- Введение
- Ошибка «Указан неправильный алгоритм (0x80090008)»
- . Не удается установить «КриптоАРМ»: ошибка 2739
- . В контекстном меню нет КриптоАРМа
- . Не удается подписать файл: ошибка исполнения функции 0x0000065b
- . 0x0000064a – возникает при отсутствии лицензии на модуль TSP
- . Не удается найти сертификат и закрытый ключ для расшифровки. В связи с этим использование данного сертификата невозможно.
- . Ошибка 0x80091008 при расшифровке сообщения
- Ошибка построения пути сертификации
- . Как подписать отчеты для ГОЗ (Минобороны)
- Предупреждение «Нет полного доверия к сертификату подписи»
- Не удается установить лицензионный ключ: ошибка сохранения данных
- Указан хеш-алгоритм, несовместимый с данным файлом подписи
- Отсутствует личный сертификат для расшифрования
- Ошибка установки свойства в контекст сертификата 0x80092004
- Установка «КриптоАРМ» завершается с ошибкой
- Вот и все!
- Коды ошибок статуса сертификата _cert_trust_status
- Методология тестирования средств электронной подписи и шифрования документов
- Присоединяйтесь к нам
- Причина
- Результаты тестирования средств электронной подписи и шифрования документов
- Часто задаваемые вопросы –
- Шаг 1: переводим криптоарм в режим эксперт
- Шаг 2: подключаем сертификат электронной подписи
- Шаг 2-1: подключаем сертификат, если он не на съемном носителе
- Шаг 3: добавляем сертификат уц в список доверенных центров сертификации
- Выводы
- Шаг 4: проверить сертификат по списку отзывов
Введение
Один из основных нормативно-правовых «пробелов» в области PKI — отсутствие четкого порядка проверки действительного статуса сертификата ключа проверки электронной подписи. Это дает разработчикам средств, реализующих технологии электронной подписи и шифрования, свободу в реализации данной проверки.
Ошибка «Указан неправильный алгоритм (0x80090008)»
В большинстве случаев ошибка «Указан неправильный алгоритм (0x80090008)» решается переустановкой сертификата подписи. Переустановить сертификат можно в программе «КриптоАРМ»
Также это можно сделать через КриптоПро CSP. Для этого откройте программу КриптоПро CSP и перейдите во вкладку «Сервис». Затем нажмите на кнопки «Просмотреть сертификаты в контейнере. » и «Обзор» Выберите нужный контейнер и нажмите кнопку «Ok», а после «Установить».
. Не удается установить «КриптоАРМ»: ошибка 2739
Для 64-разрядных Windows зайти в меню Пуск и выполнить команды:
c:windowsSysWOW64egsvr32 c:windowsSysWOW64vbscript.dll c:windowsSysWOW64egsvr32 c:windowsSysWOW64jscript.dll
Для 32-разрядных Windows зайти в меню Пуск и выполнить команды:
c:windowsSystem32egsvr32.exe c:windowsSystem32vbscript.dll c:windowsSystem32egsvr32.exe c:windowsSystem32jscript.dll
Для выполнения команд необходимо наличие прав администратора.
. В контекстном меню нет КриптоАРМа
Зарегистрировать ShellExtention. Для этого создайте текстовый файл с расширением bat и сохраните в него следующую команду:
Выполните этот командный файл от имени администратора. При этом библиотека должна зарегистрироваться.
Так же могу порекомендовать внести папку установки КриптоАРМ-а в список исключений антивируса.
Проверьте также выключен ли у вас UAC. Если он выключен, компоненты могут регистрироваться неправильно. Попробуйте включить UAC и перерегистрировать библиотеку. Руководство по включению и отключению UAC с сайта Microsoft:
Снять системный лог
Системный лог: журнал событий операционной системы. Сохранить его можно в окне управления компьютером (Панель управления->Администрирование->Управление компьютером). В разделе Служебные программы->Просмотр событий->Журналы Windows вызовите правой кнопкой мыши контекстное меню на журнале приложений и выберите«Сохранить все события как. ». Сохраните события в файл и отправьте пожалуйста этот файл мне. Сохраните пожалуйста таким же образом журнал «Система».
. Не удается подписать файл: ошибка исполнения функции 0x0000065b
Скорее всего отсутствует лицензионный ключ или истек срок его действия для программы «КриптоАРМ» или КриптоПро CSP. Лицензионные ключи должны быть установлены в обеих программах, они должны быть активны.
Проверить наличие и статус лицензии на «КриптоАРМ» можно в верхнем меню программы в разделе «Помощь» — «О программе». В КриптоПро CSP эта информация есть на вкладке «Общие».
. 0x0000064a – возникает при отсутствии лицензии на модуль TSP
Проверьте пожалуйста, установлены ли лицензии в программах КриптоПро CSP и КриптоАРМ, а также установлена ли лицензия на модуль КриптоПро TSP.
