Kvalificiran elektronski podpis za macOS

Prema podacima RBC in Tenzo, v 2019 letu bo v Rusiji izdanih 4,6 milijona potrdil o kvalificiranih elektronskih podpisih (KEP), ki ustrezajo zahtevam zakona 63-FZ. To pomeni, da od 8 milijonov registriranih podjetnikov in družb vsak drugi podjetnik uporablja elektronski podpis. Poleg KEP za EGAIS in oblačnih KEP za oddajo poročil, ki jih izdajo banke in računovodski sistemi, so posebej zanimiva univerzalna KEP na zaščitenih tokenih. Takšni certifikati omogočajo prijavo na državne portale in podpisovanje vseh dokumentov, kar jih dela pravno pomembne.

Zahvaljujoč KEP potrdilu na USB-tokenu je mogoče na daljavo skleniti pogodbo s poslovnim partnerjem ali razdaljnim zaposlenim, poslati dokumente na sodišče; registrirati spletno blagajno, urediti davčne obveznosti in oddati deklaracijo v osebnem profilu na nalog.ru; izvedeti o dolgovih in prihajajočih pregledih na eUslugah.

Prikazani priročnik vam bo pomagal delati z KEP pod macOS – brez študija forumov KryptoPro in namestitve virtualnega stroja z Windows.

Vsebina

Kaj potrebujete za delovanje z KEP pod macOS:

Namestite in konfigurirajte KEP pod macOS

1. Namestitev KryptoPro CSP
2. Namestitev gonilnikov Rutikon
3. Namestitev potrdil
   3.1. Odstranite vsa stara GOST potrdila
   3.2. Namestitev korenskih potrdil
   3.3. Prenesite potrdila overitelja
   3.4. Namestitev potrdila z Rutikonom
4. Namestitev posebnega brskalnika Chromium-GOST
5. Namestitev razširitev za brskalnik
   5.1 KryptoPro ECP razširitev za brskalnik
   5.2. Razširitev za eUsluge
   5.3. Konfigurirajte razširitev za eUsluge
   5.4. Aktivirajte razširitve
   5.5. Konfigurirajte razširitev KryptoPro ECP razširitev za brskalnik
6. Preverite, da vse deluje
   6.1. Vstopite na testno stran KryptoPro
   6.2. Vstopite v Osebni Račun na nalog.ru
   6.3. Vstopite na eUsluge
7. Kaj storiti, če preneha delovati

Zamenjava PIN-kode kontejnerja

1. Ugledajte ime kontejnerja KEP
2. Zamenjava PIN s terminalno ukazno vrstico

Podpisovanje datotek v macOS

1. Ugledajte hash potrdila KEP
2. Podpisovanje datoteke s terminalnim ukazom
3. Namestitev Apple Automator Skripta

Preverite podpis na dokumentu

Vse informacije spodaj so pridobljene iz zaupanja vrednih virov (KryptoPro #1 in #2, Rutikon, Korus-Consulting, UFO Ministrstvo za komunikacije), inštalace softwaru je navrhována z důvěryhodných webových stránek. Autor je nezávislý poradce a není spojen s žádnou ze zmíněných společností. Dodržováním tohoto návodu přebíráte veškerou odpovědnost za jakékoliv akce a důsledky.

Kaj potrebujete za delovanje z KEP pod macOS:

1. KEP na USB tokenu Rutoken Lite ili Rutoken elektronický podpis
2. kryptokontejner ve formátu CryptoPro
3. s integrovanou licencí na CryptoPro CSP

Zařízení eToken a JaCarta v kombinaci s CryptoPro na macOS nejsou podporovány. Zařízení Rutoken Lite je optimální volba, stojí 500..1000 rub., rychle funguje a umožňuje uchovávat až 15 klíčů.

Kryptoproviders VipNet, Signal-COM a LISSI na macOS nejsou podporovány. Není možné převést kontejnery. CryptoPro je optimální volba, cena certifikátu by měla být přibližně 1300 rub. pro IČ a 1600 rub. pro právnické osoby.

Obvykle je roční licence na CryptoPro CSP již obsažena v certifikátu a mnohé certifikační autority ji poskytují zdarma. Pokud tomu tak není, je nutné zakoupit a aktivovat trvalou licenci na CryptoPro CSP verze 4 za cenu 2700 rub. CryptoPro CSP verze 5 na macOS v současnosti nefunguje.

