Удостоверяющий Центр

ОАО «МТС-Банк»

Руководство пользователя

1. Требования к системе для работы с Удостоверяющим Центром (УЦ).

Для работы с Удостоверяющим Центром необходимо следующее программное

обеспечение:

• Операционная система Microsoft Windows 7;

• Microsoft Internet Explorer 5.5 или выше;

• Средство криптографической защиты (СКЗИ) «КриптоПро CSP» (c модулем

поддержки сетевой аутентификации «КриптоПро TLS») или 3.6.

Наряду с этим, необходимо наличие доступа со стороны пользователя к

Удостоверяющему Центру по стандартному протоколу HTTP и по защищенному протоколу

HTTPS.

2. Установка необходимого ПО для формирования ключей и выпуска

сертификатов открытых ключей подписи1

Внимание: Установка СКЗИ "КриптоПро CSP" с модулем "КриптоПро TLS",

включая настройку считывателей и ключевых носителей, должна производиться

пользователем, имеющим права администратора на локальном компьютере. Перед

установкой ПО, удалите все ранее установленные (устаревшие) версии данного

программного обеспечения. Для этого используйте следующие пункты основного меню

системы Windows: Пуск – Настройка – Панель Управления – Установка и удаление

программ.

2.1. Установка средства криптографической защиты информации (СКЗИ)

"КриптоПро CSP" версии 3.6 с модулем поддержки сетевой аутентификации "КриптоПро

TLS".

Скачать дистрибутив СКЗИ "КриптоПро CSP v 3.6 R4" с модулем "КриптоПро TLS"

(с учетом разрядности системы) Вы сможете на сайте разработчика ПО после прохождения

процедуры регистрации: http://www.cryptopro.ru/downloads

Для начала установки программного обеспечения СКЗИ запустите скачанный файл .

Последующая установка производится в соответствии с сообщениями, выдаваемыми

программой установки. После завершения установки дистрибутива необходимо произвести

перезагрузку компьютера.

На этапе установки серийный номер лицензии можно не вводить, demo версия

продукта действует в течение 90 дней. Лицензию можно установить после получения

номера ключа установки лицензии, переданного УЦ-ром по Акту приема-передачи.

Процедура ввода лицензии описана в Руководстве (в п.4.4)

2.2. Настройка набора устройств хранения ключевой информации.

Программа установки по умолчанию устанавливает в качестве ключевого носителя

следующие считыватели (рис.1)

1 В данном Руководстве даны ссылки на программное обеспечение для 32-битных операционных систем.

Рисунок 1. Окно управления считывателями

Ключи ЭЦП/ЭП и шифрования должны находиться на защищенных съемных

носителях у владельца ключа подписи. Размещение ключей в реестре операционной

системы крайне нежелательно. В целях повышения эффективности противодействия

хищениям вредоносными программами секретных ключей ЭЦП/ЭП и шифрования,

рекомендуется использование устройства USB-токен, гарантирующего информационную

безопасность криптографического ключа, исключающего возможность его копирования

или изменения.

Внимание: Перед подключением USB-токена к компьютеру необходимо

установить драйвер, обеспечивающий работу с этим устройством хранения ключевой

информации. Драйверы USB-токенов компании Aladdin доступны для загрузки на странице

загрузки ПО Web-сервера Удостоверяющего центра по адресу

http://ca.mtsbank.ru/soft/eToken-PKIClient-x32.rar.

Если для работы с «КриптоПро CSP» необходимы дополнительные типы устройств

работы с ключевыми носителями (к примеру, USB-Flash), выберите режим изменения их

состава. Для этого откройте панель управления компьютером, используя пункты основного

меню системы Windows Пуск –> Настройка –> Панель Управления –> КриптоПро CSP.

В панели настройки СКЗИ «КриптоПро CSP» (рис. 2) в закладке «Оборудование»

выберите пункт «Настроить считыватели».

Рисунок 2. Окно настройки СКЗИ КриптоПро CSP

Далее в окне управления считывателями (рис.1) выберите «Добавить» и с помощью

мастера установки считывателей добавьте требуемый, следуя этапам установки.

