.NET 4.x Интеграция с ГИС ЖКХ. Подпись SOAP и защита канала по ГОСТ (2) - C# WCF - Страница 18

@nORb Dragon · 22.08.2016, 17:09

Студворк — интернет-сервис помощи студентам

Значит, что сертификаты правильные и туннель до сит2 настроен.

Но это не значит, что тебе не грозит еще воевать с подписью. Ибо на "реальном" сервере "все сурово и печально". А с подписыванием своих запросов под виндой мучай кого-нибудь другого! *Смех настоящего злодея* Мух-хня-хня-хнях!

@eniqen · 23.08.2016, 11:09

Прошу прощения за то что так врываюсь, но тоже стоит задача интеграции сижу уже неделю и не понимаю с чего начать.
Есть сгенеренные wsdl клиент на java. Если отступить от языка программирования, возмем тот же soap UI. Получаю ошибку при обращении например к http://sit01.dom.test.gosuslug... /NsiCommon

XML
1
2
3
 <ns4:ErrorCode>AUT011000</ns4:ErrorCode>
               <ns4:ErrorMessage>Неверный идентификатор ИС</ns4:ErrorMessage>
               <ns4:StackTrace>ru.lanit.hcs.integration.common.exception.SoapFaultException: EIS not found by certificate

XML
1
2
3
4
5
6
7
8
9
10
11
12
13
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/9.0.2.1/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/9.0.2.1/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">
   <soapenv:Header>
      <ns:ISRequestHeader>
         <ns:Date>${=javax.xml.datatype.Datatypefactory.newInstance().newXmlGregorianCalendar(new DateTime().toGregorianCalendar())}</ns:Date>
         <ns:MessageGUID>${=UUID.randomUUID()}</ns:MessageGUID>
      </ns:ISRequestHeader>
   </soapenv:Header>
   <soapenv:Body>
      <nsi:exportNsiListRequest Id="?">
         <ns:ListGroup>?</ns:ListGroup>
      </nsi:exportNsiListRequest>
   </soapenv:Body>
</soapenv:Envelope>

Я правильно понимаю что без поднятого тунеля например stunnel для ubuntu - работать ничего не будет ? Указываю что автоизация basic ввожу логин и пароль, помимо этого передаю слепок X-Client-Cert-Fingerprint и сам слепок полученный с сертификата. Нужно что-то еще ?
Может кто подсказать в какую сторону копать ? Прочтение документации и половины форума не помогло. Спасибо.

@Greiv · 23.08.2016, 11:15

eniqen Я так и не смог получить адекватный ответ с незащищённого соединения, что касается common запроса то да нужен тоннель, его не так сложно сделать. И там можно получить нормальный ответ, пример запроса через пару постов выше.

XML
1
2
3
<nsi:exportNsiListRequest Id="?">-id уБРАТЬ
<ns:ListGroup>?</ns:ListGroup>- ВООБЩЕ УБРАТЬ
</nsi:exportNsiListRequest>

@eniqen · 23.08.2016, 11:24

А если это не common запрос ? а http://sit01.dom.test.gosuslug... nspection?
Доступ в личный кабинет тоже нужен чтобы там получать какието SenderId org чтото там id ?

@Greiv · 23.08.2016, 11:30

Я могу сказать только за себя, я так и смог получить нормальный ответ без крипто тоннеля, вам для начала нужно почитать инструкцию(Порядок проведения тестирования v.9.0.2.1). Там всё достаточно понятно расписано как построить крипто тоннель халявный. А что касается отправки запроса, в этой теме разжевано всё.

@NaGuWaL · 23.08.2016, 11:45

eniqen, Нужно делегировать права своей ИС в личном кабинете. Для начала...

Добавлено через 6 минут
Подключайтесь к СИТ-02 там уже версия 10.0.0.5

@nORb Dragon · 23.08.2016, 11:55

Ну, если вообще говорить о "начале", для начала надо получить доступ к личному кабинету. %)

eniqen, если не знаешь с чего начать, и не вкурсе о личном кабинете, то предлагаю для начала скачать "базовый набор TFM" с официального ресурса ГИС ЖКХ (ссылка на страницу) в блоке "Взаимодействие с внешними системами" под названием "Регламент и форматы информационного взаимодействия внешних информационных систем с ГИС ЖКХ (перспективные форматы v.х.х.х.х)". Для тестов на сит1 скачивай 9ю версию, для сит2 - 10ю. Хотя, если уж только начинать ковыряться, то лучше сразу над 10й и на сит2. Пока наковыряешься, на "рабочем" и на сит1 будет стоять как минимум 10я.

В этих архивах есть как бесполезные документы, так и вполне любопытные.

