Как проверить корневой центр сертификации цифровой подписи

Корневой сертификат — это точка доверия всей цепочки электронной подписи. Если в хранилище компьютера оказался поддельный или устаревший корневой центр сертификации, то даже технически корректная подпись будет либо не проверяться вовсе, либо, что хуже, «успешно» проверяться там, где она не должна проходить. Поэтому перед работой с квалифицированной электронной подписью стоит убедиться, что корневой сертификат выпущен настоящим удостоверяющим центром, актуален и правильно установлен.

Главный ориентир такой: доверять можно только тому корневому сертификату, который вы получили из официального источника самого удостоверяющего центра или аккредитованного распространителя, а не из письма, архива или случайного сайта. Всё остальное — установка, срок действия, цепочка — проверяется стандартными средствами операционной системы и криптопровайдера за несколько минут.

Зачем вообще проверять корневой сертификат

Электронная подпись работает по принципу цепочки доверия. Ваш личный сертификат выпущен промежуточным или головным удостоверяющим центром, а его сертификат, в свою очередь, подписан корневым. Программа проверки (криптопровайдер, браузер, почтовый клиент) считает подпись действительной только тогда, когда может выстроить непрерывную цепочку до корня, которому система уже доверяет.

Если корень отсутствует, подпись не проверяется с ошибкой «не удалось построить цепочку сертификатов». Если корень установлен, но просрочен или отозван — та же проблема на другом этапе. А если злоумышленник сумел подсунуть в хранилище поддельный корневой сертификат, он теоретически может выпускать фальшивые сертификаты, которые ваша система примет за настоящие. Именно поэтому проверка корня — это не формальность, а базовая гигиена безопасности.

Что нужно знать перед проверкой

Для работы с российской квалифицированной электронной подписью обычно используются:

• Криптопровайдер — программа, выполняющая криптографические операции (например, КриптоПро CSP, VipNet CSP). Без него ОС не умеет работать с ГОСТ-алгоритмами, на которых выпущена российская ЭП.
• Хранилище сертификатов — системный реестр Windows («Сертификаты — текущий пользователь»), хранилище КриптоПро или файловая папка в Linux.
• Корневые сертификаты удостоверяющих центров — публикуются на официальных сайтах УЦ и в дистрибутивах криптопровайдеров.
• Списки отозванных сертификатов (CRL) и OCSP — механизмы, позволяющие проверить, что сертификат не отозван до истечения срока.

Названия конкретных программ и порядок публикации сертификатов у каждого удостоверяющего центра свои. Точные адреса загрузки, актуальные версии списков отзыва и требования к настройке всегда уточняйте на сайте вашего УЦ или в поддержке криптопровайдера — эти данные меняются, и полагаться на память или сторонние инструкции здесь ненадёжно.

Шаг 1. Получите корневой сертификат из надёжного источника

Первое правило проверки: сертификат должен попасть к вам из канала, которому вы доверяете. Порядок действий такой:

1. Определите, какой удостоверяющий центр выпустил вашу подпись. Это указано в самом сертификате и в документах, которые вы получали вместе с токеном.
2. Зайдите на официальный сайт этого УЦ — адрес найдите через документы от УЦ или независимым поиском, а не по ссылке из письма.
3. Скачайте корневой сертификат и актуальные списки отзыва именно оттуда. Многие УЦ также распространяют их через установочные пакеты криптопровайдеров.
4. Сверьте отпечаток (thumbprint) скачанного файла с отпечатком, опубликованным на сайте УЦ, если он там указан. Совпадение отпечатка подтверждает, что файл не был подменён по пути.

Если корневой сертификат вам прислали вложением в письме или он лежит на флешке без сопроводительных документов — это повод насторожиться. Такой файл лучше не устанавливать, пока вы не сверите его содержимое с публикацией УЦ.

