7

Пробую сделать авторизацию через Госуслуги. Порядок подключения сайта понятен. Непонятно как работать с сертификатами.

Посмотрел несколько примеров реализации как на PHP (например https://github.com/fr05t1k/esia), так и на других языках.

Везде идет речь о сертификате (1 файл), о закрытом ключе (1 файл) и пароле к закрытому ключу (строка).

Что я имею из этого:

  • Пароль к закрытому ключу

  • Некие сертификаты, общедоступные по ссылке http://esia.gosuslugi.ru/public/esia.zip Я так понимаю что из них мне нужен только один, в зависимости от типа подписи.

  • Файлы, которые прислал заказчик (он же регистрировал сайт на Госуслугах).

Файлы от заказчика содержат один файл с расширением cer (Еще один сертификат?) и папку с несколькими файлами с расширением key (header.key, masks.key, primary.key и тд)

Вопросы: Как мне эти данные использовать? Какой из сертификатов мне нужен? Какой из файлов key - закрытый ключ? Или мне надо произвести какие-то действия и сгенерить из них закрытый ключ?

3 ответа 3

6

Разобрались в ситуации.

В итоге ключи, что прислал клиент (6 закрытых и 1 сертификат) могут быть импортированы только в криптопро. И работать с ними можно только с ПО криптопро (https://www.cryptopro.ru/). С их ПО получается только подписывать файлы, запросы - нет. Плюс это платно.

В итоге нашли докер контейнер, который умеет работать с ГОСТ шифрованием (https://github.com/rnixik/docker-openssl-gost/tree/master/php-fpm-gost). Сделали для него простой rest api для проксирования запросов к ЕСИА с использованием библиотеки (https://github.com/ekapusta/oauth2-esia)

Для работы с этой библиотекой необходимо преобразовать ключ и сертификат.

Ключ преобразовали с помощью этого https://github.com/garex/nodejs-gost-crypto Сертификат преобразовали с помощью этого https://ssl4less.ru/faq/ehniceskie-voprosy/onvertirovanie-sertifikatov-pem-p7b-pfx-der.html

2
  • Здравствуйте. Мне нужна помощь по решению такой же задаче. Как с вами связаться? 8 апр 2021 в 7:24
  • @ДмитрийМатвиенко, напишите мне на noir.garbage.ii@gmail.com
    – Skywave
    9 апр 2021 в 8:28
2

Везде идет речь о сертификате (1 файл), о закрытом ключе (1 файл) и пароле к закрытому ключу (строка)

Для обмена с ЕСИА потребуется шифрование, поэтому у вас должен быть свой RSA-ключ для подписи. Закрытый ключ находится у вас, публичный сертификат выгружается в кабинет ЕСИА.

Некие сертификаты, общедоступные по ссылке http://esia.gosuslugi.ru/public/esia.zip

Поскольку ЕСИА тоже будет присылать вам шифрованную информацию, то вам потребуется публичный сертификат ЕСИА, чтобы расшифровать эту информацию.

Файлы от заказчика содержат один файл с расширением cer

Скорей всего - это публичный сертификат. Можете попробовать его открыть. В windows должно открыться стандартное окно с информацией о сертификате.

и папку с несколькими файлами с расширением key (header.key, masks.key, primary.key и тд)

А вот тут сказать сложно. Похоже, что клиент сгенерировал ключ на флешке средствами крипто-про или наподобие, а потом просто скопировал каталог. Вот тут он не прав. Надо выяснять конкретные требования заказчика по интеграции

Для авторизации через госуслуги можно использовать, например, самоподписанные сертификаты:

Сначала создать закрытый ключ и запрос на сертификат

openssl req -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr -sha256

в процессе генерации будет запрос на воод пароля к закрытому ключу.

Потом выпустить публичный сертификат для него

openssl x509 -signkey domain.key -in domain.csr -req -days 1825 -out domain.crt -sha256

у вас будет два файла domain.key (закрытый ключ) и domain.crt (сертификат). Сертификат потом надо будет выгрузить в кабинет ЕСИА.

Как мне эти данные использовать?

Очень помог в интеграции с ЕСИА пакет https://github.com/ekapusta/oauth2-esia Описание работы с ним https://habr.com/ru/post/358834/

Кстати, если посмотрите тесты на гитхабе, то найдете там мнемонику для тестовой организации и готовые ключи для нее. Можно будет протестировать.

