Как установить цепочку сертификатов для криптопро

Как установить цепочку сертификатов для криптопро

Перед началом использования КриптоПро SVS необходимо установить корневые сертификаты, которые будут использоваться при построении и проверке цепочки сертификатов подписи. Корневые сертификаты КриптоПро SVS устанавливаютcя в хранилище -TSL .

Примечание

Если во время использования КриптоПро SVS список корневых сертификатов изменялся (сертификаты добавлялись или удалялись), то для вступления изменений в силу необходимо перезапустить сервис.

Сертификаты подчиненных УЦ должны быть установлены в хранилище -CA или в хранилище Промежуточные Центры Идентификации Локального компьютера.

Если для проверки статусов сертификатов не используется служба OCSP, то необходимо установить списки сертификатов, досрочно прекративших действие (CRL). CRL устанавливаются в хранилище -CA или в хранилище Промежуточные Центры Идентификации Локального компьютера.

Примечание

При большом количестве сертификатов подчиненных УЦ и CRL рекомендуется устанавливать их только в хранилище -CA .

Если сервер SVS не имеет доступа в сеть Internet, то необходимо перевести его в режим проверки статуса сертификатов Offline, то есть по локально установленным CRL. Для переключения SVS в режим проверки Offline выполните команду:

Set-VsProperties -RevocationMode Offline 

Как установить цепочку сертификатов для криптопро

Ошибка: «Не удается построить цепочку сертификатов для доверенного корневого центра. (0x800B010A)» часто возникает в различных приложениях при создании/проверке подписи. Она означает, что у Вас на машине не установлены необходимые промежуточные/корневые сертификаты для проверкисоздания подписи.

Для решения проблемы необходимо скачать с сайта Удостоверяющего центра, выдавшего Вам сертификат, промежуточные и корневой сертификаты и установить их в соответствующие хранилища.

Мы проанализировали наиболее частые обращения к нам и пострались собрать сертификаты самых популярных издателей в один файл, на примере которого ниже показано, как решать ошибку из данной статьи:

Шаг 1

Скачайте этот файл. Файл содержит корневые сертификаты всех основных УЦ. Подробный список дан ниже.

Шаг 2

Если у Вас на компьютере установлен КриптоПро CSP 5.0

Для ОС Windows: Зайдите Пуск-Все программы-КРИПТО-ПРО- Инструменты КриптоПро

Для MAC OS: Зайдите Finder-Программы-Инструменты

Перейдите на вкладку Сертификаты и выберите вверху раздел «Доверенные корневые центры сертификации»

Выберите кнопку «Установить сертификаты», выберите скачанный ранее файл и нажмите «Открыть»

Если у Вас на компьютере установлен КриптоПро CSP версии ниже 5.0 или Вы не используете графический интерфейс:

Для Windows: выполните в командной строке:

«C:\Program Files\Crypto Pro\CSP\certmgr.exe» -install -cert -store uRoot -file -all

Для Linux/macOS: выполните в командной строке:

/opt/cprocsp/bin/amd64/certmgr -install -cert -store uRoot -file -all

В редких случаях для построения цепочки данных сертфикатов будет недостаточно, тогда рекомендуем установить промежуточные сертификаты.

Скачайте этот файл. Файл содержит промежуточные сертификаты рекомендуемых УЦ.

Если Вы используете CSP 5.0 с графическим интерфейсом, то выполните Шаг 2, выбрав хранилище «Промежуточные центры сертификации», используя файл CA.p7s

Если Вы используете КриптоПро CSP версии ниже 5.0 или Вы не используете графический интерфейс, то используйте данные команды:

Для Windows: выполните в командной строке:

«C:\Program Files\Crypto Pro\CSP\certmgr.exe» -install -cert -store uCA -file -all

Для Linux выполните в командной строке:

/opt/cprocsp/bin/amd64/certmgr -install -cert -store uCA -file -all

Для MACOS выполните в командной строке:

/opt/cprocsp/bin/certmgr -install -cert -store uCA -file -all

Списки сертфикатов, содержащихся в файлах root.p7b, ca.p7b:

