Крипто-про совместимость 4 и 5
 

Клиенту дали ЭЦП в ФНС на токене . Предполагаю что крипто-про5.0 . У клиента установлена 4.0 . ЭЦП на токене видит , сертификат пользователю устанавливается.
Задача восстановить ЭДО после получения новой ЭЦП
Розница 10.3 . Когда добавляю новый сертификат уже в самой программе говорит необходима регистрация в ЭДО, это займет несколько минут , но спрашивает пароль на сертификат . Пароль в ФНС не ставили и при тестировании через крипто-про тоже не спрашивал.
Возможно ли возникновение такой ошибки с тем что у клиента 4.0 ????
Кто-нибудь сталкивался ???

[quote=rm1965;48688779]Кто-нибудь сталкивался ?[/quote]
Я сталкивался. Для работы рутокена на виндовс 10 нужен криптоПро 5.0. Для виндовс 11 криптоПро 5.0R2 (иначе будут проблемы с обновлением DrWeb, с работой скайп и тому подобное)
КриптоПро 4 до 5 обновится при накатывании 5го, но ключ не подойдёт. Тут два варианта: либо после наката 5го он, КриптоПро, вовсе работать перестанет, написав, что лицензия истекла, либо начнёт трёхмесячный отсчёт пробного периода. Тут всё зависит, как криптоПро 4й приобретался: либо в составе СБиС, либо отдельно, со своим ключом. Но, как бы то ни было, 5й нужно покупать.
На других ОС, говорят, можно как-то заставить криптоПро 4 увидеть руТокен, но я не пробовал, не знаю.
Забыл добавить: некоторые особо модные бухгалтера сначала подтыкают руТокен в комп, думая, что это флешка, отвечают на вопросы "да/есть/так точно", которые задаёт Виндовс при установке нового оборудования, а потом прибегают с жалобами: "Караул! Компьютер не видит флешку!" Как нетрудно догадаться, так делать категорически не следует. Сначала накатываются драйверы РуТокена, а потом токен втыкается. Иначе поимеем удовольствие выдирать стандартные майковские драйверы, чтобы встали рутокеновские.Так себе удовольствие.

Виноват. Прочёл вопрос как "ЭЦП на токене НЕ видит".

Да , вопрос именно про запрос пароля при регистрации в сервисе ЭДО ,которого на самом деле нет .

[quote=rm1965;48688831]которого на самом деле нет .[/quote]
Видишь суслика? (с) ДМБ :)))

стоковый (то бишь заводской) пароль [b]по умолчанию[/b] на обычном рутокене (лайт или S) - 12345678
пароль администратора - наоборот - 87654321

вообще в яндексе легко гуглятся по ключевым словам "[em]пароли по умолчанию на носителях[/em]". иногда в разных источниках встречаются разночтения, но, как правило, все ОК.
к примеру:

[url]https://opensro.ru/site/page/std-pin#:~:text=Носители%20Rutoken%20S%2FLite%2FЭЦП%202.0%3A%2012345678,пользователя%3A%201234567890.%20Носители%20eSmart%2FJaCarta%2FJaCarta%20LT%3A[/url]
[url]https://kbp.aladdin-rd.ru/index.php?EntryID=85&View=entry[/url]
[url]https://astral.ru/info/nositeli-etsp/pin-kod-dlya-jacarta/[/url]

[quote=Странный аттрактор;48688785]Но, как бы то ни было, 5й нужно покупать. На других ОС, говорят, можно как-то заставить криптоПро 4 увидеть руТокен, но я не пробовал, не знаю.[/quote]
Крипто Про 4 прекрасно работает на windows 10, (только желательно ставить R6 либо R7). Вообще крипто про начал работать с 10-й windows начиная с версии криптопро 3.9 R2 и рос одновременно с ростом Win10-ки.

КриптоПро 4 замечательно работает с рутокенами, в том числе и на windows 10.

Вот на windows 11 [b]ничего не тестировала[/b], ибо у меня клиенты в основном бюджетники и работают с сертифицированными версиями, а на win11 еще не сертифицировано.

Более того скажу - Федеральное Казначейство особо выделяет в своих требованиях генерацию ключей УЦ ФК именно и только на Крипто Про 4. И некоторые отделения УФК даже заворачивают запросы на сертификаты, сгенерированные в Крипто Про 5, как не соответствующие требованиям. В запросе (файлике *.req) видно, на каком СКЗИ его сгенерировали.
Поэтому наши бюджетники и сидят на криптопро4 в подавляющем большинстве,
Да и в казначействе бюджетникам бесплатно выдают именно криптопро4. И у всех у них все (тьфу-тьфу) пока замечательно работает по нынешнюю windows 10 включительно.

