Сбой в работе ЭЦП, выданных ФНС.

[Serg_S]

сегодня отказали две разных сабжевых подписи. третья пока работает. на сайте криптопро при проверке работы криптопрошного плагина пишет, что невозможно отследить цепочку сертификатов до доверенного корневого. сначала только одна подпись, остальные нормально. потом вторая перестала. на разных компах, подпись на рутокене. удалось дозвониться до фнс, сказали что массовый сбой какой-то.
все корневые и промежуточные серты установлены, серты выданы несколько месяцев назад, вчера все работало.
антивирус стоит, каспер.
кто-нибудь столкнулся?
ЗЫ: тест контейнера проблем не выявил.

[DimonS]

сказали что массовый сбой какой-то

Значит исправят.

PS. С сертификатами от УФК ловил несколько раз ошибку, когда действие контейнера уже закончилось, а сертификата еще нет. Нихрена не подписывали.

[akar]

действие контейнера уже закончилось

Читаю с глубоким удивлением. Срок действия контейнера - это как? И это зачем? Задача контейнера - хранить ключи шифрования и требовать аутентификации про доступе к ним. Особенно если вспомнить рекомендации от Контур-Экстерн хранить старые ключи шифрования на случай, если понадобится расшифровать документ, зашифрованный когда-то давно с их помощью.

[DimonS]

Читаю с глубоким удивлением. Срок действия контейнера - это как?

Вот эта хрень.


Он создается у пользователя при подаче запроса в УФК. Сам сертификат изготавливает уже УФК. А они могут и через неделю сделать его, и через две. Типа некоу/больничный/отпуск/херзнаетгде. И хоть срок действия сертификата потом и не закончился, но с этой просроченной херней уже не подписывает.

[Serg_S]

сказали что массовый сбой какой-то

Значит исправят.

PS. С сертификатами от УФК ловил несколько раз ошибку, когда действие контейнера уже закончилось, а сертификата еще нет. Нихрена не подписывали.

да, есть такое. срок действия серта ФК отсчитывается с момента создания контейнера (то бишь запроса), а не сертификата. а там от нескольких часов до нескольких дней может быть, смотря как смэв работает, и тд.

[Serg_S]

ится

Он создается у пользователя при подаче запроса в УФК. Сам сертификат изготавливает уже УФК. А они могут и через неделю сделать его, и через две. Типа некоу/больничный/отпуск/

нет. не вводите людей в заблуждение. срок обработки запроса ограничен 5 рабочими днями. а вот срок проверки персональных данных в смэв - нет, но даже там неделю не бывает. максимум сутки емнип было.

[akar]

Он создается у пользователя при подаче запроса в УФК. Сам сертификат изготавливает уже УФК. А они могут и через неделю сделать его, и через две. Типа некоу/больничный/отпуск/херзнаетгде.

Это понятно сразу.

И хоть срок действия сертификата потом и не закончился, но с этой просроченной херней уже не подписывает.

Вот именно это и удивляет. Срок действия криптопары определяется, на мой взгляд, датой регистрации открытого ключа в удостоверяющем центре, то есть создания сертификата. А когда именно эту криптопару сделали - дело десятое, главное, чтобы по нужному криптоалгоритму.

[Serg_S]

Он создается у пользователя при подаче запроса в УФК. Сам сертификат изготавливает уже УФК. А они могут и через неделю сделать его, и через две. Типа некоу/больничный/отпуск/херзнаетгде.

Это понятно сразу.

И хоть срок действия сертификата потом и не закончился, но с этой просроченной херней уже не подписывает.

Вот именно это и удивляет. Срок действия криптопары определяется, на мой взгляд, датой регистрации открытого ключа в удостоверяющем центре, то есть создания сертификата. А когда именно эту криптопару сделали - дело десятое, главное, чтобы по нужному криптоалгоритму.

срок действия закрытого ключа 1 год и 3 месяца

[DimonS]

. Срок действия криптопары определяется, на мой взгляд, датой регистрации открытого ключа в удостоверяющем центре, то есть создания сертификата.

Нет. Это и программисты их подтвердили. Раза три уже нарывался на такую каку.

[RangerRU]

ну сломалось и сломалось
че вы паникуете
ну штраф дадут 🤣🤣🤣

[akar]

срок действия закрытого ключа 1 год и 3 месяца

Нет. Это и программисты их подтвердили. Раза три уже нарывался на такую каку.

У меня ощущение, что это КриптоПрошная история для выполнения требований российских нормативных актов. Почитал https://en.wikipedia.org/wiki/PKCS_1, https://en.wikipedia.org/wiki/PKCS_8, https://ru.wikipedia.org/wiki/PKCS12 - ничего не пишут про сроки действия закрытого ключа.

[DimonS]

akar
Буквально перед этим НГ пытался продлить сертификат (ЭЦП) директору. Срок действия - до 11.01.2024. Ну перед НГ охеренно все хотят работать. УФК не исключение. Скаазали, что сделать запрос сразу после каникул и все нормально будет (если хотят, то после запроса в течение часа делают).
Ага. Срок действия закрытого ключа закончился 02.01... А подписывать требуется каждый день. Все, подпись не проходит! Да, написано что сертификат действителен, а подписать ничего нельзя.
Пришлось обращаться к программистам (второй раз уже) и они по удаленке снимали это ограничение.

Так что не впервой уже

[akar]

Пришлось обращаться к программистам (второй раз уже) и они по удаленке снимали это ограничение.

Гугл сразу подсказал, какой параметр какого ключа в реестре можно изменить для отключения этого контроля. Причём ключ в разделе КриптоПро, а не Microsoft - сразу навело на мысль про наш особый путь в криптографии.

