в сертификате в поле субъект отсутствует значение снилс что делать
Исправление ошибки отсутствия в контейнере закрытого ключа сертификата ЭП
Из нашей статьи вы узнаете:
ЭЦП — довольно сложный цифровой продукт, обращение с которым в определенных ситуациях может потребовать некоторых навыков и знаний. Например, в ходе установки сертификатов ЭП посредством «КриптоПро» после выбора соответствующего ключевого контейнера нередко выдаются неприятные сообщения об ошибке вследствие отсутствия открытого шифровочного ключа, который необходим для обеспечения информационной безопасности, без чего система не будет принимать ЭЦП.
Такую ошибку несложно устранить без вызова специалиста или обращения в службу поддержки. Алгоритм действий, направленных на решение этой проблемы, приводится ниже.
Что может послужить причиной такой ошибки
Всплывающее окно со злополучным сообщением об ошибке появляется на экранах пользователей в тех случаях, если система не смогла обнаружить соответствующий ключ на носителе. Такая ситуация происходит при следующих действиях пользователей:
В целях устранения ошибки обычно бывает достаточно произвести корректную ручную переустановку сертификата.
Решение ошибки: отсутствие электронного сертификата в контейнере закрытого ключа
Для начала запускаем «КриптоПро» нажатием кнопки «Пуск». Затем выбираем «Настройку», в возникающем на мониторе окне заходим в опцию панели управления, далее «сервис – установить личный сертификат».
Далее, через кнопку «обзор» указываем путь, где сохранен открытый ключ – файл с расширением *.cert или *.crt
Жмём «Далее», в мастере установки сертификата мы увидим путь, который указывали до нашего сертификата.
Нам отображается информация, содержащаяся в открытом ключе на пользователя, жмём «далее»
В следующем окне можно воспользоваться двумя путями поиска нужного контейнера закрытого ключа:
В первом случае КриптоПро на основе данных из открытого ключа подберет закрытый, в случае с ручным поиском нужно будет знать название закрытого ключа, чтобы выбрать его для установки
Самый простой вариант выбрать автоматический поиск, затем после «обнаружения» необходимого контейнера, мы увидим заполненную строчку с его именем и после жмём «Далее»
Личный сертификат пользователя всегда устанавливается в хранилище «Личное», можно выбрать как вручную, так и КриптоПро может сделать это за вас по умолчанию, затем подтверждаем установку цепочки сертификатов и жмём «Далее»
В случае успешной установки КриптоПро выдаст окно с информацией об окончании процедуры и жмём «Готово»
Затем появится окно с подтверждением данной операции, жмём «ДА»
В следующем окне увидим информацию о том, что процесс окончен успешно. Сертификат установлен в контейнер закрытого ключа.
Особенности версий КриптоПро
С января 2019 года квалифицированные сертификаты могут выпускаться только по ГОСТ 2012, выпуск по другому ГОСТу прекращен. Мы об этом писали ранее в статье. Важно помнить, что версии криптопро на ГОСТ 2012 работают только с версии 4.0 и выше. Все старые версии КриптоПро, для нормальной работы, потребуется обновить или заменить на актуальную. Сделать это нужно не позднее 31 декабря 2019 года.
Разбираем квалифицированные сертификаты X.509 в поисках ИНН, СНИЛС и ОГРН
«Коллеги, нам необходимо вести реестр выданных квалифицированных сертификатов с возможностью поиска по ИНН, СНИЛС и ОГРН. Сколько дней нужно для создания парсера сертификатов и первого макета?» — с такого вопроса начальника началась очередная летучка.
Поскольку написанием парсера было предложено заняться мне, пришлось задуматься и покопаться в памяти, чтобы оценить трудоемкость задачи и примерные сроки на ее выполнение.
Когда-то я участвовал в небольшом проекте по моделированию SSL MITM, где отвечал за генерацию ключей и сертификатов для этого самого «человека посередине». Поэтому представлял, что квалифицированный сертификат ключа проверки электронной подписи (далее — квалифицированный сертификат) — это сертификат X.509, для описания внутренней структуры которого используется всеми любимый ASN.1.