@eniqen · 23.08.2016, 12:24

P12FromGostCSP есть какая то бесплатная утилита чтобы сгенерить сертификаты по пункту 3 Порядок проведения тестирования да еще и на линупсе? гугл молчит. Спасибо регламенты взаимодействия читал

@nORb Dragon · 23.08.2016, 12:50

P12FromGostCSP не генерит сертификаты, а выдергивает их с носителя (рутокена). Мне пришлось использовать "боевые" сертификаты, ибо на сайте Крипто-Про создать тестовые так ни разу не удалось.

Предлагаю озвучить, что у тебя "уже есть" (или нет):

тестовый ("боевой" с рутокена?) сертификат;
доступ в личный кабинет на сит1/сит2;
зарегистрированная в личном кабинете (отдельная регистрация под сит1/сит2) ИС;
"тестовый сертификат" (в кавычках, ибо думаю я не один, кто использует "боевой" на тестах) к ИС привязан;
крипто-туннель с использованием "тестового сертификата" установлен и настроен;
тест крипто-туннеля через обращение на адрес (localhost:8080 заменяешь на адрес и порт крипто-туннеля, если надо):
Code
1
http://localhost:8080/ext-bus-nsi-service/services/Nsi?wsdl

Как вариант проверки крипто-туннеля под виндой, можешь попробовать использовать это: gis_zhkh_tunnel_test.zip
В архиве curl, тестовый xml-запрос (xml4send.xml) и обычный батник (localhost_test.bat). При запуске батника идет отправка запроса на localhost:8080 (поменяешь в батнике, если крипто-туннель настроен на другом адресе), результат сохраняется в файл _result.xml

PS: или тебе нужна сама программка P12FromGostCSP?

@eniqen · 23.08.2016, 12:55

nORb Dragon
1. Имеются 2 непонятных сертификата а именно, текст из переписки. Для создания защищенного соединения необходимо пройти по алгоритму, изложенному в разделе 3 документа «Порядок проведения тестирования v.9.0.2.1» пункты 1-10, используя соответственно в п.3 вложенный сертификат «2F007D600000000021D7» и CA-SIT, на выходе получаются 2 сертификата test.key (подпункт 4) и test.pem (подпункт 6).
2. Доступ в личный кабинет - данным вопросом занимаюсь вроде как он и должен быть в письме есть логин пароль, но зайти в него не могу, возможно не по тому адресу вхожу.
3. Из-за пункта 2 и не возможности туда зайти не понятно
4. п.1
5. Как раз пытаюсь настроить stunel но для этого нужно сгенерить 2 сертификата через P12FromGostCSP с ним сейчас пытаюсь разобраться.
6. Будет после пункта 5.
Спасибо за ответы )

@nORb Dragon · 23.08.2016, 15:12

1. С этим я "пас". Мы "не искали легких путей". Пункт 3 "Экспортировать сертификат, полученный для установления защищенного соединения с ГИС ЖКХ, в формат pfx" меня вообще сейчас в тупик поставил. Что за сертификат, откуда он должен был взяться? С другой стороны, этим занимался не я. Может действительно чего человек мне не передал/не договорил. Работаю с тем, что есть, поэтому повесил тесты ИС на "боевые" сертификаты.

2. Насчет доступа в личный кабинет. Предполагаемые твои логины/пароли скину в личку.
"Полезные" ссылки:
сит1 - https://217.107.108.147/
сит2 - https://217.107.108.156/
Дальше отработает редирект на "правильные решетки" (хз, зачем и когда они на сит2 сделали /#!/main вместо /#/main ).

@NaGuWaL · 24.08.2016, 14:06

eniqen, вот что тебе нужно сделать:

Добавлено через 2 минуты
в файле hosts добавить следующее:

C#
1
2
    217.107.108.147 sit01 sit01.dom.test.gosuslugi.ru api.sit01.dom.test.gosuslugi.ru lk.sit01.dom.test.gosuslugi.ru my.sit01.dom.test.gosuslugi.ru
    217.107.108.156 sit02 sit02.dom.test.gosuslugi.ru api.sit02.dom.test.gosuslugi.ru lk.sit02.dom.test.gosuslugi.ru my.sit02.dom.test.gosuslugi.ru

ну и ходить по соответствующим адресам... вот и всё...

@eniqen · 24.08.2016, 14:51

NaGuWaL С личным кабинетом и с регистрацией сертификата сгенеренного с крипто про уже разобрались

@Greiv · 24.08.2016, 14:52

У кого нибудь после технических работ с утра вылазила ошибка:

XML
1
 <faultstring>FMT001300: Некорректный XML</faultstring>

?

@nORb Dragon · 24.08.2016, 15:02

Greiv, ~~уверен, что техработы? Может опять накосячил с xml-кодом? =)~~

Сволочи, мой безподписной тест на 10.0.0.6 не работает! xD

Добавлено через 3 минуты
Ан нет, работает, если автозаменой пройтись. Поменять линки схем с 10.0.0.5 на 10.0.0.6.

