Как сгенерировать сертификат в криптопро

Как сгенерировать сертификат в криптопро

Добрый день! Уважаемые читатели и гости крупнейшего IT блога в России pyatilistnik.org. В прошлый раз мы разбирали ситуацию, что утилита КриптоПРО не видела токен Jacarta, согласитесь, что при решении этой проблемы было бы здорово иметь тестовый ключ с сертификатом, и параллельно ваш коллега мог бы тоже траблшутить. Еще тестовый сертификат CryptoPRO может быть полезен, при процедуре переноса контейнера КриптоПРО из реестра в случае с не экспортируемым закрытым ключом. Сегодня я вас научу генерировать нормальный, тестовый сертификат шифрования или подписи для разных задачу.

Генерация тестового сертификата

Как я и писал выше вы много, где сможете его применять, я когда знакомился с миром сертификатов и электронных подписей, то использовал тестовые ЭЦП от КриптоПРО для проверки правильности настройки программного обеспечения для работы на электронных, торговых площадках. Чтобы сгенерировать тестовый электронный сертификат, компания КриптоПРО предоставила вам специальный удостоверяющий, виртуальный центр, которым мы и воспользуемся. Переходим по ссылке:

В самом низу у вас будет ссылка на пункт «Сформировать ключи и отправить запрос на сертификат».

Если же вы хотите использовать другой браузер, то установите КриптоПро ЭЦП Browser plug-in.

Установка КриптоПро ЭЦП Browser plug-in.

Сама инсталляция плагина, очень простая, скачиваем его и запускаем.

Для запуска нажмите «Выполнить»

Далее у вас появится окно с уведомлением, что будет произведена установка КриптоПро ЭЦП Browser plug-in, соглашаемся.

После инсталляции утилиты, вам нужно будет обязательно перезапустить ваш браузер.

Открыв ваш браузер, вы увидите предупредительный значок, нажмите на него.

В открывшемся окне нажмите «Включить расширение»

Теперь у нас все готово. Нажимаем «Сформировать ключи и отправить запрос на сертификат«. Согласитесь с выполнением операции.

У вас откроется форма расширенного запроса сертификата. Вначале заполним раздел «Идентифицирующие сведения». В него входят пункты:

• Имя
• Электронная почта
• Организация
• Подразделение
• Город
• Область
• Страна

Далее вам нужно указать тип требуемого сертификата. В двух словах, это область применения ЭЦП:

• Сертификат проверки подлинности клиента (самый распространенный вариант, по сути для подтверждения, что вы это вы)
• Сертификат защиты электронной почты
• Сертификат подписи кода
• Сертификат подписи штампа времени
• Сертификат IPSec, для VPN тунелей.
• Другие, для специальных OID

Я оставляю «Сертификат проверки подлинности клиента».

Далее вы задаете параметры ключа, указываете, что будет создан новый набор ключей, указываете гост CSP, от него зависит минимальная длина ключа. Обязательно пометьте ключ как экспортируемый, чтобы вы его могли при желании выгружать в реестр или копировать на флешку.

Для удобства еще можете заполнить поле «Понятное имя», для быстрой идентификации вашей тестовой ЭЦП от КриптоПРО. Нажимаем выдать тестовый сертификат.

У вас появится запрос на создание, в котором вам необходимо указать устройство, на которое вы будите записывать тестовый сертификат КриптоПРО, в моем случае это е-токен.

Как только вы выбрали нужное устройство появится окно с генерацией случайной последовательности, в этот момент вам необходимо нажмить любые клавиши или водить мышкой, это защита от ботов.

Все наш контейнер КриптоПРО сформирован и для его записи введите пин-код.

Вам сообщат, что запрошенный вами сертификат был вам выдан, нажимаем «Установить этот сертификат».

Если у вас еще не установленны корневые сертификаты данного центра сертификации, то вы получите вот такую ошибку:

Для ее устранения нажмите на ссылку «установите этот сертификат ЦС»

У вас начнется его скачивание.

Запускаем его, как видите в левом верхнем углу красный значок, чтобы его убрать нажмите «Установить сертификат», оставьте для пользователя.

