Standardní chybové kódy. Egais nefunguje: sekce pki je blokována Relace s kartou zařízení není otevřená

Všechny funkce z implementace PKCS # 11 vracejí různé chybové kódy. Všechny vrácené chybové kódy spadají do dvou velkých skupin:

Všechny funkce z implementace PKCS # 11 vracejí vlastní chybové kódy (specifické pro výrobce).

Všechny funkce z implementace standardního rozšíření PKCS # 11 vracejí vlastní chybové kódy (specifické pro výrobce).

Standardní chybové kódy

Vzhledem k implementačním zvláštnostem knihoven rtPKCS11 a rtPKCS11ECP mohou některé standardní funkce vracet standardní chybový kód PKCS # 11, který není v seznamu platných kódů pro tuto funkci. Tato situace je výjimkou. Standardní chybové kódy vrácené každou funkcí ve výjimečných situacích jsou uvedeny v popisu pro každou funkci zvlášť.

Tabulka 2.29 uvádí chybové kódy PKCS # 11 a jejich popisy podporované zařízeními Rutoken. Podrobné informace o každém chybovém kódu naleznete ve standardu (v angličtině) nebo v příloze (v ruštině).

stůl2.29 ... Standardní chybové kódy

Speciální chybové kódy

Tabulka 2.30 uvádí všechny rozšířené chybové kódy PKCS # 11 spolu s jejich popisy. Rozšířené chybové kódy mohou vracet standardní funkce i rozšiřující funkce.

Tabulka 2.30... Standardní chybové kódyPKCS # 11 Podporováno Rutoken Devices

Zdravím čtenáře!

Po komunikaci s některými aktivně zainteresovanými čtenáři jsem se rozhodl zopakovat svůj „hledací“ experiment, který jsem udělal, když jsem psal první recenzní materiály na téma tokenů. Tentokrát jsem se rozhodl posbírat hromadu špatných zkušeností s používáním tokenů, posbírat chyby Jacarty. Píšu rovnou s konkrétními údaji, protože u každé značky uvažuji o jiném výběru. Začněme lídrem trhu, Aladdinem R.D. a jejich produkt Jacarta, token, který se používá speciálně pro EGAIS.

Co v tomto příspěvku nebude:

1. Nebudu dávat řešení pro Jacartovy chyby, protože každá situace je jiná.

2. Je možné, že jakartský token není příčinou chyby. Může to být UTM atd. Proto je třeba každý případ analyzovat samostatně.

3. Násobení chyb za účelem poškození produktu. Mým úkolem je poskytnout extrémně nezávislý souhrn toho, s čím uživatelé tokenu Jacarta v EGAIS nejčastěji stohují.

Kompilace a systematizace recenzí o Jakartě

Naposledy se můj výzkum omezoval na oficiální fórum EGAIS (http://egais2016.ru/), nyní jsem rozšířil rozsah studijních fór, aby byl materiál obsáhlejší.

Jakartský token pro EGAIS bude tedy analyzován na základě recenzí z následujících zdrojů:

Většina výsledků byla přirozeně nalezena na fóru EGAS

Celkem na vyžádání vyšlo 630 zpráv

Nalezeny 3 silné větve

Tady je například případ, kdy to letělo 8 JaCarta-žetonů v řadě proto, cituji:

"Chyba 0x00000006 v sekci PKI při pokusu o formátování." Buď Jakarta prostě není definována jako zařízení. Klient byl aktualizován na verzi 2.9. Zkusil to přes formát jacarta. Ani jedna metoda nikdy nepomohla"

Problém, kdy systém Jacarta prostě nevidí, je opravdu vážný a možná nejrozšířenější. Dalším problémem je, že důvody pro výskyt této chyby mohou být různá porušení.

