System Zdalnej Obsługi Certyfikatów Instrukcja użytkownika Departament Bezpieczeństwa, Wydział Kryptografii Warszawa, 2016
Spis treści Wstęp 2 1. Generowanie kluczy kryptograficznych i certyfikatów za pomocą kodu jednorazowego 3 2. Zdalne odnawianie kluczy kryptograficznych i certyfikatu na karcie elektronicznej 8 3. Zdalne odnawianie kluczy kryptograficznych i certyfikatu w pliku pfx 11 4. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Internet Explorer 17 4.1 Instalacja certyfikatów urzędów CCK NBP oraz NBP CCK 2 17 4.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 22 5. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Firefox 25 5.1 Instalacja certyfikatów CCK NBP oraz NBP CCK 2 25 5.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 28 6. Zmiana hasła do pliku PFX 31 7. Błędy przy zdalnej aktualizacji kluczy i certyfikatów 41 7.1 Warunki niezbędne do uruchomienia Systemu Zdalnej Obsługi Certyfikatów: 41 7.2 Najczęstsze błędy związane z certyfikatami: 41 7.3 Najczęstsze błędy związane z działaniem Javy: 43 str. 1
Wstęp System DOCert to system informatyczny służący do centralnego, elektronicznego wystawiania i dystrybucji certyfikatów wykorzystywanych w systemach informatycznych NBP. System Zdalnej Obsługi Certyfikatów (zwany dalej SZOC), dostępny na stronie www.docert.nbp.pl, to element systemu DOCert pozwalający użytkownikom na generowanie i odnawianie certyfikatów na własnej stacji roboczej, bez konieczności składania wizyty w siedzibie NBP. Do prawidłowego działania SZOC niezbędna jest przeglądarka internetowa Internet Explorer lub Firefox a także oprogramowanie Java. Generowanie certyfikatów może odbywać się na dwa sposoby: 1. Na podstawie otrzymanego z NBP kodu jednorazowego w tym przypadku użytkownik nie musi posiadać żadnego certyfikatu wydanego w systemie DOCert. Uwaga: Ta funkcjonalność jest dostępna tylko w wybranych systemach informatycznych. 2. Na podstawie posiadanego przez użytkownika certyfikatu systemu DOCert w tym przypadku użytkownik musi posiadać kartę lub plik PFX zawierający klucze kryptograficzne i certyfikat. Dodatkowo, certyfikat musi być w okresie ważności i nie może być unieważniony. UWAGA: Do prawidłowego działania systemów informatycznych NBP niezbędne jest zainstalowanie na stacji roboczej użytkownika dwóch certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2. Należy je dodać do Zaufanych głównych urzędów certyfikacji w przeglądarce Internet Explorer lub do Organów certyfikacji w przeglądarce Firefox. Certyfikaty te można pobrać z następujących adresów : CCK NBP - http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_2010.crt NBP CCK 2 - http://www.docert.nbp.pl/certyfikaty/pliki/nbpcck2.crt W przypadku generowania certyfikatów testowych opisane w tym podręczniku czynności należy przeprowadzać w zakładce Certyfikaty testowe a certyfikaty CCK NBP oraz NBP CCK 2 należy zastąpić certyfikatami CCK TEST oraz NBP CCK TEST 2, które są dostępne pod poniższymi adresami: CCK TEST http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_test_2009.crt NBP CCK TEST 2 - http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_test_2014.crt str. 2
1. Generowanie kluczy kryptograficznych i certyfikatów za pomocą kodu jednorazowego 1. W celu wygenerowania kluczy i certyfikatu użytkownika za pomocą kodu jednorazowego, należy uruchomić stronę internetową www.docert.nbp.pl i wybrać zakładkę Certyfikaty użytkowe. 2. W przypadku pierwszego uruchomienia Systemu Zdalnej Obsługi Certyfikatów pojawi się komunikat z prośbą o uruchomienie kontrolki_recertyfikacyjnej. Należy kliknąć przycisk Run, str. 3
