6.3.Работа с клиентскими сертификатами
6.3.1.Ручная регистрация клиентских сертификатов
Для того чтобы все сертификаты серверного АРМ однозначно распознавались на клиентском АРМ и наоборот, необходимо, чтобы ключи ЭЦП абонентов клиента СЭД были зарегистрированы для любого собственного криптопрофиля.
Для этого необходимо на клиентском АРМ СЭД произвести настройку криптографических профилей собственного АРМ и серверного АРМ (абонента клиента СЭД).
Криптографические профили клиента СЭД и сервера СЭД всегда создаются на АРМ сервера СЭД и отсылаются на клиент СЭД при помощи механизма репликаций. Репликация будет приниматься только при условии, что на АРМ клиента СЭД имеются первично настроенные ключи для поверки подписи входящей репликации с АРМ сервера СЭД. При этом ручное создание криптопрофилей на АРМ клиента СЭД не предусмотрено.
Регистрация ключей ЭЦП на АРМ клиента СЭД включает в себя настройку криптографических параметров собственного криптопрофиля клиента СЭД и криптопрофиля сервера СЭД. При этом подразумевается, что данные криптопрофили сервера СЭД и клиента СЭД были отреплицированы с АРМ сервера СЭД и содержатся в списке криптографических профилей в пункте меню «Администрирование – Криптозащита – Список абонентов ЭЦП» на АРМ клиента СЭД.
Таким образом, для настройки криптографических параметров на клиенте СЭД необходимо выполнить следующие действия:
Настроить параметры криптографического профиля собственного АРМ.
Настроить параметры криптографического профиля серверного АРМ.
Для того чтобы произвести установку сертификата для собственного криптопрофиля вручную выберите пункт меню «Администрирование – Криптозащита – Список абонентов ЭЦП». В форме «Криптографические профили» необходимо провести процедуру регистрации ключей ЭЦП собственного АРМ.
В левой части окна содержатся отреплицированные с сервера СЭД криптопрофили клиента СЭД и сервера СЭД. Для настройки криптопрофиля клиента СЭД следует выбрать наименование криптопрофиля клиента.
10. Криптографические профили
В правой части окна «Криптографические профили» следует нажать на клавиатуре Ins или кнопку  на панели инструментов. Откроется окно «Настройки криптографического профиля».
В поле «АРМ» из справочника выбирается название собственного АРМ клиента СЭД. Ниже наименования АРМ задаются режимы прав подписи документов. Данный параметр должен выбираться, исходя из количества требуемых подписей под документами.
Значение в параметре «Использовать для шифрации/дешифрации, подписи/проверки подписи данных, передаваемых транспортной подсистемой» определяет использование права подписи и шифрации транспортных пакетов. Постановка флага  включает шифрацию данных, передаваемых на сервер СЭД.
При использовании шифрации/дешифрации данных между сервером и клиентом соблюдаются следующий принцип синхронности настроек шифрации – настройки шифрации криптопрофилей сервера СЭД и клиента СЭД должны быть синхронны в случае включенной шифрации.
Шифрация/дешифрация данных между сервером и клиентом будет осуществляться только в том случае если:
На стороне клиента СЭД установлен флаг «Использовать для шифрации/дешифрации, подписи/проверки подписи данных, передаваемых транспортной подсистемой» в настройках собственного криптопрофиля клиента СЭД и в настройках криптопрофиля абонента клиента – сервера СЭД.
На стороне сервера СЭД установлен флаг «Использовать для шифрации/дешифрации, подписи/проверки подписи данных, передаваемых транспортной подсистемой» в настройках собственного криптопрофиля сервера СЭД и в настройках криптопрофиля абонента сервера СЭД, с которым будет происходить шифрация;
Если хотя бы одно из вышеперечисленных условий не соблюдено, шифрация данных происходить не будет, так как для корректной шифрации/дешифрации данных настройки на сервере и клиенте должны быть синхронизированы. Если настройки шифрации не синхронизированы – на клиенте установлен флаг шифрации, а на сервере нет, либо наоборот, то документы будут доставляться без шифрации.
