Отсутствует сертификат в контейнере закрытого ключа

Как использовать КриптоПро CSP для работы с электронными подписями

Криптопровайдер КриптоПро CSP предназначен для работы с электронными подписями и шифрованием данных. В данной статье мы предоставим инструкцию по использованию КриптоПро CSP на ОС AstraLinux.

Загрузка сертифицированной версии ПО

Для начала загрузите архив с сертифицированной версией ПО КриптоПро 4.0 R3. Выполните следующие шаги:

Откройте Терминал Fly (нажмите alt+T)
Используйте команду tar -zxf linux-amd64_deb.tgz для распаковки архива.

Решение проблем с отсутствием сертификата в контейнере закрытого ключа

Если у вас возникла ошибка об отсутствии сертификата в контейнере закрытого ключа при использовании сертификатов ЭП через КриптоПро CSP, рекомендуем следующие действия:

Проверьте лицензию КриптоПро и при необходимости сделайте покупку подходящей лицензии.
Проверьте носитель на наличие повреждений и правильно вставлен ли токен.
Обратитесь в удостоверяющий центр, где был выпущен сертификат, для дополнительной помощи.

Установка дополнительных пакетов с модулем поддержки для токена

Для работы с токеном рекомендуется установить следующие пакеты:

libccid
libgost-astra
pcscd
libpcsclite1

После установки перезагрузите службу pcscd.

Проверка срока действия лицензии

Вы можете проверить срок действия лицензии, выполнив соответствующую команду в терминале.

Для установки другой лицензии используйте специальную команду.

Не забывайте обращаться за помощью к специалистам, если у вас возникли сложности при работе с КриптоПро CSP. Важно правильно настроить и использовать электронные подписи для безопасности ваших данных.

Преобразование rpm-пакетов в deb-формат

Чтобы сконвертировать rpm-пакеты в deb-формат, вам следует выполнить следующие шаги:

Загрузка и распаковка архива

Загрузите архив cades_linux_amd64.zip с нужными файлами.
Распакуйте архив cades_linux_amd64.zip и перейдите в каталог с распакованными файлами.

Конвертация пакетов

Выполните следующие команды в терминале:

alien -dc cprocsp-pki-2.0.0-amd64-plugin.rpm
dpkg -i cprocsp-pki-cades\_2.0.0-2\_amd64.deb cprocsp-pki-plugin\_2.0.0-2\_amd64.deb

Подпись документа на тестовом сайте

Тестовый сайт предложит подписать документ и выбрать нужный сертификат.
Откройте эмулятор терминала и выполните следующие команды от root`а.

Альтернативный метод получения сертификата

Перейдите в раздел Сформировать ключи и отправить запрос на сертификат для запроса сертификата.
Дождитесь уведомления от тестового УЦ КриптоПро о выдаче сертификата.
Пройдите по ссылке, установите сертификат и введите пароль контейнера.

Проверка подключенного токена

Чтобы узнать модель подключенного токена, выполните команду и система отобразит информацию о подключенном устройстве.

Проверить наличие носителей с контейнерами можно с помощью команды:

/opt/cprocsp/bin/amd64/csptest -keyset -verifycontext -enum -unique

Решение проблемы с невидимым сертификатом

Если сертификат не отображается на носителе, возможно причина в сбое программных компонентов. Перезагрузите компьютер или переустановите драйверы. Решение проблемы также может потребовать обращения в службу техподдержки или переустановку драйверов носителя.

Распространенные причины появления этой проблемы включают:

Некорректная установка драйвера носителя. Убедитесь, что драйвер установлен правильно, либо попробуйте скачать последнюю версию с официальных ресурсов.
Долгий процесс опознания носителя. Дождитесь завершения процесса или обновите операционную систему.

Следуя этим шагам, вы сможете успешно конвертировать rpm-пакеты в deb-формат и решить проблемы с невидимым сертификатом.

