.NET 4.x Интеграция с ГИС ЖКХ. Подпись SOAP и защита канала по ГОСТ (2) - C# WCF - Страница 18

@nORb Dragon · 22.08.2016, 17:09

Студворк — интернет-сервис помощи студентам

Значит, что сертификаты правильные и туннель до сит2 настроен.

Но это не значит, что тебе не грозит еще воевать с подписью. Ибо на "реальном" сервере "все сурово и печально". А с подписыванием своих запросов под виндой мучай кого-нибудь другого! *Смех настоящего злодея* Мух-хня-хня-хнях!

@eniqen · 23.08.2016, 11:09

Прошу прощения за то что так врываюсь, но тоже стоит задача интеграции сижу уже неделю и не понимаю с чего начать.
Есть сгенеренные wsdl клиент на java. Если отступить от языка программирования, возмем тот же soap UI. Получаю ошибку при обращении например к http://sit01.dom.test.gosuslug... /NsiCommon

XML
1
2
3
 <ns4:ErrorCode>AUT011000</ns4:ErrorCode>
               <ns4:ErrorMessage>Неверный идентификатор ИС</ns4:ErrorMessage>
               <ns4:StackTrace>ru.lanit.hcs.integration.common.exception.SoapFaultException: EIS not found by certificate

XML
1
2
3
4
5
6
7
8
9
10
11
12
13
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/9.0.2.1/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/9.0.2.1/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">
   <soapenv:Header>
      <ns:ISRequestHeader>
         <ns:Date>${=javax.xml.datatype.Datatypefactory.newInstance().newXmlGregorianCalendar(new DateTime().toGregorianCalendar())}</ns:Date>
         <ns:MessageGUID>${=UUID.randomUUID()}</ns:MessageGUID>
      </ns:ISRequestHeader>
   </soapenv:Header>
   <soapenv:Body>
      <nsi:exportNsiListRequest Id="?">
         <ns:ListGroup>?</ns:ListGroup>
      </nsi:exportNsiListRequest>
   </soapenv:Body>
</soapenv:Envelope>

Я правильно понимаю что без поднятого тунеля например stunnel для ubuntu - работать ничего не будет ? Указываю что автоизация basic ввожу логин и пароль, помимо этого передаю слепок X-Client-Cert-Fingerprint и сам слепок полученный с сертификата. Нужно что-то еще ?
Может кто подсказать в какую сторону копать ? Прочтение документации и половины форума не помогло. Спасибо.

@Greiv · 23.08.2016, 11:15

eniqen Я так и не смог получить адекватный ответ с незащищённого соединения, что касается common запроса то да нужен тоннель, его не так сложно сделать. И там можно получить нормальный ответ, пример запроса через пару постов выше.

XML
1
2
3
<nsi:exportNsiListRequest Id="?">-id уБРАТЬ
<ns:ListGroup>?</ns:ListGroup>- ВООБЩЕ УБРАТЬ
</nsi:exportNsiListRequest>

@eniqen · 23.08.2016, 11:24

А если это не common запрос ? а http://sit01.dom.test.gosuslug... nspection?
Доступ в личный кабинет тоже нужен чтобы там получать какието SenderId org чтото там id ?

@Greiv · 23.08.2016, 11:30

Я могу сказать только за себя, я так и смог получить нормальный ответ без крипто тоннеля, вам для начала нужно почитать инструкцию(Порядок проведения тестирования v.9.0.2.1). Там всё достаточно понятно расписано как построить крипто тоннель халявный. А что касается отправки запроса, в этой теме разжевано всё.

@NaGuWaL · 23.08.2016, 11:45

eniqen, Нужно делегировать права своей ИС в личном кабинете. Для начала...

