Эцп гост 2012 не работает

Побег из Крипто Про. ГОСТ 34.10-2012 edition

На Хабре есть великолепная статья «Побег из Крипто Про. Режиссерская версия, СМЭВ-edition», но наступил 2019 год и все УЦ стали выдавать ЭЦП по ГОСТ 34.10-2012 вместо ГОСТ 34.10-2001.

Под катом рассказ как можно модифицировать свой софт на Bouncy Castle для поддержки работы с ключами по новым гостам.

Disclaimer

О юридических тонкостях подписывания документов через Bouncy Castle и прочих СКЗИ я ничего не знаю и общаться не готов. Перед использованием кода в продакшене проконсультируйтесь с юристом.

А зачем это вообще надо? Хорошо написанно оригинальной статье. Повторяться не буду.

Получение ключа с Токена

Все известные мне УЦ выдают ключи с сертификатами на подобных токенах. На токен записан контейнер КриптоПро с приватным ключом и сертификатом. При экспорте ключа через CryptoPro CSP он экспортируется в особый «КриптоПро pfx» не совместимый ни с чем.

Просьбы выдать ключ в стандартном pfx или любом другом типовом контейнере УЦ игнорируют.
Если кто знает УЦ выдающие подписи в стандартных контейнерах поделитесь координатами в комментариях. Хороших людей не стыдно попиарить.

Для преобразования контейнера КриптоПро в стандартный pfx мы как и в оригинальной статье будем использовать P12FromGostCSP. Старые взломанные версии не работают с ключами по 2012 Госту. Идем на сайт авторов и покупаем новую.

Итак мы получили стандартный pfx с ключом и сертификатом.

Обновление Bouncy Castle

Обновляем Bouncy Castle до 1.60 Старые версии могут не поддерживать алгоритмы ГОСТ 2012.

Инициализация Bouncy Castle

Алиасы обязательно изменяем. Утилита P12FromGostCSP задает всегда один и тот же алиас «csp_exported» и при обработке уже второго ключа будут проблемы.

Для удобства работы ключ из pfx необходимо загрузить в стандартный Java KeyStore и дальше работать только с ним.

Сохранение ключа с сертификатом в KeyStore

Загрузка ключей и сертификатов из KeyStore

Есть вариант JcaContentSignerBuilder(«GOST3411WITHECGOST3410-2012-512») для 512 битовых ключей. Мои УЦ выдают 256 битные ничего не спрашивая и игнорируют уточняющие вопросы.

Проверка подписи полностью аналогична проверке по Госту 2001 года. Можно ничего не менять.

Источник

Все, что нужно знать о переходе на новый ГОСТ 2012

В России меняется стандарт электронной подписи. С 1 января 2019 года удостоверяющие центры могут выпускать сертификаты только на ГОСТ 2012. Контролирующие органы, торговые площади и информационные площадки учатся обрабатывать подписи, сформированные новыми сертификатами. А что делать пользователям?

В 2019 году Минкомсвязи разрешает использовать оба варианта КЭП: и на ГОСТ 2001, и на ГОСТ 2012.

Системы не должны отказываться принимать сертификаты на ГОСТ 2001. А значит, пользователям нет необходимости до конца 2019 года перевыпускать действующий сертификат со старым ГОСТом. Проверяйте работоспособность своего сертификата электронной подписи самостоятельно, не обращая внимания на сообщения систем. Инструменты для этого есть на каждой торговой площадке и информационной системе.

Большинство информационных систем (ИС) и электронных торговых площадок (ЭТП) уже принимают сертификаты на ГОСТ 2012, в том числе все площадки по 44-ФЗ, 223-ФЗ и коммерческие ЭТП. Также на ГОСТ 2012 перешли основные контролирующие органы — ФНС, ПФР, ФСС. Актуальную информацию о готовности ИС и ЭТП можно смотреть на портале ситуационного центра.

Как подготовиться к переходу на новый ГОСТ 2012

Если в 2019 вы получаете новый сертификат на ГОСТ 2012, то проверьте, что ваше рабочее место и ключевой носитель готовы работать с ним.

С какими СКЗИ работает ГОСТ 2012?

