🥇Kvalifikovaný elektronický podpis pod macOS

Podľa RBC a Tenzor, v roku 2019 bude v Rusku vydaných 4,6 milióna certifikátov kvalifikovaných elektronických podpisov (KEP), ktoré vyhovujú požiadavkám 63-FZ. Z toho vyplýva, že zo 8 miliónov registrovaných SZČO a s. r. o. každý druhý podnikateľ používa elektronický podpis. Okrem KEP pre EGAIS a cloudových KEP pre podávanie správ, ktoré vydávajú banky a účtovné služby, majú osobitný záujem univerzálne KEP na chránených tokenoch. Takéto certifikáty umožňujú prihlásiť sa na štátne portály a podpisovať akékoľvek dokumenty, čím sa stanú právne záväznými.

Vďaka certifikátu KEP na USB-tokene môžete na diaľku uzavrieť zmluvu s protistranou alebo vzdialeným zamestnancom, zaslať dokumenty na súd; zaregistrovať online pokladňu, vyrovnať daňové nedoplatky a podať daňové priznanie vo svojom osobnom účte na nalog.ru; zistiť daňové nedoplatky a pripravované kontroly na Slovensko.

Nižšie uvedený manuál pomôže pracovať s KEP pod macOS – bez štúdia fór KryptoPro a inštalácie virtuálneho stroja s Windows.

Obsah

Čo potrebujete na prácu s KEP pod macOS:

Nainštalujeme a nastavíme KEP pod macOS

Nainštalujeme KryptoPro CSP
Nainštalujeme ovládače RuToken
Nainštalujeme certifikáty
3.1. Odstránime všetky staré GOST certifikáty
3.2. Nainštalujeme koreňové certifikáty
3.3. Stiahneme certifikáty overovacej inštitúcie
3.4. Nainštalujeme certifikát s RuToken
Nainštalujeme špeciálny prehliadač Chromium-GOST
Nainštalujeme rozšírenia pre prehliadač
5.1 KryptoPro EČP Browser plug-in
5.2. Plugin pre Štátne služby
5.3. Nastavujeme plugin pre Štátne služby
5.4. Aktivujeme rozšírenia
5.5. Nastavujeme rozšírenie KryptoPro EČP Browser plug-in
Skontrolujeme, či všetko funguje
6.1. Prejdeme na testovaciu stránku KryptoPro
6.2. Prihlásime sa do Osobného účtu na nalog.ru
6.3. Prihlásime sa na Štátne služby
Čo robiť, ak prestalo fungovať

Zmena PIN kódu kontajnera

Zistíme názov kontajnera KEP
Zmena PIN príkazom z terminálu

Podpisovanie súborov v macOS

Zistíme hash certifikátu KEP
Podpis súboru príkazom z terminálu
Inštalácia Apple Automator Script

Skontrolovať podpis na dokumente

Všetky informácie nižšie sú získané z autoritatívnych zdrojov (KryptoPro #1 a #2, RuToken, Korus-Consulting, UFO Ministerstva komunikácií), a sťahovanie softvéru sa odporúča z dôveryhodných stránok. Autor je nezávislý konzultant a nie je spojený s nijakou z uvedených spoločností. Podľa tohto návodu preberáte zodpovednosť za akékoľvek činy a následky.

Čo potrebujete na prácu s KEP pod macOS:

KEP na USB-token RUTOKEN Lite alebo RUTOKEN elektronický podpis
kryptokontajner vo formáte CryptoPro
so zabudovanou licenciou na CryptoPro CSP

Zariadenia eToken a JaCarta v kombinácii s CryptoPro na macOS nie sú podporované. Zariadenie RUTOKEN Lite je optimálna voľba, stojí 500..1000 RUB, rýchlo funguje a umožňuje uchovávať až 15 kľúčov.

Kryptoprovidery VipNet, Signal-COM a LISSI na macOS nie sú podporované. Konvertovať kontajnery sa nedá. CryptoPro je optimálna voľba, cena certifikátu by mala byť okolo 1300 RUB pre fyzické osoby a 1600 RUB pre právnické osoby.

Zvyčajne je ročná licencia na CryptoPro CSP už zabudovaná v certifikáte a mnoho certifikačných autorít ju poskytuje zadarmo. Ak to nie je tak, je potrebné zakúpiť a aktivovať trvalú licenciu na CryptoPro CSP presne vo verzii 4 za cenu 2700 RUB. CryptoPro CSP verzie 5 na macOS momentálne nefunguje.

