Крипто-Про на сервере

В целом менее надёжный и удобный вариант чем использование экспортированного ключа, но иногда бывает так что сделать это затруднительно.

Для полноценной работы необходимо добавить три хука

{toc}

h1. Установка крипто-про

[Инструкция по установке и использованию на сайте altlinux|http://www.altlinux.org/КриптоПро], может не быть совместимой с CentOS на 100%.

На самом деле там много полезной информации помимо установки.

Часть её будет продублирована здесь:

Архив с программным обеспечением (КриптоПро CSP 3.6 R3) можно [загрузить|http://www.cryptopro.ru/downloads] после [предварительной регистрации|http://www.cryptopro.ru/products/csp/overview]:


Скачиваем linux-amd64.zip (9,1 МБ, для x86_64), далее, уже на сервере:

{code}
yum -y install unzip lsb pcsc-lite pcsc-lite-devel pcsc-lite-libs ccid
unzip linux-amd64.zip
yum -y install lsb-cprocsp* cprocsp*
{code}

Установить Драйвер с [http://www.rutoken.ru/support/download/drivers-for-nix/]
в нашем случае "Драйвер Рутокен S для GNU/Linux RPM для 64-bit (x64)"
{code}
ifd-rutokens
{code}

Добавить бинарники в PATH
{code}
export PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
{code}

Зарегистрировать копию КриптоПро
{code}
#cpconfig -license -view
#cpconfig -license -set <license key>
#cpconfig -license -view
{code}

Перезагрузиться

Подключить ключ к серверу

Проверить наличие считывателя
{code}
#list_pcsc
available reader: Aktiv Co. Rutoken S 00 00
{code}

Проверить что находится в списке настроенных считывателей
{code}
#cpconfig -hardware reader -view

Nick name: Aktiv Co. Rutoken S 00 00
Connect name:
Reader name: All PC/SC readers

Nick name: FLASH
Connect name:
Reader name: FLASH

Nick name: HDIMAGE
Connect name:
Reader name:
{code}

Проверить что ключ подключен и читается
{code}
#csptest -keyset -enum_cont -verifycontext -fqcn

SP (Type:75) v3.6.5364 KC1 Release Ver:3.6.7491 OS:Linux CPU:AMD64 FastCode:READY:AVX.
AcquireContext: OK. HCRYPTPROV: 22396611
\\.\Aktiv Co. Rutoken S 00 00\<UUID>
OK.
Total:
[ErrorCode: 0x00000000]
{code}

Установить сертификат из контейнера
{code}
#certmgr -inst -cont '\\.\Aktiv Co. Rutoken S 00 00\<UUID>'
{code}

Проверить что сертификат импортирован
{code}
#certmgr --list
{code}

h2. Выгрузка

rkn_download.sh

{code}
#!/bin/bash

prepare_request() {
PIN=ВАШ_ПИНКОД
KEY=СТРОКА_ПОИСКА_КЛЮЧА # например email
REQUEST=$SSLDIR/php/request.xml
SIGN=$REQUEST.sign

chroot $CHROOTDIR /bin/gen_request.sh || return 1
/opt/cprocsp/bin/amd64/cryptcp -sign -dn $KEY -der -pin $PIN -nochain $REQUEST $SIGN || return 2
}
{code}

h2. Диагностика

diagnostic.sh
{code}
#!/bin/bash

# проверка актуальности сертификата
check_cert_date() {
date_human="$(/opt/cprocsp/bin/amd64/certmgr -list | grep 'Not valid after' | sed -e 's/.*: //')"
read ddmmyyyy time mod <<< "$date_human"
IFS=/ read dd mm yyyy <<< "$ddmmyyyy"
date_finish_utc="$(date +%s --date "$yyyy-$mm-$dd $time $mod")"
days_before_finish=$(( ($date_finish_utc - $(date +%s))/ 86400 ))
echo -n " $days_before_finish дней"
[ "$days_before_finish" -gt '14' ]
}

# заглушки, т.к. файла ключа нет
check_cert() {
return 0
}

check_key_in_cert() {
return 0
}
{code}

h2. Получение информации о сертификате

show_stat.sh
{code}
cert_date() {
date_human="$(/opt/cprocsp/bin/amd64/certmgr -list | grep 'Not valid after' | sed -e 's/.*: //')"
read ddmmyyyy time mod <<< "$date_human"
IFS=/ read dd mm yyyy <<< "$ddmmyyyy"
date_finish_utc="$(date +%s --date "$yyyy-$mm-$dd $time $mod")"
days_before_finish=$(( ($date_finish_utc - $(date +%s))/ 86400 ))
echo "$days_before_finish"
}
{code}