Внимание! Для продолжения регистрации настроек криптопрофиля необходимо нажать кнопку «Применить». Это позволит сохранить уже введённые настройки и разрешит произвести дальнейшие действия по регистрации параметров криптопрофиля. Без данного действия добавление сертификатов в криптопрофиль и доступных пользователей системы будет невозможно.
После применения параметров, определяющих количества подписей под документами и настроек, связанных с подписью (шифрацией) транспортных пакетов, необходимо определить, под какими авторизованными пользователями системы будут доступны данные настройки криптопрофиля. Для этого в правом нижнем списке «Логин пользователя» следует нажать на клавиатуре «Ins» или кнопку на панели инструментов (см. рисунок 11).
-
11. Настройки криптографического профиля собственного АРМ
Откроется диалог «Пользователи криптозащиты». В поле «Пользователь» из раскрывающегося списка выбирается пользователь, под которым производился вход в систему (см. рисунок 12).
-
12. Пользователи криптозащиты
После того как был выбран пользователь, которому соответствует данный криптопрофиль, следует нажать кнопку «ОК» для сохранения произведённых настроек. Следует заметить, что в список «Логин пользователя» может добавляться несколько логинов, под которыми будет осуществляться вход в систему. При этом все указанные пользователи будут иметь право совершать криптографические операции.
Внимание! Если для пользователя не будет определён ни один криптопрофиль, то при авторизации в систему под данным пользователем, функции работы с криптозащитой будут не доступны, о чём система предупредит сообщением об ошибке при выполнении операций подписи-шифрации.
После определения логинов для данного криптопрофиля следует произвести регистрацию сертификата клиента СЭД. Для этого в левом списке окна «Настройки криптографического профиля» на закладке «Сертификаты» следует нажать на клавиатуре «Ins» или кнопку на панели инструментов. Откроется диалог «Сертификат абонента» (см. рисунок 13).
-
13. Сертификат абонента
Примечание: Статусы сертификатов рассматриваются в рамках ППО «СЭД».
Для автоматического заполнения параметров диалога следует воспользоваться кнопкой «Мастер установки сертификата». При этом запустится мастер, который будет помогать в правильной настройке криптопараметров. В раскрывшемся диалоге «Инсталляция MS Crypto API 2.0» следует указать путь к файлу сертификата подписи клиента СЭД, полученного из СВУЦ (см. рисунок 14).
-
14. Инсталляция сертификата подписи
По нажатию кнопки «Оk» Система запросит путь к файлу сертификата удостоверяющего центра. Произведите выбор корневого сертификата удостоверяющего центра (данный сертификат, как и сертификат клиента СЭД, должен быть предварительно получен из УУЦ) и для продолжения регистрации криптонастроек нажмите кнопку «Оk» (см. рисунок 15).
-
15. Инсталляция сертификата Центра Авторизации
Далее мастер установки запросит путь к каталогу инсталляции сертификатов абонента клиента СЭД (см. рисунок 16). Рекомендуется использовать значение, предложенное системой.
-
16. Выбор пути к каталогу инсталляции
Затем система запросит каталог сохранения открытых ключей. Здесь рекомендуется оставить значение, предлагаемое системой по умолчанию (см. рисунок 17).
-
17. Установка системы криптозащиты
После этого система сообщит о необходимости регистрации открытых ключей. Для первой настройки криптопараметров абонента клиента СЭД это не требуется, поэтому данное действие следует пропустить, воспользовавшись кнопкой «Cancel» (см. рисунок 18).
-
18. Запуск процедуры регистрации ключей
По окончании установки параметров сертификата нажмите кнопку «ОК». Появится сообщение «Параметры нового ключа абонента успешно установлены», информирующее об окончании процесса настройки параметров криптозащиты.
6.3.2.Удаленная регистрация клиентских сертификатов с сервера
СЭД поддерживает удаленную регистрацию сертификатов с сервера СЭД (в том числе с включенными сертификатами серверных криптоабонентов).
Запрос на сертификат формируется при помощи стандартной процедуры генерации закрытого ключа. Полученный запрос на сертификат следует доставить на сервер СЭД штатными средствами, либо при помощи ЭД «Запрос на издание сертификата» (см. главу 6.2).