Nainštalujeme a nastavíme KEP pod macOS

Zrejmé veci

všetky sťahované súbory sa sťahujú do predvolenej zložky: ~/Downloads/;
v žiadnych inštalačných programoch nič nemeníme, všetko nechávame podľa predvolieb;
ak macOS vyhlasuje varovanie, že spúšťaný softvér je od neznámeho vývojára – je potrebné potvrdiť spustenie v systémových nastaveniach: System Preferences —> Security & Privacy —> Open Anyway;
ak macOS žiada heslo používateľa a povolenie na správu počítača – je potrebné zadať heslo a so všetkým súhlasiť.

1. Nainštalujeme CryptoPro CSP

Registrovať sa na stránke CryptoPro a zo stránky na sťahovanie sťahujeme a inštalujeme verziu CryptoPro CSP 4.0 R4 pre macOS – stiahnuť.

2. Inštalujeme ovládače RUTOKEN

Na stránke je napísané, že je to voliteľné, ale lepšie je to nainštalovať. Z stránky na sťahovanie stránky RUTOKEN sťahujeme a inštalujeme Modul podpory Zabezpečeného Kľúča (KeyChain) – stiahnuť.

Potom pripojíme USB-token, spustíme terminál a vykonáme príkaz:

/opt/cprocsp/bin/csptest -card -enum -v

Vo výstupe by malo byť:

Aktívny RUTOKEN…
Karta prítomná…
[ErrorCode: 0x00000000]

3. Nainštalujeme certifikáty

3.1. Odstránime všetky staré GOST certifikáty

Ak predtým boli pokusy spustiť KEP pod macOS, je potrebné vyčistiť všetky predtým nainštalované certifikáty. Tieto príkazy v termináli odstránia iba certifikáty CryptoPro a nedotknú sa obyčajných certifikátov v Keychain v macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Vo výsledku každej príkazu by malo byť:

Žiaden certifikát zodpovedajúci kritériám

alebo

Odstraňovanie dokončené

3.2. Nainštalujeme koreňové certifikáty

Koreňové certifikáty sú spoločné pre všetky elektronické podpisy vydané akýmkoľvek certifikačným orgánom. Stiahneme zo stránky na sťahovanie ÚFÚ Ministerstva komunikácií:

Inštalujeme príkazmi v termináli:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Každý príkaz by mal vracať:

Inštalácia:
…
[ErrorCode: 0x00000000]

3.3. Stiahneme certifikáty overovacej inštitúcie

Ďalej je potrebné nainštalovať certifikáty certifikačného orgánu, od ktorého ste získali elektronický podpis. Zvyčajne sa koreňové certifikáty každého certifikačného orgánu nachádzajú na jeho stránke v sekcii na stiahnutie.

Alternatívne, certifikáty akéhokoľvek certifikačného orgánu je možné stiahnuť z stránky ÚFÚ Ministerstva komunikácií. Na to je potrebné v vyhľadávacom formulári nájsť certifikačný orgán podľa názvu, prejsť na stránku s certifikátmi a stiahnuť všetky aktuálne certifikáty – teda tie, ktorých pole ‘Platnosť’ druhá dátum ešte nenastala. Sťahovanie podľa odkazu v poli ‘Odtlačok’.

Screenshoty

Na príklade certifikačného orgánu Korus-Consulting: je potrebné stiahnuť 4 certifikáty zo stránky na sťahovanie:

Stiahnuté certifikáty certifikačného orgánu inštalujeme príkazmi z terminálu:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

kde za ~/Downloads/ nasledujú mená stiahnutých súborov, pre každý certifikačný orgán budú rôzne.

Každý príkaz by mal vracať:

Inštalácia:
…
[ErrorCode: 0x00000000]

3.4. Nainštalujeme certifikát s RuToken

Príkaz v termináli:

/opt/cprocsp/bin/csptestf -absorb -certs

Príkaz by mal vrátiť:

OK.
[ErrorCode: 0x00000000]

4. Inštalujeme špeciálny prehliadač Chromium-GOST

Na prácu s vládnymi portálmi bude potrebná špeciálna verzia prehliadača Chromium – Chromium-GOST. Zdrojový kód projektu je otvorený, odkaz na repozitár na GitHub uvádzaný na stránke KryptoPro. Z praxe, iné prehliadače CryptoFox a Yandex.Prehladač na prácu s vládnymi portálmi pod macOS nie sú vhodné. Treba vziať do úvahy, že v niektorých zostavách Chromium-GOST môže osobný účet na nalog.ru zamrznúť alebo úplne prestať fungovať posúvanie, preto sa odporúča stará overená verzia 71.0.3578.98 – stiahnuť.

