Как сгенерировать сертификат в криптопро

Как сгенерировать сертификат в криптопро

С помощью программы «КриптоАРМ» вы можете создавать запросы следующих типов:

• запрос на получение сертификата
• запрос на отзыв сертификата

Запрос на получение сертификата

Чтобы получить личный цифровой сертификат для выполнения криптографических операций, необходимо создать запрос на сертификат и направить его на рассмотрение в Удостоверяющий центр (УЦ).

Для создания запроса на получение сертификата в УЦ:

1. В дереве элементов главного окна выберите раздел Запросы. Вызовите правой клавишей мыши контекстное меню и выберите пункт Создать > Запрос на сертификат.
2. Откроется стандартный Мастер создания запроса. Ознакомьтесь с порядком и требованиями создания запроса на получение сертификата.
3. На следующем шаге из выпадающего списка выберите шаблон сертификата:

• шаблон по умолчанию
  При создании запроса на сертификат по «шаблону по умолчанию» необходимо ввести базовую информацию о владельце: Идентификатор, Организация, Город, Область, Страна, E-Mail и ИНН;
• шаблон с расширенным списком полей
  При создании запроса на сертификат по «шаблону с расширенным списком полей» дополнительно к базовой информации добавляется следующая: Должность, Подразделение, Регион, Населенный пункт, Адрес

Откроется окно Основная информация, в котором, согласно выбранному на предыдущем шаге шаблону, необходимо указать идентификационную информацию о владельце будущего сертификата:

Поля отмеченные знаком «*» являются обязательными для заполнения.

Обратите внимание, если вы указываете ИНН юридического лица, номер всегда должен начинаться с «00», например 007707049388.

СНИЛС указывается без пробелов и знаков «-», например, 07306654534.

В окне Параметры ключа укажите следующие настройки:

• Криптопровайдер, который будет использован при создании сертификата.
• Вариант создания ключевого набора.

• Создать ключевой набор сертификат будет создан на основе нового ключевого набора.
• Использовать существующий ключевой набор – выберите ключевой набор, который будет использован при создании сертификата, из списка существующих (кнопка Выбрать).

Установите переключатель напротив необходимого Назначения ключа сертификата.

Вы также можете выбрать дополнительное назначение ключа, нажав на кнопку Дополнительно. В списке назначений использования ключа и назначений сертификата (EKU) выберите необходимое:

Укажите необходимую Длину ключа. Чем длиннее ключ, тем он надежнее.

Пометить ключи как экспортируемые. Если вы отметите этот флаг, то сможете проводить экспорт сертификата вместе с закрытыми ключами

Если для создания запроса был выбран шаблон квалифицированной электронной подписи, то необходимо будет указать в зависимости от выбранного криптопровайдера версию средства электронной подписи владельца.

Укажите, каким образом вы хотите отправить запрос на обработку:

• на отчуждаемом ключевом носителе, предварительно сохранив запрос в файл;
• по электронной почте:
  Для этого на следующем шаге укажите тему письма, e-mail и комментарии к письму.
  

  Outlook Если для отправки электронных писем вы используете программу Outlook, то сначала вам будет предложено подтвердить отправку письма. При этом отправка письма не выполняется, если программа не запущена, а будет выполнена только после запуска Outlook.

  The Bat! В отличие от Outlook, программа сначала запускается, а потом просит подтвердить отправку письма

• в онлайн-режиме (через веб-службу ЦС)
  Укажите адрес веб-службы УЦ (IP-адрес или URL-адрес) и сертификат корневого Удостоверяющего центра.

На основе указанных данных будет сформирован запрос на сертификат открытого ключа. После завершения операции возникнет окно с информацией о ее результатах.

Для ГОСТ сертификата выберите ключевой носитель, куда должен быть сохранен сформированный запрос (Реестр, дискета, USB брелок).

На запрос системы установите пароль на данный носитель и подтвердите его.

• Как установить КриптоАРМ?
• Где купить лицензию на КриптоАРМ ?
• Как получить новый сертификат?

Выпуск тестовых сертификатов ЭП КриптоПро с любыми данными

По просьбам трудящихся публикую инструкцию «выпускаем себе тестовые сертификаты крипто-про как горячие пирожки!». Здесь описан процесс получение сертификата квалифицированной электронной подписи (КЭП) содержащего любые данные (OID) на тестовом удостоверяющем центре КриптоПро.

Изначально предполагается, что у нас уже установлен CryptoPro CSP и КриптоПро ЭЦП Browser plug-in, если нет, то идем качаем на официальный сайт. Все операции будут описаны относительно работы в ОС Linux. В MacOS и Windows, в принципе, не должно быть существенных отличий, кроме поправки на пути к исполняемым файлам.

