Очередной подарок на новый 2022 год от ФНС и ФСРАР теперь по ЭЦП и ГОСТ сертификатам : ЕГАИС в опте и рознице

Upd: Тулза работает с джакартами (и никому тепеь не нужными етокенами) через aladdin'овскую jcfs.dll. Она видит (и копирует) ключевой контейнер, если тот был создан, например, при установке сертификата из pfx даже если не выставлена галка, позволяющая делать ключи экспортируемыми. На джакарте, приехавшей из ФНС она не сработала - нет ни соответствующей структуры директорий, ни файлов, ни (что прек=скорбно) каких-либо ошибок, возвращаемых библиотекой. Ничего. Но криптопро все видит. Отсюда предположение что описанной либы уже мало и работать с токеном надо на более низком уровне - через инструкции APDU (а там черт ногу сломит, документации внятной устанешь искать)

И судя по всему на этом же уровне можно достучаться до содержимого рутокена

Чуть-чуть по теме с мисты

1. Я не геворил ни слова про "неизвлекаемость" - только про "неэкспортируемые" ключи
2. Специально для педантов брал этот термин в кавычки исходя из следующих соображений:
2.1 Когда ключевой контейнер генерируется через программный криптопровайдер (тот же криптопро), имеется возможность одним из флагов указать CRYPT_EXPORTABLE, дающий возможность дальнейшего экспорта закрытых ключей из контейнера.
2.2. В дальнейшем, сертификат, привязанный к такому контейнеру, можно экспортировать вместе с закрытыми ключами в тот же pfx файл (в общем виде, кажется, контейнер p12). Ну, или перегнать с токена в реестр, кому как больше нравися. Если этот флаг не ставить, у сертификата "пропадает" возможность экспорта закрытого ключа
2.3 Из п.2.2 становится поятно, что флаг имеет влияние исключительно на криптопровайдер. В ключевых контейнерах криптопро это вообще всего 1 бит - прописал его в нужном месте, контейнер (а вместе с ним и закрытый ключ и сертификат) стал экспортируемым
3. Так получилось, что по файловой системе токенов от аладдина (етокен, жакарта) можно гулять с использованием входяшей в состав дров дээлэлины jcfs.dll (ну или etsdk.dll) - про это можно найти 2 статьи на хабре, в них описаны скрипты для прогулок. Файлы ключевого контейнера достаточно легко сливаются на диск - получается копия "неэкспортируемого" контейнера. В случае криптопро - вообще 1-в-1, хоть в реестр запихивай, хоть на фрэшку, которую потом можно вставлять в нубук:). Единственное, скрипты не совсем удобны и требуют ряда условий для "жизни", поэтому и пришлось тулзу писать
3.1 Жакарта из ФНС (быда жакарта ЛТ, не PKI/ГОСТ как для егаиса), несмотря на то, что ключевой контейнер на ней сформирован и прекрасно видится в криптопро, отказалась раскрывать все свои тайны, в то время как если на обычную джакарту перенести средствами того же криптопро ключевой контейнер, он и видится, и копируется.
4. А вот с рутокеном такой финт ушами не катит. В состав дрой входит "аналог" jcfs.dll для этого токена - rtAPIlt.dll, но он либо абсолютно слеп к токену, если функции применять ровно по той же аналогии, что и к аладдиновским токенам, либо (что не исключено) порядок и(или) списоб (аргументы) их применения несколько другой, а про это хрен где узнаешь
5. Так же на хабре можно найти статьи про работу с токенами через APDU, но разбираться в этих дебрях слишком уж муторно. Но этот путь кажется универсальным ибо
5.1 как-то же криптопро читает и пишет контейнеры на токены
5.2 В состав дров рутокена входит rtAPI.dll а вней содержится широкий спектр функций, в названии которых как раз APDU упоминается

В общем, кому не лень, можете задаться целью и прокапать указанное направление

Вчера так и сделал - продлил на 15 месяцев... Конечно подписи потом нужны будут и для бухгалтера, т.е. директору всё равно летом 2022 ходить в ФНС, но не будет, обсуждаемых выше/ниже накладок с подписями ЕГАИС. Обновил УТМ до b.2470 - всё записалось без заморочек, т.ч. спокоен на обозримое будущее

Конечно, я испугался ненужных трудностей и последствий экспериментов над бизнесом, но сегодняшний диалог убедил меня в правильности данного решения, а так же в нём полезные рекомендации:

… ну операторы, как всегда отправляют на... ТП

Я всегда перед продлением ГОСТ форматирую рутокен, чтобы не было гемора.

когда делаешь продление удалённо на магах , форматирование не прокатывает.
Т.к. после форматирования не чем будет продление нового сертификата делать (

Ага. Я когда делаю сертификаты по обычной "бумажной" технологии, когда клиент(и я, как агент) подписываем обычной подписью заявление и потом печатную форму сертификата, всегда форматирую токен. А когда делаю "продление" безбумажный методом, то после записи нового сертификата, удаляю старый. До этого нельзя, иначе, будет нечем подписать. Хотя, и тут есть варианты - если у клиента есть ещё ЭЦП, кроме ЕГАИС, можно продлить с помо́щью нее. Тогда можно и отформатировать предварительно.

А подскажи, пожалуйста, КАК можно удалить старый?? с Рутокена 2,0
У меня не получается



(0,04Мб)

Через Панель управления, даже если вводишь пароль Администратора не даёт ...