Wystąpił błąd Dżakarty podczas odczytywania listy obiektów. Egais nie działa: partycja pki zablokowana

Nośnik Jacarta PKI/GOST jest blokowany przez wielokrotne próby wprowadzenia nieprawidłowego kodu PIN. W takim przypadku połączenie z serwerem FSRAR zostaje utracone, a dane do faktury nie są przesyłane do Państwa System księgowy. Jak szybko odblokować klucz i przywrócić pracę z EGAIS?

Domyślnie na wszystkich nowych nośnikach ustawione są następujące hasła:

Aby odblokować komputer, musi być zainstalowany program Jacarta Unified Client. Jeśli konfiguracja i instalacja EGAIS została przeprowadzona przez naszych specjalistów, to masz już ten program.

Uruchom program i poczekaj, aż w oknie Unified Client pojawią się informacje o nośniku Jacarta PKI/GOST.

Odblokuj GOST

Sekcja GOST zawiera certyfikat QEP wydany przez urząd certyfikacji. bądź ostrożny- nie można usunąć żadnych komponentów z tej sekcji. Po usunięciu będziesz musiał ponownie wystąpić do urzędu certyfikacji o wydanie klucza.

Aby odblokować kod PIN GOST, w górnym menu „Operacje aplikacji” wybierz pierwszą pozycję „Odblokuj kod PIN użytkownika”. Na ekranie pojawi się powiadomienie, że odblokowanie zresetuje licznik błędnych prób wprowadzenia.

Kliknij „OK” iw nowo otwartym oknie wpisz kod PIN administratora Jacarta GOST 1234567890. Po zresetowaniu licznika błędów wprowadź standardowy kod PIN użytkownika GOST 0987654321.

Ważne: ta procedura pomoże tylko zresetować licznik, ale nie zmieni Zapomniane hasło na nowy. Jeśli zmieniłeś domyślne hasło GOST i zapomniałeś je, będziesz musiał zainicjować i ponownie wpisać klucz w centrum certyfikacji.

Odblokuj PKI

Kontener PKI zawiera klucz RSA, który jest generowany w konto osobiste witryna egais.ru. W przypadku utraty kodu PIN, tę sekcję można zainicjować (całkowicie wyczyścić), ponieważ możesz przepisać klucz samodzielnie i za darmo, bez kontaktowania się z urzędem certyfikacji.

Dobry dzień!. Ostatnie dwa dni miałem ciekawe zadanie znalezienia rozwiązania takiej sytuacji, czy jest to fizyczne czy… wirtualny serwer, prawdopodobnie ma na nim zainstalowany dobrze znany CryptoPRO. Połączono z serwerem , który służy do podpisywania dokumentów dla VTB24 DBO. Lokalnie na Windows 10 wszystko działa, ale na serwerze Platforma Windows Serwer 2016 i 2012 R2, Cryptopro nie widzi klucza JaCarta. Zastanówmy się, na czym polega problem i jak go naprawić.

Opis środowiska

Istnieje maszyna wirtualna VMware ESXi 6,5, jak system operacyjny zainstalowany system Windows Server 2012 R2. Na serwerze działa CryptoPRO 4.0.9944, obecnie najnowsza wersja. Z sieci rozdzielacz USB, korzystając z technologii USB over ip, podłączony jest klucz sprzętowy JaCarta. Klucz w systemie widzi, ale nie w CryptoPRO.

Algorytm rozwiązywania problemów z JaCarta

CryptoPRO bardzo często powoduje różne błędy w systemie Windows, prosty przykład (nie można było uzyskać dostępu do usługi instalatora systemu Windows). Tak wygląda sytuacja, gdy narzędzie CryptoPRO nie widzi certyfikatu w kontenerze.

Jak widać w narzędziu Menedżer UTN, klucz jest podłączony, widać go w systemie w kartach inteligentnych w Microsoft Urządzenia Usbccid (WUDF), ale CryptoPRO, ten kontener nie wykrywa i nie masz możliwości zainstalowania certyfikatu. Lokalnie token był podłączony, wszystko było tak samo. Zaczął myśleć, co robić.

Możliwe przyczyny z definicją kontenera

1. Po pierwsze, jest to problem ze sterownikiem, na przykład w systemie Windows Server 2012 R2, JaCarta powinna być wymieniona jako JaCarta Usbccid Smartcard na liście kart inteligentnych, a nie Microsoft Usbccid (WUDF)
2. Po drugie, jeśli urządzenie jest widziane jako Microsoft Usbccid (WUDF), to wersja sterownika może być nieaktualna, przez co narzędzia nie wykryją chronionego dysku USB.
3. Starsza wersja CryptoPRO

Jak rozwiązać problem polegający na tym, że cryptopro nie widzi klucza USB?

