Как сгенерировать сертификат в криптопро

Тестовый Удостоверяющий Центр ООО «КРИПТО-ПРО»

Добро пожаловать на сайт тестового Удостоверяющего Центра ООО «КРИПТО-ПРО»

• Вы можете использовать тестовый центр сертификации для того, чтобы получить сертификат ключа проверки электронной подписи (сертификат открытого ключа).
• Для получения сертификата вы должны будете сформировать закрытый и открытый ключи и ввести данные, которые используются для связывания открытого ключа и владельца сертификата.

Требования

• Для проверки подписи тестового центра сертификации необходим криптопровайдер с поддержкой алгоритмов ГОСТ — КриптоПро CSP или аналогичный. Криптопровайдер можно загрузить здесь.
• Центр реализован на основе службы сертификации, входящей в состав операционной системы Microsoft Windows Server 2012 R2.
• Если вы используете веб-браузер, отличный от Microsoft Internet Explorer, то для получения сертификата нужно дополнительно установить КриптоПро ЭЦП Browser plug-in.

Центр предназначен только для целей тестирования и не должен использоваться для других целей.

Центр не проверяет информацию, указанную в запросах на сертификат. Не следует доверять сертификатам, выданным тестовым Удостоверяющим Центром.

Узнать об услугах действующего Удостоверяющего Центра ООО «КРИПТО-ПРО» можно здесь.

Как создать контейнер для сертификата в КриптоПро

Сертификаты играют важную роль в обеспечении безопасности информации в сети. Они позволяют пользователю проверить подлинность и надежность веб-сайта, а также обеспечить шифрование данных. В КриптоПро, популярной программе для работы с сертификатами и шифрованием информации, одним из первых шагов является создание контейнера для сертификата.

Контейнер для сертификата — это защищенное место для хранения личного ключа и сертификата. Он позволяет пользователям безопасно и эффективно хранить и использовать сертификаты в своих целях. Создание контейнера является важным шагом, поскольку без него сертификат не сможет быть использован в цифровых подписях, шифровании или в других операциях, где требуется доступ к нему.

В этой пошаговой инструкции мы рассмотрим, как создать контейнер для сертификата в КриптоПро. Мы покажем каждый шаг и объясним, что делать, чтобы успешно создать контейнер и начать использовать сертификаты для обеспечения безопасности информации.

Как создать контейнер для сертификата в КриптоПро

КриптоПро является одним из самых популярных программных комплексов, предназначенных для создания и использования сертификатов электронной подписи. Создание контейнера для сертификата в КриптоПро является одной из основных процедур, которую необходимо выполнить перед использованием сертификата в различных целях.

1. Откройте программу КриптоПро. Для этого щелкните на иконке КриптоПро на рабочем столе или найдите ее в меню «Пуск».
2. В главном окне программы найдите вкладку «Ключевые контейнеры» и выберите ее.
3. Затем нажмите кнопку «Создать» либо выберите пункт меню «Файл» — «Создать ключевой контейнер».
4. В открывшемся окне вам необходимо ввести имя нового контейнера. Убедитесь, что имя состоит только из латинских букв и цифр, без пробелов и специальных символов.
5. Выберите тип контейнера: «Личный» или «Корпоративный». Если вы создаете контейнер для личного использования, выберите тип «Личный». Если вы являетесь представителем организации и хотите создать контейнер для использования внутри организации, выберите тип «Корпоративный».
6. Выберите алгоритм для контейнера. Рекомендуется использовать алгоритм «ГОСТ Р 34.10-2012 256 бит», так как он является наиболее безопасным.
7. Задайте пароль для контейнера. Будьте внимательны, пароль должен быть надежным и состоять из не менее 6 символов, включая как минимум одну заглавную букву, одну строчную букву и одну цифру.
8. Подтвердите пароль, введенный в предыдущем пункте.
9. Нажмите кнопку «Создать» для создания контейнера.
10. После успешного создания контейнера вы увидите сообщение об успешном выполнении операции.