Stiahneme a rozbalíme archív, nainštalujeme prehliadač kopírovaním alebo pomocou drag&drop do adresára Applications. Po inštalácii nútene zatvárame Chromium a zatiaľ ho neotvárame, pracujeme zo Safari.

killall Chromium-Gost

5. Inštalujeme rozšírenia prehliadača

5.1 KryptoPro EČP Browser plug-in

So stránky na sťahovanie na stránke KryptoPro si stiahneme a nainštalujeme KryptoPro EČP prehliadačový plug-in verzia 2.0 pre používateľov – stiahnuť.

5.2. Plugin pre Štátne služby

So stránky na sťahovanie na portáli e-služieb si stiahneme a nainštalujeme Plugin na prácu s portálom štátnych služieb (verzia pre macOS) – stiahnuť.

5.3. Nastavujeme plugin pre Štátne služby

Stiahneme správny konfiguračný súbor pre rozšírenie e-služieb zo stránky KryptoPro – stiahnuť.

Vykonáme príkazy v termináli:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktivujeme rozšírenia

Spustíme prehliadač Chromium-Gost a do adresného riadku napíšeme:

chrome://extensions/

Povolené oba nainštalované rozšírenia:

CryptoPro rozšírenie pre CAdES prehliadačový plug-in
Rozšírenie pre plug-in e-služieb

Screenshot

5.5. Nastavujeme rozšírenie KryptoPro EČP Browser plug-in

Do adresného riadku Chromium-Gost píšeme:

/etc/opt/cprocsp/trusted_sites.html

Na zobrazené stránke postupne pridávame stránky do zoznamu dôveryhodných uzlov:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Klikneme na “Uložiť”. Mala by sa zobraziť zelená lišta:

Zoznam dôveryhodných uzlov bol úspešne uložený.

Screenshot

6. Kontrolujeme, že všetko funguje

6.1. Prejdeme na testovaciu stránku KryptoPro

Do adresného riadku Chromium-Gost píšeme:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Malo by sa zobrazovať “Plug-in načítaný”, a v zozname nižšie by mal byť váš certifikát.
Vyberieme certifikát zo zoznamu a klikneme na “Podpísať”. Bude vyžadovaný PIN kód certifikátu. Na konci by sa malo zobraziť

Podpis bol úspešne vytvorený

Screenshot

6.2. Prihlásime sa do Osobného účtu na nalog.ru

Na odkazy zo stránky nalog.ru sa môže nepodarí prejsť, pretože nebudú splnené overenia. Treba prejsť priamymi odkazmi:

Osobný účet SZČO: https://lkipgost.nalog.ru/lk
Osobný účet PRÁVNIK: https://lkul.nalog.ru

Screenshot

6.3. Prihlásime sa na Štátne služby

Pri autorizácii vyberáme „Prihlásenie pomocou elektronického podpisu“. V zobrazenom zozname „Výber certifikátu kľúča na overenie elektronického podpisu“ budú zobrazené všetky certifikáty, vrátane koreňových a certifikačných autorít, je potrebné vybrať váš z USB tokenu a zadať PIN.

Screenshot

7. Čo robiť, ak to prestalo fungovať

Znovu pripojíme USB token a skontrolujeme, či je viditeľný pomocou príkazu v termináli:
```
sudo /opt/cprocsp/bin/csptest -card -enum -v
```
Vyčistíme vyrovnávaciu pamäť prehliadača za celé obdobie, na to do adresného riadku Chromium-Gost napíšeme:
```
chrome://settings/clearBrowserData
```
Znova nainštalujeme certifikát KEP pomocou príkazu v termináli:
```
/opt/cprocsp/bin/csptestf -absorb -certs
```

Zmena PIN kódu kontajnera

Predvolený užívateľský PIN kód na RUTOKEN 12345678, a takto ho nechať nemôžeme. Požiadavky na PIN kód RUTOKEN: max. 16 znakov, môže obsahovať latinské písmená a číslice.

1. Zistíme názov kontajnera KEP

Na USB kľúči a v iných úložiskách môže byť uložených niekoľko certifikátov a je potrebné vybrať ten správny. Pri zasunutom USB kľúči získate zoznam všetkých kontajnerov v systéme príkazom v termináli:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Príkaz by mal vyprodukovať minimálne 1 kontajner a vrátiť

[ErrorCode: 0x00000000]

Nám potrebný kontajner má tvar

.Aktiv Rutoken liteXXXXXXXX

Ak je vypísaných viacero takýchto kontajnerov, znamená to, že na kľúči je zapísaných viacero certifikátov a ste si vedomí toho, ktorý potrebujete. Hodnota XXXXXXXX za lomítkom by sa mala skopírovať a vložiť do príkazu nižšie.

