Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
5 Страницы123>»
Сертификаты в формате КриптоПро - Импорт цепочки промежуточных серстификатов в формате КриптоПро
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline VictoR__n  
#1 Оставлено : 16 мая 2025 г. 16:33:58(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Коллеги, приветствую
На Astra Linux 1.7SE установлен CryptoPro
CSP (Type:80) v5.0.10013 KC1 Release Ver:5.0.13000 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.

Суть, развертываю СМЭВ4, и получил от Госуслуг архив с тестовыми ключами

├── certs — папка с сертификатами
├── хххххххх.cer — файл сертификата
└── cp_ca_store — хранилище доверенных сертификатов в формате CryptoPro
└── keys/хххххххх.000 — контейнер
├── header.key
├── masks2.key
├── masks.key
├── name.key
├── primary2.key
└── primary.key

Не работает связка сертификатов,

Вот вывод проверки цепочки

~$ /opt/cprocsp/bin/amd64/cryptcp -copycert -dn 'CN="АО ""ХХХХХХХХХ""' -df /tmp/certs/xxxxxxxx.cer
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2024.
Утилита командной строки для подписи и шифрования файлов.

Будет использован следующий сертификат:
Субъект:"АО ""ХХХХХХХХХ""", RU, 77 г. Москва, ХХХХХХХХХ, ХХХХХХХХХ
Действителен с 14.05.2025 00:00:00 по 14.08.2026 00:00:00

Цепочка сертификатов не проверена для следующего сертификата:
Субъект:"АО ""ХХХХХХХХХ""", RU, 77 г. Москва, ХХХХХХХХХ, ХХХХХХХХХ
Действителен с 14.05.2025 00:00:00 по 14.08.2026 00:00:00

Ошибка: Цепочка сертификатов не проверена для следующего сертификата (статус цепочки 0x10000):
../../../../CSPbuild/CSP/samples/CPCrypt/Certs.cpp:389: 0x20000133
Вы хотите использовать этот сертификат (Да[Y], Нет[N], Отмена[C])?c

Ошибка: Операция отменена пользователем.
../../../../CSPbuild/CSP/samples/CPCrypt/Certs.cpp:408: 0x20000066
[ErrorCode: 0x20000066]
~$

Сам сертификат импортирован и ~$ /opt/cprocsp/bin/amd64/certmgr -list
его корректно отображает

Подскажите, что за формат такой "хранилище доверенных сертификатов в формате CryptoPro" и как его импортировать в mRoot
При импорте ошибка - не известный формат
Вот кусок этого файла (см вложение)
111.JPG (42kb) загружен 10 раз(а).

Помогите разобраться, что не так делаю?
Спасибо

Отредактировано пользователем 17 мая 2025 г. 2:03:56(UTC)  | Причина: Не указана
Вверх
Offline nickm  
#2 Оставлено : 16 мая 2025 г. 16:46:48(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,866

Сказал(а) «Спасибо»: 653 раз
Поблагодарили: 506 раз в 477 постах
Автор: VictoR__n Перейти к цитате
Подскажите, что за формат такой "хранилище доверенных сертификатов в формате CryptoPro" и как его импортировать в mRoot

Попробуйте не импортировать, а полностью заменить хранилище mCA по пути:
Код:
/var/opt/cprocsp/users/stores/ca.sto

, на всякий случай оригинальный файл хранилища забэкапьте.
Вверх
Offline VictoR__n  
#3 Оставлено : 16 мая 2025 г. 22:49:13(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Это костыли, штатных методов нет?
Что за формат и как с ним работать?
Вверх
Offline nickm  
#4 Оставлено : 16 мая 2025 г. 23:19:05(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,866

Сказал(а) «Спасибо»: 653 раз
Поблагодарили: 506 раз в 477 постах
Автор: VictoR__n Перейти к цитате
Это костыли

Почему костыли? Вам предоставили файл хранилища, так используйте его по назначению;

Автор: VictoR__n Перейти к цитате
штатных методов нет?

Код:
$ /opt/cprocsp/bin/amd64/certmgr -help

, или;

Автор: VictoR__n Перейти к цитате
Что за формат и как с ним работать?