Добавлено через 6 минут
Подключайтесь к СИТ-02 там уже версия 10.0.0.5

@nORb Dragon · 23.08.2016, 11:55

Ну, если вообще говорить о "начале", для начала надо получить доступ к личному кабинету. %)

eniqen, если не знаешь с чего начать, и не вкурсе о личном кабинете, то предлагаю для начала скачать "базовый набор TFM" с официального ресурса ГИС ЖКХ (ссылка на страницу) в блоке "Взаимодействие с внешними системами" под названием "Регламент и форматы информационного взаимодействия внешних информационных систем с ГИС ЖКХ (перспективные форматы v.х.х.х.х)". Для тестов на сит1 скачивай 9ю версию, для сит2 - 10ю. Хотя, если уж только начинать ковыряться, то лучше сразу над 10й и на сит2. Пока наковыряешься, на "рабочем" и на сит1 будет стоять как минимум 10я.

В этих архивах есть как бесполезные документы, так и вполне любопытные.

@eniqen · 23.08.2016, 12:24

P12FromGostCSP есть какая то бесплатная утилита чтобы сгенерить сертификаты по пункту 3 Порядок проведения тестирования да еще и на линупсе? гугл молчит. Спасибо регламенты взаимодействия читал

@nORb Dragon · 23.08.2016, 12:50

P12FromGostCSP не генерит сертификаты, а выдергивает их с носителя (рутокена). Мне пришлось использовать "боевые" сертификаты, ибо на сайте Крипто-Про создать тестовые так ни разу не удалось.

Предлагаю озвучить, что у тебя "уже есть" (или нет):

тестовый ("боевой" с рутокена?) сертификат;
доступ в личный кабинет на сит1/сит2;
зарегистрированная в личном кабинете (отдельная регистрация под сит1/сит2) ИС;
"тестовый сертификат" (в кавычках, ибо думаю я не один, кто использует "боевой" на тестах) к ИС привязан;
крипто-туннель с использованием "тестового сертификата" установлен и настроен;
тест крипто-туннеля через обращение на адрес (localhost:8080 заменяешь на адрес и порт крипто-туннеля, если надо):
Code
1
http://localhost:8080/ext-bus-nsi-service/services/Nsi?wsdl

Как вариант проверки крипто-туннеля под виндой, можешь попробовать использовать это: gis_zhkh_tunnel_test.zip
В архиве curl, тестовый xml-запрос (xml4send.xml) и обычный батник (localhost_test.bat). При запуске батника идет отправка запроса на localhost:8080 (поменяешь в батнике, если крипто-туннель настроен на другом адресе), результат сохраняется в файл _result.xml

PS: или тебе нужна сама программка P12FromGostCSP?

@eniqen · 23.08.2016, 12:55

nORb Dragon
1. Имеются 2 непонятных сертификата а именно, текст из переписки. Для создания защищенного соединения необходимо пройти по алгоритму, изложенному в разделе 3 документа «Порядок проведения тестирования v.9.0.2.1» пункты 1-10, используя соответственно в п.3 вложенный сертификат «2F007D600000000021D7» и CA-SIT, на выходе получаются 2 сертификата test.key (подпункт 4) и test.pem (подпункт 6).
2. Доступ в личный кабинет - данным вопросом занимаюсь вроде как он и должен быть в письме есть логин пароль, но зайти в него не могу, возможно не по тому адресу вхожу.
3. Из-за пункта 2 и не возможности туда зайти не понятно
4. п.1
5. Как раз пытаюсь настроить stunel но для этого нужно сгенерить 2 сертификата через P12FromGostCSP с ним сейчас пытаюсь разобраться.
6. Будет после пункта 5.
Спасибо за ответы )

@nORb Dragon · 23.08.2016, 15:12

1. С этим я "пас". Мы "не искали легких путей". Пункт 3 "Экспортировать сертификат, полученный для установления защищенного соединения с ГИС ЖКХ, в формат pfx" меня вообще сейчас в тупик поставил. Что за сертификат, откуда он должен был взяться? С другой стороны, этим занимался не я. Может действительно чего человек мне не передал/не договорил. Работаю с тем, что есть, поэтому повесил тесты ИС на "боевые" сертификаты.