2. Zmena PIN príkazom z terminálu

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

kde XXXXXXXX – názov kontajnera získaný v kroku 1 (povinne v úvodzovkách).

Objaví sa dialóg CryptoPro so žiadosťou o starý PIN kód pre prístup k certifikátu, následne ešte jeden dialóg pre zadanie nového PIN kódu. Hotovo.

Screenshot

Podpisovanie súborov v macOS

Na macOS je možné súbory podpísať v programe CryptoArm (cena licencie 2500= rub.), alebo jednoduchým príkazom cez terminál – zadarmo.

1. Zistíme hash certifikátu KEP

Na kľúči a v iných úložiskách môže byť viacero certifikátov. Je potrebné jednoznačne identifikovať ten, ktorým budeme podpisovať dokumenty. Robí sa to raz.
Kľúč musí byť zasunutý. Získame zoznam certifikátov v úložiskách príkazom z terminálu:

/opt/cprocsp/bin/certmgr -list

Príkaz by mal vyprodukovať minimálne 1 certifikát tohto typu:

Certmgr 1.1 © „Crypto-Pro“, 2007-2018.
program pre správu certifikátov, CRLs a úložísk
= = = = = = = = = = = = = = = = = = = =
1——-
Vydavateľ: E=help@esphere.ru,… CN=OOO KORUS Consulting CNG…
Predmet: E=sergzah@gmail.com,… CN=Zacharov Sergej Anatoljevič…
Sériové číslo: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Kontajner: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

U požadovaného certifikátu by mal parameter Kontajner mať hodnotu tvaru SCARDrutoken…. Ak je viac certifikátov s takýmito hodnotami, znamená to, že na kľúči je zapísaných viac certifikátov a ste si vedomí toho, ktorý potrebujete. Hodnota parametra SHA1 Hash (40 znakov) by sa mala skopírovať a vložiť do príkazu nižšie.

2. Podpis súboru príkazom z terminálu

V termináli prejdeme do adresára so súborom na podpísanie a vykonáme príkaz:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

kde XXXX… – hash certifikátu získaný v kroku 1, a FILE – názov súboru na podpísanie (so všetkými príponami, ale bez cesty).

Príkaz by mal vrátiť:

Podpísaná správa bola vytvorená.
[ErrorCode: 0x00000000]

Bude vytvorený súbor elektronického podpisu s príponou *.sgn – to je oddelený podpis vo formáte CMS s kódovaním DER.

3. Inštalácia Apple Automator Script

Aby ste sa vyhli práci s terminálom každý krát, môžete raz nainštalovať Automator Script, pomocou ktorého môžete podpisovať dokumenty priamo z kontextového menu Finderu. Na to si stiahneme archív – stiahnuť.

Rozbaľujeme archív ‘Sign with CryptoPro.zip’
Spúšťame Automator
Nájdeme a otvoríme rozbalený súbor ‘Sign with CryptoPro.workflow’
V bloku Run Shell Script zmeníme text XXXXXXXXXXXXXX na hodnotu parametra SHA1 Hash certifikátu KEP, získaného vyššie.
Uložíme skript: ⌘Command + S
Spustíme súbor ‘Sign with CryptoPro.workflow’ a potvrdíme inštaláciu.
Ideme do System Preferences —> Extensions —> Finder a skontrolujeme, že Sign with CryptoPro rýchla akcia je označená.
V Finderi vyvoláme kontextové menu akéhokoľvek súboru a v sekcii Quick Actions a/alebo Services vyberieme bod Sign with CryptoPro
V objavenom diálogu KryptoPro zadajte PIN kód používateľa od KEP.
V aktuálnom adresári sa objaví súbor s príponou *.sgn – oddelený podpis vo formáte CMS s kódovaním DER.

Screenshoty

Okno Apple Automator:

System Preferences:

Kontextové menu Finder:

Skontrolovať podpis na dokumente

Ak obsah dokumentu neobsahuje tajomstvá a skryté informácie, najjednoduchšie je využiť webovú službu na portáli GovServices – https://www.gosuslugi.ru/pgu/eds. Takto môžete urobiť snímku z autoritatívneho zdroja a byť si istý, že s podpisom je všetko v poriadku.

Screenshoty