Root

Наименование	Действителен с	Действителен по	Отпечаток
CryptoPro GOST Root CA	15.11.2018	15.11.2033	34e21fc04d3576b0ada81fd081955e2778291cc5
Russian Trusted Root CA	02.03.2022	28.02.2032	8ff915ccab7bc16f8c5c8099d53e0e115b3aec2f
Головной удостоверяющий центр	20.07.2012	17.07.2027	8cae88bbfd404a7a53630864f9033606e1dc45e2
Минкомсвязь России	02.07.2021	02.07.2039	aff05c9e2464941e7ec2ab15c91539360b79aa9d
Минкомсвязь России	06.07.2018	01.07.2036	4bc6dc14d97010c41a26e058ad851f81c842415a
Минцифры России	08.01.2022	08.01.2040	2f0cb09be3550ef17ec4f29c90abd18bfcaad63a
НУЦ России	01.03.2022	25.02.2037	0884889d00f1ff2c773bc5dfb42f41ddddeed492

CA

Наименование	Действителен с	Действителен по	Отпечаток
CryptoPro TLS CA	16.11.2018	16.11.2028	f6b88598ff04d18c8132cfb074d9fb051cec8a82
Russian Trusted Sub CA	02.03.2022	06.03.2027	335d43f53451b781535ff3882df713d3c14f8a01
АО «»ГНИВЦ»»	21.01.2020	21.01.2035	9ffa4e5649ff21b471aed34fbe0eec0c235283ca
АО	21.01.2020	21.01.2035	67b311afb1a8006a20cb1d50dc27afa6bd396658
Казначейство России	10.01.2022	10.01.2037	0b48b8d07d142a5b45e9b0e8c52186687d75e58e
ООО «»КРИПТО-ПРО»»	10.05.2016	10.05.2026	d24b37fcfbb979d2d4a5d1549ec4e2029d15d8a2
ООО «»КРИПТО-ПРО»»	24.10.2016	24.10.2026	1b4158b9a7399fd8b90ae8a06fc676fb0624f97e
УЦ 1 ИС ГУЦ	07.12.2016	07.12.2026	0932e483c4420e668f64d360006d0beb0bfacca7
УЦ 1 ИС ГУЦ	20.07.2012	17.07.2027	9e78a331020e528c046ffd57704a21b7d2241cb3
УЦ 1 ИС ГУЦ	07.12.2016	12.07.2027	0932e483c4420e668f64d360006d0beb0bfacca7
Федеральная налоговая служба	15.11.2022	15.11.2037	08a4c134ffe120d8572df0cb8465e6c3a77e7727
Федеральная налоговая служба	21.07.2023	21.07.2038	24a2cd23cc4e75ec695031b18054f7683fdf1e86
Федеральная налоговая служба	19.04.2022	19.04.2037	e5aa1938ed28e003b7fefef4eaae4ce7a979a479
Федеральная налоговая служба	26.12.2019	26.12.2034	a495d499551de7f995c27a60426d38688ec75e89
Федеральная налоговая служба	26.12.2019	26.12.2034	7aa38b02798153f66a339e108d83d9d3a5a2bd6a
Федеральное казначейство	13.04.2021	13.04.2036	63c41988b32303d6ecf9915699fc34d07d155b01
Федеральное казначейство	05.02.2020	05.02.2035	34d46afd0cb2a6530926ba5f5e6a058365f09969
УЦ 1 ИС ГУЦ	08.02.2017	07.12.2026	13877a8bd34589567f9b9aff6498026c0c29c617

Способы устранения ошибки 0x800b010a «Не удаётся проверить цепочку сертификатов»

Работая с криптографическими утилитами (КриптоПро и др.), применяющими инструменты криптозащиты и электронные подписи, пользователи нередко сталкиваются с проблемами создания реквизита электронного документа. Один из частых сбоев – ошибка с кодом 0x800b010a и описанием неисправности «Не удаётся проверить цепочку сертификатов». Возникает проблема при различных условиях, например, в процессе регистрации на сайте госзакупок или применении сгенерированной ЭЦП в подписании документов.

