как установить корневой сертификат на mac os
MAC OS Установка сертификата
Установка сертификата вручную
Через КриптоПро CSP 5.0:
1. Откройте Finder → Программы → cptools.app
2. Если сертификат установлен в контейнер, перейдите в раздел Контейнеры → Выберите нужный Контейнер и нажмите на Установить сертификат
3. Если сертификат не установлен в контейнер:
a. В cptools откройте раздел Сертификаты и нажмите на Установить сертификаты
b. Выберите нужный сертификат и нажмите на кнопку Открыть
· Если контейнер доступен – cptools автоматически найдет подходящий и установит сертификат в хранилище личные. Однако сертификат в контейнер не установит. Чтобы установить сертификат в контейнер – воспользуйтесь способом установки через терминал.
· Если контейнер недоступен – cptools установит сертификат без ссылки на закрытый ключ в хранилище Другие пользователи.
Электронная подпись на Mac
Электронная подпись (ЭП) работает на MacOS. Однако настроить программы для работы подписи в такой системе сложнее, чем на Windows. В статье разберем, как установить и использовать ЭП на макбуках и компьютерах Apple.
Где купить электронную подпись на Mac
Электронную подпись можно приобрести в удостоверяющем центре, аккредитованном Минцифры РФ. Уточните у сотрудников центра, подходит ли их подпись для работы на MacOS.
Вы можете проверить это и самостоятельно. На сайте УЦ обычно можно найти требования к рабочему месту пользователя. Обратите внимание не только на саму операционную систему, но и ее версию. Если ЭП работает только на Windows, или ваша версия MacOS устарела, возникнут проблемы. В этом случае лучше обновить систему.
Получите электронную подпись для MacOS в Удостоверяющем центре Контура. Оформите заявку, наш менеджер свяжется с вами, чтобы обсудить детали.
Что нужно для работы с КЭП на MacOS
Работать с электронной подписью не получится без программы КриптоПро CSP определенной версии. Как установить ее на компьютер, мы расскажем ниже.
Если вы планируете работать с подписью на носителе — безопаснее использовать токены, например, Рутокен лайт, Рутокен ЭЦП 2.0 или Джакарты LT и SE. Если в макбуке нет порта для USB, то нужен будет переходник для type c или токен с таким разъемом.
Также перед установкой подписи нужно скачать определенный браузер. Так как вы не сможете использовать подпись в Safari, браузере, стандартном для MacOS. Для электронной подписи подойдут, например, Google Chrome, Яндекс или Opera.
Если вы планируете работать на госпорталах, учитывайте, что зачастую будете сталкиваться со сложностями — не все системы умеют взаимодействовать с MacOS. Например, чтобы работать на сайте Налог.ру придется скачать браузер, поддерживающий алгоритмы ГОСТ— Chromium. А некоторые порталы и вовсе не будут принимать ЭП, которая установлена на MacOS.
Как установить сертификат электронной подписи на Mac OS
Установить контейнер с сертификатом ЭП на компьютер можно с помощью программы cptools. Чтобы начать копирование:
Еще один способ установки сертификата ЭП на компьютер — с помощью сервиса Установочный диск:
Работа с КриптоПро CSP в Mac OS
Если вы устанавливали электронную подпись на компьютер с помощью Установочного диска Контура, программа автоматически установила и необходимую версию КриптоПро. В этом случае вы можете сразу приступать к работе с подписью.
Если вы устанавливали сертификат ЭП самостоятельно, чтобы установить программу КриптоПро:
После установки программа может потребовать ввести лицензию. Для этого:
Теперь вы знаете, как работать с электронной подписью на Mac OS. Получить подходящую вам подпись можно в Удостоверяющем центре Контура. Оставьте заявку, мы свяжемся с вами, чтобы обсудить детали.
Квалифицированная электронная подпись под macOS
FYI. Статья написана в далеком 2019 году, но актуальна и на февраль 2021.
Каждый предприниматель и руководитель ООО пользуется электронной подписью. Помимо КЭП для ЕГАИС и облачных КЭП для сдачи отчетности, выдаваемых банками и бухгалтерскими сервисами, особый интерес представляют универсальные УКЭП на защищенных токенах. Такие сертификаты позволяют только логиниться на гос.порталы и подписывать любые документы, делая их юридически значимыми.