Посмотреть информацию о лицензии на модуль КриптоПро TSP можно через меню пуск / все программы / КриптоПро / КриптоПро PKI -> управление лицензиями.
. Не удается найти сертификат и закрытый ключ для расшифровки. В связи с этим использование данного сертификата невозможно.
Скорее всего у Вас нет привязки сертификата к ключевому контейнеру, наличие привязки можно проверить следующим образом — путем просмотра сертификата из личного хранилища сертификатов, например, при помощи КриптоАРМ: главное окно КриптоАРМ (вид«Эксперт») ->
Сертификаты -> Личное хранилище сертификатов -> Выбор сертификата -> Свойства -> Кнопка Просмотреть. Если привязка существует, то на закладке«Общие» (»General») последней строкой (после срока действия сертификата) будет надпись«Есть закрытый ключ, соответствующий этому сертификату.» (»You have a private key that corresponds to this certificate.»).
Для сертификатов с ключевой парой на КриптоПро CSP установить привязку можно следующим образом:
1. Сохраните сертификат (например, в der-формате) в файл и удалите из личного хранилища; 2. Откройте Панель КриптоПро CSP: Пуск -> Настройки -> Панель управления -> КриптоПро CSP -> Закладка«Сервис»; 3. Нажмите на кнопку«Просмотреть сертификаты в контейнере», затем «Обзор», выберите контейнер и нажмите«ОК», должно заполниться поле с именем контейнера; 4.
Нажмите«Далее», при необходимости введите пароль (пин-код), откроется форма«Сертификаты в контейнере секретного ключа»; 5. Нажмите на кнопку«Свойства», откроется стандартная форма просмотра сертификата; 6. При необходимости сравните данный сертификат с сертификатом, сохраненным на первом шаге, если они отличаются, вернитесь на шаг 3 и выберите другой контейнер; 7.
. Ошибка 0x80091008 при расшифровке сообщения
Возникает в основном когда в КриптоАРМ или в КриптоПро CSP не установлена лицензия. В КриптоАрм проверить наличие лицензии можно через пункт меню помощь / о программе. В КриптоПро на вкладке «общие».
Если лицензии установлены, попробуйте переустановить КриптоПро CSP.
Ошибка построения пути сертификации
Сообщение «Статус сертификата: недействителен, ошибка построения пути сертификации» говорит о том, что нужно на рабочем месте установить корневой сертификат удостоверяющего центра, чтобы цепочка доверия могла быть построена и проверена программой.
. Как подписать отчеты для ГОЗ (Минобороны)
Запустите мастер подписи. Если запускался не через контекстное меню, то на второй странице ныжно выбрать подписываемый файл.
На странице “Выходной формат” выбрать вариант Base64 (выбран по умолчанию) и в поле справа заменить расширение sig на sign. На этой же странице установить галочку “Отключить служебные заголовки”.
На следующей странице “Параметры подписи” убрать галочку “Поместить имя исходного файла в поле Идентификатор ресурса”. На этой же странице установить галочку “Сохранить подпись в отдельном файле”.
На этой странице не нужно убирать галочку “Включить время создания подписи”. При работе Ccptest время добавляется в подпись.
На странице “Выбор сертификата подписи” выбрать нужный сертификат.
При завершении мастера можно сохранить настройки в профиль, чтобы не вводить их заново в следующий раз.
По завершению мастера нужно вручную убрать из имени файла расширение xml. КриптоАРМ всегда добавляет в имя исходное расширение, а поскольку по требованиям его там быть не должно, то переименовывать файл придется вручную.
Чтобы воспользоваться этой инструкцией, вам потребуется:
- Установленный криптопровайдер КриптоПро CSP
- Установленная программа КриптоАРМ
- Сертификат электронной подписи, полученный в УЦ
Не смотря на то, что программа КриптоАРМ во многих отраслях уже стала стандартом для электронной подписи, у пользователей по-прежнему возникает множество вопросов по работе с ней. Мы решили рассказать о том, как начать работу в КриптоАРМ и одновременно осветить наиболее часто задаваемые вопросы, которые возникают почти у всех: как исправить ошибку построения пути сертификации и ошибку отсутствия полного доверия к сертификату.
Обычно эта ошибка выглядит так:
Давайте сначала разберемся, почему эта ошибка возникает.
Отсутствие полного доверия к сертификату означает, что ваш компьютер не знает, может ли он доверять Удостоверяющему Центру (УЦ), который выдал вам сертификат, а соответственно — и самому вашему сертификату электронной подписи. Чтобы это исправить, нам нужно будет добавить этот УЦ в список доверенных на вашем компьютере.
Предупреждение «Нет полного доверия к сертификату подписи»
- В верхнем меню выберите пункт «Настройки», затем «Управление настройками» и «Параметры прокси-сервера». Из выпадающего списка выберите вариант «Использовать системные настройки прокси». Нажмите «Применить».