Так же необходимо наличие действительного сертификата тестового УЦ КриптоПро в корневом хранилище сертификатов. Проверить его наличие можно командой

/opt/cprocsp/bin/amd64/certmgr -list -store uRoot

В выводе должно быть что-то вроде

Issuer : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2 Subject : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2 Serial : 0x37418882F539A5924AD44E3DE002EA3C SHA1 Hash : 0xcd321b87fdabb503829f88db68d893b59a7c5dd3 SubjKeyID : 4e833e1469efec5d7a952b5f11fe37321649552b Signature Algorithm : ГОСТ Р 34.11/34.10-2001 PublicKey Algorithm : ГОСТ Р 34.10-2001 (512 bits) Not valid before : 27/05/2019 07:24:26 UTC Not valid after : 26/05/2024 07:34:05 UTC PrivateKey Link : No

И если вдруг его нет, или истек срок действия (Not valid after), то нужно скачать свежий со страницы https://www.cryptopro.ru/certsrv/certcarc.asp, далее по ссылке Загрузка сертификата ЦС и установить командой

/opt/cprocsp/bin/amd64/certmgr -inst -store uRoot -file /tmp/certnew.cer

Вместо хранилища корневых сертификатов (uRoot) тут можно использовать хранилище для промежуточных УЦ (uCA). Так же важно понимать, что uRoot — это хранилище текущего пользователя, а не root, у него свое такое же хранилище.

Теперь приступаем к выпуску сертификата

где в следующих OID должны быть корректные (проходящие по контрольной сумме) данные

1.2.643.3.131.1.1: ИНН ФЛ (INN) 1.2.643.100.1: ОГРН 1.2.643.100.5: ОГРНИП 1.2.643.100.3: СНИЛС 1.2.643.100.4: ИНН ЮЛ (INNLE)

Для КПП нет официального OID, но некоторые используют 1.2.643.100.4 . Другие ГОСТ-овые OID можно посмотреть, например, по ссылке или в документе ФОРМАТ СЕРТИФИКАТА.pdf

Далее жмем Создать запрос на сертификат , соглашаемся со всем и следуем инструкциям от CSP. В результате мы получаем запрос на сертификат (CSR) закодированный в base-64, копируем его в буфер обмена.

Переходим на сайт тестового УЦ КриптоПро по ссылке https://www.cryptopro.ru/certsrv/certrqxt.asp или https://testgost2012.cryptopro.ru/certsrv/certrqxt.asp для ГОСТ-2012, вставляем скопированный CSR в поле и жмем Выдать .

На следующей странице обязательно выбираем Base64-шифрование и жмем на ссылку Загрузить сертификат .

Открываем полученный файл в любом редакторе и удаляем ——BEGIN CERTIFICATE—— в начале и ——END CERTIFICATE—— в конце, так чтоб осталось только тело сертификата между ними, и копируем его в буфер обмена.

Возвращаемся на страничку RusCryptoJS, где был создан CSR и вставляем скопированный сертификат в поле Certificate и жмем Записать сертификат . Параллельно можно поглядывать в консоль браузера, если интересно)

Дожидаемся сообщения об успехе, сертификат записан. Теперь сертификат со ссылкой на приватный ключ появится в выводе команды

/opt/cprocsp/bin/amd64/certmgr -list -store uMy

Полученным сертификатом можно полноценно пользоваться в тестовых целях, включая электронную подпись.

Как получить тестовый сертификат криптопро, за минуту

Добрый день! Уважаемые читатели и гости крупнейшего IT блога в России pyatilistnik.org. В прошлый раз мы разбирали ситуацию, что утилита КриптоПРО не видела токен Jacarta, согласитесь, что при решении этой проблемы было бы здорово иметь тестовый ключ с сертификатом, и параллельно ваш коллега мог бы тоже траблшутить. Еще тестовый сертификат CryptoPRO может быть полезен, при процедуре переноса контейнера КриптоПРО из реестра в случае с не экспортируемым закрытым ключом. Сегодня я вас научу генерировать нормальный, тестовый сертификат шифрования или подписи для разных задачу.

Генерация тестового сертификата

Как я и писал выше вы много, где сможете его применять, я когда знакомился с миром сертификатов и электронных подписей, то использовал тестовые ЭЦП от КриптоПРО для проверки правильности настройки программного обеспечения для работы на электронных, торговых площадках. Чтобы сгенерировать тестовый электронный сертификат, компания КриптоПРО предоставила вам специальный удостоверяющий, виртуальный центр, которым мы и воспользуемся. Переходим по ссылке:

https://www.cryptopro.ru/certsrv/

В самом низу у вас будет ссылка на пункт «Сформировать ключи и отправить запрос на сертификат».

