Краткое руководство по настройкам

Краткое руководство по настройке АРМ для работы с ГИИС ЭБ

Последнее изменение 6 апреля 2023 г.

Оформленное в простом текстовом формате (не без картинок). Без лишних подробностей. С использованием способа с браузерами ГОСТ TLS.

Для каких ресурсов это будет работать

• eb.cert.roskazna.ru — Портал ФК ГИИС ЭБ.
• sobi.login.roskazna.ru — ПОИБ СОБИ ФК.
• fzs.roskazna.ru — Портал заявителя УЦ Федерального казначейства (Казначейства России).

Для любых других, использующих КриптоПро ЭЦП для ЭП и ГОСТ TLS для защиты передаваемых данных и аутентификации.

Включая (но не ограничиваясь):

• ufk**.sufd.budget.gov.ru — СУФД (через ГОСТ TLS). Вместо звёздочек, первые 2 цифры кода ТОФК.
• lk.zakupki.gov.ru — ЕИС Госзакупки (личный кабинет)
• Частично buh2012.budget.gov.ru — Для работы в 1С ЭБ через браузер (для госсектора).

Что потребуется для установки

• СКЗИ КриптоПро CSP
• КриптоПро ЭЦП browser plug-in
• Браузер с поддержкой ГОСТ TLS
  Яндекс.Браузер
  или
  Chromium GOST
• Драйвер для носителя контейнера ключа ЭП. В случае Рутокен, Драйвер Рутокена. В случае JaCarta, драйвер JaCarta. И т.д.
• Личный сертификат УКЭП

На случай, если задаётесь вопросом: СКЗИ Континент TLS-клиент, средство ЭП Jinn-Client при настройке данным способом не понадобятся.

КриптоПро CSP

Грубо говоря — это ГОСТ-движок (криптопровайдер), с помощью которого осуществляется вся ГОСТ-криптография в ОС, т.к. по умолчанию, вместе с ОС Windows не поставляются программные средства для работы ГОСТ-криптографии, в отличии от широко распространённых алгоритмов.

Без КриптоПро CSP не будет работать доступ по ГОСТ TLS и подписание документов с помощью УКЭП, и альтернативы в данном случае не предвидится (в том числе потому, что другие ГОСТ-криптопровайдеры ГИИС ЭБ не поддерживаются).

СКЗИ можно скачать с официального сайта, после простой регистрации по Email и принятия Лицензионного соглашения. Это рекомендуемый способ приобретения дистрибутива.

Вам нужно выбрать версию КриптоПро CSP, соответствующую вашей лицензии:

• Для серийного номера лицензии, начинающегося на 4040, нужна версия 4.0.9963.0 (R4).
• Для серийного номера лицензии, начинающегося на 5050, нужна версия 5.0.12000.0 (R2) и выше.
• Для Windows 11 или неизвлекаемых ключей УКЭП на активных смарт-картах (Рутокен ЭЦП 2.0) обязательно нужна 5.0.12000.0 (R2). Т.е. если у вас лицензия для 4.0, вам придётся либо осуществить даунгрейд до Windows 10, либо приобрести лицензию для КриптоПро CSP 5.0. КриптоПро CSP 4.0 не поддерживает Windows 11 и не собирается.

Если вы не имеете действительной лицензии в данный момент, но планируете её приобрести, КриптоПро CSP предоставляет пробный период на 90 дней после установки. В таком случае рекомендуется скачать 5.0.12000.0 (R2), не ошибётесь.

Лицензирование КриптоПро CSP обязательно, т.к. согласно условиям пользовательского соглашения, с истёкшей лицензией не допускается ЭП с помощью сертификата и двухсторонняя аутентификация с помощью сертификата на ресурсах (вход по сертификату).

Исключение — сертификаты со встроенной лицензией. Но вам придётся пользоваться только такими сертификатами и никакими другими. Например, сертификаты выпущенные УЦ ФК не содержат встроенной лицензии, потому с ними так не получится, придётся приобрести полноценную лицензию.