Внутренний формат хранилищ "КриптоПро", с которым можно работать с помощью утилит "КриптоПро".

Как вариант, можно:
1. экспортировать текущее mCA хранилище в файл;
2. после файл хранилища заменить на присланный;
3. после импортировать/ установить сертификаты из файла созданного на первом шаге.

По итогу получится объединённое хранилище сертификатов.

Добавлено:

Автор: nickm Перейти к цитате
Почему костыли? Вам предоставили файл хранилища, так используйте его по назначению;

Вот если бы изначально прислали файл экспорта из хранилища, то достаточно было бы его установить/ импортировать с помощью certmgr.

Таким образом можно экспортировать сертификаты из присланного хранилища "не трогая/ не заменяя" уже имеющееся собственное хранилище (те же яйца только в профиль):
1. перемещаете текущий файл хранилища ca.sto из пути по умолчанию;
2. перемещаете в путь по умолчанию присланный файл хранилища в файл ca.sto;
3. производите экспорт в файл(ы) всего того что окажется в присланном хранилище;
4. заменяете файл хранилища по пути по умолчанию файлом из шага 1;
5. импортируете/ устанавливаете файл(ы) из шага 3.

Отредактировано пользователем 17 мая 2025 г. 9:26:12(UTC)  | Причина: Не указана
Вверх
Offline VictoR__n  
#5 Оставлено : 17 мая 2025 г. 2:00:12(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Спс
Вверх
Offline VictoR__n  
#6 Оставлено : 19 мая 2025 г. 7:30:29(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Автор: VictoR__n Перейти к цитате
Спс


Ну не понимает утилита этот файл
Подмена ничего не решила
Назначение/EKU : 1.3.6.1.5.5.7.3.2 Проверка подлинности клиента
Цепочка сертификатов: Произошла внутренняя ошибка в цепочке сертификатов. (0x800b010a)
Файт приложил cp_ca_store.zip (4kb) загружен 9 раз(а).
Вверх
Offline VictoR__n  
#7 Оставлено : 19 мая 2025 г. 7:36:43(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Приведите пример команды (linux) чтобы прочитать этот файл,
/opt/cprocsp/bin/amd64/certmgr - не может с ним работать.
Вверх
Offline nickm  
#8 Оставлено : 19 мая 2025 г. 8:26:28(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,866

Сказал(а) «Спасибо»: 653 раз
Поблагодарили: 506 раз в 477 постах
Автор: VictoR__n Перейти к цитате
Ну не понимает утилита этот файл

Значит это не формат хранилища "КриптоПро";

Автор: VictoR__n Перейти к цитате
Файл приложил

По формату не подскажу - возможно более опытные пользователи подскажут, но в файле 8 сертификатов, извлёк их вручную:

Код:
$ ls

blastoff_ca_test2.cer  blastoff_ca_test.crt  guc2022.cer  mc_until_2039.cer  mks.cer  rtk_ca.cer  test_ca_rtk.cer  test_ca_rtk_new.cer
Вверх
Offline VictoR__n  
#9 Оставлено : 19 мая 2025 г. 8:30:06(UTC)
VictoR__n

Статус: Участник

Группы: Участники
Зарегистрирован: 16.05.2025(UTC)
Сообщений: 23
Мужчина
Российская Федерация
Откуда: Москва
Каким образом извлек?
приложи команду...
Вверх
Offline nickm  
#10 Оставлено : 19 мая 2025 г. 9:31:51(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,866

Сказал(а) «Спасибо»: 653 раз
Поблагодарили: 506 раз в 477 постах
Автор: VictoR__n Перейти к цитате
Каким образом извлек?

Просто в HEX-редакторе нарезал;

Автор: VictoR__n Перейти к цитате
приложи команду...

Команды нет, т.к.:
Автор: nickm Перейти к цитате
извлёк их вручную

, но лучше подождать и понадеется, что:
Автор: VictoR__n Перейти к цитате
возможно более опытные пользователи подскажут

Могу извлечённые сертификаты приложить, если это действительно кому-то нужно.

cp_ca_store.zip (7kb) загружен 11 раз(а).
Вверх
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
5 Страницы123>»
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2025, Yet Another Forum.NET