Вот только не помнил я, чтобы тогда на глаза попадались эти ИННы, СНИЛСы и ОГРНы. Поэтому ответил более, чем скромно: «Босс, два дня, не меньше!», надеясь выполнить задачку за несколько часов.
Ниже рассказ о том, насколько сильно я ошибся в расчетах, а также готовое решение для парсинга сертификатов X.509 на C# с возможностью извлечения полей и их атрибутов с заданными объектными идентификаторами (OID).
Шаг 1. Предварительные изыскания и проверка гипотезы
Нет, серьезно, это правда, что в сертификате X.509 есть СНИЛС? Для проверки найдем образец — просим помощи у Яндекса по запросу «реестр выданных квалифицированных сертификатов», на первой же странице выдачи находим Реестр выданных УЦ ГКУ ЛО «ОЭП» сертификатов, скачиваем первый попавшийся сертификат (под номером 10842) — Komarov_Aleksey_Petrovich_2017-03-31_a2ba20c4.cer.
Открываем сертификат с помощью стандартного средства просмотра OC Windows и находим в описании субъекта подозрительно похожую строку с объектным идентификатором 1.2.643.100.3, состоящую из 11 цифр. СНИЛС?
О том, что такое объектный идентификатор (OID) вообще, лучше всего почитать здесь. Как используются объектные идентификаторы в описании структуры сертификатов X.509 — смотрим Руководство по выживанию — TLS/SSL и сертификаты SSL (X.509).
Открываем сертификат в виртуальной машине с установленным криптопровайдером КриптоПРО CSP, который наверняка знает отечественную специфику, и подтверждаем догадку.
Итак, поставленная задача потенциально выполнима, СНИЛС в квалифицированном сертификате есть. Идем дальше.
Шаг 2. Знакомство с нормативной базой
Естественно, не в любом сертификате X.509 можно найти ИНН, СНИЛС и ОГРН. К примеру, если в браузере щелкнуть по замочку рядом с адресной строкой «https://yandex.ru/» и экспортировать сертификат, то там никаких длинных цифровых последовательностей не обнаружится.
При этом следует заметить, что стандарт Х.509 не ограничивает набор атрибутов, которые могут быть указаны в имени издателя и/или субъекта. Стандарт лишь рекомендует поддерживать ряд атрибутов, среди которых — страна, организация, регион, общепринятое имя и др., но о СНИЛСе и прочем не сказано ни слова.
Интересующие нас данные точно содержатся в сертификатах, которые попадают в сферу действия Федерального закона «Об электронной подписи» от 06 апреля 2011 г. № 63-ФЗ. Внимательно изучаем статью 17 и убеждаемся, что ИНН, СНИЛС и ОГРН действительно должны содержаться в квалифицированных сертификатах.
18. К дополнительным атрибутам имени, необходимость использования которых устанавливается в соответствии с Федеральным законом, относятся:
1) OGRN (ОГРН).
Значением атрибута OGRN является строка, состоящая из 13 цифр и представляющая ОГРН владельца квалифицированного сертификата — юридического лица. Объектный идентификатор типа атрибута OGRN имеет вид 1.2.643.100.1, тип атрибута OGRN описывается следующим образом: OGRN ::= NUMERIC STRING SIZE 13;
2) SNILS (СНИЛС).
Значением атрибута SNILS является строка, состоящая из 11 цифр и представляющая СНИЛС владельца квалифицированного сертификата — физического лица. Объектный идентификатор типа атрибута SNILS имеет вид 1.2.643.100.3, тип атрибута SNILS описывается следующим образом: SNILS ::= NUMERIC STRING SIZE 11;
3) INN (ИНН).
Значением атрибута INN является строка, состоящая из 12 цифр и представляющая ИНН владельца квалифицированного сертификата. Объектный идентификатор типа атрибута INN имеет вид 1.2.643.3.131.1.1, тип атрибута INN описывается следующим образом: INN ::= NUMERIC STRING SIZE 12.
