В этой заметке я постараюсь обобщить опыт использования криптопровайдера КриптоПро для доступа к закрытой части официального сайта единой информационной системы в сфере закупок (zakupki.gov.ru) и сайта госуслуг (gosuslugi.ru). Сам криптопровайтер стал уже стандартом де-факто для госучреждений, в его формате выдает ЭЦП, например, удостоверяющий центр (УЦ) Федерального казначейства или УЦ Минздрава.
В первую очередь речь пойдет о сайте zakupki.gov.ru. Личный кабинет этого сайта доступен только через HTTPS с использованием ГОСТ-алгоритмов шифрования. Долгое время HTTPS через ГОСТ работал только в Internet Explorer, который целиком полагался на криптопровайдер. Развязка наступила не так давно, когда на сайте zakupki.gov.ru была прекращена поддержка старых версий IE, в том числе - IE8. Беда в том, что IE8 - последняя версия этого браузера, поддерживаемая в Windows XP, а государственные учреждения, как правило, очень консервативны в плане лицензирования. Таким образом, довольно большая часть пользователей в одночасье оказалась “за бортом”.
К счастью, компания КриптоПро выпускает специальную сборку браузера Firefox под названием КриптоПро Fox (CryptoFox), которая поддерживает ГОСТ-алгоритмы и работает, естественно, только в связке с соответствующим криптопровайдером. Было время, когда разработка сборки почти полностью прекратилась, однако сейчас новые версии выходят регулярно. Последняя сборка основана на Firefox 45, Скачать сборки можно , доступны версии под Windows, Linux и даже Apple OS X.
По ссылке доступна англоязычная версия браузера. Для ее локализации необходимо скачать пакет с переводом интерфейса. Обратите внимание, что версия пакета должна соответствовать версии самого браузера.
После установки пакета нужно открыть новую вкладку, набрать там about:config, а в открывшемся списке параметров ввести general.useragent.locale и изменить его значение с en-US на ru-RU. После перезапуска браузера интерфейс будет на русском языке.
Теперь можно ставить в хранилище “Доверенные корневые центры сертификации” корневой сертификат УЦ Федерального казначейства, в хранилище “Личные” - персональный сертификат пользователя, перезапускать браузер и заходить в личный кабинет zakupki.gov.ru по 44-ФЗ.
На моем рабочем месте не установлено действующих сертификатов уполномоченных лиц, поэтому доступ в личный кабинет запрещен. Однако шифрование соединения в любом случае проводится алгоритмом семейства ГОСТ.
В случае доступа к закрытой части сайта по 223-ФЗ авторизация будет проходить через ЕСИА (то есть через сайт gosuslugi.ru). Здесь ситуация упрощается, потому что у этого сайта плагин для Firefox существует уже давно и разрабатывается Ростелекомом. При первом заходе на сайт нам будет предложено скачать плагин. После установки плагин следует переключить в режим “Всегда включать” в настройках CryptoFox, иначе на сайте госуслуг не будет появляться окно с запросом сертификата.
К сожалению, подпись документов на сайте zakupki.gov.ru реализована через специфичесий компонет sing.cab, который использует технологию ActiveX. Естественно, в CryptoPro этот компонент не будет работать, так что будем ждать перехода на более распространенную технологию. К счастью, подписание документа - это лишь малая часть того, что должен делать оператор во время работы на zakupki.gov.ru, так что для повседневных операций CryptoFox вполне можно использовать.
Иногда бывает необходимо сохранить копию закрытого ключа на локальном компьютере. Это возможно сделать, если ключ при создании в УЦ помечен как выгружаемый. Копирование производится с помощью кнопки “Скопировать” (какая неожиданность) в интерфейсе апплета КриптоПро
В считывателе “Реестр” ключи хранятся в ветви
HKLM\SOFTWARE\Crypto Pro\Settings\Users\\Keys
для пользователя и в ветви
HKLM\SOFTWARE\Crypto Pro\Settings\Keys
для компьютера в целом.
