Как установить рутокен на макбук
Электронная подпись на Mac
Электронная подпись (ЭП) работает на MacOS. Однако настроить программы для работы подписи в такой системе сложнее, чем на Windows. В статье разберем, как установить и использовать ЭП на макбуках и компьютерах Apple.
Где купить электронную подпись на Mac
Электронную подпись можно приобрести в удостоверяющем центре, аккредитованном Минцифры РФ. Уточните у сотрудников центра, подходит ли их подпись для работы на MacOS.
Вы можете проверить это и самостоятельно. На сайте УЦ обычно можно найти требования к рабочему месту пользователя. Обратите внимание не только на саму операционную систему, но и ее версию. Если ЭП работает только на Windows, или ваша версия MacOS устарела, возникнут проблемы. В этом случае лучше обновить систему.
Получите электронную подпись для MacOS в Удостоверяющем центре Контура. Оформите заявку, наш менеджер свяжется с вами, чтобы обсудить детали.
Что нужно для работы с КЭП на MacOS
Работать с электронной подписью не получится без программы КриптоПро CSP определенной версии. Как установить ее на компьютер, мы расскажем ниже.
Если вы планируете работать с подписью на носителе — безопаснее использовать токены, например, Рутокен лайт, Рутокен ЭЦП 2.0 или Джакарты LT и SE. Если в макбуке нет порта для USB, то нужен будет переходник для type c или токен с таким разъемом.
Также перед установкой подписи нужно скачать определенный браузер. Так как вы не сможете использовать подпись в Safari, браузере, стандартном для MacOS. Для электронной подписи подойдут, например, Google Chrome, Яндекс или Opera.
Если вы планируете работать на госпорталах, учитывайте, что зачастую будете сталкиваться со сложностями — не все системы умеют взаимодействовать с MacOS. Например, чтобы работать на сайте Налог.ру придется скачать браузер, поддерживающий алгоритмы ГОСТ— Chromium. А некоторые порталы и вовсе не будут принимать ЭП, которая установлена на MacOS.
Как установить сертификат электронной подписи на Mac OS
Установить контейнер с сертификатом ЭП на компьютер можно с помощью программы cptools. Чтобы начать копирование:
Еще один способ установки сертификата ЭП на компьютер — с помощью сервиса Установочный диск:
Работа с КриптоПро CSP в Mac OS
Если вы устанавливали электронную подпись на компьютер с помощью Установочного диска Контура, программа автоматически установила и необходимую версию КриптоПро. В этом случае вы можете сразу приступать к работе с подписью.
Если вы устанавливали сертификат ЭП самостоятельно, чтобы установить программу КриптоПро:
После установки программа может потребовать ввести лицензию. Для этого:
Теперь вы знаете, как работать с электронной подписью на Mac OS. Получить подходящую вам подпись можно в Удостоверяющем центре Контура. Оставьте заявку, мы свяжемся с вами, чтобы обсудить детали.
Драйверы для macOS
Если Рутокен используется в виртуальной среде Windows, запущенной на компьютере Mac через Parallels Desktop, VmWare Fusion или Oracle VirtualBox, то настраивать Рутокен в macOS не обязательно.
Обратите внимание
Рутокен для macOS
Поддержка KeyChain для macOS Mojave и более ранних
Драйверы для Рутокен Lite в современных операционных системах macOS не требуются. Пользователям операционной системы macOS 10.9 Mavericks и более ранних версий может потребоваться внести изменения в конфигурационный файл в соответствии с инструкцией.
Обратите внимание
Если Рутокен используется в виртуальной среде Windows, запущенной на компьютере Mac через Parallels Desktop, VmWare Fusion или Oracle VirtualBox, то настраивать Рутокен в macOS не обязательно.
Для быстрой настройки Рутокен Lite в macOS 10.9 Maverics или более ранних установите Модуль поддержки Связки Ключей (KeyChain)
Необходимо загрузить установочный файл, запустить его и следовать указаниям установщика. После завершения процесса установки необходимо подключить Рутокен в свободный USB-порт. Если для работы с Рутокен используется виртуальная ОС Microsoft Windows, запущенная на компьютере Mac, то устанавливать Драйверы Рутокен S для Mac не обязательно.