Благодаря сертификату КЭП на USB-токене можно удаленно заключить договор с контрагентом или дистанционным сотрудником, направить документы в суд; зарегистрировать онлайн-кассу, урегулировать задолженность по налогам и подать декларацию в личном кабинете на nalog.ru; узнать о задолженностях и предстоящих проверках на Госуслугах.
Представленный ниже мануал поможет работать с КЭП под macOS – без изучения форумов КриптоПро и установки виртуальной машины с Windows.
Что нужно для работы с КЭП под macOS:
Устанавливаем и настраиваем КЭП под macOS
Смена PIN-кода контейнера
Подпись файлов в macOS
Проверить подпись на документе
Вся информация ниже получена из авторитетных источников (КриптоПро #1, #2 и #3, Рутокен, Корус-Консалтинг, УФО Минкомсвязи), а скачивать ПО предлагается с доверенных сайтов. Автор является независимым консультантом и не связан ни с одной из упомянутых компаний. Следуя данной инструкции, всю ответственность за любые действия и последствия вы принимаете на себя.
Что нужно для работы с КЭП под macOS:
Поддержка eToken и JaCarta в связке с КриптоПро под macOS под вопросом. Носитель Рутокен Lite – оптимальный выбор, стоит недорого, шустро работает и позволяет хранить до 15 ключей.
Криптопровайдеры VipNet, Signal-COM и ЛИССИ в macOS не поддерживаются. Преобразовать контейнеры никак не получится. КриптоПро – оптимальный выбор, стоимость сертификата в себестоимости от 500= руб. Можно выпустить сертификат с встроенной лицензией на КриптоПро CSP, это удобно и выгодно. Если лицензия не зашита, то необходимо купить и активировать полноценную лицензию на КриптоПро CSP.
Обычно открытый сертификат хранится в контейнере закрытого ключа, но это нужно уточнить при выпуске КЭП и попросить сделать как нужно. Если не получается, то импортировать открытый ключ в закрытый контейнер можно самостоятельно средствами КриптоПро CSP под Windows.
Устанавливаем и настраиваем КЭП под macOS
1. Устанавливаем КриптоПро CSP
Регистрируемся на сайте КриптоПро и со страницы загрузок скачиваем и устанавливаем версию КриптоПро CSP 4.0 R4 для macOS – скачать.
2. Устанавливаем драйверы Рутокен
На сайте написано что это опционально, но лучше поставить. Со страницы загрузок на сайте Рутокен скачиваем и устанавливаем Модуль поддержки Связки Ключей (KeyChain) – скачать.
Далее подключаем usb-токен, запускаем terminal и выполняем команду:
В ответе должно быть:
Aktiv Rutoken…
Card present…
[ErrorCode: 0x00000000]
3. Устанавливаем сертификаты
3.1. Удаляем все старые ГОСТовские сертификаты
Если ранее были попытки запустить КЭП под macOS, то необходимо почистить все ранее установленные сертификаты. Данные команды в terminal удалят только сертификаты КриптоПро и не затронут обычные сертификаты из Keychain в macOS.
В ответе каждой команды должно быть:
No certificate matching the criteria
3.2. Устанавливаем корневые сертификаты
Корневые сертификаты являются общими для всех КЭП, выданных любым удостоверяющим центром. Скачиваем со страницы загрузок УФО Минкомсвязи:
Устанавливаем командами в terminal:
Каждая команда должна возвращать:
3.3. Скачиваем сертификаты удостоверяющего центра
Далее нужно установить сертификаты удостоверяющего центра, в котором вы выпускали КЭП. Обычно корневые сертификаты каждого УЦ находятся на его сайте в разделе загрузок.
Альтернативно, сертификаты любого УЦ можно скачать с сайта УФО Минкомсвязи. Для этого в форме поиска нужно найти УЦ по названию, перейти на страницу с сертификатами и скачать все действующие сертификаты – то есть те, у которых в поле ‘Действует’ вторая дата еще не наступила. Скачивать по ссылке из поля ‘Отпечаток’.