Решение проблем с USB-токеном

Некорректная работа USB-порта:
- Подключите токен к другому USB-порту, чтобы убедиться, что проблема не в носителе ЭП.
- Если токен появился в системе, значит, проблема не в носителе и следует перезагрузить компьютер.
- Если это не поможет, следует обратиться в службу технической поддержки.
Неисправность носителя:
- Если при подключении токена к другому компьютеру или USB-порту система не определяет его, значит, проблема в самом носителе.
- Устранение неисправности возможно в данном случае лишь одним путём — нужно обратиться в сервисный центр для выпуска нового носителя.
Вставлен носитель, не поддерживаемый криптопровайдером, установленным в операционной системе.

Создание локального носителя

Для создания контейнера в носителе HDIMAGE следует воспользоваться командой:

sudo /opt/cprocsp/sbin/amd64/cpconfig -hardware reader -add HDIMAGE store

Для добавления контейнера в носитель токена следует воспользоваться командой.

В 5-ой версии КриптоПРО CSP v.5.0, для создания контейнера, имя носителя можно не указывать, а выбрать в интерактивном gtk-диалоге:

Для просмотра подробной информации о контейнерах воспользуйтесь следующей командой:

Проверка работы контейнера

/opt/cprocsp/bin/amd64/csptestf -keyset -container ИМЯ -check

Для удаления контейнера следует воспользоваться командой:

csptestf -keycopy -contsrc ’\\.HDIMAGEКонтейнер\_оригинал’ -contdest ’\\.Aktiv Rutoken ECP 00 00Контейнер\_копия’

Для создания запроса на получение сертификата для контейнера ’\.Aktiv Rutoken ECP 00 00Shuhrat’ , воспользуемся командой:

Для примера можно воспользоваться тестовым удостоверяющим центром КриптоПро. Нам нужен пункт Отправить готовый запрос PKCS#10 или PKCS#7 в кодировке Base64. На следующей странице в поле Сохраненный запрос вставляем содержимое файла cert.req и нажимаем кнопку Выдать.

/opt/cprocsp/bin/amd64/certmgr -inst -file имя_полученного_сертификата.cer -cont ’\.Aktiv Rutoken ECP 00 00Shuhrat’

/opt/cprocsp/bin/amd64/csptest -keys -cont ’\.Aktiv Rutoken ECP 00 00Shuhrat’ -keyt exchange -impcert имя_полученного_сертификата.cer

промежуточные сертификаты — появляются, когда есть промежуточные УЦ (головной -> промежуточный -> пользовательский). Прямое доверие к ним не требуется (ставятся в uca, также администратор может поставить их в mca). В это же хранилище ставятся CRL-и. Обычно точки получения промежуточных сертификатов и CRL-ей правильно указаны в пользовательских сертификатах, поэтому они автоматом выкачиваются и попадают в хранилище ucache. В общем про них можно ничего особо не знать и ничего не делать.

certmgr -delete 1 (номер сертификата)

Экспорт сертификатов на другую машину

Установка сертификата и закрытого ключа

Поэтому эти ключи переносятся просто: создаем архив и переносим на нужную машину в тот же каталог.

/opt/cprocsp/bin/amd64/certmgr -export -dest cert.cer

И как обычно, связываем сертификат и закрытый ключ:

openssl pkcs12 -export -out cert.pfx -inkey key.pem -in cert.crt

Если закрытый ключ и сертификат не подходят друг к другу, будет выведена ошибка.

Больше проверок: Ваш контроль

Проверка цепочки сертификатов

/opt/cprocsp/bin/amd64/cryptcp -copycert -dn CN=Имя\_вашего\_сертификата -df /temp/сертификат.cer

В нашем примере, из логов можно сделать вывод, что нам надо установить сертификат УЦ МО с CN=Министерство обороны Российской Федерации.