КриптоПро ЭЦП browser plug-in

Программа, предоставляющая интерфейс программам для осуществления Электронной Подписи документов. Распространяется бесплатно с официального сайта.

Браузер ГОСТ TLS

Специализированный браузер, со встроенной поддержкой установки соединений TLS с применением ГОСТ-шифрования, с использованием установленного в систему криптопровайдера (в нашем случае, это КриптоПро CSP).

Такими являются:

• Яндекс.Браузер
• Chromium GOST

Выбор на ваш вкус и цвет. Если вы работали в Яндекс.Браузере ещё до этого руководства, то поздравляем, у вас уже есть браузер для ГОСТ. Если вам нужно настроить отдельный браузер исключительно для работы с ГОСТ-ресурсами, Chromium GOST будет в самый раз.

Личный сертификат УКЭП

Для работы с ГИИС ЭБ требуются сертификат(ы) Усиленной Квалифицированной Электронной Подписи, выпущенные аккредитованным Удостоверяющим Центром на лица, имеющие право первой и второй подписи (если таковое имеется) в финансовых документах. Лицо, имеющее право первой подписи, обычно, так же имеет статус лица, имеющего право действовать от имени организации без доверенности (руководителя). Сертификат на руководителя, как необходимый минимум, должен быть.

Для работы в ГИИС ЭБ могут использоваться сертификаты от любого УЦ, включая УЦ ФНС. Разница между использованием сертификатов от УЦ ФК и УЦ ФНС (например) при работе в ГИИС ЭБ заключается только в интеграции ГИС УЦ ФК с ПОИБ СОБИ для автоматической регистрации. Т.е. когда вы подаёте документы в УЦ ФК для выпуска сертификата, автоматически регистрируется УЗ в ПОИБ СОБИ. Зарегистрироваться в ПОИБ СОБИ можно без подачи запроса в УЦ ФК.

По окончанию выполнений действий из этого руководства, вы так же сможете воспользоваться Порталом заявителя УЦ ФК, для того, чтобы подать запрос на получение сертификата. В таком случае, просто пропускаем установку личного сертификата и вторую часть проверки ГОСТ TLS.

Установка СКЗИ КриптоПро

Для установки вам потребуются права локального администратора на компьютере. Если вы таковых не имеете, закройте эту статью и вышлите ссылку по электронной почте вашим системным администраторам.

Установка КриптоПро CSP

Открываете установочный файл программы CSPSetup.exe и нажимаете Установить (рекомендуется).

Никаких дополнительных настроек не требуется (в большинстве случаев).

Галочку Установить корневые сертификаты рекомендуется оставить.

Возможно, вы захотите сразу ввести серийный номер лицензии в Панели управления КриптоПро CSP.

Установка КриптоПро ЭЦП

Тоже производится очень просто и без дополнительных настроек. По двойному клику запускается исполняемый файл cadesplugin.exe, скачанный с сайта.

Возникнет диалог с выбором, Да или Нет. По нажатию Да — плагин устанавливается.

Установка браузера ГОСТ TLS

Яндекс.Браузер

Установка Яндекс.Браузера производится по двойному клику после скачивания установщика с официального сайта.

По умолчанию, работа с ресурсами ГОСТ TLS должна быть включена. Но не мешает убедиться.

Chromium GOST

Переходим на страницу с перечислением выпусков

https://github.com/deemru/Chromium-Gost/releases/latest/

В разделе Assets ищем windows-amd64-installer, что означает установщик 64-битной версии для Windows.

Скачиваем и запускаем. Chromium GOST по умолчанию устанавливается в тихом режиме, без отображения окна с прогрессом, в профиль пользователя. По завершению установки будет открыто окно браузера и добавлены ярлыки в Пуск, Рабочий стол и на Панель задач.

Настройка браузера ГОСТ TLS

Установка расширения КриптоПро ЭЦП в браузер

По умолчанию, устанавливаемая в ОС Windows часть КриптоПро ЭЦП прописывает автоматическую установку расширения как в Chromium GOST, так и в Яндекс.Браузере. При следующем запуске оно добавляется «само» или появляется запрос на его добавление.