3. Po uruchomieniu kontrolki należy kliknąć przycisk Kod jednorazowy. 4. Jeżeli na stacji roboczej nie jest zainstalowany certyfikat urzędu NBP CCK 2, pojawi się komunikat z prośbą o instalację certyfikatu tego urzędu certyfikacji. Należy kliknąć przycisk Tak. str. 4
5. Następnie należy podać lokalizację, w której zapisany zostanie plik z rozszerzeniem pfx zawierający wygenerowane klucze kryptograficzne i certyfikat użytkownika. W tym celu należy wybrać opcję Wskaż, a następnie wskazać odpowiednią lokalizację na dysku komputera oraz wpisać nazwę pliku i kliknąć przycisk Zapisz. 6. Jeśli w oknie Wskaż położenie pliku z kluczami znajduje się prawidłowa ścieżka oraz nazwa pliku, należy zatwierdzić wybór przyciskiem OK. str. 5
7. W kolejnym kroku należy ustalić hasło które będzie zabezpieczać plik PFX, i potwierdzić je przyciskiem OK. 8. Na koniec należy wprowadzić kod jednorazowy otrzymany z NBP i zatwierdzić go klikając OK. 9. Poniższy komunikat informuje o pomyślnym zakończeniu procesu generowania nowych kluczy kryptograficznych i certyfikatu. str. 6
str. 7
2. Zdalne odnawianie kluczy kryptograficznych i certyfikatu na karcie elektronicznej 1. W celu odnowenia kluczy kryptograficznych i certyfikatu użytkownika na karcie elektronicznej, należy włożyć kartę elektroniczną do czytnika i uruchomić stronę internetową www.docert.nbp.pl i wybrać zakładkę Certyfikaty użytkowe. 2. W przypadku pierwszego uruchomienia Systemu Zdalnej Obsługi Certyfikatów pojawi się komunikat z prośbą o uruchomienie kontrolki_recertyfikacyjnej. Należy kliknąć przycisk Run, str. 8
3. Po uruchomieniu kontrolki należy kliknąć przycisk Karta elektroniczna. 4. Jeżeli na stacji roboczej nie jest zainstalowany certyfikat urzędu NBP CCK 2, pojawi się komunikat z prośbą o instalację certyfikatu tego urzędu certyfikacji. Należy kliknąć przycisk Tak. str. 9
5. Następnie należy podać PIN do karty elektronicznej i kliknąć przycisk OK. 6. Poniższy komunikat informuje o pomyślnym zakończeniu procesu generowania nowych kluczy kryptograficznych i certyfikatu. str. 10
3. Zdalne odnawianie kluczy kryptograficznych i certyfikatu w pliku pfx 1. W celu odnowenia kluczy kryptograficznych i certyfikatu użytkownika w pliku pfx, należy uruchomić stronę internetową www.docert.nbp.pl i wybrać zakładkę Certyfikaty użytkowe. 2. W przypadku pierwszego uruchomienia Systemu Zdalnej Obsługi Certyfikatów pojawi się komunikat z prośbą o uruchomienie kontrolki_recertyfikacyjnej. Należy kliknąć przycisk Run, str. 11
3. Po uruchomieniu kontrolki należy kliknąć przycisk Klucz firmowy do przeglądarki. 4. Jeżeli na stacji roboczej nie jest zainstalowany certyfikat urzędu NBP CCK 2, pojawi się komunikat z prośbą o instalację certyfikatu tego urzędu certyfikacji. Należy kliknąć przycisk Tak. str. 12
5. Następnie należy podać lokalizację, w której znajduje się plik z rozszerzeniem pfx zawierający dotychczas wykorzystywane klucze kryptograficzne i certyfikat. W tym celu należy wybrać opcję Wskaż, wskazać odpowiedni plik z rozszerzeniem pfx i kliknąć przycisk Zapisz. str. 13
6. Jeśli w oknie Wskaż położenie pliku z kluczami znajduje się właściwy plik, należy zatwierdzić wybór przyciskiem OK. 7. Następnie należy podać hasło chroniące plik z rozszerzeniem pfx wskazany w poprzednim kroku i zatwierdzić je przyciskiem OK. 8. W kolejnym kroku należy podać lokalizację, w której zapisany zostanie plik PFX zawierający nowe klucze kryptograficzne i certyfikat. W tym celu należy wybrać opcję Wskaż, wskazać odpowiednią lokalizację na dysku twardym komputera, wpisać nazwę nowego pliku i kliknąć przycisk Zapisz. str. 14
9. Jeśli w oknie Plik z kluczami znajduje się prawidłowa ścieżka oraz nazwa pliku, należy zatwierdzić wybór przyciskiem OK. UWAGA: Hasło chroniące nowy plik PFX będzie identyczne z hasłem podanym w kroku 7. str. 15