Внимание: В состав дистрибутива СКЗИ «КриптоПро CSP» не входят драйверы и

другие программные модули третьих производителей, обеспечивающие взаимодействие

«КриптоПро CSP» с аппаратной частью. Для их установки нужно воспользоваться

программой установки, поставляемой производителями таких устройств, либо получить их

с сервера разработчика по адресу http://www.cryptopro.ru. Например, если СКЗИ

«КриптоПро CSP» уже установлено, и нужно использовать новые устройства, необходимо

установить поддерживающие драйверы и другие модули от производителей этих устройств.

2.3. Настройка перечня объектных идентификаторов (OID) областей применения

сертификатов открытых ключей пользователей Удостоверяющего Центра ОАО «МТС-

Банк»

Для возможности обозначения области применения сертификата необходимо

загрузить и установить файл со станицы загрузки ПО Web-сайта УЦ

http://ca.mtsbank.ru/soft/oids.zip (рис. 3). Установка данного файла возможна только с

правами локального администратора.

Рисунок 3. Окно добавления информации об области применения

сертификатов

2.4. Установка сертификата Удостоверяющего центра.

Сертификат можно скачать с Web-сервера Удостоверяющего центра

http://ca.mtsbank.ru/, нажав по нему левой кнопкой мыши, вам будет предложено сохранить

его или открыть (рис.4). Необходимо сохранить сертификат Удостоверяющего центра (к

примеру, на рабочем столе вашего компьютера).

Рисунок 4. Окно Web-сервера Удостоверяющего Центра.

Для установки сертификата Удостоверяющего Центра щелкните по нему правой

кнопкой мыши и в открывшемся контекстном меню выберите пункт «Установить

сертификат» (рис. 5).

Рисунок 5. Окно просмотра сертификата Удостоверяющего Центра.

Далее необходимо с помощью Мастера импорта сертификатов (рис. 6) произвести

установку сертификата в раздел «Доверенные корневые центры сертификации»

хранилища сертификатов текущего пользователя (рис. 8). Выбор необходимого раздела

хранилища сертификатов производится путем нажатия кнопки «Обзор…» (рис. 7).

Рисунок 6. Окно Мастера импорта сертификатов.

Рисунок 7. Окно выбора способа размещения сертификата в хранилище.

Рисунок 8. Окно выбора хранилища сертификатов.

Рисунок 9. Окно выбора способа размещения сертификата в хранилище

с указанием выбранного хранилища сертификатов.

В случае появления сообщения (рис.10) о добавлении сертификата в корневое

хранилище необходимо нажать кнопку «Да». Появление подобного сообщения

свидетельствует об успешной установке сертификата Удостоверяющего Центра.

Отсутствие подобного сообщения свидетельствует о том, что сертификат Удостоверяющего

Центра ранее уже был установлен на данный компьютер или сертификат не является

корневым.

Рисунок 10. Окно сообщения о добавлении сертификата в хранилище «Доверенные корневые центры

сертификации».

3. Регистрация пользователя в Удостоверяющем центре Банка

Перед началом работы пользователю Удостоверяющего Центра (далее УЦ)

необходимо пройти процедуру регистрации в Реестре УЦ через Web-сайт

http://ca.mtsbank.ru/. Для этого необходимо нажать кнопку «Вход» (рис.11), для

продолжения работы.

Рисунок 11. Главная страница Web-узла Удостоверяющего Центра. .

В открывшемся окне выбрать ссылку «Начать регистрацию». Откроется страница

самостоятельной регистрации (рис.12).

Рисунок 12. Окно ввода информации по регистрационным данным пользователя.

Вводимые для регистрации данные должны полностью совпадать с данными в

отправленном в Удостоверяющий центр Заявлении на регистрацию пользователя (форма

Заявления предусмотрена Договором (Соглашением) банковского обслуживания).

Обязательные для заполнения поля отображаются красным цветом их наименований.

После ввода полей экранной формы необходимо нажать кнопку «Продолжить».

При этом происходит формирование запроса на регистрацию и постановка его в очередь на

обработку на Центре Регистрации. Обработка запроса на регистрацию производится

администратором/оператором Центра Регистрации только в случае полного соответствия

регистрационных атрибутов идентификационным данным, указанным в заявлении на

регистрацию. Изменение идентификационных данных пользователя после подачи запроса

на регистрацию невозможно.

После постановки запроса на регистрацию в очередь в окне обозревателя Microsoft

Internet Explorer отображается следующая экранная форма (рис.13).