- Далее в «Управление настройками» вкладка «Общие» снимите галку с опции «Отключить проверку личных сертификатов по спискам отзыва».
- Запустите «Internet Explorer», откройте меню «Сервис» -> пункт «Свойства обозревателя» («Свойства браузера») -> закладка «Подключения» -> кнопка «Настройка сети». Убедитесь в том, чтобы в «Настройках сети» флажки «Автоматическое определение параметров» и «Использовать скрипт автоматической настройки» были сброшены.
- Выберите в окне программы «КриптоАРМ» ветку «Личное хранилище сертификатов». Затем справа выберите нужный сертификат и нажмите правой кнопкой мыши, чтобы вызвать контекстное меню. В появившемся меню выберите «Проверить статус» «По CRL, полученному из УЦ».
- Если статус сертификата стал с зеленой галкой повторите ваше изначальное действие, вновь подпишите либо проверьте подпись.
пункт «Свойства обозревателя» («Свойства браузера») -> закладка «Подключения» -> кнопка «Настройка сети». Убедитесь в том, чтобы в «Настройках сети» флажки «Автоматическое определение параметров» и «Использовать скрипт автоматической настройки» были сброшены и повторите процедуру обновления статуса сертификата, как это указано в предыдущем абзаце. —>
Не удается установить лицензионный ключ: ошибка сохранения данных
Запустите программу в режиме администратора. Для этого нажмите правой кнопкой на иконку «КриптоАРМ» и выберите в открывшемся контекстном меню команду «Запуск от имени администратора». Повторите ввод лицензионного ключа в меню «Помощь» — «Установить лицензию».
Указан хеш-алгоритм, несовместимый с данным файлом подписи
Ошибка встречается при добавлении подписи, когда хеш-алгоритм сертификата подписанта отличается от хеш-алгоритма сертификата первого подписанта
Способ исправления: обновить программу до версии 5.4.2.280 или выше. Перейти к загрузке.
Отсутствует личный сертификат для расшифрования
В первую очередь проверьте наличие лицензии на КриптоАрм. Помощь о программе — если истек срок действия лицензии, то расшифровать не получится. Далее можно проверить зашифрован ли файл в адрес Вашего сертификата — в окне с ошибкой нажать кнопку детали менеджер сообщения — там будут указаны серийные номера сертификатов получателей.
Также проверьте, тот ли сертификат используется для расшифрования: профили управление профилями открыть профиль с галкой 2м нажатием общие в поле владелец сертификата проверьте, какой сертификат прописан. Если нужно, выберите.
Ошибка установки свойства в контекст сертификата 0x80092004
Ошибка 0x80092004 говорит о том, что сертификат был установлен без привязки к закрытому ключу. Попробуйте переустановить сертификат через КриптоПро CSP.
Для этого откройте программу КриптоПро CSP и перейдите во вкладку «Сервис». Затем нажмите на кнопки «Просмотреть сертификаты в контейнере. » и «Обзор» Выберите нужный контейнер и нажмите кнопку «Ok», а после «Установить».
Установка «КриптоАРМ» завершается с ошибкой
В большинстве случаев устранить ошибку помогает удаление и установка его заново:
Вот и все!
КриптоАРМ можно приобрести у нас в интернет-магазине.
Если вы не хотите проводить эти процедуры самостоятельно, то у нас есть платная услуга “Удаленная установка”: вы можете приобрести ее как обычный товар.
Если инструкция показалась вам полезной — делитесь ей с другими людьми, кнопки для этого вы найдете прямо под статьей.
Коды ошибок статуса сертификата _cert_trust_status
Информация об ошибках сертификатов при попытке доступа пользователя на шлюз NGate с
использованием сертификата содержится в системных журналах. Структура кодов ошибок статуса
сертификата CERT_TRUST_STATUS содержит информацию о доверии сертификата в
цепочке сертификатов, сводную информацию доверия к простой цепочке сертификатов или сводную
информацию о массиве простых цепочек сертификатов.
