ProHoster > Blogg > Administration > Kvalificerad elektronisk signatur för macOS

Kvalificerad elektronisk signatur för macOS

Kvalificerad elektronisk signatur för macOS

Enligt uppgifter RBC och Tensor, Är 2019 kommer 4,6 miljoner kvalificerade elektroniska signaturcertifikat (KES) att utfÀrdas i Ryssland, i enlighet med krav i 63-FZ. Det innebÀr att av 8 miljoner registrerade individualföretag och aktiebolag anvÀnder vartannat företag elektronisk signatur. Förutom KES för EGAIS och molnbaserade KES för inlÀmning av rapporter, utfÀrdade av banker och redovisningstjÀnster, vÀcker universella KES pÄ skyddade tjÀnster sÀrskilt intresse. SÄdana certifikat möjliggör inloggning pÄ statliga portaler och underskrift av dokument, vilket gör dem juridiskt bindande.

Med KES-certifikatet pÄ USB-token kan man pÄ distans ingÄ avtal med en partner eller distansanstÀlld, skicka dokument till domstol; registrera en online-kassa, reglera skatteskulder och lÀmna in deklarationer pÄ sin personliga sida pÄ nalog.ru; kolla skulder och kommande kontroller pÄ Gosuslugi.

Den manual som presenteras nedan hjĂ€lper att arbeta med KES under macOS – utan att behöva studera KryptoPro-forumen och installera en virtuell maskin med Windows.


InnehÄll

Vad som behövs för att arbeta med KES under macOS:

Installera och konfigurera KES under macOS

  1. Installera KryptoPro CSP
  2. Installera Rutoken-drivrutiner
  3. Installera certifikat
    3.1. Ta bort alla gamla GOST-certifikat
    3.2. Installera rotcertifikat
    3.3. Ladda ner certifikat frÄn certifieringscentralen
    3.4. Installera certifikatet med Rutoken
  4. Installera den speciella webblÀsaren Chromium-GOST
  5. Installera webblÀsartillÀgg
    5.1 KryptoPro EDS WebblÀsarplugin
    5.2. Plugin för Gosuslugi
    5.3. Konfigurera plugin för Gosuslugi
    5.4. Aktivera tillÀgg
    5.5. Konfigurera KryptoPro EDS WebblÀsarplugin
  6. Kontrollera att allt fungerar
    6.1. GĂ„ till testsidans KryptoPro
    6.2. GÄ till den personliga sidan pÄ nalog.ru
    6.3. GĂ„ till Gosuslugi
  7. Vad göra om det slutar fungera

Byta PIN-kod för containern

  1. Ta reda pÄ namnet pÄ KES-containern
  2. Byta PIN med kommandon frÄn terminalen

Signera filer under macOS

  1. Ta reda pÄ certifikatets hash för KES
  2. Signera en fil med kommandon frÄn terminalen
  3. Installera Apple Automator Script

Kontrollera signaturen pÄ dokumentet

All information nedan har erhÄllits frÄn auktoritativa kÀllor (KryptoPro #1 och #2, Rutoken, Korus-Consulting, UFO Ministeriet för kommunikation), och nedladdning av programvara föreslÄs frÄn betrodda webbplatser. Författaren Àr en oberoende konsult och har ingen koppling till nÄgot av de nÀmnda företagen. Genom att följa dessa instruktioner tar du fullt ansvar för eventuella ÄtgÀrder och konsekvenser.

Vad som behövs för att arbeta med KES under macOS:

  1. KÄP pĂ„ USB-token Rutoken Lite eller Rutoken E-signatur
  2. kryptobehÄllare i CryptoPro-format
  3. med inbyggd licens för CryptoPro CSP

Media eToken och JaCarta i kombination med CryptoPro pÄ macOS stöds inte. Rutoken Lite Àr det optimala valet, kostar 500..1000 rubel, fungerar snabbt och kan lagra upp till 15 nycklar.

