23 сен 2020 07:43 — 23 сен 2020 07:49 #16967
от
Sem07 пишет: Здравствуйте. Имеется 4 ЭЦП для работы с СУФД-порталом. Недавно получили СКЗИ для работы с электронным бюджетом. В процессе установки СКЗИ, так же было обновлено КриптоПро 4.0 R3 4.0.9944 до версии 4.0.9963. После установки всего необходимого ПО один из сертификатов стал отображается в КриптоПро с ошибкой «Сертификат содержит недействительную цифровую подпись». С остальными сертификатами все в порядке, определяются как и должны. Данный проблемный сертификат на других ПК определяется без ошибок.
Все сертификаты ГОСТ 2012. В чем может быть проблема?
КриптоПро CSP считает недействительными сертификаты по ГОСТ 20121. Если Континент-АП(с криптопровайдером Код безопасности CSP) установить раньше чем
Нужно удалить 2 раздела реестра от Кода Безопасности CSP:
Автоматически с помощью файла:
«Удалить в реестре разделы от Кода Безопасности CSP, проверка сертификатов ГОСТ2012.bat»
2.1 Аналогичная ошибка, Если Сертификат пользователя выпущен после 18.02.2020
созданый с использованием нового корневого сертификата УЦ ФК(Действительного с 05.02.2020 по 05.02.2035)
Не установлен новый корневой сертификат УЦ ФК ГОСТ 2012 (Действительный с 05.02.2020 по 05.02.2035)
Установка нового корневого сертификата УЦ ФК с помощью автоматического инсталлятора
Нельзя будет зайти на сайты
Обзор причин появления ошибки
При появлении оповещения о данной ошибке, требуется установить состояние ключа. Для этого необходимо:
Причина будет указана в разделе «Общие».
Появление системного оповещения может быть обусловлено следующими обстоятельствами:
Порядок дальнейших действий зависит от причины сбоя.
Неверный путь сертификации
Для этого необходимо знать порядок построения цепочки доверия сертификатов. Она начинается от корневого сертификата ключа, выдаваемого удостоверяющему центру Минкомсвязью РФ.
Далее связь проходит через второй элемент – корневой сертификат удостоверяющего центра, содержащего следующие составляющие:
Конечный элемент в цепи – СКПЭП, выдаваемый удостоверяющим центром (в том числе закрытый и открытый ключи).
Для решения проблемы, в первую очередь необходимо убедиться в действительности корневого сертификата.
Для этого проверяют наличие и содержание документа от Минкомсвязи, размещенного в папке «Реестры» на вкладке с «Доверенными центрами сертификации» в разделе с сертификатами в каталоге программы в меню «Пуск».
Для восстановления отсутствующего КС потребуется:
По завершении установки перезагружают ПК.
Если корневой сертификат присутствует, но извещение по-прежнему появляется, необходимо удалить КС и установить заново.
Возможен еще один способ решения проблемы, помогающий не во всех случаях. Если перестановка КС не принесла желаемого результата, переходят к редактору реестра, введя в поисковую строку его название regedit.
После входа в программу, требуется ручное удаление следующих строк:
Специалист отдела технической поддержки
Возможно присутствие не всех веток из перечисленных. Удаляют те из них, которые есть. Предварительно делают резервную копию файла, поместив его в другое место, для возможности восстановления.
После перезагрузки компьютера, проверяют статус сертификата цифровой подписи. Все должно восстановиться, при появлении информации о действительном КС.
Повреждение файла УФК
Возможно повреждение не конечного, а промежуточного файла, что особенно актуально для Управления Федерального Казначейства (УФК), также выдающего сертификаты цифровой подписи.
ЭЦП данного ведомства необходимо заверять документацию муниципальным и госзаказчикам по итогам аукционов для закупок на государственные нужды.
Если возникают проблемы с заверением документа УФК, при появлении предупреждения о недействительном сертификате цифровой подписи, потребуется:
Обратите внимание! Если проблема в промежуточном звене, цепочка при построении оборвется в соответствующей точке, о чем будет отмечено на вкладке «Общие».
На завершающем этапе проверки, повторно открывают соответствующий сертификат в папке «Личное». При устранении проблемы, появится надпись о действительности документа.
