Hiba történt a jakartai személyre szabási folyamat során. A Cryptopro nem látja a JaCarta kulcsot, egy perc alatt megoldjuk. Speciális hibakódok

A Jacarta PKI/GOST szolgáltató blokkolásra kerül, ha többszöri kísérletet tesznek helytelen PIN kód megadására. Ebben az esetben megszakad a kapcsolat az FSRAR szerverrel, és a számlaadatok nem kerülnek be a könyvelési rendszerébe. Hogyan lehet gyorsan kinyitni a kulcsot és visszaállítani a munkát az EGAIS segítségével?

Alapértelmezés szerint minden új média a következő jelszavakkal rendelkezik:

A zár eltávolításához telepíteni kell a Jacarta Unified Client programot a számítógépére. Ha az EGAIS konfigurálását és telepítését szakembereink végezték, akkor már rendelkezik ezzel a programmal.

Futtassa a programot, és várja meg, amíg a Jacarta PKI/GOST adathordozóval kapcsolatos információk megjelennek a Unified Client ablakban.

A GOST zár eltávolítása

A GOST rész tartalmazza a tanúsító központ által kiadott KEP tanúsítványt. légy óvatos- Ebből a részből nem távolíthat el semmilyen alkatrészt. A törlés után újra fel kell vennie a kapcsolatot a tanúsító központtal a kulcs kiadása érdekében.

A GOST PIN kód feloldásához főmenü„Alkalmazásműveletek” válassza ki az első „Felhasználói PIN-kód feloldása” elemet. A képernyőn megjelenik egy értesítés, hogy a zár eltávolítása visszaállítja a helytelen beviteli kísérletek számlálóját.

Kattintson az „OK” gombra, és az újonnan megnyíló ablakban lépjen be Jacarta rendszergazda pin kód GOST 1234567890. A hibaszámláló nullázása után adja meg a szabványos felhasználói PIN kódot: GOST 0987654321.

Fontos: ez az eljárás csak a számláló visszaállításában segít, de nem módosítja azt elfelejtett jelszóújon. Ha megváltoztatta az alapértelmezett GOST jelszót, és elfelejtette, inicializálnia kell, és újra fel kell vennie a kulcsot a tanúsító központban.

PKI feloldása

A PKI-tároló tartalmaz egy RSA-kulcsot, amelyet a rendszer generál személyes fiók az egais.ru weboldalon. Ha elveszíti PIN kódját, ez a szakasz inicializálható (teljesen törölhető), mivel a kulcsot saját maga és ingyenesen újraírhatja anélkül, hogy kapcsolatba lépne a tanúsító központtal.

Jó napot!. Az elmúlt két napban egy érdekes feladatom volt, hogy megoldást találjak erre a helyzetre: van rá telepítve egy, valószínűleg sokak által jól ismert fizikai vagy virtuális szerver, a CryptoPRO. Csatlakozva a szerverhez , amely a dokumentumok aláírására szolgál VTB24 DBO. Windows 10 alatt minden működik helyileg, de a szerveren Windows platform Server 2016 és 2012 R2, A Cryptopro nem látja a JaCarta kulcsot. Nézzük meg, mi a probléma, és hogyan lehet megoldani.

A környezet leírása

Van egy virtuális gép a Vmware ESXi 6.5, as operációs rendszer Windows Server 2012 R2 telepítve. A szerveren a CryptoPRO 4.0.9944 fut, amely jelenleg a legújabb verzió. VAL VEL hálózati USB hub, USB over ip technológia használatával, egy JaCarta dongle van csatlakoztatva. Írja be a rendszert úgy tűnik, de nem a CryptoPRO-ban.

Algoritmus a JaCartával kapcsolatos problémák megoldására

A CryptoPRO nagyon gyakran okoz különféle hibákat a Windowsban, egy egyszerű példa (a Windows telepítő szolgáltatást nem lehetett elérni). Így néz ki az a helyzet, amikor a CryptoPRO segédprogram nem látja a tanúsítványt a tárolóban.

Amint az UTN Manager segédprogramban látható, a kulcs csatlakoztatva van, a rendszerben az intelligens kártyákon Microsoft Usbccid (WUDF) eszközként jelenik meg, de a CryptoPRO nem észleli ezt a tárolót, és nincs lehetősége telepíteni a bizonyítvány. A token helyben volt bekötve, minden a régi volt. Elkezdtünk gondolkodni, hogy mit tegyünk.