На примере УЦ Корус-Консалтинг: нужно скачать 4 сертификата со страницы загрузок:
Скачанные сертификаты УЦ устанавливаем командами из terminal:
/Downloads/ идут имена скачанных файлов, для каждого УЦ они будут свои.
Каждая команда должна возвращать:
3.4. Устанавливаем сертификат с Рутокен
Команда в terminal:
Команда должна вернуть:
3.5. Конфигурируем CryptoPro для работы ссертификатами ГОСТ Р 34.10-2012
Для корректной работы на nalog.ru с сертификатами, выдаваемыми с 2019 года, инструкция на сайте CryptoPro рекомендует:
Команды в terminal:
Команды ничего не возвращают.
4. Устанавливаем специальный браузер Chromium-GOST
Для работы с гос.порталами потребуется специальная сборка браузера сhromium – Chromium-GOST скачать.
Исходный код проекта открыт, ссылка на репозиторий на GitHub приводится на сайте КриптоПро. По опыту, другие браузеры CryptoFox и Яндекс.Браузер для работы с гос.порталами под macOS не годятся.
Скачиваем, устанавливаем копированием или drag&drop в каталог Applications. После установки принудительно закрываем Chromium-Gost командой из terminal и пока не открываем (работаем из Safari):
5. Устанавливаем расширения для браузера
5.1 КриптоПро ЭЦП Browser plug-in
Со страницы загрузок на сайте КриптоПро скачиваем и устанавливаем КриптоПро ЭЦП Browser plug-in версия 2.0 для пользователей – скачать.
5.2. Плагин для Госуслуг
Со страницы загрузок на портале Госуслуг скачиваем и устанавливаем Плагин для работы с порталом государственных услуг (версия для macOS) – скачать.
5.3. Настраиваем плагин для Госуслуг
Скачиваем корректный конфигурационный файл для расширения Госуслуг для поддержки macOS и новых ЭЦП в стандарте ГОСТ2012 – скачать.
Выполняем команды в terminal:
5.4. Активируем расширения
Запускаем браузер Chromium-Gost и в адресной строке набираем:
Включаем оба установленных расширения:
5.5. Настраиваем расширение КриптоПро ЭЦП Browser plug-in
В адресной строке Chromium-Gost набираем:
На появившейся странице в список доверенных узлов по-очереди добавляем сайты:
Жмем “Сохранить”. Должна появиться зеленая плашка:
Список доверенных узлов успешно сохранен.
6. Проверяем что все работает
6.1. Заходим на тестовую страницу КриптоПро
В адресной строке Chromium-Gost набираем:
Должно выводиться “Плагин загружен”, а в списке ниже присутствовать ваш сертификат.
Выбираем сертификат из списка и жмем “Подписать”. Будет запрошен PIN-код сертификата. В итоге должно отобразиться
6.2. Заходим в Личный Кабинет на nalog.ru
По ссылкам с сайта nalog.ru зайти может не получиться, т.к. не будут пройдены проверки. Заходить нужно по прямым ссылкам:
6.3. Заходим на Госуслуги
При авторизации выбираем «Вход с помощью электронной подписи». В появившемся списке «Выбор сертификата ключа проверки электронной подписи» будут отображены все сертификаты, включая корневые и УЦ, нужно выбрать ваш с usb-токена и ввести PIN.
7. Что делать если перестало работать
Переподключаем usb-токен и проверяем что он виден с помощью команды в terminal:
Очищаем кеш браузера за все время, для чего в адресной строке Chromium-Gost набираем:
Переустанавливаем сертификат КЭП с помощью команды в terminal:
Смена PIN-кода контейнера
Пользовательский PIN-код на Рутокен по-умолчанию 12345678, и оставлять его в таком виде никак нельзя. Требования к PIN-коду Рутокен: 16 символов max., может содержать латинские буквы и цифры.
1. Выясняем название контейнера КЭП
На usb-токене и в других хранилищах может храниться несколько сертификатов, и нужно выбрать правильный. При вставленном usb-токене получаем список всех контейнеров в системе командой в terminal:
Команда должна вывести минимум 1 контейнер и вернуть
Нужный нам контейнер имеет вид
Если таких контейнеров выводится несколько – значит значит на токене записано несколько сертификатов, и вы в курсе какой именно вам нужен. Значение XXXXXXXX после слэша нужно скопировать и подставить в команду ниже.
