Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

3 Страницы<123>
Опции
К последнему сообщению К первому непрочитанному
Offline vadjunik  
#11 Оставлено : 11 августа 2017 г. 14:45:53(UTC)
vadjunik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 09.12.2016(UTC)
Сообщений: 127
Мужчина
Российская Федерация
Откуда: Таганрог

Сказал «Спасибо»: 15 раз
Переустановили весь комплекс УЦ - ЦС, ЦР, CSP.

Корневой ЦС установлен - связь между ЦР и ЦС есть.

Панель управления УЦ

Автор: tikhonov Перейти к цитате
1. Вы не установили корневой сертификат. Эта ошибка нам об этом говорит.
2. Указывая адрес СА вам требуется написать не -срса20, а -са.
Пример:
Цитата:
cryptcp.x64.exe -listDN -CA "https://testca2.cryptopro.ru/ca"


Теперь утилита выдает на команду:

Код:
cryptcp.x64.exe -listDN -CA "https://myCAserver/ca"


уже другое сообщение об ошибке (опять почему-то в выводе указан не мой сервер, а ваш):

Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Retrieve url error.
Address:https://cryptopro.ru/ui/Register/RegGetSubject.asp
HttpStatus:0
Data:
Ошибка: Не удается найти сервер с таким именем или адресом
Users.cpp:340: 0x2EE7
[ErrorCode: 0x00002ee7]


Автор: tikhonov Перейти к цитате
Если будете указывать адрес ЦР, то требуется указать адрес УЦ вида \"https://xxx.yyy/zzz/{folder}\"; folder обозначает GUID папки УЦ или путь папки в иерархии папок УЦ, при этом разделителем имен папок в пути является символ ‘|’
Пример:
Цитата:
cryptcp.x64.exe -listDN -CPCA20 "https://testca2.cryptopro.ru/ui/8eb5f2fb-b5d3-e411-80bb-00155d454d12"


Зачем мне может понадобится ЦР? Моя финальная задача - отправить УЦ уже имеющийся файл запроса на сертификат и получить в ответ либо сам сертификат либо в каком-то приличном виде уведомление о невозможности получения сертификата.

Была небольшая проблемка с настройкой системы, с которой надо реализовать взаимодействие с УЦ. Исправил (обновил ОС до Win2008 Server R2 SP1 и IE 11). Теперь есть нормальный доступ через браузер на УЦ по ссылке https://myCAserver/UI/

Но вот, что вижу :

Ошибка сертификата в браузере

Может все же что-то мы в УЦ недонастроили?

Отредактировано пользователем 12 августа 2017 г. 18:17:38(UTC)  | Причина: Добавил описания ситуации

Offline Захар Тихонов  
#12 Оставлено : 14 августа 2017 г. 8:43:02(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,177
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 38 раз
Поблагодарили: 567 раз в 544 постах
Повторюсь, скорее всего эта ошибка связана с:
Цитата:
1. Вы не установили корневой сертификат.


Автор: vadjunik Перейти к цитате

Зачем мне может понадобится ЦР? Моя финальная задача - отправить УЦ уже имеющийся файл запроса на сертификат и получить в ответ либо сам сертификат либо в каком-то приличном виде уведомление о невозможности получения сертификата.


Хорошая идея предоставлять доступ из вне на ЦС.
Техническую поддержку оказываем тут.
Наша база знаний.
Offline vadjunik  
#13 Оставлено : 14 августа 2017 г. 10:00:37(UTC)
vadjunik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 09.12.2016(UTC)
Сообщений: 127
Мужчина
Российская Федерация
Откуда: Таганрог

Сказал «Спасибо»: 15 раз
Автор: tikhonov Перейти к цитате
Хорошая идея предоставлять доступ из вне на ЦС.
Увы - жесткое требование о сокрытии УЦ не только от взгляда извне, но даже внутри информационной системы он должен быть вынесен на отдельный сервер.
Offline Захар Тихонов  
#14 Оставлено : 14 августа 2017 г. 10:15:09(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,177
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 38 раз
Поблагодарили: 567 раз в 544 постах
приложите веб сертификат и скриншот как вы вводите команду и какую ошибку получаете.
Техническую поддержку оказываем тут.
Наша база знаний.
Offline vadjunik  
#15 Оставлено : 14 августа 2017 г. 10:35:31(UTC)
vadjunik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 09.12.2016(UTC)
Сообщений: 127
Мужчина
Российская Федерация
Откуда: Таганрог

Сказал «Спасибо»: 15 раз
Автор: tikhonov Перейти к цитате
приложите веб сертификат и скриншот как вы вводите команду и какую ошибку получаете.