Для того, чтобы убедиться в устранении ошибки, можно повторно в режиме отладки запустить команду. При правильно установленной цепочке сертификатов, статус у сертификата будет = CERT_TRUST_NO_ERROR.

* attached (присоединённая), тогда результирующий файл — это CMS-сообщение, внутрь которого упакованы данные и атрибуты (типа подписи). Формат сообщения соответствует международному стандарту, поэтому извлекать данные оттуда можно любыми утилитами, типа cryptcp / csptest / openssl / certutil (на windows).

Подпись файлов (присоединённая)

Какие бывают ошибки

Проблемы при использовании ЭП, с которыми пользователи встречаются чаще всего, можно условно разделить на различные группы:

Не удаётся проверить подпись сертификата. Ошибка появляется, когда сертификат был изменён после выдачи, СКЗИ работает неверно или цепочку доверия или списки отозванных сертификатов не удалось проверить.

Не удаётся построить цепочку сертификатов для доверенного корневого центра — проверить цепочку доверия или списки отозванных сертификатов не удалось.
Проблемы с подписанием документа. Возникают при попытке подписать документ.
Сложность с авторизацией на торговых площадках.

Рассмотрим неполадки подробнее и разберёмся, как их решать.

Часто задаваемые вопросы

Почему компьютер не видит ЭЦП?

Причина кроется в несовместимости программного обеспечения и физического носителя ЭЦП. Необходимо проверить версию операционной системы и переустановить её до нужной версии. Если токен повреждён, возможно, понадобится обратиться в удостоверяющий центр для перевыпуска электронной подписи.

О том, что делать, если компьютер не видит ЭЦП, и о способах проверки настроек, мы подробно писали в нашей статье.

Порядок устранения неполадок зависит от:

операционной системы — Windows или macOS;
криптопровайдера — КриптоПро CSP или ViPNet CSP;
актуальности версий программ и ПО в целом.

Также необходимо учитывать изменения в законодательстве, связанные с ЭЦП. Например, квалифицированные сертификаты подписи работников организаций не будут действительны с 1 сентября 2024 года при условии, если они выпущены до 1 сентября 2023 года. Если контрагенту отправлен документ, подписанный такой подписью, то при получении появится ошибка о том, что ЭЦП не прошла проверку. В этом случае подписанный файл не будет иметь юридической силы

Почему не получилось проверить ЭЦП?

Речь о ЭП, которые передаются без участия оператора электронного документооборота. Например, документ об устройстве на работу подписан физлицом и отправлен в отдел кадров по электронной почте. У получателя при проверке появляется ошибка, что системе не удалось проверить электронную подпись. Значит, отправитель изменил данные в документе после подписания или его сертификат недействителен, или отозван.

Почему КриптоПро не отображает ЭЦП?

Если КриптоПро CSP не отображает ключи ЭЦП, следует проверить настройки браузера. Также исправляет ошибку добавление плагина для работы с ЭП в веб-обозреватель и загрузка недостающих сертификатов электронной подписи.

Подробнее ознакомиться, как устранить данную неисправность, можно в нашей статье.

Где на компьютере искать сертификаты ЭЦП?

Сертификат ЭЦП позволяет проверить подлинность подписи, содержит в себе срок её действия и информацию о владельце. Он автоматически загружается в папку с системными файлами. В операционной системе Windows от 7 версии и выше ЭЦП хранится по адресу:

Что такое сертификат ЭЦП и зачем он нужен, мы рассказали в нашей статье.

Диагностический архив для обращения в тех. поддержку

Для создания диагностического архива, можно воспользоваться следующей командой:

В результате должен получится cprodiag_день_месяц_год.tar.gz архив, который следует прислать в Astra LinuxКриптоПро.

Больше проверок: План проверок МЧС на 2023 год Москва

Ссылка на источник

Сертификат не найден

Иногда при попытке подписать электронный документ с помощью ЭП пользователь может столкнуться с ошибкой «Не удалось найти ни одного сертификата, пригодного для создания подписи».