Готово! Теперь у вас есть контейнер для сертификата в КриптоПро. Вы можете использовать его для подписи и шифрования информации в различных программах и сервисах, поддерживающих работу с сертификатами электронной подписи.

Обратите внимание, что создание контейнера для сертификата в КриптоПро является одним из первых шагов и необходимо иметь установленный и активированный сертификат самостоятельно. Если у вас еще нет сертификата, обратитесь в свой орган сертификации или поставщика услуг по электронной подписи для его получения.

Подготовка к созданию контейнера

Перед тем как создать контейнер для сертификата в программе КриптоПро, необходимо выполнить несколько подготовительных шагов:

Установка программного обеспечения. Скачайте и установите КриптоПро CSP с официального сайта разработчика. Убедитесь, что у вас установлена последняя версия программы.

Получение сертификата. Обратитесь к аккредитованному удостоверяющему центру для получения сертификата. Для этого вам могут потребоваться документы, подтверждающие вашу личность и право на получение сертификата.

Подготовка документов. Проверьте, что у вас есть все необходимые документы для создания контейнера. В личных целях могут потребоваться паспортные данные, ИНН и другие документы.

Запись данных на носитель. При наличии носителя (например, флеш-накопителя), необходимо записать на него резервную копию созданного контейнера. Также стоит иметь в виду, что носитель должен быть надежно защищен от несанкционированного доступа.

После выполнения указанных шагов вы можете приступить к созданию контейнера с использованием КриптоПро.

Генерация ключевой пары

Для создания контейнера сертификата необходимо сгенерировать ключевую пару, состоящую из открытого и закрытого ключей. Для этого следуйте следующим шагам:

1. Откройте КриптоПро CSP и выберите вкладку «Ключи» или «Ключевые пары».
2. Нажмите кнопку «Создать ключевую пару».
3. Выберите алгоритм для ключевой пары (например, ГОСТ Р 34.10-2012).
4. Укажите длину ключа (например, 256 бит).
5. Укажите имя контейнера (например, «МойКонтейнер»).
6. Нажмите кнопку «Создать».

После выполнения этих шагов будет сгенерирована новая ключевая пара и создан контейнер сертификата с указанным именем. Закрытый ключ будет храниться в контейнере на компьютере пользователя, а открытый ключ будет доступен для использования при подписании и проверке электронных документов.

Создание контейнера для сертификата

Для работы с сертификатами в КриптоПро необходимо создать контейнер, который будет хранить персональный сертификат. Процесс создания контейнера включает в себя следующие шаги:

1. Запуск приложения КриптоПро CSP.
2. Выбор типа контейнера.
3. Генерация ключевой пары.
4. Создание контейнера.

Шаг 1: Запуск КриптоПро CSP

Для начала необходимо запустить приложение КриптоПро CSP, в котором будут выполняться все действия по созданию контейнера для сертификата.

Шаг 2: Выбор типа контейнера

В приложении КриптоПро CSP выберите тип контейнера. Существует несколько вариантов, включая контейнеры на основе данных операционной системы, контейнеры с флеш-носителя, контейнеры с защищенным контейнером и др. Выберите наиболее подходящий тип контейнера в зависимости от ваших требований и условий эксплуатации.

Шаг 3: Генерация ключевой пары

Далее необходимо сгенерировать ключевую пару, которая будет использоваться для подписи и шифрования данных. Введите необходимые параметры генерации, такие как алгоритм генерации, размер ключа и другие.

Шаг 4: Создание контейнера

Последний шаг — создание контейнера для сертификата. Выберите опцию создания контейнера в меню приложения и введите необходимые данные, такие как имя контейнера, пароль доступа и другие параметры.

После завершения этих шагов в приложении будет создан контейнер с вашим персональным сертификатом, который можно будет использовать для различных целей, таких как аутентификация, шифрование данных и другие операции с использованием сертификата.