Lehetséges okok a konténer meghatározásával kapcsolatban

1. Először is, ez a probléma például az illesztőprogramokkal van Windows Server 2012 R2, a JaCartát ideális esetben JaCarta Usbccid Smartcardként kell azonosítani az intelligens kártyák listáján, nem pedig Microsoft Usbccidként (WUDF)
2. Másodszor, ha az eszköz Microsoft Usbccid (WUDF) néven jelenik meg, akkor előfordulhat, hogy az illesztőprogram-verzió elavult, ezért a segédprogramok nem érzékelik a védett USB-meghajtót.
3. A CryptoPRO elavult verziója

Hogyan lehet megoldani azt a problémát, hogy a cryptopro nem látja az USB-kulcsot?

Létrehoztunk egy új virtuális gépet, és elkezdtük a szoftver telepítését egymás után.

Mielőtt bármilyen szoftver tanúsítványokat tartalmazó USB-meghajtókkal és privát kulcsok. Kell SZÜKSÉGSZERŰEN tiltsa le a tokent, ha helyileg van behelyezve, majd tiltsa le, ha hálózaton keresztül, akkor fejezze be a munkamenetet

• Először is frissítjük operációs rendszerét az összes elérhető frissítéssel, mivel a Microsoft számos hibát és hibát javít, beleértve az illesztőprogramokat is.
• A második pont az, hogy fizikai szerver esetén az összes legújabb illesztőprogramot telepíteni kell az alaplapra és az összes perifériás berendezésre.
• Ezután telepítse a Unified JaCarta Client programot.
• Telepítse a CryptoPRO legújabb verzióját

Egyetlen JaCarta PKI kliens telepítése

Egyetlen JaCarta kliens- Ezt speciális segédprogram az Aladdin cégtől, mert megfelelő működés JaCarta tokenekkel. Töltse le ennek legújabb verzióját szoftver termék, megteheti a hivatalos webhelyről, vagy a felhőből, ha hirtelen nem tudja letölteni a gyártó webhelyéről.

Ezután csomagolja ki a kapott archívumot, és futtassa telepítőfájl, az én Windows architektúrámhoz az enyém 64 bites. Kezdjük el a Jacarta illesztőprogram telepítését. Egyetlen Jacarta kliens, nagyon könnyen telepíthető (EMLÉKEZTETEM, hogy a tokent a telepítéskor le kell tiltani). A telepítővarázsló első ablakában egyszerűen kattintson a Tovább gombra.

Fogadja el a licencszerződést, és kattintson a "Tovább" gombra

Ahhoz, hogy a JaCarta token illesztőprogramok megfelelően működjenek, csak futtasd normál telepítés.

Ha az "Egyéni telepítés" lehetőséget választja, feltétlenül jelölje be a következő négyzeteket:

• JaCarta illesztőprogramok
• Támogató modulok
• Támogatási modul a CryptoPRO-hoz

Néhány másodperc múlva a Jacarta Unified Client sikeresen telepítve van.

Ügyeljen arra, hogy újraindítsa a kiszolgálót vagy a számítógépet, hogy a rendszer lássa a legújabb illesztőprogramokat.

A JaCarta PKI telepítése után telepítenie kell a CryptoPRO-t, ehhez lépjen a hivatalos webhelyre.

https://www.cryptopro.ru/downloads

Jelenleg a legtöbb legújabb verzió CryptoPro CSP 4.0.9944. Futtassa a telepítőt, hagyja ki a "Telepítés" jelölőnégyzetet gyökértanúsítványok", majd kattintson a "Telepítés (ajánlott)" gombra

A CryptoPRO telepítése a következő helyen fog megtörténni háttér, amely után megjelenik a böngésző újraindítására vonatkozó javaslat, de azt tanácsolom, hogy indítsa újra teljesen.

Újraindítás után csatlakoztassa a JaCarta USB tokent. A kapcsolatom a hálózaton keresztül történik, egy DIGI-eszközről a következőn keresztül. Az Anywhere View kliensben a Jacarta USB-meghajtómat sikeresen felismeri, de Microsoft Usbccid-ként (WUDF), és ideális esetben JaCarta Usbccid Smartcard-ként kell definiálni, de mindenképpen ellenőrizni kell, mert minden működhet így.