Kryptoleverantörerna VipNet, Signal-COM och LISSI stöds inte pÄ macOS. Det Àr inte möjligt att konvertera behÄllarna. CryptoPro Àr det bÀsta valet, certifikatets kostnad bör vara omkring 1300 rubel för privatpersoner och 1600 rubel för juridiska personer.

Vanligtvis Àr en Ärslicens för CryptoPro CSP redan inbÀddad i certifikatet och erbjuds gratis av mÄnga CA. Om sÄ inte Àr fallet, mÄste man köpa och aktivera en livstidslicens för CryptoPro CSP strikt version 4 till ett pris av 2700 rubel. CryptoPro CSP version 5 fungerar för nÀrvarande inte pÄ macOS.

Installera och konfigurera KES under macOS

SjÀlvklara saker

  • alla nedladdade filer sparas i standardmappen: ~/Downloads/;
  • i alla installationsprogram Ă€ndrar vi inget, vi lĂ€mnar allt som det Ă€r;
  • om macOS varnar att programvaran kommer frĂ„n en obekant utvecklare – mĂ„ste vi bekrĂ€fta starten i systeminstĂ€llningarna: System Preferences —> Security & Privacy —> Open Anyway;
  • om macOS ber om anvĂ€ndarlösenord och tillstĂ„nd att styra datorn – mĂ„ste vi ange lösenordet och godkĂ€nna allt.

1. Installera CryptoPro CSP

Registrera dig pĂ„ CryptoPro:s webbplats och frĂ„n nedladdningssidan ladda ner och installera versionen CryptoPro CSP 4.0 R4 för macOS – ladda ner.

2. Installera drivrutiner för Rutoken

PĂ„ webbplatsen anges att detta Ă€r valfritt, men det Ă€r bĂ€ttre att installera. FrĂ„n nedladdningssidan Rutokens webbplats laddar vi ner och installerar Modul för stöd av Nyckelhantering (KeyChain) – ladda ner.

Anslut sedan usb-token, öppna terminalen och kör kommandot:

/opt/cprocsp/bin/csptest -card -enum -v

Svaret ska vara:

Aktivera Rutoken

Kort nÀrvarande

[ErrorCode: 0x00000000]

3. Installera certifikat

3.1. Ta bort alla gamla GOST-certifikat

Om det tidigare har gjorts försök att köra KÄP pĂ„ macOS, mĂ„ste alla tidigare installerade certifikat rensas. Dessa kommandon i terminalen kommer endast att ta bort CryptoPro-certifikat och pĂ„verkar inte vanliga certifikat frĂ„n Nyckelhantering i macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

Varje kommando ska returnera:

Inga certifikat som matchar kriterierna

eller

Borttagning slutförd

3.2. Installera rotcertifikat

Rotscertifikat Àr gemensamma för alla elektronikcertifikat utfÀrdade av nÄgot certifieringsorgan. Ladda ner frÄn nedladdningssidan UFO Min kommunikationsministeriet:

Installera med kommandona i terminalen:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Varje kommando ska returnera:

Installerar:


[ErrorCode: 0x00000000]

3.3. Ladda ner certifikat frÄn certifieringscentralen

DÀrefter behöver du installera certifikaten frÄn certifieringsorganet dÀr du fick ditt elektroniska certifikat. Vanligtvis finns rotcertifikaten för varje certifieringsorgan pÄ deras webbplats under nedladdningar.

Alternativt kan certifikat frĂ„n vilket certifieringsorgan som helst laddas ner frĂ„n webbplatsen för UFO Min kommunikationsministeriet. För detta behöver du söka upp certifieringsorganet efter namn, gĂ„ till sidan med certifikat och ladda ner alla giltiga certifikat – det vill sĂ€ga de som har i fĂ€ltet ‘Giltigt’ det andra datumet har Ă€nnu inte intrĂ€ffat. Ladda ner via lĂ€nken frĂ„n fĂ€ltet ‘Fingeravtryck’.