[Serg_S]

У меня ощущение, что это КриптоПрошная

да, там какие-то дела с сертификацией именно криптопро

[DimonS]

Гугл сразу подсказал, какой параметр какого ключа в реестре можно изменить для отключения этого контроля

Прогеры через командную строку снимали ограничение. Где-то есть сканы.

[Serg_S]

ну сломалось и сломалось
че вы паникуете
ну штраф дадут 🤣🤣🤣

надо отдать должное, с 13-00 всё заработало.

[akar]

Прогеры через командную строку снимали ограничение. Где-то есть сканы.

Возможно, командой

Код: [Выделить]

reg add "HKLM\SOFTWARE\Wow6432Node\Crypto Pro\Cryptography\CurrentVersion\Parameters" /v ControlKeyTimeValidity /t REG_DWORD /d 0https://doc.s-terra.ru/rh_output/4.2/KP/output/mergedProjects/Admin/%D0%98%D1%81%D1%82%D0%B5%D1%87%D0%B5%D0%BD%D0%B8%D0%B5_%D1%81%D1%80%D0%BE%D0%BA%D0%B0_%D0%B4%D0%B5%D0%B9%D1%81%D1%82%D0%B2%D0%B8%D1%8F_%D0%B7%D0%B0%D0%BA%D1%80%D1%8B%D1%82%D0%BE%D0%B3%D0%BE_%D0%BA%D0%BB%D1%8E%D1%87%D0%B0_%D1%81%D0%B5%D1%80%D1%82%D0%B8%D1%84%D0%B8%D0%BA%D0%B0%D1%82%D0%B0_%D0%A3%D0%A6.htm

[DimonS]

Возможно, командой

Некоторые команды с ошибками не читайте - человек тоже после каникул первый день на работе был

[Serg_S]

Буквально перед этим НГ пытался продлить сертификат (ЭЦП) директору. Срок действия - до 11.01.2024. Ну перед НГ охеренно все хотят работать. УФК не исключение. Скаазали, что сделать запрос сразу после каникул и все нормально будет

а зачем спрашивать?
запрос создал и вперед, мы же в налоговой не спрашиваем, когда им декларацию подать.

[DimonS]

а зачем спрашивать?

Если им не позвонить и не напомнить, они вообще запрос могут и не увидеть. Или увидеть и напотом отложить и забыть. Было много раз.

В налоговой может по-строже с этим, не знаю.

[Serg_S]

а зачем спрашивать?

Если им не позвонить и не напомнить, они вообще запрос могут и не увидеть. Или увидеть и напотом отложить и забыть. Было много раз.

В налоговой может по-строже с этим, не знаю.

это как учитель пришел в школу и забыл провести уроки. или шофер пришел на работу, сел за руль и забыл поехать.
так-то просроченный запрос - серьезное нарушение.
не ве-рю. (с) Станиславский

[DimonS]

не ве-рю.

Что есть, то есть.

[RangerRU]

Прогеры через командную строку снимали ограничение. Где-то есть сканы.

Код: [Выделить]

Что делать если закончился срок действия закрытого ключа ранее сертификата:

открываем командную строку от имени администратора и переходит в папку C:\Program Files (x86)\Crypto Pro\CSP (в 32-х разрядной винде путь C:\Program Files\Crypto Pro\CSP)

набираем поочередной две команды:
csptest -keyset -container "имя_контейнера" -cleanext 1.2.643.2.2.37.3.9
csptest -keyset -container "имя_контейнера" -cleanext 1.2.643.2.2.37.3.10

где имя_контейнера это имя контейнера из файла name.key (оно же видно в криптопро, например для сертов УФК на ДЛ выглядит так:

Иванов Иван Иванович 428153842

то есть команды для Иванова будут выгядеть так:

csptest -keyset -container "Иванов Иван Иванович 428153842" -cleanext 1.2.643.2.2.37.3.9
csptest -keyset -container "Иванов Иван Иванович 428153842" -cleanext 1.2.643.2.2.37.3.10

всё, срок действия закрытого ключа теперь равен сроку действия сертификата

[НичеСЕ]

Если им не позвонить и не напомнить, они вообще запрос могут и не увидеть. Или увидеть и напотом отложить и забыть. Было много раз.

Не знаю где у вас так было, но забыть или отложить (не увидеть), там просто не возможно.

[DimonS]

где у вас так был

г. Райчухинск, ул. Победы, д. 2.

[Serg_S]

г. Райчухинск, ул. Победы, д. 2.

это теротдел, там функции выполняет кто-нибудь параллельно основной работе, которой хватает,потому накладки возможны, но просрочка более 5 рабочих дней при обработке запроса - серьезное нарушение, так что думаю, эти случаи очень редки.

[DimonS]

так что думаю, эти случаи очень редки.

Но бывают. Не первый год с ними работаю.

[Mc_f1]

PS. С сертификатами от УФК ловил несколько раз ошибку, когда действие контейнера уже закончилось, а сертификата еще нет. Нихрена не подписывали.

Лечится копированием закрытого контейнера через сертификаты, и установкой онного, всё, там снова на 1,3 года контейнер. А у сертификата та дата на которую его выпускали. Это если мы говорим за сертификаты казначейства.

[НичеСЕ]

Лечится копированием закрытого контейнера через сертификаты, и установкой онного, всё, там снова на 1,3 года контейнер. А у сертификата та дата на которую его выпускали. Это если мы говорим за сертификаты казначейства.

Есть экспортируемый контейнер, а есть нет. Это делается при генерации контейнера, так что не всегда так можно сделать

[Сериализатор]

Был серт. ФНС, перестал подписывать документы в лк на сайте, отзыв завершался ошибкой. Работники налоговой посоветовали использовать приложение в мобиле НалогиФЛ, для получения нового серт-а, и подписывания доков только в приложении. Похоже, лк на сайте скоро все.