При истечении срока
Удостоверяющий центр ежегодно, при наступлении календарного года, обновляет промежуточный сертификат цифровой подписи. Соответствующее оповещение появится при запуске операционной системы.
Если при каком-либо сбое, обновления сертификата не произошло, появится запись, отмечающая, что документ недействителен. Установку обновленного варианта проводят в порядке, описанном выше. Старый ПС удалять не нужно.
Для импорта ключей, можно обойтись без интернета. Проверку файла проводят в автоматическом режиме, при появлении подключения к сети – единожды за период действия ПС.
Проблемы с браузером
Нередко оповещение о недействительности сертификата обусловлено устаревшей версией браузера или использованием не той программы для выхода в интернет. Это особенно актуально при подписании документации государственных структур – Пенсионного фонда, ФСС и пр.
Разработчики КриптоПро рекомендуют использовать Internet Explorer, поскольку эта программа непосредственно входит в операционную систему.
Но и с данным обозревателем не исключены проблемы.
Для этого потребуется:
Если подобные действия помогли, необходимо:
Теперь не придется каждый раз выбирать способ включения программы.
Также рекомендуется установить самую последнюю версию браузера.
Сложности с работой КриптоПро
Корректность работы программы проверяют в разделе с алгоритмами. Если данная вкладка не заполнена, приложение работает некорректно и требуется переустановка. Инсталлятор скачивают с официального сайта разработчика и устанавливают, предварительно удалив стоящую на ПК программу.
Установленное приложение запускают, перезагрузив компьютер.
В некоторых случаях извещение о недействительном сертификате может быть вызвано не запущенной службой инициализации программы. Для проверки запуска сервиса, необходимо:
Если причина в этом, после перезагрузки проблема исчезнет.
Доступ к реестру
Появление сбоя может быть вызвано отсутствием прав редактирования некоторых файлов в реестре операционной системы. Чтобы проверить, открывают командную строку и переходят на путь закрепления прав в операционном реестре:
Для проверки прав изменения конечных папок указанных каталогов, необходимо:
Еще один способ решения данного вопроса – переустановка программы КриптоПро.
Дата и время
При неправильной установке даты и времени на компьютере, возможен сбой с появлением предупреждения о недействительности цифровой подписи. Параметры настраивают, входя в соответствующие пункты меню с правой нижней стороны, на панели задач. После обновления данных, необходимо перегрузить компьютер.
Главное – установить причину возникновения проблемы с действительностью сертификата цифровой подписи. После этого восстановление работы системы не составит особенного труда.
Наблюдается ошибка — «бесконечная» прокрутка колеса на этапе: «В хранилище сертификатов «Личные» установлен КСКПЭП, выданный юридическому лицу удостоверяющим центром, и успешно создана электронная подпись с использованием КСКПЭП юридического лица.»
Если вы уверены в корректной настройке в соответствии с инструкциями приложенными на сайте nalog.ru:
И у Вас установлены: сертификат Головного Удостоверяющего Центра и сертификат удостоверяющего центра Минкомсвязи.
То остается проверить хранилище сертификатов windows при помощи консоли (Win + R) certmgr.msc.
Переходим в Личное/Сертификаты. Открываем сертификат, при помощи которого производим попытку авторизации в ЛК, переходим на вкладку
На данной вкладке должны присутствовать:
1) корневой удостоверяющий центр;
2) промежуточные удостоверяющие центры;
3) состояние сертификата не должно быть равным: «Этот сертификат содержит недействительную цифровую подпись».
Для решения проблемы проверяем кем был выдан сертификат. Для этого возвращаемся во вкладку «Общие». Далее скачиваем и устанавливаем корневые и промежуточные сертификаты. Для компании Тензор переходим по ссылке.
Скачиваем и устанавливаем Все доступные сертификаты за последние 3 года. Так же данный пункт необходим если при просмотре состояния сертификата появляется такое сообщение: «Этот сертификат не удалось проверить, проследив его до удостоверяющего центра сертификации».
Обычно работа с электронной цифровой подписью не вызывает сложностей, но иногда при подписании документа возникает ошибка о содержании в сертификате недействительной цифровой подписи. Решение ошибки зависит от причины и момента возникновения и обычно ограничивается переустановкой программного обеспечения.