SkÀrmdumpar

Kvalificerad elektronisk signatur för macOS

Kvalificerad elektronisk signatur för macOS

Till exempel frÄn certifieringsorganet Korus-Consulting: du mÄste ladda ner 4 certifikat frÄn nedladdningssidan:

De nedladdade certifikaten frÄn certifieringsorganet installeras med kommandon frÄn terminalen:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/B9F1D3F78971D48C34AA73786CDCD138477FEE3F.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/55EC48193B6716D38E80BD9D1D2D827BC8A07DE3.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/15EB064ABCB96C5AFCE22B9FEA52A1964637D101.cer

dÀr efter ~/Downloads/ följer namnen pÄ de nedladdade filerna, för varje certifieringsorgan kommer de att vara egna.

Varje kommando ska returnera:

Installerar:


[ErrorCode: 0x00000000]

3.4. Installera certifikatet med Rutoken

Kommandot i terminalen:

/opt/cprocsp/bin/csptestf -absorb -certs

Kommandot bör returnera:

OK.
[ErrorCode: 0x00000000]

4. Installera den specialanpassade webblÀsaren Chromium-GOST

För att arbeta med statliga portaler krĂ€vs en speciell version av webblĂ€saren Chromium – Chromium-GOST. KĂ€llkoden för projektet Ă€r öppen, lĂ€nk till faktablad pĂ„ GitHub anges pĂ„ webbplatsen för KryptoPro. UtifrĂ„n erfarenhet fungerar andra webblĂ€sare CryptoFox och Yandex.Browser inte för arbete med statliga portaler under macOS. Det Ă€r vĂ€rt att notera att i vissa versioner av Chromium-GOST kan anvĂ€ndarkontot pĂ„ nalog.ru hĂ€nga sig eller sluta fungera, dĂ€rför rekommenderas en gammal beprövad version 71.0.3578.98 – ladda ner.

Ladda ner och extrahera arkivet, installera webblÀsaren genom att kopiera eller dra och slÀppa i Applications-katalogen. Efter installationen, stÀng tvingat Chromium och öppna den inte Àn, utan arbeta frÄn Safari.

killall Chromium-Gost

5. Installera webblÀsartillÀgg

5.1 KryptoPro EDS WebblÀsarplugin

FrĂ„n nedladdningssidan webbplatsen CryptoPro laddar vi ner och installerar CryptoPro EDS Browser plug-in version 2.0 för anvĂ€ndare – ladda ner.

5.2. Plugin för Gosuslugi

FrĂ„n nedladdningssidan pĂ„ portalen för offentliga tjĂ€nster laddar vi ner och installerar TillĂ€gget för att arbeta med portalens offentliga tjĂ€nster (version för macOS) – ladda ner.

5.3. Konfigurera plugin för Gosuslugi

Ladda ner rĂ€tt konfigurationsfil för tillĂ€gget till offentliga tjĂ€nster frĂ„n CryptoPro – ladda ner.

Genomför kommandon i terminalen:

sudo rm /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents/ifc.cfg

sudo cp ~/Downloads/ifc.cfg /Library/Internet Plug-Ins/IFCPlugin.plugin/Contents

sudo cp /Library/Google/Chrome/NativeMessagingHosts/ru.rtlabs.ifcplugin.json /Library/Application Support/Chromium/NativeMessagingHosts

5.4. Aktivera tillÀgg

Starta webblÀsaren Chromium-Gost och skriv in i adressfÀltet:

chrome://extensions/

Aktivera bÄda installerade tillÀgg:

  • CryptoPro Extension for CAdES Browser Plug-in
  • TillĂ€gget för tillĂ€gget av offentliga tjĂ€nster

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

5.5. Konfigurera KryptoPro EDS WebblÀsarplugin

Skriv in i adressfÀltet pÄ Chromium-Gost:

/etc/opt/cprocsp/trusted_sites.html

PÄ den resulterande sidan lÀgger vi till sidorna i listan över betrodda vÀrdar en efter en:

https://*.cryptopro.ru
https://*.nalog.ru
https://*.gosuslugi.ru

Klicka pÄ "Spara". En grön banner ska visas:

Listan över betrodda vÀrdar har sparats framgÄngsrikt.