Обратите внимание
Если Рутокен используется в виртуальной среде Windows, запущенной на компьютере Mac через Parallels Desktop, VmWare Fusion или Oracle VirtualBox, то настраивать Рутокен в macOS не обязательно.
Как установить рутокен на макбук
Устройства семейства Рутокен Lite используются для безопасного хранения и предъявления персональной информации: ключей шифрования, сертификатов, лицензий, удостоверений и других данных.
Для работы с USB-токеном подключите его к USB-порту компьютера.
Чтобы проверить корректность работы Рутокен Lite в операционных системах macOS необходимо выполнить действия, указанные в данной инструкции.
Если вы используете для устройства стандартный PIN-код (12345678), то рекомендуется его изменить на более сложный.
Определение названия модели USB-токена
Первым делом подключите USB-токен к компьютеру.
Для определения названия модели USB-токена:
Проверка работы Рутокен Lite в системе
Для проверки работы Рутокен Lite:
Изменение PIN-кода Рутокен Lite
Перед запуском процесса смены PIN-кода устройства:
Для того чтобы загрузить установочный пакет OpenSC перейдите по указанной ссылке и выберите необходимую версию:
Для установки пакета OpenSC запустите программу установки пакета и следуйте инструкциям, отображающимся на экране.
Для того чтобы загрузить библиотеку PKCS#11 перейдите по указанной ссылке и выберите необходимую версию:
Для установки библиотеки PKCS#11 запустите программу установки библиотеки и следуйте инструкциям, отображающимся на экране.
Чтобы определить путь до библиотеки librtpkcs11ecp.dylib:
Нажмите клавишу Enter. В результате в окне Терминала отобразится путь до библиотеки librtpkcs11ecp.dylib.
Для изменения PIN-кода:
Решение проблем с Рутокен Lite в системе
Для начала определите версию операционной системы, которую вы используете. Для этого:
Если вы используете версию 10.7 и выше, то устройство семейства Рутокен Lite должно определяться системой автоматически. В таком случае проверьте корректно ли подключено устройство к компьютеру и снова повторите процедуру Проверка работы Рутокен Lite в системе.
Если вы используете версию ниже чем 10.7, то необходимо изменить конфигурационный файл и перезагрузить систему.
Будьте очень внимательны при работе с конфигурационным файлом Info.plist.
Для изменения конфигурационного файла:
Откройте конфигурационный файл. Для этого введите команду:
в массив ifdVendorID строку 0x0A89 ;
После этого снова проверьте работу устройства в системе, а именно повторите процедуру Проверка работы Рутокен Lite в системе.
Как установить рутокен на макбук
Устройства семейства Рутокен ЭЦП используются для безопасного хранения и предъявления персональной информации: ключей шифрования, сертификатов, лицензий, удостоверений и других данных.
Для работы с USB-токеном подключите его к USB-порту компьютера.
Для работы со смарт-картой вставьте ее в считыватель для смарт-карт и подключите считыватель к USB-порту компьютера.
Чтобы проверить корректность работы Рутокен ЭЦП в операционных системах macOS необходимо выполнить действия, указанные в данной инструкции.
Если вы используете для устройства стандартный PIN-код (12345678), то рекомендуется его изменить на более сложный.
Определение названия модели USB-токена
Если вы работаете со смарт-картой, то выполнять процедуру, описанную в этом разделе, не надо.
Для определения названия модели USB-токена:
Проверка корректности подключения считывателя для смарт-карт к компьютеру
Если вы работаете с USB-токеном, то выполнять процедуру, описанную в этом разделе, не надо.
Для проверки корректности подключения считывателя для смарт-карт к компьютеру:
Для считывателя в окне программы отобразится название модели считывателя и информация о нем.
Это означает, что считыватель для смарт-карт подключен корректно.
Определение названия модели смарт-карты
Если вы работаете с USB-токеном, то выполнять процедуру, описанную в этом разделе, не надо.