Stworzyliśmy nową maszynę wirtualną i zaczęliśmy kolejno instalować oprogramowanie.

Przed zainstalowaniem jakichkolwiek oprogramowanie praca z nośnikami USB zawierającymi certyfikaty i klucze prywatne. Potrzebować KONIECZNIE wyłącz token, jeśli utknął lokalnie, wyłącz go, jeśli przez sieć, przerwij sesję

• Przede wszystkim aktualizujemy Twój system operacyjny wszystkimi dostępnymi aktualizacjami, ponieważ Microsoft naprawia wiele błędów i błędów, w tym sterowniki.
• Po drugie, w przypadku serwera fizycznego, zainstaluj wszystkie najnowsze sterowniki na płycie głównej i to wszystko. urządzenia peryferyjne.
• Następnie zainstaluj ujednoliconego klienta JaCarta.
• Zainstaluj najnowszą wersję CryptoPRO

Instalowanie pojedynczego klienta JaCarta PKI

Pojedynczy klient JaCarta- to specjalne narzędzie od firmy Aladdin, za poprawną pracę z tokenami JaCarta. Pobierz najnowszą podaną wersję Produkt oprogramowania, możesz z oficjalnej strony lub z mojej chmury, jeśli nagle nie działa ze strony producenta.

Następnie rozpakowujesz powstałe archiwum i uruchamiasz plik instalacyjny, dla mojej architektury Windows mam 64-bitową. Zacznijmy instalować sterownik Jacarta. Pojedynczy klient Jacarta, bardzo łatwy w instalacji (PAMIĘTAJ, że token w momencie instalacji musi być wyłączony). W pierwszym oknie kreatora instalacji wystarczy kliknąć Dalej.

Akceptujemy umowa licencyjna i kliknij "Dalej"

Aby sterowniki tokenów JaCarta działały poprawnie, wystarczy wykonać standardową instalację.

Jeśli wybierzesz opcję „Instalacja niestandardowa”, pamiętaj o zaznaczeniu pól:

• Kierowcy
• Moduły wsparcia
• Moduł wsparcia dla CryptoPRO

Po kilku sekundach ujednolicony klient Jacarta zostanie pomyślnie zainstalowany.

Pamiętaj, aby ponownie uruchomić serwer lub komputer, aby system widział najnowsze sterowniki.

Po zainstalowaniu JaCarta PKI, musisz zainstalować CryptoPRO, w tym celu przejdź do oficjalnej strony internetowej.

https://www.cryptopro.ru/downloads

W tej chwili najbardziej Ostatnia wersja CSP CryptoPro 4.0.9944. Uruchom instalator, zaznacz „Zainstaluj certyfikaty główne” i kliknij „Zainstaluj (zalecane)”

Instalacja CryptoPRO zostanie wykonana w tło, po czym zobaczysz sugestię ponownego uruchomienia przeglądarki, ale radzę całkowicie zrestartować.

Po ponownym uruchomieniu podłącz token USB JaCarta. Mam połączenie sieciowe z urządzenia DIGI przez . W kliencie Anywhere View mój dysk Jacarta USB został pomyślnie zdefiniowany, ale jako Microsoft Usbccid (WUDF), a najlepiej powinien być zdefiniowany jako JaCarta Usbccid Smartcard, ale i tak musisz to sprawdzić, ponieważ wszystko może tak działać.

Podczas otwierania narzędzia „Jacarta PKI Unified Client” podłączony token nie został znaleziony, co oznacza, że ​​coś jest nie tak ze sterownikami.

Microsoft Usbccid (WUDF) jest standardowy sterownik Microsoft, który jest domyślnie instalowany na różnych tokenach i zdarza się, że wszystko działa, ale nie zawsze. Sala operacyjna system Windows domyślnie pamięta je ze względu na swoją architekturę i ustawienia, dla mnie osobiście w ten moment to nie jest konieczne. Musimy odinstalować sterowniki Microsoft Usbccid (WUDF) i zainstalować sterowniki nośnika Jacarta.

Otwórz dyspozytora Urządzenia z systemem Windows, znajdź „Czytniki kart inteligentnych”, kliknij Microsoft Usbccid (WUDF) i wybierz „Właściwości”. Kliknij kartę Sterowniki i kliknij Odinstaluj

Zgadzam się na usunięcie sterownika Microsoft Usbccid (WUDF).

Zostaniesz powiadomiony, że aby zmiany zaczęły obowiązywać, musisz ponownie uruchomić system, upewnij się, że się zgadzasz.

Po ponownym uruchomieniu systemu widać instalację urządzenia i sterowników ARDS Jacarta.