Далее выбираем пункт «Поместить все сертификаты в следующее хранилище» и через кнопку обзор указываете контейнер «Доверенные корневые центры сертификации». Далее ок.

На последнем этапе у вас выскочит окно с предупреждением, о подтверждении установки сертификатов, нажимаем «Да».

Открываем снова окно с выпуском тестового сертификата КриптоПРО и заново нажимаем «Установить сертификат», в этот раз у вас вылезет окно с вводом вашего пин-кода от вашего носителя.

Если вы его ввели правильно, то увидите, что новый сертификат успешно установлен.

Теперь открывайте ваш КриптоПРО и посмотрите есть ли сертификат в контейнере. Как видите в контейнере есть наша ЭЦП.

Если посмотреть состав, то видим все наши заполненные поля. Вот так вот просто выпустить бесплатный, тестовый сертификат КриптоПРО, надеюсь было не сложно.

Выпуск тестовых сертификатов ЭП КриптоПро с любыми данными

По просьбам трудящихся публикую инструкцию "выпускаем себе тестовые сертификаты крипто-про как горячие пирожки!". Здесь описан процесс получение сертификата квалифицированной электронной подписи (КЭП) содержащего любые данные (OID) на тестовом удостоверяющем центре КриптоПро.

Изначально предполагается, что у нас уже установлен CryptoPro CSP и КриптоПро ЭЦП Browser plug-in, если нет, то идем качаем на официальный сайт. Все операции будут описаны относительно работы в ОС Linux. В MacOS и Windows, в принципе, не должно быть существенных отличий, кроме поправки на пути к исполняемым файлам.

Так же необходимо наличие действительного сертификата тестового УЦ КриптоПро в корневом хранилище сертификатов. Проверить его наличие можно командой

В выводе должно быть что-то вроде

И если вдруг его нет, или истек срок действия (Not valid after), то нужно скачать свежий со страницы https://www.cryptopro.ru/certsrv/certcarc.asp, далее по ссылке Загрузка сертификата ЦС и установить командой

Вместо хранилища корневых сертификатов (uRoot) тут можно использовать хранилище для промежуточных УЦ (uCA). Так же важно понимать, что uRoot — это хранилище текущего пользователя, а не root, у него свое такое же хранилище.

Теперь приступаем к выпуску сертификата

где в следующих OID должны быть корректные (проходящие по контрольной сумме) данные

Для КПП нет официального OID, но некоторые используют 1.2.643.100.4 . Другие ГОСТ-овые OID можно посмотреть, например, по ссылке или в документе ФОРМАТ СЕРТИФИКАТА.pdf

Далее жмем Создать запрос на сертификат , соглашаемся со всем и следуем инструкциям от CSP. В результате мы получаем запрос на сертификат (CSR) закодированный в base-64, копируем его в буфер обмена.

Переходим на сайт тестового УЦ КриптоПро по ссылке https://www.cryptopro.ru/certsrv/certrqxt.asp или https://testgost2012.cryptopro.ru/certsrv/certrqxt.asp для ГОСТ-2012, вставляем скопированный CSR в поле и жмем Выдать .

На следующей странице обязательно выбираем Base64-шифрование и жмем на ссылку Загрузить сертификат .

Открываем полученный файл в любом редакторе и удаляем ——BEGIN CERTIFICATE—— в начале и ——END CERTIFICATE—— в конце, так чтоб осталось только тело сертификата между ними, и копируем его в буфер обмена.

Возвращаемся на страничку RusCryptoJS, где был создан CSR и вставляем скопированный сертификат в поле Certificate и жмем Записать сертификат . Параллельно можно поглядывать в консоль браузера, если интересно)

Дожидаемся сообщения об успехе, сертификат записан. Теперь сертификат со ссылкой на приватный ключ появится в выводе команды

Полученным сертификатом можно полноценно пользоваться в тестовых целях, включая электронную подпись.

Как получить тестовый сертификат от КриптоПРО

Если вы решили впервые окунуться в изучение мира различных сертификатов и электронных подписей (ЭЦП) или вам просто понадобился «левый» сертификат для проведения разных экспериментов, тогда вам стоит посетить виртуальный удостоверяющий центр от компании КриптоПРО, который позволяет бесплатно получить тестовый сертификат за считанные минуты. А чтобы вам было проще это сделать, сегодня мы пошагово получим тестовый сертификат от КриптоПРО, который будет экспортируемым и удобно записанным на отдельной usb флешке.