стоковый (то бишь заводской) пароль по умолчанию на обычном рутокене (лайт или S) - 12345678
пароль администратора - наоборот - 87654321

А пароль сертификата ??? 4.0 прекрасно увидела ЭЦП , установила сертификат пользователю , а проблема при отправке идентификации ЭДО
И еще , лично для блондинки в шок ,я тоже в основном с бюджетниками , очень хотелось бы пообщаться насчет тарификации подушевого финансирования , у нас давно есть интересные решения , хотелось бы обменяться информацией , можете мне написать в [email]rm1965@mail.ru[/email] ???
Заранее спасибо.

[quote=rm1965;48690823]А пароль сертификата ???[/quote] А попробовать? Просто самому взять и попробовать.. на просьбу ввести пароль прям вот так вот не стесняться, а взять и ввести - [em]12345678[/em].. на опыте убедиться.. как там [em]наше все[/em] (не нынешнее [em]наше все[/em], а давнишнее) сказало - [em]и опыт, сын ошибок трудный...[/em]

Да и вообще - есть эцп, а есть сертификат эцп.. есть шуба, а есть сертификат на шубу.
Или, чтобы для мужчин понятнее - есть хороший коллекционный коньяк, а есть сертификат на него.
И когда говорят - "[em]пароль на сертификат[/em]" - хм.. так и представляю .. шубу.. с ножом у горла требующую пароль.. на сертификат..


**********************
небольшое отвлечение, соседней веткой навеяло - вот никогда не понимала, почему говорят - [em]и опыт, сын ошибок трудн[b]ЫХ[/b][/em]? почему это ошибки трудные? само понятие - "трудная ошибка"?
Я считаю, что именно опыт труднЫЙ, тяжело достающийся ценой различных ошибок.
И имхо правильнее говорить - [em]и опыт, сын ошибок трудн[b]ЫЙ[/b][/em].
конец отступления.
*****************************************************

[quote=rm1965;48690823]пообщаться насчет тарификации подушевого финансирования , у нас давно есть интересные решения ,[/quote] Если честно, то вот как раз этот вопрос вне моей компетенции.
Если это тарифы на социальные услуги, входящие в перечень социальных услуг, предоставляемых поставщиками социальных услуг в области, то нам просто сверху Правительство области спускает готовые тарифы
если это расчет показателей подушевого финансирования основных общеобразовательных программ, то опять же у нас так сложилось, что есть школы, а есть департамент образования, в котором "особые" люди решают львиную долю этого вопроса и с которыми я не контактирую.

Поэтому честно скажу, я этим вопросом не владею вообще, потому что на практике никогда не сталкиваюсь и вряд ли столкнусь. А без практики - хм.. для меня это темный лес.

[quote=Блондинка в шок;48691064]Я считаю, что именно опыт труднЫЙ, тяжело достающийся ценой различных ошибок.[/quote]
А это ласково просим к нашему шалашу в "Казусы Чучундера"
И не надо заниматься переписыванием истории ... э-э, переписыванием поэтических строк классиков, утвержденных мин. Культуры и мин. Образования.

Возвращаюсь к крипто про . Пароль не подошел , особо в это и не верил ,это пароль токена . Сертификат без пароля . Поставили 5.0 , так же сертификат увиделся и установился . При отправке на идентификацию в ЭДО из программы пароль уже не спрашивает , но теперь дает ошибку сервиса , судя по ошибке неправильный отправитель , хотя все проверил , пишет попробуйте позже . Теперь думаю надежда на обновление релиза розницы, он где примерно сентябрьский .

Не бывает отдельного "[em]пароля на сертификат[/em]".
пароль на сертификат, пароль на контейнер с закрытым ключом, и даже pin-код на рутокен (лайт или S) - это все суть одно и то же, только называют на разных кухнях по-разному, причем упоминание сертификата - это неправильный кухонный термин.

Но по сути это просто защита для доступа к контейнеру (и использованию) закрытого ключа, как ни называй, суть одна - [em]защита для доступа к контейнеру закрытого ключа[/em].
Хотя, конечно, чисто формально для флэшки это называется пароль, а для токена - формально называется pin-код.


Сертификат же содержит открытый ключ, который ты по сути предоставляешь всем страждущим, и ставить пароль именно на сертификат (открытый ключ), предоставляемый во всеобщий доступ - верх бессмысленности. К чему паролить то, что предоставляется во всеобщее обозрение?
То, что сертификат видится, ставится, тестируется и т.д. - ни о чем. Пока не понадобится доступ к контейнеру закрытого ключа, пароль (pin-код) запрашиваться и не будет.