Установка сертификата в контейнер

После создания контейнера для сертификата в КриптоПро, необходимо произвести его установку в систему. Для этого следуйте данным шагам:

1. Откройте КриптоПро CSP (КриптоПро Control Panel) на вашем компьютере.
2. В левой части окна выберите раздел «Сертификаты».
3. В верхней части окна будет располагаться вкладка «Личные», откройте ее.
4. Выберите пункт «Защищенные контейнеры».
5. В списке слева найдите созданный вами контейнер.
6. Щелкните правой кнопкой мыши по контейнеру и выберите пункт «Установить».
7. В появившемся окне укажите путь к файлу с сертификатом, который вы хотите установить в контейнер. Обычно это файл с расширением .pfx или .p12.
8. Введите пароль, который был задан при экспорте сертификата в файл, и нажмите кнопку «OK».
9. После успешной установки сертификата в контейнер, он станет доступным для использования в системе.

Экспорт и импорт контейнера

Контейнер сертификата в КриптоПро может быть экспортирован и импортирован для использования на разных устройствах или в других приложениях. Этот процесс позволяет передать контейнер и его сертификаты безопасным способом.

Экспорт контейнера

Чтобы экспортировать контейнер сертификата в КриптоПро, выполните следующие шаги:

1. Откройте КриптоПро CSP и выберите в меню «Управление контейнерами» пункт «Экспорт контейнера».
2. Выберите контейнер, который вы хотите экспортировать, и нажмите кнопку «Далее».
3. Укажите место и имя файла, в который будет экспортирован контейнер, и нажмите кнопку «Сохранить».
4. Установите пароль для файла экспорта и подтвердите его. Этот пароль будет использоваться при импорте контейнера.
5. Нажмите кнопку «Готово», чтобы закончить процесс экспорта.

Импорт контейнера

Для импорта контейнера, экспортированного в КриптоПро, выполните следующие шаги:

1. Откройте КриптоПро CSP и выберите в меню «Управление контейнерами» пункт «Импорт контейнера».
2. Укажите путь к файлу с экспортированным контейнером и нажмите кнопку «Далее».
3. Введите пароль для файла экспорта и нажмите кнопку «Далее».
4. Выберите контейнер, который вы хотите импортировать, и нажмите кнопку «Далее».
5. Выберите путь для сохранения импортированного контейнера и нажмите кнопку «Готово».

Теперь вы можете использовать импортированный контейнер сертификата в КриптоПро для выполнения необходимых операций, таких как подписание документов или шифрование файлов.

Проверка работы контейнера

После создания контейнера для сертификата в КриптоПро, необходимо проверить его работу. В этом разделе мы рассмотрим, как это сделать.

1. Перейдите в меню «Контейнеры» в программе КриптоПро.
2. Выберите созданный вами контейнер из списка. Обычно его название совпадает с именем пользователя или организации, для которого он был создан.
3. Нажмите кнопку «Открыть контейнер».
4. Введите пароль, который вы указывали при создании контейнера.
5. После ввода пароля вы увидите список сертификатов, находящихся в контейнере.
6. Выберите интересующий вас сертификат и нажмите кнопку «Просмотреть».

После выполнения этих действий вы сможете убедиться в работоспособности созданного вами контейнера. Вы увидите информацию о выбранном сертификате, такую как его владелец, срок действия, выдавший орган и другую полезную информацию.

Также вы можете воспользоваться другими функциями программы КриптоПро для работы с контейнером, например, экспортировать сертификат, импортировать или удалить его.

Проверка работы контейнера является важным шагом при его создании, так как позволяет убедиться, что все прошло успешно и контейнер готов к использованию. Если у вас возникли проблемы или вопросы, вы всегда можете обратиться за помощью к специалистам КриптоПро или проконсультироваться с ними по телефону или электронной почте.

Создание тестового сертификата КриптоПро

Тестовый сертификат может пригодиться для проверки работы различных приложений или для тестирования при их разработке.

