Пошаговая инструкция по установке КриптоПро CSP 5.0 на ALT Linux 10.2
Гайд по установке и настройке КриптоПро CSP 5.0 (версии 5.0.12xxx) на операционную систему ALT Linux 10.2. Инструкция охватывает подготовку системы, установку базовых компонентов, настройку токенов (Рутокен, JaCarta) и интеграцию с браузерами для работы с электронной подписью (ЭЦП).
Шаг 1: Подготовка системы
В репозиториях ALT Linux существует специальный метапакет, который автоматически устанавливает все необходимые системные зависимости для работы КриптоПро (включая библиотеки для смарт-карт, PC/SC и графические библиотеки).
1. Откройте терминал.
2. Обновите списки пакетов и систему:
sudo apt-get update
sudo apt-get upgrade
3. Установите метапакет подготовки:
sudo apt-get install cryptopro-preinstall
Этот пакет установит pcsc-lite, pcsc-lite-ccid, opensc и другие необходимые компоненты.
Шаг 2: Загрузка и распаковка дистрибутива
- Перейдите на официальный сайт КриптоПро - https://www.cryptopro.ru/products/csp/downloads и авторизуйтесь (требуется бесплатная регистрация).
- Скачайте архив КриптоПро CSP 5.0 R3 для Linux (x64, rpm) (файл вида
linux-amd64.tgz). - Распакуйте архив в удобную директорию (например, в
Загрузки):
cd ~/Загрузки
tar -xvf linux-amd64.tgz
cd linux-amd64
Шаг 3: Установка пакетов КриптоПро
Вы можете использовать графический установщик или командную строку. Рекомендуется командная строка, так как она дает полный контроль над процессом.
1. Базовые компоненты (обязательно):
sudo apt-get install ./cprocsp-curl-*.rpm ./lsb-cprocsp-base-*.rpm ./lsb-cprocsp-capilite-*.rpm ./lsb-cprocsp-kc1-*.rpm ./lsb-cprocsp-rdr-*.rpm
(Примечание: пакет lsb-cprocsp-kc2 устанавливайте только если у вас есть сертифицированный аппаратный датчик случайных чисел).
2. Поддержка токенов и смарт-карт (Рутокен, JaCarta):
sudo apt-get install ./cprocsp-rdr-gui-gtk-*.rpm ./cprocsp-rdr-rutoken-*.rpm ./cprocsp-rdr-pcsc-*.rpm ./lsb-cprocsp-pkcs11-*.rpm
3. Поддержка носителей с неизвлекаемыми ключами (критично для версий 5.0.12xxx и современных токенов, таких как Рутокен ЭЦП 3.0 или JaCarta-2):
sudo apt-get install ./cprocsp-rdr-cryptoki-*.rpm
4. Корневые сертификаты УЦ (рекомендуется для корректной проверки цепочек доверия):
sudo apt-get install ./lsb-cprocsp-ca-certs-*.rpm
Шаг 4: Активация лицензии
По умолчанию при скачивании выдается тестовая лицензия на 3 месяца. Если у вас есть приобретенный серийный номер, его необходимо ввести.
1. Проверить текущий статус лицензии:
/opt/cprocsp/sbin/amd64/cpconfig -license -view
2. Ввести ваш серийный номер (соблюдайте регистр и дефисы):
sudo /opt/cprocsp/sbin/amd64/cpconfig -license -set XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
Шаг 5: Настройка службы работы с токенами (PC/SC)
Для того чтобы система видела USB-токены, необходимо запустить и добавить в автозагрузку службу pcscd.
1. Запустите службу:
sudo systemctl start pcscd
2. Добавьте в автозагрузку:
sudo systemctl enable pcscd
3. Проверьте, видит ли КриптоПро подключенные считыватели:
/opt/cprocsp/bin/amd64/csptest -enum -info -type PP_ENUMREADERS
В выводе должны отобразиться названия ваших устройств (например, Aktiv Co. Rutoken ECP 00 00 или JaCarta).
Шаг 6: Установка графической утилиты управления (cptools)
В КриптоПро 5.0 появилась удобная кроссплатформенная утилита для просмотра сертификатов, установки лицензии и управления ключами.
1. Установите пакет (если не сделали это на Шаге 3):
sudo apt-get install ./cprocsp-cptools-gtk-*.rpm
2. Запустите утилиту из терминала под своим пользователем (не под root):
cptools
Здесь вы можете установить сертификат из токена в личное хранилище (uMy), проверить срок действия лицензии и просмотреть цепочки сертификатов.
Шаг 7: Настройка браузера для работы с ЭЦП
Для работы на порталах (Госуслуги, ФНС, Честный ЗНАК и др.) необходим КриптоПро ЭЦП Browser plug-in.
1. Скачайте архив плагина с официальной страницы
https://www.cryptopro.ru/products/cades/plugin (версия 2.0).
2. Распакуйте архив и перейдите в папку с ним:
tar -xvf cades-linux-amd64.tar.gz
cd cades-linux-amd64
3. Установите пакеты плагина:
sudo apt-get install ./cprocsp-pki-cades-*.rpm ./cprocsp-pki-plugin-*.rpm
4. Для Chromium-Gost (рекомендуемый браузер в ALT Linux):
- Установите расширение CryptoPro Extension for CAdES Browser Plug-in из интернет-магазина Chrome или вручную через
chrome://extensions/(включив "Режим разработчика"). - Перезапустите браузер.
5. Для Firefox:
- Установите расширение по инструкции КриптоПро - https://www.cryptopro.ru/sites/default/files/products/cades/extensions/firefox_cryptopro_extension_latest.xpi.
- Убедитесь, что в
about:configпараметрsecurity.tls.version.maxне блокирует соединение (при необходимости установите значение3или4).
Шаг 8: Проверка корректности установки
1. Проверьте версию КриптоПро CSP:
/opt/cprocsp/bin/amd64/csptest -keyset -verifycontext
Вывод должен содержать строку Ver: 5.0.12xxx и завершиться кодом [ErrorCode: 0x00000000].
2. Перейдите на страницу проверки плагина - https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html
3. Нажмите кнопку "Заполнить" и "Подписать". Если плагин загружен и видит сертификат, установка прошла успешно.
Возможные проблемы и их решения
1. Доменный пользователь не видит токен
Необходимо добавить правило Polkit, разрешающее доступ к PC/SC.
Создайте файл /etc/polkit-1/rules.d/99-pcsc.rules со следующим содержимым:
polkit.addRule(function(action, subject) {
if (action.id == "org.debian.pcsc-lite.access_pcsc" || action.id == "org.debian.pcsc-lite.access_card") {
return polkit.Result.YES;
}
});
После этого перезагрузите компьютер или выполните sudo systemctl restart polkit.
2. Конфликт утилиты certmgr
Если в системе установлен пакет mono или mono4-devel, может возникнуть конфликт имен с утилитой certmgr от КриптоПро.
В этом случае вызывайте утилиту КриптоПро по полному пути:
/opt/cprocsp/bin/amd64/certmgr
3. Ошибка "Public keys in certificate and container are not identical"
Возникает при попытке связать сертификат и контейнер, которые не являются парой. Убедитесь, что вы устанавливаете сертификат именно из того контейнера, в котором был сгенерирован запрос (CSR).
4. Токен виден в системе, но не в КриптоПро
Убедитесь, что служба pcscd запущена (systemctl status pcscd).
Для некоторых старых токенов (например, Рутокен S) может потребоваться удаление пакета openct, который конфликтует с pcsc-lite:
sudo apt-get remove openct
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.