2. Смена PIN командой из terminal
где XXXXXXXX – название контейнера, полученное на шаге 1 (обязательно в кавычках).
Появится диалог КриптоПро с запросом старого PIN-кода для доступа к сертификату, затем еще один диалог для ввода нового PIN-кода. Готово.
Подпись файлов в macOS
В macOS файлы можно подписывать в ПО КриптоАрм (стоимость лицензии 2500= руб.), или несложной командой через terminal – бесплатно.
1. Выясняем хэш сертификата КЭП
На токене и в других хранилищах может быть несколько сертификатов. Нужно однозначно идентифицировать тот, которым будем впредь подписывать документы. Делается один раз.
Токен должен быть вставлен. Получаем список сертификатов в хранилищах командой из terminal:
Команда должна вывести минимум 1 сертификат вида:
Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program for managing certificates, CRLs and stores
= = = = = = = = = = = = = = = = = = = =
1——-
Issuer: E=help@esphere.ru,… CN=ООО КОРУС Консалтинг СНГ…
Subject: E=sergzah@gmail.com,… CN=Захаров Сергей Анатольевич…
Serial: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
.
Container: SCARD\rutoken_lt_00000000\0000\0000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]
2. Подпись файла командой из terminal
В terminal переходим в каталог с файлом для подписания и выполняем команду:
где ХХХХ. – хэш сертификата, полученный на шаге 1, а FILE – имя файла для подписания (со всеми расширениями, но без пути).
Команда должна вернуть:
Signed message is created.
[ErrorCode: 0x00000000]
Будет создан файл электронной подписи с расширением *.sgn – это отсоединенная подпись в формате CMS с кодировкой DER.
3. Установка Apple Automator Script
Чтобы каждый раз не работать с терминалом, можно один раз установить Automator Script, с помощью которого подписывать документы можно будет из контекстного меню Finder. Для этого скачиваем архив – скачать.
Окно Apple Automator:
System Preferences:
Списки доступных доверенных корневых сертификатов в macOS
Хранилище доверия macOS содержит надежные корневые сертификаты, предустановленные с операционной системой macOS.
Блокировка доверия для сертификата WoSign CA Free SSL Certificate G2
Центр сертификации (ЦС) WoSign несколько раз допускал ошибки, связанные с управлением, при выдаче сертификатов через промежуточный ЦС WoSign CA Free SSL Certificate G2. Хотя корневой сертификат WoSign находится в списке доверенных сертификатов Apple, этот промежуточный центр сертификации использовался для связей сертификатов с перекрестной подписью с StartCom и Comodo, чтобы установить отношение доверия с продуктами Apple.
В свете этих обстоятельств мы принимаем меры по защите пользователей в рамках обновления безопасности. Продукты Apple больше не доверяют промежуточному центру сертификации WoSign CA Free SSL Certificate G2.
Чтобы предотвратить прекращение обслуживания держателей сертификатов WoSign и обеспечить для них переход на доверенные корневые сертификаты, продукты Apple доверяют индивидуальным существующим сертификатам, выданным этим промежуточным центром сертификации и опубликованным на общедоступных серверах журналов Certificate Transparency до 19 сентября 2016 года. Эти сертификаты будут считаться доверенными до тех пор, пока не истечет их срок действия, они не будут отозваны или не будут признаны недоверенными компанией Apple.
По мере изучения проблемы и обнаружении дополнительных уязвимостей, появляющихся из-за использования точек доверия WoSign/StartCom в продуктах Apple, мы будем принимать необходимые меры для защиты пользователей.
Дальнейшие действия для WoSign
В ходе дальнейшего исследования мы пришли к выводу, что помимо многочисленных ошибок управления в работе центра сертификации WoSign (CA), организация WoSign не сообщила о приобретении StartCom.
Мы продолжаем принимать меры для защиты пользователей в предстоящем обновлении безопасности. Продукты Apple будут блокировать сертификаты, выданные корневыми центрами сертификации WoSign и StartCom, если их дата Not Before (Не раньше) выпадает на 1 декабря 2016 г. 00:00:00 GMT/UTC или позже.