Можно попробовать проверить себя — зная OID, найти описываемый им объект. Для примера возьмем OID = 1.2.643.100.3 (СНИЛС). Обращаемся к официальному реестру идентификаторов и «прогуливаемся» по дереву:
Значение 1.2.643.100 найти уже не удается, такой OID в списках официального каталога не значится. Переходим по ссылке в национальный реестр, продолжаем поиски. Обнаруженные идентификаторы, до которых удалось «спуститься» по дереву:
Проверить себя не получится, поскольку не все ярусы отображены на сайте национального реестра объектных идентификаторов. Но надежда умирает последней, пробуем отправить официальный запрос оператору национального дерева – в ОАО «Инфотекс Интернет Траст». Цитируем переписку:
– Подскажите, возможно ли на сайте oid.iitrust.ru уточнить, каким объектам соответствуют OID’ы: 1.2.643.3.131.1.1, 1.2.643.100.1, 1.2.643.100.3? В поиске они не находятся, но мы предполагаем, что это ИНН, ОГРН и СНИЛС. Как можно получить подтверждение этому?
Круг замкнулся, считаем, что проверка проведена успешно.
В качестве значения данного атрибута имени следует использовать текстовую строку, содержащую имя, фамилию и отчество (если имеется) — для физического лица, или наименование — для юридического лица. Объектный идентификатор типа атрибута commonName имеет вид 2.5.4.3.
В нашем случае (Komarov_Aleksey_Petrovich_2017-03-31_a2ba20c4.cer) значением атрибута commonName является строка «Комитет по природным ресурсам Ленинградской области», следовательно, владелец сертификата – юридическое лицо.
Для юридического лица устанавливаем следующее соответствие объектных идентификаторов (не всех, выборочно, интересных нам) типам атрибутов:
Шаг 3. Разработка парсера X.509 сертификата на С#
Так сложилось, что разработка у нас ведется на C#, поэтому и пример парсера будет на C#, ничего личного и никакого холивара.
Для простоты формализуем задачу следующим образом. Дано: файл квалифицированного сертификата в системе ограничений CER (Canonical encoding rules). Требуется: разобрать (распарсить) сертификат и извлечь значения ИНН, СНИЛС и ОГРН из поля субъекта (Subject).
Для первых набросков обращаемся к возможностям пространства имен System.Security.Cryptography.X509Certificates:
На выходе получаем:
Свойство X509Certificate.Subject возвращает имя субъекта сертификата с типом string.
На первый взгляд, можно останавливаться и несложными регулярными выражениями (пример) выбрать из строки интересующие нас значения, зная их OID’ы и типы значений. Но согласитесь, изящности такому решению явно не хватает. Кроме того, установленный криптопровайдер может заменить коды OID’ов на символьные обозначения, что приведет к лишнему усложнению кода.
StackOverflow даёт подсказку — использовать сторонние библиотеки, выбираем наиболее цитируемую — BouncyCastle.
Библиотека подключается в один клик добавлением reference в проект. Предлагаемый уровень абстракции позволяет интуитивно понятно просматривать данные в формате ASN.1. Остается только уточнить «смещение» интересующих нас значений относительно начала файла сертификата, чтобы правильно указать позицию для парсера.
Открываем сертификат в редакторе ASN.1 Editor и устанавливаем соответствие со структурой сертификата:
Нас интересует поле «Имя субъекта», в котором и записываются значения ИНН, СНИЛС и ОГРН. Если внимательно посмотреть на рисунок, можно сделать следующий вывод: поле «Имя субъекта» (325, 654) SEQUENCE представляет собой последовательность (SEQUENCE) множеств (SET), состоящих из последовательностей (SEQUENCE) пар ключ/значение.
В соответствии с этой логикой реализуем парсер:
Смотрим вывод, соглашаемся:
Подведение итогов
Итак, подытоживая проделанную работу, мы:
Часто задаваемые вопросы по электронной подписи
В программе появилось предупреждение об истечении срока действия сертификата, что делать?
