Электронно-цифровые подписи (ЭЦП) давно и прочно вошли в обиход как в государственных учреждениях, так и в частных фирмах. Технология реализована через сертификаты безопасности, как общие для организации, так и личные. Последние чаще всего хранятся на флешках, что накладывает некоторые ограничения. Сегодня мы расскажем вам, как устанавливать такие сертификаты с флеш-носителя на компьютер.
Несмотря на свою надежность, флешки тоже могут выйти из строя. К тому же не всегда удобно вставлять и вынимать накопитель для работы, особенно на небольшой срок. Сертификат с носителя-ключа можно установить на рабочую машину, чтобы избежать этих проблем.
Процедура зависит от версии Криптопро CSP, которая используется на вашей машине: для новейших версий подойдет Способ 1, для более старых — Способ 2. Последний, к слову, более универсален.
Способ 1: Установка в автоматическом режиме
Последние версии Криптопро ЦСП обладают полезной функцией автоматической установки персонального сертификата с внешнего носителя на жесткий диск. Чтобы задействовать ее, проделайте следующее.
- Первым делом нужно запустить КриптоПро CSP. Откройте меню «Пуск»
, в нем перейдите в «Панель управления»
.
Щелкните левой кнопкой мыши по отмеченному пункту. - Запустится рабочее окно программы. Откройте «Сервис» и выберите опцию просмотра сертификатов, отмеченную на скриншоте ниже.
- Щелкните по кнопке обзора.
Программа предложит выбрать местоположение контейнера, в нашем случае флеш-накопитель.
Выберите нужный и нажмите «Далее». . - Откроется предварительный просмотр сертификата. Нам нужны его свойства — нажимайте на нужную кнопку.
В следующем окне щелкните по кнопке установки сертификата. - Откроется утилита импорта сертификатов. Для продолжения работы нажимайте «Далее»
.
Предстоит выбрать хранилище. В последних версиях КриптоПро лучше оставить настройки по умолчанию.
Заканчивайте работу с утилитой нажатием «Готово» . - Появится сообщение об успешном импорте. Закройте его, щелкнув «ОК»
.
Задача решена.
Данный способ на сегодня является самым распространенным, однако в некоторых вариантах сертификатов воспользоваться им невозможно.
Способ 2: Ручной метод установки
Устаревшие версии КриптоПро поддерживают только ручную установку личного сертификата. Кроме того, в некоторых случаях последние версии ПО могут брать такой файл в работу через встроенную в CryptoPro утилиту импорта.
- Первым делом убедитесь, что на флешке, которая используется в качестве ключа, присутствует файл сертификата в формате CER.
- Откройте КриптоПро ЦСП путем, описанным в Способе 1, но на этот раз выбирая установку сертификатов..
- Откроется «Мастер установки личного сертификата»
. Переходите к выбору местоположения файла CER.
Выберите вашу флешку и папку с сертификатом (как правило, такие документы расположены в каталоге со сгенерированными ключами шифрования).
Убедившись, что файл распознан, нажимайте «Далее» . - На следующем этапе просмотрите свойства сертификата, чтобы убедиться в правильности выбора. Проверив, нажимайте «Далее» .
- Дальнейшие действия — указание контейнера ключа вашего CER-файла. Жмите на соответствующую кнопку.
Во всплывающем окошке выберите местоположение нужного.
Вернувшись к утилите импорта, снова нажимайте «Далее» . - Далее нужно выбрать хранилище импортируемого файла ЭЦП. Щелкайте «Обзор»
.
Поскольку сертификат у нас личный, то и отметить нужно соответствующую папку.
Внимание: если вы используете этот способ на новейшей CryptoPro, то не забудьте отметить пункт «Установить сертификат (цепочку сертификатов) в контейнер» !
- Завершайте работу с утилитой импорта.
- Мы собираемся заменить ключ на новый, так что смело нажимайте «Да»
в следующем окне.
Процедура окончена, можно подписывать документы.
Данный способ несколько сложнее, однако в некоторых случаях установить сертификаты можно только так.
В качестве подведения итогов напомним: устанавливайте сертификаты только на проверенные компьютеры!
Добрый день!. Последние два дня у меня была интересная задача по поиску решения на вот такую ситуацию, есть физический или виртуальный сервер, на нем установлена наверняка многим известная КриптоПРО. На сервер подключен , который используется для подписи документов для ВТБ24 ДБО . Локально на Windows 10 все работает, а вот на серверной платформе Windows Server 2016 и 2012 R2, Криптопро не видит ключ JaCarta . Давайте разбираться в чем проблема и как ее поправить.