Často dochází k chybám při detekci a instalaci, ale mohou nastat problémy s UTM distribucemi, což se také velmi často stává. Pečlivě čtu všechny větve a proto si buďte jisti, že zde nebudu upozorňovat na neexistující chyby pro Jacartu. I když je zde otázka velmi obtížná, protože když systém nevidí Jacartu, může to být vzájemný problém.

V jedné z již zmíněných větví je takový zajímavý komentář

Co by teď měli uživatelé tokenu Jacarta dělat, když jsou vazby mezi Zhemaltem a Aladdinem ukončeny?

Na fóru egaisa.net

Nalezeno 5 diskusních vláken

V podstatě typické chyby při inicializaci práce, stejně jako když již byla provedena všechna nastavení, nekonzistentní práce Jakarty. Chyby jsou také časté po aktualizacích, kdy systém nenajde nebo nevidí Jacarta

Pokud budete číst fóra pozorněji, ukáže se, že v počáteční fázi každý prodával token Jacarta pro EGAISA, aniž by zacházel do podrobností a aniž by osvětlil zákazníky, že nejen Jakarta může být ... Ale už jsme mluvili o tom více než jednou a můžete se ujistit ...

Vraťme se k fóru EGAIS.

Celkem máme za celou dobu práce 630 odpovědí vyhledávačů. Přirozeně nemá smysl uvažovat o problémech před více než rokem.

Například z nejčastějších chyb

1. Chyby při pokusu o vygenerování certifikátu RSA


2. Chyby synchronizace s UTM


3. Chyba při aktualizaci


4. Chyba 610


5. Chyba detekce Jacarta

Proč má Jakarta špatné recenze?

Shrňme, že token Jakarta používá mnoho lidí, nicméně stabilita jeho práce pokulhává. Našel jsem i takový názor, že by to mohlo být. záviset na "dávce dodávky", je to pravděpodobně velmi zvláštní, protože software pro všechny by měl být stejný. Možná je to důsledek toho, že v důsledku toho je Jakarta sestavena z mnoha nesourodých částí, což vede k nestabilní práci a odumírání celého organismu jako celku.

V další sérii si povíme něco o Rutokenu, čipových kartách a dalších produktech CIPF.

Děkujeme, že jste zůstali v kontaktu.

Dobrý den!. Poslední dva dny jsem měl zajímavý úkol najít řešení takové situace, existuje fyzický nebo virtuální server, na kterém je pravděpodobně nainstalováno známé CryptoPRO. Připojeno k serveru který se používá k podepisování dokumentů pro VTB24 DBO... Lokálně zapnuto Windows 10 vše funguje, ale na serverové platformě Windows Server 2016 a 2012 R2, CryptoPro nevidí klíč JaCarta... Pojďme zjistit, v čem je problém a jak jej opravit.

Popis prostředí

Tady je virtuální stroj na Vmware ESXi 6.5, nainstalovaný jako operační systém Windows Server 2012 R2... Server má CryptoPRO 4.0.9944, aktuálně nejnovější verzi. Ze síťového rozbočovače USB, přes Technologie USB over ip, je připojen hardwarový klíč JaCarta. Zadejte systém viděl, ale ne v CryptoPRO.

Algoritmus pro řešení problémů s JaCarta

CryptoPRO velmi často způsobuje různé chyby ve Windows, jednoduchý příklad ( Nelze získat přístup k instalační službě systému Windows). Takto vypadá situace, kdy utilita CryptoPRO certifikát v kontejneru nevidí.

Jak můžete vidět v utilitě UTN Manager, klíč je připojený, je v systému vidět v čipových kartách jako zařízení Microsoft Usbccid (WUDF), ale CryptoPRO tento kontejner nedetekuje a certifikát nemáte jak nainstalovat. Token byl připojen lokálně, vše bylo při starém. Začali přemýšlet, co dělat.