1. Если у вас КриптоПро CSP версии 3.9 и ниже. Новый ГОСТ не будет работать с этой версией, ее нужно обновить.
2. Если у вас есть действующий сертификат со встроенной лицензией КриптоПро CSP. При получении нового сертификата на ГОСТ 2012 в него также будет встроена лицензия КриптоПро CSP. В этом случае необходимо только обновить КриптоПро CSP до версии 4.0. Сделать это можно с помощью сервиса диагностики.
3. Если у вас бессрочная лицензия на КриптоПро CSP версии 3.9 или ниже. Для работы с сертификатами на ГОСТ 2012 необходимо приобрести лицензию на обновление КриптоПро CSP до версии 4.0 для рабочего места.
4. Если у вас КриптоПро CSP версии 3.9 и ниже стоит на серверной операционной системе. Чтобы работать с сертификатами на ГОСТ 2012, вам необходимо:
   • приобрести лицензию на обновление КриптоПро CSP до версии 4.0 на сервере, если ранее была приобретена бессрочная лицензия на КриптоПро CSP версии 3.9 или ниже для сервера;
   • приобрести новую годовую или бессрочную лицензию КриптоПро CSP версии 4.0 на сервер, если ранее была приобретена годовая лицензия на КриптоПро CSP 3.9 и ниже для сервера или использовалась лицензия для рабочего места;
   • сменить ОС на клиентскую и купить годовую или бессрочную лицензию КриптоПро CSP версии 4.0 для рабочего места.

С какими ключевыми носителями работает ГОСТ 2012?

Сертификаты, выпущенные на ГОСТ 2012, работают с носителями Рутокен Lite, Рутокен S, JaCarta PKI, eToken.

Если храните ключи на флеш-карте или в реестре компьютера, вам также не требуется менять носитель.

Носители Рутокен ЭЦП 2.0 и JaCarta-2 SE, используемые для работы в ЕГАИС ФСРАР, поддерживают как ГОСТ 2001, так и ГОСТ 2012. Если вы используете их, то никаких дополнительных действий не требуется.

Но если для ЕГАИС ФС РАР вы используете JaCarta SE, то для работы с сертификатом на ГОСТ 2012 необходимо приобрести любой другой из двух видов носителей, которые поддерживают алгоритмы ГОСТ 2012.

Как проверить свой ГОСТ

Чтобы узнать, на каком ГОСТе выпущен ваш сертификат, откройте в нем вкладку «Состав». Там указаны стандарты криптографических алгоритмов, которые используются при формировании электронной подписи:

До 2019 года квалифицированные сертификаты аккредитованных удостоверяющих центров формировались на алгоритмах ГОСТ 2001. Но с 1 января 2019, в соответствии с выпиской из документа ФСБ России, для создания электронной подписи необходимо использовать сертификаты на криптографических алгоритмах ГОСТ 2012.

12 сентября 2018 Минкомсвязи выпустило уведомление о плане перехода на новый ГОСТ 2012. Возможность использования сертификатов на ГОСТ 2001 продлили до 31 декабря 2019 года. Это значит, что все информационные системы должны работать и с сертификатами созданными как по ГОСТ 2001, так и по ГОСТ 2012.

Источник

Как перейти на ЭЦП по новому ГОСТ 2012

Переход на новый ГОСТ ЭЦП — это процедура обновления действующих ключей электронной цифровой подписи по новым стандартам.

Что меняется

С 2019 года окончательно вступил в силу новый ГОСТ Р 34.11-2012/34.10-2012, или просто ГОСТ 2012. Что это означает для разработчиков? Производители ЭЦП, аккредитованные удостоверяющие центры, электронные площадки и онлайн-службы основных ведомств перешли на новый госстандарт. Они обязаны готовить, принимать и обрабатывать документы, подписанные электронными подписями нового стандарта.

Мы предлагаем подробную инструкцию перехода, формирования и установки новых ЭЦП.

Как получить электронную подпись

Если вы планируете использовать систему электронного документооборота, то для создания подписи надо подключиться к этой системе и получить от ее оператора учетную запись с логином и паролем. Например, подпись можно создать, зарегистрировавшись на сайтах госорганов, чтобы отправлять им сообщения и получать определенные госуслуги.

Можно использовать простую электронную подпись и без информационной системы. Для этого надо подписать с контрагентом соглашение об обмене документами по электронной почте с использованием такой подписи. В качестве подписи будет использоваться адрес электронной почты и пароль к определенному почтовому ящику.

Как проверить сертификат

Если вы недавно меняли ЭЦП (в течение 2019 года), не торопитесь получать новую подпись. Для начала проверьте стандарт действующего ключа. Вот как узнать ГОСТ ЭЦП:

1. Найдите и войдите в файл сертификата на своем ПК.
2. В контекстном меню выберите блок «Свойства».
3. Проверьте алгоритм действующей подписи.

Если у вашей подписи актуальный госстандарт, спокойно работайте дальше. Менять сертификат нет необходимости.

Как установить новый сертификат

Срок действия старых сертификатов заканчивается, и до начала нового года рекомендуется получить новый экземпляр. Отправьте запрос на получение сертификата по госстандарту Р 34.11-2012/34.10-2012.