В таблице Расшифровка кодов ошибок _CERT_TRUST_STATUS
указаны коды состояния ошибок в поле dwErrorStatus структуры
CERT_TRUST_STATUS, которые определены для процедуры проверки сертификатов и
цепочек сертификатов (англ. версия):
| Код ошибки | Значение |
|---|---|
CERT_TRUST_NO_ERROR | Ошибок не обнаружено для сертификата или сертификатов в цепочке сертификатов |
CERT_TRUST_IS_NOT_TIME_VALID | Сертификат или один из сертификатов в цепочке сертификатов недействителен |
CERT_TRUST_IS_REVOKED | Доверенность на этот сертификат или один из сертификатов в цепочке сертификатов отменена |
CERT_TRUST_IS_NOT_SIGNATURE_VALID | Сертификат или один из сертификатов в цепочке сертификатов не имеет действительной подписи |
CERT_TRUST_IS_NOT_VALID_FOR_USAGE | Сертификат или цепочка сертификатов недействительны для предполагаемого использования |
CERT_TRUST_IS_UNTRUSTED_ROOT | Сертификат или цепочка сертификатов основана на ненадежном корневом сертификате |
CERT_TRUST_REVOCATION_STATUS_UNKNOWN | Статус отзыва сертификата или одного из сертификатов в цепочке сертификатов неизвестен |
CERT_TRUST_IS_CYCLIC | Один из сертификатов в цепочке был выдан Центром сертификации, который сертифицированным исходным сертификатом (цикличность) |
CERT_TRUST_INVALID_EXTENSION | Один из сертификатов имеет недопустимое расширение |
CERT_TRUST_INVALID_POLICY_CONSTRAINTS | Сертификат или один из сертификатов в цепочке сертификатов имеет расширение ограничения политик, и один из изданных сертификатов имеет недопустимое расширение отображения политик или не имеет требуемого расширения политики, получаемой при издании сертификата |
CERT_TRUST_INVALID_BASIC_CONSTRAINTS | Сертификат или один из сертификатов в цепочке сертификатов имеет базовое ограничение расширений, и либо сертификат не может использоваться для выдачи дополнительных сертификатов, либо длина пути цепочки сертификатов превышена |
| CERT_TRUST_INVALID_NAME_CONSTRAINTS | Сертификат или один из сертификатов в цепочке сертификатов имеет недопустимое расширение ограничения имени |
CERT_TRUST_HAS_NOT_SUPPORTED_NAME_CONSTRAINT | |
| CERT_TRUST_HAS_NOT_DEFINED_NAME_CONSTRAINT | Сертификат или один из сертификатов в цепочке сертификатов имеет расширение ограничений имён, но ограничение имени отсутствует для одного из вариантов имени в сертификате, который последний в цепочке |
CERT_TRUST_HAS_NOT_PERMITTED_NAME_CONSTRAINT | Сертификат или один из сертификатов в цепочке сертификатов имеет расширение ограничений имён, но отсутствует допустимое ограничение имени для одного из вариантов имени в сертификате, который последний в цепочке |
CERT_TRUST_HAS_EXCLUDED_NAME_CONSTRAINT | Сертификат или один из сертификатов в цепочке сертификатов имеет расширение ограничений имен, и один из вариантов имени в последнем в цепочке сертификате однозначно исключено |
CERT_TRUST_IS_OFFLINE_REVOCATION | Статус отзыва сертификата или одного из сертификатов в цепочке сертификатов оффлайн или устаревший |
CERT_TRUST_NO_ISSUANCE_CHAIN_POLICY | Конечный сертификат не имеет результирующих политик выдачи, а один из сертификатов УЦ имеет расширение ограничений политики, которое требует результирующие политики выдачи |
CERT_TRUST_IS_EXPLICIT_DISTRUST | Сертификат однозначно не доверен |
CERT_TRUST_HAS_NOT_SUPPORTED_CRITICAL_EXT | Сертификат не поддерживает критическое расширение |
CERT_TRUST_HAS_WEAK_SIGNATURE | Сертификат не был подписан, подписью с сильной криптографической характеристикой. Обычно это указывает на то, что алгоритмы хеширования MD2 или MD5 использовались для создания хэша сертификата |
Методология тестирования средств электронной подписи и шифрования документов
Чтобы оценить работу представленных на российском рынке программных средств, реализующих технологии электронной подписи и шифрования документов, на основе тестов NIST было выполнено сравнительное тестирование корректности их работы. Для сравнения были отобраны следующие программные продукты:
Присоединяйтесь к нам
В разделе «Поддержка» вы можете найти ответы на часто задаваемые вопросы, загрузить дистрибутивы для установки и ознакомиться с регламентом технической поддержки.
Причина
Отсутствует или устарел список отозванных сертификатов.
