"A signature may be (non-exclusively) described asdetached, enveloping, or enveloped". Ага, т.е. бывает открепленная XMLDsig - видимо отдельный xml-файл.
phpcades - да, интересно, запишу в книжечку, как вариант )
Спасибо!

Всем доброго времени суток!
Пытаемся сделать запрос на сертификат КВ2 в соответствии с инструкцией https://support.cryptopr...ejjnerom-v-kriptopro-hsm с использованием утилиты cryptcp.x64.exe. Все делаем из операционной системы W10 сборка 18363.592, версия КриптоПРО 4.0.9944. Генерация проходит успешно, созжается пара кключей и запрос на сертификат, но в этом запросе присутствуют лишние атрибуты
1.3.6.1.4.1.311.21.20 "сведения о клиенте"
1.3.6.1.4.1.311.13.2.2 "CSP подачи заявок"
что не устраивает сертификационный центр и он их просит убрать.
Пытался убрать автоматическое добавление атрибутов путем установка ключа реестра HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Cryptography\CurrentVersion\Parameters\AddEsAttribute в 0, но этом не помогает.
Запросы на сертификат по прежднему формируются с атрибутами:
Атрибут[0]: 1.3.6.1.4.1.311.13.2.3 (Версия ОС)
Значение [0][0], длина: c
6.2.9200.2
Атрибут[1]: 1.3.6.1.4.1.311.21.20 (Сведения о клиенте)
Значение [1][0], длина: 4b
Код клиента: = 5
ClientIdDefaultRequest -- 5
Пользователь: <имя пользователя>
Компьютер: <имя компьютера>
Процесс: cryptcp.x64.exe

Атрибут[2]: 1.3.6.1.4.1.311.13.2.2 (CSP подачи заявок)
...
Перезагрузка компьютера результатов не дает.
Можете подсказать, как можно сделать запрос без этих атрибутов?
Полагаю, что это особенности работы версии под Windows, в Linux, для которой была написана инструкцию по генерации запроса все должно работать без проблем, но очень не хотелось бы дополнительно настраивать подключение к HSM для новой машины.

Отдельную нужно тему было создать.
Написал в ЛС, проверьте

Не совсем так. XMLDsig позволяет подписать только часть документа XML, поэтому detached, enveloping, or enveloped описывает взаимное положение двух фрагментов документа (файла) - подписываемого фрагмента и самой подписи, а не файлов.

enveloped - подпись внутри подписываемого фрагмента и это требует особой обработки - при проверке фрагмента подпись из него исключается. enveloping - наоборот, подписываемый фрагмент внутри специального контейнера в подписи (как обычно в cades при подписи целого файла - тут нужно "извлечь" подписанный фрагмент из подписи - "снять подпись"). Любое другое положение подписи относительно подписанного фрагмента будет detached, то есть фрагмент подписи не является предком или потомком по отношению к подписываемому фрагменту (но при этом может быть в одном документе).

При detached должен быть общий предок не относящийся ни к подписи, ни к подписываемому фрагменту (если в одном документе) либо действительно могут находиться в разных документах (в этом случае Reference URI в подписи содержит адрес документа с подписываемым фрагментом). Если подписывается весь документ (общий предок становится невозможен, а с ним и вариант detached) и подпись находится в том же файле - подпись обязана быть или enveloped или enveloping. Как правило, enveloped.

Отредактировано пользователем 22 января 2020 г. 16:07:36(UTC)  | Причина: Не указана

Коллеги, это возможно?