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

6. Kontrollera att allt fungerar

6.1. GĂ„ till testsidans KryptoPro

Skriv in i adressfÀltet pÄ Chromium-Gost:

https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Det ska stÄ "TillÀgget har laddats", och din certifikat ska finnas i listan nedan.
VÀlj certifikatet frÄn listan och klicka pÄ "Signerar". En PIN-kod för certifikatet kommer att begÀras. Resultatet ska visa

Signaturen skapades framgÄngsrikt

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

6.2. GÄ till den personliga sidan pÄ nalog.ru

Det kan hÀnda att det inte gÄr att nÄ lÀnkarna frÄn webbplatsen nalog.ru, eftersom kontrollerna inte kommer att passeras. GÄ direkt till följande lÀnkar:

  • Personligt konto Enskild nĂ€ringsidkare: https://lkipgost.nalog.ru/lk
  • Personligt konto Juridisk person: https://lkul.nalog.ru

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

6.3. GĂ„ till Gosuslugi

Vid autentisering vÀljer vi "Inloggning med elektronisk signatur". I den resulterande listan "Val av certifikat för verifiering av elektronisk signatur" kommer alla certifikat att visas, inklusive rotcertifikat och CA, vÀlj ditt frÄn USB-token och ange PIN-koden.

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

Kvalificerad elektronisk signatur för macOS

7. Vad göra om det slutar fungera

  1. Återanslut USB-token och kontrollera att den Ă€r synlig med kommandot i terminalen:

    sudo /opt/cprocsp/bin/csptest -card -enum -v

  2. Rensa webblÀsarens cache under hela tiden, för detta skriver vi in i adressfÀltet pÄ Chromium-Gost:

    chrome://settings/clearBrowserData

  3. Installera om EDS-certifikatet med hjÀlp av kommandot i terminalen:

    /opt/cprocsp/bin/csptestf -absorb -certs

Byta PIN-kod för containern

Standard-PIN-kod för RUTOKEN 12345678, och det kan inte lÀmnas i detta tillstÄnd. Krav pÄ RUTOKEN:s PIN-kod: max 16 tecken, kan innehÄlla latinska bokstÀver och siffror.

1. Ta reda pÄ namnet pÄ EDS-behÄllaren

PÄ usb-token och i andra lagringsenheter kan flera certifikat lagras, och du behöver vÀlja rÀtt. Med den insatta usb-token fÄr vi en lista över alla behÄllare i systemet med kommandot i terminalen:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Kommandot ska returnera minst 1 behÄllare och i reda

[ErrorCode: 0x00000000]

Den behÄllare vi behöver ser ut som

.Aktiv Rutoken liteXXXXXXXX

Om flera sÄdana behÄllare skrivs ut, betyder det att flera certifikat Àr registrerade pÄ token, och du vet vilket du behöver. VÀrdet XXXXXXXX efter snedstrecket mÄste kopieras och sÀttas in i kommandot nedan.

2. Ändra PIN med kommandot i terminalen

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

w XXXXXXXX – namnet pĂ„ behĂ„llaren, hĂ€mtat pĂ„ steg 1 (mĂ„ste vara inom citattecken).

En dialogruta frÄn CryptoPro kommer att dyka upp som ber om den gamla PIN-koden för Ätkomst till certifikatet, följt av ytterligare en dialog för att skriva in den nya PIN-koden. Klart.

SkÀrmdump

Kvalificerad elektronisk signatur för macOS

Signera filer under macOS

I macOS kan filer signeras med programmet CryptoArm (licenskostnad 2500 rubel), eller med ett enkelt kommando via terminalen – gratis.

