← На главную

При работе с порталом Федеральной налоговой службы (ФНС) пользователи часто сталкиваются с ситуацией, когда встроенная система диагностики успешно проходит первые три этапа проверки (проверку операционной системы, криптопровайдера и сертификатов), но полностью останавливается на последнем шаге. Этот шаг называется «Проверка защищённого соединения с сервером Личного кабинета юридического лица».

Ранее на портале существовала возможность обойти этот шаг, нажав кнопку «Все равно перейти» или «Открыть напрямую». Однако в связи с ужесточением требований к информационной безопасности ФНС заблокировала этот обходной путь. Теперь без успешного прохождения защищенного соединения по протоколу ГОСТ TLS войти в личный кабинет невозможно.

В этой статье мы подробно разберем, почему возникает эта ошибка, и по шагам настроим рабочее место для успешного прохождения проверки защищенного соединения.

Причина 1. Перехват HTTPS-трафика антивирусным ПО (основная причина)

Давайте проанализируем механизм работы современных антивирусов, таких как Kaspersky, ESET NOD32 или Avast. Для обеспечения безопасности в сети интернет эти программы по умолчанию используют функцию сканирования защищенных соединений (HTTPS).

Для этого антивирус осуществляет подмену SSL-сертификата целевого сайта на свой собственный локальный сертификат безопасности. Это позволяет антивирусу расшифровать трафик, проверить его на вирусы и зашифровать обратно. Однако сервер Личного кабинета ФНС требует строгого двустороннего шифрования по алгоритмам ГОСТ TLS и не принимает сертификаты от сторонних программ. Как только портал ФНС обнаруживает подмененный сертификат от антивируса, соединение мгновенно разрывается, и диагностика выдает ошибку.

Как решить проблему в антивирусе Kaspersky:

1. Откроем главное окно программы Kaspersky.
2. В левом нижнем углу нажмем на иконку шестеренки («Настройки»).
3. Перейдем в раздел «Настройки сети» (в некоторых версиях — «Дополнительно» -> «Сеть»).
4. Найдем блок «Сканирование защищенных соединений» (или «Проверка защищенных соединений»).
5. Для полной проверки работоспособности можно временно выбрать пункт «Не проверять защищенные соединения».
6. Более безопасный вариант — оставить проверку включенной, но настроить исключения. Нажмем кнопку «Настроить исключения» (или «Адреса сайтов»), добавим туда маску адреса налоговой службы: *.nalog.ru и сохраним изменения.

Как решить проблему в антивирусе ESET NOD32:

1. Откроем главное окно ESET и нажмем клавишу F5 для перехода в расширенные настройки.
2. Перейдем в раздел «Интернет и электронная почта» -> «SSL/TLS».
3. Отключим пункт «Включить фильтрацию протокола SSL/TLS» либо настроим список исключенных сертификатов и адресов, добавив туда домен *.nalog.ru со статусом «Игнорировать».

Как решить проблему в антивирусах Avast и AVG:

1. Откроем интерфейс антивируса и зайдем в «Меню» -> «Настройки».
2. Выберем вкладку «Защита» -> «Основные экраны».
3. Прокрутим страницу вниз до настроек «Экран веб-доступности» (Web Shield).
4. Снимем галочку с пункта «Включить сканирование HTTPS».

После изменения настроек антивирусного ПО обязательно перезапустим браузер и повторим диагностику подключения.

Причина 2. Использование устаревшего браузера Internet Explorer 11

В обсуждениях часто упоминается использование браузера Internet Explorer 11 на Windows 10. На сегодняшний день IE 11 официально признан устаревшим, не поддерживается разработчиком и не отвечает современным требованиям безопасности веб-серверов ФНС. Попытки настроить в нем SSL 3.0 и TLS 1.0 часто приводят к ошибкам шифрования, так как государственные порталы перешли на более строгие стандарты (в частности, TLS 1.2 с использованием ГОСТ-алгоритмов).

Рассмотрим современные альтернативные браузеры, которые обеспечивают стабильную и безопасную работу с ГОСТ-шифрованием:

• Яндекс.Браузер (актуальная сборка для юридических лиц).
• Chromium GOST (специализированная сборка браузера Chromium с интегрированной поддержкой криптографии ГОСТ).

Важная настройка для Яндекс.Браузера:
Просто установить браузер недостаточно — необходимо активировать поддержку отечественных алгоритмов шифрования в его системных параметрах:

1. Запустим Яндекс.Браузер, откроем меню (три горизонтальные полоски в правом верхнем углу) и выберем пункт «Настройки».
2. В левом меню перейдем в раздел «Системные».
3. Найдем группу параметров «Сеть».
4. Установим флажок (галочку) напротив пункта «Подключаться к сайтам, использующим шифрование по ГОСТ». Если этот чекбокс выключен, защищенное соединение с ЛК ФНС гарантированно не будет установлено.
5. Перезапустим браузер для применения настроек.

