Добрый день.

В 1с для подписания использовались самоподписанные сертификаты пара (закрытый\открытый ключ)

Сейчас при переходе на astra linux столкнулись с проблемой.
В 1с используется криптопровайдер КриптоПро. Сертифицированные ключи ставит и подписывает без проблем.

В остальных случаях, для обычных пользователей использовались самоподписанные сертификаты, но криптопро отказывается ставить их, т.к. просто не видит закрытую часть ключа. Создать пару пытались и из под Linux и из под windows

( ос Astra Linux (орел))

Крипто-про гост кс1 в4.0.9944 ( по 2012 госту )

на виндусовской машине развернут центр сертификации для пользователей 1с (штатный криптограф) На выходе имеем 2 сертификата. открытый и закрытый pfx.

Переносим на linux-вскую машину
Проблема в том, что под линуксом криптопро не хочет их их обнаруживать. Если открытую часть ключа он ещё считывает, то закрытую просто не видит.
(ключ надо прописать на машине ) что бы человек просто мог подписывать документы.

Криптопро не видит другие контейнеры, кроме как подключенные через носитель.

Отредактировано пользователем 20 августа 2019 г. 10:08:25(UTC)  | Причина: Не указана

По описанию - может быть проблема с алгоритмами (с которыми сформирован pfx), для КриптоПро нужны либо созданные в самом КриптоПро pfx, либо pfx по рекомендациям ТК26 с алгоритмами гост. Оба формата понимаются в новых версиях certmgr от КриптоПро. Если же в pfx алгоритмы не гост, то нужно сначала сделать pfx по TK26 с гост (с помощью openssl, например).

По большей части верно. Если точнее, КриптоПро работает только со своими контейнерами (в том числе на носителях) и некоторыми токенами со своими криптопровайдерами. В новой версии есть еще облачные ключи. Любой pfx сначала преобразуется в контейнер формата КриптоПро, а у же потом контейнер используется в работе.

Для преобразования по требованиям сертификации поддерживается формат pfx ТК26 (шифрование гост-89 с хэшем гост-2012 512 без зщарубежных алгоритмов) и есть собственный вид шифрования (не понимаемый более никем кроме криптопро, там смесь гост и RSA, в том числе не понимаемая Openssl).Это было бы замечательно, но из штатного состава OpenSSL исключили модуль гост (хотя не знаю как обстоит дело на Астре), придется либо собирать модуль гост из исходников с гитхаба либо использовать модуль gostengy от криптопро, что приводит ровно к тем же заморочкам с контейнерами (позволяет "использовать" контейнер из openssl, но фактически операции произойдут в КриптоПро, а Openssl получит только результат, то есть нельзя генерировать/импортировать/экспортировать закрытый ключ). Поэтому придется сначала утилитой КриптоПро создать контейнер и сгенеровать ключевую пару в контейнер, уже затем в Openssl сделать сертификат. Это отметает большинство руководств в интернете, в которых все делается одной операцией.

Самый легкий наверно вариант сгенерировать контейнер в КриптоПро на Виндоуз на флешку, сделать сертификат как Вам удобно (Openssl или в штатном ЦС) и потом без заморочек с pfx просто перетащить папку контейнера с флешки в определенную папку на *nix, где находится хранилище контейнеров HDIMAGE. Опять же точное расположение на Астре не знаю.

Только если пытаться pfx поставить на флешку через установщика - он не ссылается на криптопро, а просто ставит в certmgr