Описание окружения
Есть виртуальная машина на Vmware ESXi 6.5, в качестве операционной системы установлена Windows Server 2012 R2 . На сервере стоит КриптоПРО 4.0.9944, последней версии на текущий момент. С сетевого USB хаба, по технологии USB over ip , подключен ключ JaCarta. Ключ в системе видится , а вот в КриптоПРО нет.
Алгоритм решения проблем с JaCarta
КриптоПРО очень часто вызывает различные ошибки в Windows, простой пример (Windows installer service could not be accessed). Вот так вот выглядит ситуация, когда утилита КриптоПРО не видит сертификат в контейнере.
Как видно в утилите UTN Manager ключ подключен, он видится в системе в смарт картах в виде Microsoft Usbccid (WUDF) устройства, но вот CryptoPRO, этот контейнер не определяет и у вас нет возможности установить сертификат. Локально токен подключали, все было то же самое. Стали думать что сделать.
Возможные причины с определением контейнера
- Во первых, это проблема с драйверами, например, в Windows Server 2012 R2, JaCarta в идеале должна определяться в списке смарт карт как JaCarta Usbccid Smartcard, а не Microsoft Usbccid (WUDF)
- Во вторых если устройство видится как Microsoft Usbccid (WUDF), то версия драйверов может быть устаревшей, и из-за чего ваши утилиты будут не определять защищенный USB носитель.
- Устарелая версия CryptoPRO
Как решить проблему, что криптопро не видит USB ключ?
Создали новую виртуальную машину и стали ставить софт все последовательно.
Перед установкой любого программного обеспечения работающего с USB носителями на которых находятся сертификаты и закрытые ключи. Нужно ОБЯЗАТЕЛЬНО отключить токен, если воткнут локально, то отключаем его, если по сети, разрываем сессию
- Первым делом обновляем вашу операционную систему , всеми доступными обновлениями, так как Microsoft исправляет много ошибок и багов, в том числе и драйверами.
- Вторым пунктом является, в случае с физическим сервером, установить все свежие драйвера на материнскую плату и все периферийное оборудование.
- Далее устанавливаете Единый Клиент JaCarta.
- Устанавливаете свежую версию КриптоПРО
Установка единого клиента JaCarta PKI
Единый Клиент JaCarta - это специальная утилита от компании "Аладдин", для правильной работы с токенами JaCarta. Загрузить последнюю версию, данного программного продукта, вы можете с официального сайта, или у меня с облака, если вдруг, не получиться с сайта производителя.
Далее полученный архив вы распаковываете и запускаете установочный файл, под свою архитектуру Windows , у меня это 64-х битная. Приступаем к установке Jacarta драйвера. Единый клиент Jacarta, ставится очень просто (НАПОМИНАЮ ваш токен в момент инсталляции, должен быть отключен). На первом окне мастера установки, просто нажимаем далее.
Принимаем лицензионное соглашение и нажимаем "Далее"
Чтобы драйвера токенов JaCarta у вас работали корректно, достаточно выполнить стандартную установку.
Если выберете "Выборочную установку", то обязательно установите галки:
- Драйверы JaCarta
- Модули поддержки
- Модуль поддержки для КриптоПРО
Через пару секунд, Единый клиент Jacarta, успешно установлен.
Обязательно произведите перезагрузку сервера или компьютера, чтобы система увидела свежие драйвера.
После установки JaCarta PKI, нужно установить КриптоПРО, для этого заходите на официальный сайт.
https://www.cryptopro.ru/downloads
На текущий момент самая последняя версия КриптоПро CSP 4.0.9944. Запускаем установщик, оставляем галку "Установить корневые сертификаты" и нажимаем "Установить (Рекомендуется)"
Инсталляция КриптоПРО будет выполнена в фоновом режиме, после которой вы увидите предложение, о перезагрузке браузера, но я вам советую полностью перезагрузиться.
После перезагрузки подключайте ваш USB токен JaCarta. У меня подключение идет по сети, с устройства DIGI, через . В клиенте Anywhere View, мой USB носитель Jacarta, успешно определен, но как Microsoft Usbccid (WUDF), а в идеале должен определиться как JaCarta Usbccid Smartcard, но нужно в любом случае проверить, так как все может работать и так.
Открыв утилиту "Единый клиент Jacarta PKI", подключенного токена обнаружено не было, значит, что-то с драйверами.
Microsoft Usbccid (WUDF) - это стандартный драйвер Microsoft, который по умолчанию устанавливается на различные токены, и бывает, что все работает, но не всегда. Операционная система Windows по умолчанию, ставит их в виду своей архитектуры и настройки, мне вот лично в данный момент такое не нужно. Что делаем, нам нужно удалить драйвера Microsoft Usbccid (WUDF) и установить драйвера для носителя Jacarta.