Namestite in konfigurirajte KEP pod macOS

Jasné věci

• všechny stahované soubory se ukládají do výchozí složky: ~/Downloads/;
• všechna nastavení necháváme na výchozích hodnotách ve všech instalátorech;
• pokud macOS zobrazí upozornění, že spouštěný software je od neznámého vývojáře – je třeba potvrdit spuštění v systémových nastaveních: System Preferences —> Security & Privacy —> Open Anyway;
• pokud macOS žádá o uživatelské heslo a povolení k řízení počítače – je třeba zadat heslo a se vším souhlasit.

1. Instalujeme CryptoPro CSP

Registrujeme se na webových stránkách CryptoPro a na stránce pro stahování stáhneme a nainstalujeme verzi CryptoPro CSP 4.0 R4 za macOS – prenesti.

2. Instalujeme ovladače Rutoken

Na webových stránkách je uvedeno, že je to volitelné, ale je lepší je nainstalovat. Na na stránce pro stahování webových stránkách Rutoken stáhneme a nainstalujeme Modul pro podporu klíčového řetězce (KeyChain) – prenesti.

Dále připojíme USB token, spustíme terminál a provedeme příkaz:

/opt/cprocsp/bin/csptest -card -enum -v

Odpověď by měla být:

Aktivovaný Rutoken…
Karta přítomna…
[ErrorCode: 0x00000000]

3. Instalujeme certifikáty

3.1. Odstranite vsa stara GOST potrdila

Pokud již došlo k pokusům o spuštění KEP na macOS, je nutné vyčistit všechny dříve nainstalované certifikáty. Tyto příkazy v terminálu odstraní pouze certifikáty CryptoPro a nebudou se dotýkat běžných certifikátů v Keychain na macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Vsaka ukazna vrsta mora vrniti:

Ni nobenega certifikata, ki ustreza kriterijem

ili

Brisanje končano

3.2. Namestitev korenskih potrdil

Koreninski certifikati so skupni za vse kvalificirane elektronske podpise, ki jih izda katerikoli overiteljski center. Prenesemo s na stránce pro stahování UFO Ministrstva za komunikacije:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

Namestimo z ukazi v terminalu:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Vsaka ukazna vrsta mora vrniti:

Namestitev:
…
[ErrorCode: 0x00000000]

3.3. Prenesite potrdila overitelja

Nato je treba namestiti certifikate overiteljskega centra, pri katerem ste pridobili kvalificirano elektronsko podpis. Običajno se koreninski certifikati vsakega UZ nahajajo na njihovi spletni strani v sekciji za prenos.

Alternativno, certifikate katerega koli UZ lahko prenesete s spletne strani UFO Ministrstva za komunikacije. Za to morate v iskalni obrazec poiskati UZ po imenu, iti na stran s certifikati in prenesti vse veljavne certifikate – torej tiste, pri katerih je v polju ‘Velja’ druga datum še ni prišel. Prenesite preko povezave v polju ‘Prstni odtis’.

Posnetki zaslona

Na primeru UZ Korus-Konsalting: treba je prenesti 4 certifikate s na stránce pro stahování:

• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
• https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

Prenesene certifikate UZ namestimo z ukazi iz terminala:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

kjer po ~/Downloads/ sledijo imena prenesenih datotek, za vsak UZ bodo svoja.

Vsaka ukazna vrsta mora vrniti:

Namestitev:
…
[ErrorCode: 0x00000000]

3.4. Namestitev potrdila z Rutikonom

Ukaz v terminalu:

/opt/cprocsp/bin/csptestf -absorb -certs

Ukaz mora vrniti:

OK.
[ErrorCode: 0x00000000]

4. Namestimo posebni brskalnik Chromium-GOST

Za delo z vladnimi portali potrebujete posebno različico brskalnika chromium – Chromium-GOST. Izvorna koda projekta je javno dostopna, povezava do repozitorij na GitHub se nahaja na spletni strani KryptoPro. Po izkušnjah drugi brskalniki CryptoFox in Yandex.Browser za delo z vladnimi portali pod macOS niso ustrezni. Upoštevati je treba, da nekatere različice Chromium-GOST lahko povzročajo zagozdenje osebnega računa na nalog.ru ali pa sploh ne deluje pomikanje, zato je priporočena stara preverjena različica 71.0.3578.98 – prenesti.