Причина 3. Скрытые ограничения TLS в настройках КриптоПро CSP

Иногда корневая причина кроется в настройках самого криптопровайдера КриптоПро CSP. В версиях программы 5.0 и выше разработчики по умолчанию отключают устаревшие наборы шифров (cipher suites) в целях повышения общей безопасности системы. Однако на стороне серверов ФНС до сих пор могут использоваться определенные комбинации шифров, которые КриптоПро начинает блокировать.

Выясним, как снять это ограничение в настройках программы:

1. Нажмем кнопку «Пуск» на панели задач Windows, найдем приложение «КриптоПро CSP», нажмем на него правой кнопкой мыши и выберем пункт «Запуск от имени администратора». Это критически важно, иначе операционная система не позволит сохранить изменения в реестре.
2. В открывшемся окне перейдем на вкладку «Настройки TLS».
3. Найдем параметр «Не использовать устаревшие cipher suite-ы» (или аналогичный пункт, ограничивающий старые наборы шифров).
4. Снимем галочку с этого пункта, чтобы разрешить использование всех доступных ГОСТ-шифров.
5. Нажмем кнопку «Применить», затем «ОК».
6. Обязательно перезагрузим компьютер. Изменения в сетевых драйверах шифрования вступают в силу только после полной перезагрузки операционной системы.

Причина 4. Отсутствие корневых сертификатов Минцифры России

Для успешного построения доверенного защищенного соединения операционная система должна доверять всей цепочке сертификатов сервера ФНС. Этот сервер подписан головным удостоверяющим центром страны. Если на вашем компьютере отсутствуют актуальные сертификаты Минцифры РФ, операционная система расценит подключение к ЛК как небезопасное и заблокирует его.

Разберем по шагам процесс установки доверенных сертификатов:

1. Скачаем актуальные файлы корневого и промежуточного сертификатов Минцифры со специального государственного портала или официального сайта доверенного УЦ. Нам понадобятся файлы с расширением .cer (обычно это «Головной удостоверяющий центр» и «Промежуточный сертификат Минцифры»).
2. Откроем скачанный файл корневого сертификата двойным кликом мыши и нажмем кнопку «Установить сертификат».
3. В мастере импорта выберем расположение хранилища: «Локальный компьютер» (потребуются права администратора) и нажмем «Далее».
4. Установим переключатель в положение «Поместить все сертификаты в следующее хранилище» и нажмем кнопку «Обзор».
5. В списке выберем папку «Доверенные корневые центры сертификации», нажмем «ОК» и завершим импорт.
6. Аналогичную процедуру выполним для промежуточного сертификата Минцифры, но при выборе хранилища укажем папку «Промежуточные центры сертификации».

Причина 5. Аппаратные и программные конфликты со сторонними средствами шифрования

Если на одном рабочем месте бухгалтера установлены два конкурирующих программных продукта криптозащиты (например, КриптоПро CSP и VipNet CSP), они начинают конфликтовать на системном уровне. Оба криптопровайдера пытаются перехватить сетевые функции операционной системы для работы с защищенным TLS-трафиком, что приводит к полной неработоспособности соединения.

Посмотрим на варианты решения этой проблемы:

• Если это возможно, полностью удалите один из криптопровайдеров через панель управления («Установка и удаление программ»), оставив только тот, который необходим для входа в ЛК ФНС (КриптоПро CSP).
• Если для работы в других системах отчетности вам жизненно необходимы обе программы, рекомендуется разнести их по разным рабочим местам. В качестве альтернативы можно использовать встроенные средства виртуализации (например, настроить виртуальную машину с чистой ОС для работы с VipNet, а физический компьютер оставить под КриптоПро CSP).
• Также обратите внимание на установленные расширения в браузере. Если вы используете аппаратный ключ Рутокен, в браузере может быть активировано расширение «Адаптер Рутокен Коннект». На этапе диагностики защищенного соединения оно может конфликтовать с основным плагином CryptoPro Extension. На время прохождения проверки в ФНС рекомендуется зайти в настройки расширений браузера и временно отключить плагин Рутокен Коннект.

Итоговый чеклист для быстрой диагностики

Если вы выполнили все инструкции, но проверка все еще выдает ошибку, пройдитесь по нашему контрольному списку для самопроверки:

1. Используется ли современный Яндекс.Браузер или Chromium GOST? (Да/Нет)
2. Включена ли поддержка ГОСТ-шифрования в настройках браузера? (Да/Нет)
3. Добавлен ли адрес налоговой *.nalog.ru в исключения сканирования HTTPS вашего антивируса? (Да/Нет)
4. Выполнена ли перезагрузка компьютера после изменения параметров TLS в КриптоПро CSP? (Да/Нет)
5. Установлены ли свежие сертификаты Минцифры в ветку «Локальный компьютер»? (Да/Нет)

Последовательное выполнение указанных настроек гарантирует успешное прохождение теста защищенного соединения и беспрепятственный доступ в Личный кабинет юридического лица ФНС.