Создание тестового сертификата

Введение

Для создания тестового сертификата есть два пути. Первый путь подразумевает использование КриптоПро ЭЦП Browser plug-in, второй же путь предназначен для того, чтобы без него обойтись.

Путь 1

• Установить корневой сертификат КриптоПро вместе со списком отозванных сертификатов (ссылка). Краткую рекомендацию по установке можно видеть здесь (ссылка) в пункте «Установка сертификатов».
• Использовать Тестовый центр КриптоПро для генерации личного тестового сертификата. Ниже можно увидеть то, как должна выглядеть при этом тестовая страница (если нужно впоследствии копировать контейнер с сертификатом и закрытым ключом на носитель, надо использовать опцию «пометить ключ как экспортируемый»).

После проделанных действий сертификат автоматически установится и будет размещён в контейнере, расположенном на жёстком диске компьютера, с которого был сделан запрос. После этого его можно скопировать на требуемое устройство. Для копирования контейнера 1 в контейнер 2 можно использовать следующую команду:

где пути к контейнерам и их названия можно узнать с помощью следующей команды:

Как я настраивал новые утилиты по работе с электронной подписью в Linux

Поговорим немного про средства электронной подписи (ЭП) с использованием отечественных ГОСТ-алгоритмов в Linux. Несмотря на то, что различные средства и интерфейсы по работе с ЭП в Linux развиты даже лучше, чем в Windows, использовать их не так просто.

Такое положение вещей сохранялось последние несколько лет. Но с конца 2016 года ситуация изменилась в лучшую сторону. Появилось сразу два продукта, которые позволяют работать с электронной подписью по стандарту ГОСТ и шифрованием без использования консоли – это Rosa Crypto Tool и Trusted eSign. Оба эти продукта для работы с криптографией используют «КриптоПро CSP» для Linux. Поэтому, перед тем как обратиться к описанию самих продуктов, поговорим немного про «КриптоПро CSP».

«КриптоПро CSP» под Linux — неоднозначный продукт. С одной стороны, это одно из самых распространенных и мощных сертифицированных средств по работе с криптографией как в Windows, так и в Linux. С другой стороны, для простого человека пользоватся его интерфейсами даже в Windows не так-то просто. А в Linux доступен только консольный интерфейс. Надеюсь, что компания «КриптоПро» в курсе этой ситуации, и в будущем нас ждут новые красивые и удобные интерфейсы, как для Windows, так и для Linux.

Для настройки нам понадобится:

• Любимый дистрибутив Linux. Я использовал Ubuntu Linux 16.04 LTS и ROSA Fresh GNOME R8;
• Сертифицированная версия КриптоПро CSP 4.0 R2 для Windows, UNIX и macOS;
• Рутокен ЭЦП 2.0.

Настройка «КриптоПро» CSP

Несмотря на то, что есть несколько неплохих статей по настройке «КриптоПро CSP» под Linux (например, тут или тут), я опишу здесь свой вариант. Основная причина в том, что большинство инструкций написаны для «Крипто Про CSP» версии 3.x. А современная версия «КриптоПро CSP» 4.0 не является 100% совместимой с 3.x. Дополнительная причина – всегда приятно иметь полную инструкцию по настройке в одном месте, а не переключаться с одного окна на другое.

Приступаем к настройке.

Скачиваем «КриптоПро CSP» для Linux с официального сайта КриптоПро — www.cryptopro.ru/downloads

Распаковываем «КриптоПро CSP» для Linux:

Далее у нас есть 2 варианта – автоматическая установка и установка вручную. Автоматическая установка запускается командой:

Здесь надо отдать должное разработчикам «КриптоПро» – автоматическая установка для большинства дистрибутивов отрабатывает успешно. Хотя бывают и нюансы. Например, если у вас не хватает некоторых пакетов, то установка будет успешно завершена, хотя некоторый функционал работать не будет.

Если что-то пошло не так, или вы по тем или иным причинам хотите использовать установку в ручном режиме, то вам необходимо выполнить:

Для установки пакетов в ROSA используйте urpmi, вместо dpkg -i.