2. Насчет доступа в личный кабинет. Предполагаемые твои логины/пароли скину в личку.
"Полезные" ссылки:
сит1 - https://217.107.108.147/
сит2 - https://217.107.108.156/
Дальше отработает редирект на "правильные решетки" (хз, зачем и когда они на сит2 сделали /#!/main вместо /#/main ).

@NaGuWaL · 24.08.2016, 14:06

eniqen, вот что тебе нужно сделать:

Добавлено через 2 минуты
в файле hosts добавить следующее:

C#
1
2
    217.107.108.147 sit01 sit01.dom.test.gosuslugi.ru api.sit01.dom.test.gosuslugi.ru lk.sit01.dom.test.gosuslugi.ru my.sit01.dom.test.gosuslugi.ru
    217.107.108.156 sit02 sit02.dom.test.gosuslugi.ru api.sit02.dom.test.gosuslugi.ru lk.sit02.dom.test.gosuslugi.ru my.sit02.dom.test.gosuslugi.ru

ну и ходить по соответствующим адресам... вот и всё...

@eniqen · 24.08.2016, 14:51

NaGuWaL С личным кабинетом и с регистрацией сертификата сгенеренного с крипто про уже разобрались

@Greiv · 24.08.2016, 14:52

У кого нибудь после технических работ с утра вылазила ошибка:

XML
1
 <faultstring>FMT001300: Некорректный XML</faultstring>

?

@nORb Dragon · 24.08.2016, 15:02

Greiv, ~~уверен, что техработы? Может опять накосячил с xml-кодом? =)~~

Сволочи, мой безподписной тест на 10.0.0.6 не работает! xD

Добавлено через 3 минуты
Ан нет, работает, если автозаменой пройтись. Поменять линки схем с 10.0.0.5 на 10.0.0.6.

@Greiv · 24.08.2016, 15:03

А вообще публикуется где нибудь что они там творят?

@nORb Dragon · 24.08.2016, 15:07

Greiv, сменилась минорная версия. По традиции, все линки на все схемы изменились. И все посыпалось у тех, кто жестко прописывал неймспейсы без расчета на автоподстановку в запрос актуальной версии.
Грубо говоря строка вида:

XML
1
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/10.0.0.5/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/10.0.0.5/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">

должна теперь иметь вид:

XML
1
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:ns="http://dom.gosuslugi.ru/schema/integration/10.0.0.6/" xmlns:nsi="http://dom.gosuslugi.ru/schema/integration/10.0.0.6/nsi-common/" xmlns:xd="http://www.w3.org/2000/09/xmldsig#">

Из изменившегося в запросах: 10.0.0.5 -> 10.0.0.6 %)

@eniqen · 24.08.2016, 15:09

я правильно понимаю, что если работать с сервисами по http никакого тунеля поднимать ненужно и достаточно слепка сертификата указать в заголовке?

@nORb Dragon · 24.08.2016, 15:36

eniqen, слепок сертификата скорее предназначен в качестве альтернативы внутреннему подписыванию запроса, имхо. Не вчитывался в вариант со слепком, но логика как бы намекает.

А за "работу с сервисами по http без защищенного канала связи"... Мой внутренний параноик негодует. Буду крайне удивлен и недоволен ланитом, если они действительно сделали настолько веселую дыру в безопасности.

@eniqen · 24.08.2016, 15:56

nORb Dragon Да вроде как написано, что
Устанавливать незащищенное соединение со стендом (см. раздел «Cоздание незащищенного соединения с СИТ по http»).
Не подписывать запросы бизнес-подписью (тег Signature не должен указываться).