Сведения о хранилище доверия и сертификатах
В каждом перечисленном ниже хранилище доверия macOS содержится три категории сертификатов:
Хранилище доверия macOS
Информация о продуктах, произведенных не компанией Apple, или о независимых веб-сайтах, неподконтрольных и не тестируемых компанией Apple, не носит рекомендательного или одобрительного характера. Компания Apple не несет никакой ответственности за выбор, функциональность и использование веб-сайтов или продукции сторонних производителей. Компания Apple также не несет ответственности за точность или достоверность данных, размещенных на веб-сайтах сторонних производителей. Обратитесь к поставщику за дополнительной информацией.
Как настроить электронную подпись на macOS?
Пользователи macOS до последнего времени были обделены вниманием в сфере электронной подписи, поскольку часто используемые ресурсы не поддерживали работу средств электронной подписи в этой операционной системе.
Данная инструкция подходит для электронной подписи, изготовленной средствами КриптоПро CSP, в том числе полученная в Федеральной налоговой службе (ФНС) России.
Установка КриптоПро CSP на macOS
Следуя шагам мастера установки соглашаемся со всеми сообщениями. Рекомендуем на шаге «Тип установки» установить дополнительные компоненты, которые не отмечены по умолчанию:
Продолжаем работу мастера до установки КриптоПро CSP на macOS.
Установка КриптоПро ЭЦП Browser plugin
Если Вы планируете работать с квалифицированной электронной подписью на сайтах, то с вероятностью 99,9% потребуется установка плагина для браузера.
После скачивания запускаем файл установки cprocsp-pki-2.0.ХХХХХХ.pkg.
Следуя подсказкам мастера установки, соглашаемся с сообщениями и устанавливаем плагин.
Если Вы самостоятельно не можете произвести установку и настройку КриптоПро CSP и плагина на macOS, можете обратиться в нашу платную техническую поддержку в чат на сайте или по телефону +7 (342) 2700146. Обычно мы справляемся с такой настройкой за 30 минут.
Установка личного сертификата в macOS
Прежде чем начать работать с вашей квалифицированной электронной подписью, необходимо установить ваш личный сертификат в систему.
Для установки личного сертификата подключите носитель вашей электронной подписи к компьютеру.
Запускаем установленный компонент Инструменты КриптоПро.
В разделе «Контейнеры» выбираем контейнер с вашей электронной подписью и нажимаем кнопку «Установить сертификат».
После этой процедуры ваша система macOS знает о существовании сертификата и знает на каком защищенном носителе. Можно приступать к работе.
Проверка установки электронной подписи.
При переходе на страницу проверки работы плагина выйдет сообщение (запрос на разрешение запуска плагина), необходимо разрешить запуск плагина кнопкой «ОК». Такое сообщение Вы будете получать на любой странице, где будете работать с электронной подписью.
Нас странице должна появиться версия установленного плагина. Выбираем наш установленный сертификат и нажимаем «Подписать».
Установка Chromium GOST для macOS
При первом запуске Вы увидите сообщение об ошибке. Но это не ошибка 🙂
Просто расширение для браузера просит подтверждения для установки. Нажимаем на сообщение и разрешаем установку и запуск расширения.
Как зайти в Личный кабинет налогоплательщика на сайте ФНС в macOS?
В личных кабинетах налогоплательщика есть страницы диагностики настроек электронной подписи.
При выполнении ВСЕХ настроек, описанных выше, невозможно пройти эту диагностику на macOS, но это не значит, что электронная подпись работать не будет. Для входа по электронной подписи нужно перейти по прямой ссылке личных кабинетов и авторизоваться по электронной подписи через браузер Chromium GOST:
При переходе по прямой ссылке Вы увидите запрос на выбор сертификата. Выбираете Ваш сертификат и входите без проблем!
Настройка электронной подписи для портала Госуслуг
Если Вы планируете использовать вашу квалифицированную электронную подпись на портале Госуслуг, то кроме вышеуказанных настроек необходимо установить еще плагин портала Госуслуг.
Для настройки плагина Госуслуг на macOS необходимо выполнить простые действия: