Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

2 Страницы12>
Опции
К последнему сообщению К первому непрочитанному
Offline BoogieDIM  
#1 Оставлено : 26 июня 2019 г. 13:18:41(UTC)
BoogieDIM

Статус: Новичок

Группы: Участники
Зарегистрирован: 26.06.2019(UTC)
Сообщений: 8
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Добрый день.
Окружение: Windows 10 64 bit, антивирус снес, брандмауэр выключен, КриптоПро CSP 5.0.11453(срок действия лицензии постоянная),
КриптоПро ЭЦП Browser plug-in 2.0.13642, выполнение на браузере Internet Explorer 11.829.17134.0, работа на сайте https://fzs.roskazna.ru/

Сайт https://fzs.roskazna.ru/ добавлен в надежные сайты, уровень безопасности для данной зоны низкий.

Установлены сертификаты в доверительные центры сертификации:
Сертификат Удостоверяющего центра Федерального казначейства ГОСТ Р 34.10-2012
Сертификат Минкомсвязи России (Головного удостоверяющего центра) ГОСТ Р 34.10-2012

Сертификат пользователя просрочен(23.06.2019), собственно на него и делаю запрос на https://fzs.roskazna.ru/.

Установил КриптоПро CSP 5, т.к. на предыдущих версиях КриптоПро CSP 4(ставил различные версии) вообще на сайт https://fzs.roskazna.ru/
не удавалось зайти.

Описание проблемы: на сайте https://fzs.roskazna.ru/ формирую запрос на сертификат, заполняю все данные и при нажатии "сохранить и сформировать запрос на сертификат",
вылетает ошибка:
При формировании запроса произошла ошибка: Error: CertEnroll::CX509Enrollment::_CreateRequest: Тип поставщика не определен. 0x80090017 (-2146893801 NTE_PROV_TYPE_NOT_DEF)


Подскажите пожалуйста в чем может быть проблема и как ее исправить?
Offline two_oceans  
#2 Оставлено : 27 июня 2019 г. 6:22:15(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Добрый день.
Для справки: какая точно версия десятки? Версия интернет эксплорера выглядит немного подозрительно. Какая разрядность самого Интернет Эксплорера? (на 64-разрядных системах их два, попробуйте в другом на всякий случай).
Есть ли (или были ли ранее) другие криптопровайдеры на компьютере? Имеется ввиду Континент-АП 3.6-3.7 (Код безопасности) или Випнет. Установлен ли компонент расширенная поддержка в КриптоПро?

По вопросу: NTE_PROV_TYPE_NOT_DEF сообщает, что выбранный тип криптопровайдера не зарегистрирован в Microsoft CryptoAPI. Смысл в том, что криптопровайдер при установке регистрируется под определенным номером в CryptoAPI, но в данном случае о выбранном номере (типе криптопровайдера) CryptoAPI ничего не известно. ФЗС сейчас выпускает сертификаты для ключей гост-2012 256 бит сертификаты самого ФЗС тоже по этому алгоритму. Для винета это будет скорее всего тип 2, для криптопро - точно 80 (75 и 81 в случае генерации ключа не подходят), для кода безопасности - точно 90. Сообщение означает, что ФЗС успешно вызвал ActiveX класс CertEnroll, то есть похоже зона безопасности настроена правильно. Затем класс пытается получить доступ к криптопровайдеру, выбранному в ФЗС, но таковой не находится среди зарегистрированных.

С учетом того, что на ФЗС Вы смогли зайти, то какой-то криптопровайдер гост-2012 256 бит явно установлен и работает. Однако возможно зашли не при помощи КриптоПро, а генерировать пытаетесь через КриптоПро или наоборот зашли при помощи КриптоПро, а генерируете в другом криптопровайдере. Также с этим могло быть связано что не могли ранее зайти через КриптоПро 4.0 (по причине конфликта библиотек криптопровайдеров или их регистраций, например). По идее при использовании 4.0.9944 и 4.0.9963 браузеры должны заходить на ФЗС, более ранние версии скорее всего зайти не смогут. Для десятки конечно 4.0.9963 или "почти сертифицированная" 5.0 Fury предпочтительней.

Посмотрите внимательно, что показывает переключатель внизу страницы. У меня там только один вариант, но не установлено ни континента, ни випнета (для генерации континента и випнета настроены отдельные рабочие места).
thanks 1 пользователь поблагодарил two_oceans за этот пост.
BoogieDIM оставлено 27.06.2019(UTC)
Offline BoogieDIM  
#3 Оставлено : 27 июня 2019 г. 10:57:52(UTC)
BoogieDIM

Статус: Новичок

Группы: Участники
Зарегистрирован: 26.06.2019(UTC)
Сообщений: 8
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Win 10 Pro версия 1803 сборка 17134.829

IE сразу при установке системы такой версии шел.
Изначально х64 захожу на сайт. Попробовал на 32-битной(запуск из папки C:\Program Files (x86)\Internet Explorer), сайт не открывается.
Пишет: "Не удается безопасно подключиться к этой странице
Возможно, на сайте используются устаревшие или ненадежные параметры безопасности протокола TLS. Если это будет повторяться, обратитесь к владельцу веб-сайта".

Установлен Континент-АП 3.7.7.625.
Т.к. работаю с СУФД Казначейства, в частности приходится тут подписывать ЭП документы.
Випнет не установлен.
Где можно посмотреть установлен ли компонент расширенная поддержка в КриптоПро? Если не идет с установкой Крипто ПРО CSP, то отдельно я ничего не ставил.

Разъяснения понятны, очень доходчиво. Большое спасибо.
Подскажите какие мои дальнейшие действия?

Ну и собственно, что пишет внизу страницы:
22.png (16kb) загружен 16 раз(а).


Offline BoogieDIM  
#4 Оставлено : 28 июня 2019 г. 9:09:31(UTC)
BoogieDIM

Статус: Новичок

Группы: Участники
Зарегистрирован: 26.06.2019(UTC)
Сообщений: 8
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Автор: two_oceans Перейти к цитате
Есть ли (или были ли ранее) другие криптопровайдеры на компьютере? Имеется ввиду Континент-АП 3.6-3.7 (Код безопасности) или Випнет. Установлен ли компонент расширенная поддержка в КриптоПро?


Подскажите пожалуйста, мне Континент АП удалять или же есть другой способ, чтобы генерация проходила в нужном криптопровайдере?
Дело в том, что на данной машине Континент АП нужен, для работы с СУФД.
Offline two_oceans  
#5 Оставлено : 28 июня 2019 г. 13:43:08(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Расширенная поддержка - компонент КриптоПро (я не уверен как он точно называется в 5 версии) - добавляет возможность использовать КриптоПро в программах Майкрософт (Internet Explorer, Outlook и т.д.). Посмотреть можно при установке/изменении/удалении КриптоПро.

На рабочем месте, которое для генерации континента мне пришлось переименовать 3 ключа в реестре, но раз Вы постоянно работаете в СУФД, то наверно уже их удалили (один для правильной генерации гост-2012 в Континенте, второй для составления бумажной формы в Континенте, третий чтобы работал КриптоПро с гост-2012).

Там я не пробовал генерировать в ФЗС после последних танцев с континентом. До того (месяца три назад) формировался контейнер без проблем, но из ФЗС на печать выходило "Страница не найдена" - для заявления и согласия. Криптопро в тот момент была 4.0.9944, Windows 7 32 разрядная, версия континента 3.7.7.651 с криптопровайдером, без межсетевого экрана.

С действиями пока не очень понятно. В целом, описанные глюки не похожи на характерные для конфликта с Континентом, думаю дело не в нем. Желательно посмотреть HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider на предмет наличия Криптопро и отсутствия не Майкрософт провайдеров (например, скриншот, чтобы были видны подразделы под этим разделом - для 4 версии должно быть 3 подраздела криптопро, для 5 версии еще и раздел зарубежных алгоритмов) либо почитать особенности десятки и ее обновлений в закрепленных темах КриптоПро 4 и 5.
Offline dvfin  
#6 Оставлено : 29 июня 2019 г. 13:32:47(UTC)
dvfin

Статус: Активный участник

Группы: Участники
Зарегистрирован: 13.08.2017(UTC)
Сообщений: 58
Российская Федерация

Сказал(а) «Спасибо»: 8 раз
Поблагодарили: 2 раз в 2 постах
Ни кто не знает когда уберут ActiveX на портале ФЗС Федерального казначейства и сделают поддержку кроссплатформенных браузеров?
Internet Explorer использовать как-то не комильфо.
Offline BoogieDIM  
#7 Оставлено : 1 июля 2019 г. 12:34:45(UTC)
BoogieDIM

Статус: Новичок

Группы: Участники
Зарегистрирован: 26.06.2019(UTC)
Сообщений: 8
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Автор: two_oceans Перейти к цитате
Расширенная поддержка - компонент КриптоПро (я не уверен как он точно называется в 5 версии) - добавляет возможность использовать КриптоПро в программах Майкрософт (Internet Explorer, Outlook и т.д.). Посмотреть можно при установке/изменении/удалении КриптоПро.