A Jacarta PKI Unified Client segédprogram megnyitása után nem található csatlakoztatott token, ami azt jelenti, hogy valami nincs rendben az illesztőprogramokkal.

A Microsoft Usbccid (WUDF) egy szabványos Microsoft-illesztőprogram, amely alapértelmezés szerint különféle tokenekre van telepítve, és néha működik, de nem mindig. Műtőszoba Windows rendszer alapból az architektúrája és beállításai alapján állítja be őket, nekem személy szerint jelenleg nincs erre szükségem. El kell távolítanunk a Microsoft Usbccid (WUDF) illesztőprogramjait, és telepítenünk kell a Jacarta adathordozó illesztőprogramjait.

Nyissa meg a kezelőt Windows eszközök, keresse meg az "Intelligenskártya-olvasók" elemet, kattintson a Microsoft Usbccid (WUDF) elemre, és válassza a "Tulajdonságok" lehetőséget. Lépjen az "Illesztőprogramok" fülre, és kattintson az Eltávolítás gombra

Fogadja el a Microsoft Usbccid (WUDF) illesztőprogram eltávolítását.

Értesítést kap arról, hogy a változtatások érvénybe lépéséhez a rendszer újraindítása szükséges.

A rendszer újraindítása után láthatja az ARDS Jacarta eszköz és illesztőprogramok telepítését.

Nyissa meg az eszközkezelőt, látnia kell, hogy az eszköze mostantól JaCarta Usbccid Smartcar néven van azonosítva, és ha a tulajdonságaira lép, látni fogja, hogy a jacarta intelligens kártya most az ALADDIN R.D.ZAO 6.1.7601-es illesztőprogram-verzióját használja, így kellene lennie .

Ha megnyitja az egyetlen Jacarta klienst, látni fogja a sajátját Elektronikus aláírás, ez azt jelenti, hogy az intelligens kártyát a rendszer megfelelően észleli.

Megnyitjuk a CryptoPRO-t, és azt látjuk, hogy a CryptoPRO nem látja a tanúsítványt a tárolóban, bár az összes illesztőprogramot szükség szerint azonosították. Van még egy trükk.

1. Az RDP munkamenetben nem fogja látni a tokenjét, csak lokálisan, így működik a token, vagy nem találtam a javítás módját. Az ajánlások követésével megpróbálhatja megoldani a „Nem lehet csatlakozni az intelligenskártya-kezelési szolgáltatáshoz” hibaüzenetet.
2. Törölnie kell egy négyzet bejelölését a CryptoPRO-ban

FELTÉTELEZŐEN törölje a jelet a „Ne használjon elavult titkosítási csomagokat” jelölőnégyzetből, és újraindítás.

Ezen manipulációk után a CryptoPRO látta a tanúsítványomat és a jacarta intelligens kártya működni kezdett, aláírhat dokumentumokat.

A JaCarta eszközt az eszközökben és nyomtatókban is láthatja,

Ha hozzám hasonlóan a jacarta token telepítve van a virtuális gépen, akkor a tanúsítványt konzolon keresztül kell telepítenie Virtuális gép, és átadja az ehhez kapcsolódó jogokat a felelős személynek. Ha ez egy fizikai szerver, akkor jogokat kell adnia a felügyeleti porthoz, amely virtuális konzollal is rendelkezik.

Ha telepítette a Jacarta tokenek összes illesztőprogramját, a következő hibaüzenet jelenhet meg, amikor RDP-n keresztül csatlakozik, és megnyitja a Jacarta PKI Unified Client segédprogramot:

1. Az intelligens kártya szolgáltatás nem fut a helyi gépen. A Microsoft által kifejlesztett RDP-munkamenet architektúrája nem biztosítja a használatát kulcsfontosságú média csatlakozik egy távoli számítógéphez, így az RDP munkamenetben a távoli számítógép a helyi számítógép intelligens kártya szolgáltatását használja. Ebből következik, hogy az intelligens kártya szolgáltatás RDP munkameneten belüli elindítása nem elegendő a normál működéshez.
2. Smart Card Management Service bekapcsolva helyi számítógép elindult, de az RDP munkameneten belül nem érhető el a program számára Windows beállításokés/vagy RDP kliens.\

A „Nem lehet csatlakozni az intelligenskártya-kezelési szolgáltatáshoz” hiba kijavítása.