Možné důvody s definicí kontejneru

1. Za prvé se jedná o problém s ovladači, například ve Windows Server 2012 R2 by JaCarta měla být ideálně definována v seznamu čipových karet jako JaCarta Usbccid Smartcard, nikoli Microsoft Usbccid (WUDF)
2. Za druhé, pokud je zařízení považováno za Microsoft Usbccid (WUDF), pak může být verze ovladače zastaralá a vaše nástroje proto chráněnou jednotku USB nezjistí.
3. Zastaralá verze CryptoPRO

Jak vyřešit problém, že kryptopro nevidí USB klíč?

Vytvořil nový virtuální stroj a začali postupně instalovat software.

Před instalací jakéhokoli softwaru, který pracuje s médii USB obsahujícími certifikáty a soukromé klíče. Nutné NEZBYTNĚ deaktivujte token, pokud je zaseknutý lokálně, pak jej deaktivujte, pokud přes síť, ukončíme relaci

• První věc aktualizujte svůj operační systém, se všemi dostupnými aktualizacemi, protože Microsoft opravuje mnoho chyb a chyb, včetně ovladačů.
• Druhým bodem je v případě fyzického serveru nainstalovat všechny nové ovladače na základní desku a veškeré periferní zařízení.
• Dále nainstalujte sjednoceného klienta JaCarta.
• Nainstalujte nejnovější verzi CryptoPRO

Instalace jednotného klienta JaCarta PKI

Jednotný klient JaCarta je speciální utilita od společnosti Aladdin pro správnou práci s tokeny JaCarta. Nejnovější verzi tohoto softwarového produktu si můžete stáhnout z oficiálních stránek, nebo z mého cloudu, pokud to najednou nefunguje z webu výrobce.

Dále přijato rozbalíte archiv a spusťte instalační soubor pod vaším Architektura Windows, mám to 64bit. Pokračujeme v instalaci ovladače Jacarta. Instalace jednoho klienta Jacarta je velmi jednoduchá (PŘIPOMENUTÍM, že váš token musí být v době instalace deaktivován). V prvním okně průvodce instalací stačí kliknout na další.

Přijímáme licenční smlouvu a klikneme na „Další“

Aby ovladače tokenu JaCarta fungovaly správně, stačí provést standardní instalaci.

Pokud zvolíte "Vlastní instalace", nezapomeňte zaškrtnout políčka:

• Ovladače JaCarta
• Podpůrné moduly
• Podpůrný modul pro CryptoPRO

Po několika sekundách je sjednocený klient Jacarta úspěšně nainstalován.

Nezapomeňte restartovat server nebo počítač, aby systém viděl nejnovější ovladače.

Po instalaci JaCarta PKI je třeba nainstalovat CryptoPRO, k tomu přejděte na oficiální web.

https://www.cryptopro.ru/downloads

V současné době je nejnovější verze CryptoPro CSP 4.0.9944. Spusťte instalační program, ponechte zaškrtávací políčko „Instalovat kořenové certifikáty“ a klikněte na „Instalovat (doporučeno)“

Instalace CryptoPRO bude provedena na pozadí, po které se zobrazí výzva k restartování prohlížeče, ale doporučuji úplně restartovat.

Po restartu zapojte USB token JaCarta. Moje připojení jde přes síť, ze zařízení DIGI, skrz. V klientovi Anywhere View je můj USB disk Jacarta úspěšně identifikován, ale jako Microsoft Usbccid (WUDF), a v ideálním případě by měl být identifikován jako JaCarta Usbccid Smartcard, ale musíte to v každém případě zkontrolovat, protože tak může fungovat vše.

Po otevření nástroje „Jacarta PKI Single Client“ nebyl připojený token nalezen, takže něco není v pořádku s ovladači.

Microsoft Usbccid (WUDF) je standardní ovladač společnosti Microsoft, který se standardně instaluje na různé tokeny a stává se, že vše funguje, ale ne vždy. Operační systém je ve výchozím nastavení Windows, pamatuje na jeho architekturu a nastavení, osobně to v tuto chvíli nepotřebuji. Co děláme, je, že potřebujeme odinstalovat ovladače Microsoft Usbccid (WUDF) a nainstalovat ovladače médií Jacarta.

