Убедитесь что у вас проимпортирован хотя бы один личный сертификат

Убедитесь что у вас проимпортирован хотя бы один личный сертификат

В связи с тем что, для входа на портал с ЭЦП используется криптографическое программное обеспечение ЗАО Авест, соответственно порталом поддерживаются пользовательские ОС, которые поддерживаются криптографическим программным обеспечением ЗАО Авест:

Для просмотра версии операционной системы, установленной на Вашем компьютере, выполните следующую команду: WINVER

Для того чтобы выполнить команду:

Браузер или версия браузера не поддерживается порталом для входа с ЭЦП

Порталом Министерства по налогам и сборам Республики Беларусь для входа с ЭЦП поддерживается Internet Explorer актуальной версии, доступный для поддерживаемой операционной системы.

Более полный список приведен на сайте Microsoft.

Чтобы узнать версию Internet Explorer, необходимо выполнить следующие действия:

Если версия Internet Explorer входит в список поддерживаемых порталом Министерства по налогам и сборам Республики Беларусь для входа с ЭЦП, переходим к настройке других параметров, если нет, тогда необходимо установить актуальную версию Internet Explorer, доступную для поддерживаемой операционной системы.

Личный сертификат, выданный одним из поддерживаемых удостоверяющих центров, отсутствует или является недействительным, или при просмотре сертификата есть ошибки.

Проверка сертификата в Internet Explorer

Чтобы проверить сертификат в программе Internet Explorer выполните следующие действия:

При просмотре сертификата на вкладке Общие обратите внимание, чтобы не было сообщений об ошибке, не истек срок действия сертификата.На вкладке Путь сертификации отображался издатель сертификата и сам сертификат.

Если есть ошибки или отсутствует цепочка сертификатов, значит есть проблемы либо с самим сертификатом, либо с доступом к хранилищу, где находятся сертификаты, либо проблема в установленном криптографическом программном обеспечении. Для решения ошибок с сертификатом, читайте инструкцию по разворачиванию и настройке криптографического ПО ЗАО Авест.

Проверка сертификата в персональном менеджере сертификатов

Чтобы проверить сертификат в Персональном менеджере сертификатов, необходимо запустить программу «Персональный менеджер сертификатов». Для этого нажмите на пиктограмму поиска и введите «Персональный менеджер сертификатов…». В найденном выберете «Персональный менеджер сертификатов Авест»

После того как Менеджер сертификатов запущен, выберите свой сертификат и войдите с авторизацией.

В разделе Доверенные УЦ убедитесь, что присутствует Корневой удостоверяющий центр Министерства по налогам и сборам Республики Беларусь.

Также при просмотре своего сертификата не должно быть ошибок. Если есть ошибки или отсутствует цепочка сертификатов, значит есть проблемы либо с самим сертификатом, либо с доступом к хранилищу где находятся сертификаты, либо проблема в установленном криптографическом программном обеспечении. Для решения ошибок с сертификатом читайте инструкцию по разворачиванию и настройке криптографического ПО ЗАО Авест.

Настройка Internet Explorer

Если скрипт ps.js не выполняется

Если скрипт ps.js не выполняется, а открывается в блокноте или другом текстовом редакторе, но не выполняется, тогда необходимо запустить скрипт выбрав предварительно программу для запуска.

можно выполнить скрипт вручную, для этого необходимо сохранить файл ps.js.

После того как файл сохранен запускаем программу cmd.exe «интерпретатор командной строки» c правами Администратора.

В появившемся окне пишем команду wscript «путь к файлу\ps.js» (например wscript c:\temp\ps.js) и жмем клавишу Enter.

Если по какой-то причине у Вас после успешного выполнения скрипта выдаст сообщение, что компьютер по прежнему не готов для входа по ЭЦП, можно воспользоваться прямой ссылкой http://portal.nalog.gov.by/private_office.

Если скрипт ps.js выполнился с ошибками

Что делать, если по завершению выполнения скрипта появилось сообщение о том, что «Настройка завершилась с ошибкой»? Для решения данной ошибки необходимо выполнить настройки Internet Explorer вручную или через реестр.

Использование элементов управления ActiveX, не помеченных как безопасные для использования Текущий параметр позволяет управлять элементами ActiveX, не помеченными как безопасные. Если этот параметр включен, то элементы управления ActiveX выполняются и загружаются с параметрами и скриптами, не настроенными для безопасного использования. Этот параметр рекомендуется использовать только в безопасной и администрируемой зонах. При использовании этого параметра инициализируются и запускаются по скрипту как надежные, так и ненадежные элементы управления, несмотря на то, что скрипты элементов управления ActiveX помечены как безопасные. Если этот параметр включен или выбран параметр «Предлагать», то вы получите запрос на загрузку элементов управления с параметрами или сценариями.