Перед запуском процесса определения названия модели смарт-карты:
Актуальная версия установочного пакета OpenSC доступна по ссылке:
Для установки пакета OpenSC:
Для того чтобы загрузить библиотеку PKCS#11 перейдите по указанной ссылке и выберите необходимую версию:
https://www.rutoken.ru/support/download/pkcs/
Для установки библиотеки PKCS#11:
Для того чтобы определить путь до библиотеки librtpkcs11ecp.dylib:
Нажмите Enter. В результате в окне Терминала отобразится путь до библиотеки librtpkcs11ecp.dylib.
Чтобы определить название модели смарт-карты введите команду:
A — путь до библиотеки librtpkcs11ecp.dylib.
В разделе token model отобразится название модели смарт-карты.
Проверка работы Рутокен ЭЦП в системе
Для проверки работы Рутокен ЭЦП:
В строке поиска введите слово «терминал» (terminal).
Откройте Терминал (Terminal).
Нажмите Enter и введите цифру «1».
Проверка наличия RSA сертификатов и ключевых пар RSA на Рутокен ЭЦП
Процесс проверки наличия RSA сертификатов изменился в операционной системе с версии 10.15.
В первом подразделе описан текущий процесс проверки, а во втором — тот, что был раньше.
Начиная с версии 10.15
Перед проверкой наличия RSA сертификатов и ключевых пар RSA на Рутокен ЭЦП загрузите и установите на компьютер специальное приложение для работы с RSA-сертификатами.
Для того чтобы загрузить это приложение перейдите по указанной ссылке:
Для установки приложения:
Для проверки наличия RSA сертификатов и ключевых пар RSA на Рутокен ЭЦП:
В результате в окне Терминала отобразится информация обо всех RSA-сертификатах и ключевых парах RSA, хранящихся на устройстве Рутокен ЭЦП.
До версии 10.15
Перед запуском процесса проверки наличия RSA сертификатов и ключевых пар RSA на Рутокен ЭЦП загрузите и установите на компьютер модуль поддержки Связка Ключей (KeyChain).
Для того чтобы загрузить данный модуль поддержки перейдите по указанной ссылке и выберите необходимую версию модуля:
Для установки модуля поддержки Связки Ключей (KeyChain) запустите программу установки модуля и следуйте инструкциям, отображающимся на экране.
После установки модуля перезагрузите систему.
Для проверки наличия RSA сертификатов и ключевых пар RSA на Рутокен ЭЦП:
Чтобы открыть RSA сертификат или ключевую пару RSA щелкните два раза по строке с именем необходимого объекта. В результате откроется окно с полной информацией о нем.
Для RSA сертификата: 
Для ключевой пары RSA: 
Если для Рутокен ЭЦП вы используете стандартный PIN-код (12345678), то следует его изменить на более сложный.
Проверка наличия ГОСТ сертификатов и ключевых пар ГОСТ на Рутокен ЭЦП
Для проверки наличия ГОСТ сертификатов и ключевых пар ГОСТ на Рутокен ЭЦП:
A — путь до библиотеки librtpkcs11ecp.dylib.
В результате в окне Терминала отобразится информация обо всех сертификатах, хранящихся на Рутокен ЭЦП.
Чтобы открыть сертификат или ключевую пару скопируйте ID необходимого объекта и введите команду:
A — путь до библиотеки librtpkcs11ecp.dylib.
B — ID сертификата.
В результате в окне Терминала отобразится полная информация об указанном объекте.
Чтобы скопировать сертификат в файл введите команду:
A — путь до библиотеки librtpkcs11ecp.dylib.
B — ID сертификата.
C — имя файла.
Изменение PIN-кода Рутокен ЭЦП
Перед запуском процесса смены PIN-кода устройства:
Для того чтобы загрузить установочный пакет OpenSC перейдите по указанной ссылке и выберите необходимую версию:
Для установки пакета OpenSC запустите программу установки пакета и следуйте инструкциям, отображающимся на экране.
Для того чтобы загрузить библиотеку PKCS#11 перейдите по указанной ссылке и выберите необходимую
версию:
https://www.rutoken.ru/support/download/pkcs/
Для установки библиотеки PKCS#11 запустите программу установки библиотеки и следуйте инструкциям, отображающимся на экране.