Переустановка OS Windows
После переустановки Windows или установки обновлений сертификаты, имеющие ключи менее 1024 битов, становятся недействительными и блокируются. Для снижения риска компрометации ключей электронной подписи было выпущено специальное обновление, блокирующее ненадежные ключи RSA (криптографический алгоритм, сокращение от Rivest, Shamir и Adleman).
frustrated office worker
Решение
Проблему можно решить несколькими командами, которые задаются через командную строку (комбинация клавиш Win+R и введение в поисковом окне cmd).
Чтобы разрешить использование корневого сертификата (КС) с длиной менее 1024 бит, нужно использовать команду certutil: certutil -setreg chainEnableWeakSignatureFlags. Для разрешения регистрации и блокировки закрытых ключей ЭЦП используют команду certutil -setreg chainEnableWeakSignatureFlags. Для включения регистрации сертификатов RSA ниже КС используют certutil: certutil -setreg chainEnableWeakSignatureFlags. Для регистрации без блокировки ключей электронной подписи длиной менее 1024 бит задают команду certutil: certutil -setreg chainEnableWeakSignatureFlags.
Не запущена служба инициализации
Иногда ошибка недействительности подписи связана со сбоем в службе инициализации. Обнаружить это можно, если попробовать посмотреть любой из закрытых ключей электронной подписи в хранилище.
Чтобы устранить ошибку нужно:
Обычно причина ошибки в том, что не все поля заполнены. После введения недостающей информации и перезагрузки программы ошибка исчезает.
Ошибка при работе в СУФД
Иногда при работе системы удаленного финансового документооборота также выходит ошибка о недействительности электронной подписи. Причин может быть несколько — это и отсутствие личных сертификатов, и устаревшая версия Java и даже неправильно выбранный пользователь.
Для проверки наличия личных сертификатов нужно перейти: «Панель управления»/«Свойства обозревателя»/«Содержание»/папка «Сертификаты». Если они личные, то необходима установка КриптоПро.
Для корректной работы подписи необходима версия Java 6 update 17 и выше. Также важно проверить, включены ли в используемом браузере плагины Java. Сделать это можно так:
Также нужно проверить «Документарный контроль» и очередность подписей, используемый ключевой носитель и соответствие учетной записи.
Ошибка сертификата при работе в ЕГАИС
Во время работы в Единой Государственной Автоматизированной Информационной Системе (ЕГАИС) проблема с недействительной подписью возникает реже и обычно из-за отсутствия личного сертификата или повреждения ключевого носителя.
Как устранить
Для устранения ошибки нужно:
Обычно после переустановки программы и повторной загрузки КС проблема исчезает. При повторном появлении ошибки лучше обратиться в техническую поддержку.
Ошибка при работе в КриптоАрм
Проблема с недействительной подписью при работе в КриптоАрм может быть вызвана и истекшим сроком сертификата, и тем, что ключ ЭЦП попал в список отозванных сертификатов, и в невозможности построить цепочку сертификатов.
Чтобы устранить ошибку, нужно проверить адрес OCSP службы в сертификате. В поле «Доступ к информации о центрах сертификации» обычно не ставится пункт «Метод доступа». Сделать это можно так:
Если данное условие нарушено, то необходимо обратиться в удостоверяющий центр, выдавший электронную подпись, и попросить изготовить новую ЭЦП в формате CAdeS XLONG.
Если создание ЭЦП требует использования штампа времени, то построение цепочки без подписи данного формата невозможно. Для устранения ошибки понадобится установка сертификата тестовой службы штампа времени с официальной страницы удостоверяющего центра, изготовившего ЭЦП в хранилище доверенных центров сертификации. После этого рекомендуется выполнить проверку на тестовой странице удостоверяющего центра и, если ошибка повторяется, еще раз обратиться в УЦ для проверки корректности работы ЭЦП.
Если не удается построить цепочку сертификатов, то нужно убедиться в отсутствии проблем с интернетом. Ошибка может возникать при нестабильном сигнале сети. Затем нужно проверить наличие КС удостоверяющего центра. Сделать это просто:
При отсутствии сертификата его скачивают с официального сайта удостоверяющего центра, но обычно он находится в папке с КС и его нужно только установить. Для корректной работы в дальнейшем лучше пользоваться браузером Internet Explorer, т.к. в других браузерах возможны ошибки и сбои из-за некорректной работы плагинов.