1. Ta reda pÄ certifikatets hash för KEP

PÄ token och i andra lagringsenheter kan det finnas flera certifikat. Det Àr nödvÀndigt att entydigt identifiera det certifikat som vi kommer att anvÀnda för att signera dokument. Görs en gÄng.
Token mÄste vara insatt. Vi fÄr en lista över certifikat i lagringsenheterna med kommandot i terminalen:

/opt/cprocsp/bin/certmgr -list

Kommandot ska returnera minst 1 certifikat av typen:

Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program för att hantera certifikat, CRL och lagringar
= = = = = = = = = = = = = = = = = = = =
1——-
UtfÀrdare: E=help@esphere.ru,
 CN=OOO KORUS Consulting CIS

Ämne: E=sergzah@gmail.com,
 CN=Zaharov Sergey Anatolyevich

Serienummer: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX


BehÄllare: SCARDrutoken_lt_00000000 000 000


= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

Det certifikat vi behöver ska ha vĂ€rdet i parametern Container som ser ut som SCARDrutoken
. Om det finns flera certifikat med sĂ„dana vĂ€rden, betyder det att flera certifikat Ă€r registrerade pĂ„ token, och du vet vilket du behöver. VĂ€rdet i parametern SHA1 Hash (40 tecken) mĂ„ste kopieras och sĂ€ttas in i kommandot nedan.

2. Signera filen med kommandot i terminalen

I terminalen gÄr vi till katalogen med filen som ska signeras och utför kommandot:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„Đ„ FILE

w XXXX
 – hash av certifikatet, erhĂ„llet vid steg 1, och FILE – filnamnet för signering (med alla filĂ€ndelser, men utan sökvĂ€g).

Kommandot bör returnera:

Det signerade meddelandet har skapats.
[ErrorCode: 0x00000000]

En elektronisk signaturfil med filĂ€ndelsen *.sgn kommer att skapas – detta Ă€r en frikopplad signatur i CMS-format med DER-kodning.

3. Installera Apple Automator-script

För att slippa jobbet med terminalen varje gĂ„ng kan man en gĂ„ng installera Automator Script, med vilket man kan signera dokument direkt frĂ„n kontextmenyn i Finder. För detta laddar vi ner arkivet – ladda ner.

  1. Packa upp arkivet ‘Sign with CryptoPro.zip’
  2. Starta Automator
  3. Hitta och öppna den upplockade filen ‘Sign with CryptoPro.workflow’
  4. I blocket Run Shell Script Àndrar vi texten XXXXXX till vÀrdet av parametern SHA1 Hash certifikatet KEP, som erhÄllits ovan.
  5. Spara skriptet: ⌘Command + S
  6. Kör filen ‘Sign with CryptoPro.workflow’ och bekrĂ€fta installationen.
  7. GÄ till System Preferences -> Extensions -> Finder och kontrollera att Sign with CryptoPro snabbÄtgÀrd Àr markerad.
  8. I Finder, öppna kontextmenyn för vilken fil som helst, och i sektionen Quick Actions och/eller Services vÀlja punkten Sign with CryptoPro
  9. I den dialogruta som öppnas, ange CryptoPro:s anvÀndar-PIN för KEP
  10. I den aktuella katalogen kommer en fil med tillĂ€gget *.sgn att dyka upp – en frikopplad signatur i CMS-format med DER-kodning.

SkÀrmdumpar

Fönster för Apple Automator:
Kvalificerad elektronisk signatur för macOS

System Preferences:
Kvalificerad elektronisk signatur för macOS

Kontextmeny i Finder:

Kvalificerad elektronisk signatur för macOS

Kontrollera signaturen pÄ dokumentet

Om innehĂ„llet i dokumentet inte innehĂ„ller nĂ„gra hemligheter, Ă€r det enklast att anvĂ€nda webbtjĂ€nsten pĂ„ portalens tjĂ€nster – https://www.gosuslugi.ru/pgu/eds. DĂ„ kan man ta en skĂ€rmdump frĂ„n en betrodd kĂ€lla och vara sĂ€ker pĂ„ att signaturen Ă€r korrekt.

SkÀrmdumpar

Kvalificerad elektronisk signatur för macOS

Kvalificerad elektronisk signatur för macOS

KĂ€lla: habr.com

Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar đŸ”„ Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar | ProHoster