Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
2 Страницы12>
Проблема CSP КС2 + Astra Linux + USB over IP + RuToken - КриптоПро CSP 5.0.13000
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Online Анатолий Широков  
#1 Оставлено : 15 сентября 2025 г. 16:48:58(UTC)
Анатолий Широков

Статус: Активный участник

Группы: Участники
Зарегистрирован: 22.01.2019(UTC)
Сообщений: 31
Мужчина
Российская Федерация
Откуда: Санкт-Петербург

Сказал «Спасибо»: 13 раз
Добрый день!

Стоит задача автоматического подписания, используя сертификат обезличенной подписи на базе КриптоПро CSP.

Есть сервер Astra Linux 1.8.3, установлены модули usbip-core, vhci-hcd, есть USB HUB(NIO-EUSB), туда подключен RuToken ECP.

Установлена поддержка Рутонен:
Код:
apt -y install /root/tokens/librtpkcs11ecp_2.17.5.0-1_amd64.deb


Установлен КриптоПро CSP KC2 (требуется тоннель к HSM) с поддержкой токенов:
Код:

./install.sh kc2 cprocsp-rdr-cloud cprocsp-rdr-cryptoki cprocsp-rdr-cpfkc cprocsp-rdr-jacarta cprocsp-rdr-rutoken cprocsp-rdr-pcsc  cprocsp-stunnel lsb-cprocsp-pkcs11


После подключения устройства через CLI NIO-EUSB, сам токен виден:


Но при попытке вывести ридеры я получаю только HDIMAGE и, как следствие, пустой список контейнеров:


Что не докрутили?

Заранее спасибо за любые хинты!

Отредактировано пользователем 18 сентября 2025 г. 17:06:16(UTC)  | Причина: Не указана
Вверх
Online Русев Андрей  
#2 Оставлено : 16 сентября 2025 г. 8:52:55(UTC)
Русев Андрей

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 16.04.2008(UTC)
Сообщений: 1,543

Сказал(а) «Спасибо»: 43 раз
Поблагодарили: 639 раз в 441 постах
Здравствуйте.
Команда, вокруг которой надо собирать зацепки:
Код:
csptest -enum -info -type PP_ENUMREADERS -flags 32

  • Попробуйте посмотреть ошибки в системном журнале при её выполнении
  • Запустите pcscd в интерактивном отладочном режиме, этот журнал может дать подсказки
    Код:
    pcscd -df

  • Попробуйте конфигурацию попроще и на актуальной версии (когда доведёте её до успеха, вернётесь к своей):
    Код:
    ./install.sh kc1 cprocsp-rdr-pcsc cprocsp-rdr-rutoken

    • Официальная техподдержка. Официальная база знаний.
    Вверх
    thanks 2 пользователей поблагодарили Русев Андрей за этот пост.
    nickm оставлено 16.09.2025(UTC), Анатолий Широков оставлено 17.09.2025(UTC)
    Online Анатолий Широков  
    #3 Оставлено : 18 сентября 2025 г. 10:28:34(UTC)
    Анатолий Широков

    Статус: Активный участник

    Группы: Участники
    Зарегистрирован: 22.01.2019(UTC)
    Сообщений: 31
    Мужчина
    Российская Федерация
    Откуда: Санкт-Петербург

    Сказал «Спасибо»: 13 раз
    Спасибо большое за ответ!

    Поднял версию КриптоПро CSP до R4 5.0.13600

    Запустил в режиме отладки pcscd

    Код:
    pcscd -df


    Ошибок нет


    Включил режим аудита КриптоПро CSP:
    Код:
    cpconfig -loglevel csp -mask 0x0003f
cpconfig -loglevel pcsc -mask 0x0003f
cpconfig -loglevel cspr -mask 0x0003f


    При вызове csptest -enum вижу только HDIMAGE:
    Код:
    csptest -enum -info -type PP_ENUMREADERS -flags 32
CSP (Type:80) v5.0.10014 KC2 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
CryptAcquireContext succeeded.HCRYPTPROV: 146350883
GetProvParam(...PP_ENUMREADERS...) until it returns false
Flags: 0x20
  Len    Byte  NickName/Name/Media
___________________________________
 0x022d  0x00  HDIMAGE
               HDD key storage
               NO_UNIQUE
Cycle exit when getting data. 1 items found. Level completed without problems.
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.000 sec
[ErrorCode: 0x00000000]


    pcscd никак не отреагировал, лог не изменился, в syslog вижу отладочную информацию от csptest:



    Что еще можно посмотреть?