У подобных ошибок могут быть следующие причины:

На ПК не установлено ни одного личного сертификата ЭП. Для применения ЭП необходимы и личные сертификаты. Об их установке мы писали в другой статье.
Установленные на компьютере необходимые сертификаты невалидны. Сертификаты отозваны или просрочены. Уточните статус сертификата в УЦ. Ошибка с текстом «Ваш сертификат ключа подписи включён в список отозванных» возникает, если у сертификата закончился срок действия или на ПК нужно обновить список сертификатов. В последней ситуации следует вручную загрузить список отозванных сертификатов.
Не проходит авторизация на портале электронной торговой площадки (ЭТП) при использовании сертификата. В хранилище Windows не установлен сертификат, зарегистрированный на площадке. Для использования сертификата на электронных торговых площадках его регистрируют за участником. При последующей работе на ЭТП можно заходить только с ним. С другим сертификатом, даже на того же пользователя, зайти на ЭТП не получится.

Для установки списка отозванных сертификатов:

Откройте личный сертификат пользователя в окне «Свойства браузера». Чтобы открыть его, наберите «Свойства браузера» в поисковой строке меню «Пуск». Перейдите во вкладку «Содержание» и нажмите кнопку «Сертификаты».

Во вкладке «Личные» найти в списке свой сертификат и открыть. После этого перейти на вкладку «Состав», которая находится в самом сертификате.

Во вкладке «Состав» выберите из списка пункт «Точки распространения списков отзыва».
В блоке «Точки распределения списка отзыва (CRL)» скопируйте ссылку на загрузку файла со списком отзыва.

Скачайте по указанной ссылке файл. Нажмите по нему правой кнопкой мыши и выберите в контекстном меню «Установить список отзыва (CRL)».
Следуйте указаниям «Мастера импорта сертификатов».

То же самое необходимо сделать с промежуточным сертификатом цепочки доверия.

Проверка подписи в файле

Для проверки прикрепленной подписи выполните:

использовать ключ -verall — он понимает, что надо найти всех подписавших и ищет в том числе в сообщении:

указать в качестве хранилища сертификатов само сообщение (ключ -f):

Чтобы извлечь файл, необходимо указать его имя в конце команды проверки подписи:

её можно запустить из консоли:

Для доступа к Госуслугам был использован Рутокен ЭЦП 2, «КриптоПро 4.0 R3», IFCP-plugin 3.0.3

В каких ситуациях появляется ошибка об отсутствии сертификатов в контейнере закрытого ключа

Окно об ошибке отсутствия сертификатов в контейнере закрытого ключа всплывает при следующих процессах:

первичная установка сертификата;
экспортирование данных на внешний носитель;
попытка просмотра ключей в контейнерах ключей;
загрузка информации на компьютер извне.

В целях устранения ошибки отсутствия сертификатов в контейнере закрытого ключа достаточно переустановить сертификат вручную.

Важно! На токене или компьютере можно хранить только те ключи, которые были получены в коммерческих аккредитованных удостоверяющих центрах или созданы самостоятельно. Файлы ЭП, записанные в удостоверяющем центре ФНС, неэкспортируемы. Перенести их на другие носители не получится.

ЭЦП не подписывается на документе

Причин у подобной проблемы множество. Каждый случай требует отдельной проверки. Среди самых распространённых можно выделить следующие неполадки:

