При запуске программы «1С:Предприятие» или в процессе настройки электронного документооборота пользователи часто сталкиваются с неожиданным всплывающим окном Windows: «Предупреждение системы безопасности». В тексте этого сообщения обычно говорится о том, что вы собираетесь установить сертификат от центра сертификации, утверждающего, что он представляет, например, ca.1c.ru. Программа предлагает подтвердить это действие, нажимая кнопки «Да» или «Нет».
В этой статье мы подробно разберем, почему возникает это окно, представляет ли оно реальную угрозу для вашего компьютера, для чего платформе 1С требуются эти сертификаты и как правильно настроить систему, чтобы предупреждение больше не появлялось.
Прежде всего важно понять, что данное окно генерирует не сама платформа «1С:Предприятие», а операционная система Windows. Таким образом срабатывает один из базовых механизмов защиты ОС.
Когда программа 1С пытается установить защищенное соединение с веб-сервисами или проверить электронную цифровую подпись (ЭЦП) на документах, ей требуются актуальные корневые сертификаты доверенных удостоверяющих центров. Если нужного сертификата нет в локальном системном хранилище Windows, 1С пытается инициировать его автоматическую установку.
Windows, обнаружив попытку внесения изменений в системное хранилище «Доверенные корневые центры сертификации», приостанавливает процесс и запрашивает явное согласие пользователя. Это делается для того, чтобы вредоносное ПО не могло скрытно установить поддельный корневой сертификат и перехватывать зашифрованный трафик компьютера.
Если вы уверены, что запрос исходит от легитимного приложения 1С, и в качестве издателя указан официальный ресурс фирмы «1С» (в частности, домен ca.1c.ru), такое действие является абсолютно безопасным. Фирма «1С» имеет собственный аккредитованный Удостоверяющий центр (ООО «НПЦ «1С»), который выпускает сертификаты для обеспечения безопасности экосистемы своих решений.
Давайте проанализируем, какие именно функции и сервисы 1С требуют наличия корневого сертификата УЦ «1С» в операционной системе:
Самый быстрый способ избавиться от предупреждения — просто согласиться с предложением системы в появившемся окне, нажав кнопку «Да». Однако автоматическая установка иногда дает сбой из-за ограничений прав учетной записи пользователя или настроек групповых политик безопасности. В таких ситуациях мы рекомендуем выполнить установку вручную.
Рассмотрим подробнее классический алгоритм ручной установки:
.cer или .crt).Если ваша база данных 1С работает в клиент-серверном варианте (под управлением сервера «1С:Предприятие»), то простая установка сертификата на рабочем месте пользователя может не решить проблему. Проанализируем, почему так происходит.
Многие регламентные задания, включая отправку отчетности, обмен с КЭДО и проверку подписей в ЭДО, выполняются непосредственно на стороне сервера приложений 1С. В этот момент фоновое задание запускается от имени специального системного пользователя Windows, под которым работает служба сервера 1С:Предприятие (как правило, это учетная запись USR1CV8).
Если корневой сертификат УЦ «1С» отсутствует в доверенном хранилище профиля этого системного пользователя на сервере, операции проверки будут завершаться с ошибками. Чтобы исправить это, системному администратору необходимо импортировать скачанный корневой сертификат в хранилище локального компьютера на самом сервере приложений 1С.
Для автоматизации этой задачи в корпоративных сетях мы можем воспользоваться утилитой командной строки Windows certutil. Рассмотрим пример команды для быстрого импорта сертификата в общесистемное хранилище доверенных корневых центров:
certutil -addstore -f "Root" "C:\Distr\ca1c.cer"
Запуск этой команды от имени администратора на сервере приложений 1С мгновенно добавит сертификат в список доверенных для всех учетных записей, включая службу USR1CV8, что решит проблему централизованно.
Помимо системного хранилища Windows, сама платформа «1С:Предприятие» использует внутренний список доверенных центров сертификации для осуществления исходящих HTTPS-соединений. Этот список поставляется вместе с платформой и располагается в специальном файле под названием cacert.pem, который находится в каталоге установки платформы (по умолчанию путь выглядит как C:\Program Files\1cv8\имя_версии_платформы\bin\conf\cacert.pem).
Если вы используете устаревшую версию платформы 1С или если сертификаты безопасности на серверах фирмы «1С» обновились, ваша программа может начать выдавать ошибку подключения: «Удаленный узел не прошел проверку». Это происходит потому, что встроенный файл cacert.pem больше не содержит актуальных данных о цепочке доверия.
Для решения этой проблемы мы можем пойти двумя путями:
Самый надежный способ — регулярное обновление технологической платформы до актуальных релизов, в состав которых разработчики фирмы «1С» своевременно включают все обновленные сертификаты и актуальный файл cacert.pem.
Если оперативно обновить платформу невозможно, мы можем вручную обновить содержимое этого файла. Для этого необходимо скачать актуальную версию файла cacert.pem с портала поддержки 1С и заменить им старый файл в папке bin\conf соответствующей версии платформы. Перед заменой обязательно сделайте резервную копию старого файла.
Также мы можем вручную добавить содержимое скачанного сертификата 1С (в формате Base-64 PEM) в конец существующего файла cacert.pem, открыв его с помощью любого текстового редактора (например, Блокнота) с правами администратора.
Подводя итог, можно утверждать, что появление окна с предупреждением безопасности при запуске 1С — это штатная ситуация. Выполнение описанных выше шагов по установке сертификатов позволит вам обеспечить стабильную и защищенную работу всех сервисов экосистемы 1С.