Рисунок 13. Окно получения маркера временного доступа регистрируемого пользователя после постановки

запроса на регистрацию в очередь.

Обязательно нажмите кнопку «Показать маркер временного доступа» для того, что бы

увидеть его и запомнить. Маркер временного доступа отображается в следующей экранной

форме (рис.14)

Рисунок 14. Окно отображения маркера временного доступа.

Запрос на регистрацию размещается в очереди на обработку без уведомления

администратора/оператора Центра Регистрации (ЦР).

В период рассмотрения запроса на регистрацию пользователь должен

самостоятельно контролировать статус обработки запроса. Для этого необходимо

воспользоваться ссылкой на Web-сайте центра регистрации «Вход для пользователей,

обладающих маркером временного доступа». Статус обработки запроса отображается в

следующей экранной форме (рис.15) Рисунок 15. Окно состояния обработки запроса на регистрацию.

Если в течение 24 часов запрос остается не обработанным, следует направить

соответствующий вопрос администратору ЦР по электронной почте ca@mtsbank.ru.

После завершения обработки запроса на регистрацию, экранная форма отображения

статуса запроса принимает следующий вид (рис.16).

Рисунок 16. Окно подтверждения обработки запроса на регистрацию.

4. Формирование ключей и установка сертификата открытого ключа

4.1. Создание запроса на сертификат

После завершения Администратором УЦ обработки запроса на регистрацию

пользователя, экранная форма отображения статуса запроса принимает следующий вид

(рис.16).

В случае успешного завершения обработки запроса на регистрацию нажмите кнопку

«Создать запрос на сертификат» для перехода к процедуре формирования ключей и

запроса на сертификат открытого ключа.

В экранной форме генерации ключей и запроса на сертификат открытого ключа

(рис.17) необходимо нажать кнопку «Отправить», предварительно выбрав требуемый

шаблон сертификата (Клиент системы «Интернет-Трейдинг» для Quik), в соответствии с

предполагаемой областью действия сертификата открытого ключа и данными

отправленного в УЦ Заявления на регистрацию пользователя. При этом чистый, заранее

отформатированный носитель, на который будет произведена запись

сгенерированных ключей, должен находиться в устройстве считывания.

Рисунок 17. Окно формирования запроса на сертификат открытого ключа

В ряде случаев настройка параметров безопасности обозревателя Microsoft Internet

Explorer может требовать дополнительного подтверждения подачи запроса на выпуск

нового сертификата (рис. 18). Для подтверждения запроса на выпуск нового сертификата

нажмите кнопку «Да».

Рисунок 18. Окно подтверждения подачи запроса на сертификат

В случае если предварительная настройка программного обеспечения СКЗИ

«КриптоПро CSP» была произведена на использование нескольких считывателей,

генерация ключей будет сопровождаться выводом сообщения о выборе требуемого

устройства считывания (рис. 19).

Рисунок 19. Окно выбора устройства считывания.

Процесс генерации ключей производится с использованием биологического датчика

случайных чисел (рис.20)

Рисунок 20. Окно генерации ключей

В случае необходимости для обеспечения дополнительной защиты закрытых ключей

от несанкционированного доступа на контейнер хранения ключей может быть установлен

пароль (рис. 21). Если дополнительная защита контейнера хранения ключей паролем

не требуется, оставьте поля для ввода пароля пустыми и просто нажмите «ОК».

Рисунок 21. Окно установки пароля на контейнер хранения ключей

После завершения процесса генерация ключей происходит формирование запроса на

сертификат и постановка его в очередь на обработку в Центре Регистрации.

Обработка запроса на выпуск сертификата пользователя Удостоверяющего Центра

производится в автоматическом режиме.

После завершения обработки запроса на сертификат, в окне обозревателя Microsoft

Internet Explorer отображается следующая экранная форма (рис. 22).

4.2. Установка сертификата ключа подписи

Рисунок 22. Окно получения и установки первого сертификата открытого ключа.

Нажмите кнопку «Установить сертификат».

При нажатии кнопки «Установить сертификат», происходит установка выпущенного

сертификата в раздел «Личные» хранилища сертификатов текущего пользователя и

установка в контейнер секретного ключа на выбранном вами носителе.