10. Poniższy komunikat informuje o pomyślnym zakończeniu procesu generowania nowych kluczy kryptograficznych i certyfikatu. str. 16
4. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Internet Explorer 4.1 Instalacja certyfikatów urzędów CCK NBP oraz NBP CCK 2 1. W celu zainstalowania w przeglądarce Internet Explorer certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2, należy uruchomić stronę internetową www.docert.nbp.pl, a następnie z tabeli znajdującej się w dolnej części strony wybrać certyfikaty Centrum Certyfikacji Kluczy NBP. UWAGA: Certyfikaty należy instalować pojedynczo. 2. Po wybraniu pierwszego certyfikatu, na dole strony pojawi się okno z pytaniem Czy chcesz otworzyć lub zapisać plik. z witryny docert.nbp.pl?. Należy wybrać opcję Otwórz str. 17
3. Po wyświetleniu certyfikatu urzędu certyfikacji należy wybrać opcję Zainstaluj certyfikat w celu uruchomienia Kreatora importu certyfikatów. Na kolejnym ekranie należy kliknąć Dalej str. 18
str. 19
4. Na ekranie Magazyn certyfikatów należy zaznaczyć opcję Umieść wszystkie certyfikaty w następującym magazynie, kliknąć Przeglądaj, wskazać Zaufane główne urzędy certyfikacji i zatwierdzić wybór przyciskiem OK. str. 20
5. Po wykonaniu tych czynności należy zakończyć pracę kreatora przyciskiem Zakończ. 6. W przypadku, gdy na ekranie zostanie wyświetlone Ostrzeżenie o zabezpieczeniach informujące o próbie zainstalowania certyfikatu urzędu certyfikacji należy kliknąć przycisk Tak by zainstalować ten certyfikat. Instalacja jest potwierdzana komunikatem Import został pomyślnie ukończony 7. Po zainstalowaniu certyfikatu pierwszego urzędu certyfikacji, kroki 2-6 należy powtórzyć dla certyfikatu drugiego urzędu certyfikacji. str. 21
4.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 1. W celu zainstalowania w przeglądarce Internet Explorer kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy kliknąć prawym przyciskiem myszy na wybranym pliku, a następnie z menu kontekstowego wybrać opcję Zainstaluj PFX uruchamiając Kreator importu certyfikatów. str. 22
2. Na następnym ekranie należy sprawdzić, czy w polu Nazwa pliku znajduje się wybrany w poprzednim kroku plik i jeśli tak, to potwierdzić wybór przyciskiem Dalej. 3. Następnie należy podać hasło zabezpieczające plik z kluczami i certyfikatem i potwierdzić je przyciskiem Dalej. UWAGA: Należy dobrze rozważyć czy zaznaczać opcję Oznacz ten klucz jako eksportowalny. Jej zaznaczenie stwarza zagrożenie, gdy do danej stacji roboczej dostęp mają osoby nieupoważnione (mogą one taki klucz wyeksportować i przenieść na inną stację roboczą). Z drugiej strony, niezaznaczenie tej opcji, oznacza, iż w przypadku utraty pliku PFX, nie będzie możliwości dokonania zdalnej odnowy certyfikatu. str. 23
4. By zakończyć instalację kluczy i certyfikatu należy dodatkowo wskazać magazyn, w którym mają być one zapisane w tym przypadku wystarczy zaznaczyć opcję Automatycznie wybierz magazyn certyfikatów na podstawie typu certyfikatu i potwierdzić wybór przyciskiem Dalej. 5. Ostatni ekran zawiera podsumowanie informacji zebranych w trakcie instalacji jeśli wszystkie informacje są prawidłowe, należy je zaakceptować przyciskiem Zakończ. str. 24
5. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Firefox 5.1 Instalacja certyfikatów CCK NBP oraz NBP CCK 2 1. W celu zainstalowania w przeglądarce Firefox certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2, należy uruchomić stronę internetową www.docert.nbp.pl, a następnie z tabeli znajdującej się w dolnej części strony wybrać certyfikaty Centrum Certyfikacji Kluczy NBP. UWAGA: Certyfikaty należy instalować pojedynczo. 2. Po wybraniu pierwszego certyfikatu, w kolejnym oknie należy zaznaczyć opcję Zaufaj temu CA przy identyfikacji witryn internetowych a następnie kliknąć OK. str. 25
