Добрый день!
Пишем на сишарпе клиент для подключения к серверу МДЛП "Честного знака" (REST API). Уперлись в постоянно возникающую ошибку "Запрос был прерван. Не удалось создать защищенный канал SSL/TLS" при попытке подключиться по https. Предположительно проблема в том, что в списке предлагаемых клиентом шифров отсутствуют гостовские, которые требуются серверу. См лог протокола Handshake в прикрепленных файлах. Клиентский и сертификат УЦ установлены.
Собственно вопрос. Как "включить/внедрить" гост-шифры в клиент, чтобы сервер их увидел при установлении соединения? Используем КриптоПро CSP 4.0 и КриптоПро .NET. Может найдется ссылка на пример подобной реализации?
С СКЗИ только недавно начали работать, сильно не пинайте!
Заранее спасибо за помощь!
Support_2019-12-24.JPG (84kb) загружен 27 раз(а). Support_2019-12-25_01.JPG (28kb) загружен 19 раз(а). Support_2019-12-25_03.JPG (43kb) загружен 22 раз(а). Support_2019-12-25_02.JPG (102kb) загружен 21 раз(а).

В сертификате клиента:
алгоритм открытого ключа ГОСТ Р 34.10-2012 256 бит
алгоритм подписи ГОСТ Р 34.11/34.10-2001
алгоритм хэширования ГОСТ Р 34.11-94

Имя сервера: https://api.stage.mdlp.crpt.ru

В IE открывается только по прямому адресу https://185.196.171.27/, и тогда картинка как в прикрепленном файле. Получается IE тоже не знает про гостовские шифры?

Support_2019-12-25_04.JPG (127kb) загружен 21 раз(а).

В тех. требованиях дословно:
"Для взаимодействия по HTTPS используется ГОСТ Р 34.10-2012 сертификат...
Перед установкой соединения необходимо выполнить следующие настройки:
1. Общие настройки:
– В операционной системе Windows (7, 10) добавить запись DisableClientExtendedMasterSecret (dword) в реестре HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL со значением 1 (т.к. Windows по-умолчанию блокирует подобные соединения).
2. Настройки для "Тестового стенда API":
– Адреса API:
• http://api.stage.mdlp.crpt.ru
• https://api.stage.mdlp.crpt.ru
– Добавить в хранилище доверенных сертификатов тестовый корневой сертификат от КриптоПро. Ссылка для загрузки: http://testca.cryptopro.ru/certsrv/certcarc.asp
– В файл hosts добавить запись:
185.196.171.27 api.stage.mdlp.crpt.ru...
Используемые протоколы и шифры для соединения (SSL шифры были выбраны с учетом требований к информационной безопасности по предоставлению публичного API для доступа к государственной информационной системе):
ssl_protocols: TLSv1 ssl_ciphers: GOST2012-GOST8912-GOST8912"

Ничего более. Излишне, наверное, говорить, что все вышеперечисленное выполнено.
Один важный момент. Для работы с их сервером, необходимо сделать заявку, после чего они открывают доступ с вашего ip-адреса. Поэтому, я думаю, Ваши попытки будут блокироваться, если попытаетесь воспроизвести мою ситуацию.

И да, с http проблем нет, все работает.

У меня по-прежнему остается главный вопрос: каким образом заставить клиента (нашу программу) отправлять серверу нужный cipher suite, ведь, по-видимому, именно в этом проблема. И IE, судя по всему, не может соединиться по той же причине. Где-то у нас в системе не прописаны гостовские шрифты. Должны они устанавливаться при инсталляции КриптоПро CSP?

Нет ничего лишнего.
Да, как раз это хотел уточнить.

Сборки ПО какие (КриптоПРО CSP\.NET), ОС?

Не считаю.
Добавив корневой в доверенные - будет открываться без сообщения.
Вы соединились по ГОСТ-у, т.е. он работает в ОС.