Установка КС происходит автоматически при нажатии кнопки «Установить» и занимает несколько секунд. После этого браузер и ПК нужно перезагрузить.
Обычно проблему с недействительной подписью в сертификате можно решить собственными силами. Помогает как переустановка криптопровайдера со всеми сертификатами, так и проверка на срок действия и даже соответствие носителя ЭЦП используемой подписи. Если после всех действий ошибка повторяется, то лучше обратиться в службу технической поддержки удостоверяющего центра, изготовившего ЭЦП.
Обновленный список проблем из-за которых КриптоПро может считать недействительными сертификаты изготовленные по ГОСТ 2012
1. Если Континент-АП(с криптопровайдером Код безопасности CSP) установить раньше чем КриптоПро CSP Так например: Корневой сертификат — Минкомсвязь России, открыть на просмотр:
Вкладка — Общие: Целостность этого сертификата не гарантирована, возможно он повреждён или изменён
Вкладка — Состав Алгоритм подписи: ГОСТ Р 34.11-2012/34.10-2012 256 бит
Вкладка — Путь сертификации: Этот сертификат содержит недействительную цифровую подпись.
2.1 Аналогичная ошибка, Если Сертификат пользователя выпущен после 18.02.2020 созданый с использованием нового корневого сертификата УЦ ФК(Действительного с 05.02.2020 по 05.02.2035) При просмотре сертфиката:
Вкладка — Общие: Целостность этого сертификата не гарантирована, возможно он повреждён или изменён Вкладка — Путь сертификации: Этот сертификат содержит недействительную цифровую подпись.
Причина ошибки проверки цифровой подписи: На компьютере уже есть установленный старый корневой сертификат УЦ ФК ГОСТ 2012 (Действительный с 19.11.2018 по 19.11.2033),(Который может ещё требоваться для сертификатов клиентов ФК по ГОСТ 2012 выпущенных ранее и для работы на некоторых сайтах.), но не установлен новый корневой сертификат УЦ ФК ГОСТ 2012 (Действительный с 05.02.2020 по 05.02.2035)
Решение: Установка нового корневого сертификата УЦ ФК (Действительного с 05.02.2020 по 05.02.2035) его нужно установить вручную
Континент TLS-клиент. Ошибка Федеральное казначейство: Сертификат сервера не прошел проверку. Ошибка: Цепочка сертификатов недействительна
или по https ссылке без Континент TLS-клиента Будет ошибка в браузере Internet Explorer:
Возникла проблема с сертификатом безопасности этого веб-сайта.
Навигация по записям
Чтобы воспользоваться квалифицированной электронно-цифровой подписью (далее — КЭЦП, КЭП, ЭЦП), криптопровайдер должен признать сертификат пользователя доверенным, то есть надежным. Это возможно, если правильно выстроена цепочка доверия сертификации, которая состоит из трех звеньев:
Искажение хотя бы одного файла приводит к недействительности сертификата, и он не может быть использован для визирования документации. Среди других причин сбоя выделяют неправильную работу криптопровайдера (средства криптозащиты или СКЗИ), несовместимость с браузером и др.
Почему возникает ошибка «Этот сертификат содержит недействительную подпись», и что делать для решения этой проблемы, рассмотрим детально.
Настроим вашу электронную подпись под ключ за 30 минут!
Оставьте заявку и получите консультацию в течение 5 минут.
Этот сертификат содержит недействительную цифровую подпись
О содержании недействительной цифровой подписи в сертификате пользователь узнает при попытке подписать документы с помощью КЭЦП. В этом случае на экране появляется сообщение: «При проверке отношений доверия произошла системная ошибка» или «Не удается построить цепочку доверия для доверенного корневого центра». Чтобы увидеть состояние ключа, необходимо:
В поле «Состояние» отображается статус недействительного сертификата , на примере с УЦ «Тензор» это выглядит так:
При корректно настроенном пути сертификации состояние было бы таким:
В разделе «Общие» отображается причина, например, «Этот сертификат не удалось проверить, проследив его до доверенного центра».