Шаг 2. Осмотрите свойства сертификата

Откройте файл сертификата двойным щелчком (в Windows) или утилитой просмотра сертификатов и изучите вкладку «Общие» и «Состав». На что смотреть:

• Владелец и издатель. Название удостоверяющего центра должно совпадать с тем, что заявлено на его официальном сайте. Опечатки и похожие названия — классический признак подделки.
• Срок действия. Корневые сертификаты живут годами, но не бессрочно. Если срок истёк или вот-вот истечёт, подписи, выпущенные в этой цепочке, перестанут проверяться.
• Назначение ключа. В расширениях должно быть указано, что сертификат предназначен для подписи сертификатов и списков отзыва (поля типа «Удостоверение центра сертификации», key usage: certificate signing, CRL signing).
• Алгоритм подписи. Для российских квалифицированных ЭП это алгоритмы семейства ГОСТ; если вместо них указаны посторонние алгоритмы, сертификат не подходит для вашей задачи.
• Отпечаток. Запишите его и сравните со значением на сайте УЦ.

Само по себе окно свойств ничего не гарантирует — его легко подделать визуально. Но расхождения здесь почти всегда означают проблему, поэтому осмотр свойств полезен как первый фильтр.

Шаг 3. Проверьте, правильно ли сертификат установлен и кому доверяет система

Корневой сертификат должен находиться в хранилище «Доверенные корневые центры сертификации». Проверить это можно так:

1. Откройте «Пуск» → «Выполнить» (или поиск) и запустите certmgr.msc — консоль сертификатов текущего пользователя.
2. Раскройте ветку «Доверенные корневые центры сертификации» → «Сертификаты».
3. Найдите нужный корневой сертификат по названию УЦ и откройте его свойства.
4. Убедитесь, что срок действия не истёк, а назначение соответствует роли корневого УЦ.

Если сертификата нет — установите его из файла, полученного на первом шаге, выбрав при импорте именно хранилище доверенных корней. Если он есть, но лежит в «Личном» или другом хранилище, переместите его: программа проверки цепочки ищет корни только в доверенном хранилище.

Важно понимать разницу между хранилищем пользователя и хранилищем компьютера. Сертификат, установленный «для текущего пользователя», виден только этому пользователю; если с машиной работают несколько человек, каждому нужен доступ к корню, либо сертификат ставят в локальное хранилище компьютера (консоль certlm.msc, требует прав администратора).

Шаг 4. Постройте и проверьте всю цепочку

Один корень сам по себе мало что доказывает — важно, чтобы от вашего рабочего сертификата до корня выстраивалась непрерывная цепочка без ошибок. В Windows это делается так:

1. Откройте ваш личный сертификат (файл .cer или сертификат из контейнера через меню криптопровайдера).
2. Перейдите на вкладку «Путь сертификации». Вы должны увидеть дерево: ваш сертификат → промежуточный (если есть) → корневой УЦ.
3. У каждого элемента дерева должен стоять значок без жёлтого восклицательного знака и красного креста. Восклицательный знак обычно означает проблемы со списком отзыва, крест — недоверие или истёкший срок.
4. Если цепочка обрывается, откройте проблемный элемент и прочитайте текст ошибки — он подскажет, чего не хватает: промежуточного сертификата, списка отзыва или доверия к корню.

Частая ситуация: корень установлен, но подпись всё равно не проходит проверку, потому что отсутствует промежуточный сертификат или список отзыва. Их тоже скачивают с сайта УЦ и устанавливают в соответствующие хранилища («Промежуточные центры сертификации» и «Списки отзыва сертификатов»). Полный комплект файлов обычно публикуется одним архивом.

Шаг 5. Проверьте отзыв сертификата

Даже действующий по срокам сертификат мог быть отозван — например, при компрометации ключа или реорганизации УЦ. Проверка отзыва выполняется по спискам отозванных сертификатов (CRL) или онлайн-протоколом OCSP, если УЦ его предоставляет.

• Убедитесь, что актуальный CRL загружен и установлен. Дата выпуска списка должна быть свежей; устаревший список делает проверку формальной.
• Настройте криптопровайдер так, чтобы он действительно проверял отзыв, а не пропускал этот этап. По умолчанию некоторые программы допускают проверку «по возможности» — для ответственных документов лучше требовать строгую проверку.
• При проверке чужой подписи обращайте внимание на итоговый статус: «сертификат действителен» отличается от «статус определить не удалось». Второе означает, что гарантии нет.

