Поддерживаемые устройства

Генератора запроса работает с устройствами из линейки Рутокен ЭЦП 3.0.

Подготовка к работе

Перед началом работы необходимо установить драйверы для подключенного устройства Рутокен и скачать архив с утилитой.

Чтобы установить драйверы:

1. Перейдите в Центр загрузки.
2. Нажмите Драйверы Рутокен для Windows, EXE.
3. Примите условия лицензионного соглашения и дождитесь автоматического скачивания файла.
4. Откройте загруженный файл и следуйте инструкциям установщика.

В результате драйверы Рутокен будут установлены.

Чтобы скачать Генератор запроса:

1. В Центре загрузки нажмите Утилиты, чтобы раскрыть список доступных утилит.
2. В раскрывшемся списке нажмите Генератор запросов сертификатов для Рутокен ЭЦП 3.0.
3. Примите условия лицензионного соглашения и дождитесь автоматического скачивания файла.
4. Распакуйте архив в удобную папку.

В результате на компьютере появится папка с Генератором запроса (cert-gen-util.exe).

Работа с Генератором запроса

Запуск Генератора запроса

Чтобы запустить Генератор запроса:

1. Откройте папку, в которую был распакован архив из раздела Подготовка к работе.
2. Запустите файл cert-gen-util.exe. В результате откроется окно Генератор запроса на сертификат.
   

Теперь можно перейти к созданию запроса на сертификат или записи готового сертификата на устройство Рутокен.

Создание запроса на сертификат электронной подписи

Для создания запроса на сертификат электронной подписи:

1. В раскрывающемся списке Шаблон выберите название необходимого шаблона. Предустановленные шаблоны отличаются алгоритмом, который будет использоваться для генерации ключевой пары.
   

2. Введите необходимые значения полей запроса.

   Все основные поля заполняются согласно Приказу ФСБ РФ от 29.01.2021 № 31 «О внесении изменений в приказ ФСБ России от 27.12.2011 № 795 "Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи"». Подробнее каждое из основных полей описано в разделе Структура файла шаблона.

   

3. Если создается запрос на сертификат квалифицированной электронной подписи, задайте срок действия закрытого ключа. Для этого включите соответствующий переключатель и выберите дату начала и конца действия ключа.
   
4. Нажмите Создать запрос.
5. Выберите на компьютере папку для сохранения файла запроса и нажмите Сохранить.
6. Введите PIN-код Пользователя устройства Рутокен и нажмите кнопку . 
   
   В результате на компьютере сохранится файл запроса, а на устройстве Рутокен сгенерируется ключевая пара.
7. Чтобы убедиться, что запрос создан успешно, нажмите Показать в папке. 
   
   В результате откроется папка, в которую был сохранен файл запроса на сертификат.
   Для дальнейшей работы необходимо подписать запрос на сертификат в вашем Удостоверяющем центре и получить файл сертификата электронной подписи.

Запись сертификата электронной подписи на устройство Рутокен

Для записи сертификата электронной подписи на устройство Рутокен:

1. Нажмите Записать сертификат.
2. Выберите на компьютере файл с сертификатом и нажмите Открыть. 
3. Введите PIN-код Пользователя устройства Рутокен и нажмите кнопку .
   В результате сертификат запишется на устройство Рутокен.
4. Чтобы убедиться, что сертификат был записан успешно, нажмите Просмотреть в Панели управления Рутокен. Откроется Панель управления Рутокен.
   
   
5. Перейдите на вкладку Сертификаты и нажмите на кнопку .
   В результате отобразятся сертификаты, записанные на устройство Рутокен.
   

Управление шаблонами

Создание нового шаблона

Если вы часто создаете однотипные запросы на сертификат (например, для сотрудников одной и той же организации), можно сделать шаблон, в котором уже будут заполнены некоторые поля.

Чтобы создать новый шаблон:

1. Запустите Генератор запроса.
2. В раскрывающемся списке Шаблон выберите шаблон, на основе которого будет создан новый.
3. Нажмите Просмотреть в Блокноте. Откроется окно выбранного шаблона.
   

4. Заполните поля, которые будут использоваться для всех запросов на сертификат, созданных по этому шаблону.
   

   Все основные поля заполняются согласно Приказу ФСБ РФ от 29.01.2021 № 31 «О внесении изменений в приказ ФСБ России от 27.12.2011 № 795 "Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи"». Помимо основных полей запроса, которые находятся в блоке [CertificateRequest], можно изменить дополнительные параметры: область использования сертификата, параметры алгоритма генерации ключевой пары, расширенную информацию о сертификате и прочее. Подробнее дополнительные параметры описаны в разделе Структура файла шаблона.

   
   

5. В поле value задайте имя шаблона, которое будет отображаться в Генераторе запроса.
   
   

6. В окне текстового редактора выберите пункт Файл и подпункт Сохранить как.
7. Сохраните файл в ту же папку, где находится Генератор запроса.

В результате в папке с Генератором запроса появится новый шаблон. После перезапуска Генератора запроса новый шаблон отобразится в списке доступных шаблонов.

Использование нового шаблона

Для использования нового шаблона запроса на сертификат электронной подписи:

1. Запустите Генератор запроса.
2. В раскрывающемся списке Шаблон выберите название созданного шаблона.
   
3. Следуйте инструкции по созданию запроса на сертификат электронной подписи.