Для того чтобы определить путь до библиотеки librtpkcs11ecp.dylib:
Откройте Терминал (Terminal).
Нажмите Enter. В результате в окне Терминала отобразится путь до библиотеки librtpkcs11ecp.dylib.
Для изменения PIN-кода введите команду:
A — путь до библиотеки librtpkcs11ecp.dylib.
B — текущий PIN-код устройства.
C — новый PIN-код устройства.
В результате PIN-код устройства будет изменен.
Решение проблем с Рутокен ЭЦП в системе
Для начала определите версию операционной системы, которую вы используете. Для этого:
Если вы используете версию 10.7 и выше, то устройство семейства Рутокен ЭЦП должно определяться системой автоматически. В таком случае проверьте корректно ли подключено устройство к компьютеру и снова повторите процедуру Проверка работы Рутокен ЭЦП в системе.
Если вы используете версию ниже чем 10.7, то необходимо изменить конфигурационный файл и перезагрузить систему.
Будьте очень внимательны при работе с конфигурационным файлом info.plist
Для изменения конфигурационного файла:
Откройте конфигурационный файл. Для этого введите команду:
в массив ifdVendorID строку 0x0A89 ;
После этого снова проверьте работу устройства в системе, а именно повторите процедуру Проверка работы Рутокен ЭЦП в системе.
Квалифицированная электронная подпись под macOS
FYI. Статья написана в далеком 2019 году, но актуальна и на ноябрь 2021.
Каждый предприниматель и руководитель ООО пользуется электронной подписью. Помимо КЭП для ЕГАИС и облачных КЭП для сдачи отчетности, выдаваемых банками и бухгалтерскими сервисами, особый интерес представляют универсальные УКЭП на защищенных токенах. Такие сертификаты позволяют только логиниться на гос.порталы и подписывать любые документы, делая их юридически значимыми.
Благодаря сертификату КЭП на USB-токене можно удаленно заключить договор с контрагентом или дистанционным сотрудником, направить документы в суд; зарегистрировать онлайн-кассу, урегулировать задолженность по налогам и подать декларацию в личном кабинете на nalog.ru; узнать о задолженностях и предстоящих проверках на Госуслугах.
Представленный ниже мануал поможет работать с КЭП под macOS – без изучения форумов КриптоПро и установки виртуальной машины с Windows.
Что нужно для работы с КЭП под macOS:
Устанавливаем и настраиваем КЭП под macOS
Смена PIN-кода контейнера
Подпись файлов в macOS
Проверить подпись на документе
Вся информация ниже получена из авторитетных источников (КриптоПро #1, #2 и #3, Рутокен, Корус-Консалтинг, УФО Минкомсвязи), а скачивать ПО предлагается с доверенных сайтов. Автор является независимым консультантом и не связан ни с одной из упомянутых компаний. Следуя данной инструкции, всю ответственность за любые действия и последствия вы принимаете на себя.
Что нужно для работы с КЭП под macOS:
Поддержка eToken и JaCarta в связке с КриптоПро под macOS под вопросом. Носитель Рутокен Lite – оптимальный выбор, стоит недорого, шустро работает и позволяет хранить до 15 ключей.
Криптопровайдеры VipNet, Signal-COM и ЛИССИ в macOS не поддерживаются. Преобразовать контейнеры никак не получится. КриптоПро – оптимальный выбор, стоимость сертификата в себестоимости от 500= руб. Можно выпустить сертификат с встроенной лицензией на КриптоПро CSP, это удобно и выгодно. Если лицензия не зашита, то необходимо купить и активировать полноценную лицензию на КриптоПро CSP.
Обычно открытый сертификат хранится в контейнере закрытого ключа, но это нужно уточнить при выпуске КЭП и попросить сделать как нужно. Если не получается, то импортировать открытый ключ в закрытый контейнер можно самостоятельно средствами КриптоПро CSP под Windows.
Устанавливаем и настраиваем КЭП под macOS
1. Устанавливаем КриптоПро CSP
Регистрируемся на сайте КриптоПро и со страницы загрузок скачиваем и устанавливаем версию КриптоПро CSP 4.0 R4 для macOS – скачать.