Да, исходя из запуска установочного файла, этот компонент присутствует:
1.png (21kb) загружен 8 раз(а).

Автор: two_oceans Перейти к цитате
На рабочем месте, которое для генерации континента мне пришлось переименовать 3 ключа в реестре, но раз Вы постоянно работаете в СУФД, то наверно уже их удалили (один для правильной генерации гост-2012 в Континенте, второй для составления бумажной формы в Континенте, третий чтобы работал КриптоПро с гост-2012).


Подскажите пожалуйста, что за ключи? Лучше я перепроверю.

Автор: two_oceans Перейти к цитате
Желательно посмотреть HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\Defaults\Provider на предмет наличия Криптопро и отсутствия не Майкрософт провайдеров (например, скриншот, чтобы были видны подразделы под этим разделом - для 4 версии должно быть 3 подраздела криптопро, для 5 версии еще и раздел зарубежных алгоритмов) либо почитать особенности десятки и ее обновлений в закрепленных темах КриптоПро 4 и 5.


Прикладываю:
2.png (49kb) загружен 12 раз(а).

Да, еще для информации, на форумах наткнулся на решение проблем с выходом на сайт ФЗС с помощью плагина Контур https://help3.kontur.ru/...profile=ke&t=PTLSLW.
Я данный плагин устанавливал, со всеми настройками.


Offline two_oceans  
#8 Оставлено : 2 июля 2019 г. 7:05:41(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Цитата:
Прикладываю:
Странно, кроме Континента подозрительного не видно. Немного смущает токеновский провайдер, что если его временно удалить и переустановить/восстановить КриптоПро? А ключ сформировать пока на обычную флешку.
Автор: BoogieDIM Перейти к цитате
Да, еще для информации, на форумах наткнулся на решение проблем с выходом на сайт ФЗС с помощью плагина Контур
Со входом, как я понимаю проблем нет, поэтому не факт что поможет. Сайт Контура для генерации запроса на сертификат похоже использует свой собственный плагин, а ФЗС использует майкрософтовский CertEnroll. Они в свою очередь обращаются к КриптоПро.
Цитата:
Подскажите пожалуйста, что за ключи? Лучше я перепроверю.
По поводу ключей:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 0\CryptDllFindOIDInfo

1.2.643.2.1.3.2.1!1 Это хэш, вероятно необязательно переименовывать в 1.2.643.2.1.3.2.1_old!1, но была проблема с бумажным завлением для Континента из-за этого раздела
1.2.643.2.1.3.1.2.1!3 Переименовал в 1.2.643.2.1.3.1.2.1_old!3, но нужно оставить 1.2.643.2.1.3.1.2.1!4
С !4 правильный гост-2012 256 по версии Континента, с !3 (неизвестно откуда берется - похоже программисты Континента тупо опечатались) неправильный.
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 1\CryptDllExportPublicKeyInfoEx

1.2.643.7.1.1.1.1 Экспортировать на всякий случай и удалить, чтобы КриптоПро проверял сертификаты гост-2012.
Цитата:
Ни кто не знает когда уберут ActiveX на портале ФЗС Федерального казначейства и сделают поддержку кроссплатформенных браузеров? Internet Explorer использовать как-то не комильфо.
Опыт подсказывает - никогда. С одной стороны, остается надежда на лучшее ведь перетащили ЕИС на Cades плагин и сам вход на ФЗС тоже через него. С другой стороны, есть подозрения, что там внутри всего ФЗС лежит голый интерфейс УЦ Криптопро, который опять же полноценно работает только в ИЕ.

Еще есть вариант сделать запрос с нужным содержанием (локально через ИЕ либо остастку сертификаты либо любое другое средство формирования запроса), потом зайти из другого браузера и прикрепить в ФЗС, но не знаю насколько такая схема реальна в ФЗС. Вроде как есть возможность скачать/прикрепить сформированный запрос на случай отказа из-за документов.