В первую очередь, нам необходимо проверить наличие в браузере обязательного плагина, под длинноватым названием cryptopro extension for cades browser plug-in. Я для примера, буду сегодня использовать Яндекс.Браузер. Итак, нажимаем на верхней панели браузера на три полоски и выбираем раздел Дополнения.

Находим здесь плагин КриптоПро ЭЦП и если он не установлен, соответственно, нажимаем Установить.

И в каталоге расширений для Оперы, нажимаем Добавить в Яндекс.Браузер.

Подтверждаем установку, нажав Установить расширение.

И проверяем, что расширение успешно установлено и работает.

Далее мы переходим в тестовый удостоверяющий центр от КриптоПРО по адресу cryptopro.ru/certsrv и выберем на нижней части страницы Сформировать ключи и отправить запрос на сертификат.

На следующей странице плагин выдаст ошибку с информацией о том, что нужно установить дополнительное расширение КриптоПРО ЭЦП Browser plug-in. Жмём по гиперссылке на расширение.

Выбираем отдельное место на компьютере и нажимаем Сохранить.

И после быстрого скачивания, запускаем установочный файл cadesplugin.exe.

Подтверждаем установку КриптоПро ЭЦП Browser plug-in.

Ожидаем окончания быстрой установки.

И перезапускаем браузер.

Возвращаемся к разделу запроса сертификата и разрешаем новую операцию.

А затем, мы начинаем оформлять запрос сертификата следующим образом.

• Вводим на латинице реальное или вымышленное имя, адрес электронной почты, название организации, подразделение, город, область и страну ;
• Тип требуемого сертификата, можем оставить самый распространенный Сертификат проверки подлинности клиента.

Нижнюю часть настроек параметров ключа мы заполняем следующим образом.

• Выбираем Создать новый набор ключей ;
• CSP: Crypto-Pro GOST R 34.10-2012 Strong Cryptographic Service Provider ;
• Обязательно отмечаем пункт Пометить ключ как экспортируемый ;
• В Дополнительных параметрах вводим на латинице Понятное имя ;
• Внимательно всё перепроверяем и нажимаем на кнопку Выдать.

В качестве носителя мы указываем подключенную usb флешку и нажимаем ОК.

Активно двигаем мышкой в разные стороны для генерации последовательности.

Придумаем новый пароль для контейнера, вводим его несколько раз и жмём ОК.

Затем, нажмём Установить этот сертификат и получаем закономерную ошибку Данный ЦС не является доверенным, которая возникает из-за того, что у нас не установлен корневой сертификат от данного центра сертификации. Итак, жмём установите этот сертификат ЦС.

Выбираем отдельное место на компьютере и нажимаем Сохранить.

А после окончания быстрого скачивания, открываем файл certnew.cer.

В новом окне для работы с сертификатом, нажимаем Установить сертификат.

Оставляем Текущий пользователь и нажимаем Далее.

Выбираем Поместить все сертификаты в следующее хранилище и жмём Обзор.

Выделяем Доверенные корневые центры сертификации и нажимаем ОК.

Вернувшись, проверяем путь к хранилищу сертификатов, нажимаем Далее.

И в завершении мастера импорта сертификатов, нажимаем Готово.

В новом окне с предупреждением, подтверждаем установку сертификата.

И всё, импорт сертификата у нас выполнен успешно.

Вернёмся к пункту выдачи сертификата и жмём Установить этот сертификат.

Вводим заданный нами ранее пароль от контейнера и нажимаем ОК.

Вот и всё, тестовый сертификат успешно установлен на usb флешку.

Для проверки, откроем КриптоПро CSP, заходим на вкладку Сервис и выбираем Просмотреть сертификаты в контейнере.

Нажимаем Обзор.

И видим наш сертификат с «абракадабровым» именем контейнера, который мы выделяем, нажимаем ОК.

И, собственно, проверяем срок действия, а также те данные, которые заполняли при получении тестового сертификата от КриптоПРО.