Закрытый ключ на используемом контейнере не соответствует открытому ключу. Возможно, был выбран не тот контейнер, поэтому следует проверить все закрытые контейнеры на компьютере. Если необходимый контейнер по тем или иным причинам отсутствует, владельцу придётся обращаться в удостоверяющий центр для создания новых ключей ЭП и сертификата.
Ошибка «Сертификат недействителен» (certificate is not valid). Следует повторно установить сертификат ЭП и все сертификаты цепочки доверия по инструкциям УЦ в зависимости от используемого криптопровайдера — КриптоПро CSP, ViPNet CSP или другого.
Сертификат ЭП определяется как непроверенный. В этом случае необходимо переустановить корневой сертификат удостоверяющего центра.
Истёк срок действия лицензии криптопровайдера. Для решения этой проблемы нужен новый лицензионный ключ к программе-криптопровайдеру. Для его получения необходимо обращаться в представительства УЦ или к ответственным сотрудникам своей организации.
Подключён носитель с другим сертификатом. Убедитесь, что подключён правильный токен. Проверьте также, не подключены ли носители других сертификатов. Отключите другие носители в случае их обнаружения.

В момент подписания электронных документов или формирования запроса в различных сервисах может возникнуть ошибка «Невозможно создание объекта сервером программирования объектов».

В этой ситуации помогает установка и регистрация библиотеки Capicom:

Скачайте файл архива.
Распакуйте и переместите файлы capicom.dll и capicom.inf в каталог syswow64, находящийся в корневой папке ОС.
Откройте командную строку от имени администратора — для этого в меню «Пуск» наберите «Командная строка», нажмите по найденному приложению правой кнопкой мыши и выберите «Запуск от имени администратора».

Введите «c:\windows\syswow64\regsvr32.exe capicom.dll» (без кавычек) и нажмите ENTER. Должно появиться уведомление о том, что команда выполнена успешно.

Компьютеру не удаётся проверить цепочку доверия или списки отозванных сертификатов

Причина, по которой компьютеру не удаётся проверить цепочку доверия или списки отозванных сертификатов может быть и в ошибке «Не удаётся проверить подпись сертификата», и в ошибке «Не удаётся построить цепочку сертификатов для доверенного корневого центра». Бывает, что сертификат в хранилище Windows «бьётся» где-то по пути его передачи, то есть его хэш сумма меняется и СКЗИ не может проверить его подпись. Также ошибка появляется в случаях, когда нужный корневой сертификат установлен в хранилище, но цепочка доверия ошибочно строится через другой сертификат. Выглядит так, что цепочка доверия правильно построена, но ошибка подписи сертификата. Кажется, что сертификат повреждён, но на самом деле это из-за неправильной цепочки доверия. Проверяется сравнением идентификаторов ключей всех сертификатов цепочки. Такая же ситуация будет, если правильного промежуточного сертификата нет в хранилище, но есть другой промежуточный сертификат того же УЦ, и через него ошибочно строится цепочка.

Больше проверок: Проднадзор красноярск официальный сайт

Также ошибка «Не удаётся построить цепочку сертификатов для доверенного корневого центра» возникает, если на компьютере не установлены корневые сертификаты Удостоверяющего Центра (УЦ), в котором была получена ЭП. Необходимо установить либо обновить корневой сертификат. Установка корневых сертификатов удостоверяющего центра подробно описана в нашей инструкции.

В контейнере закрытого ключа отсутствуют сертификаты

Рассмотрим, почему появляется ошибка. Всплывающее окно с сообщением «В контейнере закрытого ключа отсутствуют сертификаты» появляется на экранах пользователей в случаях, когда система не смогла обнаружить соответствующий ключ на носителе.

Пример ошибки «В контейнере закрытого ключа отсутствуют сертификаты»

Ключевым носителем может быть жёсткий диск компьютера, реестр ПК или токен. От скачка напряжения, резкого выключения ПК, например, при аварийном выключении света, или от внешних ударов файлы могут повредиться. В результате чего система теряет доступ к ключам и делает работу с электронной подписью невозможной.

Также ошибка об отсутствии сертификатов в контейнере может быть связана со сбоем программного обеспечения. В этом случае файлы остаются целыми, но система их не видит и сообщает пользователю, что они недоступны.