Результаты тестирования средств электронной подписи и шифрования документов
Таблица 1. Результаты выполнения тестов NIST
| Номер теста | Название теста | Название сертификата конечного объекта (Кому выдан) | Статус цепочки | Описание проблемы | Litoria Desktop | КриптоАРМ | Admin-PKI | КАРМА | КриптоНУЦ | Комментарии/описание входных данных (для тестов с политиками) |
| 4.3.1 | Invalid Name Chaining EE Test1 | Invalid Name Chaining EE Certificate Test1 | Некорректна | Не строится цепочка | – | КАРМА выдает сообщение: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.3.2 | Invalid Name Chaining Order Test2 | Invalid Name Chaining Order EE Certificate Test2 | Некорректна | Не строится цепочка | – | КАРМА выдает сообщение: «Цепочка содержит сертификат, статус отозванности которого неизвестен» | ||||
| 4.3.3 | Valid Name Chaining Whitespace Test3 | Valid Name Chaining Whitespace EE Certificate Test3 | Корректна | – | – | КриптоАРМ выдает сообщение: «Статус неизвестен, точка распространения CRL не найдена» | ||||
| 4.3.4 | Valid Name Chaining Whitespace Test4 | Valid Name Chaining Whitespace EE Certificate Test4 | Корректна | – | – | |||||
| 4.3.5 | Valid Name Chaining Capitalization Test5 | Valid Name Chaining Capitalization EE Certificate Test5 | Корректна | – | – | |||||
| 4.3.6 | Valid Name Chaining UIDs Test6 | Valid UIDs EE Certificate Test6 | Корректна | |||||||
| 4.3.7 | Valid RFC3280 Mandatory Attribute Types Test7 | Valid RFC3280 Mandatory Attribute Types EE Certificate Test7 | Корректна | |||||||
| 4.3.8 | Valid RFC3280 Optional Attribute Types Test8 | Valid RFC3280 Optional Attribute Types EE Certificate Test8 | Корректна | |||||||
| 4.3.9 | Valid UTF8String Encoded Names Test9 | Valid UTF8String Encoded Names EE Certificate Test9 | Корректна | |||||||
| 4.3.10 | Valid Rollover from PrintableString to UTF8String Test10 | Valid Rollover PrintableString to UTF8String EE Cert Test10 | Корректна | – | ||||||
| 4.3.11 | Valid UTF8String Case Insensitive Match Test11 | Valid UTF8String Case Insensitive Match EE Certificate Test11 | Корректна | – | – | – | ||||
| 4.5.1 | Valid Basic Self-Issued Old With New Test1 | Valid Basic Self-Issued Old With New EE Certificate Test1 | Корректна | – | ||||||
| 4.5.2 | Invalid Basic Self-Issued Old With New Test2 | Invalid Basic Self-Issued Old With New EE Certificate Test2 | Некорректна | Пользовательский сертификат отозван | # | Admin-PKI выдает сообщение: «Подпись в сертификате недействительна» | ||||
| 4.5.3 | Valid Basic Self-Issued New With Old Test3 | Valid Basic Self-Issued New With Old EE Certificate Test3 | Корректна | – | – | |||||
| 4.5.4 | Valid Basic Self-Issued New With Old Test4 | Valid Basic Self-Issued New With Old EE Certificate Test4 | Корректна | – | – | – | – | |||
| 4.5.5 | Invalid Basic Self-Issued New With Old Test5 | Invalid Basic Self-Issued New With Old EE Certificate Test5 | Некорректна | Пользовательский сертификат отозван | # | # | # | # | КриптоАРМ выдает сообщение: «Статус неизвестен». Admin-PKI выдает сообщение: «Статус отзыва сертификата не может быть определен». КАРМА выдает сообщение: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |
| 4.5.6 | Valid Basic Self-Issued CRL Signing Key Test6 | Valid Basic Self-Issued CRL Signing Key EE Certificate Test6 | Корректна | – | – | – | – | |||
| 4.5.7 | Invalid Basic Self-Issued CRL Signing Key Test7 | Invalid Basic Self-Issued CRL Signing Key EE Certificate Test7 | Некорректна | Пользовательский сертификат отозван | # | # | # | # | КриптоАРМ выдает сообщение: «Статус неизвестен». Admin-PKI выдает сообщение: «Статус отзыва сертификата не может быть определен» КАРМА выдает сообщение: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |
| 4.5.8 | Invalid Basic Self-Issued CRL Signing Key Test8 | Invalid Basic Self-Issued CRL Signing Key EE Certificate Test8 | Некорректна | Промежуточный сертификат не содержит расширение BasicConstraints | КриптоАРМ не формирует сообщение об ошибке на промежуточном сертификате. Admin-PKI выдает сообщение: «Подпись в сертификате недействительна».КриптоНУЦ выдает сообщение: «Недействительный объект в цепочке проверки сертификата» | |||||
| 4.9.1 | Valid RequireExplicitPolicy Test1 | Valid requireExplicitPolicy EE Certificate Test1 | Корректна | initial-explicit-policy = false | ||||||
| 4.9.2 | Valid RequireExplicitPolicy Test2 | Valid requireExplicitPolicy EE Certificate Test2 | Корректна | initial-explicit-policy = false | ||||||
| 4.9.3 | Invalid RequireExplicitPolicy Test3 | Invalid requireExplicitPolicy EE Certificate Test3 | Некорректна | Несоответствие политик | – | – | – | Входные данные: initial-explicit-policy = false Admin-PKI выдает сообщение: «Ошибка проверки сертификата» | ||