Prenesemo in razpakiramo arhiv, namestimo brskalnik z copied or drag&drop v mapo Applications. Po namestitvi prisilno zapremo Chromium in ga začasno ne odpiramo, delamo iz Safarija.

killall Chromium-Gost

5. Namestimo razširitve za brskalnik

5.1 KryptoPro ECP razširitev za brskalnik

Z na stránce pro stahování Na spletni strani KryptoPro prenesite in namestite KryptoPro EDS Browser plug-in različica 2.0 za uporabnike – prenesti.

5.2. Razširitev za eUsluge

Z na stránce pro stahování Na portalu eUsluge prenesite in namestite Plugin za delo s portalom državnih storitev (različica za macOS) – prenesti.

5.3. Konfigurirajte razširitev za eUsluge

Prenesite pravilen konfiguracijski datotek za razširitev eUsluge s spletne strani KryptoPro – prenesti.

Izvedite ukaze v terminalu:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktivirajte razširitve

Zaženite brskalnik Chromium-Gost in v naslovno vrstico vpišite:

chrome://extensions/

Aktivirajte obe nameščeni razširitvi:

• CryptoPro Extension for CAdES Browser Plug-in
• Razširitev za plugin eUsluge

Zaslon

5.5. Konfigurirajte razširitev KryptoPro ECP razširitev za brskalnik

V naslovno vrstico Chromium-Gost vpišite:

/etc/opt/cprocsp/trusted_sites.html

Na prikazani strani v seznam zaupanja dodajte spletne naslove:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Kliknite “Shrani”. Pojaviti se mora zelena oznaka:

Seznam zaupanja je bil uspešno shranjen.

Zaslon

6. Preverite, da vse deluje

6.1. Vstopite na testno stran KryptoPro

V naslovno vrstico Chromium-Gost vpišite:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Prikazati se mora “Plugin naložen”, seznam pa mora vsebovati vaš certifikat.
Izberite certifikat iz seznama in kliknite “Podpiši”. Zahteval se bo PIN-kod certifikata. Končni rezultat mora biti:

Podpis je bil uspešno oblikovan

Zaslon

6.2. Vstopite v Osebni Račun na nalog.ru

Obstaja možnost, da do povezav s spletne strani nalog.ru ne boste mogli dostopati, ker ne bodo opravljene verifikacije. Povezati se morate z neposrednimi povezavami:

• Osebni račun IP: https://lkipgost.nalog.ru/lk
• Osebni račun UL: https://lkul.nalog.ru

Zaslon

6.3. Vstopite na eUsluge

Pri avtentikaciji izberite “Vstop z elektronskim podpisom”. Na prikazanem seznamu “Izbor certifikata za preverjanje elektronskega podpisa” bodo prikazani vsi certifikati, vključno z osnovnimi in CA, izberite svoj iz usb-token in vpišite PIN.

Zaslon

7. Kaj storiti, če preneha delovati

1. Ponovno priključite usb-token in preverite, ali je viden s pomočjo ukaza v terminalu:

   sudo /opt/cprocsp/bin/csptest -card -enum -v

2. Počistite predpomnilnik brskalnika za celotno obdobje, kar storite tako, da v naslovno vrstico Chromium-Gost vpišete:

   chrome://settings/clearBrowserData

3. Ponovno namestite certifikat CEP s pomočjo ukaza v terminalu:

   /opt/cprocsp/bin/csptestf -absorb -certs

Zamenjava PIN-kode kontejnerja

Privzeti PIN-kod uporabnika za Rutoken 12345678, in tako ga pustiti ni dovoljeno. Zahteve za PIN-kod Rutoken: maks. 16 znakov, lahko vsebuje latinske črke in številke.

1. Ugotovite ime kontejnerja CEP

Na usb ključu i drugim skladištima može biti pohranjeno nekoliko certifikata, te je potrebno odabrati pravi. Kada je usb ključ umetnut, dobijamo popis svih kontejnera u sustavu naredbom u terminalu:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Naredba treba ispisati minimum 1 kontejner i vratiti

[ErrorCode: 0x00000000]

Kontejner koji nam treba izgleda ovako

.Aktiv Rutoken liteXXXXXXXX

Ako se ispisuje više takvih kontejnera – to znači da je na ključu zapisano nekoliko certifikata, i svjesni ste kojeg vam točno treba. Vrijednost XXXXXXXX nakon kosa crte treba kopirati i umetnuti u sljedeću naredbu.

