Статус: Новичок
Группы: Участники
Зарегистрирован: 02.08.2021(UTC) Сообщений: 9  Откуда: Москва Сказал(а) «Спасибо»: 1 раз
|
Добрый день. Столкнулся с проблемой - есть файл с присоединенной подписью и сертификатом.  ber_with_sign_attrs_two_signs.bin (4kb) загружен 3 раз(а).На сайте госуслуг (https://www.gosuslugi.ru/pgu/eds/) сообщается, что подпись верна, а (что ожидаемо) сертификат был выдан не аккредитованным УЦ. Snimok ehkrana ot 2022-08-24 17-00-13.png (99kb) загружен 10 раз(а).Но средствами утилиты cryptcp даже сертификаты не находятся: Код:cryptcp -verify -attached -verall ber_with_sign_attrs_two_signs.bin
CryptCP 5.0 (c) "КРИПТО-ПРО", 2002-2022.
Утилита командной строки для подписи и шифрования файлов.
Папка './':
ber_with_sign_attrs_two_signs.bin... Проверка подписи...
Сертификат автора подписи не найден.
Сертификат автора подписи не найден.
Ошибка: Подпись не верна.
../../../../CSPbuild/CSP/samples/CPCrypt/DSign.cpp:959: 0x200001F9
[ErrorCode: 0x200001f9]
Полагаю, что проблема может быть в типе подписанта. Другие файлы, где сертификат подписанта указывается через издателя и серийный номер, нормально обрабатываются и порталом и вашей утилитой. В этом примере сертификат подписанта указывается через идентификатор ключа, что соответствует спецификации, но видимо является для вашей утилиты недопустимым. Или я забыл указать какой-нибудь ключ или параметр?
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,211  Сказал «Спасибо»: 622 раз
Поблагодарили: 2399 раз в 1888 постах
|
Здравствуйте. Да, КриптоАРМ тоже не находит. Snimok ehkrana ot 2022-08-24 18-57-33.png (38kb) загружен 8 раз(а).Через Инструменты КриптоПРО и другие утилиты - успешно проверяется Snimok ehkrana ot 2022-08-24 18-58-33.png (38kb) загружен 7 раз(а). Snimok ehkrana ot 2022-08-24 18-56-43.png (32kb) загружен 6 раз(а). |
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,211 Сказал «Спасибо»: 622 раз
Поблагодарили: 2399 раз в 1888 постах
|
"Разница в работе провайдера и СКЗИ на портале госуслуг",
только работа криптопровайдера здесь причём,
если речь о проверках через утилиты\сервисы, которые могут не все варианты поддерживать... ?
|
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 02.08.2021(UTC) Сообщений: 9 Откуда: Москва Сказал(а) «Спасибо»: 1 раз
|
Версия провайдера 5.0.12500 Linux cptools не проверяет подпись Snimok ehkrana ot 2022-08-24 18-14-04.png (98kb) загружен 15 раз(а).А вторую оснастку не узнаю, может ее нет на Linux? P.S. Согласен (при условии, что найду таки работающую утилиту), провайдер видимо не виновен, захотелось в теме чуть громыхнуть ;) Вероятно через API можно добиться корректной работы по спецификации, которой уже очень много лет, но иногда (например, для пакетной обработки или быстрой диагностики) бывает удобно пользоваться готовыми утилитами. Да и форум пестрит отсылками на них для решения совершенно разных проблем. Печально, что такой полезный инструмент не столь надежен как кажется.
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,211 Сказал «Спасибо»: 622 раз
Поблагодарили: 2399 раз в 1888 постах
|
а что за сервис\ПО формирует такой вариант?
Его нельзя исправить? |
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 02.08.2021(UTC) Сообщений: 9 Откуда: Москва Сказал(а) «Спасибо»: 1 раз
|
Да наверное можно... нужно уточнять зачем ему нужна или полезна именно такая поза.
Только кажется, что из общих соображений и рекомендаций RFC 5652 5.3 "...Implementations MUST support the reception of the issuerAndSerialNumber and subjectKeyIdentifier forms of SignerIdentifier. When generating a SignerIdentifier, implementations MAY support one of the forms..." при формировании подписи можно чем-то ограничиться, но при проверке чего-либо приходящего снаружи следует быть готовым к любому повороту.
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 02.08.2021(UTC) Сообщений: 9 Откуда: Москва Сказал(а) «Спасибо»: 1 раз
|
И таки что не так с cptools из пакета версии 5.0.12500 под linux?
|
|
|
|
|
|
Статус: Сотрудник
Группы: Администраторы, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,244 Сказал(а) «Спасибо»: 106 раз
Поблагодарили: 300 раз в 278 постах
|
добрый день.
в подписи нет подписанного аттрибута 1.2.840.113549.1.9.16.2.47 signingCertificateV2 |
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 02.08.2021(UTC) Сообщений: 9 Откуда: Москва Сказал(а) «Спасибо»: 1 раз
|
Автор: Санчир Момолдаев  добрый день.
в подписи нет подписанного аттрибута 1.2.840.113549.1.9.16.2.47 signingCertificateV2 Добрый! Данный атрибут хоть и имеет давнюю историю, но является обязательным только для чуть более навороченной подписи (CAdES-BES) и рекомендованным для Enhanced Security Services for S/MIME. У утилиты cryptcp есть отдельный флаг -cadesbes - проверить подпись CAdES-BES. При его использовании подписи без этого атрибута действительно не проверяются. Без этого флага проверяются подписи без этого атрибута и без подписанных атрибутов вообще. НО только при условии, что сертификат подписанта задан через издателя и серийник. Так что ваш аргумент не состоятелен
|
|
|
|
|
|
Статус: Сотрудник
Группы: Администраторы, Участники Зарегистрирован: 03.12.2018(UTC) Сообщений: 1,244 Сказал(а) «Спасибо»: 106 раз
Поблагодарили: 300 раз в 278 постах
|
csp по умолчанию создает подпись cades-bes
данный формат подписи позволяет усовершенствовать ее до xlt1
в случае с pkcs7 такое невозможно.
то что cryptcp не смог проверить pkcs7 это конечно неожиданно. соответствующий внутренний запрос был создан.
тем неменее программно подпись проверяется через cades используя CADESCOM_PKCS7_TYPE=0xffff
|
|
 1 пользователь поблагодарил Санчир Момолдаев за этот пост.
|
kpfor оставлено 26.08.2022(UTC)
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close
