Рабочее место с ЭЦП без боли: настройка КриптоПро CSP 5.0 на ноутбуках Windows 11, macOS M1/M2/M3 и Linux и устранение конфликта с ViPNet
В 95 % случаев крик бухгалтера или тендерного менеджера за 15 минут до окончания подачи заявки «У меня сломался токен и сайт не видит электронную подпись!» не имеет никакого отношения к поломке самого USB-носителя — проблема кроется в одной из пяти типовых ошибок конфигурации криптопровайдера на ноутбуке, каждая из которых диагностируется и чинится ровно за 3 минуты!
Пять классических поломок ЭЦП на ноутбуке и их точное лекарство
| Симптом в браузере или 1С | Истинная техническая причина | Решение за 2 минуты |
|---|---|---|
| 1. Три месяца всё летало, а ровно на 91-й день: «Истёк срок действия лицензии КриптоПро CSP (0x80090016 / 0x80090020)» | Закончился 90-дневный демо-период самой программы на ноутбуке, причём бессрочного ключа на ноутбук покупать часто НЕ НУЖНО, если у вас УКЭП ФНС или крупного УЦ со встроенной в сам сертификат лицензией (OID 1.2.643.2.2.49.2)! — просто стояла старая сборка CSP 4.0 / ранняя 5.0 R1, не умеющая читать расширение встроенной лицензии! |
Установите актуальный сертифицированный релиз КриптоПро CSP 5.0 R3 — он автоматически подхватывает встроенную в сертификат ФНС лицензию без ввода 25-значного серийника! Если встроенной лицензии в вашем коммерческом сертификате нет — введите купленный серийный номер в Панель управления КриптоПро -> Ввод лицензии! |
2. Токен светится светодиодом в порту ноутбука, но список контейнеров во вкладке Сервис -> Протестировать пустой! |
На ноутбуке остановлена системная служба смарт-карт Smart Card (SCardSvr в Windows / pcscd в macOS и Linux), либо токен вставлен через пассивный дешёвый разветвитель с просадкой тока, либо используется обычный Рутокен Лайт под ключ с аппаратной неизвлекаемой криптографией! |
Перезапустите службу Смарт-карта (Тип запуска: Автоматически), установите свежую «Панель управления Рутокен / Единый Клиент JaCarta» и на MacBook подключайте токен через качественный переходник USB-C -> USB-A напрямую к порту ноутбука! |
| 3. Ошибка «Не удаётся построить цепочку сертификатов до доверенного корневого центра (0x800B0109)» | В хранилище «Доверенные корневые центры сертификации» и «Промежуточные центры сертификации» на новом ноутбуке не установлены корневой сертификат Минцифры РФ (Головной УЦ) и промежуточный сертификат УЦ ФНС России! |
Скачайте актуальные корневые сертификаты только с официальной страницы gosuslugi.ru/crt, установите корневой строго в хранилище Доверенные корневые ЦС (Компьютер), а подчинённый УЦ — в Промежуточные ЦС! |
4. На сайтах ФНС / ЭТП пишет «Плагин не загружен», хотя Browser plug-in установлен в систему |
В современном Chrome / Edge / Яндекс Браузере забыли включить расширение браузера CryptoPro Extension for CAdES Browser Plug-in из магазина расширений или добавить домен площадки в список доверенных узлов плагина! |
Откройте официальную проверочную страницу плагина от разработчика: при нажатии «Проверить» должно всплыть системное окно подтверждения доступа к сертификатам! |
5. Синий экран BSOD, пропавший интернет и вечное зависание Windows после установки ViPNet CSP поверх КриптоПро CSP! |
Смертельный конфликт перехватчиков системных криптофункций CryptoAPI и стека TLS SChannel! Два разных ГОСТ-криптопровайдера в одной хостовой ОС Windows дерутся за одни и те же реестровые ветки алгоритмов ГОСТ Р 34.10-2012! |
Железный закон сисадмина: НИКОГДА не ставьте КриптоПро CSP и ViPNet CSP в одну операционную систему! Разведите их по изолированным виртуальным машинам Hyper-V / VMware / VirtualBox на NVMe SSD ноутбука с пробросом USB-токена в нужную ВМ за 1 клик! |
Особенности работы с ЭЦП на MacBook Apple Silicon (M1 / M2 / M3) и отечественных Linux
- На MacBook с чипами M1/M2/M3 в macOS Sonoma / Sequoia: обязательно качайте современный универсальный установочный
.dmg-пакетКриптоПро CSP 5.0 R3с нативной поддержкойARM64и разрешите системные фоновые службы в «Системные настройки -> Основные -> Объекты входа и расширения»! В сочетании сЯндекс БраузеромиРутокен ЭЦП 3.0 Type-C(существует заводское исполнение сразу с разъёмомUSB Type-Cбез единого переходника!) руководитель подписывает платёжки, отчётность и МЧД на MacBook за 3 секунды! - На ноутбуках для бухгалтерии с 1С и Linux-парке: после установки сертификата обязательно выполните привязку личного сертификата
.cerк закрытому ключу на токене («Установить личный сертификат» с галочкой «Найти контейнер автоматически»), иначе система видит закрытый ключ на Рутокене, но не отображает ФИО владельца в окне выбора подписи 1С-Отчётности!
Чек-лист системного администратора при плановом годовом перевыпуске УКЭП
- [ ] НЕ удаляйте с ноутбука открытый сертификат прошлогодней истёкшей ЭП из хранилища «Личные» (просто снимите привязку или пометьте в имени год, но сохраните цепочку)! Старые зашифрованные в адрес прошлого сертификата электронные письма ФНС, требования и архивы ЭДО без старой пары ключей не расшифруются!
- [ ] Сразу после выпуска новой
УКЭПне забудьте за 5 минут обновить отпечаток сертификата во всех внешних учётных записях организации:1С-ЭДО / Диадок / СБИС, оператор фискальных данныхОФД,Честный ЗНАК,ЕИСи банковский профиль!
Частые вопросы
Безопасно ли ради удобства снимать запрос PIN-кода или нажимать «Запомнить PIN-код контейнера навсегда в реестре ноутбука»?
Это прямая дорога к финансовой катастрофе компании! Если на ноутбуке главного бухгалтера с сохранённым в реестре PIN-кодом и постоянно торчащим в боку токеном запускается троян удалённого доступа (RAT / AnyDesk мошенников по звонку «из курьерской службы»), злоумышленник за 40 секунд ночью подписывает от вашего имени УПД на фиктивный вычет НДС на 50 миллионов рублей или выпускает МЧД с полными полномочиями на дропа! Токен вставляется в порт ноутбука ТОЛЬКО на минуту подписания документа, имеет нестандартный изменённый с заводского 12345678 сложный PIN-код и на ночь убирается в металлический сейф!