Подробный гайд по регистрации ЭЦП с Рутокена в Ubuntu: пошаговая установка КриптоПро CSP
Регистрация сертификата, записанного на аппаратном ключе (Рутокен), в операционной системе Ubuntu чаще всего выполняется с использованием КриптоПро CSP. Это стандарт для работы с российскими ГОСТ-алгоритмами и электронными подписями (для торгов, ФНС, СБИС, Госуслуг и т.д.).
Шаг 1. Подготовка ОС и установка драйверов для считывателя
Для того чтобы Ubuntu «увидела» Рутокен, необходимо установить и запустить службу работы со смарт-картами (PC/SC).
1. Откройте терминал (Ctrl+Alt+T) и обновите списки пакетов:
sudo apt update && sudo apt upgrade -y
2. Установите необходимые пакеты для работы со смарт-картами:
sudo apt install pcscd pcsc-tools libccid -y
3. Перезапустите службу и добавьте её в автозагрузку:
sudo systemctl restart pcscd
sudo systemctl enable pcscd
4. Проверка видимости Рутокена:
Вставьте Рутокен в USB-порт и введите команду:
pcsc_scan
Если в выводе появляется информация о считывателе и карте (например, Aktiv Rutoken ECP), значит система видит токен. Нажмите Ctrl+C для выхода.
Шаг 2. Установка КриптоПро CSP (если еще не установлено)
Если КриптоПро у вас уже установлен, переходите к Шагу 3.
- Скачайте дистрибутив КриптоПро CSP 5.0 для Linux (amd64) с официального сайта (требуется бесплатная регистрация).
2. Распакуйте архив в удобную папку (например, в Загрузки):
tar -xvf linux-amd64.tgz
cd linux-amd64
3. Запустите установку:
sudo ./install.sh
- После завершения установки обязательно перезагрузите компьютер, чтобы драйверы корректно подхватили Рутокен.
Шаг 3. Регистрация сертификата с Рутокена
Существует два способа установить сертификат в личное хранилище системы: через графический интерфейс (рекомендуется) и через консоль.
Способ А: Через графическую утилиту certmgr (Рекомендуется)
1. Запустите утилиту управления сертификатами КриптоПро. В терминале выполните:
/opt/cprocsp/bin/amd64/certmgr -gui
(В некоторых версиях утилита может называться cpconfig — тогда команда /opt/cprocsp/sbin/amd64/cpconfig).
2. В открывшемся окне перейдите в меню: Действия -> Установить сертификат.
3. Откроется мастер установки. Выберите опцию Установить сертификат из контейнера закрытого ключа.
4. В списке считывателей выберите ваш Рутокен (обычно отображается как Aktiv Rutoken ECP или eToken).
5. Нажмите «Обзор» или «Далее», чтобы увидеть список контейнеров на токене. Выберите нужный контейнер.
6. Система запросит PIN-код от Рутокена.
* Стандартный PIN-код: 12345678 (если вы или администратор его не меняли).
7. Подтвердите установку. Утилита считает открытый ключ из контейнера и поместит сертификат в системное хранилище «Личное» (My), связав его с закрытым ключом на флешке.
Способ Б: Через консоль (если GUI не запускается)
1. Узнайте точное имя контейнера на Рутокене:
/opt/cprocsp/sbin/amd64/csptest -enum -info -type PP_ENUMCONTAINERS
В выводе вы увидите путь, например: \\.Aktiv Rutoken ECP\container_name.000\A892.
2. Выполните команду установки (замените имя_контейнера на ваше):
/opt/cprocsp/sbin/amd64/csptest -cert -install -container "\\.\Aktiv Rutoken ECP\имя_контейнера" -provtype 80
Примечание:
-provtype 80 используется для ГОСТ 2012 года. Если сертификат старый (ГОСТ 2001), используйте 75.
Шаг 4. Проверка установки
Чтобы убедиться, что сертификат успешно зарегистрирован в системе и привязан к ключу:
В терминале выполните:
/opt/cprocsp/bin/amd64/certmgr -list
В списке вы должны увидеть ваш сертификат. В поле Provider должно быть указано, что ключ находится на носителе (Rutoken), а не в реестре.
Шаг 5. Настройка браузера (для работы на площадках и Госуслугах)
Просто зарегистрировать сертификат в ОС недостаточно для работы в браузерах (Яндекс.Браузер, Chromium).
Браузеры в Linux не имеют встроенной поддержки ГОСТ-шифрования, поэтому требуется плагин:
- Скачайте КриптоПро ЭЦП Browser plug-in (CAdES plugin) с сайта КриптоПро (раздел "Центр загрузок" -> "КриптоПро ЭЦП Browser plug-in 2.0").
2. Установите его через терминал:
sudo dpkg -i cades_linux_amd64.deb
(Если будут ошибки зависимостей, выполните sudo apt --fix-broken install).
3. Установка расширения в браузер:
- Откройте Яндекс.Браузер или Chromium.
- Перейдите на страницу проверки плагина на сайте КриптоПро или зайдите в настройки расширений браузера.
- Установите расширение CryptoPro Extension for CAdES Browser.
4. Добавление сертификата в доверенные (Опционально, но часто требуется для ФНС и торгов):
Вам может потребоваться установить корневые сертификаты Минцифры и УЦ. Скачать их можно на портале Госуслуг или сайте вашего Удостоверяющего центра, а затем установить через ту же утилиту certmgr (Действия -> Установить сертификат -> Выбрать файл .cer).
Частые проблемы и их решения
* Ошибка "Не удается построить цепочку сертификатов":
Значит, в системе отсутствуют корневые или промежуточные сертификаты Удостоверяющего Центра (УЦ). Попросите администратора УЦ прислать вам файл цепочки сертификатов (обычно .cer или .p7b) и установите их через certmgr.
* Браузер не видит сертификат (при нажатии "Подписать" список пуст):
Убедитесь, что расширение CAdES включено в браузере. Также проверьте, что вы запускаете браузер от имени обычного пользователя, а не через sudo.
* Рутокен не определяется в pcsc_scan:
Попробуйте другой USB-порт (желательно USB 2.0, напрямую в материнскую плату, без USB-хабов). Проверьте, не конфликтует ли Рутокен с другими токенами (например, банковскими).
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.