Так вот же выше по теме мой пост номер 11 - там и команда и вывод и скрин панели управления УЦ.

"Веб сертификат" это тот, который предлагается скачать по ссылке с портала УЦ - https://myCAserver/UI/CaCerts.aspx? Вот он.

Насчет установки корневого сертификата, можете сказать в какой ТОЧНО доке описан этот процесс и в каком пункте?


Вот еще, нашел где описан идентификатор ключа пользователя ЦС (Администратора ЦС), как я понял, вот тут:
Автор: tikhonov Перейти к цитате
Если будете указывать адрес ЦР, то требуется указать адрес УЦ вида \"https://xxx.yyy/zzz/{folder}\"; folder обозначает GUID папки УЦ или путь папки в иерархии папок УЦ, при этом разделителем имен папок в пути является символ ‘|’

идет речь именно об такой папке?

Выполняю команду:
Код:
cryptcp.x64.exe -listDN -CPCA20 "https://myCAserver/ui/b5399ce1-1bce-494d-ab73-a285f7ea1bbd"


Указал ключ пользователя из его описания:
http://images.vfl.ru/ii/1502708683/6d5583be/18242986.jpg

Получаю такой вывод команды:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Retrieve url error.
Address:https://myCAserver/ui/api/b5399ce1-1bce-494d-ab73-a285f7ea1bbd/userattr
HttpStatus:0
Data:
Неизвестная ошибка.
Users.cpp:288: 0x2F8F
[ErrorCode: 0x00002f8f]

Отредактировано пользователем 14 августа 2017 г. 14:13:23(UTC)  | Причина: Не указана

Offline Захар Тихонов  
#16 Оставлено : 14 августа 2017 г. 15:27:47(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,177
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 38 раз
Поблагодарили: 567 раз в 544 постах
Автор: vadjunik Перейти к цитате
Автор: tikhonov Перейти к цитате
приложите веб сертификат и скриншот как вы вводите команду и какую ошибку получаете.

Так вот же выше по теме мой пост номер 11 - там и команда и вывод и скрин панели управления УЦ.

"Веб сертификат" это тот, который предлагается скачать по ссылке с портала УЦ - https://myCAserver/UI/CaCerts.aspx? Вот он.


Нет не этот, вот этот:
Вот тут описана смена веб сертификата ЦР - ЖТЯИ.00078-01 90 03. ПАК КриптоПро УЦ 2.0. Руководство по эксплуатации, пункт 2.8 Смена сертификата веб-сервера. Скопируйте от туда сертификат.

Автор: vadjunik Перейти к цитате
Насчет установки корневого сертификата, можете сказать в какой ТОЧНО доке описан этот процесс и в каком пункте?


Например вот так

Автор: vadjunik Перейти к цитате
Вот еще, нашел где описан идентификатор ключа пользователя ЦС (Администратора ЦС), как я понял, вот тут:
Автор: tikhonov Перейти к цитате
Если будете указывать адрес ЦР, то требуется указать адрес УЦ вида \"https://xxx.yyy/zzz/{folder}\"; folder обозначает GUID папки УЦ или путь папки в иерархии папок УЦ, при этом разделителем имен папок в пути является символ ‘|’

идет речь именно об такой папке?


Нет, имя контейнера ключа ЦС тут совсем не причемNot talking
GUID папки можно посмотреть, например, в Консоль ЦР - добавить колонку "Идентификатор папки" на вкладке Пользователи.