    Отредактировано пользователем 18 сентября 2025 г. 10:35:37(UTC)  | Причина: Не указана
    Вверх
    Online Русев Андрей  
    #4 Оставлено : 18 сентября 2025 г. 12:12:50(UTC)
    Русев Андрей

    Статус: Сотрудник

    Группы: Администраторы, Участники
    Зарегистрирован: 16.04.2008(UTC)
    Сообщений: 1,543

    Сказал(а) «Спасибо»: 43 раз
    Поблагодарили: 639 раз в 441 постах
    Автор: Анатолий Широков Перейти к цитате
    pcscd никак не отреагировал, лог не изменился
    Это значит, провайдер (в отличие от csptest -card) не обращался к pcscd. Объяснить это непросто. Как будто после выполнения в postinstall-скрипте пакета cprocsp-rdr-pcsc команды
    Код:
    cpconfig -ini '\config\parameters' -add long dynamic_readers 1

    не было рестарта cryptsrv. Можно попробовать вручную, убеждаясь, что процесс завершился и породился новый:
    Код:
    # /etc/init.d/cprocsp stop; ps -Af|grep -v grep|grep cryptsrv && echo "!!!failed to stop!!!"; /etc/init.d/cprocsp start

    Ну и всё же я предлагаю сначала изучать более простую конфигурацию, чем у вас (не kc2):
    Код:
    ./install.sh kc1 cprocsp-rdr-pcsc cprocsp-rdr-rutoken

    Официальная техподдержка. Официальная база знаний.
    Вверх
    thanks 2 пользователей поблагодарили Русев Андрей за этот пост.
    nickm оставлено 18.09.2025(UTC), Анатолий Широков оставлено 18.09.2025(UTC)
    Online Анатолий Широков  
    #5 Оставлено : 18 сентября 2025 г. 13:27:26(UTC)
    Анатолий Широков

    Статус: Активный участник

    Группы: Участники
    Зарегистрирован: 22.01.2019(UTC)
    Сообщений: 31
    Мужчина
    Российская Федерация
    Откуда: Санкт-Петербург

    Сказал «Спасибо»: 13 раз
    Андрей, еще раз спасибо за ответ и участие!

    Убрал из системы opensc (он был указан в статье https://wiki.astralinux....action?pageId=32834416), прочитал что с ним может быть конфликт.

    Упростил установку КриптоПро CSP до:

    Код:
    ./install.sh \
  kc1 \
  lsb-cprocsp-rdr \
  lsb-cprocsp-pkcs11 \
  cprocsp-rdr-pcsc \
  cprocsp-rdr-jacarta \
  cprocsp-rdr-rutoken \
  cprocsp-rdr-cryptoki \
  cprocsp-stunnel


    Теперь она представляет собой:
    Код:
    dpkg -l | grep cprocsp



    В части pcsc и ccid:
    Код:
    dpkg -l|grep 'pcsc\|ccid\|rutoken'



    Карту вижу:
    Код:
    
/opt/cprocsp/bin/amd64/csptest -card -enum -v -v -v
Aktiv Rutoken ECP 00 00
  Card present, ATR=3B 8B 01 52 75 74 6F 6B 65 6E 20 44 53 20 C1 
  Unknown applet
  S/N: Len: 0, Data: 
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.920 sec
[ErrorCode: 0x00000000]


    И начало работать перечисление ридеров:
    Код:
    csptest -enum -info -type PP_ENUMREADERS -flags 32



    Осталось теперь понять почему не видит контейнер на токене (контейнеры HDIMAGE опустил):

    Код:
     csptest -keyset -enum_cont -fqcn -verifycontext
CSP (Type:80) v5.0.10014 KC1 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
AcquireContext: OK. HCRYPTPROV: 563466803
...
OK.
Total: SYS: 0.000 sec USR: 0.010 sec UTC: 3.760 sec
[ErrorCode: 0x00000000]


    Лог этой команды такой:


    Ошибок, вроде, не видно. Что может быть? На Windows я контейнер на этом токене вижу.
    Вверх
    Online Русев Андрей  
    #6 Оставлено : 18 сентября 2025 г. 13:50:21(UTC)
    Русев Андрей

    Статус: Сотрудник

    Группы: Администраторы, Участники
    Зарегистрирован: 16.04.2008(UTC)
    Сообщений: 1,543

    Сказал(а) «Спасибо»: 43 раз
    Поблагодарили: 639 раз в 441 постах
    Автор: Анатолий Широков Перейти к цитате
    Осталось теперь понять почему не видит контейнер на токене
    Может, он на ФКН-апплете? Тогда дополнительно нужен пакет cprocsp-rdr-cpfkc. После его установки надо ожидать появление ещё одного ридера в списке.