Список сайтов ЕСИА использующий IFCP-plugin

Установить плагин:

Для браузера :sudo ln -s /etc/opt/chrome/native-messaging-hosts/ru.rtlabs.ifcplugin.json /etc/chromium/native-messaging-hosts

sudo ln -s /opt/cprocsp/lib/amd64/libcppkcs11.so.4.0.4 /usr/lib/mozilla/plugins/lib/libcppkcs11.so

Добавить в конфигурационный файл IFCplugin /etc/ifc.cfg :

Для этого в конфигурационный файл /etc/opt/cprocsp/config64.ini следует в разделе PKCS11 добавить:

tail -f /var/log/ifc/engine_logs/engine.log

Перейдя на сайт zakupki.gov.ru, следует кликнуть мышкой по иконке «Личного кабинета» и выбрать необходимый метод входа:

После чего система уведомит Вас, о том что для работы необходимо установить и настроить ПО «КриптоПро CSP»:

Нажав кнопку «Продолжить работу с сайтом», система предложит выбрать нужный сертификат:

Выбрать сертификат и ввести pin-код.

Для авторизации на сайте Минфина России, следует перейти на страницу авторизации
Кликнуть по ссылке Вход по сертификату и выбрать нужный сертификат:
После чего система попросит Вас ввести пароль:

В соответствии с принятым в 2014 году порядком перехода на ГОСТ Р 34.10-2012 до 1 января 2019 года попытка использования ГОСТ Р 34.10-2001 (кроме проверки подписи) на всех выпущенных к настоящему моменту сертифицированных версиях КриптоПро CSP 3.9, 4.0 и КриптоПро JCP 2.0 с 1 января 2019 года вызовет ошибку/предупреждение (в зависимости от продукта и режима работы), которые могут привести к неработоспособности автоматических/автоматизированных систем при использовании ими ключей ГОСТ Р 34.10-2001. В случае если ваша система использует ключи ГОСТ Р 34.10-2001, просим принять во внимание инструкцию.

Отсутствие электронного сертификата в контейнере закрытого ключа

Чтобы устранить ошибку об отсутствии сертификатов в контейнере закрытого ключа, необходимо выполнить следующие действия:

Запустить «КриптоПро», затем выбрать вкладку «Сервис» и нажать «Установить личный сертификат».

Через кнопку «обзор» указать путь, где сохранён ключ – файл с расширением *.cert или *.crt.

Нажать «Далее».

Отобразится информация, содержащаяся в открытом ключе. Нажать «Далее».

Найти контейнер закрытого ключа автоматически или вручную через «Обзор».

Рекомендуем выбрать автоматический поиск. После нажать «Далее».

Личный сертификат пользователя всегда устанавливается в хранилище «Личное». Поставить отметку напротив «Установить сертификат в контейнер» и нажать «Далее». Не нужно закрывать окно, иначе установка прервётся.

В случае успешной установки в CryptoPro появится окно с информацией об окончании процедуры. Требуется нажать «Готово», затем «Да» и «Ок».

После установки сертификата нужно ещё раз воспользоваться подписью, чтобы убедиться в отсутствии ошибки.

Выбранная подпись не авторизована

Подобная ошибка возникает при попытке авторизации в личном кабинете на электронных торговых площадках. Например, при входе на площадку ZakazRF отображается сообщение «Выбранная ЭЦП не авторизована». Это грозит тем, что пользователь не сможет пройти регистрацию, следовательно — упустит возможность заключить выгодную сделку.

Эта ошибка возникает из-за того, что пользователь не зарегистрирован на площадке, либо не зарегистрирован новый сертификат ключа ЭП. Решением проблемы будет регистрация нового сертификата.

Процесс запроса на авторизацию ЭП на разных торговых площадках может отличаться: часто нужно отправлять запрос оператору системы на авторизацию, иногда рабочее место настраивается автоматически.

Если ошибка сохраняется, возможно, следует отключить защитное ПО или добавить сайт электронной площадки в исключения.