Если этого не произошло, нужно добавить его вручную.

• Из Каталога Opera, для Яндекс.Браузера.
• Из Интернет-магазина Chrome для Chromium GOST

Если на компьютере ограниченный доступ в интернет, необходимо извлечь CRX из магазина с помощью специальных утилит и установить его оффлайн. Что в статью включено не будет из-за краткого формата.

Настройка доверенных узлов для КриптоПро ЭЦП

По умолчанию, КриптоПро ЭЦП не позволяет задействовать плагин для ЭП сайтам, которые не были добавлены в доверенные. Вместо этого отображая окно подтверждения.

Для того, чтобы убрать это подтверждение, необходимо добавить сайты в доверенные.

Для этого, найдите значок расширения КриптоПро ЭЦП на панели браузера. Кликните на него и откройте меню расширения. Выберите Настройка доверенных сайтов.

Рекомендуемый для ГИИС ЭБ список ресурсов для добавления в доверенные:

https://*.cryptopro.ru/
https://*.roskazna.ru/
https://*.gov.ru/

Вы можете добавить дополнительные ресурсы позднее.

Введите в текстовое поле строку для добавления и нажмите кнопку +

После добавления всех указанных строк, нажмите Сохранить.

Должно отобразиться подтверждение об успешном сохранении списка.

Установка Пути сертификации для УЦ ФК

Скачивание сертификатов

Переходим на сайт http://crl.roskazna.ru/crl/

На компьютере, в Загрузках, создаём две директории:

• Корневые
• Промежуточные

Скачиваем сертификаты и раскладываем в соответствующие директории как на картинке

Чтобы было сподручнее, используйте Сохранить ссылку как.

Или, скачиваем по ссылкам ниже.

Корневые:

• http://crl.roskazna.ru/crl/Корневой%20сертификат%20ГУЦ%20ГОСТ%202012.crt
• http://crl.roskazna.ru/crl/Корневой%20сертификат%20ГУЦ%202021.cer
• http://crl.roskazna.ru/crl/Корневой%20сертификат%20ГУЦ%202022.cer

Промежуточные:

• http://crl.roskazna.ru/crl/ucfk_2021.crt
• http://crl.roskazna.ru/crl/ucfk_2022.crt
• http://crl.roskazna.ru/crl/ucfk_2022_1.1.crt
• http://crl.roskazna.ru/crl/ucfk_2023.crt

Более старые промежуточные сертификаты скачивать не обязательно, т.к. к этому моменту не должно остаться действующих сертификатов, выпущенных с помощью них.

crl.roskazna.ru — это не просто ресурс, откуда можно скачать сертификаты. Это CRL Distribution Point (CDP), т.е. Точка распространения Списка Отзыва Сертификатов. Потому, если этот ресурс не открывается, системному администратору необходимо обеспечить к нему доступ. И http://reestr-pki.ru заодно проверить, чтобы был доступен. Иначе, вы будете ловить ошибки проверки сертификатов на отзыв и вы не сможете воспользоваться ЭП ни на одном из Порталов.

Установка Корневых сертификатов (ГУЦ)

Открываем консоль Сертификаты с помощью ярлыка в Меню Пуск, который любезно предоставляет КРИПТО-ПРО.

Переходим в хранилище Доверенных корневых центров сертификации Локального компьютера. В левой колонке соответствующее хранилище должно быть выделено.

Переходим в Действие —> Все задачи —> Импорт

Откроется Мастер импорта сертификатов. Нажимаем Далее.

Выбираем заранее отобранный в директорию Корневые сертификат. И нажимаем Далее —> Далее —> Готово. Ничего не меняя.

Повторить действие для каждого файла сертификата.

Установка Промежуточных центров сертификации (УЦ)

В консоли Сертификаты, переходим в хранилище Промежуточных центров сертификации Локального компьютера.

Переходим в Действие —> Все задачи —> Импорт

И повторяем действия аналогично корневым сертификатам, только для директории Промежуточные.

Повторить действие для каждого файла сертификата.

