да го внесете PIN-от.

Екранот

7. Што да направите ако престане да работи

1. Повторно го поврзуваме USB токенот и проверуваме дали е видлив со помош на командата во терминалот:

   sudo /opt/cprocsp/bin/csptest -card -enum -v


2. Засекогаш го бришеме кешот на прелистувачот, за кој пишуваме во лентата за адреси Chromium-Gost:

   
chrome://settings/clearBrowserData


3. Повторно инсталирајте го сертификатот CEP користејќи ја командата во терминалот:

   /opt/cprocsp/bin/csptestf -absorb -certs

Промена на PIN-кодот на контејнерот

Стандардно прилагоден ПИН-код за Рутокен 12345678, и нема како да се остави вака. Барања за Rutoken PIN-кодот: максимум 16 знаци, може да содржи латински букви и бројки.

1. Дознајте го името на контејнерот KEP

Може да има неколку сертификати зачувани на USB-токен и други складишта, а вие треба да го изберете вистинскиот. Со вметнат USB токен, добиваме список на сите контејнери во системот со командата во терминалот:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Командата мора да повлече најмалку 1 контејнер и да се врати

[Код на грешка: 0x00000000]

Контејнерот што ни треба изгледа како

.Aktiv Rutoken liteXXXXXXXXX

Ако се прикажат неколку такви контејнери, тоа значи дека на токенот има напишани неколку сертификати и знаете кој ви е потребен. Значење XXXXXXXX по коса црта треба да копирате и залепите во командата подолу.

2. Променете го PIN-кодот користејќи команда од терминалот

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

каде што XXXXXXXX – името на контејнерот добиено во чекор 1 (нужно во наводници).

Ќе се појави дијалог CryptoPro со барање за стариот PIN-код за пристап до сертификатот, а потоа друг дијалог за внесување на новиот PIN-код. Подготвени.

Екранот

Потпишување датотеки на macOS

На macOS, датотеките може да се најавуваат во софтвер CryptoArm (цена за лиценца 2500 = руб.), или едноставна команда преку терминалот - бесплатно.

1. Дознајте го хашот на сертификатот CEP

Може да има повеќе сертификати на токен и во други продавници. Треба јасно да го идентификуваме оној со кој отсега ќе потпишуваме документи. Готово еднаш.
Токенот мора да се вметне. Добиваме листа на сертификати во складиштата со командата од терминалот:

/opt/cprocsp/bin/certmgr -list

Командата мора да издаде најмалку 1 сертификат од формата:

Certmgr 1.1 © "Crypto-Pro", 2007-2018.
програма за управување со сертификати, CRL и продавници
= = = = = = = = = = = = = = = = = = = = =
1---
Издавач: [заштитена по е-пошта],... CN=LLC KORUS Consulting CIS...
тема: [заштитена по е-пошта],... CN=Захаров Сергеј Анатолиевич...
Сериски: 0x0000000000000000000000000000000000
SHA1 Хеш: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
...
Контејнер: SCARDrutoken_lt_00000000 000 000
...
= = = = = = = = = = = = = = = = = = = = =
[Код на грешка: 0x00000000]

Сертификатот што ни треба во параметарот Container мора да има вредност како SCARDrutoken…. Ако има неколку сертификати со такви вредности, тогаш има неколку сертификати евидентирани на токенот и знаете кој ви е потребен. Вредност на параметарот SHA1 Хаш (40 знаци) мора да бидат копирани и залепени во командата подолу.

2. Потпишување датотека со команда од терминалот

Во терминалот, одете во директориумот со датотеката за потпишување и извршете ја командата:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

каде што XXXX… – хаш на сертификатот добиен во чекор 1, и СЛИКА – име на датотека за потпишување (со сите екстензии, но без патека).

Командата треба да се врати:

Создадена е потпишана порака.
[Код на грешка: 0x00000000]

Ќе се креира датотека со електронски потпис со наставката *.sgn - ова е одвоен потпис во CMS формат со DER кодирање.

3. Инсталирајте Apple Automator Script

За да не морате да работите со терминалот секој пат, можете еднаш да инсталирате Automator Script, со кој можете да потпишувате документи од контекстното мени Finder. За да го направите ова, преземете ја архивата - преземете.

1. Отпакување на архивата „Потпишете се со CryptoPro.zip“
2. Лансира Автомат
3. Најдете и отворете ја неотпакуваната датотека „Потпишете се со CryptoPro.workflow“
4. Во блокот Стартувај го Shell Script промена на текстот ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ до вредноста на параметарот SHA1 Хаш CEP сертификат добиен погоре.
5. Зачувајте ја скриптата: ⌘Command + S
6. Стартувај ја датотеката „Потпишете се со CryptoPro.workflow“ и потврдете ја инсталацијата.
7. Ајде да одиме на системот Преференци -> Екстензии -> Пронаоѓач и проверете го тоа Потпишете се со CryptoPro забележано брзо дејство.
8. Во Finder, повикајте го контекстното мени на која било датотека и во делот Брзи дејства и / или Услуги изберете ставка Потпишете се со CryptoPro
9. Во дијалогот CryptoPro што се појавува, внесете го корисничкиот PIN код од CEP
10. Во тековниот директориум ќе се појави датотека со наставката *.sgn - одвоен потпис во CMS формат со DER кодирање.

Screenshot-

Прозорец на Apple Automator:

Системски параметри:

Контексно мени на Пронаоѓач:

Проверете го потписот на документот

Ако содржината на документот не содржи тајни и тајни, тогаш најлесниот начин е да ја користите веб-услугата на порталот Државни услуги - https://www.gosuslugi.ru/pgu/eds. На овој начин можете да направите скриншот од реномиран ресурс и да бидете сигурни дека сè е во ред со потписот.

Screenshot-

Извор: www.habr.com