Otevřete Správce zařízení Windows, vyhledejte čtečky čipových karet, klikněte na Microsoft Usbccid (WUDF) a vyberte Vlastnosti. Přejděte na kartu "Ovladače" a klikněte na Odinstalovat

Souhlaste s odinstalováním ovladače Microsoft Usbccid (WUDF).

Budete upozorněni, že je nutný restart systému, aby se změny projevily, určitě se dohodneme.

Po restartování systému můžete vidět nainstalované zařízení ARDS Jacarta a ovladače.

Otevřete správce zařízení, měli byste vidět, že vaše zařízení je nyní definováno jako JaCarta Usbccid Smartcar a pokud přejdete do jeho vlastností, uvidíte, že čipová karta jacarta nyní používá verzi ovladače 6.1.7601 od ALADDIN RDZAO, takže by měla být ...

Pokud otevřete jednoho klienta Jacarta, uvidíte svůj elektronický podpis, což znamená, že čipová karta byla detekována normálně.

Otevřeme CryptoPRO a vidíme, že kryptopro nevidí certifikát v kontejneru, ačkoli všechny ovladače byly identifikovány podle potřeby. Je tu ještě jedna funkce.

1. V relaci RDP neuvidíte svůj token, pouze lokálně, takto token funguje, nebo jsem nenašel, jak to opravit. Můžete vyzkoušet doporučení k vyřešení chyby „Nelze se připojit ke službě správy čipových karet“.
2. V CryptoPRO musíte odstranit jedno zaškrtávací políčko

VŽDY zrušte zaškrtnutí "Nepoužívat zastaralé šifrovací sady" a restartovat.

Po těchto manipulacích pro mě CryptoPRO vidělo certifikát a čipová karta Jacarta začala fungovat, můžete podepisovat dokumenty.

Své zařízení JaCarta můžete také vidět v zařízeních a tiskárnách,

Pokud máte jako já nainstalovaný token jacarta ve virtuálním stroji, budete muset nainstalovat certifikát přes konzolu virtuálního stroje a také dát tomu práva odpovědná osoba. Pokud se jedná o fyzický server, budete mu muset udělit práva ovládací port který má také virtuální konzoli.

Po instalaci všech ovladačů pro tokeny Jacarta se při připojování přes RDP a otevírání nástroje „Jacarta PKI Single Client“ může zobrazit následující chybová zpráva:

1. Služba čipových karet není spuštěna na místním počítači. Architektura relace RDP vyvinutá společností Microsoft neumožňuje použití klíčových médií připojených ke vzdálenému počítači, proto v relaci RDP vzdálený počítač používá službu čipové karty místního počítače. Z toho vyplývá, že spuštění služby čipové karty v rámci relace RDP pro normální provoz nestačí.
2. Služba správy čipových karet na místním počítači je spuštěna, ale není k dispozici pro program v relaci RDP kvůli nastavení Windows a/nebo klienta RDP. \

Jak opravit chybu "Není možné se připojit ke službě správy čipových karet."

• Spusťte službu čipové karty na místním počítači, ze kterého iniciujete relaci vzdáleného přístupu. Nakonfigurujte jej tak, aby se spouštěl automaticky při spuštění počítače.
• Povolit používání místních zařízení a zdrojů během vzdálené relace (zejména čipové karty). Chcete-li to provést, v dialogovém okně „Připojení ke vzdálené ploše“ v parametrech vyberte kartu „Místní zdroje“, poté ve skupině „Místní zařízení a zdroje“ klikněte na tlačítko „Další ...“ a v dialogovém okně otevře, vyberte položku "Smart karty" a klikněte na OK a poté na Připojit.