| 4.9.4 | Valid Require ExplicitPolicy Test4 | Valid requireExplicitPolicy EE Certificate Test4 | Корректна | x | x | x | x | initial-explicit-policy = false; user-initial-policy-set включает NIST-test-policy-1 | ||
| 4.9.5 | Invalid RequireExplicitPolicy Test5 | Invalid requireExplicitPolicy EE Certificate Test5 | Некорректна | Несоответствие политик | Входные данные: initial-explicit-policy = false Admin-PKI выдает сообщение: «Ошибка проверки сертификата».КриптоНУЦ выдает сообщение: «Недействительный объект в цепочке проверки сертификата» | |||||
| 4.9.6 | Valid Self-Issued requireExplicitPolicy Test6 | Valid Self-Issued requireExplicitPolicy EE Certificate Test6 | Корректна | – | initial-explicit-policy = false | |||||
| 4.9.7 | Invalid Self-Issued requireExplicitPolicy Test7 | Invalid Self-Issued requireExplicitPolicy EE Certificate Test7 | Некорректна | Несоответствие политик | – | # | – | – | Входные данные: initial-explicit-policy = falseAdmin-PKI выдает сообщение: «Подпись в сертификате недействительна» | |
| 4.9.8 | Invalid Self-Issued requireExplicitPolicy Test8 | Invalid Self-Issued requireExplicitPolicy EE Certificate Test8 | Некорректна | Несоответствие политик | – | # | – | – | Входные данные: initial-explicit-policy = falseAdmin-PKI выдает сообщение: «Подпись в сертификате недействительна» | |
| 4.14.1 | Valid distributionPoint Test1 | Valid distributionPoint EE Certificate Test1 | Корректна | |||||||
| 4.14.. | Invalid distributionPoint Test2 | Invalid distributionPoint EE Certificate Test2 | Некорректна | Пользовательский сертификат отозван | ||||||
| 4.14.3 | Invalid distributionPoint Test3 | Invalid distributionPoint EE Certificate Test3 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата. Невозможно проверить функцию отзыва, т. к. сервер отзыва сертификатов недоступен». | ||||
| 4.14.4 | Valid distributionPoint Test4 | Valid distributionPoint EE Certificate Test4 | Корректна | – | – | |||||
| 4.14.5 | Valid distributionPoint Test5 | Valid distributionPoint EE Certificate Test5 | Корректна | – | – | |||||
| 4.14.6 | Invalid distributionPoint Test6 | Invalid distributionPoint EE Certificate Test6 | Некорректна | Пользовательский сертификат отозван | # | # | КАРМА выдает сообщение: «Цепочка содержит сертификат, статус отозванности которого неизвестен». КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |||
| 4.14.7 | Valid distributionPoint Test7 | Valid distributionPoint EE Certificate Test7 | Корректна | – | – | |||||
| 4.14.8 | Invalid distributionPoint Test8 | Invalid distributionPoint EE Certificate Test8 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.9 | Invalid distributionPoint Test9 | Invalid distributionPoint EE Certificate Test9 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.10 | Valid No issuingDistribution Point Test10 | Valid No issuing DistributionPoint EE Certificate Test10 | Корректна | |||||||
| 4.14.11 | Invalid onlyContains UserCerts CRL Test11 | Invalid onlyContains UserCerts EE Certificate Test11 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.12 | Invalid onlyContains CACerts CRL Test12 | Invalid onlyContains CACerts EE Certificate Test12 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.13 | Valid onlyContainsCACerts CRL Test13 | Valid onlyContains CACerts EE Certificate Test13 | Корректна | |||||||
| 4.14.14 | Invalid onlyContains AttributeCerts Test14 | Invalid onlyContains AttirubteCerts EE Certificate Test14 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.15 | Invalid onlySomeReasons Test15 | Invalid onlySome Reasons EE Certificate Test15 | Некорректна | Пользовательский сертификат отозван | – | # | # | КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||
| 4.14.16 | Invalid onlySomeReasons Test16 | Invalid onlySome Reasons EE Certificate Test16 | Некорректна | Пользовательский сертификат помещен на удержание | # | # | # | # | КриптоАРМ выдает сообщение: «Сертификат недействителен, Сертификат отозван». Admin-PKI выдает сообщение: «Сертификат был отозван». КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |
| 4.14.17 | Invalid onlySomeReasons Test17 | Invalid onlySome Reasons EE Certificate Test17 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.18 | Valid onlySomeReasons Test18 | Valid onlySome Reasons EE Certificate Test18 | Корректна | – | – | |||||
| 4.14.19 | Valid onlySomeReasons Test19 | Valid onlySome Reasons EE Certificate Test19 | Корректна | – | – | |||||
| 4.14.20 | Invalid onlySomeReasons Test20 | Invalid onlySome Reasons EE Certificate Test20 | Некорректна | Пользовательский сертификат отозван | # | # | КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |||