Откройте диспетчер устройств Windows, найдите пункт "Считыватели устройств смарт-карт (Smart card readers)" щелкните по Microsoft Usbccid (WUDF) и выберите пункт "Свойства". Перейдите на вкладку "Драйвера" и нажмите удалить (Uninstall)
Согласитесь с удалением драйвера Microsoft Usbccid (WUDF).
Вас уведомят, что для вступления изменений в силу, необходима перезагрузка системы, обязательно соглашаемся.
После перезагрузки системы, вы можете увидеть установку устройства и драйверов ARDS Jacarta.
Откройте диспетчер устройств, вы должны увидеть, что теперь ваше устройство определено, как JaCarta Usbccid Smartcar и если зайти в его свойства, то вы увидите, что смарт карта jacarta, теперь использует драйвер версии 6.1.7601 от ALADDIN R.D.ZAO, так и должно быть.
Если открыть единый клиент Jacarta, то вы увидите свою электронную подпись, это означает, что смарт карта нормально определилась.
Открываем CryptoPRO, и видим, что криптопро не видит сертификат в контейнере, хотя все драйвера определились как нужно. Есть еще одна фишка.
- В RDP сессии вы не увидите свой токен, только локально, уж такая работа токена, либо я не нашел как это поправить. Вы можете попробовать выполнить рекомендации по устранению ошибки "Не возможно подключиться к службе управления смарт-картами".
- Нужно снять одну галку в CryptoPRO
ОБЯЗАТЕЛЬНО снимите галку "Не использовать устаревшие cipher suite-ы" и перезагрузитесь .
После этих манипуляций у меня КриптоПРО увидел сертификат и смарт карта jacarta стала рабочей, можно подписывать документы.
Еще можете в устройствах и принтерах, увидеть ваше устройство JaCarta,
Если у вас как и у меня, токен jacarta установлен в виртуальной машине, то вам придется устанавливать сертификат, через console виртуальной машины, и так же дать на нее права ответственному человеку. Если это физический сервер, то там придется давать права на порт управления , в котором так же есть виртуальная консоль.
Когда вы установили все драйвера для токенов Jacarta, вы можете увидеть при подключении по RDP и открытии утилиты "Единый клиент Jacarta PKI" вот такое сообщение с ошибкой:
- Не запущена служба смарт-карт на локальной машине. Архитектурой RDP-сессии, разработанной Microsoft, не предусмотрено использование ключевых носителей, подключенных к удалённому компьютеру, поэтому в RDP-сессии удалённый компьютер использует службу смарт-карт локального компьютера. Из этого следует что, запуска службы смарт-карт внутри RDP-сессии недостаточно для нормальной работы.
- Служба управления смарт-картами на локальном компьютере запущена, но недоступна для программы внутри RDP-сессии из-за настроек Windows и/или RDP-клиента.\
Как исправить ошибку "Не возможно подключиться к службе управления смарт-картами".
- Запустите службу смарт-карт на локальной машине, с которой вы инициируете сеанс удалённого доступа. Настройте её автоматический запуск при старте компьютера.
- Разрешите использование локальных устройств и ресурсов во время удалённого сеанса (в частности, смарт-карт). Для этого, в диалоге "Подключение к удалённому рабочему столу" в параметрах выберите вкладку "Локальные ресурсы", далее в группе "Локальные устройства и ресурсы" нажмите кнопку "Подробнее…", а в открывшемся диалоге выберите пункт "Смарт-карты" и нажмите "ОК", затем "Подключить".
- Убедитесь в сохранности настроек RDP-подключения. По умолчанию они сохраняются в файле Default.rdp в каталоге "Мои Документы" Проследите, чтобы в данном файле присутствовала строчка "redirectsmartcards:i:1".
- Убедитесь в том, что на удалённом компьютере, к которому вы осуществляете RDP-подключение, не активирована групповая политика
-[Конфигурация компьютера\административные шаблоны\компоненты windows\службы удалённых рабочих столов\узел сеансов удалённых рабочих столов\перенаправление устройств и ресурсов\Не разрешать перенаправление устройства чтения смарт-карт]. Если она включена (Enabled), то отключите её, и перегрузите компьютер. - Если у вас установлена Windows 7 SP1 или Windows 2008 R2 SP1 и вы используете RDC 8.1 для соединения с компьютерами под управлением Windows 8 и выше, то вам необходимо установить обновление для операционной системы https://support.microsoft.com/en-us/kb/2913751
Вот такой вот был траблшутинг по настройке токена Jacarta, КриптоПРО на терминальном сервере, для подписи документов в ВТБ24 ДБО. Если есть замечания или поправки, то пишите их в комментариях.