    Официальная техподдержка. Официальная база знаний.
    Вверх
    thanks 1 пользователь поблагодарил Русев Андрей за этот пост.
    Анатолий Широков оставлено 18.09.2025(UTC)
    Online Анатолий Широков  
    #7 Оставлено : 18 сентября 2025 г. 14:20:41(UTC)
    Анатолий Широков

    Статус: Активный участник

    Группы: Участники
    Зарегистрирован: 22.01.2019(UTC)
    Сообщений: 31
    Мужчина
    Российская Федерация
    Откуда: Санкт-Петербург

    Сказал «Спасибо»: 13 раз
    Андрей, еще раз большое спасибо!

    После установки cprocsp-rdr-cpfkc появились новые ридеры:

    Код:
    csptest -enum -info -type PP_ENUMREADERS -flags 32
CSP (Type:80) v5.0.10014 KC1 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
CryptAcquireContext succeeded.HCRYPTPROV: 90923891
GetProvParam(...PP_ENUMREADERS...) until it returns false
Flags: 0x20
  Len    Byte  NickName/Name/Media
___________________________________
 0x022d  0x00  HDIMAGE
               HDD key storage
               NO_UNIQUE
 0x022d  0x1b  Aktiv Rutoken ECP 00 00
               Rutoken FKC
               rutoken_fkc_42774604
 0x022d  0x03  Aktiv Rutoken ECP 00 00
               Rutoken FKC
               rutoken_ecp_42774604
 0x022d  0x0b  Aktiv Rutoken ECP 00 00
               Rutoken ECP
               pkcs11_rutoken_ecp_42774604
Cycle exit when getting data. 4 items found. Level completed without problems.
Total: SYS: 0.010 sec USR: 0.020 sec UTC: 18.570 sec
[ErrorCode: 0x00000000]


    И появился контейнер:

    Код:
    csptest -keyset -enum_cont -fqcn -verifycontext
CSP (Type:80) v5.0.10014 KC1 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
AcquireContext: OK. HCRYPTPROV: 972617379
...
\\.\Aktiv Rutoken ECP 00 00\c2b75a5a4-f81e-a21d-69dc-06114269ea1
OK.
Total: SYS: 0.010 sec USR: 0.020 sec UTC: 16.090 sec
[ErrorCode: 0x00000000


    Теперь надо проверит КС2

    Отредактировано пользователем 18 сентября 2025 г. 17:23:15(UTC)  | Причина: Не указана
    Вверх
    Online Анатолий Широков  
    #8 Оставлено : 18 сентября 2025 г. 16:56:54(UTC)
    Анатолий Широков

    Статус: Активный участник

    Группы: Участники
    Зарегистрирован: 22.01.2019(UTC)
    Сообщений: 31
    Мужчина
    Российская Федерация
    Откуда: Санкт-Петербург

    Сказал «Спасибо»: 13 раз
    Похоже, поторопился. При установке KC2 виден только HDIMAGE.

    Код:
     csptest -enum -info -type PP_ENUMREADERS -flags 32
CSP (Type:80) v5.0.10014 KC2 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
CryptAcquireContext succeeded.HCRYPTPROV: 655151731
GetProvParam(...PP_ENUMREADERS...) until it returns false
Flags: 0x20
  Len    Byte  NickName/Name/Media
___________________________________
 0x022d  0x00  HDIMAGE
               HDD key storage
               NO_UNIQUE
Cycle exit when getting data. 1 items found. Level completed without problems.
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.010 sec
[ErrorCode: 0x00000000]


    В логе ничего в плане ошибок


    При этом карту видит:
    Код:
    csptest -card -enum -v -v -v
Aktiv Rutoken ECP 00 00
  Card present, ATR=3B 8B 01 52 75 74 6F 6B 65 6E 20 44 53 20 C1 
  Unknown applet
  S/N: Len: 0, Data: 
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.770 sec
[ErrorCode: 0x00000000]


    Состав модулей:
    Код:
    dpkg -l | grep cprocsp
ii  cprocsp-curl-64               5.0.13600-7                             amd64        CryptoPro cURL shared library and application. Build 13600.
ii  cprocsp-rdr-cpfkc-64          5.0.13600-7                             amd64        FKC support module
ii  cprocsp-rdr-cryptoki-64       5.0.13600-7                             amd64        Module for PKCS11 keys support. Build 13600.
ii  cprocsp-rdr-jacarta-64        5.0.13600-7                             amd64        JaCarta support module
ii  cprocsp-rdr-pcsc-64           5.0.13600-7                             amd64        CryptoPro CSP. PC/SC devices support. Build 13600.
ii  cprocsp-rdr-rutoken-64        5.0.13600-7                             amd64        Rutoken support module
ii  cprocsp-stunnel-64            5.0.13600-7                             amd64        CryptoPro Universal SSL/TLS tunnel. Build 13600.
ii  lsb-cprocsp-base              5.0.13600-7                             all          CryptoPro CSP directories and scripts. Build 13600.
ii  lsb-cprocsp-ca-certs          5.0.13600-7                             all          CryptoPro CA certificates. Build 13600.
ii  lsb-cprocsp-capilite-64       5.0.13600-7                             amd64        CryptoPro CSP. CryptoAPI Lite libraries and applications. Build 13600.
ii  lsb-cprocsp-kc2-64            5.0.13600-7                             amd64        CryptoPro CSP KC2. Build 13600.
ii  lsb-cprocsp-pkcs11-64         5.0.13600-7                             amd64        CryptoPro PKCS11. Build 13600.
ii  lsb-cprocsp-rdr-64            5.0.13600-7                             amd64        CryptoPro CSP common libraries and utilities. Build 13600.