• Ujistěte se, že jsou uložena nastavení připojení RDP. Ve výchozím nastavení jsou uloženy v souboru Default.rdp v adresáři „My Documents“ Ujistěte se, že tento soubor obsahuje řádek „redirectsmartcards: i: 1“.
• Ujistěte se, že na vzdáleném počítači, ke kterému vytváříte připojení RDP, nejsou aktivovány zásady skupiny
  - [Konfigurace počítače \ Šablony pro správu \ Komponenty systému Windows \ Služby vzdálené plochy \ Hostitel relace vzdálené plochy \ Přesměrování zařízení a prostředků \ Nepovolovat přesměrování čtečky čipových karet]. Pokud je povoleno (Enabled), pak jej deaktivujte a restartujte počítač.
• Pokud máte nainstalovaný Windows 7 SP1 nebo Windows 2008 R2 SP1 a používáte RDC 8.1 pro připojení k počítačům se systémem Windows 8 a vyšším, musíte nainstalovat aktualizaci operačního systému https://support.microsoft.com/en -us/ kb / 2913751

Takové bylo řešení problémů s nastavením tokenu Jacarta, CryptoPRO na terminálovém serveru, pro podepisování dokumentů ve VTB24 DBO. Pokud máte nějaké připomínky nebo opravy, napište je do komentářů.

Popis problému. Pro práci s EGAIS se používá nosič JaCarta PKI / GOST / SE. Často je jedna ze sekcí uzamčena (sekce PKI). V tomto případě je další práce s EGAIS nemožná.

Důvod zablokování- časté volání univerzálního transportního modulu dopravci JaCarta. V případě deseti neúspěšných pokusů o autorizaci médium uzamkne oddíl a vyloučí další práci.

Problém lze vyřešit dvěma způsoby:

1. Obraťte se na certifikační úřad, který médium vydal.
2. Odemkněte média JaCarta sami podle pokynů.

Návod je založen na příkladu Microsoft Windows 10.

Pokyny krok za krokem, jak odemknout sekci PKI

Krok 1. Přepněte do administračního režimu

V nabídce Start najděte aplikaci JaCarta Unified Client a otevřete ji.

Rýže. 1. Jediný klient JaCarta

Otevře se pracovní plocha programu.

Rýže. 2. Přepněte do administračního režimu

Otevře se pracovní plocha programu. Pokud je sekce PKI uzamčena, karta PKI bude červená.

Rýže. 3. Informace o tokenu

Krok 2. Zkontrolujte zámek oddílu PKI

Chcete-li pochopit, že sekce PKI je skutečně uzamčena, klikněte na kartě „Informace o tokenu“ na odkaz „Úplné informace ...“.

Otevře se „Podrobnosti tokenu“. V novém okně najděte sekci "Informace o aplikaci PKI". Pokud je stav v řádku "PIN-kód" "Blokováno", zavřete okno a přejděte k dalšímu kroku instrukce.

Rýže. 4. Podrobné informace o tokenu

Krok 3. Odemkněte oddíl PKI

Přejděte na kartu PKI. V panelu „Operace s aplikací“ vyberte položku „Odblokovat PIN uživatele ...“.

Otevře se okno „Odemknout PIN uživatele“, ve kterém zadejte:

1. PIN aktuálního správce - ve výchozím nastavení 00000000;
2. PIN nového uživatele – standardně 11111111;
3. Potvrzení kódu (to znamená PIN-kód uživatele).

Rýže. 6. Odemknutí PIN uživatele

Po zadání kódů PIN klikněte na „Provést“.

Pokud je vše zadáno správně, zobrazí se upozornění. Dokončete kliknutím na tlačítko OK.

Rýže. 7. Oznámení o úspěšném odemknutí

Přejděte na kartu Informace o tokenu a kliknutím na odkaz Úplné informace zkontrolujte aktuální stav aplikace PKI. Stav musí být Installed.

Rýže. 8. Kontrola stavu

Pokud se stav změnil, odemknutí je dokončeno.