Отредактировано пользователем 2 июля 2019 г. 7:07:10(UTC)  | Причина: Не указана

Offline BoogieDIM  
#9 Оставлено : 5 июля 2019 г. 13:24:39(UTC)
BoogieDIM

Статус: Новичок

Группы: Участники
Зарегистрирован: 26.06.2019(UTC)
Сообщений: 8
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Автор: two_oceans Перейти к цитате
Странно, кроме Континента подозрительного не видно. Немного смущает токеновский провайдер, что если его временно удалить и переустановить/восстановить КриптоПро?


Сделал. Без изменений(.

5.png (41kb) загружен 5 раз(а).

Автор: two_oceans Перейти к цитате
А ключ сформировать пока на обычную флешку.

Подскажите как это сделать?

Автор: two_oceans Перейти к цитате
Со входом, как я понимаю проблем нет, поэтому не факт что поможет. Сайт Контура для генерации запроса на сертификат похоже использует свой собственный плагин, а ФЗС использует майкрософтовский CertEnroll. Они в свою очередь обращаются к КриптоПро.


Все ПО от Контура удалил.

Автор: two_oceans Перейти к цитате
По поводу ключей:
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 0\CryptDllFindOIDInfo

1.2.643.2.1.3.2.1!1 Это хэш, вероятно необязательно переименовывать в 1.2.643.2.1.3.2.1_old!1, но была проблема с бумажным завлением для Континента из-за этого раздела
1.2.643.2.1.3.1.2.1!3 Переименовал в 1.2.643.2.1.3.1.2.1_old!3, но нужно оставить 1.2.643.2.1.3.1.2.1!4
С !4 правильный гост-2012 256 по версии Континента, с !3 (неизвестно откуда берется - похоже программисты Континента тупо опечатались) неправильный.
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 1\CryptDllExportPublicKeyInfoEx

1.2.643.7.1.1.1.1 Экспортировать на всякий случай и удалить, чтобы КриптоПро проверял сертификаты гост-2012.


У меня из перечисленных ключей реестра имеется только HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 0\CryptDllFindOIDInfo 1.2.643.2.1.3.1.2.1!4

Остальных вообще нет.



Offline two_oceans  
#10 Оставлено : 8 июля 2019 г. 6:13:40(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 393 раз в 366 постах
Автор: BoogieDIM Перейти к цитате
Автор: two_oceans Перейти к цитате
Странно, кроме Континента подозрительного не видно. Немного смущает токеновский провайдер, что если его временно удалить и переустановить/восстановить КриптоПро?

Сделал. Без изменений(.
Печально. Удалили сразу из реестра или программой удаления ПО токена?
Автор: BoogieDIM Перейти к цитате
Автор: two_oceans Перейти к цитате
А ключ сформировать пока на обычную флешку.

Подскажите как это сделать?
Да все стандартно, подключаете флешку и выбираете ее когда КриптоПро запросит. Просто у Вас сейчас раньше этого шага возникает ошибка.
Автор: BoogieDIM Перейти к цитате
У меня из перечисленных ключей реестра имеется только HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Cryptography\OID\EncodingType 0\CryptDllFindOIDInfo 1.2.643.2.1.3.1.2.1!4
Значит в этом плане все в порядке.

Я так понимаю, что-то не так с данным рабочим местом или с Десяткой. Надо наверно либо настроить другое рабочее место либо попробовать сформировать сам запрос где-то еще, потом прикрепить в ФЗС. Из того что распространено, сформировать можно либо утилитами командной строки из комплекта КриптоПро либо в незабвенном АРМ ГК (выпустили новую версию с поддержкой гост-2012 на случай неработоспособности ФЗС, скачать обычно можно на ftp сервере ТОФК) либо в КриптоАрм. С КриптоАрм придется править шаблон запроса, в командной строке вообще все вбивать вручную.
Автор: two_oceans Перейти к цитате
... потом ... прикрепить в ФЗС, ... вроде как есть возможность скачать/прикрепить сформированный запрос на случай отказа из-за документов.


На всякий случай, вот еще неофициальный форум по программам ФК, там как раз решашают подобную проблему в разделе Электронная подпись, тема Формирование запроса на сертификат, последняя страница.

Отредактировано пользователем 8 июля 2019 г. 6:23:47(UTC)  | Причина: Не указана

RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
2 Страницы12>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.