Переход на новые криптографические стандарты часто преподносит неприятные сюрпризы техническим специалистам и бухгалтерам. Одной из наиболее распространенных проблем при обновлении ключей электронной подписи стал переход со старого стандарта ГОСТ Р 34.10-2001 на актуальный ГОСТ Р 34.10-2012. Пользователи программных продуктов 1С:Зарплата и управление персоналом (ЗУП) и 1С:Зарплата и кадры государственного учреждения (ЗКГУ) регулярно сталкиваются с ошибками вида «Сертификат не зарегистрирован в системном хранилище сертификатов» или «Не удалось выгрузить сертификат» при попытке настроить прямое подключение к порталу ФСС (ныне СФР).
В рамках данной статьи мы подробно разберем, почему возникает эта ошибка, развеем популярные мифы о «несовместимости» различных тарифов коммерческих удостоверяющих центров (таких как Контур) и пошагово проанализируем процесс настройки рабочего места для бесперебойного обмена данными.
В процессе обсуждения проблемы на технических форумах часто встречается мнение, что для успешной работы обмена с ФСС необходим строго определенный, более дорогой тариф сертификата (например, «Квалифицированный классик» вместо «Оптимальный плюс»). На практике это является заблуждением. С точки зрения Федерального закона № 63-ФЗ «Об электронной подписи» и алгоритмов шифрования ГОСТ, оба этих сертификата абсолютно идентичны. Они представляют собой усиленную квалифицированную электронную подпись (КЭП).
«Решение» проблемы покупкой нового тарифа у провайдера обычно связано с тем, что при получении нового ключа пользователь производит его чистую установку с нуля, автоматически исправляя допущенные ранее ошибки настройки. Мы же разберем, как заставить работать уже имеющийся у вас рабочий сертификат без дополнительных финансовых затрат.
Самая частая причина появления ошибки «сертификат не зарегистрирован» заключается в том, что операционная система Windows не видит связи между установленным файлом сертификата (публичной частью с расширением .cer) и контейнером закрытого ключа, который физически находится на вашем защищенном носителе (токене Рутокен/Етокен) или в реестре компьютера.
Если вы просто дважды кликнули по файлу сертификата и импортировали его в хранилище «Личное», система не сможет использовать его для подписания документов в 1С. Давайте выполним правильную установку через криптопровайдер:
После проведения этой процедуры перезапустите сеанс 1С и проверьте подключение. Программа должна успешно увидеть и прочитать сертификат.
Если ваша база 1С:Предприятие развернута в клиент-серверном варианте (SQL), то процессы обмена с государственными органами и регламентные задания по СЭДО выполняются непосредственно на стороне сервера 1С, а не на вашем персональном компьютере.
Выясним причину сбоя: пользователь устанавливает личный сертификат в профиль своей учетной записи Windows. Однако серверная служба 1С работает под своей технической учетной записью (по умолчанию это USR1CV8 или локальная система SYSTEM). Сервер пытается подписать пакет данных, обращается к собственному системному хранилищу на сервере, не находит там ключа и возвращает ошибку выполнения операции.
Для решения этой проблемы мы можем пойти двумя путями:
Администрирование — Настройки электронной подписи и шифрования. На вкладке Программы откройте свойства вашей программы шифрования (КриптоПро) и снимите флажки Выполнять проверку подписей на сервере и Выполнять шифрование на сервере. После этого все криптографические операции будут производиться силами вашего локального ПК.USR1CV8 и установить туда сертификат страхователя вместе с закрытым ключом по алгоритму, описанному в Решении 1.Старые версии СКЗИ (средств криптографической защиты информации) не умеют полноценно работать со стандартами шифрования ГОСТ 2012. Если на рабочем месте установлена устаревшая версия программы, например, КриптоПро CSP 3.9 или ранние сборки КриптоПро CSP 4.0 (сборки ниже 9963), система будет выдавать ошибку при попытке инициализации криптопровайдера.
Выполним обновление программного обеспечения:
Настройки электронной подписи и шифрования и проверьте, чтобы в списке программ был зарегистрирован провайдер с типом КриптоПро CSP (ГОСТ 2012/256). Нажмите кнопку Проверить для подтверждения корректности работы всех модулей программы.Любой личный сертификат подписи признается операционной системой доверенным только в том случае, если на компьютере выстроена непрерывная цепочка доверия от вашего ключа до корневого центра Минцифры России. Для этой задачи можно использовать архив актуальных корневых и промежуточных сертификатов.
При смене стандартов шифрования на ГОСТ 2012 выпускающие удостоверяющие центры также обновили свои головные сертификаты. Если они отсутствуют на вашем ПК, операционная система пометит вашу подпись как недействительную.
Проанализируем цепочку и установим недостающие компоненты:
Для корректного прямого обмена 1С отправляет зашифрованные файлы, используя открытые ключи самого ведомства. Если в настройках вашей информационной базы указаны устаревшие технологические сертификаты ФСС, программа вернет ошибку выгрузки.
Выполним обновление сертификатов получателя:
Выполнение этих комплексных шагов гарантированно решает проблему некорректной регистрации подписи в системном хранилище и позволяет продолжить отправку регламентированной отчетности и обмен реестрами сведений в штатном режиме.