Типичные ошибки и как их избежать

Ошибка	Чем проявляется	Что делать
Корень скачан из непроверенного источника	Подпись «работает», но происхождение сертификата сомнительно	Переустановить сертификат из официального архива УЦ, сверить отпечаток
Сертификат установлен не в то хранилище	Ошибка «не удалось построить цепочку сертификатов»	Переместить в «Доверенные корневые центры сертификации»
Истёк срок корневого сертификата	Все подписи УЦ внезапно перестали проверяться	Скачать обновлённый корень с сайта УЦ и заменить старый
Нет промежуточного сертификата или CRL	Жёлтый значок предупреждения в пути сертификации	Доустановить недостающие элементы комплекта УЦ
Проверка отзыва отключена или игнорируется	Подпись признаётся действительной без анализа статуса	Включить строгую проверку CRL/OCSP в настройках криптопровайдера
Не установлен или устарел криптопровайдер	Ошибки чтения ГОСТ-подписи независимо от сертификатов	Обновить криптопровайдер до версии, совместимой с вашей ОС

Когда стоит обратиться к специалисту

Большинство описанных операций доступны обычному пользователю, но есть ситуации, где самостоятельные эксперименты скорее навредят:

• вы подозреваете, что в системе уже установлен поддельный корневой сертификат, и не уверены, какие записи безопасно удалить;
• ошибка проверки возникает на стороне государственной информационной системы, и требуется понять, чья сторона виновата;
• используется нестандартная конфигурация: серверное ПО, Linux без графических инструментов, корпоративные политики, ограничивающие хранилища;
• подпись юридически значима, и ошибка проверки грозит отказом в приёме документа.

В этих случаях разумнее обратиться в поддержку вашего удостоверяющего центра или криптопровайдера: они видят точную конфигурацию и знают регламент замены своих сертификатов.

Частые вопросы

Можно ли просто удалить все неизвестные корневые сертификаты?

Технически да, но осторожно: в хранилище находятся и системные корни, нужные для работы сайтов и обновлений. Удаляйте только те записи, которые относятся к вашему рабочему УЦ и вызывают сомнения, предварительно зафиксировав их отпечатки.

Подпись проверяется без интернета. Значит ли это, что отзыв не проверяется?

Да, офлайн-проверка работает только по заранее установленным спискам отзыва. Если CRL свежий, результат достоверен на дату его выпуска; если список старый, статус сертификата фактически не проверялся.

Почему на одном компьютере подпись проверяется, а на другом нет?

Почти всегда причина в различии окружения: на одной машине установлен полный комплект сертификатов УЦ и свежие CRL, на другой — нет. Сравните путь сертификации и состав хранилищ на обеих машинах.

Нужно ли проверять корневой сертификат каждый раз?

Разово — при первичной настройке рабочего места. Затем достаточно следить за уведомлениями УЦ о замене корней и обновлять списки отзыва; многие криптопровайдеры делают это автоматически.

Что делать дальше

Итоговый принцип прост: доверие к электронной подписи начинается с доверия к её корню. Установите корневой сертификат только из официального источника, сверьте отпечаток, убедитесь, что он лежит в хранилище доверенных корней, что цепочка от вашего сертификата строится без ошибок, а проверка отзыва включена и использует свежие списки. После этого разово настройте рабочее место и дальше лишь вовремя обновляйте компоненты по сигналам удостоверяющего центра.

Конкретные названия файлов, адреса загрузки и настройки криптопровайдера зависят от вашего УЦ и версии программного обеспечения — уточняйте их в актуальной инструкции удостоверяющего центра на дату обращения.

Материал носит информационный характер и описывает общий порядок проверки. Конкретные требования к электронным подписям, состав сертификатов и настройки зависят от удостоверяющего центра, законодательства и используемого программного обеспечения; при работе с юридически значимыми документами сверяйтесь с инструкциями вашего УЦ и при необходимости привлекайте профильного специалиста.