Safari будет отклонять HTTPS-сертификаты со сроком действия более 398 дней

Что делать, если перестало работать

1. Переподключаем usb-токен и проверяем что он виден с помощью команды в terminal:

   sudo /opt/cprocsp/bin/csptest -card -enum

2. Очищаем кеш браузера за все время, для чего в адресной строке Chromium-Gost набираем:

   
chrome://settings/clearBrowserData


3. Переустанавливаем сертификат КЭП с помощью команды в terminal:

   /opt/cprocsp/bin/csptestf -absorb -certs

4. Если команды Cryptopro не отрабатывают (csptest и csptestf превратились в corrupted) – нужно переустановить Cryptopro.

Что нужно для работы с кэп под macos:

1. КЭП на USB-токене Рутокен Lite или Рутокен ЭЦП
2. криптоконтейнер в формате КриптоПро
3. со встроенной лицензией на КриптоПро CSP
4. открытый сертификат должен храниться в контейнере закрытого ключа

Поддержка 
eToken и JaCarta в связке с КриптоПро под macOS под вопросом. Носитель Рутокен Lite – оптимальный выбор, стоит недорого, шустро работает и позволяет хранить до 15 ключей.

Криптопровайдеры VipNet, Signal-COM и ЛИССИ в macOS не поддерживаются. Преобразовать контейнеры никак не получится. КриптоПро – оптимальный выбор, стоимость сертификата в себестоимости от 500= руб. Можно выпустить сертификат с встроенной лицензией на КриптоПро CSP, это удобно и выгодно. 
Если лицензия не зашита, то необходимо купить и активировать полноценную лицензию на КриптоПро CSP.

Обычно открытый сертификат хранится в контейнере закрытого ключа, но это нужно уточнить при выпуске КЭП и попросить сделать как нужно. Если не получается, то импортировать открытый ключ в закрытый контейнер можно самостоятельно средствами КриптоПро CSP под Windows.

Как сделать так, чтобы safari автоматически использовал определенный сертификат клиента для всего сайта?

Что такое сертификат?

Сертификат — это вложение в электронный документ, которое обеспечивает безопасную передачу информации через интернет. Сертификаты используются веб-браузерами и приложениями для обмена электронной почтой и текстовыми сообщениями.

Во время связи с безопасным сайтом обмениваемая с сайтом информация является зашифрованной. Шифрование защищает информацию входа, номера кредитных карточек, адресов и другую конфиденциальную информацию.

В macOS сертификаты являются частью цифровой идентификации и хранятся в связке ключей. Приложение «Связка ключей» помогает управлять связками ключей и сертификатами.

Открыть приложение «Связка ключей»

Сертификаты выдаются доверенными организациями, например корпорациями VeriSign, Inc. или RSA Data Security, Inc. При открытии защищенного веб-сайта система macOS проверяет сертификат сайта по списку надежных сертификатов. Если сертификат веб-сайта не распознан или сайт не имеет сертификата, Вы получите сообщение.

Подлинность сертификата может проверяться электронно с помощью «инфраструктуры открытого ключа» или PKI. Сертификаты состоят из Вашего открытого ключа, идентификации организации, бюро сертификации (БС), которое подписало сертификат, и других данных, связанных с идентификацией.

Обычно сертификат имеет специальное предназначение — например, используется в цифровых подписях, при шифровании или на веб-серверах. Это называется ограничением использования ключа. Можно создать один универсальный сертификат для нескольких целей, но не рекомендуется создавать сертификат, пригодный для любых целей. Универсальный сертификат менее безопасен.

Сертификат действителен только на протяжении определенного срока, по истечении которого сертификат становится недействительным и должен быть заменен более новой версией. Также бюро сертификации может отозвать сертификат, сделав его недействительным до истечения указанного срока.

Если Вам необходимо отправить кому-либо сертификат, Вы можете экспортировать сертификат с помощью приложения «Связка ключей» и переслать его по электронной почте или любым другим способом. Аналогично, если кто-то прислал Вам сертификат, Вы можете добавить его в связку ключей, перетянув на значок «Связка ключей» или воспользовавшись меню «Импорт» данного приложения.

Выясняем название контейнера КЭП

На usb-токене и в других хранилищах может храниться несколько сертификатов, и нужно выбрать правильный. При вставленном usb-токене получаем список всех контейнеров в системе командой в terminal:

/opt/cprocsp/bin/csptest -keyset -enum_cont -fqcn -verifycontext

Команда должна вывести минимум 1 контейнер и вернуть

[ErrorCode: 0x00000000]

Нужный нам контейнер имеет вид

.Aktiv Rutoken liteXXXXXXXX

Если таких контейнеров выводится несколько – значит значит на токене записано несколько сертификатов, и вы в курсе какой именно вам нужен. Значение XXXXXXXX после слэша нужно скопировать и подставить в команду ниже.