Otwórz menedżera urządzeń, powinieneś zobaczyć, że twoje urządzenie jest teraz zdefiniowane jako JaCarta Usbccid Smartcar, a jeśli przejdziesz do jego właściwości, zobaczysz, że karta inteligentna jacarta używa teraz sterownika w wersji 6.1.7601 od ALADDIN RDZAO, tak jak powinno być .

Jeśli otworzysz pojedynczego klienta Jacarta, zobaczysz swój podpis elektroniczny, oznacza to, że karta inteligentna została wykryta normalnie.

Otwieramy CryptoPRO i widzimy, że cryptopro nie widzi certyfikatu w kontenerze, chociaż wszystkie sterowniki są zdefiniowane zgodnie z potrzebami. Jest jeszcze jedna funkcja.

1. W sesji RDP nie zobaczysz swojego tokena, tylko lokalnie, tak działa token, lub nie znalazłem jak to naprawić. Możesz wypróbować sugestie rozwiązania błędu „Nie można połączyć się z usługą zarządzania kartami inteligentnymi”.
2. Musisz odznaczyć jedno pole wyboru w CryptoPRO

MUSISZ odznaczyć „Nie używaj przestarzałych zestawów szyfrów” i ponowne uruchomienie.

Po tych manipulacjach CryptoPRO zobaczył mój certyfikat, a karta inteligentna jacarta zaczęła działać, możesz podpisywać dokumenty.

Możesz również zobaczyć swoje urządzenie JaCarta w Urządzeniach i drukarkach,

Jeśli tak jak ja masz zainstalowany token jacarta w maszynie wirtualnej, to będziesz musiał zainstalować certyfikat za pomocą konsoli maszyna wirtualna, a także przyznać do niego prawa osobie odpowiedzialnej. Jeśli jest to serwer fizyczny, będziesz musiał nadać uprawnienia do portu kontrolnego, który ma również konsolę wirtualną.

Po zainstalowaniu wszystkich sterowników tokenów Jacarta podczas łączenia za pośrednictwem protokołu RDP i otwierania narzędzia Jacarta PKI Unified Client może pojawić się następujący komunikat o błędzie:

1. Usługa kart inteligentnych nie działa na komputerze lokalnym. Architektura sesji RDP firmy Microsoft nie przewiduje użycia nosiciele kluczy podłączony do komputera zdalnego, więc w sesji RDP komputer zdalny korzysta z usługi kart inteligentnych komputera lokalnego. Wynika z tego, że uruchomienie usługi kart inteligentnych w sesji RDP nie wystarcza do normalnego działania.
2. Usługa zarządzania kartami inteligentnymi włączona lokalny komputer uruchomiona, ale niedostępna dla programu w ramach sesji RDP z powodu Ustawienia systemu Windows i/lub klient RDP.\

Jak naprawić błąd „Nie można połączyć się z usługą zarządzania kartami inteligentnymi”.

• Uruchom usługę karty inteligentnej na komputerze lokalnym, z którym inicjujesz sesję zdalny dostęp. Przystosować automatyczny start przy starcie komputera.
• Zezwalaj na korzystanie z lokalnych urządzeń i zasobów podczas sesji zdalnej (w szczególności kart inteligentnych). Aby to zrobić, w oknie dialogowym Podłączanie pulpitu zdalnego wybierz w ustawieniach zakładkę „Zasoby lokalne”, następnie w grupie „Urządzenia i zasoby lokalne” kliknij przycisk „Szczegóły...” i w oknie otworzy się, wybierz element "Karty inteligentne" i kliknij "OK", a następnie "Połącz".

• Upewnij się, że ustawienia połączenia RDP zostały zapisane. Domyślnie są one zapisywane w pliku Default.rdp w katalogu Moje dokumenty. ten plik była linia "przekieruj karty inteligentne: i: 1".
• Upewnij się, że włączone komputer zdalny z którym nawiązujesz połączenie RDP nie jest aktywne Zasady grupy
  -[Konfiguracja komputera\Szablony administracyjne\Składniki systemu Windows\Usługi pulpitu zdalnego\Host sesji usług pulpitu zdalnego\Przekierowanie urządzeń i zasobów\Nie zezwalaj na przekierowywanie czytnika kart inteligentnych]. Jeśli jest włączony (Włączony), wyłącz go i uruchom ponownie komputer.
• Jeśli masz zainstalowany system Windows 7 SP1 lub Windows 2008 R2 SP1 i używasz usługi RDC 8.1 do łączenia się z uruchomionymi komputerami Kontrola systemu Windows 8 i wyżej, musisz zainstalować aktualizację dla systemu operacyjnego https://support.microsoft.com/en-us/kb/2913751

Oto takie rozwiązywanie problemów związanych z konfiguracją tokena Jacarta, CryptoPRO na serwerze terminalowym, do podpisywania dokumentów w VTB24 RBS. Jeśli masz uwagi lub poprawki, napisz je w komentarzach.