2. Устанавливаем драйверы Рутокен
На сайте написано что это опционально, но лучше поставить. Со страницы загрузок на сайте Рутокен скачиваем и устанавливаем Модуль поддержки Связки Ключей (KeyChain) – скачать.
Далее подключаем usb-токен, запускаем terminal и выполняем команду:
В ответе должно быть:
Aktiv Rutoken…
Card present…
[ErrorCode: 0x00000000]
3. Устанавливаем сертификаты
3.1. Удаляем все старые ГОСТовские сертификаты
Если ранее были попытки запустить КЭП под macOS, то необходимо почистить все ранее установленные сертификаты. Данные команды в terminal удалят только сертификаты КриптоПро и не затронут обычные сертификаты из Keychain в macOS.
В ответе каждой команды должно быть:
No certificate matching the criteria
3.2. Устанавливаем корневые сертификаты
Корневые сертификаты являются общими для всех КЭП, выданных любым удостоверяющим центром. Скачиваем со страницы загрузок УФО Минкомсвязи:
Устанавливаем командами в terminal:
Каждая команда должна возвращать:
3.3. Скачиваем сертификаты удостоверяющего центра
Далее нужно установить сертификаты удостоверяющего центра, в котором вы выпускали КЭП. Обычно корневые сертификаты каждого УЦ находятся на его сайте в разделе загрузок.
Альтернативно, сертификаты любого УЦ можно скачать с сайта УФО Минкомсвязи. Для этого в форме поиска нужно найти УЦ по названию, перейти на страницу с сертификатами и скачать все действующие сертификаты – то есть те, у которых в поле ‘Действует’ вторая дата еще не наступила. Скачивать по ссылке из поля ‘Отпечаток’.
На примере УЦ Корус-Консалтинг: нужно скачать 4 сертификата со страницы загрузок:
Скачанные сертификаты УЦ устанавливаем командами из terminal:
/Downloads/ идут имена скачанных файлов, для каждого УЦ они будут свои.
Каждая команда должна возвращать:
3.4. Устанавливаем сертификат с Рутокен
Команда в terminal:
Команда должна вернуть:
3.5. Конфигурируем CryptoPro для работы ссертификатами ГОСТ Р 34.10-2012
Для корректной работы на nalog.ru с сертификатами, выдаваемыми с 2019 года, инструкция на сайте CryptoPro рекомендует:
Команды в terminal:
Команды ничего не возвращают.
4. Устанавливаем специальный браузер Chromium-GOST
Для работы с гос.порталами потребуется специальная сборка браузера сhromium – Chromium-GOST скачать.
Исходный код проекта открыт, ссылка на репозиторий на GitHub приводится на сайте КриптоПро. По опыту, другие браузеры CryptoFox и Яндекс.Браузер для работы с гос.порталами под macOS не годятся.
Скачиваем, устанавливаем копированием или drag&drop в каталог Applications. После установки принудительно закрываем Chromium-Gost командой из terminal и пока не открываем (работаем из Safari):
5. Устанавливаем расширения для браузера
5.1 КриптоПро ЭЦП Browser plug-in
Со страницы загрузок на сайте КриптоПро скачиваем и устанавливаем КриптоПро ЭЦП Browser plug-in версия 2.0 для пользователей – скачать.
5.2. Плагин для Госуслуг
Со страницы загрузок на портале Госуслуг скачиваем и устанавливаем Плагин для работы с порталом государственных услуг (версия для macOS) – скачать.
5.3. Настраиваем плагин для Госуслуг
Скачиваем корректный конфигурационный файл для расширения Госуслуг для поддержки macOS и новых ЭЦП в стандарте ГОСТ2012 – скачать.
Выполняем команды в terminal:
5.4. Активируем расширения
Запускаем браузер Chromium-Gost и в адресной строке набираем:
Включаем оба установленных расширения:
5.5. Настраиваем расширение КриптоПро ЭЦП Browser plug-in
В адресной строке Chromium-Gost набираем:
На появившейся странице в список доверенных узлов по-очереди добавляем сайты:
Жмем “Сохранить”. Должна появиться зеленая плашка:
Список доверенных узлов успешно сохранен.