3. Następnie należy wybrać drugi certyfikat urzędu certyfikacji i także zaznaczyć Zaufaj temu CA przy identyfikacji witryn internetowych. 4. Ze względu na fakt, iż przeglądarka w żaden sposób nie potwierdza instalacji certyfikatu urzędu certyfikacji, należy ręcznie zweryfikować czy certyfikat ten został dodany. W tym celu w górnym rogu należy wybrać Otwórz menu a następnie Opcje. str. 26
5. W Opcjach należy wybrać zakładkę Zaawansowane a następnie Certyfikaty i kliknąć przycisk Wyświetl certyfikaty. 6. W kolejnym oknie należy wybrać zakładkę Organy certyfikacji i na liście odszukać Narodowy Bank Polski. Na liście powinny znajdować się dwa certyfikaty przypisane do Narodowego Banku Polskiego certyfikat CCK NBP oraz NBP CCK 2. str. 27
5.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 1. W celu zainstalowania w przeglądarce Firefox kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy uruchomić przeglądarkę a następnie w górnym rogu wybrać Otwórz menu a następnie Opcje. 2. W Opcjach należy wybrać zakładkę Zaawansowane a następnie Certyfikaty i kliknąć przycisk Wyświetl certyfikaty. str. 28
3. W zakładce Użytkownik należy wybrać Importuj i wskazać plik PFX zawierający klucze kryptograficzne i certyfikat użytkownika. str. 29
4. Następnie należy podać hasło chroniące plik PFX. Po jego podaniu import zostanie ukończony, a certyfikat użytkownika pojawi się na liście. str. 30
6. Zmiana hasła do pliku PFX 1. Zmiana hasła do pliku PFX zawierającego klucze kryptograficzne i certyfikat wymaga jego zainstalowania w przeglądarce internetowej, a następnie wyeksportowania tych kluczy kryptograficznych do nowego pliku PFX, chronionego innym hasłem. 2. W celu zainstalowania w przeglądarce Internet Explorer kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy kliknąć prawym przyciskiem myszy na wybranym pliku, a następnie z menu kontekstowego wybrać opcję Zainstaluj PFX uruchamiając Kreator importu certyfikatów. str. 31
3. Na następnym ekranie należy sprawdzić, czy w polu Nazwa pliku znajduje się wybrany w poprzednim kroku plik i jeśli tak, to potwierdzić wybór przyciskiem Dalej. 4. Następnie należy podać hasło zabezpieczające plik z kluczami i certyfikatem, zaznaczyć opcję Oznacz ten klucz jako eksportowalny i potwierdzić przyciskiem Dalej. str. 32
5. By zakończyć instalację kluczy i certyfikatu należy dodatkowo wskazać magazyn, w którym mają być one zapisane w tym przypadku wystarczy zaznaczyć opcję Automatycznie wybierz magazyn certyfikatów na podstawie typu certyfikatu i potwierdzić wybór przyciskiem Dalej. 6. Ostatni ekran zawiera podsumowanie informacji zebranych w trakcie instalacji jeśli wszystkie informacje są prawidłowe, należy je zaakceptować przyciskiem Zakończ. 7. Następnie należy wyeksportować klucze kryptograficzne do pliku PFX. W tym celu str. 33
z górnego menu w przeglądarce Internet Explorer należy wybrać Narzędzia a następnie Opcje internetowe. 8. W Opcjach internetowych należy wybrać zakładkę Zawartość a następnie kliknąć przycisk Certyfikaty. str. 34
9. W kolejnym oknie należy wybrać zakładkę Osobisty, wskazać odpowiedni certyfikat i kliknąć przycisk Eksportuj. 10. Po uruchomieniu Kreatora eksportu certyfikatów na pierwszym ekranie należy kliknąć Dalej, na kolejnym zaznaczyć opcję Tak, eksportuj klucz prywatny i również kliknąć Dalej. str. 35
11. W kolejnym oknie należy zaznaczyć Wymiana informacji osobistych PKCS#12 (.PFX) oraz wszystkie trzy opcje poniżej, a następnie kliknąć Dalej. str. 36
12. Następnie należy ustalić nowe hasło chroniące nowy plik PFX. Po dwukrotnym jego wprowadzeniu, kliknąć Dalej. 13. Pozostaje jeszcze wskazać lokalizację oraz nazwę nowego pliku PFX. W tym celu str. 37