В ряде случаев настройка параметров безопасности обозревателя Microsoft Internet

Explorer может требовать дополнительного подтверждения установки сертификата (см.

Рисунок 23). Для подтверждения установки сертификата нажмите кнопку «Да».

Рисунок 23. Окно подтверждения установки сертификат.

Появление сообщения (рис.24) свидетельствует об успешной установке данного

сертификата в хранилище, после чего пользователю необходимо подтвердить установку,

нажав соответствующую кнопку (рис.23).

Рисунок 24. Окно информации об успешной установке сертификата.

Далее пользователю будет отображено окно завершения установки запрошенного

сертификата и перехода на страницу зарегистрированного пользователя (рис. 25).

Рисунок 25. Окно завершения установки запрошенного сертификата и перехода на страницу зарегистрированного

пользователя.

Пользователям, использующим сертификат ключа подписи для работы в системе

Интернет-дилинг в дополнение к вышеуказанным действиям и при условии успешной

установки сертификата на используемом персональном компьютере ИТС QUIK,

необходимо:

Открыть КриптоПро CSP (рис. 26), в ОС Windows: Пуск – Настройка - Панель управления -

КриптоПро CSP и нажать кнопку «Посмотреть сертификаты в контейнере…».

Рисунок 26. Окно для работы с контейнером закрытого ключа.

Установите расположение файла сертификата ключа подписи, нажав кнопку «Обзор»

(см. рис. 27).

Рисунок 27. Окно определения местонахождение файла сертификата ключа подписи.

Выберите ключевой контейнер и нажмите кнопку «ОК» (см. рис.28).

Рисунок 28. Выбор ключевого контейнера.

Выделите и скопируйте имя ключевого контейнера (см. рис. 29) в программу

«Блокнот» (см. рис. 30), оно Вам понадобится позже.

Рисунок 29. Окно с именем ключевого контейнера.

Рисунок 30. Блокнот со скопированным именем ключевого контейнера.

Откройте файл CryptoCSP_Pr.ini в папке с ранее установленным ИТС QUIK и введите имя

ключевого контейнера, скопировав его из программы «Блокнот», в строку

CSPContainerName (см. рис. 31). В дальнейшем, сохраните и закройте файл

CryptoCSP_Pr.ini. Рисунок 31. Окно ввода имени ключевого контейнера в настройки ИТС QUIK.

В результате сертификат закрытого ключа ЭП будет использоваться для подписания

транзакций, сформированных посредством ИТС QUIK.

4.3. Печать бланка сертификата открытого ключа .

Формирование печатной формы сертификата , а так же вывод ее на бумажный

носитель выполняется пользователем до начала использования сертификата ключа в работе.

Для печати сертификата необходимо в соответствующей строке таблицы

сертификатов страницы зарегистрированного пользователя (рис. 32) нажать ссылку

«Показать Сертификат».

Рисунок 32. Окно персональной страницы зарегистрированного пользователя

В результате в новом окне обозревателя Microsoft Internet Explorer (рис. 33) будет

сформирована печатная форма сертификата открытого ключа пользователя.

Рисунок 33. Окно с бланком сертификата открытого ключа

Для вывода бланка сертификата на печать установите указатель мыши в

произвольном месте окна на тексте бланка и нажмите правую кнопку мыши. В

появившемся меню выберите пункт «Печать» («Print»).

Подписанные владельцем бланки сертификатов в количестве 2-х экземпляров

следует передать в Удостоверяющий центр Банка. После получения Удостоверяющим

центром бланков сертификата открытого ключа 1 экземпляр бланка сертификата,

подписанный Уполномоченным лицом Удостоверяющего Центра и заверенный печатью

Банка, будет возвращен пользователю.

В региональных филиалах Банка бланки сертификатов заверяются уполномоченным

лицом (к примеру, Управляющим или его заместителем), назначенным Приказом

Председателя Правления Банка заверять сертификаты ключей электронной цифровой

подписи.

4.4. Ввод данных лицензии на программное обеспечение СКЗИ «КриптоПро CSP».