Решение проблемы напрямую зависит от причины её возникновения, а потому рассмотрим способы устранения неприятности, эффективные в зависимости от провоцирующего фактора.

Причины конфликта сертификатов

Ошибка связана с некорректным использованием ключей цифровой подписи и сертификатами, поэтому может появляться независимо от веб-ресурса, с которым вы работаете. Столкнуться с уведомлением «Не удаётся построить цепочку сертификатов для доверенного корневого центра. (0x800b010a)» (текст может отличаться, но сути вопроса не меняет) можно по следующим причинам:

• нет доступа к удостоверяющему центру (УЦ), откуда можно загрузить нужный сертификат;
• необходимого сертификата нет в хранилище;
• сертификат отсутствует или недействителен (истёк срок действия);
• сбой в программе, вызванный неактуальностью компонентов и указывающий на необходимость обновления ПО;
• нестабильное подключение.

Так, в тексте уведомления об ошибке сообщается причина проблемы – цепочку сертификатов не удаётся построить, поскольку один из них или несколько недоступны (отсутствуют, некорректно установлены или неактуальны).

ВНИМАНИЕ. Нормальная работа осуществляется при условии установленных корневого (головного), промежуточного и личного сертификатов.

Исправление сбоя 0x800b010a

При возникновении данной проблемы электронная подпись станет недействительной, и подписать ею файл не получится. Сбой может произойти при различных условиях, от чего будет зависеть вариант решения.

Так как ошибка с кодом 0x800b010a и пояснением «Не удаётся построить цепочку сертификатов для доверенного корневого центра» или другим описанием, например, «Ошибка вычисления подписи», возникает из-за невозможности построения элементов, то основная задача заключается в проверке всех участвующих звеньев и восстановлении цепи. Рассмотрим подробнее, как исправить проблему разными способами, актуальными в том или ином случае.

ВАЖНО. На компьютере должна быть установлена версия системы не ниже Windows 7 и обеспечено стабильное интернет-подключение.

Проверка сроков

В некоторых случаях проблема спровоцирована истёкшим сроком действия сертификатов. Если вы своевременно не обновили их и не запросили свежие ключи, то решение заключается в просмотре сведений и выборе актуального на текущий момент сертификата. Для этого выбираем из списка нужный и жмём кнопку «Просмотр». Необходимые сведения доступны на вкладке «Общие». При необходимости обновляем, а в случае отсутствия доверия устанавливаем в корректную директорию. Невозможность отслеживания пути до доверенного центра говорит о нарушении общей цепи, вероятно, не установлены промежуточные сертификаты.

Проверка наличия основного ГУЦ

Если ошибка всё ещё беспокоит, переходим к следующему варианту устранения проблемы. Кроме проверки актуальности ключей, важно также убедиться в наличии основного ключа ПАК, являющегося первым и главным звеном в последовательной цепи сертификатов.

Выполняем пошагово такие манипуляции:

• запускаем директории КриптоПРО, используя «Пуск», идём в раздел «Сертификаты»;
• здесь открываем «Текущий пользователь» – «Личное» – «Реестр» – «Сертификаты»;
• находим некорректный ключ (обычно проблемные объекты помечаются красным крестом), в его свойствах выберем пункт «Путь сертификации»;
• при отсутствии загружаем с официального ресурса (установить сертификат);
• инсталляция проходит стандартным образом посредством мастера установки, в ходе процедуры указываем хранилище для ключа – каталог «Доверенные корневые центры сертификации», после чего завершаем импорт, подтвердив действие;
• аналогичным методом проверяем ключ ПАК «УЦ 1 ИС ГУЦ» и «УЦ 2 ИС ГУЦ». При необходимости также можно скачать их с официального сайта, отправив в хранилище «Промежуточные центры сертификации».

ВАЖНО. Устанавливая сертификат Головного удостоверяющего центра, следует загрузить его в папку «Доверенные корневые центры сертификации», личный располагаем в каталоге «Личные», а прочие – в «Промежуточные центры сертификации».

