Сертификат ключей ЭЦП в криптопровайдере¶
Сертификат ключей электронной подписи (ЭЦП) — это именованный сертификат, выпускаемый удостоверяющим центром (УЦ) и содержащий открытый ключ подписи вместе с данными владельца. Для работы с ЭЦП в системах Windows сертификат устанавливается в сертификатное хранилище операционной системы и регистрируется в криптопровайдере — программном модуле, обеспечивающем криптографические операции. Наиболее распространённый в России криптопровайдер — «КриптоПро CSP» от компании «КриптоПро», который используется для подписания документов в ЕИС, ГИС, 1С, порталах госуслуг и корпоративных системах.
¶Структура сертификата ЭЦП
Сертификат ЭЦП выпускается в формате X.509 и содержит:
- открытый ключ подписи;
- сведения о владельце (ФИО, ИНН, организация);
- сведения об удостоверяющем центре;
- срок действия;
- расширенные сведения (EKU) — например, «Подписание документов» (1.3.6.1.5.5.7.3.36) и «Аутентификация клиента» (1.3.6.1.5.5.7.3.2);
- отпечаток (SHA-1/SHA-256) — уникальный идентификатор сертификата.
Закрытый ключ хранится на ключевом носителе (Рутокен, eToken, JaCarta, JaCarta LT, «РуТокен ЭЦП 2.0») либо в защищённом файле (в случае неквалифицированной подписи).
¶Где хранятся сертификаты в Windows
Windows использует несколько сертификатных хранилищ:
| Хранилище | Назначение |
|---|---|
| «Личное» (Personal) | Сертификаты владельца ЭЦП |
| «Доверенные корневые центры сертификации» | Корневые сертификаты УЦ |
| «Промежуточные центры сертификации» | Промежуточные (выпускные) сертификаты УЦ |
Для полноценной работы ЭЦП в системе должны присутствовать все три элемента: корневой сертификат удостоверяющего центра, промежуточный сертификат (если централизация двухуровневая) и сертификат самого владельца в хранилище «Личное».
¶Установка сертификата через КриптоПро CSP
Утилита «КриптоПро CSP» предоставляет мастер установки сертификата, который корректно прописывает связи между сертификатом и закрытым ключом на носителе.
Порядок действий:
- Подключить ключевой носитель (например, eToken или Рутокен) к компьютеру.
- Запустить «КриптоПро CSP» (Пуск → Все программы → КриптоПро → КриптоПро CSP).
- Перейти на вкладку «Сервис» и нажать кнопку «Просмотреть сертификаты в контейнере».
- Выбрать нужный контейнер (если их несколько — определить нужный по ФИО владельца) и нажать «Далее».
- Нажать «Установить сертификат».
- В мастере установки выбрать хранилище «Личное» (или оставить автоматический выбор — мастер сам определит «Личное»).
- При необходимости выбрать «Автоматически выбрать хранилище на основе типа сертификата» — мастер разместит корневой и промежуточный сертификаты в соответствующих хранилищах.
- Завершить мастер.
После установки сертификат должен появиться в mmc-консоли (certmgr.msc) в разделе «Личное → Сертификаты». Если рядом с сертификатом отображается жёлтый значок с восклицательным знаком, это указывает на отсутствие цепочки доверия — необходимо установить корневой и промежуточный сертификаты УЦ.
¶Установка корневого и промежуточного сертификатов
Корневой сертификат УЦ скачивается с официального сайта удостоверяющего центра (например, УЦ «Калуга Астрал», «Национальный удостоверяющий центр», «Удостоверяющий центр Сбербанка» и др.) в формате .crt. Установка выполняется двойным щелчком по файлу → «Установить сертификат» → мастер → «Поместить все сертификаты в следующее хранилище» → «Доверенные корневые центры сертификации».
Промежуточный сертификат устанавливается аналогично, но в хранилище «Промежуточные центры сертификации».
¶Проверка работы сертификата
После установки работоспособность ЭЦП проверяется следующим образом:
- в «КриптоПро CSP» на вкладке «Общие» нажать «Проверить» — утилита протестирует криптопровайдер;
- в mmc (certmgr.msc) открыть сертификат, перейти на вкладку «Путь сертификации» — цепочка должна отображаться без ошибок;
- подписать тестовый документ в целевой системе (например, в личном кабинете ЕИС, 1С или на портале Госуслуг).
¶Типичные проблемы
- Сертификат не отображается в списке при подписании. Причина — сертификат установлен не в то хранилище или не привязан к контейнеру закрытого ключа. Решение — переустановить через мастер «КриптоПро CSP».
- Ошибка «Не удалось выполнить подпись». Часто связана с отсутствием корневого сертификата УЦ или с несовместимостью версии КриптоПро CSP (рекомендуется версия 5.0 и выше).
- Сертификат просрочен. Необходимо выпустить новый в УЦ и повторить установку.
- КриптоПро CSP не видит носитель. Требуется установка драйверов токена (для eToken — SafeNet Authentication Client, для Рутокен — Рутокен Провайдер, для JaCarta — JaCarta PKI/CP).
¶Правовое регулирование
Процесс выпуска и применения сертификатов ЭЦП в России регулируется Федеральным законом № 63-ФЗ «Об электронной подписи» от 6 апреля 2011 года. С 1 июля 2021 года действует обязательная маркировка квалифицированных сертификатов в реестре ФСБ, а с 2022 года УЦ обязаны подключаться к НЭП (Национальной системе электронной подписи) для проверки статуса сертификатов.
Источники:
- Федеральный закон № 63-ФЗ «Об электронной подписи» (ред. 2024)
- Документация КриптоПро CSP 5.0
- Руководства удостоверяющих центров «Калуга Астрал», НУЦ