• Indítsa el az intelligens kártya szolgáltatást azon a helyi gépen, amellyel a munkamenetet kezdeményezi távoli hozzáférés. Beállít automatikus indítás amikor a számítógép elindul.
• Engedélyezze a helyi eszközök és erőforrások használatát a távoli munkamenet során (különösen az intelligens kártyák). Ehhez a "Távoli asztali kapcsolat" párbeszédpanel paramétereinél válassza a " fület Helyi források", tovább a csoportban" Helyi eszközökés erőforrások” kattintson a „További részletek...” gombra, és a megnyíló párbeszédpanelen válassza az „Intelligens kártyák” elemet, kattintson az „OK”, majd a „Csatlakozás” gombra.

• Győződjön meg arról, hogy az RDP-kapcsolat beállításai biztonságosak. Alapértelmezés szerint a Default.rdp fájlba kerülnek a "Dokumentumok" könyvtárba ez a fájl volt egy sor "redirectsmartcards:i:1".
• Győződjön meg arról, hogy a távoli számítógép, amelyhez RDP-kapcsolatot létesít, nincs aktiválva csoportszabályzat
  -[Számítógép konfigurációja\Felügyeleti sablonok\Windows-összetevők\Távoli asztali szolgáltatások\Távoli asztali munkamenet gazdagép\Eszköz- és erőforrás-átirányítás\Ne engedélyezze az intelligenskártya-olvasó átirányítását]. Ha engedélyezve van, akkor tiltsa le, és indítsa újra a számítógépet.
• Ha telepítve van a Windows 7 SP1 vagy a Windows 2008 R2 SP1 szervizcsomag, és RDC 8.1-et használ a futó számítógépekhez való csatlakozáshoz Windows vezérlés 8 vagy újabb verziót, akkor telepítenie kell egy frissítést az operációs rendszerhez https://support.microsoft.com/en-us/kb/2913751

Ez volt a hibaelhárítás a Jacarta token beállításához, a CryptoPRO bekapcsolva terminál szerver, dokumentumok aláírásához VTB24 DBO-ban. Ha bármilyen észrevétele, javítása van, kérjük, írja meg a megjegyzésekben.

A PKCS#11 szabványból származó összes függvény különböző hibakódokat ad vissza. Az összes visszaadott hibakód két nagy csoportra oszlik:

A PKCS#11 szabvány megvalósításából származó összes funkció speciális hibakódokat ad vissza (a gyártó által meghatározott).

A PKCS#11 szabványos kiterjesztés megvalósításából származó összes függvény speciális hibakódokat ad vissza (a gyártó által meghatározott).

Szabványos hibakódok

Az rtPKCS11 és rtPKCS11ECP függvénytárak megvalósítási jellemzői miatt egyes szabványos függvények szabványos PKCS#11 hibakódot adhatnak vissza, amely nem szerepel a függvény számára elfogadhatók listáján. Ez a helyzet kivétel. Szabványos kódok Az egyes függvények által kivételes helyzetekben visszaadott hibákat az egyes funkciók leírásában külön-külön soroljuk fel.

A 2.29. táblázat a PKCS#11 szabvány hibakódjainak listáját és a Rutoken eszközök által támogatott leírásukat mutatja be. Részletes információk minden hibakód megtalálható a szabványban ( angol nyelv) vagy alkalmazás (orosz nyelv).

asztal2.29 . Szabványos hibakódok

Speciális hibakódok

A 2.30. táblázat tartalmazza az összes PKCS #11 kiterjesztett hibakód listáját a leírásukkal együtt. A kiterjesztett hibakódokat a szabványos és a kiterjesztett funkciók is visszaküldhetik.

2.30. táblázat. Szabványos hibakódokA Rutoken eszközök által támogatott PKCS #11

Üdv, olvasó!

Miután kommunikáltam néhány aktívan érdeklődő olvasóval, úgy döntöttem, hogy megismétlem a „keresési” kísérletemet, amit akkor is megtettem, amikor az első áttekintő anyagokat írtam jelképes témákról. Ezúttal úgy döntöttem, hogy a sikertelen tapasztalatokat tokenek segítségével gyűjtöm, és begyűjtöm a Jacarta hibákat. Rögtön konkrétumokkal írok, mivel arra gondolok, hogy minden márkához más-más válogatást készítek. Kezdjük a piacvezetővel, Aladdin R.D.-vel. és a Jacarta termékük, egy kifejezetten az EGAIS-hez használt token.