Новые блоги и статьи Все статьи Все блоги /
Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Jin X 06.09.2026 Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Работая с форумом и нейросетями в браузере часто хочется что-то подкорректировать или добавить какого-то функционала. Ниже прикреплён. . .	Программа опроса у.з. расходомера SLS-720F Argus19 02.09.2026 Программа опроса у. з. расходомера SLS-720F Программа опрашивает один раз в минуту три ультразвуковых расходомера SLS-720F через интерфейс RS-485 по протоколу Modbus RTU. Опрашиваются регистры. . .	Hyper-V: Компьютер должен поддерживать доверенный платформенный модуль 2.0. Maks 31.08.2026 При установке Windows 11 на виртуальную машину Hyper-V 2-го поколения вылезла такая ошибка: Решение: в параметрах виртуальной машины, в разделе "Безопасность" (Security) активировать флаг. . .	Архитектура биовида Стива в Майнкрафте: Зачем бонобо кубический каннибализм anaschu 30.08.2026 Кубический Вагинокапитализм в Minecraft: Математический инвариант ОДУ и рок Стивов-бонобо Главная задача разработанной «Модели Всего» — наглядно продемонстрировать наличие системной «судьбы». . .
Оттачиваю умение писать js программы. russiannick 30.08.2026 Проектом выходного дня стало написание Книги шифров Виженера. Итогом стала версия 200, синий туман. Синий туман назван так, потому что замораживает текст под собой. Нажатие синих кнопок управляют. . .	мат медиц модель 30. презентация проекта anaschu 27.08.2026 хоп хоп хоп хидахоп, а я кладую))	Как у меня протекала болезнь zorxor 27.08.2026 Здравствуйте, друзья! Эта запись блога предназначена именно для вас - для моих дорогих друзей, которые знали меня лично. Чтобы ответить на вопрос - а что же со мной произошло на самом деле? Я учился. . .	Нашел вот забавное видео о измерениях. Лучшее что я видел на эту тему kumehtar 26.08.2026 ILETXiw9bMQ Основная суть и тезисы по измерениям: 0D (Нулевое измерение): точка, не имеющая длины, ширины, высоты или объема. Объект не может перемещаться в 0D. 1D (Первое измерение):. . .

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	22.08.2016, 17:09
	Значит, что сертификаты правильные и туннель до сит2 настроен. Но это не значит, что тебе не грозит еще воевать с подписью. Ибо на "реальном" сервере "все сурово и печально". А с подписыванием своих запросов под виндой мучай кого-нибудь другого! Смех настоящего злодея Мух-хня-хня-хнях! 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 11:24
	А если это не common запрос ? а http://sit01.dom.test.gosuslug... nspection? Доступ в личный кабинет тоже нужен чтобы там получать какието SenderId org чтото там id ? 0

@Greiv 1 / 1 / 0 Регистрация: 20.01.2014 Сообщений: 47
	23.08.2016, 11:30
	Я могу сказать только за себя, я так и смог получить нормальный ответ без крипто тоннеля, вам для начала нужно почитать инструкцию(Порядок проведения тестирования v.9.0.2.1). Там всё достаточно понятно расписано как построить крипто тоннель халявный. А что касается отправки запроса, в этой теме разжевано всё. 1

@NaGuWaL 17 / 14 / 0 Регистрация: 22.04.2016 Сообщений: 287
	23.08.2016, 11:45
	eniqen, Нужно делегировать права своей ИС в личном кабинете. Для начала... Добавлено через 6 минут Подключайтесь к СИТ-02 там уже версия 10.0.0.5 1

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	23.08.2016, 11:55
	Ну, если вообще говорить о "начале", для начала надо получить доступ к личному кабинету. %) eniqen, если не знаешь с чего начать, и не вкурсе о личном кабинете, то предлагаю для начала скачать "базовый набор TFM" с официального ресурса ГИС ЖКХ (ссылка на страницу) в блоке "Взаимодействие с внешними системами" под названием "Регламент и форматы информационного взаимодействия внешних информационных систем с ГИС ЖКХ (перспективные форматы v.х.х.х.х)". Для тестов на сит1 скачивай 9ю версию, для сит2 - 10ю. Хотя, если уж только начинать ковыряться, то лучше сразу над 10й и на сит2. Пока наковыряешься, на "рабочем" и на сит1 будет стоять как минимум 10я. В этих архивах есть как бесполезные документы, так и вполне любопытные. 1