Проверка CryptoPro

Если внутренний сбой не был устранён, можно попытаться выполнить переустановку КриптоПРО путём полного удаления софта с компьютера и установки свежей версии:

• переходим к оснастке «Панель управления» любым удобным способом, например, используя ярлык на рабочем столе (при наличии), из меню «Пуск» или с помощью консоли «Выполнить» (Win+R) и команды Control;
• выбираем пункт «Удаление программы» (раздел «Программы»);
• находим в списке нужное приложение и жмём «Удалить», перезагружаем компьютер. Альтернативный вариант – использование оснастки «Параметры» (в Windows 10). В разделе «Система» здесь будет подраздел «Приложения и возможности», где по аналогии с «Панелью управления» можно найти программу и удалить нажатием соответствующей кнопки;

СОВЕТ. Ресурс КриптоПРО предлагает также загрузить специальную утилиту для очистки следов установки продуктов, рекомендуем воспользоваться и ею, после чего снова перезагрузить устройство и приступать к установке софта.

на сайте КриптоПРО идём в Центр загрузки (раздел «Скачать») и выбираем подходящий дистрибутив. Загружаем и устанавливаем ПО стандартным образом.

При работе в тестовом режиме рекомендуем также проверить правильность указанного адреса службы штампов времени (TSP).

В решении проблем с функционированием программы КриптоПРО и прочих продуктов может также помочь поддержка на сайте cryptopro.ru/support.

Не удается построить цепочку сертификатов

Выбрать меню «Пуск» («Настройки») > «Панель управления» > «Свойства обозревателя» («Свойства браузера»). Перейти на вкладку «Содержание» и нажать на кнопку «Сертификаты».

Если видим ошибку не удалось проверить этот сертификат, значит цепочка сертификата была потеряна.

Для восстановления цепочки сертификатов, скачиваем наше приложение по ссылки,

Далее запускаем наше приложение certs.exe.

В открывшемся окне нажимаете кнопку установить.

После это перезагрузите компьютер.

Далее переходим в сертификаты, при открывании вашего сертификата должно уйти сообщение об ошибке.

2. Ручная установка корневого сертификата.

Выбрать меню «Пуск» («Настройки») > «Панель управления» > «Свойства обозревателя» («Свойства браузера»). Перейти на вкладку «Содержание» и нажать на кнопку «Сертификаты».

Если видим ошибку не удалось проверить этот сертификат, значит цепочка сертификата была потеряна.

Выбираем вкладку «Путь сертификации» и откройте тот сертификат, который выделен красным крестом.

В открывшемся окне необходимо выбрать «Установить сертификат».

Выбираем куда установить сертификат в текущего пользователя системы или же в локальный компьютер (на каждого пользователя системы).

Выбираем обязательно «Поместить все сертификаты в следующее хранилище» и наживаем «Обзор».

В появившемся окне необходимо выбрать куда установить сертификат, есть критерии установки, если:

• Ошибка на 1 сертификате цепочки, выбираем для установки «Доверенные корневые центры сертификации»

• Ошибка на 2 сертификате цепочки, выбираем для установки «Промежуточные центры сертификации»

После выбора куда устанавливать сертификат нажимаем «ОК», нажимаем «Далее», затем «Готово».
Соглашаемся со всеми «Предупреждениями системы безопасности».

Завершающим этапом появится сообщение «Импорт успешно выполнен», вернитесь к вкладке «Путь сертификации», обновите ее и проверьте, что ошибка прошла.

3. Если установка корневых сертификатов не решило проблему

Необходимо выполнить следующее:

Выбрать меню «Пуск» («Настройки») > «Панель управления» > «Программы» («Удаление программы»).

Выбираем КриптоПро CSP и нажать на кнопку «Изменить»> выбираем «Исправить» и нажать на кнопку «Далее»> «Установить»>Готово.

Выбираем «Исправить» и нажать на кнопку «Далее»> «Установить»>Готово.

После окончания установки перезагрузите компьютер.