Для того чтобы получить запрос на удаленную регистрацию сертификата необходимо, чтобы он был предварительно сформирован и отправлен с сервера СЭД. Запрос на удаленную регистрацию сертификата доставляется на клиент СЭД, в который включается криптопрофиль и сертификат ключа ЭЦП клиента СЭД. В запрос на администрирование могут быть включены также криптопрофили и сертификаты пользователей сервера.
При доставке на клиент СЭД запроса на удаленную регистрацию клиентского сертификата откроется окно «Регистрация клиентского сертификата».
19. Окно «Регистрация клиентского сертификата»
В данном окне пользователь клиента СЭД выполняет обработку запроса:
«Исполнить». В случае успешной проверки пользователь проверяет содержащийся в запросе сертификат на соответствие зарегистрированному сертификату, который был выпущен УУЦ ФК. Если пользователь принимает запрос на администрирование, то его криптопрофиль с таким же ID, (если он есть), как и в запросе на администрирование, заменяется на исполняемый. При замене криптопрофиля и сертификата, необходимо привязать к новому криптопрофилю логины пользователей, которые будут работать с данным криптопрофилем. Следует поставить флаг для выбора соответствующих логинов пользователей
«Отказать». В случае если запрос на администрирование не прошел проверку, его следует отказать с указанием причины отказа, по которой криптопрофиль не был принят пользователем.
«Отложить». Переход на статус «*Отложен» производится в ручном режиме администратором.
При нажатии на кнопку «Просмотр сертификата(ов)» открывается окно просмотра данных о сертификате клиента.
Регистрация криптопрофиля и сертификатов происходит в автоматическом режиме.
Для просмотра удаленных запросов на администрирование следует выбрать пункт меню «Системные – Удаленные запросы на администрирование».
Ручная регистрация клиентских сертификатов при смене ключей ЭЦП
При окончании срока действия сертификатов клиента СЭД следует произвести смену клиентских ключей ЭЦП. При ручной смене ключей ЭЦП клиента действия по замене сертификатов осуществляются администратором на АРМ клиента СЭД.
6.3.2.1.Формирование запроса на сертификат
Для того чтобы получить новый открытый ключ клиента следует сформировать запрос на сертификат и доставить его на сервер СЭД. Запрос на сертификат формируется при помощи стандартной процедуры генерации закрытого ключа. Полученный запрос на сертификат следует доставить на сервер СЭД штатными средствами, либо при помощи ЭД «Запрос на издание сертификата» (см. главу 6.2).
6.3.2.2.Получение нового сертификата с сервера СЭД
На сервере СЭД клиентский запрос на сертификат в электронном виде вместе с бумажной копией доставляется в УУЦ (сеть ведомственных удостоверяющих центров) для его подтверждения, где на основе отправленного запроса на сертификат будет сформирован сертификат открытого ключа электронно-цифровой подписи (файл с расширением *.cer).
Сертификат открытого ключа ЭЦП клиента (файл с расширением *.cer) доставляется штатными средствами на клиент СЭД, где его необходимо зарегистрировать.
6.3.2.3.Регистрация нового сертификата
Новый сертификат необходимо зарегистрировать стандартным образом, как описано в пункте 6.3.1. После сообщения «Параметры нового ключа абонента успешно установлены» процедура регистрации сертификата будет завершена.
По умолчанию регистрируемый сертификат будет находиться в статусе «Активный». При попытке сохранить новый сертификат в данном статусе система выведет сообщение.
20. Окно «Регистрация клиентского сертификата»
Данная проверка системы на наличие действующего сертификата не является критичной, поэтому следует проигнорировать ошибку нажатием кнопки «Yes/Да». Старый сертификат при этом должен остаться также в статусе «Активный».
6.3.2.4.Изменение статусов сертификатов
После того, как на сервере будет зарегистрирован новый сертификат клиента, следует изменить статус старого сертификата на клиенте СЭД.
Для этого в форме «Сертификат абонента» следует присвоить старому сертификату статус «Не активный», а новый сертификат при этом оставить в статусе «Активный», после чего сохранить изменения.