6. Проверяем что все работает
6.1. Заходим на тестовую страницу КриптоПро
В адресной строке Chromium-Gost набираем:
Должно выводиться “Плагин загружен”, а в списке ниже присутствовать ваш сертификат.
Выбираем сертификат из списка и жмем “Подписать”. Будет запрошен PIN-код сертификата. В итоге должно отобразиться
6.2. Заходим в Личный Кабинет на nalog.ru
По ссылкам с сайта nalog.ru зайти может не получиться, т.к. не будут пройдены проверки. Заходить нужно по прямым ссылкам:
6.3. Заходим на Госуслуги
При авторизации выбираем «Вход с помощью электронной подписи». В появившемся списке «Выбор сертификата ключа проверки электронной подписи» будут отображены все сертификаты, включая корневые и УЦ, нужно выбрать ваш с usb-токена и ввести PIN.
7. Что делать, если перестало работать
Переподключаем usb-токен и проверяем что он виден с помощью команды в terminal:
Очищаем кеш браузера за все время, для чего в адресной строке Chromium-Gost набираем:
Переустанавливаем сертификат КЭП с помощью команды в terminal:
Если команды Cryptopro не отрабатывают (csptest и csptestf превратились в corrupted) – нужно переустановить Cryptopro.
Смена PIN-кода контейнера
Пользовательский PIN-код на Рутокен по-умолчанию 12345678, и оставлять его в таком виде никак нельзя. Требования к PIN-коду Рутокен: 16 символов max., может содержать латинские буквы и цифры.
1. Выясняем название контейнера КЭП
На usb-токене и в других хранилищах может храниться несколько сертификатов, и нужно выбрать правильный. При вставленном usb-токене получаем список всех контейнеров в системе командой в terminal:
Команда должна вывести минимум 1 контейнер и вернуть
Нужный нам контейнер имеет вид
Если таких контейнеров выводится несколько – значит значит на токене записано несколько сертификатов, и вы в курсе какой именно вам нужен. Значение XXXXXXXX после слэша нужно скопировать и подставить в команду ниже.
2. Смена PIN командой из terminal
где XXXXXXXX – название контейнера, полученное на шаге 1 (обязательно в кавычках).
Появится диалог КриптоПро с запросом старого PIN-кода для доступа к сертификату, затем еще один диалог для ввода нового PIN-кода. Готово.
Подпись файлов в macOS
В macOS файлы можно подписывать в ПО КриптоАрм (стоимость лицензии 2500= руб.), или несложной командой через terminal – бесплатно.
1. Выясняем хэш сертификата КЭП
На токене и в других хранилищах может быть несколько сертификатов. Нужно однозначно идентифицировать тот, которым будем впредь подписывать документы. Делается один раз.
Токен должен быть вставлен. Получаем список сертификатов в хранилищах командой из terminal:
Команда должна вывести минимум 1 сертификат вида:
Certmgr 1.1 © «Crypto-Pro», 2007-2018.
program for managing certificates, CRLs and stores
= = = = = = = = = = = = = = = = = = = =
1——-
Issuer: E=help@esphere.ru,… CN=ООО КОРУС Консалтинг СНГ…
Subject: E=sergzah@gmail.com,… CN=Захаров Сергей Анатольевич…
Serial: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
.
Container: SCARD\rutoken_lt_00000000\0000\0000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]
2. Подпись файла командой из terminal
В terminal переходим в каталог с файлом для подписания и выполняем команду:
где ХХХХ. – хэш сертификата, полученный на шаге 1, а FILE – имя файла для подписания (со всеми расширениями, но без пути).
Команда должна вернуть:
Signed message is created.
[ErrorCode: 0x00000000]
Будет создан файл электронной подписи с расширением *.sgn – это отсоединенная подпись в формате CMS с кодировкой DER.
3. Установка Apple Automator Script
Чтобы каждый раз не работать с терминалом, можно один раз установить Automator Script, с помощью которого подписывать документы можно будет из контекстного меню Finder. Для этого скачиваем архив – скачать.
Окно Apple Automator:
System Preferences:
