Добрый день.

Никак не могу побороть ошибки при попытке выполнить скрипт из примера, приведённого в мануале КриптоПро (только с серийным номером моего сертификата)
http://cpdn.cryptopro.ru...escomsamplesigndata.html
См. сообщение об ошибке на скриншоте VBScript


Дебагер показывает такие значения переменных (см. скриншот) и, подозреваю, что основная причина ошибки может заключаться в значениях, указанных в SignatureTimeStampTime и SigningTime – «Группа или ресурс не находятся в требуемом состоянии ...». В этом случае вопрос про то, как их всё же запустить?


У меня свежекупленый в УЦ КриптоПро сертификат неквалифицированной подписи. Установил - в реестр. Успешно протестировал его на http://www.cryptopro.ru/cadesplugin/Default.aspx.Всё запускаю только на локальном компе (Windows 7 x64)

В отношении исполнения «Требований к конфигурации» при «Создании сообщения с усовершенствованной подписью» http://cpdn.cryptopro.ru.../cades/requirements.html.

1. Должна быть доступна запущенная служба штампов времени (TSP-сервер).
Насколько понимаю, это решено в переменной: sTSAAddress="http://www.cryptopro.ru/tsp/tsp.srf". Я так же прописывал в групповой политике в разделе КриптоПро TSP Клиент -> Службы штампов: адрес службы штампов времени по умолчанию, но это не помогает.

2. Должна быть доступна запущенная служба актуальных статусов (OCSP-сервер).
Задал в групповой политике адрес службы OCSP по-умолчанию http://www.cryptopro.ru/ocspnc/ocsp.srf.
Правильно? Достаточно?


3. OCSP-сервер должен быть сконфигурирован таким образом, чтобы в поле ThisUpdate OCSP-ответа проставлялось текущее время (например, в режиме работы по БД ЦС для КриптоПро OCSP Server).
Это совсем непонятно. М.б. это и не нужно для моего – клиентского случая.



7. Адрес OCSP-сервера должен либо содержаться в расширении AIA (Authority Information Access) сертификата, на ключе которого создаётся подпись, либо должен быть задан в групповой политике КриптоПро OCSP Client Адрес службы OCSP по умолчанию.
Не нашёл у своего сертификата свойства AIA или иного, в котором содержится что-либо похожее на адрес сервера OSCP. См п.2. Задал в групповой политике адрес службы OCSP по-умолчанию http://www.cryptopro.ru/ocspnc/ocsp.srf. Правильно? Достаточно?

8. Сертификат, на котором создаётся подпись и сертификат службы штампов времени, должны проверяться на отзыв и для них должны строиться цепочки.
Это совсем непонятно. Нужно ли это для моего клиентского случая и, если да, то где/как настраивать?

9. Для сертификата службы актуальных статусов должна строиться цепочка, также он должен иметь расширение Признак доверия службе OCSP (id-pkix-ocsp-nocheck - OID 1.3.6.1.5.5.7.48.1.5)
Нужно ли это в моём случае? Где / как это настраивать?

10. Должны быть установлены лицензии на КриптоПро TSP Client и КриптоПро OCSP Client.
Вроде бы выполнено. Установлены тестовые версии CSP 3.6; TSP; OCSP

Пока есть "каша" с понятиями рекомендую воздержаться от каких-то выводов. Иначе они смотрятся достаточно смешно, так как:
1) Можно получить штамп времени на любые данные. Рекомендую почитать мою статью про CAdES;
2) Почитайте наконец что такое "квалифицированная подпись", а так же почитайте что такое "усовершенствованная подпись";
3) Не работало у вас из-за того, что в сертификате отсутствовало расширение AIA, то есть отсутстовала возможность создания "усовершенствованной подписи", которая и делается с помощью Browser Plugin;

В свойствах сертификата... указать OCSP-адрес про это речь?

Андрей, спасибо за подсказку.
Я пробовал записать в этот URL адрес http://www.cryptopro.ru/ocspnc/ocsp.srf. Не помогло.

Юрий.
Сожалею, что своими глупыми текстами я Вас расстроил. Если нам, бегинерам, не стоит здесь задавать вопросы к мудрым, но гордым профессионалам, то м.б. сделать какой-то другой форум, где наши вопросы не будут раздражать ветеранов?

Конечно я понимаю, что изменился не просто номер сертификата, а весь сертификат со всеми его параметрами в связи с чем там появились нужные для правильной работы скрипта параметры.

Я ничего не менял в коде, за исключением значения переменной sSerialNumber = "..." ... поменял на серийный код тестового сертификата. После чего код отработал без выдачи ошибок. Повторюсь - с предыдущим сертификатом vbs-код не работал как с установленным Browser-plugin так и без него.

Я готов доверять вашему утверждению: "Можно получить штамп времени на любые данные". Допускаю мысль, что скрипт не работал по какой-то другой причине, не связанной со штампом времени. Но поскольку в контексте приведённого скрипта и существующей у меня ЭЦП не предлагается никаких практических рекомендаций, то я по-прежнему не представляю как можно было бы заставить работать мой купленный сертификат. После полученных консультаций, не уверен, что при покупке "квалифицированной подписи" что-нибудь измениться.

Термин я взял на сайте УЦ КриптоПро http://www.cryptopro.ru/service/ca, а именно из "Аккредитованный Удостоверяющий центр по 63-ФЗ «Об электронной подписи» (выдает квалифицированные сертификаты ключей проверки электронной подписи)"
В услугах УЦ https://www.cryptopro.ru/order/OrderForm.aspx - это, видимо, "Услуги Удостоверяющего центра по созданию квалифицированного сертификата ключа проверки электронной подписи (по 63-ФЗ)" (5000р)

Я покупал сертификат "Неаккредитованного удостоверяющего центра" - в услугах УЦ- в разделе "Услуги Удостоверяющего Центра по изготовлению сертификата ключа подписи пользователя по централизованной схеме обслуживания" (2500р).