;Использование элементов управления ActiveX, не помеченных как безопасные для использования
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
«1201»=dword:00000003

Эта настройка управляет доступом Internet Explorer к данным другой зоны безопасности с помощью парсера MSXML (Microsoft XML) или ADO (ActiveX Data Objects). Если включить эту настройку, то пользователи смогут загружать страницы в зоне, использующей MSXML или ADO для доступа к данным из другого веб-узла в этой зоне. Если в раскрывающемся списке выбрать пункт «Предлагать», будет отображаться запрос разрешения загрузки страниц в зоне, использующей MSXML или ADO для доступа к данным из другого веб-узла в этой зоне.

;Доступ к источникам данных за пределами домена
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
«1406»=dword:00000003

Эта настройка позволяет управлять разрешением загрузки файлов из выбранной вами зоны. Этот параметр определяется зоной, в которой находится страница со ссылкой, вызывающей загрузку, а не той, из которой доставляется загружаемый файл. Если текущая настройка включена, то загрузка файлов из этой зоны разрешена. Параметр, отвечающий за данную опцию следующий:

;Загрузка файла
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
«1803»=dword:00000003

После выполненных настроек вручную, необходимо перезапустить Internet Explorer.

Если по каким то причинам на главной странице внизу Личного кабинета не будет доступен выбор сертификата, тогда необходимо понизить уровень безопасности в Internet Explorer.

При нажатии ссылки «Авторизация через ЭЦП» страница входа не отображается

При нажатии ссылки авторизации с помощью ЭЦП, Интернет эксплорер выдает сообщение, что не может отобразить страницу. Данная проблема может возникать из-за настроек антивируса, настроек криптопровайдера, аппаратной части компьютера и прочее.

Чтобы решить данную проблему читаем еще раз инструкцию по установке и настройке криптографического ПО ЗАО Авест или можно обратится на веб-страницу разработчика данного ПО www.avest.by за дополнительными сведениями по установке и настройке.

Если при просмотре сертификата в Internet Explorer все хорошо, проверяем в реестре значение параметра AppInit_DLLs. Путь к файлу AvSSPc.dll должен быть коротким, то есть не содержать пробелы.

REG QUERY «HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows» /v AppInit_DLLs
REG QUERY «HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows» /v AppInit_DLLs

Опция Secure Boot BIOS может находиться на следующих вкладках:

Также возможно появление других неизвестных проблем, связанных с настройкой сертификатов, виндовс, а также Internet Explorer.

Источник

Убедитесь что у вас проимпортирован хотя бы один личный сертификат

Добрый день! Уважаемые читатели и гости одного из крупнейших IT блогов рунета Pyatilistnik.org. В прошлый раз мы с вами успешно настроили сеть на CentOS 7.6, двигаемся вперед. В сегодняшней публикации я вам хочу продемонстрировать, как вы можете выполнить экспорт сертификата или импорт сертификата из хранилища Windows. Уверен, что вы сами с легкостью можете найти кучу разных сценариев при которых вы можете использовать мою инструкцию.

Примеры сценариев при импорте и экспорте сертификата

Если вы мой постоянный читатель, то вам уже должны быть знакомы понятие SSL сертификата, его виды и назначение. Сейчас уже сложно себе представить работу юридических лиц, ИП и обычных граждан без сертификатов и ЭЦП. Многие программы используют их для шифрования трафика, например при документообороте или при доступе к сервису, очень частый пример, это кабинет клиент-банка.

В большинстве случаев у людей на компьютере установлена операционная система Windows, она не идеальна и бывают частые случаи ее выхода из строя. При таком раскладе у вас легко могла возникать ситуация по восстановлению вашего сертификата из хранилища Windows, или при обновлении вашего компьютера на более новый, где так же производили перенос сертификатов, я приводил такой пример для КриптоПРО. Переходим к практике.

Импорт сертификата в Windows

Ранее я вам рассказывал, где в операционной системе Windows хранятся сертификаты и вы помните, что там есть два глобальных контейнера:

Я в своем примере буду импортировать сертификат в раздел локального компьютера, в личное расположение. И так у меня есть Wildcard сертификат имеющий формат PFX архива. Существует два метода импорта сертификата в операционных системах Windows:

Давайте начнем с самого простого метода, через графический интерфейс. У меня есть файл pyatilistnik.pfx. Я щелкаю по нему двойным кликом и запускаю мастер импорта сертификатов.