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 12:24
	P12FromGostCSP есть какая то бесплатная утилита чтобы сгенерить сертификаты по пункту 3 Порядок проведения тестирования да еще и на линупсе? гугл молчит. Спасибо регламенты взаимодействия читал 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	23.08.2016, 12:55
	nORb Dragon 1. Имеются 2 непонятных сертификата а именно, текст из переписки. Для создания защищенного соединения необходимо пройти по алгоритму, изложенному в разделе 3 документа «Порядок проведения тестирования v.9.0.2.1» пункты 1-10, используя соответственно в п.3 вложенный сертификат «2F007D600000000021D7» и CA-SIT, на выходе получаются 2 сертификата test.key (подпункт 4) и test.pem (подпункт 6). 2. Доступ в личный кабинет - данным вопросом занимаюсь вроде как он и должен быть в письме есть логин пароль, но зайти в него не могу, возможно не по тому адресу вхожу. 3. Из-за пункта 2 и не возможности туда зайти не понятно 4. п.1 5. Как раз пытаюсь настроить stunel но для этого нужно сгенерить 2 сертификата через P12FromGostCSP с ним сейчас пытаюсь разобраться. 6. Будет после пункта 5. Спасибо за ответы ) 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	23.08.2016, 15:12
	1. С этим я "пас". Мы "не искали легких путей". Пункт 3 "Экспортировать сертификат, полученный для установления защищенного соединения с ГИС ЖКХ, в формат pfx" меня вообще сейчас в тупик поставил. Что за сертификат, откуда он должен был взяться? С другой стороны, этим занимался не я. Может действительно чего человек мне не передал/не договорил. Работаю с тем, что есть, поэтому повесил тесты ИС на "боевые" сертификаты. 2. Насчет доступа в личный кабинет. Предполагаемые твои логины/пароли скину в личку. "Полезные" ссылки: сит1 - https://217.107.108.147/ сит2 - https://217.107.108.156/ Дальше отработает редирект на "правильные решетки" (хз, зачем и когда они на сит2 сделали /#!/main вместо /#/main ). 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 14:51
	NaGuWaL С личным кабинетом и с регистрацией сертификата сгенеренного с крипто про уже разобрались 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	24.08.2016, 15:02
	Greiv, ~~уверен, что техработы? Может опять накосячил с xml-кодом? =)~~ Сволочи, мой безподписной тест на 10.0.0.6 не работает! xD Добавлено через 3 минуты Ан нет, работает, если автозаменой пройтись. Поменять линки схем с 10.0.0.5 на 10.0.0.6. 0

@Greiv 1 / 1 / 0 Регистрация: 20.01.2014 Сообщений: 47
	24.08.2016, 15:03
	А вообще публикуется где нибудь что они там творят? 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 15:09
	я правильно понимаю, что если работать с сервисами по http никакого тунеля поднимать ненужно и достаточно слепка сертификата указать в заголовке? 0

@nORb Dragon 19 / 8 / 0 Регистрация: 01.08.2016 Сообщений: 102
	24.08.2016, 15:36
	eniqen, слепок сертификата скорее предназначен в качестве альтернативы внутреннему подписыванию запроса, имхо. Не вчитывался в вариант со слепком, но логика как бы намекает. А за "работу с сервисами по http без защищенного канала связи"... Мой внутренний параноик негодует. Буду крайне удивлен и недоволен ланитом, если они действительно сделали настолько веселую дыру в безопасности. 0

@eniqen 0 / 0 / 1 Регистрация: 26.03.2014 Сообщений: 27
	24.08.2016, 15:56
	nORb Dragon Да вроде как написано, что Устанавливать незащищенное соединение со стендом (см. раздел «Cоздание незащищенного соединения с СИТ по http»). Не подписывать запросы бизнес-подписью (тег Signature не должен указываться). 0