| 4.14.21 | Invalid onlySomeReasons Test21 | Invalid onlySome Reasons EE Certificate Test21 | Некорректна | Пользовательский сертификат отозван по причине изменения принадлежности | – | # | # | КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен» | ||
| 4.14.22 | Valid IDP with indirectCRL Test22 | Valid IDP with indirectCRL EE Certificate Test22 | Корректна | – | – | |||||
| 4.14.23 | Invalid IDP with indirectCRL Test23 | Invalid IDP with indirectCRL EE Certificate Test23 | Некорректна | Пользовательский сертификат отозван | # | # | КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |||
| 4.14.24 | Valid IDP with indirectCRL Test24 | Valid IDP with indirectCRL EE Certificate Test24 | Корректна | – | – | – | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена» | |||
| 4.14.25 | Valid IDP with indirectCRL Test25 | Valid IDP with indirectCRL EE Certificate Test25 | Корректна | – | – | – | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена» | |||
| 4.14.26 | Invalid IDP with indirectCRL Test26 | Invalid IDP with indirectCRL EE Certificate Test26 | Некорректна | Статус пользовательского сертификата не определен | # | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.27 | Invalid cRLIssuer Test27 | Invalid cRLIssuer EE Certificate Test27 | Некорректна | Статус пользовательского сертификата не определен | # | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | ||||
| 4.14.28 | Valid cRLIssuer Test28 | Valid cRLIssuer EE Certificate Test28 | Корректна | – | – | |||||
| 4.14.29 | Valid cRLIssuer Test29 | Valid cRLIssuer EE Certificate Test29 | Корректна | – | – | |||||
| 4.14.30 | Valid cRLIssuer Test30 | Valid cRLIssuer EE Certificate Test30 | Корректна | – | – | – | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена» | |||
| 4.14.31 | Invalid cRLIssuer Test31 | Invalid cRLIssuer EE Certificate Test31 | Некорректна | Пользовательский сертификат отозван | # | # | # | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена» КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата. Невозможно проверить функцию отзыва, т. к. сервер отзыва сертификатов недоступен» | ||
| 4.14.32 | Invalid cRLIssuer Test32 | Invalid cRLIssuer EE Certificate Test32 | Некорректна | Пользовательский сертификат отозван | # | – | # | # | ||
| 4.14.33 | Valid cRLIssuer Test33 | Valid cRLIssuer EE Certificate Test33 | Корректна | – | – | – | КриптоАРМ выдает сообщение: «Статус неизвестен, Точка распространения CRL не найдена» | |||
| 4.14.34 | Invalid cRLIssuer Test34 | Invalid cRLIssuer EE Certificate Test34 | Некорректна | Пользовательский сертификат отозван | # | # | КАРМА выдает ошибку: «Цепочка содержит сертификат, статус отозванности которого неизвестен».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата. Невозможно проверить функцию отзыва, т. к. сервер отзыва сертификатов недоступен» | |||
| 4.14.35 | Invalid cRLIssuer Test35 | Invalid cRLIssuer EE Certificate Test35 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата. Невозможно проверить функцию отзыва, т. к. сервер отзыва сертификатов недоступен» | ||||
| 4.15.1 | Invalid deltaCRLIndicator No Base Test1 | Invalid deltaCRLIndicator No Base EE Certificate Test1 | Некорректна | Статус пользовательского сертификата не определен | – | # | Admin-PK выдает сообщение: «Ошибка при построении цепочки сертификатов (не найден сертификат УЦ)».КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата» | |||
| 4.15.2 | Valid delta-CRL Test2 | Valid deltaCRL EE Certificate Test2 | Корректна | |||||||
| 4.15.3 | Invalid delta-CRL Test3 | Invalid deltaCRL EE Certificate Test3 | Некорректна | Пользовательский сертификат отозван | – | |||||
| 4.15.4 | Invalid delta-CRL Test4 | Invalid deltaCRL EE Certificate Test4 | Некорректна | Пользовательский сертификат отозван | ||||||
| 4.15.5 | Valid delta-CRL Test5 | Valid deltaCRL EE Certificate Test5 | Корректна | – | ||||||
| 4.15.6 | Invalid delta-CRL Test6 | Invalid deltaCRL EE Certificate Test6 | Некорректна | Пользовательский сертификат отозван | ||||||
| 4.15.7 | Valid delta-CRL Test7 | Valid deltaCRL EE Certificate Test7 | Корректна | – | ||||||
| 4.15.8 | Valid delta-CRL Test8 | Valid deltaCRL EE Certificate Test8 | Корректна | |||||||
| 4.15.9 | Invalid delta-CRL Test9 | Invalid deltaCRL EE Certificate Test9 | Некорректна | Пользовательский сертификат отозван | ||||||
| 4.15.10 | Invalid delta-CRL Test10 | Invalid deltaCRL EE Certificate Test10 | Некорректна | Статус пользовательского сертификата не определен | – | КриптоНУЦ выдает сообщение: «Функция отзыва не смогла произвести проверку отзыва для сертификата. Невозможно проверить функцию отзыва, т. к. сервер отзыва сертификатов недоступен» |
Итоговые результаты выполненных проверок приведены в таблице 2.