Автор: vadjunik Перейти к цитате
Выполняю команду:
Код:
cryptcp.x64.exe -listDN -CPCA20 "https://myCAserver/ui/b5399ce1-1bce-494d-ab73-a285f7ea1bbd"


Указал ключ пользователя из его описания:
http://images.vfl.ru/ii/1502708683/6d5583be/18242986.jpg

Получаю такой вывод команды:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Retrieve url error.
Address:https://myCAserver/ui/api/b5399ce1-1bce-494d-ab73-a285f7ea1bbd/userattr
HttpStatus:0
Data:
Неизвестная ошибка.
Users.cpp:288: 0x2F8F
[ErrorCode: 0x00002f8f]


Здесь ошибка связана с неправильным адресом.
Техническую поддержку оказываем тут.
Наша база знаний.
Offline vadjunik  
#17 Оставлено : 14 августа 2017 г. 16:42:33(UTC)
vadjunik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 09.12.2016(UTC)
Сообщений: 127
Мужчина
Российская Федерация
Откуда: Таганрог

Сказал «Спасибо»: 15 раз
Автор: tikhonov Перейти к цитате
Вот тут описана смена веб сертификата ЦР - ЖТЯИ.00078-01 90 03. ПАК КриптоПро УЦ 2.0. Руководство по эксплуатации, пункт 2.8 Смена сертификата веб-сервера. Скопируйте от туда сертификат.


Вот, выложил.

Автор: tikhonov Перейти к цитате
Например вот так
Это хорошо. А в контексте КриптоПро УЦ? Мне нужно установить корневой сертификат (какой?) на ту машину, с которой мне нужно наладить связь с УЦ? Или\и на самом УЦ?

Дальнейшие проблемы, пока опустим. Что-то внезапно сломалось - как говорится, "ничего не сделал, только вошел" - ЦР потерял связь с ЦС, при попытке открыть соединение с ЦС или в ее параметрах провести тест соединения, получаю:
Не удается установить связь с центром регистрации
Не удалось проверить цепочку клиентского сертификата для соединения с центром регистрации.



Стек из системного журнала, сообщение от CryptoPro.Diagnostics:


Потом там же от источника "Центр регистрации": Службе регистрации Крипто-Про УЦ 2.0 не удалось обновить CDP с Пробный корневой УЦ.
Offline Захар Тихонов  
#18 Оставлено : 14 августа 2017 г. 16:54:22(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,177
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 38 раз
Поблагодарили: 567 раз в 544 постах
Автор: vadjunik Перейти к цитате
Автор: tikhonov Перейти к цитате
Вот тут описана смена веб сертификата ЦР - ЖТЯИ.00078-01 90 03. ПАК КриптоПро УЦ 2.0. Руководство по эксплуатации, пункт 2.8 Смена сертификата веб-сервера. Скопируйте от туда сертификат.


Вот, выложил.


У вас в веб сертификате DNS имя DNS-имя=ib-crypto1, а вы пишете команду с DNS именем myCAserver. Либо вы все продумали и настроили или все же указывайте правильные DNS имена.

Автор: vadjunik Перейти к цитате
Автор: tikhonov Перейти к цитате
Например вот так
Это хорошо. А в контексте КриптоПро УЦ? Мне нужно установить корневой сертификат (какой?) на ту машину, с которой мне нужно наладить связь с УЦ? Или\и на самом УЦ?


Рекомендую на всех ПК устанавливать цепочку сертификатов до корневого УЦ.

Автор: vadjunik Перейти к цитате
Дальнейшие проблемы, пока опустим. Что-то внезапно сломалось - как говорится, "ничего не сделал, только вошел" - ЦР потерял связь с ЦС, при попытке открыть соединение с ЦС или в ее параметрах провести тест соединения, получаю:
Не удается установить связь с центром регистрации
Не удалось проверить цепочку клиентского сертификата для соединения с центром регистрации.



Стек из системного журнала, сообщение от CryptoPro.Diagnostics:


Потом там же от источника "Центр регистрации": Службе регистрации Крипто-Про УЦ 2.0 не удалось обновить CDP с Пробный корневой УЦ.


Скорее всего CRL актуальных нет.
Техническую поддержку оказываем тут.
Наша база знаний.
Offline vadjunik  
#19 Оставлено : 14 августа 2017 г. 17:34:16(UTC)
vadjunik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 09.12.2016(UTC)
Сообщений: 127
Мужчина
Российская Федерация
Откуда: Таганрог

Сказал «Спасибо»: 15 раз
Автор: tikhonov Перейти к цитате
У вас в веб сертификате DNS имя DNS-имя=ib-crypto1, а вы пишете команду с DNS именем myCAserver. Либо вы все продумали и настроили или все же указывайте правильные DNS имена.
myCAserver - я тут на форуме руками менял, для наглядности. А так, в реале везде, конечно ib-crypto1. Насчет сертификатов на всех участвующих хостах, понял, спасибо попробую.