Amit ez a bejegyzés nem tartalmaz:

1. Nem adok megoldást a Jacarta hibákra, mert minden helyzet más.

2. Az is előfordulhat, hogy nem a Jakarta token okozza a hibát. Ez lehet UTM stb. Ezért minden esetet külön kell elemezni

3. Hibák sokszorozása a termék becsmérlése érdekében. Az a feladatom, hogy egy rendkívül harmadik féltől származó összefoglalót adjak arról, hogy a Jacarta token felhasználók mikkel találkoznak leggyakrabban az EGAIS-ben.

A Jakartáról szóló vélemények kiválasztása és rendszerezése

Legutóbb a kutatásom a hivatalos EGAIS fórumra (http://egais2016.ru/) korlátozódott, most pedig kibővítettem a fórumok tanulmányozási körét, hogy az anyag szélesebb legyen.

Tehát az EGAIS Jakarta tokent a következő forrásokból származó vélemények alapján elemzik:

Természetesen a legtöbb eredmény az EGAS fórumán található

Összesen 630 üzenetet kaptunk a megkeresés alapján.

3 vastag ágat találtunk

Például itt van egy eset, amikor repült 8 JaCarta token egymás után mert idézem:

"0x00000006 hiba a PKI partícióban a formázás során. Vagy Jakarta egyszerűen nem észlelhető eszközként. Frissítettük a klienst a 2.9-es verzióra. Jacarta formátumon keresztül próbáltuk ki. Soha egyetlen módszer sem segített."

Az a probléma, amikor a rendszer egyszerűen nem látja a Jacartát, valóban komoly és talán a leggyakoribb. Egy másik kérdés az, hogy a hiba megjelenésének okai különböző jogsértések lehetnek.

Az észlelés és a telepítés során gyakran előfordulnak hibák, de az UTM elosztókészletekkel is előfordulhatnak problémák, ami szintén nagyon gyakran előfordul. Gondosan elolvastam az összes témát, és ezért megnyugodhatok, hogy nem fogok itt semmit sem kiemelni. meglévő hibákat Jacarta számára. Bár a kérdés itt nagyon bonyolult, mivel amikor a rendszer nem látja a Jacartát, ez kölcsönös probléma lehet.

Az egyik már említett szálban van egy ilyen érdekes megjegyzés

Mit tegyenek a Jacarta token felhasználók most, hogy megszakadt a kapcsolat Gemalto és Aladdin között?

A fórumon egaisa.net

5 vitaszálat találtam

Többnyire tipikus hibák a munka inicializálásakor, valamint amikor már minden beállítás megtörtént, Jakarta működése inkonzisztens. A frissítések után is gyakoriak a hibák, amikor a rendszer nem találja vagy látja a Jacartát

Ha figyelmesebben olvassa a fórumokat, kiderül, hogy a kezdeti szakaszban mindenkinek eladták a Jacarta tokent az EGAISA-ért, anélkül, hogy belemélyedtek volna a részletekbe, és egyáltalán nem oktatták volna az ügyfeleket, ami nem csak Jakarta lehet... De már beszéltünk. erről többször is, és láthatod .

Térjünk vissza az EGAIS fórumhoz.

Összesen 630 válasz áll rendelkezésünkre a keresőben a teljes munkánk során. Természetesen nincs értelme egy évnél régebbi problémákkal foglalkozni.

Például az egyik leggyakoribb hiba

1. Hibák az RSA-tanúsítvány generálásakor


2. Szinkronizálási hibák az UTM-mel


3. Hiba a frissítés során


4. 610-es hiba


5. Jacarta észlelési hiba

Miért vannak rossz vélemények Jakartáról?

Összefoglalva, a Jakarta tokent sokan használják, de a stabilitása gyenge. Én is azt a véleményt találtam, hogy ez lehet. a „szállítási kötegtől” függően ez valószínűleg nagyon furcsa, hiszen a szoftvernek mindenkinek azonosnak kell lennie. Talán ez annak a ténynek az eredménye, hogy Jakarta végül sok különböző részből áll össze, ami instabil munkához és az egész szervezet egészének halálához vezet.

A következő sorozatban a Rutokenről, az intelligens kártyákról és más CIPF termékekről fogunk beszélni.

Köszönöm, hogy kapcsolatban maradtál.