Я указываю, что буду копировать сертификат в хранилище локального компьютера, нажимаю далее.

Мастер импорта сертификата попытается удостовериться, какой файл вы будите копировать, поддерживаются форматы PFX, P12, p7b и SST.

На следующем этапе вы указываете пароль от данного сертификата, при желании можете поставить галку «Пометить этот ключ как экспортируемый, что позволит сохранить резервную копию ключа и перемещать его». Данная галка полезна при использовании сертификата их реестра, ну и потом можно будет его при необходимости перенести, но это МЕНЕЕ БЕЗОПАСНО, не не смертельно если есть пароль.

Далее вы выбираете куда вы будите помещать сертификат при импорте, я выберу ручное помещение в личное хранилище.

Завершаем мастер импорта сертификатов.

В результате импортирование сертификата успешно выполнено.

Давайте удостоверимся, что у вас появился ваш сертификат, тут вы можете воспользоваться оснасткой mmc «сертификаты» или же утилитой certutil. Я покажу оба варианта, откройте командную строку или оболочку PowerShell и выполните:

В итоге у вас будет список всех ваших сертификатов, если знаете его CN, то можете отфильтровать по findstr. Второй вариант, это в окне выполнить открыть mmc и добавить там оснастку «Сертификаты» (Подробнее по ссылке выше про mmc).

Для импорта сертификата вам нужно через команду cd перейти в каталог, где хранится pfx архив. В моем примере, это каталог C:\Temp\wildcard.

Далее импортируем наш сертификат. пишем команду:

Все с копированием сертификата в ваше локальное хранилище мы разобрались, переходим к экспорту.

Экспорт сертификата Windows

У вас откроется окно мастера экспорта сертификатов, нажимаем далее.

Если есть возможно и закрытый ключ экспортируемый, то можете выставить режим «Да, экспортировать закрытый ключ».

Задаем обязательный пароль два раза, лучше сразу задавать стойкий пароль.

В следующем окне мастера по экспорту сертификатов, вы задаете его имя и где он будет сохранен.

Завершаем процедуру экспорта pfx архива из нашего хранилища сертификатов.

Экспорт успешно выполнен.

Теперь давайте произведем экспорт с помощью утилиты certutil. Перед тем, как это сделать, нам необходимо вычислить серийный номер сертификата.Для этого выполните команду:

Находим поле «Серийный номер» у нужного сертификата и копируем его.

Далее пишем команду для экспорта сертификата;

Все успешно отработало.

На выходе я получил файл export-cert-2.pfx. Открыть архив с сертификатом вы легко сможете через утилиту keytool или Key Store Explorer.

Источник

Убедитесь что у вас проимпортирован хотя бы один личный сертификат

Как импортировать сертификат в хранилище Microsoft Windows

В колонке «ФИО» в списке «Пользователи» выбрать необходимого пользователя, нажав по нему левой кнопкой мыши.

На открывшейся странице, в разделе «Сертификаты выданные пользователю» выбрать «Импортировать сертификат в хранилище Microsoft Windows». Следовать дальнейшим инструкциям при импорте.

Следовать дальнейшим инструкциям при импорте:

Выбрать «Автоматически выбрать хранилище на основе типа сертификата»

Завершить импорт сертификата нажатием на кнопку «готово»:

Ввести пароль доступа к контейнеру, нажать кнопку «ОК».

Если сертификат сохранен в памяти компьютера (например, был направлен по e-mail):

1. На главной странице web-сервиса «Личный кабинет» необходимо выбрать «Импорт личного сертификата в контейнер ключей и/или хранилище Windows»:

2. Нажатием на выделенную кнопку в поле «Сертификат», необходимо указать путь к файлу с сертификатом

3. В поле «Контейнер» выбрать соответствующий контейнер на носителе клюевой информации

4. Установить флажок «Импортировать сертификат в хранилище Windows» (при необходимости установить флажок «Поместить сертификат в контейнер ключей пользователя»»)

5. Нажать на кнопку «Ok».

Чтобы установить личный сертификат необходимо:

В операционной системе Microsoft Windows нажать кнопку Пуск, выбрать «Все программы», выбрать «Авест», затем нажать «AvestCSP».

Вставить в USB-порт носитель ключа Avest Token (или Avest Pass).

Нажать кнопку «Показать/обновить»

Правой кнопкой мыши просмотреть появившийся сертификат

Нажать кнопку «Установить сертификат…»

Нажать кнопку «Далее»

Нажать кнопку «Далее»

Нажать кнопку «Готово»

Ввести пароль доступа к контейнеру, нажать кнопку «ОК».