10
  • Соответственно заказчик мне 2 файла должен вернуть - ключ и сертификат?
    – Skywave
    9 сен 2019 в 18:18
  • Надо выяснить как он формировал ключ и какие требования к нему предъявлялись. Если он формировал ключ через крипто-про с гостовскими алгоритмами то можно получить дополнительный геморрой. Если закрытый ключ не экспортируется с е-токена в файл, то придется искать библиотеки, которые работают не с файлом, а с е-токеном, который должен будет все время вставлен в сервер. Нужно выяснить у заказчика, а зачем ему это нужно. Требуют ли от него это специально? Возможно он сам напутал и отдал вам сертификат доступа к своему кабинету на госуслугах, который вовсе не нужен для создания аут-ии на госуслугах 9 сен 2019 в 19:40
  • Вам требуется закрытый ключ и сертификат. Они могут формироваться самостоятельно (как писал выше). Так что проясните с заказчиком. Вполне возможно он сам мало что понимает в авторизации через госуслуги. 9 сен 2019 в 19:43
  • Прежде чем начинать работу, выясните еще у заказчика, предоставили ли ему песочницу для разработки. А то вы и протестировать ничего не сможете 9 сен 2019 в 19:48
  • 1
    Я все больше склоняюсь к мысли, что клиент напутал и скинул вам свою эцп. Тут он рискует с безопасностью. Авторизация на сайте через госуслуги не требует квалифицированной эцп. Можете проверить. Скопируйте выданные файлы в каталог на флешку. Поставьте 30-дневку крипто-про. Крипто про должен найти ключ на флешке. Установите личный сертификат, и попробуйте войти по этому ключу на госуслуги. Если вошли под его организацией - то мои предположения подтвердились))) 10 сен 2019 в 8:36
1

Прошлый ответ теперь неактуален (для нас по крайней мере). Требования изменились и нам надо было использовать криптопро в любом случае.

Решили это использованием образа https://hub.docker.com/r/required/cryptopro. Гляньте внимательно как его устанавливать и импортировать ключи. Вам придется скачать себе репозиторий и собирать из локальных файлов а не просто указать имя образа.

Внутри образа надо поднять любым доступным способом апишку, которая будет принимать на вход строку, а отдавать на выход подписанную строку. Это все, для чего нужен этот образ.

Команда для подписи:

#!/bin/bash

cryptcp -signf -dir "/import" -der -strict -cert -detached -thumbprint "$1" -pin "$2" "/import/message" > /dev/null 2>&1
signResult=$?
if [ "$signResult" != "0" ]; then
  exit $signResult
fi
cat "/import/message.sgn"
rm -f "/import/message" "/import/message.sgn"

Скрипт апишки:

<?php

$request = $_SERVER['REQUEST_URI'];
list($path,) = explode('?', $request);

switch ($path) {
    case '/sign':
        $content = file_get_contents('php://input');
        $content = str_replace("\n", '', $content);
        $content = str_replace("\r", '', $content);
        file_put_contents('/import/message', $content);
        $cmd = '/import/scripts/signf-cryptcp ' . $_GET['query'] . ' ' . $_GET['pin'];
        $data = [
            'status' => 'ok',
            'cmd' => $cmd,
            'signedContent' => safeBase64(shell_exec($cmd))
        ];
        echo json_encode($data);
        break;
}

function safeBase64($string)
{
    file_put_contents('/import/sig', $string);
    $encoded = $string;
    $encoded = base64_encode($encoded);
    $encoded = str_replace(array('+', '/', '='), array('-', '_', ''), $encoded);
    file_put_contents('/import/sig-encoded', $encoded);
    return $encoded;
}

Апишка дергается таким образом:

$query = 'find_type='.$findType.'&query='.$certQuery.'&pin='.$keyPin;
$cmd = 'echo "'.$message.'" | curl -sS -X POST --data-binary @- "'.$apiUrl.'/sign?'.$query.'"';
  • $findType = 'sha1': метод поиска сертификата в контейнере
  • $certQuery: хеш загруженного в контейнер с криптопро сертификата (типа идентификатора).
  • $keyPin: Пин, или ключ, или мнемоника. Точно не помню как это в терминах госуслуг или криптопро.
  • $message: Строка для подписи
  • $apiUrl: урлик апишки в контейнере криптопро

Итак, мы умеем подписывать строки. Что дальше?