Выясняем хэш сертификата КЭП

На токене и в других хранилищах может быть несколько сертификатов. Нужно однозначно идентифицировать тот, которым будем впредь подписывать документы. Делается один раз.Токен должен быть вставлен. Получаем список сертификатов в хранилищах командой из terminal:

/opt/cprocsp/bin/certmgr -list

Команда должна вывести минимум 1 сертификат вида:

Подпись файла командой из terminal

В terminal переходим в каталог с файлом для подписания и выполняем команду:

/opt/cprocsp/bin/cryptcp -signf -detach -cert -der -strict -thumbprint ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ FILE

где ХХХХ… – хэш сертификата, полученный на шаге 1, а FILE – имя файла для подписания (со всеми расширениями, но без пути).

Команда должна вернуть:

Signed message is created.
[ErrorCode: 0x00000000]

Будет создан файл электронной подписи с расширением *.sgn – это отсоединенная подпись в формате CMS с кодировкой DER.

Смена PIN командой из terminal

/opt/cprocsp/bin/csptest -passwd -qchange -container "XXXXXXXX"

где XXXXXXXX – название контейнера, полученное на шаге 1 (обязательно в кавычках).

Появится диалог КриптоПро с запросом старого PIN-кода для доступа к сертификату, затем еще один диалог для ввода нового PIN-кода. Готово.

1. Удаляем все старые ГОСТовские сертификаты

Если ранее были попытки запустить КЭП под macOS, то необходимо почистить все ранее установленные сертификаты. Данные команды в terminal удалят только сертификаты КриптоПро и не затронут обычные сертификаты из Keychain в macOS.

sudo /opt/cprocsp/bin/certmgr -delete -all -store mroot

sudo /opt/cprocsp/bin/certmgr -delete -all -store uroot

/opt/cprocsp/bin/certmgr -delete -all

В ответе каждой команды должно быть:

No certificate matching the criteria

или

Deleting complete

2. Устанавливаем корневые сертификаты

Корневые сертификаты являются общими для всех КЭП, выданных любым удостоверяющим центром. Скачиваем со страницы загрузок УФО Минкомсвязи:

Устанавливаем командами в terminal:

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/4BC6DC14D97010C41A26E058AD851F81C842415A.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/8CAE88BBFD404A7A53630864F9033606E1DC45E2.cer

sudo /opt/cprocsp/bin/certmgr -inst -store mroot -f ~/Downloads/0408435EB90E5C8796A160E69E4BFAC453435D1D.cer

Каждая команда должна возвращать:

Installing:
…
[ErrorCode: 0x00000000]

3. Скачиваем сертификаты удостоверяющего центра

Далее нужно установить сертификаты удостоверяющего центра, в котором вы выпускали КЭП. Обычно корневые сертификаты каждого УЦ находятся на его сайте в разделе загрузок.

4. Устанавливаем сертификат с Рутокен

Команда в terminal:

/opt/cprocsp/bin/csptestf -absorb -certs

Команда должна вернуть:

OK.
[ErrorCode: 0x00000000]

4. Активируем расширения

Запускаем браузер Chromium-Gost и в адресной строке набираем:

chrome://extensions/

Включаем оба установленных расширения:

5. Настраиваем расширение КриптоПро ЭЦП Browser plug-in

В адресной строке Chromium-Gost набираем:

/etc/opt/cprocsp/trusted_sites.html

На появившейся странице в список доверенных узлов по-очереди добавляем сайты:

1. Заходим на тестовую страницу КриптоПро

В адресной строке Chromium-Gost набираем:

3. Заходим на Госуслуги

При авторизации выбираем “Вход с помощью электронной подписи”. В появившемся списке “Выбор сертификата ключа проверки электронной подписи” будут отображены все сертификаты, включая корневые и УЦ, нужно выбрать ваш с usb-токена и ввести PIN.

Включение доверия для профилей сертификатов в ios и ipados, установленных вручную

Если вы видите предупреждение «незащищенный» при просмотре веб-страницы с помощью safari

Исправьте ошибки недопустимого сертификата путем восстановления связки ключей

Первый способ устранить ошибочную ошибку сертификата — обратиться к Keychain Access, а затем проверить и восстановить сертификаты, содержащиеся для активной учетной записи пользователя в Mac OS X. Вот как это сделать:

1. Выйти из Safari
2. Нажмите Command пробел, чтобы вызвать поиск Spotlight, затем введите «Связка ключей» и нажмите «Return», чтобы запустить приложение.
3. Перейдите в меню «Связка ключей» и выберите «Первая помощь Связки ключей» из списка меню.
4. Введите текущий пароль пользователя, затем установите флажок «Подтвердить» и нажмите кнопку «Пуск».
5. Затем выберите поле «Восстановить», а затем снова «Пуск».