Внимание! Регистрация полученного сертификата может занимать до 1 рабочего часа.
Если сертификат, указанный в предупреждении, уже заменен, необходимо дождаться истечения срока его действия.
На странице «Мастера выпуска сертификатов» появляется сообщение: «Для дальнейшей работы необходимо установить дополнительные компоненты»
Какие сроки регистрации сертификатов в контролирующих органах?
Важно! Сроки регистрации могут быть больше в случае, если в контролирующем органе проводятся технические работы.
Что делать, если «зависла» страница при получении сертификата?
Необходимо закрыть страницу браузера и повторить попытку получения сертификата.
Экспорт сертификата, установленного на компьютере, средствами Internet Explorer
В результате этих действий вы создадите в указанной папке открытый файл сертификата ключа ЭП.
Нужно ли указывать СНИЛС в квалифицированном сертификате?
Нужно. Это установлено пунктом 2 статьи 17 Федерального закона от 06.04.2011 № 63 «Об электронной подписи». Для указания страхового номера индивидуального лицевого счета (СНИЛС) в квалифицированном сертификате электронной подписи есть специальное поле «СНИЛС».
Гражданин РФ может получить карточку СНИЛС при обращении в ПФР. Иностранному гражданину также следует обратиться в ПФР для получения СНИЛС или получить сертификат на сотрудника организации – гражданина РФ, а затем оформить на него доверенность на представление интересов юрлица.
Аккредитованный удостоверяющий центр может отказать заявителю в выдаче квалифицированного сертификата, если полученные при проверке сведения не будут подтверждать достоверность информации, представленной заявителем для включения в квалифицированный сертификат (пункт 2.3 статьи 18 Федерального закона от 06.04.2011 № 63 «Об электронной подписи»).
Если в «Заявлении на создание квалифицированного сертификата ключа проверки электронной подписи» некорректные паспортные данные?
Как скачать сертификат из реестра сертификатов УЦ ООО «Такском»?
Как посмотреть статус сертификата?
Отобразится информация о сертификате.
Как посмотреть статус сертификата?
В разделе «Область применения электронной подписи» можно посмотреть площадки, на которых можно работать с сертификатом.
Ошибки при работе на портале Госуслуги gosuslugi.ru
Подробную информацию по решению ошибок на портале Госуслуг можно найти в разделах «Работа с электронной подписью» и «Проблемные ситуации», а также обратившись в поддержку портала Госуслуг.
Если ошибки возникают при работе с ЭП, в первую очередь пройдите диагностику по адресу https://help.kontur.ru/uc и выполните рекомендуемые действия.
При входе возникает ошибка «У вас нет действующих сертификатов» или не отображается сертификат, выданный на ГОСТ Р 34.10-2012
Установите актуальную версию плагина Госуслуг, предварительно удалив с компьютера предыдущую версию. Подробное описание действий находится на странице «Работа с электронной подписью».
При регистрации Юридического лица возникает ошибка «Данные представителя юридического лица, указанного в заявлении, не совпадают с данными ЕГРЮЛ»
Проверьте, что сертификат выдан на руководителя, указанного в актуальной выписке из ЕГРЮЛ (раздел «Сведения о лице, имеющем право без доверенности действовать от имени юридического лица»).
Ошибка при проверке данных из ЕГРЮЛ. Федеральная налоговая службы Российской Федерации не подтвердила существование записи в ЕГРЮЛ с указанными данными.
Проверьте, что все данные об организации и её руководителе (введённые вручную на этапе регистрации и данные из сертификата) совпадают с выпиской из ЕГРЮЛ.
«Вы используете недопустимое средство электронной подписи» или «Сертификат вашей электронной подписи не прошел проверку действительности»
Убедитесь, что используется действующий Квалифицированный сертификат ЭП. Проверить сертификат можно на странице проверки подлинности ЭП, загрузив открытый ключ.
