[QUOTE]
Programmer пишет:
При этом получаются файлы с расширением cer разного размера.[/QUOTE][QUOTE]
Sergey Cheban пишет:
Для начала стоит сравнить сертификаты любым из предложенных способов.[/QUOTE]Согласен, если принимает то все ОК. Если разница примерно в 30% - это скорее всего различие в кодировке. Расширение cer ни о чем не говорит, внутри может быть разный формат файла - кодировка DER, кодировка PEM (Base-64) с заголовками, кодировка PEM без заголовков (последняя позволяет просто скопировать сертификат из XML в CER и увидеть содержимое в понятном виде). Windows открывает их все. Однако пара килобайт - довольно много: нормально если различие 3 и 4,5 Кб, а если 1 и 3 Кб, то много. Большой объем сертификата (3-10 Кб) может быть если УЦ включил в него дополнительную информацию - например логотип УЦ (у российских УЦ не видел) или детальное описание политик.
Кроме кодировки различие может быть из-за того, что при экспорте можно включить (или не включать) в файл сертификат самого удостоверяющего центра или вообще всю цепочку сертификатов. Обычный экспорт Windows при этом предлагает другое расширение файла p7b, pfx и т.д., но если кодировка файла PEM (Base-64) с заголовками, то в нее тоже можно затолкать несколько сертификатов и поставить расширение CER.
При скачивании это тоже актуально - некоторые УЦ включают свой сертификат, некоторые нет (если нет, то идет отдельным файлом). По изначальной задумке предполагается ставить сертификат ГУЦ Минкомсвязи, а кросс-сертификат УЦ должен быть выдан ГУЦ и включен в сертификат конечного пользователя, тогда цепочка восстановится автоматически. Однако какое-то УЦ включает свой корневой вместо кросс от Минкомсвязи, кто-то вообще не включает (это оставляет конечному пользователю выбор какой из сертификатов УЦ использовать, но об автоматике уже речь не идет).
Если у ГИС ЖКХ уже установлен сертификат этого УЦ, то включение/исключение сертификата УЦ из сертификата конечного пользователя не окажет никакого эффекта.
[QUOTE]
Programmer пишет:
б) При регистрации ИС (в другой УО) получают сообщение:"Класс сертификата должен быть КС-2 и выше".[/QUOTE]Про это я уже где-то [URL=http://forum.burmistr.ru/viewtopic.php?p=136180#p136180]тут[/URL] отвечал подробно - в свойствах сертификата в "Политики сертификата" должно стоять значение "Класс средства ЭП КС2".
В дополнение к тому ответу скажу, что у КС1 и КС2 практически такой же программный состав КриптоПро, но для фактического класса КС2 по идее запрещено хранить ключи в Реестре - должен быть носитель с ключом (считыватель Реестр по умолчанию не ставится, но можно включить вручную) и что-то меняется с датчиком случайных чисел (биологический датчик по умолчанию отключен, но можно включить вручную, так как другого подходящего для КриптоПро датчика на большинстве компьютеров все равно нет). Лично мне кажется мягко говоря "странным" требовать КС2 для ИС - ИС как раз удобно хранить ключ в реестре, так как флешка/токен: 1) может просто "отвалиться" от сервера; 2) по умолчанию доступны всем пользователям компьютера; 3) весьма проблемно вводить пин-код для ИС; 4) не такие серьезные персональные данные в ГИС ЖКХ. Итого - у большинства все ограничится только отметкой КС2 в сертификате без соблюдения требований Класса КС2.
Сотрудники КриптоПро на форуме официально рекомендуют для ИС сохранять пин-код на уровне хранилища самого КриптоПро, так как при передаче из openssl пин-код не принимается в КриптоПро, параметров командной строки для пин-кода тоже не предусмотрено в утилитах КриптоПро - пин-код запрашивается отдельно (хотя это можно обойти специально составив команду перенаправления ввода-вывода).