Предварительные требования
- ГОСТ-совместимый квалифицированный сертификат ключа проверки ЭП из аккредитованного Минцифры УЦ.
- Регистрация этого сертификата в ЕСИА для информационной системы.
- Регистрация самой системы и её полномочий в ЕСИА (тестовый и промышленный контуры оформляются отдельно).
Выпуск запроса на сертификат
Ключи генерируются на сервере с адаптером, в контейнере на носителе HDIMAGE, чтобы не переносить закрытый ключ. Ответственный — администратор безопасности.
В RDN запроса обязательны: общее имя, страна, область, город, адрес, организация, ОГРН, ИНН ЮЛ — иначе сертификат не пройдёт проверку в ЕСИА.
| Параметр | Значение |
|---|---|
| Криптопровайдер | Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider |
| Назначение ключа | подпись и шифрование |
| Размер ключа | 512 |
| Хеширование | ГОСТ Р 34.11-2012, 256 бит |
Запрос формируется утилитой cryptcp из состава КриптоПро:
cryptcp -createrqst -rdn "<RDN>" -provtype 80 -cont '\\.\HDIMAGE\<имя_контейнера>' -sg -silent <файл_запроса>
Параметры: -hashalg 1.2.643.7.1.1.2.2 — ГОСТ Р 34.11-2012 256 бит; -certusage — назначение; -altname — DNS-имя. Точный набор параметров определяется удостоверяющим центром.
Установка сертификата
cryptcp -instcert -provtype 80 -cont '\\.\HDIMAGE\<имя_контейнера>' -km -dm <файл_сертификата>
Сертификат устанавливается в хранилище «My» со ссылкой на контейнер с закрытым ключом. Путь к сертификату и отпечаток указываются в typeDetails.cryptoProvider.details.
Сертификаты ЕСИА и удостоверяющего центра
Сертификаты ЕСИА для проверки подписи: http://esia.gosuslugi.ru/public/esia.zip.
Корневой и промежуточный сертификаты удостоверяющего центра устанавливаются в хранилища КриптоПро:
/opt/cprocsp/bin/amd64/certmgr -inst -store uRoot -file <каталог>/rootca.cer /opt/cprocsp/bin/amd64/certmgr -inst -store uca -file <каталог>/subca.cer
Тестовый контур
Войти в технологический портал тестового контура ЕСИА (https://esia-portal1.test.gosuslugi.ru/console/tech), найти информационную систему по названию или мнемонике, открыть управление сертификатами, нажать «Загрузить сертификат». Адрес тестового контура: https://esia-portal1.test.gosuslugi.ru. Тестовые учётные записи (служебная для технологического портала и простые для входа) и их пароли приведены в README из состава поставки.
Промышленный контур
Сертификат загружается через службу поддержки ЕСИА по регламенту взаимодействия.
Сроки действия и отзыв
Контроль сроков действия сертификата и закрытого ключа лежит на администраторе безопасности. Сертификат должен содержать точку распространения CRL; адрес CRL должен быть доступен по сети, иначе проверка отозванных сертификатов не сработает.
Версия API ЕСИА (v1 или v2) определяет шаблон конфигурации и тип криптопровайдера. Требования к подключению систем ЕСИА меняются; действующие требования приведены в актуальной редакции методических рекомендаций по использованию ЕСИА.