Системное оповещение о сбое может возникать по ряду причин:
Таким образом, ошибка может быть связана непосредственно с сертификатами, криптопровайдером или настройками ПК. Для каждого варианта придется пробовать разные способы решения.
Прежде чем разбираться в причинах ошибки, следует понять алгоритм построения цепочки доверия сертификатов (ЦДС) — она обязательна для корректной работы ЭЦП на любых информационных ресурсах.
Как строится путь доверия
Первое звено в иерархической цепочке — корневой сертификат ключа проверки ЭЦП ПАК «Минкомсвязь России». Именно этот госорган, согласно ст. 16 ФЗ № 63 «Об электронной подписи», осуществляет аккредитацию удостоверяющих центров, то есть дает им официальное право заниматься выпуском ЭЦП. Полный перечень таких организаций можно уточнить на официальном портале Минкомсвязи.
Следующее звено — КС удостоверяющего центра (промежуточный). Файл выдается в комплекте с ключами и содержит в себе:
Эти данные предоставляются в зашифрованном виде и используются криптопровайдером (на ПК пользователя) для проверки подлинности открытого ключа КЭЦП. Теоретически цифровую подпись можно украсть, но применить ее без установленного сертификата УЦ не получится. То есть вся ЦДС построена таким образом, чтобы предотвратить риски использования чужой подписи мошенниками.
СКПЭП — конечное звено в этой цепи. Его выдает удостоверяющий центр вместе с открытым и закрытым ключами. Сертификат предоставляется на бумажном или цифровом носителе и содержит основную информацию о держателе. Он связывает последовательность символов открытого ключа с конкретным лицом. Другими словами, СКПЭП подтверждает тот факт, что открытый ключ ЭП принадлежит определенному человеку.
Если возникает ошибка «Этот сертификат содержит недействительную цифровую подпись» , причина может быть в повреждении ЦДС от Минкомсвязи России до пользователя. То есть один из элементов в этой цепи искажен или изменен.
Мы готовы помочь!
Задайте свой вопрос специалисту в конце статьи. Отвечаем быстро и по существу. К комментариям
Как решить проблему
После установки появится сообщение, что импорт успешно завершен. Далее рекомендуется перезагрузить компьютер.
Файл выдается удостоверяющим центром вместе с другими средствами для формирования ЭЦП. Если он утерян или удален, следует обратиться в УЦ, в котором был получен СКПЭП.
Если КС Минкомсвязи на месте, но в статусе по-прежнему сказано, что он недействителен, удалите его (выбрать файл и нажать «Удалить») и установите заново.
На форуме CryptoPro CSP предлагается еще один вариант решения проблемы. Но работает он не всегда. Если установка документа не помогла, откройте меню «Пуск» и выполните поиск редактора реестра по его названию regedit. В редакторе найдите и вручную удалите следующие ветки:
Не все ветки могут быть в наличии. Удалите те, что есть, предварительно сохранив их резервные копии в отдельный файл. Перезагрузите ПК и проверьте статус СКЭП — он должен стать действительным.
Важно! Удаление и редактирование ключей реестра может нарушить работоспособность системы, поэтому процедуру лучше доверить техническому специалисту.
Выпустим и настроим электронную подпись для сотрудника прямо в день обращения!
Оставьте заявку и получите консультацию.
Самая распространенная причина недействительности сертификата заключается в нарушенных путях сертификации. Причем проблема может быть не только в файле Минкомсвязи, о котором было сказано ранее, но также в промежуточных и личных СКЭП. Рассмотрим эту причину на примере Управления Федерального казначейства (УФК), которое, среди прочего, тоже занимается выдачей КЭЦП.
Функции УЦ выполняются в территориальных органах Росказны по всей России. Для организации аукционов и размещения информации по закупкам для госнужд в интернете муниципальные и госзаказчики должны заверять отчеты ЭП, полученной в УФК.
Если не удается заверить документ ЭП казначейства , и появляется отметка « Этот сертификат содержит недействительную цифровую подпись », предлагается следующий алгоритм действий:
На завершающем этапе необходимо перейти в папку «Личное», выбрать нужный СЭП и проверить путь сертификации. Если проблема с промежуточным звеном решена, в графе состояния будет стоять «Этот сертификат действителен». Это означает, что система проверила ЦДС для этого ключа и не выявила никаких ошибок.