И еще - если рутокен был новый, свежекупленный, то в ФНС не должны были менять заводской pin-код. У нас в наших ИФНС не меняют, так и остается стоковый пароль (он же pin-код). Да это и понятно, инспектор в ФНС, чтобы изменить (или сбросить) стоковый pin-код, должна совершить лишние телодвижения - набрать заводской 12345678, потом набрать свой (или пустой), им оно надо?... не надо, они лепят на заводской pin и все.

А вот если рутокен был б/у, то мало ли какой pin-код там был установлен ранее...


вот так этот пароль называется официально:
[img]https://kontur.ru/Files/userfiles/image/article/1.jpg[/img]

пароль для контейнера закрытого ключа.
если твой ру-токен новый и никем не юзаный, то 99,99% за то, что пароль (он же pin-код) для доступа к контейнеру закрытого ключа - "12345678"
и 0.01% за то, что инспектор в ИФНС с чего-то косячнула.

А, и еще важное, отчего заводской пароль (pin-код) пользовательский у тебя мог "[em]не подойти[/em]".

У ру-токена число неправильных попыток ввода pin-кода [em]пользователя[/em] ограничено 10-ю.
Потом ру-токен блокируется и больше на попытки ввода пароля (pin-кода) пользователя всегда выдает - "неверно".

Вот для этого и существует пароль [em]администратора[/em] (по заводскому умолчанию "87654321" ) я ж недаром в (4) его упоминала.
Если открыть Панель управления рутокена и залогиниться с паролем (pin-кодом) [em]администратора[/em], то можно разблокировать(сбросить) число неверных попыток ввода пароля [em]пользователя[/em]. После этого опять можно будет делать 10 попыток неверного ввода пароля [em]пользователем[/em].

Вполне допускаю, что у тебя ввод пароля [em]пользователя [/em]использовал 10 попыток и заблокировался и ты считаешь, что "пароль не подошел", а на самом деле тебе и нужно то всего лишь провернуть указанную операцию разблокировки количества попыток ввода пользователем.
А потом, глядишь, и заводской пароль [em]пользователя [/em]подойдет - "12345678"

ну это как возможный вариант.

Беда в том, что у тебя по-любому пароль спрашивать будет, и что-то тебе делать все равно надо будет. И от версии крипто-про это НЕ зависит, если на 4.0 пароль спрашивало, то и на 5.0 будет.

Иначе вся эта парольная зашита была бы профанация. :)

Ну сам посуди, если бы кто-то завел пароль на 4.0, накрипто-про 4.0 его спрашивает, но при этом кто-то смог бы его использовать на 5.0 без пароля - то чистейшая профанация такой защиты паролем (pin-кодом).

Так что либо пароль на контейнер закрытого ключа есть (и он есть независимо ни от чего) либо его нет. А версия крипто про тут не играет роли.

ps: я везде оговаривала ( в скобочках) рутокен лайт или S. А на самом деле, я ж и не знаю, какой у тебя рутокен.


в общем, с картинками очень популярно все вот здесь:
[url]https://dev.rutoken.ru/pages/viewpage.action?pageId=72451342#id-УправлениеPINкодамиРутокена-ЧтотакоеPIN-кодПользователя,длячегоониспользуетсяикакеголучшехранить?[/url]

10-rm1965 >Будешь Розницу обновлять, (6) из [url]http://forums.kuban.ru/f1040/merkurij_185f_ne_pechataet_«m»-9178247.html[/url]


прочти, может не нарвешься, но всякое бывает...

По совместимости 4 и 5. Почему принял решение попробовать установить 5 . Был другой клиент , тоже ЭЦП в ИФНС , крипто про 5 , установка сертификата ,подключение ЭДО и 1С отчетности прошли на ура .
Теперь к паролям . Согласен с терминологией что на токене не пароль, а pin-код . И он нужен при инициализации токена. Далее устанавливается сертификат в контейнере . И вот там могли поставить пароль. И вот если мы его 10 раз неправильно введем , то заблокируется .
И еще возможна установка пароля на обмен ЭДО . Это уже третий .
"Пока не понадобится доступ к контейнеру закрытого ключа, пароль (pin-код)" -блондинка цитата это не pin код, это пароль на контейнер , который возможно ошибочно мог был введен в ИФНС.
Четверка требовала пароль на контейнер уже из программы при отправке в ЭДО. Пятерка его не требует. И четверка и пятерка установили сертификат в хранилище пользователя безо всякого пароля. Клиенту сказал пока обратиться в техподдержку . Спасибо за информацию об обновлении.
Я результат всех махинаций обязательно расскажу , надеюсь это интересно .

