Работа с ГОСТ-документами в НАЙС.ОС: руководство пользователя¶
Этот раздел предназначен для сотрудников, бухгалтерии, архивов, подразделений документооборота и пользователей рабочих станций НАЙС.ОС. Не требуется знать языки программирования или устройство криптографической библиотеки.
Что умеет установленная система¶
НАЙС.ОС использует доработанную libksba для правильной обработки российских сертификатов и ряда защищённых электронных документов. В обычном сценарии пользователь работает с приложением, например gpgsm, а библиотека используется автоматически. Вам не нужно запускать «libksba» отдельной командой.
Для работы могут потребоваться: сертификат партнёра, его открытый ключ (обычно находится в сертификате), собственный закрытый ключ — только если вы подписываете или расшифровываете — и настроенные доверенные УЦ. Для подписей gpgsm работает с X.509/CMS. Обычный gpg, используемый для OpenPGP, — другая программа с другим форматом документов.
Словарь без сложной терминологии¶
| Термин | Значение |
|---|---|
| Сертификат | Цифровое удостоверение владельца открытого ключа |
| Открытый ключ | Данные для проверки подписи или шифрования сообщения адресату; не является секретом |
| Закрытый ключ | Секрет владельца, необходимый для подписи или расшифрования |
| ГОСТ | Российское семейство криптографических алгоритмов |
| X.509 | Международный формат сертификата |
| CMS | Формат подписанного или зашифрованного сообщения |
.p7s |
Распространённое имя файла CMS с подписью; реальный формат следует проверять |
.p7m |
Распространённое имя файла CMS с данными и/или шифрованием; расширение не гарантирует содержимое |
| УЦ | Удостоверяющий центр, выпускающий сертификаты |
| Отпечаток сертификата | Короткий идентификатор сертификата, используемый для его поиска и сверки |
| Подпись верна | Данные соответствуют подписи и конкретному открытому ключу |
| Сертификат доверенный | УЦ и политика проверки признают сертификат пригодным для заданного сценария |
Ситуация 1. Вам прислали сертификат .cer¶
Убедитесь, что он получен из проверенного канала. Сохраните файл, не переименовывая его в надежде изменить формат. Для диагностики можно попросить администратора:
Если сертификат текстовый, используйте -inform PEM. Если OpenSSL не прочитал ГОСТ-ключ, проверку следует повторить через настроенный GPGSM — у этих инструментов отдельные механизмы. После импорта сертификата в GPGSM можно посмотреть сведения через:
Импорт сертификата ещё не означает, что вы доверяете его владельцу. Для работы с важными документами уточните у администратора, какие УЦ разрешены организацией.
Ситуация 2. Вам прислали документ и подпись отдельно¶
Например, два файла: dogovor.pdf и dogovor.pdf.sig. Сохраните оба файла в один каталог. Не редактируйте PDF перед проверкой. Выполните:
Просмотрите результат: проверена ли именно подпись, найден ли сертификат владельца, нет ли ошибок доверия и актуальности сертификата. Ошибка не обязательно означает подделку — иногда не установлен промежуточный сертификат УЦ или не доступна сеть для проверки отзыва.
Не используйте «визуальную подпись» в PDF как замену криптографической проверки. Картинка печати и фамилии может присутствовать в документе независимо от действительности электронной подписи.
Ситуация 3. Вам прислали один подписанный файл¶
Если это присоединённый контейнер CMS, в нём может находиться весь документ вместе с подписью:
Если программа сообщает, что требуется внешний исходный документ, уточните у отправителя, не является ли подпись отсоединённой. Расширения .sig, .p7s, .p7m не являются абсолютным доказательством структуры. Не пытайтесь просто сменить расширение файла.
Ситуация 4. Вам прислали зашифрованный файл¶
Если файл адресован вам, для его открытия нужен ваш закрытый ключ. Он может быть на рабочем компьютере, в защищённом хранилище или на токене. Один только сертификат отправителя ничего не расшифрует.
Проверьте, что восстановленный файл соответствует ожидаемому типу. Если программа пишет об отсутствии закрытого ключа, обратитесь к администратору — не просите отправителя выслать чужой закрытый ключ. Если программа запрашивает PIN аппаратного носителя, вводите его только в доверенном диалоге вашего приложения.
Ситуация 5. Вы хотите подписать свой документ¶
Прежде убедитесь, что у вас имеется личный сертификат с допустимым назначением и доступ к собственному ключу. Типовой интерфейс:
gpgsm --list-secret-keys
gpgsm --local-user 'ОТПЕЧАТОК_СВОЕГО_СЕРТИФИКАТА' \
--output podpis.p7m --sign dogovor.pdf
После создания подписи обязательно проверьте её и уточните формат, требуемый принимающей стороной. Для некоторых площадок необходим определённый профиль CAdES, дополнительные атрибуты или специализированное сертифицированное ПО: библиотека libksba не обеспечивает их автоматически.
Ситуация 6. Отправка зашифрованного документа партнёру¶
Получите от партнёра его сертификат для шифрования, убедитесь, что он соответствует конкретному человеку или подразделению. Импортируйте его и выберите точного адресата:
gpgsm --import recipient.cer
gpgsm --list-keys
gpgsm --recipient 'ОТПЕЧАТОК_ПОЛУЧАТЕЛЯ' \
--output document.p7m --encrypt document.pdf
В таком обмене необходимо предварительное испытание. Не все системы документооборота принимают любой CMS-конверт, даже если обе стороны используют ГОСТ. Для важного письма сначала отправьте тестовый документ без конфиденциальных данных и попросите подтвердить расшифрование.
Типовые вопросы пользователя¶
Могу ли я открыть любой файл КриптоПро? Нет. ГОСТ-адаптация повышает совместимость ряда стандартных форматов, но полный результат зависит от типа CMS, доступных алгоритмов и ключей. Иногда требуется ПО производителя.
Почему сертификат виден, а подпись не проверяется? Чтение сертификата и проверка подписи — разные операции. Проверьте наличие исходных данных, алгоритма и доверенных УЦ.
Почему я могу проверить чужую подпись, но не подписываю сам? Для проверки достаточно открытого ключа. Для подписания требуется ваш закрытый ключ и разрешение на операцию.
Поддержка ГОСТ означает наличие квалифицированной электронной подписи? Нет. Тип подписи и юридические требования определяются законодательством, сертификатом, используемым СКЗИ и правилами конкретной системы.
Можно ли отправить администратору свой PFX? Не отправляйте закрытые ключи и защищённые контейнеры по открытой почте или в мессенджере. Действуйте по внутреннему регламенту.
Можно ли проверить подпись через сайт? Для конфиденциальных документов безопаснее локальная проверка. Обращайтесь к утверждённым организацией средствам и не загружайте файлы и ключи в неизвестные сервисы.
Поддерживает ли эта библиотека USB-токены? Сама по себе она не является драйвером токена. Нужна инфраструктура доступа к устройству и поддерживаемые инструменты.
Краткая памятка по безопасности¶
Проверяйте отправителя вне канала, которым получили подозрительный документ. Не открывайте вложения как исполняемые программы. Не сообщайте никому PIN, пароль или закрытый ключ. Сохраняйте исходные файлы для возможной повторной проверки. Не принимайте юридически значимые документы только потому, что подпись «математически сошлась»: проверка доверия, статуса сертификата и полномочий тоже обязательна.
См. электронная подпись CMS, зашифрованные документы и совместимость.