6. Перезапустите Safari и снова посетите веб-сайты.

Теперь все должно быть в норме, и Safari больше не должен выдавать ошибку «не удается проверить личность» при посещении веб-сайтов.

Восстановление связки ключей — это распространенный метод устранения неполадок, когда различные данные для входа и особенности учетной записи не запоминаются должным образом в различных приложениях Mac или системных задачах, даже включая маршрутизаторы Wi-Fi и постоянные запросы входа в сеть Wi-Fi, и обычно это решает такие проблемы.

Как исправить ошибку «safari не удается проверить подлинность сайта»

Как установить сертификат разработчика safari?

Обновите safari до последней версии

Ты захочешь сделай это прежде всего, обновите Safari до последней версии, которая поддерживается версией OS X для Mac. Вы можете проверить это:

• Перейдите в меню  Apple и выберите «Обновление ПО».
• Установите все обновления, доступные для Safari

Это важно, потому что устаревшие версии Safari могут иметь ошибку, недостаток или непропатченную проблему безопасности, которые вызывают срабатывание проверки сертификата. Многие пользователи считают, что простое обновление Safari полностью решает проблему. При желании вы можете попробовать очистить файлы cookie и для затронутых доменов, но в этом нет необходимости.

По-прежнему возникают проблемы с последней сборкой Safari? Теперь перейдем к более подробному устранению технических неполадок…

Подпись файлов в macos

В macOS файлы можно подписывать в ПО КриптоАрм (стоимость лицензии 2500= руб.), или несложной командой через terminal – бесплатно.

Подтвердите правильность системного времени

Если проблема не исчезла, возможно, настройки времени отключены. Да время, как в часах на компьютере. Если это проблема, ее довольно легко решить:

1. Убедитесь, что у Mac есть активный доступ в Интернет, это необходимо для получения точной информации о дате и времени с серверов Apple.
2. Выйти из Safari
3. Откройте меню  Apple и перейдите в Системные настройки.
4. Выберите «Дата и время» и установите флажок «Установить дату и время автоматически» (если этот флажок уже установлен, снимите его, подождите 10 секунд, затем снова установите флажок)
5. Перезапустить Safari

У вас должно быть все в порядке, без ошибок проверки. Это работает в ситуациях, когда системное время в отчетах сильно отличается от того, что ожидается от удаленного сервера, например, если компьютер сообщает о себе из будущего (извините, МакФлай).

У вас есть другое решение для устранения ошибочных ошибок проверки в Safari? Дайте нам знать об этом в комментариях!

Смена pin-кода контейнера

Пользовательский PIN-код на Рутокен по-умолчанию 12345678, и оставлять его в таком виде никак нельзя. Требования к PIN-коду Рутокен: 16 символов max., может содержать латинские буквы и цифры.

Шаг 1: регистрируем website push id

Заходим в свой аккаунт разработчика, и

регистрируем новый Website Push ID:

Шаг 10: запрашиваем токен из js’a

У меня на сайте есть и Firebase (для уведомлений в Chrome) и APNS для уведомлений в safari. Чтобы и то и то работало корректно — делаю проверку (приложение на AngularJS):

Шаг 11: отправка уведомлеиня с бекенда:

Скрипт отправки уведомлений на Safari такой же как и на iOS, просто оставлю его здесь:

Шаг 12: тестирование

Пробуем запускать сайт, разрешаем уведомления, *смотрим или токен сохранился*, и пробуем отправлять.

Пробуйте отправлять с другого браузера, и Safari должен быть закрыт.

Если всё сделали правильно — увидите уведомление! Они красивые, красивее чем из Chrome’a, они выглядят как нативные, и приходят чаще, т.к. у меня и Firebase и Safari то вижу что иногда Safari уведомления есть, а вот из Chrome’a не всегда приходят.

Если вдруг после прочтения статьи остались вопросы или непонимания — пишите, буду по возможности отвечать в комментариях. Буду рад конструктивной критике и замечаниям. На супер продвинутого программиста не претендую, поэтому допускаю что где-то я могу быть не совсем прав. Но по этому алгоритму делал уведомления на 2 своих ресурса и везде они работают.

Шаг 2: запрашиваем сертификат в связке ключей на macos

Заходим в связку ключей, в меню выбираем «Ассистент сертификации» — «Запросить сертификат у бюро сертификации», Вводим свою почту, имя, и выбираем «Сохранен на диске» и выбираем куда сохранить файл.