6.3.2.5.Регистрация серверного сертификата
После того как будет произведена настройка сертификатов клиента, необходимо зарегистрировать сертификат сервера СЭД на новом сертификате клиента СЭД подписи. Это необходимо для того, чтобы подписи сервера СЭД идентифицировались (распознавались) на клиенте СЭД. Подробнее о регистрации сертификата абонента см. пункт 6.4.1 Ручная регистрация серверных сертификатов.
6.3.3.Удаленная регистрация клиентских сертификатов при смене ключей ЭЦП
При окончании срока действия сертификатов клиента СЭД используется механизм удаленной смены клиентских ключей ЭЦП. Данный механизм обеспечивает передачу запроса на сертификат от клиента СЭД на сервер СЭД и ответное получение с сервера СЭД новых сертификатов для регистрации.
Механизм удаленной регистрации клиентских сертификатов позволяет осуществить автоматическую замену сертификатов клиента без вмешательства администратора клиента. В этом случае смена ключей подготавливается и осуществляется администратором сервера СЭД, а администратор клиента СЭД обрабатывает удаленный запрос на администрирование.
Запрос на сертификат формируется при помощи стандартной процедуры генерации закрытого ключа. Полученный запрос на сертификат следует доставить на сервер СЭД штатными средствами, либо при помощи ЭД «Запрос на издание сертификата» (см. главу 6.2).
На основании полученного от клиента СЭД запроса на издание сертификата на сервере СЭД будет установлен и зарегистрирован новый сертификат клиента. Данный сертификат доставляется на клиент СЭД при помощи ЭД «Удаленный запрос на администрирование» с типом «Плановая смена ключей ЭЦП».
После получения на АРМ клиента СЭД удаленный запрос на администрирование будет автоматически запущен в обработку, при этом откроется диалог «Перерегистрация сертификата».
21. Окно «Перерегистрация сертификата»
В данном окне следует выбрать действие:
«Исполнить» – зарегистрировать новый сертификат клиента. Документ «Удаленный запрос на администрирование» перейдет на статус «*Исполнен+».
«Отказать» – отказать регистрацию нового сертификата клиента. Документ «Удаленный запрос на администрирование» перейдет на статус «*Отказан+».
«Отложить» – отложить исполнение. Документ «Удаленный запрос на администрирование» перейдет на статус «*Отложен+».
Для регистрации нового сертификата следует выбрать команду «Исполнить» и нажать кнопку «ОК». Далее будет произведена перерегистрация клиентского сертификата.
При этом старый сертификат клиента перейдет на статус «Запрещен». Новый сертификат клиента перейдет на статус «Активный». Таким образом, произойдет замена ключей ЭЦП.
После завершения обработки запроса на сервере СЭД новый сертификат клиента можно использовать для операций подписи/шифрации.
Для просмотра удаленных запросов на администрирование следует выбрать пункт меню «Системные – Удаленные запросы на администрирование».
6.3.4.Удаление клиентских сертификатов
Внимание! Удалять клиентские и серверные сертификаты нельзя, иначе документы, которые подписаны закрытым ключом, соответствующим данному сертификату, будет невозможно проверить. Удаление сертификатов производится согласно регламентам уполномоченного удостоверяющего центра.
6.3.5.Запрет использования сертификата клиента СЭД
В случае необходимости запрета пользователю АРМ клиента СЭД совершать криптографические операции под своим криптопрофилем, применяется один из следующих способов:
Администратору АРМ сервера СЭД необходимо установить запрет на использование криптопрофиля данного пользователя и отослать настройки запрещенного криптопрофиля в виде репликации на АРМ клиента СЭД (в настоящем документе не рассматривается).
Администратору АРМ клиента СЭД необходимо выполнить следующий порядок действий:
Выбрать пункт меню «Администрирование – Криптозащита – Список абонентов ЭЦП». Откроется окно «Криптографические профили».
В левом списке выбрать наименование криптопрофиля пользователя и нажать кнопку  в правом верхнем списке окна.
В открывшейся форме «Настройки криптографического профиля» на закладке «Сертификаты» нажать кнопку .
В форме «Сертификат абонента» установить значение переключателя в положение «не активный», как показано на рисунке 22.
-
22. Запрет использования сертификата
Сохранить изменения нажатием кнопки «Применить» или «ОК».