Я вам советую этот сайт открывать в Internet Explore, меньше будет глюков. Как открыть Internet Explore в Windows 10, читайте по ссылке слева

Если же вы хотите использовать другой браузер, то установите КриптоПро ЭЦП Browser plug-in.

Установка КриптоПро ЭЦП Browser plug-in.

Сама инсталляция плагина, очень простая, скачиваем его и запускаем.

Для запуска нажмите «Выполнить»

Далее у вас появится окно с уведомлением, что будет произведена установка КриптоПро ЭЦП Browser plug-in, соглашаемся.

После инсталляции утилиты, вам нужно будет обязательно перезапустить ваш браузер.

Открыв ваш браузер, вы увидите предупредительный значок, нажмите на него.

Не забудьте установить КриптоПРО CSP на компьютер, где будет генерироваться сертификат

Теперь у нас все готово. Нажимаем «Сформировать ключи и отправить запрос на сертификат«. Согласитесь с выполнением операции.

У вас откроется форма расширенного запроса сертификата. Вначале заполним раздел «Идентифицирующие сведения». В него входят пункты:

• Имя
• Электронная почта
• Организация
• Подразделение
• Город
• Область
• Страна

Далее вам нужно указать тип требуемого сертификата. В двух словах, это область применения ЭЦП:

• Сертификат проверки подлинности клиента (самый распространенный вариант, по сути для подтверждения, что вы это вы)
• Сертификат защиты электронной почты
• Сертификат подписи кода
• Сертификат подписи штампа времени
• Сертификат IPSec, для VPN тунелей.
• Другие, для специальных OID

Я оставляю «Сертификат проверки подлинности клиента».

Далее вы задаете параметры ключа, указываете, что будет создан новый набор ключей, указываете гост CSP, от него зависит минимальная длина ключа. Обязательно пометьте ключ как экспортируемый, чтобы вы его могли при желании выгружать в реестр или копировать на флешку.

Для удобства еще можете заполнить поле «Понятное имя», для быстрой идентификации вашей тестовой ЭЦП от КриптоПРО. Нажимаем выдать тестовый сертификат.

У вас появится запрос на создание, в котором вам необходимо указать устройство, на которое вы будите записывать тестовый сертификат КриптоПРО, в моем случае это е-токен.

Как только вы выбрали нужное устройство появится окно с генерацией случайной последовательности, в этот момент вам необходимо нажмить любые клавиши или водить мышкой, это защита от ботов.

Все наш контейнер КриптоПРО сформирован и для его записи введите пин-код.

Вам сообщат, что запрошенный вами сертификат был вам выдан, нажимаем «Установить этот сертификат».

Если у вас еще не установленны корневые сертификаты данного центра сертификации, то вы получите вот такую ошибку:

Данный ЦС не является доверенным

Для ее устранения нажмите на ссылку «установите этот сертификат ЦС»

У вас начнется его скачивание.

Запускаем его, как видите в левом верхнем углу красный значок, чтобы его убрать нажмите «Установить сертификат», оставьте для пользователя.

Далее выбираем пункт «Поместить все сертификаты в следующее хранилище» и через кнопку обзор указываете контейнер «Доверенные корневые центры сертификации». Далее ок.

На последнем этапе у вас выскочит окно с предупреждением, о подтверждении установки сертификатов, нажимаем «Да».

Открываем снова окно с выпуском тестового сертификата КриптоПРО и заново нажимаем «Установить сертификат», в этот раз у вас вылезет окно с вводом вашего пин-кода от вашего носителя.

Если вы его ввели правильно, то увидите, что новый сертификат успешно установлен.

Теперь открывайте ваш КриптоПРО и посмотрите есть ли сертификат в контейнере. Как видите в контейнере есть наша ЭЦП.

Если посмотреть состав, то видим все наши заполненные поля. Вот так вот просто выпустить бесплатный, тестовый сертификат КриптоПРО, надеюсь было не сложно.

Популярные Похожие записи:

• Как обновить сертификат на WAP и ADFS серверах
• Ошибка certificate chain processed corrently 0x800b0112
• Как удалить Internet Explorer (IE) из Windows Server и Windows 10
• Настройка #unsafely-treat-insecure-origin-as-secure в Chrome и Edge
• Ошибка 0x907 при подключении к RDP
• Ошибка 36870: Код ошибки, возвращенный модулем шифрования 0x8009030D

Сен 11, 2018 22:58 Автор — Сёмин Иван

6 Responses to Как получить тестовый сертификат криптопро, за минуту

Здравствуйте Иван Нужна помощь в выпуске и установке тестового сертификата руководителя организации, для регистрации в ГИИС.Можете помочь в этом вопросе ?