Источник

В этой статье помогают устранить ошибку, которая возникает при попытке импортировать файл закрытого сертификата ключа безопасного уровня sockets (SSL) (.pfx) в локальный магазин персональных сертификатов компьютера с помощью Microsoft IIS (IIS) Manager.

Оригинальная версия продукта: службы IIS
Исходный номер КБ: 919074

В статье содержатся сведения об изменении реестра. Перед внесением любых изменений в реестр, создайте его резервную копию. и изучить процедуру его восстановления на случай возникновения проблемы. Дополнительные сведения о том, как восстановить, восстановить и изменить реестр, см. в Windows реестра для продвинутых пользователей.

Симптомы

Невозможно импортировать файл pfx. Либо вы ввели неправильный пароль для этого файла, либо срок действия сертификата истек.

Произошла внутренняя ошибка. Это может быть либо недоступный профиль пользователя, либо закрытый ключ, который вы импортируете, может потребоваться поставщику криптографических служб, который не установлен в вашей системе.

Причина

Такое поведение происходит, когда одно или несколько из следующих условий являются верными:

Чтобы устранить это поведение, используйте одно из следующих решений, соответствующее вашей ситуации.

Разрешение 1. Установите правильные разрешения для папки MachineKeys

Если у вас недостаточно разрешений для доступа к папке на компьютере, установите правильные разрешения DriveLetter:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys для папки.

Дополнительные сведения о том, как установить разрешения для папки MachineKeys, см. в дополнительных сведениях о разрешениях по умолчанию для папок MachineKeys.

Разрешение 2. Удаление под ключа сторонних реестров

Неправильное изменение параметров системного реестра с помощью редактора реестра или любым иным путем может привести к возникновению серьезных неполадок. Из-за них может потребоваться переустановка операционной системы. Компания Microsoft не может гарантировать, что эти проблемы могут быть решены. Вносите изменения в реестр на ваш страх и риск.

Если существует следующий подкай реестра, удалите его:
HKEY_USERS\Default\Software\Microsoft\Cryptography\Providers\Type 001

После удаления этого под ключа реестра IIS может получить доступ к поставщику криптографических служб.

Разрешение 3. Локальное хранение профиля пользователя для сеанса служб терминалов

Если профиль пользователя для сеанса служб терминалов не хранится локально на сервере с включенной службой терминалов, переместим профиль пользователя на сервер, на который включены службы терминалов. Кроме того, используйте профили роуминга.

Статус

Такое поведение является особенностью данного продукта.

Источник

Как установить корневой сертификат Удостоверяющего центра

В этой статьей расскажем, что такое корневой сертификат УЦ, для чего нужен и как его установить.

Что такое корневой сертификат

Корневой сертификат — это файл, в котором указаны данные удостоверяющего центра (УЦ). Например, название УЦ, его ИНН и адрес, срок действия сертификата, какой алгоритм шифрования использует УЦ.

К этим данным обращается криптопровайдер, когда проверяет действительность электронной подписи пользователя. Если не установить корневой сертификат на компьютер, где используется электронная подпись, то подпись не будет работать корректно.

Чтобы быстро установить корневой сертификат и настроить компьютер, используйте бесплатный сервис Контур.Веб-диск. Он скачает все плагины и файлы, необходимые для правильной работы электронной подписи.

Удостоверяющий центр использует корневой сертификат, чтобы:

Какие бывают корневые сертификаты и для чего нужны

Корневой сертификат участвует в «цепочке доверия». «Цепочка доверия» — это взаимосвязь нескольких сертификатов, которая позволяет проверить, действительна ли электронная подпись и можно ли доверять сертификату ЭП.

Рассмотрим «цепочку доверия», сформированную для квалифицированного сертификата электронной подписи:

1. Корневой сертификат Минцифры РФ (ранее — Минкомсвязь РФ).

Это верхнее звено «цепочки доверия». Минцифры РФ осуществляет функции головного удостоверяющего центра в России. Оно наделяет другие удостоверяющие центры, прошедшие аккредитацию, правом выдавать квалифицированные сертификаты ЭП — выдает им собственные сертификаты, подписанные корневым сертификатом Минцифры РФ.

Например, в Windows корневой сертификат можно найти через «Управление сертификатами» — «Доверенные корневые центры сертификации» — «Сертификаты».

2. Сертификат удостоверяющего центра. Официально его называют «промежуточный сертификат», но распространено также название «корневой сертификат УЦ».

Среднее звено «цепочки доверия». УЦ получает этот сертификат от Минцифры РФ, когда становится аккредитованным. С помощью своего промежуточного сертификата УЦ выдает квалифицированные сертификаты пользователям: организациям, их сотрудникам, простым физлицам (п.2.1 ст.15 63-ФЗ).

