Как перейти с серверной версии КриптоПро на бесплатный ViPNet CSP в 1С?

Переход с одного криптопровайдера на другой, особенно на серверном оборудовании, часто сопровождается техническими сложностями. Ситуация осложняется, когда работа ведется в терминальном режиме (RDP), а информационная база 1С активно использует функционал ЭДО и взаимодействие с ГИС МТ «Честный знак». Разберем подробно, почему возникает зависимость от серверной лицензии КриптоПро и как грамотно организовать миграцию на ViPNet CSP без потери работоспособности системы.

Анализ проблемы: почему клиентские лицензии не спасают на сервере

Проанализируем типичную ситуацию: на сервере установлена КриптоПро CSP, срок действия серверной лицензии которой истек. При этом у пользователей на локальных машинах установлены действующие клиентские лицензии. Казалось бы, 1С должна использовать локальные ресурсы, но при работе через удаленный рабочий стол (RDP) этого не происходит.

Выясним причину: когда пользователь запускает 1С внутри RDP-сессии, программа ищет установленный криптопровайдер непосредственно в операционной системе сервера, а не на локальном ПК пользователя. Если на сервере стоит КриптоПро, она требует серверную лицензию, так как обнаруживает запущенную службу терминалов (Remote Desktop Services). Удаление КриптоПро с сервера приводит к тому, что 1С вообще перестает видеть возможность работы с электронной подписью, выдавая ошибки инициализации. Посмотрим на алгоритм решения этой задачи.

Шаг 1. Полная очистка сервера от следов КриптоПро

Прежде чем устанавливать новый криптопровайдер, необходимо максимально чисто удалить предыдущий. Обычного удаления через «Панель управления» часто бывает недостаточно, так как программа оставляет записи в реестре и драйверы, которые могут конфликтовать с ViPNet CSP.

Рассмотрим последовательность действий по глубокой очистке:

1. Удалим программу стандартным способом через «Программы и компоненты».
2. Воспользуемся специализированной утилитой cspclean. Она разработана производителем для удаления всех «хвостов». Запускать её следует строго от имени администратора.
3. Выполним ручную проверку реестра. Проанализируем следующие ветки и удалим их, если они остались:
   • HKEY_LOCAL_MACHINE\SOFTWARE\Crypto Pro
   • HKEY_CURRENT_USER\Software\Crypto Pro
4. Перезагрузим сервер. Это критически важно для выгрузки драйверов из оперативной памяти.

Шаг 2. Установка и настройка ViPNet CSP

ViPNet CSP является бесплатным программным продуктом для ОС Windows, однако он требует обязательной регистрации. Разберем, как правильно настроить его для работы с 1С на сервере.

После установки программы проанализируем настройки совместимости. В окне настроек ViPNet CSP существует важный параметр «Поддержка работы через Microsoft CryptoAPI». Рекомендуем держать эту опцию включенной, так как 1С обращается к криптографии именно через стандартные интерфейсы Windows.

Важный момент касается регламентных заданий (например, автоматический обмен с Честным знаком). Поскольку они выполняются на сервере под учетной записью службы 1С (обычно это USR1CV8), контейнеры закрытых ключей должны быть доступны этой службе. Рассмотрим, как это сделать:

• При импорте ключей в ViPNet CSP выбирайте хранилище «Локальный компьютер» (Computer Store), а не «Текущий пользователь».
• Если ключи уже установлены в профиль пользователя, их необходимо переустановить или скопировать в контейнер компьютера, чтобы служба 1С имела к ним доступ в фоновом режиме.

Шаг 3. Настройка 1С:Предприятие для работы с новым провайдером

После смены криптопровайдера в 1С необходимо обновить настройки электронной подписи. Пройдем по шагам в интерфейсе программы:

1. Перейдем в раздел «Администрирование» — «Настройки электронной подписи и шифрования».
2. На закладке «Программы» убедимся, что в списке присутствует ViPNet CSP. Если его нет, добавим его вручную, указав правильный идентификатор провайдера (тип 75).
3. На закладке «Сертификаты» нам потребуется передобавить сертификаты. Помните: хотя сам файл сертификата (.cer) остается прежним, связь с закрытым ключом должна быть переустановлена через ViPNet.
4. Проверим настройки подписания. Если регламентные задания должны подписывать документы, убедимся, что установлена галочка «Подписывать на сервере» (если база клиент-серверная).

Особенности работы на Windows Server 2008 R2

Поскольку данная операционная система является устаревшей, работа с современными государственными информационными системами (ГИС) может вызвать сложности. Проанализируем ситуацию с TLS-протоколами.

Для корректной отправки данных в Честный знак через регламентные задания сервер должен поддерживать протокол TLS 1.2. В Windows Server 2008 R2 он часто отключен по умолчанию. Без его активации даже с работающим ViPNet CSP вы будете получать ошибки соединения.

Для включения TLS 1.2 можно использовать следующие параметры реестра:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"Enabled"=dword:00000001
"DisabledByDefault"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"Enabled"=dword:00000001
"DisabledByDefault"=dword:00000000

Как сохранить работу клиентов с локальной КриптоПро?

Если часть пользователей должна продолжать работать со своими локальными лицензиями КриптоПро, проанализируем вариант использования тонкого клиента. Вместо работы через RDP, установите тонкий клиент 1С непосредственно на компьютеры пользователей и подключитесь к базе через веб-сервер (IIS или Apache).

В этом случае:

• На сервере будет работать ViPNet CSP для регламентных заданий и фоновых процессов.
• На локальных компьютерах будет работать КриптоПро.
• В настройках сертификата в 1С нужно будет снять флажок «Проверять подпись на сервере», чтобы программа использовала локальный криптопровайдер пользователя.

Важно: совместная установка КриптоПро и ViPNet на одном сервере официально не рекомендуется производителями, так как оба продукта пытаются перехватить функции CryptoAPI. Если вам жизненно необходимо держать оба провайдера, убедитесь, что в настройках одного из них отключена интеграция с системным CryptoAPI, иначе возможны критические ошибки системы (BSOD).

Резюме

Для успешного перехода выполним следующие действия: полностью вычистим сервер утилитой cspclean, установим ViPNet CSP с регистрацией, перенесем ключи в контейнер локального компьютера для службы 1С и настроим TLS 1.2 в реестре сервера. Рассмотрим также возможность ухода от RDP в пользу тонкого клиента для тех пользователей, чьи лицензии КриптоПро еще действуют — это позволит сэкономить на покупке новых лицензий и обеспечит стабильную работу системы.