Изменение параметров существующего шаблона

Чтобы изменить параметры существующего шаблона:

1. Запустите Генератор запроса.
2. В раскрывающемся списке Шаблон выберите шаблон, который нужно изменить.
3. Нажмите Просмотреть в Блокноте. Откроется окно выбранного шаблона.
   

4. Внесите изменения в поля.
   

   Все основные поля заполняются согласно Приказу ФСБ РФ от 29.01.2021 № 31 «О внесении изменений в приказ ФСБ России от 27.12.2011 № 795 "Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи"». Помимо основных полей запроса, которые находятся в блоке [CertificateRequest], можно изменить дополнительные параметры: область использования сертификата, параметры алгоритма генерации ключевой пары, расширенную информацию о сертификате и прочее. Подробнее дополнительные параметры описаны в разделе Структура файла шаблона.

   
   

5. В окне текстового редактора выберите пункт Файл и подпункт Сохранить.

В результате изменения будут сохранены. Они применятся при следующем выборе шаблона в списке шаблонов.

Примеры работы с шаблонами запросов

SEQUENCE {
 OBJECTIDENTIFIER 1.2.643.2.2.46.0.8
 INTEGER 1
 }

Структура файла шаблона

Файл шаблона запроса на сертификат состоит из блоков, у каждого из которых есть свое назначение.

Блок [DisplayName]

Блок [DisplayName] используется для указания названия шаблона, которое отобразится в раскрывающемся списке в окне Генератор запроса на сертификат.

Блок [CertificateRequest]

Блок [CertificateRequest] используется для указания информации о владельце сертификата.

В таблице ниже приведены описания полей и требования к указываемым в них данным.

(commonName)

(organizationName)

(surname)

(givenName)

(email)

(snils)

(inn)

(innLe)

(ogrn)

(ogrnip)

(un)

(organizationUnitName)

(title)

(countryName)

(stateOrProvinceName)

(localityName)

(streetAddress)

Блок [SubjectSignTools]

Блок [SubjectSignTools] используется для управления СКЗИ, которые отображаются в выпадающем списке Средство подписи.

Блок [GostToUse]

Блок [GostToUse] используется для выбора алгоритма генерации ключевой пары.

Доступны следующие значения:

• gost2012-256 — для ГОСТ 2012-256;
• gost2012-512 — для ГОСТ 2012-512.

Блок [Gost3410-2012-256-Paramset]

Блок [Gost3410-2012-256-Paramset] используется для выбора набора параметров для алгоритма ГОСТ 2012-256. Значение из этого блока не применяется, если в блоке [GostToUse] выбран алгоритм gost2012-512.

Блок [Gost3410-2012-512-Paramset]

Блок [Gost3410-2012-512-Paramset] используется для выбора набора параметров для алгоритма ГОСТ 2012-512. Значение из этого блока не применяется, если в блоке [GostToUse] выбран алгоритм gost2012-256.

Блок [KeyUsage] 

Блок [KeyUsage] используется для указания области использования сертификата.

В таблице ниже приведены доступные значения.

digitalSignature

nonRepudiation

keyEncipherment

dataEncipherment

keyAgreement

keyCertSign

crlSign

encipherOnly

decipherOnly

Блок [ExtendedKeyUsage]

Блок [ExtendedKeyUsage] используется для указания параметров расширенного использования сертификата. Здесь указываются идентификаторы необходимых операций, классов пользователей и устройств.

В таблице ниже приведены значения, указанные по умолчанию. В данном блоке вы также можете задать свои значения.

1.3.6.1.5.5.7.3.2

1.3.6.1.5.5.7.3.4

1.2.643.2.2.34.6

1.2.643.2.2.34.26

1.2.643.2.2.34.25

Блок [SMIMECapabilities]

Блок [SMIMECapabilities] используется для указания алгоритма подписи и шифрования электронных писем. По умолчанию используется значение @ByteArray(\x30\x0c\x30\x0A\x06\x08\x2A\x85\x03\x07\x01\x01\x05\x01) (алгоритм шифрования ГОСТ Р 34.12-2015 Магма, oid 1.2.643.7.1.1.5.1).

В таблице ниже приведены все доступные значения.

Блок [CustomExtension]

Блок [CustomExtension] используется для указания расширений сертификата не предусмотренных в других блоках.

Расширения сертификата — это информационные поля, которые содержат дополнительные сведения о сертификате.

Расширения сертификата задаются следующими параметрами:

• oid  —  идентификатор расширения;

• value  —  данные этого расширения в DER-кодировке;

• criticality — критичность наличия данного расширения.
  

  Если для параметра criticality расширения задано значение critical, при отсутствии в сертификате этого расширения сертификат будет отвергнут. Отсутствие некритических расширений (у которых для параметра criticality задано значение non critical)  может быть проигнорировано.

  
  

Способ идентификации заявителя (IdentificationKind, OID=1.2.643.100.114) задается в этом блоке. По умолчанию используется значение (\x02\x01\x00) (личное присутствие).

В таблице ниже приведены все доступные значения.

Блок [Criticality]

Блок [Criticality] используется для указания критичности наличия параметров сертификата, указанных в блоках [KeyUsage], [ExtendedKeyUsage] и [SubjectSignTool]. Если для блока выставлено значение critical, но соответствующий параметр в запросе отсутствует, сертификат будет отвергнут. Отсутствие некритических расширений (у которых для параметра criticality задано значение non critical) может быть проигнорировано.