Wszystkie funkcje z implementacji standardu PKCS#11 zwracają różne kody błędów. Wszystkie zwracane kody błędów są podzielone na dwie duże grupy:

Wszystkie funkcje z implementacji standardu PKCS#11 zwracają specjalne kody błędów (zdefiniowane przez producenta).

Wszystkie funkcje z implementacji standardowego rozszerzenia PKCS#11 zwracają specjalne kody błędów (zdefiniowane przez producenta).

Standardowe kody błędów

Ze względu na implementację bibliotek rtPKCS11 i rtPKCS11ECP niektóre standardowe funkcje może zwrócić standardowy kod błędu PKCS#11, którego nie ma na liście prawidłowych kodów dla tej funkcji. Ta sytuacja jest wyjątkiem. Standardowe kody błędów zwracane przez każdą funkcję w wyjątkowych sytuacjach są wymienione w opisie dla każdej funkcji osobno.

Tabela 2.29 zawiera standardowe kody błędów PKCS#11 i ich opisy obsługiwane przez urządzenia Rutoken. Szczegółowe informacje na temat każdego kodu błędu można znaleźć w normie ( język angielski) lub aplikacji (język rosyjski).

Tabela2.29 . Standardowe kody błędów

Specjalne kody błędów

Tabela 2.30 zawiera wszystkie rozszerzone kody błędów PKCS #11 wraz z ich opisami. Rozszerzone kody błędów mogą zwracać zarówno funkcje standardowe, jak i funkcje rozszerzające.

Tabela 2.30. Standardowe kody błędówPKCS #11 obsługiwany przez urządzenia Rutoken

Opis problemu. Do pracy z EGAIS używany jest nośnik JaCarta PKI / GOST / SE. Często jedna z partycji jest zablokowana (partycja PKI). W takim przypadku dalsza praca z EGAIS jest niemożliwa.

Powód zablokowania– częsty dostęp uniwersalnego modułu transportowego do nośnika JaCarta. Po dziesięciu nieudanych próbach autoryzacji nośnik blokuje partycję i wyklucza dalszą pracę.

Problem można rozwiązać na dwa sposoby:

1. Skontaktuj się z urzędem certyfikacji, który wydał nośnik.
2. Odblokuj nośnik JaCarta samodzielnie zgodnie z instrukcją.

Przykładowa instrukcja Microsoft Windows 10.

Instrukcje krok po kroku, jak odblokować partycję PKI

Krok 1: Przełączanie na tryb administratora

W menu Start znajdź aplikację JaCarta Unified Client i otwórz ją.

Ryż. 1. Pojedynczy klient JaCarta

Otworzy się obszar roboczy programu.

Ryż. 2. Przełącz na tryb administracyjny

Otworzy się obszar roboczy programu. Jeśli sekcja PKI jest zablokowana, zakładka PKI będzie czerwona.

Ryż. 3. Informacje o tokenie

Krok 2: Sprawdzenie blokady PKI na partycji

Aby zrozumieć, że sekcja PKI jest rzeczywiście zablokowana, kliknij kartę „Informacje o tokenie” na łączu „ Pełna informacja…».

Otwiera " dokładna informacja o tokenie. W nowym oknie znajdź sekcję „Informacje o aplikacji PKI”. Jeżeli status w wierszu „Kod PIN” to „Zablokowany”, zamknij okno i przejdź do następnego akapitu instrukcji.

Ryż. 4. Szczegółowe informacje o tokenie

Krok 3: Odblokuj partycję PKI

Przejdź do zakładki „PKI”. W panelu Akcje aplikacji wybierz opcję Odblokuj kod PIN użytkownika....

Otworzy się okno „Odblokowanie PINem użytkownika”, w którym możesz określić:

1. Aktualny kod PIN administratora to domyślnie 00000000;
2. Nowy kod PIN użytkownika to domyślnie 11111111;
3. Potwierdzenie kodu (oznaczającego kod PIN użytkownika).

Ryż. 6. Odblokowanie kodu PIN użytkownika

Po określeniu kodów PIN kliknij „Uruchom”.

Jeśli wszystko zostanie wpisane poprawnie, pojawi się powiadomienie. Kliknij „OK”, aby zakończyć.

Ryż. 7. Powiadomienie o pomyślnym odblokowaniu

Przejdź do zakładki „Informacje o tokenie” i kliknij łącze „Pełne informacje”, aby sprawdzić aktualny stan aplikacji PKI. Status powinien być „Zainstalowany”.

Ryż. 8. Sprawdzenie statusu

Jeśli status się zmienił, odblokowanie jest zakończone.