@Greiv · 24.08.2016, 15:03

А вообще публикуется где нибудь что они там творят?

@nORb Dragon · 24.08.2016, 15:07

Greiv, сменилась минорная версия. По традиции, все линки на все схемы изменились. И все посыпалось у тех, кто жестко прописывал неймспейсы без расчета на автоподстановку в запрос актуальной версии.
Грубо говоря строка вида:

XML
1
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/10.0.0.5/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/10.0.0.5/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">

должна теперь иметь вид:

XML
1
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/10.0.0.6/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/10.0.0.6/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">

Из изменившегося в запросах: 10.0.0.5 -> 10.0.0.6 %)

@eniqen · 24.08.2016, 15:09

я правильно понимаю, что если работать с сервисами по http никакого тунеля поднимать ненужно и достаточно слепка сертификата указать в заголовке?

@nORb Dragon · 24.08.2016, 15:36

eniqen, слепок сертификата скорее предназначен в качестве альтернативы внутреннему подписыванию запроса, имхо. Не вчитывался в вариант со слепком, но логика как бы намекает.

А за "работу с сервисами по http без защищенного канала связи"... Мой внутренний параноик негодует. Буду крайне удивлен и недоволен ланитом, если они действительно сделали настолько веселую дыру в безопасности.

@eniqen · 24.08.2016, 15:56

nORb Dragon Да вроде как написано, что
Устанавливать незащищенное соединение со стендом (см. раздел «Cоздание незащищенного соединения с СИТ по http»).
Не подписывать запросы бизнес-подписью (тег Signature не должен указываться).

Новые блоги и статьи Все статьи Все блоги /
Часы электронные Uhbif79 12.08.2026 Выкладываю программу часов. Программа позволяет: 1. Использовать системное время и дату, 2. Есть возможность вводить время и дату вручную. 3. Реализованы 2 будильника: начало и конец рабочего дня. . . .	Часы с будильником на основе класса QLCDNumber Uhbif79 12.08.2026 Всем добрый день, выкладываю программу часов с будильником на основе класса QLCDNumber. Здесь я пробовал самостоятельно создавал классы, впервые столкнулся с видимостью переменной одного класса из. . .	Установка MinGW GCC 16.2 и CMake 8Observer8 10.08.2026 VK Видео: https:/ / vkvideo. ru/ video-240781534_456239017 YouTube: eY5-5PyI9NM Текстовая версия	Неделя из жизни имитационной модели склада: мои кривые руки растут, откуда надо anaschu 10.08.2026 Неделя из жизни имитационной модели склада: как я почти написал неправильную логику и что с этим делать Работаю сейчас над учебно-рабочим проектом: строю в AnyLogic имитационную модель процессов. . .
Калькулятор для расчета родства russiannick 07.08.2026 1. Задача: Создать калькулятор для расчета родства. Родственных связей существует 8 ступеней, такие как: p - отец P - мать q - муж Q - жена b - брат B - сестра s - сын S - дочь	Мир по моей воле kumehtar 07.08.2026 Когда-то кажется, что всё просто. Ты весь такой светлый. Причиняешь добро. Борешься за справедливость в этом тёмном мире. Потом начинаешь замечать одну неприятную вещь. Почти каждый хороший. . .	Кредитный калькулятор Maks 05.08.2026 Решение задачи по прикладной информатике средствами 1С. Задача: Напишите приложение-калькулятор, которое помогает рассчитывать параметры кредита для аннуитетного и дифференцированного видов. . .	У нас сейчас поговорку "Опять 25" нужно переделать на "Опять +35". kumehtar 04.08.2026 С ностальгией вспоминаю времена моего детства, когда у нас и правда +25 - была максимальная температура летом. Раньше +25 °C реально казались вершиной жары, когда можно было весь день пропадать на. . .

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	22.08.2016, 17:09
	Значит, что сертификаты правильные и туннель до сит2 настроен. Но это не значит, что тебе не грозит еще воевать с подписью. Ибо на "реальном" сервере "все сурово и печально". А с подписыванием своих запросов под виндой мучай кого-нибудь другого! Смех настоящего злодея Мух-хня-хня-хнях! 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 11:24
	А если это не common запрос ? а http://sit01.dom.test.gosuslug... nspection? Доступ в личный кабинет тоже нужен чтобы там получать какието SenderId org чтото там id ? 0

@Greiv 1 / 1 / 0 Регистрация: 20.01.2014 Сообщений: 47
	23.08.2016, 11:30
	Я могу сказать только за себя, я так и смог получить нормальный ответ без крипто тоннеля, вам для начала нужно почитать инструкцию(Порядок проведения тестирования v.9.0.2.1). Там всё достаточно понятно расписано как построить крипто тоннель халявный. А что касается отправки запроса, в этой теме разжевано всё. 1