Если у вас остались вопросы, оставляйте их в комментариях ниже. А пока… пока.

Тестовый сертификат для ЭЦП

✅В продолжении моих статей по ЭЦП ���� хочу с вами поделиться очень интересной информацией которая будет полезна не только системным администраторам, но и обычным пользователям которые пытаются понять принцип работы сертификатов и электронных подписей.��

В моих прошлых статьях я рассматривал такие вопросы как:

1. �� Как подписать пдф документ эцп
2. �� Как подписать документ формата SIG

✅и в том и в другом случае это статьи которые мы рассматриваем уже на “боевых” машинах с реальными сертификатами, но что делать когда допустим у нас следующая ситуация:

нам надо срочно подготовить компьютера для работы с электронной подписью и время идет на часы, а сама подпись едет с курьером к приезду которого надо, что бы все было уже настроено! Т.е приехала подпись, вы быстро подписали документы и отдали ключ.

Как Вам примерчик? ))) Настройка рабочей станции под ЭЦП достаточно геморройный вопрос, потому как каждая установка бывает индивидуальна и зависит от ПО который стоит на компе.

Или такой пример:

вы делаете какие то тестирование и вам нужно что бы у вас был сертификат который был бы выпущен и подтверждался доверенным центром сертификации!

Вот для этого разработчики КРИПтоПРО и создали тестовый центр сертификации который абсолютно бесплатно создаст вам сертификат .ser ( но только для тестирования )!

Тестовый Удостоверяющий Центр ООО “КРИПТО-ПРО”

для того что бы выпустить тестовый сертификат нужно проделать следующие шаги:

1. скачиваем и устанавливаем (если у вас еще не стоит КРИПтоПРО скачать ) тестовый период 90 дней
2. скачиваем и устанавливаем программу КриптоПро ЭЦП Browser plug-in по ссылке
3. открываем Internet iexplorer
4. переходим на официальный сайт криптопро https://www.cryptopro.ru/certsrv/
5. в самом низу переходим по ссылке “сформировать ключи и отправить запрос на сертификат” или переходим по ссылке
6. при переходе на сайт у вас появится окно – Подтверждение доступа, тут нажмите на Да
   
7. В следующем окне заполняем данные (их можно заполнять какие хотите, я в данном примере создал как TEST) заполняем полностью форму из первого блога (рис.1) (кстати что бы убедиться что у вас все пройдет удачно и установлены все необходимые плагины для выпуска тестового сертификата на стрелке рис.2 будет выпадающее список и если его нет, значит вы что то не поставили из списка выше или перезагрузите компьютер!) далее из выпадающего списка выбираем пункт Crypto-Pro GOST R 34.10-2012 Strong Cryptographic Service Provider (рис.2) далее ставим галочку – Пометить ключ как экспортируемый (рис.3) и в последнем четвертом пункте пишем имя нашего сертификата
   
8. После заполнения всех данных нажимаем на кнопку Вадать и в появившемся окне выбираем место хранения нашего сертификата, можно сохранить его на флешку или сохранить в реестр (это не принципиально!)
9. Далее появится окно в котором нужно в произвольном направлении двигать мышкой что бы у нас произошла генерация случайно последовательности (просто мышкой водить по часовой стрелке и у вас все быстро заполнится)
   
10. Соглашаемся со всеми открывающимися окнами и нажимаем везде – ДА
    
11. в следующем окне нажимаем на – Установить этот сертификат
    
12. Убедитесь что у вас он установился – Новый сертификат успешноустановлен. Теперь можно спокойно тестировать и работать!
    
13. Все!

Как проверить установленные сертификаты в системе?

Но если вы хотите убедиться, что сертификат установлен на вашем компьютере под операционной системой Windows, то это можно следующем способом:

1. Зайти в крипто про через панель управления
2. Открыть вкладку Сервис
3. Нажать просмотреть сертификат
4. Нажимаем копку Обзор и смотрим все сертификаты в системе какие есть на данный момент.

Вот и все! В данной статье мы ознакомились с принципами создания тестового сертификаты для понимания и настройки программ для подписания документов ЭЦП

Но! Это не ограничивает этот функционал и вы можете его использовать и в других целях, а если знать в каких, читайте в следующих моих статьях!