Программное обеспечение «КриптоПро CSP» распространяется с ограничением по

времени использования (90 дней). Для использования «КриптоПро CSP» после окончания

этого срока пользователь должен ввести серийный номер Лицензии, полученной после

получения сертификата ключа подписи. Лицензия будет доступна со страницы

зарегистрированного пользователя (рис.32), вход на которую осуществляется с web-сервера

корпоративного центра регистрации http://ca.mtsbank.ru/ по ссылке «Вход для

зарегистрированных пользователей». В случае отсутствия номера лицензии по

соответствующей ссылке, обратитесь к администратору Удостоверяющего центра

ca@mtsbank.ru.

Для ввода полученного номера лицензии откройте панель управления компьютером,

используя пункты основного меню системы Windows Пуск – Настройка – Панель

Управления, и в окне панели управления выберите значок «КриптоПро CSP». В панели

настройки СКЗИ «КриптоПро CSP» (рис. 34) выберите пункт «КриптоПро PKI».

Рисунок 34. Окно свойств приложений КриптоПро CSP

В открывшемся окне (рис. 35), используя пункты меню «Управление лицензиями»

-> «КриптоПро CSP» -> «Все задачи» -> «Ввести серийный номер» введите серийный

номер Лицензии (рис. 36)

Рисунок 35. Окно управления лицензиями

Рисунок 36. Окно ввода лицензии

Удостовериться что лицензия введена корректно можно дважды кликнув левой

кнопкой мыши «КриптоПро CSP» (рис. 37)

Рисунок 37. Окно информации о введенной лицензии

5. Защита информации в электронной почте.

Для Клиентов «Системы защищенного электронного документооборота» для настройки

обмена зашифрованной электронной почтой с использованием электронной цифровой

подписи рекомендуется воспользоваться информационным документом разработчика

средств криптографической защиты информации ООО Крипто-Про, он доступен на сайте

Удостоверяющего центра Банка в разделе «Документация»

http://ca.mtsbank.ru/docs/smime.pdf

.

6. Плановая смена сертификата ключа пользователя

Срок действия сертификата ключа подписи 1 год. За 30 дней до окончания срока

действия подписи, на Ваш электронный адрес, указанный при регистрации, будут

поступать сообщения о скором окончании срока действия Вашего секретного ключа.

Для продолжения возможности использования защищенной почты необходимо провести

плановую смену сертификата ключа. Для этого зайдите на страницу зарегистрированного

пользователя (рис. 38) web-сервера центра регистрации УЦ https://ca.mtsbank.ru/ui/ по

ссылке «Вход для зарегистрированных пользователей» (необходимым условием является

вставленный ключевой носитель с Вашим действующим на данный момент сертификатом).

Рисунок 38. Окно персональной страницы зарегистрированного пользователя

На данной странице необходимо выбрать закладку «Новый сертификат» (в левом

верхнем углу), нажав на которую Вы попадете на страницу формирования запроса на

сертификат открытого ключа (Рисунок 39).

Рисунок 39. Окно формирования запроса на сертификат

Для генерации новых секретных ключей и создания запроса на новый сертификат,

нажмите кнопку «Отправить». Процесс их создания при плановой смене идентичен

аналогичному процессу при первоначальной генерации ключей (описанному в п. 4 данного

Руководства).

В процессе создания нового сертификата, могут появиться сообщения системы

безопасности о необходимости доступа к базе сертификатов у Вас на компьютере и о

подтверждении использования Вашей цифровой подписи (рис 40). Соглашайтесь и

нажимайте кнопку «Yes».

Рисунок 40. Окно подтверждения использования базы сертификатов и ЭЦП/ЭП при формирования нового

сертификата.

После завершения обработки запроса Вы вернетесь на страницу

зарегистрированного пользователя.

Там в таблице «Запросы на сертификаты» (рис. 41) найдите запрос на сертификат, у

которого дата и время выпуска совпадает с тем, когда Вы провели запрос на сертификат в

УЦ. Нажмите на кнопку «Установить».

Рисунок 41 Окно подтверждения использования базы сертификатов и ЭЦП/ЭП при формировании

Затем установите новый полученный сертификат (согласно пункту 4.2), и

распечатайте и подпишите бланки сертификатов (согласно п. 4.3) до начала использования

их в работе.

Важно!:

После смены сертификата необходимо заменить старый сертификат на новый в настройках

защиты электронной почты Microsoft Outlook, нажав «Выбрать», выберите

соответствующий для «Сертификата подписи» и «Сертификата шифрования».