@NaGuWaL 17 / 14 / 0 Регистрация: 22.04.2016 Сообщений: 287
	23.08.2016, 11:45
	eniqen, Нужно делегировать права своей ИС в личном кабинете. Для начала... Добавлено через 6 минут Подключайтесь к СИТ-02 там уже версия 10.0.0.5 1

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	23.08.2016, 11:55
	Ну, если вообще говорить о "начале", для начала надо получить доступ к личному кабинету. %) eniqen, если не знаешь с чего начать, и не вкурсе о личном кабинете, то предлагаю для начала скачать "базовый набор TFM" с официального ресурса ГИС ЖКХ (ссылка на страницу) в блоке "Взаимодействие с внешними системами" под названием "Регламент и форматы информационного взаимодействия внешних информационных систем с ГИС ЖКХ (перспективные форматы v.х.х.х.х)". Для тестов на сит1 скачивай 9ю версию, для сит2 - 10ю. Хотя, если уж только начинать ковыряться, то лучше сразу над 10й и на сит2. Пока наковыряешься, на "рабочем" и на сит1 будет стоять как минимум 10я. В этих архивах есть как бесполезные документы, так и вполне любопытные. 1

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 12:24
	P12FromGostCSP есть какая то бесплатная утилита чтобы сгенерить сертификаты по пункту 3 Порядок проведения тестирования да еще и на линупсе? гугл молчит. Спасибо регламенты взаимодействия читал 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 12:55
	nORb Dragon 1. Имеются 2 непонятных сертификата а именно, текст из переписки. Для создания защищенного соединения необходимо пройти по алгоритму, изложенному в разделе 3 документа «Порядок проведения тестирования v.9.0.2.1» пункты 1-10, используя соответственно в п.3 вложенный сертификат «2F007D600000000021D7» и CA-SIT, на выходе получаются 2 сертификата test.key (подпункт 4) и test.pem (подпункт 6). 2. Доступ в личный кабинет - данным вопросом занимаюсь вроде как он и должен быть в письме есть логин пароль, но зайти в него не могу, возможно не по тому адресу вхожу. 3. Из-за пункта 2 и не возможности туда зайти не понятно 4. п.1 5. Как раз пытаюсь настроить stunel но для этого нужно сгенерить 2 сертификата через P12FromGostCSP с ним сейчас пытаюсь разобраться. 6. Будет после пункта 5. Спасибо за ответы ) 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	23.08.2016, 15:12
	1. С этим я "пас". Мы "не искали легких путей". Пункт 3 "Экспортировать сертификат, полученный для установления защищенного соединения с ГИС ЖКХ, в формат pfx" меня вообще сейчас в тупик поставил. Что за сертификат, откуда он должен был взяться? С другой стороны, этим занимался не я. Может действительно чего человек мне не передал/не договорил. Работаю с тем, что есть, поэтому повесил тесты ИС на "боевые" сертификаты. 2. Насчет доступа в личный кабинет. Предполагаемые твои логины/пароли скину в личку. "Полезные" ссылки: сит1 - https://217.107.108.147/ сит2 - https://217.107.108.156/ Дальше отработает редирект на "правильные решетки" (хз, зачем и когда они на сит2 сделали /#!/main вместо /#/main ). 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 14:51
	NaGuWaL С личным кабинетом и с регистрацией сертификата сгенеренного с крипто про уже разобрались 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	24.08.2016, 15:02
	Greiv, ~~уверен, что техработы? Может опять накосячил с xml-кодом? =)~~ Сволочи, мой безподписной тест на 10.0.0.6 не работает! xD Добавлено через 3 минуты Ан нет, работает, если автозаменой пройтись. Поменять линки схем с 10.0.0.5 на 10.0.0.6. 0

@Greiv 1 / 1 / 0 Регистрация: 20.01.2014 Сообщений: 47
	24.08.2016, 15:03
	А вообще публикуется где нибудь что они там творят? 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 15:09
	я правильно понимаю, что если работать с сервисами по http никакого тунеля поднимать ненужно и достаточно слепка сертификата указать в заголовке? 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	24.08.2016, 15:36
	eniqen, слепок сертификата скорее предназначен в качестве альтернативы внутреннему подписыванию запроса, имхо. Не вчитывался в вариант со слепком, но логика как бы намекает. А за "работу с сервисами по http без защищенного канала связи"... Мой внутренний параноик негодует. Буду крайне удивлен и недоволен ланитом, если они действительно сделали настолько веселую дыру в безопасности. 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 15:56
	nORb Dragon Да вроде как написано, что Устанавливать незащищенное соединение со стендом (см. раздел «Cоздание незащищенного соединения с СИТ по http»). Не подписывать запросы бизнес-подписью (тег Signature не должен указываться). 0