Корневой сертификат: что это, где взять и как установить

Корневой сертификат — это сертификат самого удостоверяющего центра, которым подписаны все выданные им сертификаты. Ваша подпись доказывает, что документ подписали вы; корневой сертификат доказывает, что вашу подпись выдал именно тот удостоверяющий центр, за который он себя выдаёт. Пока корневого сертификата нет на компьютере, система не может проверить, кем выдан ваш сертификат, и выдаёт что-нибудь вроде «Невозможно проверить ЭП» или «Не удалось построить цепочку сертификатов». Подпись при этом технически исправна — не хватает только звена доверия.

Цепочка доверия: как это устроено

Проверка подписи идёт снизу вверх, по цепочке:

1. Ваш личный сертификат — им подписан документ.
2. Сертификат удостоверяющего центра — им подписан ваш сертификат.
3. Сертификат головного удостоверяющего центра — им подписан сертификат самого УЦ. Для квалифицированных подписей это головной удостоверяющий центр Минцифры России.

Цепочка считается построенной, когда каждое звено на месте и ни одно не просрочено. Если пропущено среднее звено — а именно это и происходит чаще всего, — проверка обрывается. Термин встречается и в другом значении: корневыми называют сертификаты центров, которые подписывают SSL-сертификаты сайтов, — они уже встроены в браузеры и операционные системы. К электронной подписи документов это отношения не имеет, хотя принцип цепочки доверия тот же.

Что содержится в корневом сертификате

Это служебный файл со сведениями об удостоверяющем центре:

• данные удостоверяющего центра, который выдаёт подписи;
• срок действия самого корневого сертификата;
• служебные адреса центра, в том числе точки распространения списков отзыва.

Через эти адреса программа проверки узнаёт, не отозван ли ваш сертификат. Поэтому корневой сертификат нужен не только для первичной проверки подлинности, но и для регулярной сверки со списком отзыва.

Можно ли работать без корневого сертификата

Установить криптопровайдер и личный сертификат можно и без него — но при первой же попытке подписать документ или войти по подписи на портал появится сообщение о недействительности подписи. То же произойдёт у получателя вашего документа, если корневого сертификата нет уже у него. Признаки, что дело именно в корневом сертификате:

• в свойствах сертификата на вкладке «Путь сертификации» стоит предупреждающий значок;
• система пишет, что цепочку построить не удалось или издатель неизвестен;
• подпись ставится, но при проверке отображается как недействительная.

Другие причины похожих сообщений разобраны в статье про ошибку сертификата.

Где взять корневые сертификаты

Комплект корневых сертификатов выдаётся вместе с подписью, но со временем теряется — и тогда файлы берут на сайте выдавшего удостоверяющего центра. У каждого УЦ есть свой раздел с актуальными и отозванными сертификатами, чаще всего он называется «Об удостоверяющем центре» или «Корневые сертификаты». Три правила, чтобы не ошибиться:

• скачивать только с сайта того УЦ, который выдал вашу подпись, — сертификат чужого центра не подойдёт;
• для подписей УЦ ФНС ставить и сертификат головного удостоверяющего центра Минцифры;
• проверять срок действия скачанного файла: на сайтах лежат и архивные версии.

Многие удостоверяющие центры предлагают программу автоматической настройки рабочего места — она сама скачивает и раскладывает по хранилищам всё, что нужно. Это надёжнее ручной установки, если вы не уверены в выборе хранилища.

Не хочется разбираться самому? Услуги удостоверяющего центра — инженер удалённо настроит рабочее место и починит подпись.

Пошаговая инструкция по установке

Понадобится файл сертификата — обычно с расширением .cer или .crt.

1. Скачайте файл с сайта удостоверяющего центра или возьмите с носителя, выданного вместе с подписью.
2. Нажмите на файл правой кнопкой мыши и выберите «Установить сертификат».
3. В мастере импорта укажите размещение — «Локальный компьютер», если нужно, чтобы сертификат работал у всех пользователей устройства.
4. Откажитесь от автоматического выбора хранилища: нажмите «Поместить все сертификаты в следующее хранилище» и через «Обзор» выберите «Доверенные корневые центры сертификации». Промежуточные сертификаты УЦ ставятся в «Промежуточные центры сертификации».
5. Подтвердите предупреждение системы и завершите установку.
6. Перезапустите браузер, а лучше — компьютер, иначе изменения могут не примениться.

Правильность выбора хранилища здесь критична: сертификат, положенный не туда, система просто не увидит. После установки проверьте результат в свойствах личного сертификата — на вкладке «Путь сертификации» цепочка должна отображаться без предупреждений. Как установить сам личный сертификат, разобрано в отдельной инструкции по установке сертификата, а где искать файлы и контейнеры на диске — в статье как найти файл подписи.

Частые вопросы