Установка личного сертификата

Открываем Панель управления КриптоПро CSP из меню Пуск.

Вставляем ключевой носитель с сертификатом.

Открываем вкладку Сервис —> Просмотреть сертификаты в контейнере… —> Обзор. Выбираем контейнер с сертификатом, который требуется установить.

 Нажимаем Далее —> Установить —> Готово.

Предполагается, что сертификат уже был интегрирован в контейнер ранее. Если это не так, установите сертификат с помощью мастера Установка личного сертификата и файла в формате .cer.

Проверка работоспособности

Тестирование ГОСТ TLS

Откройте выбранный вами браузер ГОСТ TLS.

Перейдите по ссылке: https://sobi.login.roskazna.ru/

Если всё хорошо, откроется страница:

То что страница открылась, означает, что первая часть проверки успешно пройдена. Вы успешно соединились по «анонимному» ГОСТ TLS с использованием односторонней аутентификации.

Так же, в свойствах сайта (в замочке), вы можете убедиться, что подключение осуществляется по ГОСТу.

Для второй части проверки, нажимаем на кнопку Сертификат ниже на сайте.

Выбираем свой личный сертификат

И, если всё прошло гладко, загрузится страница сайта. В данном случае, содержимое не столь важно, как сам факт того, что она открылась. Мы убедились, что двухсторонняя аутентификация работает.

Тестирование ЭП через КриптоПро ЭЦП

В браузере ГОСТ TLS откройте тестовую страницу КриптоПро ЭЦП.

Это можно сделать по ссылке:

https://cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html

Или через плагин:

В списке сертификатов выберите свой личный сертификат и выполните тестовое подписание.

Завершение

Рекомендуется сделать следующие закладки в браузере:

• https://fzs.roskazna.ru/ — Портал заявителя УЦ ФК
• https://sobi.login.roskazna.ru/ — ПОИБ СОБИ
• https://eb.cert.roskazna.ru/ — Портал ФК ГИИС ЭБ

Что делать дальше?

Если вы сталкиваетесь с работой в ГИИС ЭБ впервые, вот примерный список того, что потребуется сделать дальше:

• Зарегистрироваться в ПОИБ СОБИ под руководителем. Руководители, т.е. лица имеющие право действовать от имени Юр. Лица без доверенности (см. в ЕГРЮЛ), автоматически получают полномочие Главный регистратор. Что даёт им право назначать любые Роли сотрудникам в ПОИБ СОБИ и давать им полномочия Регистратора (которые в свою очередь, тоже могут назначать Роли). Главное помнить, что всё начинается с руководителя.
• Зарегистрировать в ПОИБ СОБИ лицо, имеющее право второй подписи (руководитель ФЭС). Т.е. Главного бухгалтера.
• Назначить в ПОИБ СОБИ пользователям необходимые Роли для работы с нужной подсистемой (ранее они назывались Полномочиями). Например, Казначейским сопровождением. Иначе, в меню подсистемы у вас будет пусто и не будет необходимых форм. Если затрудняетесь, руководителю можно назначить все Роли из группы Казначейское сопровождение. После, можно будет исправить. С главным бухгалтером — сложнее.
• Попытаться зайти на Портал ФК под руководителем.

В случае возникновения проблем…

Если попытаться перечислить здесь все возможные проблемы, то это руководство кратким не будет. Потому будет вкратце перечислено самое основное.

Антивирусное ПО с функциями проверки зашифрованного трафика

Путём перехвата TLS-соединений и выполнения процедуры посредника (Man In The Middle, MiTM).

К таким относятся:

• Касперский
• Dr. Web (SpIDer Gate)

Следует добавить в исключения проверки следующие DNS-адреса:

• eb.cert.roskazna.ru
• sobi.cert.roskazna.ru
• sobi.esia.roskazna.ru
• sobi.login.roskazna.ru
• fzs.roskazna.ru
• lk-fzs.roskazna.ru
• signservice.roskazna.gov.ru

Антивирусное ПО с «песочницами» и прочими ограничителями свободы действий ПО

В данном случае, выделился всего один антивирус. Avast.