Для формирования и отправки заявки используйте портал заявителя информационной системы «Удостоверяющий центр Федерального казначейства». Новые стандарты ЭЦП не влияют на алгоритм получения самого ключа.

Вот инструкция по скачиванию и установке сертификатов от удостоверяющего центра ФК РФ:

Шаг 1. Переходим на официальный сайт Федерального казначейства РФ.

Шаг 2. Выбираем раздел «Удостоверяющий центр», затем «Корневые сертификаты».

Шаг 3. Активировать ссылку на скачивание корневого сертификата УЦ — на сайте действует специальная настройка ЭЦП ГОСТ 2012.

Шаг 4. Сохранить файл в выбранную локальную директорию автоматизированного рабочего места (АРМ) пользователя.

Шаг 5. В контекстном меню сохраненного файла выбрать действие «Установить».

Шаг 6. Выбрать хранилище «Локальный компьютер» в Мастере импорта сертификатов.

Шаг 7. Вручную выбрать хранилище: нажать «Обзор», найти «Промежуточные центры сертификации».

Шаг 8. Проверить сведения в окне завершения. Нажать «Готово».

Шаг 9. Если все действия выполнены правильно, то появится сообщение об успешном импорте.

Как конвертировать файлы

Вы установили новый ключ, но он почему-то не работает? Первое, что надлежит сделать, — узнать, соответствует ли ЭЦП обновленным стандартам. Вот как проверить ГОСТ ЭЦП:

1. Открыть установленный файл.
2. Отобразить его свойства.
3. Посмотреть ГОСТ сертификата.

Если в свойствах стоит верное значение (ГОСТ 2012), но не удается подписать документ в ГИИС «Электронный бюджет», возможно, проблема в названии организации. Если наименование заказчика превышает 127 символов, возникают ошибки с отображением при подписании файлов в ГИИС. Поможет конвертация ЭЦП по ГОСТ 2012 — корректный контейнер для установки ключа на носителе имеет значение PCKS 15, тогда как ключи выпускаются со значением PCKS 12. Конвертация контейнеров КриптоПро (из 12 в 15) является решением такой проблемы.

Чтобы это сделать:

1. Проверьте, экспортируемый ли контейнер на вашем носителе.
2. Установите утилиту конвертации ключа ГОСТ 2012.
3. Скачайте установочный файл (Converter.exe) и загрузите его в выбранную директорию ПК.

Как учесть расходы на покупку ЭЦП

Чтобы подписывать документы, составленные в электронной форме, надо приобрести электронную подпись (ЭП) в удостоверяющем центре. Как правило, покупка складывается из приобретения:

• услуг по созданию ключа, ключа проверки и его сертификата;
• материального носителя ключа (иначе – ключевого носителя, токена);
• неисключительной лицензии (экземпляра программы) на средство криптографической защиты информации (СКЗИ) – специального программного обеспечения для работы.

Как создать новый носитель по госстандарту Р 34.11-2012/34.10-2012

Вы скачали и установили программу Converter.exe? Отлично! Теперь приступайте к созданию носителя по обновленным стандартам. Вот как формировать файл через конвертер ЭЦП по ГОСТу 2012:

1. Запускаем программу.

2. Вставляем носитель с закрытым ключом. Обновляем список носителей.

3. Выбираем действие «Конвертировать». Вставляем новый чистый носитель (объем не имеет значения). Обновляем список.

4. Придумываем пароль и сохраняем.

5. Автоматически откроется окно для ввода пароля от сертификата ключа ЭЦП, сгенерированного в казначейском УЦ.

6. Конвертация завершена. Система уведомит вас об успешном окончании процедуры. На носителе установлены два файла.

7. Теперь переходим к генерации ключей. Входим в программу генерации и запускаем импорт.

8. Откроется окно для импорта. В верхнем поле выбираем сертификат, выданный УЦ, а в нижнем — конвертированный файл. Затем вставляем носитель и выбираем его значение.

9. Вводим пароль нового носителя и завершаем импорт. Сертификат готов к работе.

Как избавиться от ошибок

Вы все сделали правильно, установили корневой сертификат по инструкции, проверили свойства носителя, конвертировали файлы, но что-то пошло не так, и все еще не работает ЭЦП ГОСТ 2012. Возможно, не обновили КриптоПро — минимальная версия программы 4.0. Или СКЗИ «Континент-АП» устарел — актуальная версия 3.7. Это легко проверить (смотрите свойства программы) и исправить (подать письменное обращение в ТОФК). Специалисты Казначейства предоставят вам новую версию, и после установки ЭЦП заработает.

Но есть и другие нарушения программных продуктов, не позволяющие работать новому носителю. В таблице смотрите основные ошибки и варианты их решения.

Источник