Иван Семин :
А в чем нужна помощь?

Иван, привет! А пробовали потом подключить этот серт в СБИС?
Ругается:
Последний сертификат цепи не является доверенным корневым сертификатом
Срок действия 9 ноя’21 18:28 — 9 фев’22 18:38
Секретный ключ сертификата действителен до 31 дек’19 23:59
Неквалифицированная, по устаревшему ГОСТ-2001

Предполагаемая причина:
Указанное имя не является допустимым именем файла. Используйте другое имя файла.
Ошибка: 0x80070003 — ERROR_PATH_NOT_FOUND Какое должно быть имя? Ввожу на английском, как указано

в 30.11.22 выключена это возможность
видимо надо обращаться к ним специально напрямую, чтобы разрешили тестовую подпись создать

Спасибо, мужик.

Добавить комментарий

Поиск по сайту

Подписка на youtube канал

Выберите рубрику

Active directory, GPO, CA Android Apple ASUS, Sony VAIO CentOS Cisco, Mikrotik Debian, FreeBSD DNS Exchange, Power Shell HP/3Com Hyper-V IBM IIS и FTP, web и seo Juniper Lenovo, intel, EMC, Dell Microsoft Office Microsoft SQL server, Oracle Microsoft System Center NetApp Network, Телефония News Raid, LSI, Adaptec Supermicro Ubuntu Utilities Veeam Backup & Replication, Windows Server Backup Vmware, VirtualBox Windows 7 Windows 8/8.1 Windows 10, Windows 11 Windows 2008/2008 R2 Windows 2012/2012 R2 Windows Server 2016, Windows Server 2019, Windows Server 2022 WordPress, 1C Битрикс Безопасность, Kali СХД Сертификация перед сном

Подписка не Telegram

Последние записи

• Страница с переадресацией в Search Console
• Как скачать и анализировать дамп ESXI
• Произошла исключительная ситуация (Microsoft Office Excel): Нет доступа к файлу
• Ошибка запуска службы «error 1069 the service did not start»
• Установка netcat в Windows и Linux

Создание тестового сертификата КриптоПро

Тестовый сертификат может пригодиться для проверки работы различных приложений или для тестирования при их разработке.

Создание тестового сертификата

Введение

Для создания тестового сертификата есть два пути. Первый путь подразумевает использование КриптоПро ЭЦП Browser plug-in, второй же путь предназначен для того, чтобы без него обойтись.

Путь 1

• Установить корневой сертификат КриптоПро вместе со списком отозванных сертификатов (ссылка). Краткую рекомендацию по установке можно видеть здесь (ссылка) в пункте «Установка сертификатов».
• Использовать Тестовый центр КриптоПро для генерации личного тестового сертификата. Ниже можно увидеть то, как должна выглядеть при этом тестовая страница (если нужно впоследствии копировать контейнер с сертификатом и закрытым ключом на носитель, надо использовать опцию «пометить ключ как экспортируемый»).

После проделанных действий сертификат автоматически установится и будет размещён в контейнере, расположенном на жёстком диске компьютера, с которого был сделан запрос. После этого его можно скопировать на требуемое устройство. Для копирования контейнера 1 в контейнер 2 можно использовать следующую команду:

/opt/cprocsp/bin/amd64/csptest -keycopy -contsrc '' -contdest '' 

где пути к контейнерам и их названия можно узнать с помощью следующей команды:

/opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifyc -fq 

Путь 2

• Установить корневой сертификат КриптоПро вместе со списком отозванных сертификатов (ссылка). Краткую рекомендацию по установке можно видеть здесь (ссылка) в пункте «Установка сертификатов».
• Создать запрос на сертификат средствами КриптоПро CSP 4.0:

/opt/cprocsp/bin/amd64/cryptcp -creatrqst -dn "список имён полей" -cont 'путь к контейнеру' .csr 

подробнее о данной команде можно узнать в инструкции в пункте 2.7.

• Копировать содержимое получившегося файла сюда в строку «Сохранённый запрос» и нажать «Выдать >».

• Сохранить получившийся сертификат и установить его.

Примечание

Для удаления контейнеров можно воспользоваться следующей командой:

/opt/cprocsp/bin/amd64/csptest -keyset -deletekeyset -cont ''