Таблица 2. Итоговые результаты прохождения тестов NIST
Часто задаваемые вопросы –
Возникновение этой ошибки свидетельствует о некорректном вводе лицензии, причин может быть несколько:
Во-первых, лицензии между версиями программы не совместимы, поэтому стоит убедиться, что версия установленного дистрибутива совпадает с версией лицензии, которую Вы приобрели. Определить версию можно просто взглянув на лицензионный ключ продукта. Для КриптоАРМ – версии соответствует третий символ лицензии.
Во-вторых, на серверную ОС можно установить только серверную лицензию на ПО, вне зависимости от целей использования.
В-третьих, данная ошибка может возникать из-за отсутствия у пользователя прав локального администратора. Чтобы лицензионный ключ заработал, нужно запустить программу от имени администратора и только тогда устанавливать лицензию.
Шаг 1: переводим криптоарм в режим эксперт
В КриптоАРМ почему-то в режиме Эксперт работать значительно проще, чем в режиме пользователя. Поэтому для начала перейдем в этот режим
Шаг 2: подключаем сертификат электронной подписи
Здесь я руководствуюсь тем, что вы уже озаботились безопасностью вашего сертификата, приобрели токен, и положили туда свой сертификат. Ну или по крайней мере положили на дискету или флешку (и храните их в сейфе). Если все же нет — смотрите шаг 2-1.
Подключаем отчуждаемый носитель
Выбираем криптопровайдер, как показано на скриншоте, а выбирая тип носителя, следует выбрать токен или дискету (флешка считается дискетой, не удивляйтесь).
Теперь выбираем контейнер. Контейнер, если упростить, это просто место где хранится сертификат на токене или флешке. В одном контейнере обычно лежит один сертификат, поэтому выбор контейнера сводится к выбору сертификата. Если у вас на носителе (флешке, токене, дискете) лежит несколько сертификатов — выберите именно тот, который вам нужен.
Если ваш контейнер хранится на токене (или в иных случаях), то нужно будет ввести пин-код. Для Рутокен стандартный пин-код 12345678, для eToken — 1234567890. Если вы все еще пользуетесь стандартным пин-кодом — стоит его сменить, ведь весь смысл использования токена заключается в защите сертификата пин-кодом.
Все, мы объяснили программе КриптоАРМ, где находится наш сертификат, но она ему не очень доверяет.
Шаг 2-1: подключаем сертификат, если он не на съемном носителе
Если ваш сертификат лежит где-то на вашем локальном диске, то хочу вас предупредить — это очень небезопасно. Согласно данным Лаборатории Касперского, Россия находится в первой пятерке стран с наивысшей вероятностью заражения вирусами, при этом каждый двадцатый компьютер, имеющий антивирусную защиту, все же заражен тем или иным вирусом.
Настоятельно рекомендую вам купить токен для хранения сертификата. Чем руководствоваться в выборе токена, мы описали в статье “Как выбрать токен”.
Я попытался найти простой способ добавить сертификат в КриптоАРМ, если он лежит на локальном диске, но не нашел. Поэтому единственный быстрый способ добавить сертификат с локального диска в КриптоАРМ — это положить его на флешку (прямо в корень, без папок) и вернуться к Шагу 2.
Шаг 3: добавляем сертификат уц в список доверенных центров сертификации
Итак, сертификат мы добавили, но КриптоАРМ ему не доверяет, потому что сертификата Удостоверяющего Центра нет в списке доверенных. Сейчас нам будет нужно его добавить в такой список.
Для этого возвращаемся в основное окно КриптоАРМ, заходим Сертификаты — Личное хранилище сертификатов — Правой кнопкой мыши на ваш сертификат — Свойства
Переходим на вкладку “Статус Сертификата”, выбираем сертификат удостоверяющего центра (из него “вытекает” ваш сертификат), и нажимаем Просмотреть, а затем нажимаем кнопку Установить сертификат.
Выбираем пункт «Поместить все сертификаты в следующее хранилище”, нажимаем Обзор, а затем выбираем “Доверенные корневые центры сертификации”, а затем подтверждаем установку сертификата.
Выводы
Таким образом, исследование на основе тестов, предложенных NIST, показало, насколько несовершенны отечественные средства электронной подписи и шифрования документов. Из этого следует, что наряду с проверками корректности интеграции с криптопровайдером, проводимыми для решений, обеспечивающих реализацию технологий электронной подписи и шифрования (что в свою очередь возложено на плечи российских регуляторов), огромное значение имеет и тестирование правильности реализации функций, для которых это решение создавалось.
Шаг 4: проверить сертификат по списку отзывов
Если все прошло успешно, и у вас есть подключение к Интернет, то проверить сертификат по списку отзывов очень просто. Для этого мы идем в Свойства сертификата, как это показано на Шаге 3, выбираем свой сертификат в списке, выбираем опцию меню «По CRL, полученному из УЦ”,а затем нажимаем Проверить.
Все, сертификат проверен. Чтобы убедиться, что все в порядке, зайдите в Личное Хранилище Сертификатов и обновите представление. Зеленая галочка на сертификате означает, что все в порядке