Все, разобрались с CRL - надо было поставить "галки" на "Загружать ключи ЦС автоматически при первом обращении" и "Добавлять имя администратора ЦС в сертификат ЦС".

Добавил в доверенные корневые ЦС на машине, откуда запускаю утилиту командной строки, сертификат Веб-узла корневого УЦ.
На сервере УЦ этот сертификат УЖЕ находится в хранилище "Доверенные корневые центры сертификации\Сертификаты".

Теперь при выполнении:
Код:
cryptcp.x64.exe -listDN -CPCA20 "https://ib-crypto1/ui/0ccea725-697e-e711-95ae-000c297c5ae6"
(идентификатор Администратора службы регистрации)
Получаю:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Ошибка: Подключение к серверу было неожиданно прервано
Users.cpp:288: 0x2EFE
[ErrorCode: 0x00002efe]


При выполнении
Код:
cryptcp.x64.exe -listDN -CA "https://ib-crypto1/ca"


Ошибка прежняя:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Retrieve url error.
Address:https://cryptopro.ru/ui/Register/RegGetSubject.asp
HttpStatus:0
Data:
Ошибка: Не удается найти сервер с таким именем или адресом
Users.cpp:340: 0x2EE7
[ErrorCode: 0x00002ee7]

Отредактировано пользователем 14 августа 2017 г. 18:45:39(UTC)  | Причина: Новое сообщение об ошибке

Offline Захар Тихонов  
#20 Оставлено : 15 августа 2017 г. 9:02:46(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,177
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 38 раз
Поблагодарили: 567 раз в 544 постах
Автор: vadjunik Перейти к цитате
Автор: tikhonov Перейти к цитате
У вас в веб сертификате DNS имя DNS-имя=ib-crypto1, а вы пишете команду с DNS именем myCAserver. Либо вы все продумали и настроили или все же указывайте правильные DNS имена.
myCAserver - я тут на форуме руками менял, для наглядности. А так, в реале везде, конечно ib-crypto1. Насчет сертификатов на всех участвующих хостах, понял, спасибо попробую.


Вот по этой причине мы и просим скриншот, мало ли что вы еще изменяете.

Автор: vadjunik Перейти к цитате
Все, разобрались с CRL - надо было поставить "галки" на "Загружать ключи ЦС автоматически при первом обращении" и "Добавлять имя администратора ЦС в сертификат ЦС".


Это все не обязательно было делать, все по усмотрению и согласно требованиям к УЦ (на счет имени администратора ЦС в сертификата)

Автор: vadjunik Перейти к цитате
Добавил в доверенные корневые ЦС на машине, откуда запускаю утилиту командной строки, сертификат Веб-узла корневого УЦ.
На сервере УЦ этот сертификат УЖЕ находится в хранилище "Доверенные корневые центры сертификации\Сертификаты".

Теперь при выполнении:
Код:
cryptcp.x64.exe -listDN -CPCA20 "https://ib-crypto1/ui/0ccea725-697e-e711-95ae-000c297c5ae6"
(идентификатор Администратора службы регистрации)
Получаю:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Ошибка: Подключение к серверу было неожиданно прервано
Users.cpp:288: 0x2EFE
[ErrorCode: 0x00002efe]



При чем тут идентификатор администратора службы регистрации? снова мимо, так работать не будет. Либо идентификатор папки (GUID) либо имя папки. Рекомендации предоставленные в посте #10 не меняются.

Автор: vadjunik Перейти к цитате
При выполнении
Код:
cryptcp.x64.exe -listDN -CA "https://ib-crypto1/ca"


Ошибка прежняя:
Код:
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2017.
Утилита командной строки для подписи и шифрования файлов.
Retrieve url error.
Address:https://cryptopro.ru/ui/Register/RegGetSubject.asp
HttpStatus:0
Data:
Ошибка: Не удается найти сервер с таким именем или адресом
Users.cpp:340: 0x2EE7
[ErrorCode: 0x00002ee7]


cryptcp при команде -СА отправляет вас на тестовый УЦ 1.5, эту команду изменят в следующей сборке cryptcp. Не используйте ее. Используйте -CPCA и -CPCA20
Техническую поддержку оказываем тут.
Наша база знаний.
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
3 Страницы<123>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.