należy kliknąć Przeglądaj, wskazać odpowiednie miejsce na dysku twardym komputera, a także wpisać nazwę dla pliku PFX. Całość należy zatwierdzić przyciskiem Dalej. str. 38
14. Na koniec zostanie wyświetlone podsumowanie zawierające wszystkie informacje związane z eksportowanym certyfikatem. Jeśli dane są poprawne należy je zatwierdzić przyciskiem Zakończ. str. 39
str. 40
7. Błędy przy zdalnej aktualizacji kluczy i certyfikatów 7.1 Warunki niezbędne do uruchomienia Systemu Zdalnej Obsługi Certyfikatów: Należy posiadać ważny certyfikat, Należy posiadać kartę lub plik pfx z kluczami kryptograficznymi oraz ważnym certyfikatem, Należy znać hasło do pliku pfx/pin do karty, Na komputerze, z którego wykonywana jest zdalna aktualizacja kluczy musi być zainstalowana wirtualna maszyna Java w wersji co najmniej 1.7 jednak zalecana jest najbardziej aktualna wersja pobrana ze strony http://www.java.com/, W przypadku korzystania z przeglądarki 64-bitowej musi być zainstalowana również Java x64 (http://www.java.com/pl/download/manual.jsp) jednak w procesie odnawiania certyfikatów zalecane jest korzystanie z przeglądarek 32-bitowych, Proces należy wykonywać na maszynie fizycznej (nie przez terminal), Proces należy wykonywać na komputerze lokalnie (nie wykorzystywać zdalnego pulpitu ani narzędzi typu VNC), Wykorzystywać przeglądarkę zainstalowaną w systemie, a nie tzw. wersje portable. 7.2 Najczęstsze błędy związane z certyfikatami: 1. Certyfikat po okresie ważności. Brak możliwości zdalnego odnowienia. str. 41
2. Certyfikat unieważniony. Brak możliwości zdalnego odnowienia. 3. Użytkownik nie znaleziony w bazie systemu. Prosimy o kontakt z Centrum Certyfikacji Kluczy NBP cck@nbp.pl 4. Przekroczona maksymalna liczba certyfikatów dla danego użytkownika. Prosimy o kontakt z Centrum Certyfikacji Kluczy NBP cck@nbp.pl str. 42
7.3 Najczęstsze błędy związane z działaniem Javy: 1. W przypadku przeglądarki Internet Explorer, gdy zainstalowana jest nieaktualna wersja Javy, mogą pojawić się następujące komunikaty i ostrzeżenia dotyczące uruchomienia Javy. Aby uruchomić proces odnawiania certyfikatów należy zgodzić się na uruchomienie wybierając zaznaczone opcje: 2. W przypadku przeglądarki Mozilla Firefox mogą pojawić się następujące komunikaty i ostrzeżenia dotyczące uruchomienia Javy. Aby uruchomić proces odnawiania certyfikatów należy zgodzić się na uruchomienie wybierając zaznaczone opcje: str. 43
3. Jeśli po wejściu na stronę pojawia się poniższy komunikat: Oznacza to, że w systemie nie jest zainstalowana Java. Należy pobrać i zainstalować aktualną wersję ze strony http://www.java.com/ 4. Jeśli po zainstalowaniu Javy nadal jest problem z uruchomieniem Javy należy: a. zweryfikować czy jest włączone zapisywanie tymczasowych plików dla wtyczki Java (Keep temporary files on my computer) str. 44
b. oraz wyczyścić pamięć podręczną cache Javy: Panel sterowania (programy) Java Settings Delete files str. 45
5. Mimo zainstalowania Javy w systemie operacyjnym zdarza się, że nie ma wtyczki Java Platform SE w Mozilla Firefox lub jest ona wyłączona. W przypadku braku wtyczki należy ją pobrać ze strony: http://www.java.com/pl/download/help/firefox_online_install.xml a gdy jest wyłączona zmienić ustawienie na Zawsze aktywuj 6. Jeśli pojawia się komunikat str. 46
należy włączyć wyświetlanie konsoli Java (Panel sterowania (programy) Java Advanced Show console Następnie ponownie uruchomić przeglądarkę. Przy kolejnej próbie uruchomienia kontrolki recertyfikacyjnej powinno się pojawić okno konsoli Java, którego zawartość prosimy przysłać na adres cck@nbp.pl w celu analizy problemu. str. 47
str. 48