6.3.6.Доставка информации о клиентских сертификатах на серверный АРМ
Для доставки сертификатов пользователей и данных расширенных прав подписей от клиентского АРМ на серверный АРМ используется ЭД «Запрос на криптографические операции».
Для доведения информации об изменении или создании криптопрофиля на клиентском АРМ СЭД уполномоченный сотрудник организации, использующей клиентский АРМ СЭД, создает ЭД «Запрос на криптографические операции» согласно документу «Карточка регистрации ЭЦП». Затем осуществляет наложение ЭЦП и отправку ЭД на серверный АРМ СЭД. Администратор серверного АРМ подтверждает либо отказывает ЭД «Запрос на криптографические операции».
Для работы с ЭД «Запрос на криптографические операции» пользователю должна быть добавлена роль «KP_MANADGER». Необходимо также осуществить настройку запроса на криптографические операции в пункте меню «Справочники – Корпоративные – Настройка запроса на криптографические операции» – установить режим обработки запроса (см. рисунок 24).
23. Форма «Настройка запроса на криптографические операции»
Для создания ЭД «Запрос на криптографические операции» следует вызвать пункт меню «Системные – Запрос на криптографические операции» (доступен только при наличии роли «KP_MANADGER») и в открывшемся скроллере документов нажать кнопку на панели инструментов или клавишу «Ins». На экране появится форма «Запрос на криптографические операции» (см. рисунок 24).
-
24. Форма «Запрос на криптографические операции», вкладка «Сертификаты»
Требуется заполнить параметры документа:
При необходимости ввести номер и дату запроса (заполняются по умолчанию текущими значениями). Поле «АРМ» заполняется автоматически.
При необходимости (если отсылается информация об изменении прав подписи) установить переключатель в положение «Изменить криптопрофиль» (по умолчанию он установлен в положение «Создать криптопрофиль»).
Ввести название криптопрофиля (ФИО пользователя) в поле «Наименование профиля».
Перейти на вкладку «Сертификаты» нажать кнопку  (Добавить сертификат).
В окне «Выбор файла» нажать кнопку «Найти». Выбрать в файловой системе файл сертификата и нажать кнопку «Открыть», указав тем самым полный путь к файлу сертификата. Затем нажать кнопку «Ok» в окне «Выбор файла».
Перейти на вкладку «Расширенные права подписи» (см. рисунок 25) и нажать кнопку .
-
25. Форма «Запрос на криптографические операции», вкладка «Расширенные права подписи»
. В открывшейся форме «Расширенные права подписи» (см. рисунки 26, 27) заполнить следующие поля:
«Юр. лицо» – выбрать наименование организации, к которой относится сотрудник – владелец сертификата(значение из справочника «Юридические лица АРМ»).
«Право подписи» – выбрать из списка предоставленное право подписи для указанных ниже документов.
«Под документами» – выбрать из списка класс документов, для которого устанавливается правило наложения ЭЦП, либо значение «всеми документами».
-
«Ограничения» – вид ограничений может принимать три значения:
«Без ограничений» – дополнительные для заполнения поля отсутствуют;
«С ограничением на сумму документа» – в этом случае заполняются дополнительные поля: «Минимальная сумма документа» и/или «Максимальная сумма документа» (см. рисунок 26);
-
«С расширенным ограничением» – указывается при наличии ограничений сторонних обработчиков, в этом случае заполняются дополнительные поля (см. рисунок 27):
«Тип ограничения» – выбирается из списка внешних обработчиков ограничений подписи или заполняется вручную;
«Обработчик» – выбирается из списка внешних обработчиков ограничений подписи (заполняется автоматически при выборе значения поля «Тип ограничения»).
Для сохранения введенных значений в форме «Расширенное право подписи» необходимо нажать «ОК».
Для сохранения введенных данных запроса необходимо нажать «ОК» в форме «Запрос на криптографические операции».
-
26. Форма «Расширенное право подписи» с ограничениями на сумму документа
-
27. Форма «Расширенное право подписи» с расширенным ограничением
В своей структуре, помимо обычных данных ЭД, запрос на криптографические операции может содержать передаваемые файлы сертификатов абонентов.
|