В Windows промежуточный сертификат хранится в «Управление сертификатами» — «Промежуточные центры сертификации» — «Сертификаты».

3. Личный сертификат пользователя — квалифицированный сертификат электронной подписи.

Конечное звено «цепочки». Пользователь обращается в УЦ и получает там квалифицированный сертификат ЭП (он же КЭП, ЭП или ЭЦП). В его сертификате указаны данные «вышестоящих» сертификатов — УЦ и Минцифры.

В Windows личный сертификат можно найти через «Управление сертификатами» — «Личное».

Все сертификаты должны быть установлены в хранилище сертификатов (на компьютер) и действительны. Только тогда криптопровайдер сможет проверить доверие к сертификату пользователя и действительность электронной подписи, сформированной на основе этого сертификата.

«Путь сертификации» в составе сертификата показывает цепочку доверия: корневой сертификат, промежуточный и личный сертификат пользователя. Установить сертификаты можно с помощью сервиса от УЦ Контур или браузера-обозревателя.

Выше мы описали «цепочку доверия» для квалифицированных сертификатов. Поскольку такие сертификаты могут выдавать только аккредитованные УЦ, то в цепочке три звена: Минцифры — аккредитованный УЦ — пользователь. Именно такую связь можно увидеть, если открыть личный сертификат пользователя на вкладке «Путь сертификации» (см. скриншот выше).

Для неквалифицированных сертификатов ЭП «цепочка доверия» может состоять только из двух звеньев: УЦ — пользователь. Это возможно потому, что УЦ для выдачи неквалифицированных сертификатов не нужна аккредитация. Звенья такой «цепочки» будут называться: «корневой сертификат» и «пользовательский (личный) сертификат»

Где взять корневой сертификат

Все сертификаты УЦ Контура можно скачать на сайте удостоверяющего центра в разделе «Корневые сертификаты». Там представлены сертификаты для всех удостоверяющих центров, входящих в группу компаний СКБ Контур: СКБ Контур, «Сертум-Про», «ЦИБ‑Сервис» и РСЦ «Инфо‑Бухгалтер».

Программа установки всех сертификатов импортирует корневой сертификат Минцифры и промежуточные сертификаты УЦ. Подключение к интернету на момент установки не требуется.

Можно ли установить электронную подпись без корневого сертификата

Да, можно, но работать она не будет. Корневой и промежуточный сертификат является тем ключом, к которому обращается криптопровайдер при проверке подлинности подписи. Для признания ключа действительным в системе должен быть установлен корневой сертификат. В противном случае пользователь увидит окно с уведомлением об ошибке.

Это актуально как для ЭП, хранящейся на компьютере, так и для ЭП на токене, с небольшой разницей:

Какая информация содержится в корневом сертификате

Корневой сертификат представляет собой файл, который содержит свойства и данные:

Какой срок действия корневого сертификата удостоверяющего центра

Корневой сертификат УЦ Минцифры действует 18 лет. Промежуточный сертификат аккредитованного УЦ действует 15 лет — это дольше, чем действие любого пользовательского сертификата ЭП, который такой УЦ выдаст клиенту. Пользовательские сертификаты выдаются обычно на 12, 15 месяцев.

УЦ сам следит за сроками действия своих промежуточных и корневых сертификатов, чтобы не доставить неудобств клиентам. УЦ Контура обновляет сертификаты в среднем раз в год — это необходимо, чтобы соблюдать требования эксплуатационной документации к срокам ключей электронной подписи на сертифицированные средства УЦ и ЭП. Обновление происходит незаметно для пользователей и не влияет на их работу.

Инструкция по установке корневого сертификата удостоверяющего центра

Для начала работы с электронной подписью необходимо установить корневые и промежуточные сертификаты УЦ. У клиентов УЦ Контура установка обычно происходит автоматически — во время автонастройки компьютера. Ниже мы опишем и автоматический, и ручной способ.

Автоматическая установка — наиболее простой и быстрый способ, который не требует специальных знаний и навыков от вас:

Установка вручную — более долгий вариант, который пригодится техническим специалистам для решения ошибок с корневым сертификатом. Для него нужно самостоятельно выбрать и скачать сертификаты с сайта УЦ Контура.

Если возникли ошибки — при установке корневого сертификата или при работе с электронной подписью — обратитесь в нашу техподдержку. Специалисты помогут разобраться в проблеме. Звоните на 8 800 500-05-08 или пишите по контактам Центра поддержки, указанным в правом нижнем углу страницы.

Источник