Истечение срока
При наступлении нового календарного года пользователь должен установить обновленный промежуточный ключ УЦ на каждый компьютер, где используется КЭП. Операционная система выдаст соответствующее упоминание при запуске. Если не выполнить обновление вовремя, при заверке документов тоже будет возникать уведомление о недействительности ключа. Процедура установки аналогична рассмотренной ранее. Предыдущий ПС удалять необязательно, система все равно будет отмечать его как недействительный.
Для импорта обновленных ключей действующий интернет не нужен, файл автоматически проверяется при первом подключении к сети. Такая проверка производится всего один раз за все время действия ключа.
При такой ошибке одни ресурсы отклоняют СЭП, а другие без проблем взаимодействуют с ним. Возможно, во втором случае информационный ресурс, на котором пользователь подписывает документ, не проверяет путь до головного УЦ. Устранение проблемы в подобном случае осложняется тем, что весь путь доверия построен без нарушений, а ключ значится как действительный. Можно предположить, что сбой связан с криптопровайдером или браузером.
Некорректная работа КриптоПро
Для проверки необходимо открыть КриптоПро CSP и перейти во вкладку «Алгоритмы». Если параметры алгоритмов пустые, значит софт функционирует некорректно, и его требуется переустановить:
Службы инициализации
СЭП может отражаться как недействительный, если не запущена служба инициализации КриптоПро CSP. Это можно проверить следующим образом:
Если все выполнено верно, после перезагрузки компьютера КЭЦП снова будет работать корректно.
Права доступа к реестру
Сбой возможен при отсутствии прав на некоторые файлы в реестре Windows. Для проверки необходимо открыть строку ввода комбинацией Win+R, ввести команду regedit, нажать Enter и перейти по пути для настройки прав в реестре Windows:
У пользователя должны быть права на конечные папки этих веток. Проверить это можно следующим образом:
Эта же проблема решается переустановкой криптопровайдера с помощью описанной выше утилиты для очистки следов.
После обновления Windows до более поздней версии пользователь может видеть уведомление «При проверке отношений доверия произошла системная ошибка». Это тоже связано с недействительностью КЭЦП и нарушением внутренних файлов КриптоПро. Переустановка СКЗИ поможет решить эту проблему.
Если пользователь настроил путь доверия и устранил неполадки криптопровайдера, но проблема не решилась, есть вероятность, что она кроется в браузере. В первую очередь это касается подписания документов непосредственно на сайтах государственных систем и контролирующих органов (ЕГАИС, ПФР, ФНС и др.).
Разработчик CryptoPro рекомендует использовать для работы с КЭП только Internet Explorer, так как он встроен в Windows. Но и с этим веб-обозревателем случаются сбои.
Вход под ролью администратора
Обычно после входа под правами администратора все становится на свои места, и ключи работают в привычном режиме. Что предпринять:
Если ошибка устранена, рекомендуется:
Теперь при каждом запуске права администратора будут автоматически вступать в силу, и пользователю не придется каждый раз менять настройки.
Если используется старая версия веб-обозревателя, рекомендуется обновить ее до последнего релиза.
Отключение антивирусной программы
Некоторые «антивирусники», например, Symantec или AVG, воспринимают КриптоПро как вирусную угрозу, поэтому отдельные процессы криптопровайдера могут быть заблокированы. В результате этого всплывают различные ошибки с СКПЭП. Если нужно срочно заверить электронный документ, рекомендуется на время деактивировать антивирус:
После заверки документов снова запустите программу.
Настройка даты и времени
Также следует проверить актуальность даты ПК. Для этого необходимо:
После всех действий рекомендуется перезагрузить компьютер.
Подберем USB-носитель для ЭП. Доставка — в любую точку России!
Эксперт отдела автоматизации и развития бизнеса Online-kassa.ru. Бизнес-тренер и аналитик, отвечает за работу с ключевыми клиентами.
Оцените, насколько полезна была информация в статье?
Наш каталог продукции
У нас Вы найдете широкий ассортимент товаров в сегментах кассового, торгового, весового, банковского и офисного оборудования.
Посмотреть весь каталог