[quote=rm1965;48693001]Четверка требовала пароль на контейнер уже из программы при отправке в ЭДО. Пятерка его не требует.[/quote]
Ну, ты первый начал этот анекдот еще в (0).
Я, как могла, с серьезным видом этот анекдот поддерживала и даже обсуждала.

Так что не обессудь. :)))

Чтобы тебе было понятна соль этого анекдота, я в качестве доступного твоему понимаю примера перефразирую твое же утверждение:
если завести пользователю 1С пароль, то при входе в базу "[em]на платформе 8.3.16 пароль пользователя при входе требует, а на платформе 8.3.20 - не требует[/em]".

замени "[em]платформа 8.3.16[/em]" на "[em]Крипто Про 4[/em]", а "[em]платформа 8.3.20[/em]" - на "[em]Крипто Про 5[/em]" - соль анекдота от этого только усилится, ибо истинный 1снег даже не понимает, какой анекдотец он сказанул.

Еще раз - если пароль на контейнер закрытого ключа (он же pin-код для рутокена) установлен, то независимо от версии крипто про он потребуется при обращении к контейнеру закрытого ключа.

[quote=rm1965;48693001]далее устанавливается сертификат в контейнере . И вот там могли поставить пароль.[/quote] Не могли.
Пароль устанавливается при [em]генерации[/em] контейнера закрытого ключа, а при установке сертификата в этот контейнер пароль только спрашивается (поскольку происходит обращение к контейнеру). спрашивается, но никак не устанавливается.

"Еще раз - если пароль на контейнер закрытого ключа (он же pin-код для рутокена)"
ЭТО РАЗНЫЕ ВЕЩИ ! Не он же !!!
Беру тайм аут , еще раз все проанализирую.

Чтобы снять все вопросы касательно паролей, pin-кодов, заблокированных попыток ввода, и т.д. и т.п., и прочая и прочая и прочая, я предлагаю тебе сделать элементарное - на секундочку отвлечься от розницы, эдо и прочего.

Просто зайти в личный кабинет юрлица на сайте ФНС под этой ЭЦП.
Согласись, что уж ЭЦП, выданная в ФНС, как никакая другая подходит, чтобы ходить под ней в личный кабинет на сайт этой же ФНС.

Если комп и браузер не настроены, то сперва по этой ссылке:
[url]http://lkul.nalog.ru/[/url]
там жмешь кнопочку"Диагностика подключения по сертификату ключа проверки ЭП" и дальше жмешь кнопочку "Начать проверку"

а если все настроено, то можно сразу по этой:
[url]https://lkul.nalog.ru/[/url]


Вот когда ты без проблем сможешь легко заходить в ЛК ЮЛ по второй ссылке, вот тогда ты можешь себе сказать - все у меня установлено и настроено правильно, все пароли и pin-коды на месте, и после этого переключаться на Розницу и ЭДО.

[quote=Странный аттрактор;48688785]Для работы рутокена на виндовс 10 нужен криптоПро 5.0. [/quote]
win10 КриптоПро 4.0 с рутокеном все норм... что не так?

Резюме по данному клиенту. Четверка устанавливала сертификат корректно и тест сертификата в 1С проходил . А вот при попытке идентификации в ЭДО розница спрашивала пароль на сертификат которого нет.
Пятерка так же установила сертификат корректно , тест сертификата прошел , при идентификации ЭДО пароля не спрашивала , ошибка была связана с тем что в наименовании организации в рознице был лишний пробел.
Исправили наименование , все подключилось.
Обновлять розницу не потребовалось.

Вопрос по поводу сертификатов, выдаваемых ИФНС на рутокенах: мне тут у одного из клиентов довелось столкнуться с оным, была необходимость скопировать сертификат с рутокена в реестр, а сам ключ убрать в сейф, к тому же есть необходимость сертификат использовать для одновременной работы на нескольких рабочих местах, территориально расположенных в разных местах, но скопировать сертификат с рутокена не получилось, т.к. там стояла блокировка от копирования, у всех так? Если да, то есть ли возможность заказа сертификата без подобной блокировки, или это нынче ограничено каким-то законодательным актом?