    В KC2 режиме моя конфигурация не будет работать?

    КС2 мне нужен для установки тоннеля с HSM.

    Отредактировано пользователем 18 сентября 2025 г. 17:16:42(UTC)  | Причина: Не указана
    Вверх
    Online Русев Андрей  
    #9 Оставлено : 18 сентября 2025 г. 18:42:14(UTC)
    Русев Андрей

    Статус: Сотрудник

    Группы: Администраторы, Участники
    Зарегистрирован: 16.04.2008(UTC)
    Сообщений: 1,543

    Сказал(а) «Спасибо»: 43 раз
    Поблагодарили: 639 раз в 441 постах
    Автор: Анатолий Широков Перейти к цитате
    В KC2 режиме моя конфигурация не будет работать?
    Должна работать. Проблема, вероятно, в отсутствии доступа нашего демона cryptsrv к демону pcscd. У вас мандатная система не включена (Воронеж/Смоленск)? Под root-ом lsusb / csptest -card показывают токен? А KC1-провайдер может перечислить контейнеры под root-ом?
    Официальная техподдержка. Официальная база знаний.
    Вверх
    Online Анатолий Широков  
    #10 Оставлено : 19 сентября 2025 г. 11:36:13(UTC)
    Анатолий Широков

    Статус: Активный участник

    Группы: Участники
    Зарегистрирован: 22.01.2019(UTC)
    Сообщений: 31
    Мужчина
    Российская Федерация
    Откуда: Санкт-Петербург

    Сказал «Спасибо»: 13 раз
    Все команды выше выполняются под root, используется базовая установка Astra Linux 1.8.3, мандатная система отключена.

    Все демоны запущены под root. Как проверить наличие доступа cryptsrv к демону pcscd?

    По root-ом вызов lsusb, csptest -enum -card показывает токен:
    Код:
    
root@astra# lsusb
Bus 002 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub
Bus 001 Device 061: ID 0a89:0030 Aktiv Rutoken ECP
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
root@astra# csptest -card -enum -v -v -v
Aktiv Rutoken ECP 00 00
  Card present, ATR=3B 8B 01 52 75 74 6F 6B 65 6E 20 44 53 20 C1 
  Unknown applet
  S/N: Len: 0, Data: 
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.560 sec
[ErrorCode: 0x00000000]


    А вот с перечислением только HDIMAGE:
    Код:
    root@astra# csptest -enum -info -type PP_ENUMREADERS -flags 32
CSP (Type:80) v5.0.10014 KC2 Release Ver:5.0.13600 OS:Linux CPU:AMD64 FastCode:READY:AVX,AVX2.
CryptAcquireContext succeeded.HCRYPTPROV: 234406515
GetProvParam(...PP_ENUMREADERS...) until it returns false
Flags: 0x20
  Len    Byte  NickName/Name/Media
___________________________________
 0x022d  0x00  HDIMAGE
               HDD key storage
               NO_UNIQUE
Cycle exit when getting data. 1 items found. Level completed without problems.
Total: SYS: 0.000 sec USR: 0.000 sec UTC: 0.000 sec
[ErrorCode: 0x00000000]


    В syslog-e намеков не видно:


    Что еще можно посмотреть? Может какие-то конфигурационные параметры по умолчанию для КС2 выключены для ридеров?

    Отредактировано пользователем 19 сентября 2025 г. 12:12:48(UTC)  | Причина: Не указана
    Вверх
    RSS Лента  Atom Лента
    Пользователи, просматривающие эту тему
    Guest
    2 Страницы12>
    Быстрый переход  
    Вы не можете создавать новые темы в этом форуме.
    Вы не можете отвечать в этом форуме.
    Вы не можете удалять Ваши сообщения в этом форуме.
    Вы не можете редактировать Ваши сообщения в этом форуме.
    Вы не можете создавать опросы в этом форуме.
    Вы не можете голосовать в этом форуме.

    Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2025, Yet Another Forum.NET