Шаг 3: генерируем сертификат

Идём снова в аккаунт разработчика,

Шаг 4: экспорт ключа и сертификата

Когда я делал это впервые я потратил около часа времени, пока понял что от меня нужно, а магия простая: надо экспортировать не только сертификат, а и ключ! Для этого его необходимо «раскрыть» и по очереди экспортировать как ключ так и сертификат, правой кнопкой на сертификат и выбираем «Экспортировать» и то же самое для ключа.

Советую сразу назвать сертификат apns-pro-cert и ключ apns-pro-key, это для того чтобы в следующем шаге просто копировать команды и не переписывать имена файлов на свои. Так же при экспорте укажите пароли, и запомните, при конвертации нужно будет их вводить.

Шаг 5: конвертация сертификата в p12

Нашел очень

по которой делал конвертацию сертификата в

pem

формат из

p12

(который нужен как для отправки уведомлений, так и для генерации файлов (будет далее)). Нам необходима «Production Phase». Продублирую код тут, а то я попадал на много статей где были указаны ссылки а они оказывались битые.

Шаг 6: закидываем сертификаты на сайт

Лучше положить их выше папки докрута чтобы к ним не было доступа из веба, нам из всего полученного нужны будут только 2 файла это: apns-pro.pem — для отправки уведомлений, и apns-pro-cert.p12 для генерации пакета для уведомлений (будет далее).

Шаг 7: подготавливаем ресурсы

Чтобы браузер разрешил вам получать запросы от вашего сайта необходимо создать правильный пакет файлов, который будет включать в себя иконки, manifest.json, signature, website.json, при первом запросе на уведомления браузер загружает это всё к себе и хранит локально. Для этого делаем такую структуру, кладём это всё в корень нашего сайта.

Уточнение: В файле website.json «urlFormatString»: «awery.workreports.pro/#/app/%@», это ссылка по которой будет переходить пользователь кликая на уведомление, %@ это url-argument который можно будет передавать чтобы пользователь по разным типам уведомлений переходил по разным путям.

Шаг 8: генерация архива

Чтобы получить правильные файлы manifest.json и signature необходимо воспользоваться файлом генерации от Apple. Я его немного подправил, удалил лишнего чуть, этот работает как надо.

Некоторое время назад у них что-то произошло с сертификатом, и для подписи нужно взять их сертификат и подписывать с помощью него: AppleWWDRCA.cer
В коде подписал «Update 2021» чтобы было понятно где менять

Шаг 9: делаем папку v1 (или настраиваем роутинг)

Я делал папку v1, в которую положил нужные файлы, архив, который мы сгенерировали в предыдущем шаге, и файлик index.php для обработки запросов. Необходимо чтобы сайт отвечал на такие запросы:

/v1/pushPackages/{website} должен отдавать архив в ответ/v1/devices/{device}/registrations/{website} для регистрации и удаления (GET/POST — DELETE)/v1/log для логирования ошибок

На самом деле нужно сделать рабочим только роут который отдаёт архив в ответ, остальные могут просто отдавать 200 статус, без особой обработки, но можно (и желательно) сделать всё как надо. По роуту /v1/devices/{device}/registrations/{website} в device будет передаваться токен а в website ваш зарегистрированный ID (в моем случае это com.pro.workreports.awery)

По роуту /v1/log вам будут приходить ошибки, если вдруг что-то не так. Мне это в первые разы очень помогало, понимал что я не доделал и чинил это.

Экспорт сертификата code signing в safari

Экспорт Code Signing сертификата в Safari производится в виде P12 файла.

1. Откройте Keychain Access.
2. В окне Finder в разделе Favorites щелкните по Applications, после чего по Utilities. Затем сделайте двойной клик по Keychain Access.
3. В окне Keychain Access в разделе Keychains щелкните по login, после чего в разделе Category выберите Certificates. Далее выберите ваш Code Signing сертификат и промежуточный сертификат (к примеру, Comodo RSA Code Signing CA).
4. В панели инструментов Keychain Access выберите File > Export Items.
5. В окне Export сделайте следующее. В выпадающем меню File Format выберите Personal information Exchange (.p12). Файлы .p12 используют тот же самый формат, что и .pfx или PKCS12. В поле Save As щелкните по стрелочке и укажите место, где будет храниться экспортированный файл .p12 сертификата.
6. Присвойте имя сертификату и щелкните по Save.
7. В окне Password в полях Password и Verify укажите пароль и повторите его еще раз. Нажмите Ok.
8. В окне Export Key в поле Password введите пароль от вашего keychain, после чего keychain сможет экспортировать приватный ключ вместе с code signing сертификатом. Нажмите Allow.
9. Готово! Ваш Code Signing сертификат должен появиться в том месте, которое вы указали при экспорте. Он будет иметь формат .p12.