FreeBSD 13.0
CryptCP 4.0 (c) "Crypto-Pro", 2002-2019.
Установили новый сертификат (Issuer : E=ca@skbkontur.ru, OGRN=1026605606620, INN=006663003127, C=RU, S=66 Свердловская область, L=Екатеринбург, STREET="улица Народной воли, строение 19А", OU=Удостоверяющий центр, O="АО ""ПФ ""СКБ КОНТУР""", CN="АО ""ПФ ""СКБ КОНТУР"""), /opt/cprocsp/bin/amd64/cryptcp -signf ругается на The certificate or certificate chain is based on an untrusted root.

/opt/cprocsp/bin/amd64/certmgr -inst -store Root -f /tmp/skbkontur-q1-2021.crt

пишет

tarkhil@grandsql:~/billing % /opt/cprocsp/bin/amd64/certmgr -inst -store Root -f /tmp/skbkontur-q1-2021.crt
Certmgr 1.1 (c) "Crypto-Pro", 2007-2019.
Program for managing certificates, CRLs and stores.
WARNING: Legacy parameter: "-store Root"
Installing:
=============================================================================
1-------
Issuer : E=dit@minsvyaz.ru, C=RU, S=77 Москва, L=г. Москва, STREET="улица Тверская, дом 7", O=Минкомсвязь России, OGRN=1047702026701, INN=007710474375, CN=Минкомсвязь России
Subject : E=ca@skbkontur.ru, OGRN=1026605606620, INN=006663003127, C=RU, S=66 Свердловская область, L=Екатеринбург, STREET="улица Народной воли, строение 19А", OU=Удостоверяющий центр, O="АО ""ПФ ""СКБ КОНТУР""", CN="АО ""ПФ ""СКБ КОНТУР"""
Serial : 0x01F8E8510000000005C8
SHA1 Hash : 16159c984e6548bdcd0a2c518e493b8194bb0e33
SubjKeyID : ac38c0f2ff28c5a44b6a6f51cb5c6e1f84f3d21b
Signature Algorithm : ГОСТ Р 34.11-2012/34.10-2012 256 бит
PublicKey Algorithm : ГОСТ Р 34.10-2012 (512 bits)
Not valid before : 17/08/2021 11:27:33 UTC
Not valid after : 17/08/2036 11:27:33 UTC
PrivateKey Link : No
CA cert URL : http://reestr-pki.ru/cdp/guc2021.crt
CDP : http://reestr-pki.ru/cdp/guc2021.crl
CDP : http://company.rt.ru/cdp/guc2021.crl
CDP : http://rostelecom.ru/cdp/guc2021.crl
=============================================================================
CPCSP: Warning: installing a root certificate with an unconfirmed thumbprint is a security risk. Do you want to install this certificate?
Subject: АО "ПФ "СКБ КОНТУР"
Thumbprint (sha1): 16159C984E6548BDCD0A2C518E493B8194BB0E33
(o)OK, (c)Cancel
o

[ErrorCode: 0x00000000]

при этом, в Root сертификат попадает, но на ошибку не влияет никак.

И, да, в man certmgr по-прежнему написано про -store Root, хотя это уже устарело

Ага, как раз догадался.

Следующая часть марлезонского балета - впихнуть в хранилище приватный ключ. В .pem он 100% есть. Документация на certmgr, как обычно, подробна и рассчитана на неспециалиста, не имеющего доступа к исходникам.

Уже осилил. Вынул, доставил, не понял, почему pkg вылетал - подал команды руками, работает.

Записать надо будет, да.

Итак

1. штатными средствами виндов экспортируем сертификат с приватным ключом
   
2. certmgr при попытке импортировать pfx ругается на хранилище
   
3. ставим cpro-rsa
   
4. pkg вылетает по 11 сигналу
   
5. выполняем команды из +INSTALL руками
   
6. после этого pfx импортируется
   
7. после этого можно сбросить пароль

и вот, ура, заработало