В случае 64-битной ОС пути будут немного другими:
HKLM\SOFTWARE\Wow6432Node\Crypto Pro\Settings\Users\\Keys
и
HKLM\SOFTWARE\Wow6432Node\Crypto Pro\Settings\Keys
При работе КриптоПро на терминальном сервере у пользователя может не хватить прав на запись ключа в эти ветви, поскольку они находятся не в профиле пользователя. Эту ситуацию можно исправить назначением соответствующих прав на ветви через утилиту Regedit.
КриптоПро ищет контейнеры ключей на дисках, которые имеют атрибут “съемный”, то есть флеш-диск или, прости господи, дискета будут считаться контейнерами ключей, а сетевой диск или диск, проброшенный через RDP - нет. Это позволяет хранить ключи на образах дискет по принципу один ключ - одна дискета и тем самым повысить безопасность. Для создания виртуального дисковода можно применить утилиту ImDisk , у которой есть версия и под 64-битные ОС. Заявляется совместимость с Windows вплоть до 8.1, нормально работает и в Windows 10.
Существует еще утилита , в которой можно создавать дисковод, видимый только конкретным пользователем. К сожалению, она давно не развивается, и, кажется не будет работать на 64-битных ОС из-за неподписанного драйвера.
Применяя эти советы и не забывая о Положении ПКЗ-2005 , которое, впрочем, носит рекомендательный характер, можно несколько облегчить жизнь как операторам, работающим на сайтах закупок, так и себе.
Нередко пользователи сталкиваются с проблемой подтверждения личных данных при онлайн операциях — Cannot sign data. Error description: Объект не поддерживает свойство или метод «Sign». Например, такая ошибка происходит на веб-страницах официальных организаций или финансовых учреждений: zakupki.gov.ru, bus.gov.ru, ВТБ 24, ЕИС. Конкретно данная ошибка появляется при попытке установить ЭЦП или при подтверждении личных данных.
Сообщение ошибки указывает на проблемы с Sign.cab . Данный компонент применяется при формировании самой подписи и является очень важным составляющим. Самих же причин появления ошибки может быть множество. Источником могут служить: не установленный файл sign.cab, отсутствующие или устаревшие корневые сертификаты (КриптоПро, Контур) для проведения ЭЦП, несовместимость разрядности Windows с браузером, отсутствие пакета.NET Framework и другие.
Ошибка: Объект не поддерживает свойство или метод Sign
Для исправления подобного сбоя на Windows 7/8/10, следует по очереди проверить или выполнить все пункты, которые будут описаны ниже. Мы собрали все самые распространенные решения, которые приводятся на официальных форумах госзакупок, bus.gov.ru и других сообществ.
Для начала проверим работу сайта на другом браузере. Если вы совершаете операции через специализированное приложение, тогда проверьте настройки, где задайте другой браузер выхода в Сеть.
Многие советуют первым делом переустановить соответствующий ланит — sign.cab. Лучше загрузить его с того ресурса, на котором происходит сбой (обратитесь в суппорт), либо из другого популярного источника. Выберите разрядность (x32, x64), соответствующую вашей системе и браузеру (!), что очень важно для работы в Internet Explorer. Разрядность играет важную роль. Далее:
Чаще всего ошибка «Объект не поддерживает свойство или метод Sign» является следствием несоответствующей разрядности при установке ПО (ланита, браузера, сертификатов), поэтому внимательно отнеситесь к данному моменту. В любом случае, если вы не справитесь с ошибкой, стоит обратиться к суппорту ресурса, но как показывает практика, ответов там ждать можно очень долго.
Работа айтишника заключается в настройке разнообразного программного обеспечения, а кроме того, он легко может заменить сломанный вентилятор или сгоревшую видеокарту в вашем компьютере или ноутбуке. Согласитесь, это приятно, когда всё и всегда работает, и нет никаких простоев. В любой компании это важно. Но работа айтишника – это не только решение технических вопросов. Если во входящих письмах фигурирует хоть намек на электронную составляющую, то все письма стекаются к нам в отдел. Я не жалуюсь, мне нравится моя работа. И в ней, как в любой другой, .