Устанавливаем лицензию для «КриптоПро CSP» для Linux и проверяем, что все работает нормально:

Мы должны получить что-то вроде:

Настройка работы с Рутокен ЭЦП 2.0

Сделаем небольшое отступление. Для работы с электронной подписью и шифрованием нам не обойтись без ключевых пар и сертификатов. Надежное хранение закрытых ключей – один из основных факторов безопасности. А более надежных средств хранения, чем токен или смарт-карта, человечество пока не придумало. Я буду использовать Рутокен ЭЦП 2.0, который имеет сертификат ФСБ и поддерживает работу как с новыми, так и со старыми ГОСТами.

Для работы с токенами в ОС Linux есть масса различных средств и драйверов. Для описания всех этих средств понадобится отдельная статья. Поэтому я не буду подробно описывать, как это работает, и почему нам нужны именно эти пакеты.

Устанавливаем пакеты для работы с Рутокен ЭЦП 2.0:

Нам также необходимо установить пакеты КриптоПро CSP для поддержки работы с токенами:

Получаем тестовый сертификат

Перед тем как перейти непосредственно к работе с подписью, надо сгенерировать ключевую пару и создать сертификат электронной подписи. Если у вас уже есть Рутокен с контейнером «КриптоПро», то эту часть можно смело пропустить.

Воспользуемся тестовым УЦ компании «КриптоПро» по адресу — https://www.cryptopro.ru/certsrv/
Создаем запрос на сертификат с параметрами по умолчанию.

Проверим, что сертификат получен успешно.

Чтобы убедиться, что «КриптоПро CSP» успешно увидел токен, выполним:

Мы должны получить что-то вроде:

Теперь проверяем, что сертификат на токене видится успешно:

Записываем в хранилище сертификатов КриптоПро информацию об этом сертификате:

Проверим, что сертификат успешно сохранился в хранилище:

На этом основная настройка завершена, и мы можем начинать подписывать или шифровать файлы с использованием различных средств. Переходим к тому, зачем задумывалась эта статья.

Подпись средствами «КриптоПро CSP»

В составе «КриптоПро CSP» есть утилита csptestf, позволяющая выполнять различные криптографические операции. Как я уже писал выше, у этой утилиты есть 2 недостатка:

• Отсутствие хорошей документации;
• Отсутствие графического интерфейса.

Здесь,
my — параметр, в котором надо указать часть Common Name сертификата для подписи;
detached — позволяет создать открепленную подпись;
alg GOST94_256 — задает алгоритм хэширования, который будет использоваться при создании подписи.

Более подробную информацию о возможных параметрах вы можете получить, выполнив команду:

Такой интерфейс отлично подходит для подготовленного пользователя или для автоматизации операций в скриптах.

Поговорим теперь об утилитах, которые облегчают жизнь обычным пользователям при работе с подписью и шифрованием в Linux.

Rosa Crypto Tool

Как следует из названия, это утилита для работы с электронной подписью и шифрованием для дистрибутива ROSA Linux. В данный момент утилита доступна в репозиториях Rosa Linux и Alt Linux.

Эта утилита разрабатывается одним человеком – Михаилом Вознесенским. У нее простой, но удобный интерфейс. На данный момент утилита находится в активной разработке – с ноября 2016 года мне удалось протестировать три версии. Последняя версия, доступная на момент написание статьи — 0.2.2. Сейчас утилита поддерживает работу только с «КриптоПро CSP» для Linux, однако в ближайшее время будет добавлена поддержка других криптопровайдеров.

Что внутри? Утилита написана на Python с использованием PyQt4 для графического интерфейса.

Установить ее можно, использовав «Управление программами» в Rosa Linux.

Вставляем токен и запускаем утилиту.

Видим, что токен определился успешно и был найден наш сертификат.

Интерфейс программы настолько прост, что описывать и показывать в статье все его функции не имеет смысла. Попробуем только подписать файл.

