Сертификат в КриптоПро CSP¶

Сертификат в КриптоПро CSP — это запись электронного сертификата ключа, добавляемая в личное хранилище сертификатов криптопровайдера КриптоПро CSP для выполнения электронной подписи, шифрования и аутентификации в информационных системах, работающих с сертификатами, соответствующими стандартам X.509. Процедура установки сертификата является обязательным шагом после получения ключевой пары в удостоверяющем центре и выполняется средствами оснастки «Сертификаты» операционной системы Windows либо утилитой certmgr.exe, входящей в состав дистрибутива КриптоПро CSP.

¶Предварительные требования

Перед добавлением сертификата необходимо выполнить ряд условий:

• Установлен и активирован лицензионный ключ КриптоПро CSP версии 4.0 или выше (для работы с ГОСТ Р 34.10-2012) либо версии 3.6/3.9 (для ГОСТ Р 34.10-2001).
• На компьютере создан контейнер закрытого ключа (файл .key или контейнер в реестре/на токене), соответствующий паре, для которой выпущен сертификат.
• Имеется файл сертификата в формате .cer (DER или Base64), полученный от удостоверяющего центра, как правило, вместе с цепочкой промежуточных сертификатов.

Проверить наличие контейнера можно через оснастку «Сертификаты» → «Личное» → «Сертификаты», кнопка «Открыть контейнер закрытого ключа», либо командой certmgr.exe -c -s -r localMachine My из консоли.

¶Способ 1: Через оснастку «Сертификаты» Windows

Наиболее распространённый способ установки сертификата в личное хранилище:

1. Нажать Win + R, ввести certmgr.msc (для текущего пользователя) или certlm.msc (для локального компьютера, требуется права администратора).
2. Перейти в раздел «Личное» → «Сертификаты».
3. Выполнить команду контекстного меню «Все задачи» → «Импорт…».
4. В мастере импорта указать файл сертификата .cer.
5. В поле «Разместить все сертификаты в следующем хранилище» убедиться, что выбрано хранилище «Личное».
6. Завершить мастер.

После импорта сертификат появится в списке хранилища «Личное». Если сертификат выпущен на контейнер, присутствующий на компьютере, он автоматически связывается с закрытым ключом — в свойствах сертификата в поле «Доступен закрытый ключ» должна отображаться соответствующая строка.

¶Способ 2: Через консольную утилиту certmgr.exe

Утилита certmgr.exe поставляется вместе с КриптоПро CSP (расположена, как правило, в каталоге C:\Program Files\Crypto Pro\CSP\) и позволяет импортировать сертификат без графического интерфейса:

`` certmgr.exe -add -c "путь\к\сертификату.cer" -s -r localMachine My ``

Ключи команды:

• -add — добавить сертификат;
• -c — тип объекта «сертификат»;
• -s — указать хранилище;
• -r localMachine — хранилище локального компьютера (для текущего пользователя используется currentUser);
• My — хранилище «Личное».

Для импорта цепочки промежуточных сертификатов используется хранилище CA (промежуточные) и Root (корневой сертификат УЦ), например:

`` certmgr.exe -add -c "промежуточный.cer" -s -r localMachine CA ``

¶Установка корневого сертификата удостоверяющего центра

Для корректной работы подписи и проверки цепочки сертификатов необходимо установить корневой сертификат удостоверяющего центра в хранилище «Доверенные корневые центры сертификации»:

1. Открыть certmgr.msc → «Доверенные корневые центры сертификации» → «Сертификаты».
2. «Все задачи» → «Импорт…», указать файл корневого сертификата УЦ.
3. При необходимости установить промежуточные сертификаты в хранилище «Промежуточные центры сертификации».

Без установки корневого сертификата УЦ система будет считать подписанные документы недостоверными.

¶Проверка установленного сертификата

После установки рекомендуется выполнить проверку:

• В оснастке «Сертификаты» → «Личное» открыть свойства сертификата и убедиться, что поле «Доступен закрытый ключ» заполнено.
• Запустить оснастку «КриптоПро CSP» → вкладка «Сервис» → «Проверить сертификат» — утилита проверит связь с контейнером и корректность цепочки.
• Для подписи документов в КриптоПро Office/КриптоПро PDF выбрать сертификат из списка и выполнить пробную подпись.

¶Типичные ошибки

¶Особенности для серверных систем

На серверах (Windows Server) сертификаты для работы служб, например IIS или шлюза НСПД, импортируются в хранилище локального компьютера с правами администратора. Для работы с токенами (Рутокен, eToken) предварительно устанавливаются драйверы и CSP-провайдер токена, после чего контейнер ключа доступен через оснастку «Сертификаты».

Источники:

• Официальная документация КриптоПро CSP
• Техническая документация ФНС России по применению средств криптографической защиты информации
• Руководства по эксплуатации КриптоПро CSP 4.0 (ООО «КриптоПро»)