Недавно у меня возникли затруднения при регистрации на официальном сайте bus.gov.ru и я решила написать пошаговую инструкцию – вдруг кому-то это пригодится. Проблема заключалась в установке электронной цифровой подписи (ЭЦП) на сайте bus.gov.ru, а именно в модуле «Независимая оценка качества услуг учреждений». На меня была возложена почетная миссия обязанность установки для начала работы на данном сайте. Установку проводила согласно инструкции, опубликованной на сайте. И все равно выходила ошибка, и я оказалась в ступоре.
Но обо всём по порядку. Так как сайт работает только в браузере Internet Explorer (что лишний раз подчеркивает его убогость), то вначале надо настроить свойства браузера. Открыв их, обязательно добавить в надежные узлы сам сайт. Далее надо выставить tsl/ssl согласно инструкции.
Кнопка «Регистрация на сайте» работает только для публикации вопросов на форуме. Чтобы зайти в закрытую часть сайта, в первую очередь требуется установка определенного количества сертификатов на локальной машине. Ссылка на один корневой сертификат присутствовала на сайте. Скачать и установить совсем не сложно. Также требуется установка компонента ЭЦП sign.cab, файл скачиваю с сайта и ставлю без проблем. Так как операционная система (ОС) 64-битная, то скачиваю компонент именно для такой ОС.
Далее нужно установить личный сертификат, который выдает местное отделение федерального казначейства. При работе с ЭЦП обязательно следует установить программу КриптоПро, так как без нее компьютер не «увидит» файл подписи. Далее добавить ЭЦП в «Личные» сертификаты. С помощью ЭЦП ответственного пользователя попадаю в личный кабинет. Начало положено.
Начинаю процесс введения данных. После заполнения одного раздела надо их сохранить. Следующим шагом следует подписать ЭЦП и опубликовать введенные данные. Жму заветную кнопку, но меня ждет «облом». Браузер выдает ошибку: «Обнаружены неполадки с файлом sign.cab».
Общение со службой поддержки напоминает танцы с бубнами, послушав более 20 минут музыки уже и не захочется . Как правило, операторы, выслушав вас, проговаривают последовательность действий, и решается любая загвоздка. Но для горе-мастеров создателей сайта bus.gov.ru это было бы слишком просто. Для того, чтобы связаться со службой сайта, необходимо скачать специальную форму, заполнить и отправить по e-mail. Если просто отправить скрин ошибки, то в ответ можно получить «Недостаточно сведений для анализа ошибки». Пристрелите меня 🙁
Обычно мои коллеги советуют: «Гугл тебе в помощь», но знаменитый поисковик мне не помог. Что делать? И тут появилась мысль и маленькая надежда. Если ОС 64-битная, а Internet Explorer на настраиваемой машине для 32-битных систем, то, возможно, компонент ЭЦП sign.cab следует скачать и установить такой же. И – вуаля, не поверите, мои надежды оправдались! Информацию подписали и опубликовали. Работать на сайте уже можно было без проблем. И самое главное — в инструкции об этом не написано.
Для наглядности я сделала скрины:
Создателям всяких сайтов и порталов хочется пожелать — в первую очередь думайте о пользователях, а не о своей выгоде! Мне будет очень приятно, если моя статья кому-нибудь поможет.
© Текст и фото – Айнагуль.
komdir
Инструкция описывает настройку рабочего места на сайте zakupki.gov.ru - Единой информационной системы в сфере закупок по 44-ФЗ.
Готово.
Чтобы добавить сайт https://zakupki.gov.ru/ в список доверенных узлов необходимо:
Открыть Internet Explorer (в Windows 10 не Edge) -> нажать клавишу Alt -> В меню «Сервис» выбрать «Свойства браузера», выбрать вкладку «Безопасность» -> Надежные сайты -> Сайты.
Добавить сайт https://zakupki.gov.ru
Во вкладке Надежные сайты, нажимаем на кнопку Другой
В открывшемся окне изменяем следующие значения:
Блокировать всплывающие окна - Отключить
Доступ к источникам данных за пределами домена - Включить
Также в этом же окне в блоке Сценарии:
Активные сценарии - Включить
Включить фильтр XSS - Отключить
Выполнять сценарии приложений Java - Включить
Во вкладке Дополнительно, убрать галочку использовать Использовать SSL 3.0:
Нужна помощь с настройкой zakupki.gov.ru?