Часто задаваемые вопросы
— Можно ли использовать учетную запись, созданную на портале госуслуг для авторизации на Региональном портале госуслуг?
Учетная запись, которую пользователь создает на портале госуслуг, создается в Единой системе идентификации и аутентификации (ЕСИА), которая предназначена для формирования единых методов регистрации, идентификации и аутентификации пользователей во всех государственных информационных системах. Таким образом, учетная запись создается пользователем один (!) раз и используется для авторизации как на портале госуслуг, так и на Региональном портале госуслуг, а также для авторизации на других государственных информационных системах (например, https://www.nalog.ru).
— Что делать если забыли пароль к личному кабинету на портале госуслуг?
Если вы регистрировались на портале госуслуг и забыли пароль — не переживайте! Его легко восстановить.
Вам понадобятся: СНИЛС*, мобильный телефон и доступ к электронной почте, которую вы указали при регистрации.
На портале нажмите «Восстановить пароль».
Вводите номер СНИЛС и выбирайте почту или мобильный телефон как способ подтверждения личности. На почту или телефон придёт сообщение с кодом, который надо ввести на сайте.
Если до этого в личном кабинете вы заполняли секретный вопрос, придётся также писать ответ на него, иначе система не разрешит доступ.
Введите новый пароль и пользуйтесь госуслугами. Это проще, чем кажется.
Если у вас по каким-либо причинам отсутствует доступ к указанным в учетной записи номеру мобильного телефона и адресу электронной почты (в связи с утерей, заменой и т.д.).
! Обращаем ваше внимание, что заново проходить процедуру регистрации не целесообразно, так как регистрацию в ЕСИА можно осуществить только один раз и информационная система выдаст сообщение об ошибке, что пользователь с такими данными СНИЛС уже зарегистрирован в системе.
*СНИЛС (Страховой номер индивидуального лицевого счёта) — лицевой счёт, содержащийся в страховом свидетельстве обязательного пенсионного страхования — документе, выдаваемом застрахованному лицу, подтверждающем его регистрацию в системе государственного пенсионного страхования Российской Федерации. В системе государственного пенсионного страхования Российской Федерации содержится номер лицевого счёта, закреплённый за будущим пенсионером в Пенсионном фонде Российской Федерации.
— Что делать если при регистрации СНИЛС не проходит проверку?
Если у вас при прохождении процедуры регистрации на этапе проверки личных данных, введенный вами номер СНИЛС не проходит проверку по базе данных Пенсионного фонда Российской Федерации (ПФР), то в этом случае, вам сначала необходимо проверить правильность внесения номера СНИЛС, ФИО и даты рождения (!), так как СНИЛС никогда не пройдет проверку в базе ПФР, даже если он введен правильно, а ФИО или дата рождения введены с ошибкой. Проверяйте правильность ввода ФИО и даты рождения! Учитывайте также, что причиной неудачных проверок СНИЛС в ПФР может быть временная недоступность сервисов ПФР, в этом случае операцию необходимо повторить немного позднее.
Если Вы убедились, что не допущено ни одной ошибки при вводе СНИЛС, ФИО и даты рождения, но проверка в ПФР снова выдает ошибку, то в этом случае вам необходимо обратиться в отделение ПФР по месту жительства для уточнения соответствия выданного Вам номера СНИЛС с зафиксированным за вами номером СНИЛС в ведомственной базе.
Если у вас при прохождении процедуры регистрации на этапе проверки личных данных, введенные вами серия и номер паспорта не проходят проверку по базе данных Федеральной миграционной службы Российской Федерации (ФМС), то в этом случае, вам сначала необходимо проверить правильность внесения серии и номера паспорта, ФИО и даты рождения и поля «Кем выдан». Учитывайте также, что причиной неудачных проверок паспорта в базе ФМС может быть временная недоступность сервисов ФМС, в этом случае операцию необходимо повторить немного позднее.
Также вы можете обратиться в отделение ФМС по месту жительства для уточнения соответствия выданного Вам паспорта с данными о вашем паспорте в ведомственной базе ФМС.