Выбираем файл и жмем “Подписать файл”. Получаем вот такое предупреждение.

Нажимаем «OK» и получаем информацию о том, что файл был подписан успешно.

Основное достоинство этой утилиты в том, что она совершенно бесплатная, в отличии нашего следующего продукта.

По сравнению с использованием «КриптоПро CSP» из консоли:

+ На порядок проще использовать;
— Отсутствуют различные параметры подписи.

Исходный код программы доступен в публичном репозитории на ABF:
abf.io/uxteam/rosa-crypto-tool-devel
Система контроля версий, которую использует «НТЦ ИТ РОСА», интегрирована в сборочную среду и базируется на Git. Можно вполне использовать любой клиент git.

Надеюсь, разработчики других отечественных дистрибутивов Linux, таких как Astra Linux, GosLinux и другие добавят в свои дистрибутивы пакеты с rosa-crypto-tool.

Trusted eSign

Второй продукт, про который мы поговорим, это Trusted eSign от компании “Цифровые технологии”. Она известна на российском рынке ИБ как разработчик средства по работе с подписью и шифрованием для ОС Windows – «КриптоАРМ».

Главное, не путать этот продукт с Trusted.eSign – web-сервисом по работе с подписью этой же компании.

Найти продукт на сайтах компании “Цифровые технологии” непросто. Небольшое описание есть в магазине http://www.cryptoarm.ru/shop/trusted_esign, продукт также можно скачать в разделе «Центр загрузки» на сайте trusted.ru — https://trusted.ru/support/downloads/?product=133

К сожалению, продукт пока доступен только в виде deb пакета для 64-битных систем. С чем связано такое ограничение, непонятно. Будем надеяться, что в ближайшее время компания выпустит и rpm пакет, а также версии для 32-битных дистрибутивов Linux.

Скачиваем с официального сайта deb-пакет и устанавливаем командой:

Запускаем Trusted eSign.

Сразу видно, что разработка не обошлась без дизайнера. Никакого сарказма. Все действия делаются просто и логично, а внешний вид радует глаз. К сожалению, большинство средств и программ в области ИБ от российских разработчиков разработаны без привлечения UX-специалистов и дизайнеров и заставляют своих пользователей страдать и плакать кровавыми слезами. Создается впечатление, что другими средства информационной безопасности просто не могут быть. “Цифровые технологии” опровергают это. Плата за красоту и удобство – необходимость платить за лицензию.

Но вернемся к подписи.

Выбираем раздел “Электронная подпись”:

Выбираем «Сертификат для подписи»:

Выбираем файлы для подписи и жмем «Подписать»:

Что под капотом? Процитирую с сайта: “Приложение создано на современном движке Electron, для вызова криптографических операций применяется библиотека OpenSSL. Совместимо с СКЗИ “КриптоПро CSP 4.0” и поддерживает все криптографические алгоритмы, реализованные в нем.” Для тех, кто ещё не в курсе Electron — это фреймворк для создания десктопных приложений на платформе node.js.

Сравним Trusted eSign с Rosa crypto tool:

+ Более удобный и красивый интерфейс
— Платная лицензия

Резюме

Подведем итог. В конце 2016 – начале 2017 года наметился неплохой прогресс в средствах по работе с электронной подписью под Linux. Информационная безопасность начинает поворачиваться к пользователю лицом, и с каждым годом требуется все меньше действий для такого простого действия, как подписать или зашифровать файл с использованием отечественных алгоритмов.

Хочется дополнительно отметить такое развитие отечественных продуктов, учитывая современный тренд на замену Windows на Linux в государственных и муниципальных организациях. В рамках этого тренда становится актуальным использование средств криптографической защиты информации под Linux. Хорошие и удобные продукты российских разработчиков помогут государственным организациям и структурам нормально работать и выполнять требования по импортозамещению.

Такое развитие не может не радовать, особенно когда это происходит под Linux.