Обратитесь к нам и наши специалисты настроят вам площадку всего за 1 час.
Скачать компонент для формирования подписи Ланит sign можно по этой ссылке .
Настройка рабочего места zakupki.gov.ru завершена.
Проверьте: Оформите заявку и работайте только по выгодным контрактам с минимальной конкуренцией!
Компонент формирования подписи не установлен или не работает (работает некорректно).
1) Убедитесь, что в верхней части окна или вкладки браузера не отображается уведомление об предотвращении запуска или установки надстроек (элементов ActiveX):
«Все надстройки обозревателя Internet Explorer отключены. Щелкните здесь для управления, отключения или удаления надстроек».
«Этот веб-узел пытается установить следующую надстройку … Если вы доверяете этому веб-узлу и этой надстройке и хотите установить ее, щелкните здесь…»
«Для этого узла нужна следующая надстройка… Если вы доверяете этому веб-узлу и этой надстройке и разрешаете ее выполнение, щелкните здесь…»
«Параметры безопасности не позволяют запускать элементы управления ActiveX на этой странице. Страница может отображаться неправильно. Щелкните здесь для выбора параметров.»
«Запуск элементов ActiveX на этой веб-странице запрещен текущими параметрами безопасности».
«Эта программа заблокирована, так как не удаётся проверить её издателя.»
«Internet Explorer заблокировал элементы управления ActiveX.»
Если такие уведомления присутствуют, соответствующее действие необходимо разрешить.
В случае, если используется браузер Internet Explorer 10 рекомендуется дополнительно разрешить запуск неподписанных элементов ActiveX.
Для этого необходимо:
2) Убедитесь, что запуск установленного компонента формирования подписи не блокируется в связи с недостаточным доверием к веб-узлу bus.gov.ru.
Для этого узел https://bus.gov.ru должен быть добавлен в зону «Надежные Узлы» (Свойствах обозревателя — Безопасность — Надежные узлы — Узлы) и для этой зоны установлены низкие ограничения безопасности (Свойствах обозревателя — Безопасность — Надежные Узлы — Уровень безопасности для этой зоны — Другой — Сброс особых параметров — На уровень — Низкий — Сбросить). В результате в категории «Элементы ActiveX и модули подключения» в настройке безопасности (Свойствах обозревателя — Безопасность — Надежные Узлы — Уровень безопасности для этой зоны — Другой) запуск модулей ActiveX должен быть разрешен (все пункты в этой категории должны быть установлены в положение «Включить» или «Предлагать»).
Дополнительно: Необходимо разрешить установку и запуск элементов управления ActiveX, имеющей недопустимую подпись: «Свойства обозревателя» — «Дополнительно» — «Безопасность» — «Разрешать установку или выполнение программы, имеющей недопустимую подпись».
3) В других случах, необходимо установить (переустановить) компонент формирования подписи sign.cab.
C:\Program Files\Lanit\
Путь установки по-умолчанию:
C:\Program Files\Ланит\Ланит.Компонент формирования подписи
Установка 64-х разрядной версии компонента подписи доступна только в 64-х разрядной ОС.
Корректная работа 64-х разрядной версии компонента подписи возможна только при использовании 64-х разрядной версии браузера Internet Explorer.
Установка 32-разрядной версии компонента подписи доступна в 32-х разрядной и 64-х разрядной версиях ОС. Корректная работа 32-х разрядной версии компонента подписи возможна только при использовании 32-х разрядной версии браузера Internet Explorer.
4) Если после этих действий ошибка при подписании продолжает возникать, убедитесь, что разрядность запускаемого браузера Internet Explorer совпадает с установленной версией компонента формирования подписи.
Проверить разрядность запускаемой по-умолчанию версии браузера IE можно в «Справка» — «О программе» (в 64-x разрядной версии после указания номера версии должно быть указано «64-bit edition», если этого указания нет — запускается 32-х разрядная версия).
Также, для корректной работы компонента формирования подписи необходим пакет Microsoft .NET Framework версии 2.0 (для Windows XP) или 3.5 (для более поздних версий операционных систем Windows).
5) В редких случаях, запуск компонента формирования подписи может блокировать ПО антивирусной и проактивной защиты.