2. Promjena PIN-a naredbom iz terminala

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

kjer XXXXXXXX – naziv kontejnera dobiven na koraku 1 (obavezno u navodnicima).

Pojavit će se dijalog KryptoPro s upitom za stari PIN kod za pristup certifikatu, zatim još jedan dijalog za unošenje novog PIN koda. Gotovo.

Zaslon

Podpisovanje datotek v macOS

U macOS-u datoteke se mogu potpisivati u softveru KryptoArm (cijena licence 2500= rub.), ili jednostavnom naredbom kroz terminal – besplatno.

1. Utvrđujemo hash certifikata KEP

Na ključu i drugim skladištima može biti nekoliko certifikata. Potrebno je jednoznačno identificirati onaj kojim ćemo ubuduće potpisivati dokumente. Provodi se jednom.
Ključ mora biti umetnut. Dobivamo popis certifikata u skladištima naredbom iz terminala:

/opt/cprocsp/bin/certmgr -list

Naredba treba ispisati minimum 1 certifikat ovoga oblika:

Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program za upravljanje certifikatima, CRL-ima i skladištima
= = = = = = = = = = = = = = = = = = = =
1——-
Izdavač: E=help@esphere.ru,… CN=OOO KORUS Konsalting SNG…
Subjekt: E=sergzah@gmail.com,… CN=Zaharov Sergej Anatoljevič…
Serijski broj: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Kontejner: SCARDrutoken_lt_00000000 000 000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

Kod potrebnog certifikata u parametru Kontejner treba imati vrijednost oblika SCARDrutoken…. Ako postoji više certifikata s takvim vrijednostima, to znači da je na ključu zapisano nekoliko certifikata, i vi ste svjesni kojeg točno trebate. Vrijednost parametra SHA1 Hash (40 znakova) treba kopirati i umetnuti u sljedeću naredbu.

2. Potpisivanje datoteke naredbom iz terminala

U terminalu prelazimo u direktorij s datotekom koju treba potpisati i izvršavamo naredbu:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

kjer XXXX… – hash certifikata dobiven na koraku 1, a FILE – ime datoteke za potpisivanje (sa svim ekstenzijama, ali bez putanje).

Ukaz mora vrniti:

Potpisana poruka je stvorena.
[ErrorCode: 0x00000000]

Bit će stvorena datoteka elektroničkog potpisa s ekstenzijom *.sgn – to je odvojeni potpis u CMS formatu s DER kodiranjem.

3. Instalacija Apple Automator Skripte

Da bi se svaki put izbeglo korišćenje terminala, možete jednom instalirati Automator Script, pomoću kojeg ćete moći da potpisujete dokumente iz kontekstnog menija Finder-a. Za to preuzmite arhivu – prenesti.

1. Raspakujte arhivu ‘Sign with CryptoPro.zip’
2. Začnemo Automator
3. Pronađite i otvorite raspakovanu datoteku ‘Sign with CryptoPro.workflow’
4. U bloku Run Shell Script promenite tekst ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ na vrednost parametra SHA1 Hash sertifikata KEP, dobijenog ranije.
5. Sačuvajte skript: ⌘Command + S
6. Pokrenite datoteku ‘Sign with CryptoPro.workflow’ i potvrdite instalaciju.
7. Idemo u System Preferences —> Extensions —> Finder i proverite da li je Sign with CryptoPro brza akcija označena.
8. U Finder-u pozovite kontekstni meni bilo koje datoteke, i u odeljku Quick Actions i/ili Services izaberite stavku Sign with CryptoPro
9. U otvorenom dijalogu CryptoPro unesite PIN kod korisnika za KEP
10. U trenutnom katalogu će se pojaviti datoteka sa ekstenzijom *.sgn – odvojeni potpis u CMS formatu sa DER kodiranjem.

Posnetki zaslona

Prozor Apple Automator:

System Preferences:

Kontekstni meni Finder:

Preverite podpis na dokumentu

Ako sadržaj dokumenta ne sadrži tajne i misterije, najlakše je koristiti web uslugu na portalu eUsluge – https://www.gosuslugi.ru/pgu/eds. Tako možete napraviti snimak ekrana sa auktorizovanog resursa i biti sigurni da je sa potpisom sve u redu.

Posnetki zaslona

Izvor: habr.com