21-oops! >У всех, как рассказывалось на вебинаре, теперь, когда главбух сдает отчетность, надо брать дира за шкварник, чтобы дир лично вставлял свою флешку в комп и наблюдал за процессом. Или предупредить, чтобы на допросах в налоговой твердил, как заведенный: "Это я сдавал отчетность". Или (реальное) - покупал на своих сотрудников электронные подписи, сам, с помощью своей делал машиночитаемые доверенности на сдачу отчетности, участие в торгах и т.п. Как-то так, бизнес, ничего личного.
ЗЫ: В "ставке фюрера" ходят упорные слухи, что можно обойти...

и скопировать и размножить можно легко, если рутокен лайт или рутокен S.
но - (22) +100500

[quote=oops!;48711785]для одновременной работы на нескольких рабочих местах, территориально расположенных в разных местах,[/quote] при наличии телепорта для мгновенного перемещения можно и скопировать и размножить, иначе в случае легкого применения паяльника в налоговой будет очень трудно рассказать, как дир со своей эцп [em][b]одновременно[/b][/em] присутствовал в "[em]территориально расположенных в разных местах[/em]" и подпись легко будет признана скомпрометированной, то есть ничтожной.

Поэтому, если уж собрался все-таки размножать, то своим исходным условиям обязательно добавь еще и разнос по времени - то есть "н[em]а нескольких рабочих местах, территориально расположенных в разных местах, [b]в разное время[/b][/em]", причем разнос по времени должен быть такой, чтобы дир успевал переместиться на эти рабочие места без телепорта.
Или не размножай.

[b]K Michael[/b], [b]Блондинка в шок[/b]
понятно, спасибо
вот только есть ли какие-либо законодательные акты на эту тему?

24-oops! >
В 2021-2022 годах в силу вступают поправки к Федеральному закону № 63-ФЗ «Об электронной подписи» и появляются подзаконные акты. Они вводят новые правила получения и работы с электронной подписью в организациях, у индивидуальных предпринимателей и нотариусов.
[url]https://ca.kontur.ru/articles/20993-novye_pravila_raboty_s_ep_2022[/url]

(23) про ограничение на время: на несколько <виртуальных> рабочих мест пробросить USB не проканает?
ЗЫ паяльник - чудесный инструмент

[quote=Блондинка в шок;48712546] и скопировать и размножить можно легко, если рутокен лайт или рутокен S[/quote]
Привет! Пообщался на днях со спецами из СБИСа, так они говорят, что и на рутокен лайт/рутокен S не всё так просто, и если КЭП на рутокен залит с защитой, то штатными средствами того же КриптоПро тоже ничего скопировать нельзя, а сделать это можно только с помощью спец. софта. Но вот что за софт?

27-oops! >
Tokens.exe - выгрузить из рутокена (на флэшку)
CertFix.exe - пометить (на флэшке) экспортируемым.

мануал и ссылки на скачивание, к примеру, вот здесь:
[url]https://playffa.ru/wps/?p=80287[/url]

но не обязательно именно здесь, гуглояндекс завален подобными темами



напоминаю - это проделать возможно только с рутокен лайт или рутокен S
маленький нюансик - certfix.exe запускать при отключенном интернете, иначе эта утилитка молча обновляется до актуального релиза, в котором возможность снятия "[em]пометки неэкспортируемости[/em]" убрана.

ну и посмотри, к примеру, вот здесь там люди рассказывают про реальные штрафы и называют суммы, это к (24)

[url]https://forum.infostart.ru/forum86/topic275877/[/url]

[quote=Блондинка в шок;48867736] ну и посмотри, к примеру, вот здесь там люди рассказывают про реальные штрафы и называют суммы, это к (24) [url]https://forum.infostart.ru/forum86/topic275877/[/url] [/quote]
Большое спасибо! На самом деле, подобная ситуация, когда нужен сертификат как минимум в двух местах, возникает практически увсех, это когда:
1. Сертификат нужен самому подписанту для различных операций (ЭДО, Честный Знак, и т.д.)
2. Бухгалтеру для отправки отчётности и, снова, как минимум, для ЭДО
Очень часто, эти люди нынче могут не видеться месяцами, а то и вовсе никогда, если живут в разных городах.

30-oops! >Вот как раз МЧД призвана решить эту проблему.

МЧД для ИП нельзя , так что придется бухгалтеру на день отправки отчетов прийти в магазин предпринимателя , забрать токен , отправить у себя отчеты и вернуть токен на место. Бред которому пока нет решения .

32-rm1965 >У ИП просто пишем ЭП на физлицо (от имени которого ИП) в любом коммерческом УЦ хоть пачками.