В качестве OAuth клиента использовали https://github.com/ekapusta/oauth2-esia

Но в итоге пришлось кое-что переписать

<?php

/* ПРИШЛОСЬ ПОЛНОСТЬЮ СКОПИПАСТИТЬ КЛАСС Ekapusta\OAuth2Esia\Provider\EsiaProvider, т.к. некоторые вещи private */

namespace app\components\oauth;

use Ekapusta\OAuth2Esia\Interfaces\Provider\ProviderInterface;
use Ekapusta\OAuth2Esia\Interfaces\Security\SignerInterface;
use Ekapusta\OAuth2Esia\Interfaces\Token\ScopedTokenInterface;
use Ekapusta\OAuth2Esia\Token\EsiaAccessToken;
use InvalidArgumentException;
use Lcobucci\JWT\Parsing\Encoder;
use League\OAuth2\Client\Grant\AbstractGrant;
use League\OAuth2\Client\Provider\AbstractProvider;
use League\OAuth2\Client\Provider\Exception\IdentityProviderException;
use League\OAuth2\Client\Provider\GenericResourceOwner;
use League\OAuth2\Client\Token\AccessToken;
use League\OAuth2\Client\Tool\BearerAuthorizationTrait;
use Psr\Http\Message\ResponseInterface;
use Ramsey\Uuid\Uuid;

class EsiaProvider extends AbstractProvider implements ProviderInterface
{
    use BearerAuthorizationTrait;

    const RESOURCES = __DIR__.'/../../resources/';

    protected $defaultScopes = ['openid', 'fullname'];

    protected $remoteUrl = 'https://esia.gosuslugi.ru';

    protected $remoteCertificatePath = self::RESOURCES.'esia.prod.cer';

    /**
     * @var SignerInterface
     */
    private $signer;

    /**
     * @var Encoder
     */
    private $encoder;

    public function __construct(array $options = [], array $collaborators = [])
    {
        parent::__construct($options, $collaborators);
        if (!filter_var($this->remoteUrl, FILTER_VALIDATE_URL)) {
            throw new InvalidArgumentException('Remote URL is not provided!');
        }
        if (!file_exists($this->remoteCertificatePath)) {
            throw new InvalidArgumentException('Remote certificate is not provided!');
        }

        if (isset($collaborators['signer']) && $collaborators['signer'] instanceof SignerInterface) {
            $this->signer = $collaborators['signer'];
            $this->encoder = new Encoder();
        } else {
            throw new InvalidArgumentException('Signer is not provided!');
        }
    }

    public function getBaseAuthorizationUrl()
    {
        return $this->getUrl('/aas/oauth2/ac');
    }

    protected function getAuthorizationParameters(array $options)
    {
        $options = [
            'access_type' => 'online',
            'approval_prompt' => null,
            'timestamp' => $this->getTimeStamp(),
        ] + parent::getAuthorizationParameters($options);

        return $this->withClientSecret($options);
    }

    /**
     * @param array $params
     *
     * @return array
     */
    private function withClientSecret(array $params)
    {
        $message = $params['scope'].$params['timestamp'].$params['client_id'].$params['state'];
        $signature = $this->signer->sign($message);
        // $params['client_secret'] = $this->encoder->base64UrlEncode($signature);
    $params['client_secret'] = $signature; // т.к. криптопро возвращает уже кодированную строку

        return $params;
    }

    protected function getRandomState($length = 32)
    {
        return Uuid::uuid4()->toString();
    }

    public function generateState()
    {
        return $this->getRandomState();
    }

    private function getTimeStamp()
    {
        return date('Y.m.d H:i:s O');
    }

    public function getBaseAccessTokenUrl(array $params)
    {
        return $this->getUrl('/aas/oauth2/te');
    }

    public function getResourceOwnerDetailsUrl(AccessToken $token)
    {
        $embeds = $this->getResourceOwnerEmbeds($token);

        return $this->getUrl('/rs/prns/'.$token->getResourceOwnerId().'?embed=('.implode(',', $embeds).')');
    }

    private function getResourceOwnerEmbeds(ScopedTokenInterface $token)
    {
        $allowedScopes = $token->getScopes();

        $embedsToScopes = [
            'contacts.elements' => [
                'contacts',
                'email',
                'mobile',
            ],
            'addresses.elements' => [
                'contacts',
            ],
            'documents.elements' => [
                'id_doc',
                'medical_doc',
                'military_doc',
                'foreign_passport_doc',
                'drivers_licence_doc',
                'birth_cert_doc',
                'residence_doc',
                'temporary_residence_doc',
            ],
            'vehicles.elements' => [
                'vehicles',
            ],
            'organizations.elements' => [
                'usr_org',
            ],
        ];