Трудности валидации на сайте «РТС-Тендер» возникают из-за того, что ЭЦП browser Plug-In не видит ключ RuToken или только сертификат на подпись. Узнать, почему ПК не видит ключ электронной подписи, помогут инструкция от поставщика специализированного ПО, тематический форум на сайте ФНС или ресурсах, посвящённых ЭЦП, а также специалисты из службы технической поддержки производителя крипто-ПО.
Как должно работать
Почему не видит ЭЦП компьютер? Вроде и ключ в виде флешки есть (тот же RuToken), и утилита «Крипто-Про» установлена, а проверка ЭП не выполняется. Основная причина - ПК изначально не видит флешку ЭЦП. Это возникает обычно, потому что ключ пытаются запустить на устройстве с неподдерживаемой ОС. Ведь каждый ключик-флешка делается под свою среду, и банальное обновление ОС может привести к потере совместимости с имеющимся ключом ЭЦП (флешкой).
Когда установка криптопровайдера выполнена на поддерживаемом аппарате, по инструкции, но всё равно компьютер не видит ЭЦП, проблема может быть и в самом ключе. Чтобы разобраться, свяжитесь с поддержкой. Там у вас запросят скриншоты:
- версии/сборки CSP (вкладка «Общие»);
- ошибок при подключении контейнера ЭЦП.
Кроме того, укажите специалистам, где получали ЭЦП, на каком носителе у вас установлен контейнер (рутокен, етокен, флешка или реестр) и какая используется ОС (разрядность, сборка).
Компьютер не видит сертификат ЭЦП: первые шаги
Если компьютер не видит сертификат электронной подписи, то в операционной системе Windows нужно пройти по адресу:
Пуск - Панель управления - КриптоПРО CSP - Сервис - Протестировать - По сертификату. Так можно понять, установлен ли сертификат в Личное хранилище пользователя с привязкой к RuToken-у.
Если же у пользователя браузер не видит ЭЦП и он не может пройти регистрацию на сайте или подключить цифровую подпись, нужно установить, добавлен ли в доверенные интересующий сайт:
Пуск - Все программы -КРИПТО-ПРО - Настройки ЭЦП browser Plug-In.
Лучше использовать браузер Internet Explorer, так как java script может некорректно работать в других браузерах.
Если компьютер не видит ЭЦП, то в первую очередь необходимо посетить тематический форум компании КриптоПро. Если вопрос не будет решён собственными силами, тогда обратиться в службу поддержки (прислать туда евент-логи системы и приложений, указать версию/сборку CSP, ОС).
Не ставится ключ/сертификат
Почему «КриптоПро» CSP может не видеть ключей? Следует проверить такие параметры:
- корректно ли установлена программа (запущена ли служба Windows Installer);
- есть доступ в сеть;
- выдан корректный ключ в сертифицированном центре.
При установке желательно делать так:
установить личный сертификат, следуя мастеру установки
указать через «Обзор» расположение файла сертификата с расширением.cer
выбрать контейнер закрытого ключа (через «Обзор» выбрать сертификат на считывателе - флешке/дискете)
Если когда-то были неправильно установлены предыдущие ключи и новый носитель не устанавливается, то нужно очистить реестр (Windows). Для этого в панели CSP есть кнопка «Удалить запомненные пароли».
Если в событиях приложений ошибок не было, а в системе евент-логи их показали, необходимо проверить файлы Sfc/scannow, а после перерегистрировать компоненты MSIExec/unregister, потом - MSIExec/regserver.
Сложный случай
Если компьютер не видит ЭЦП что делать? При этом плагин не видит сертификат, а он установлен и сайт добавлен в доверенные. Ошибка редко, но порой возникает даже у тех пользователей, которые выполнили все требования инструкции по использованию СКЗИ. Например, установили корневой сертификат. Процедура подробно описана на странице 35 в пункте 2.5.2, который называется «Просмотр и установка личного сертификата, хранящегося в контейнере закрытого ключа». Если после всех выполненных требований компьютер всё равно не видит электронную подпись (отсутствие сертификата на cryptopro.ru) то проблема, скорее всего, в списке отзыва сертификатов удостоверяющего центра (УЦ). Если доступ к интернету у компании, эксплуатирующей ЭЦП, был осуществлён через прокси-сервер, то в онлайн-режиме программа не увидит установленный сертификат в справочнике отзыва. Всё заработает, если поставить данный справочник локально на компьютер.