Автор пытался составить исключения, чтобы исправить эту проблему, но что бы он туда не прописывал, не помогало. А каналы обращения в техническую поддержку Avast у автора и вовсе отсутствуют. Потому решено просто объявить Avast вредителем и рекомендовать к удалению/замене.

Отключение защиты — помогает. Но это не решение, а обходной путь.

DLP-системы, системы контроля и фильтрации трафика, прокси-серверы (включая squid)

Любые подобные элементы, что пытаются вклиниться посередине чтобы «подсмотреть внутрь» и порулить — обречены на провал, т.к. имеют дело не с обычным TLS, а с модификацией под кодовым названием ГОСТ TLS.

За годы работы автор не встречал ни одной подобной системы, которая была бы способна в корректный ГОСТ-MiTM. Если Касперский так не может, что можно говорить про другое ПО?

Потому, для успешной работы с ГИИС ЭБ, нужно обеспечить наиболее прямое TCP-соединение с указанными чуть выше ресурсами, насколько это только возможно для вас.

Именно потому у людей, работающих из дома, на домашнем интернете, меньше проблем. Это болезнь корпоративных интрасетей.

Отсутствие доступа к CDP для проверки сертификата на отзыв

Сертификаты регулярно проверяются на отзыв и если КриптоПро CSP не в состоянии это сделать, то он предпочитает не доверять сертификату, даже если Путь сертификации проходит проверку.

Если при открытии Портала ФК или другого сайта можно проигнорировать ошибку, то при попытке подписать документ вы не увидите свой сертификат в списке, т.к. в список выводятся только сертификаты, которые прошли проверку.

А в тестировании КриптоПро ЭЦП будет писать красным текстом

Потому нужно обеспечить доступ к следующим адресам:

• http://crl.roskazna.ru/ — на этом ресурсе располагаются списки отзыва для сертификатов, выпущенных УЦ ФК.
• http://reestr-pki.ru/ — на этом ресурсе располагаются списки отзыва от Головных Удостоверяющих Центров (Корневых) Минкомсвязи и Минцифры. Сертификаты УЦ тоже проверяются на отзыв по списку от ГУЦ.

Если ваш личный сертификат выпущен не Казначейством России, то нужно так же посмотреть в его свойствах CDP и обеспечить доступ к этому ресурсу.

Это тоже болезнь корпоративных интрасетей.

Конфликтующие криптопровайдеры

Криптопровайдеры для ГОСТ от других производителей, отличных от КРИПТО-ПРО.

Такие как:

• Код Безопасности CSP 4.0.*
• VIPNet PKI
• Tumar CSP

Если установлено что-то из этого, нужно удалить. Возможно, придётся переустановить КриптоПро CSP после этого.

Попытка использовать HTTP:// для ресурсов ГОСТ TLS

1. TLS, это по определению HTTPS. Потому убедитесь, что вы используете именно ссылку с указанием протокола HTTPS://
2. На точках входа ГИИС ЭБ закрыт 80 порт. Только, вместо явного отклонения соединения, оно просто игнорируется.
   Потому вы получите ошибку TIMED_OUT. Словно сервер на той стороне «лежит» и не подаёт признаков жизни.

Ошибка 404 при переходе на Портал ФК

Ошибка возникает из-за того, что ваша организация отсутствует в Сводном Реестре (СвР) ГИИС Электронного Бюджета. Проверить, включены вы или нет, можно здесь (ищем по ИНН, например). И до тех пор, пока вы не будете в этом списке, вы будете получать эту ошибку.

Советуем обратиться в техподдержку с пометкой «на ПОИБ СОБИ» в письме.

Ничего не помогает

Если ничего не получается, соберите первичную диагностику и отправьте заявку на линию ЭБ — Настройка АРМ в техподдержке ГИИС ЭБ. Если вы это делаете впервые, потребуется завести контактную информацию согласно памятке перед обращением.

P.S.

Статья является актуализированной и укороченной руководства:

https://ebudget.site/#/guides/quick-eb/

Как временное решение, Т.к. Wiki ожидает переноса на другой движок.