        $allowedEmbeds = [];
        foreach ($embedsToScopes as $embed => $scopes) {
            if (count(array_intersect($allowedScopes, $scopes))) {
                $allowedEmbeds[] = $embed;
            }
        }

        return $allowedEmbeds;
    }

    private function getUrl($path)
    {
        return $this->remoteUrl.$path;
    }

    protected function getDefaultScopes()
    {
        return $this->defaultScopes;
    }

    protected function getScopeSeparator()
    {
        return ' ';
    }

    protected function getAccessTokenRequest(array $params)
    {
        $params = $params + [
            'scope' => 'openid',
            'state' => $this->getRandomState(),
            'timestamp' => $this->getTimeStamp(),
            'token_type' => 'Bearer',
        ];

        return parent::getAccessTokenRequest($this->withClientSecret($params));
    }

    protected function checkResponse(ResponseInterface $response, $data)
    {
        if ($response->getStatusCode() >= 400 || isset($data['error'])) {
            throw new IdentityProviderException(
                isset($data['error']) ? $data['error'] : $response->getReasonPhrase(),
                $response->getStatusCode(),
                (string) $response->getBody()
            );
        }
    }

    protected function createAccessToken(array $response, AbstractGrant $grant)
    {
        return new EsiaAccessToken($response, $this->remoteCertificatePath);
    }

    protected function createResourceOwner(array $response, AccessToken $token)
    {
        $response = ['resourceOwnerId' => $token->getResourceOwnerId()] + $response;

        return new GenericResourceOwner($response, 'resourceOwnerId');
    }
}

<?php

namespace app\components\oauth;

use Ekapusta\OAuth2Esia\Security\Signer;

class CryptoProApiSigner extends Signer
{
    public function __construct($params)
    {
        $this->keyPin = $params['keyPin'] ?? null;
        $this->findType = $params['findType'] ?? 'sha1';
        $this->certQuery = $params['certQuery'] ?? null;
        $this->apiUrl = $params['apiUrl'] ?? null;
    }

    public function sign($message)
    {
        $response = $this->request($message);
        $response = json_decode($response, true);
        $sig = $response['signedContent'] ?? null;
        file_put_contents(__DIR__ . '/message', $message);
        file_put_contents(__DIR__ . '/sig.json', print_r($response, true));
        file_put_contents(__DIR__ . '/sig', $sig);
        return $sig;
    }

    public function request($message)
    {
        $certQuery = 'find_type=' . $this->findType . '&query=' . $this->certQuery . '&pin=' . $this->keyPin;
        $cmd = 'echo "' . $message . '" | curl -sS -X POST --data-binary @- "' . $this->apiUrl . '/sign?' . $certQuery . '"';
        file_put_contents(__DIR__ . '/cmd', $cmd);
        return shell_exec($cmd);
    }
}

Как использовать

<?php

$provider = new EsiaProvider([
    'clientId'      => $this->config['client_id'] ?? null,
    'redirectUri'   => $redirectUrl ?? $this->config['redirect_uri'] ?? null,
    'defaultScopes' => $this->config['default_scope'] ?? null,
    'remoteUrl' => $this->config['portal_url'] ?? null,
    'remoteCertificatePath' => $this->config['remote_cert_path'] ?? null,
], [
    'signer' => new CryptoProApiSigner(
        [
            'keyPin' => $this->config['pin'],
            'certQuery' => $this->config['cert_sha1'],
            'apiUrl' => $this->config['signer_api_url']
        ]
    )
]);

// получение урлика для редиректа на госуслуги
$redirectUrl = $_POST['redirectUrl'];
$provider = $this->getProvider($redirectUrl);
$state = $provider->generateState();
$params = [
    'state' => $state,
];
try {
    $authUrl = $provider->getAuthorizationUrl($params);
} catch (\Exception $e) {
    echo $e->getMessage();
}
return [
    'authUrl' => $authUrl,
    'state' => $state
];

// получение токена и данных
$redirectUrl = $_POST['redirectUrl'];
$provider = $this->getProvider($redirectUrl);
$accessToken = $provider->getAccessToken('authorization_code', ['code' => $_POST['code'] ?? null]);
if (!$accessToken) {
    return null;
}
$esiaPersonData = $provider->getResourceOwner($accessToken);
if (!$esiaPersonData) {
    return null;
}
$userDataArray = $esiaPersonData->toArray();
return $userDataArray;

P.S. Код выдергивался и правился из проекта, поэтому на 100% рабочесть не претендует, но зато видно сценарий.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.