DESKTOP SIGN aláírómodul telepítése és használata a Magyar Államkincstár weboldalán Verzió 0.19
Tartalomjegyzék 1 Bevezető... 3 2 Rendszer követelmények... 3 2.1 Támogatott operációs rendszerek... 3 2.2 Támogatott böngészők... 3 2.3 Támogatott kulcstároló eszközök... 4 3 DESKTOP SIGN modul telepítése... 5 4 Használat... 8 4.1 DESKTOP SIGN modul működésének ellenőrzése... 9 4.2 Gemalto 340 kártyakezelő illesztési ségedlet... 9 5 Beállítás... 10 6 Elektronikus illeték és költségtérítés utalványminta kérése... 12 7 DESKTOP SIGN modul működése közben felmerülő hibák és javításuk... 14 7.1 Aláíró alkalmazás nem fut vagy nincs telepítve hibaüzenet... 14 7.2 Hiba történt hibaüzenet... 15 7.3 Sikertelen elektronikus aláírás hibaüzenet... 15 7.4 Vírusirtó használata esetén előforduló hiba... 16 7.5 Window tűzfal probléma... 17 7.6 Nem rendszergazdaként lett telepítve a DESKTOP SIGN... 17 7.7 Aláírási művelet hiba hálózati kommunikáció miatt... 17 7.8 Nem fut az alkalmazás... 17 7.9 Aláíró tanúsítvány nem került kiválasztásra... 18 7.10 Az aláíró nem ad meg PIN kódot... 18 7.11 Rossz PIN kód használata... 18 7.12 Hibás signatureparameter... 18
1 BEVEZETŐ Ennek a tájékoztatónak a célja a Magyar Államkincstár weboldalán elérhető DESKTOP SIGN aláíró modul telepítésével, üzemeltetésével és használatával kapcsolatos információk dokumentálása. A DESKTOP SIGN terméke egy olyan vastagkliens alkalmazás, amely képes a használt böngésző típusától függetlenül a böngészőből indított aláírási kérések biztonságos fogadására és a helyi Windows tanúsítványtárban elérhető bármely szoftveres vagy hardveres kulccsal történő elektronikus hitelesítésre. A használt tanúsítvány típusától függően biztosítja a 910/2014/EC eidas rendeletnek megfelelő fokozott biztonságú vagy minősített elektronikus aláírások, bélyegzők és időbélyegek létrehozását, az elkészült aláírás opcionális ellenőrzését és PDF dokumentumok esetén az elkészült aláírások eredeti dokumentumba történő beágyazását is. 2 RENDSZER KÖVETELMÉNYEK 2.1 Támogatott operációs rendszerek A DESKTOP SIGN megoldás jelenleg a következő PC-s környezetben futó operációs rendszereken támogatott. Microsoft Windows 7 SP1 (32/64-bit) Microsoft Windows 8.1 (32/64-bit) Microsoft Windows 10 (32/64-bit, 1803-as frissítéstől) Figyelem! A Windows NT, XP, Vista és Windows 8 operációs rendszerek támogatása megszűnt, így ezen operációs rendszerek felett a DESKTOP SIGN termék támogatása sem biztosított. Windows 10 operációs rendszer alatt egyes funkciók (például az Edge böngésző) támogatása igényli a 1803- as frissítés telepítését. 2.2 Támogatott böngészők A DESKTOP SIGN megoldás a következő szabványos böngészőket támogatja hivatalosan, de a gyakorlati tapasztalatok alapján ettől eltérő típusú böngészőkkel is használható: Microsoft Internet Explorer (v11) Microsoft Edge (legfrissebb aktuális verzió, Win10 1803-as frissítést követően) Google Chrome (legfrissebb aktuális verzió) Mozilla Firefox (legfrissebb aktuális verzió)
2.3 Támogatott kulcstároló eszközök A DESKTOP SIGN megoldás a Magyarországon elterjedt és a Microsoft MS-CAPI-val kompatibilis Windows tanúsítványtárba beépülő szoftveres és hardveres kulcstároló eszközöket támogat, de a következő eszközökkel sikeresen tesztelve lett (RSA 2048/SHA256 kulcspár és lenyomat algoritmus kombinációval). Minősített és fokozott biztonságú szoftveres aláíró és bélyegzőtanúsítványok Gemalto Classic ID340 Oberthur 7 Bit4ID Crypto Java Card Új típusú magyar elektronikus személyi igazolvány A megfelelő működés érdekében szükséges, hogy a használni kívánt aláíró vagy bélyegzőtanúsítvány az adott számítógépen a tanúsítványok megfelelően telepítve legyenek. Az idevonatkozó felhasználói útmutatók és telepítési lépések a NETLOCK terméktámogatás oldaláról nyilvánosan elérhetőek (amennyiben a kulcstároló eszköz a NETLOCK Kft-től lett beszerezve): https://netlock.hu/termektamogatas/
3 DESKTOP SIGN MODUL TELEPÍTÉSE A DESKTOP SIGN alkalmazás szabványos Windows telepítővel rendelkezik, amely a támogatott operációs rendszerekre adminisztrátor jogosultsággal telepíthető. A DESKTOP SIGN alkalmazás teljes háttértárigénye körülbelül 320 MB. 1. A telepítés megkezdéséhez kérjük jelentkezzen be számítógépére rendszergazdai jogosultsággal 2. Látogasson el a https://illetekigazolas.allamkincstar.gov.hu/ oldalra és válassza az ÚJ FELÜLET HASZNÁLATA opciót. 3. Az új felületen a DESKTOPSIGN LETÖLTÉS nyomógomb segítségével töltse le a legfrissebb Windows telepítő alkalmazást A modul az alábbi linkről közvetlenül is letölthető, például vállalati környezetbe való telepítés esetén. http://www.netlock.hu/docs/letoltes/desktop SIGN_setup.exe 4. Kattintson a DESKTOP SIGN letöltés linkre, ekkor az alábbi ablak jelenik meg Ez esetben válassza a Fájl mentése opciót és mentse egy olyan helyre az állományt, ahol könnyen megtalálja. Egyes böngészők az alábbi szerint kezelik a letöltött állományokat: Utóbbi esetben keresse meg a böngészőhöz beállított mappában (alapértelmezetten a Letöltések/Downloads mappa).
A letöltött állomány neve: DESKTOP SIGN_setup.exe 5. Keresse meg a letöltött állományt a számítógépén, majd jobb egérgombbal kattintva rajta indítsa el a Futtatás rendszergazdaként opcióval. A telepítő automatikusan letölti a szükséges fájlokat és feltelepíti az alkalmazást alapértelmezetten a c:\users\public\desktop SIGN\ mappába. Ha a gépen egy régebbi verziószámú DESKTOP SIGN fut egy figyelmeztető ablak jelenik meg A termék egy másik verziója már telepítve van, ezért a jelen verzió nem telepíthető. A termék meglévő verziójának konfigurálásához vagy eltávolításához használja a Vezérlőpult Programok hozzáadása programját. A régi verziójú DESKTOP SIGN alkalmazás eltávolítását a Start menüben a Vezérlőpult\Programok és Szolgáltatások menüpont alatt tudja elvégezni.
Nagyon régi verziójú (0.15 alatti) DESKTOP SIGN alkalmazás eltávolítása esetén szükséges lehet a következő könyvtárak tartalmának manuális törlésére is. C:\Users\Administrator\AppData\Local\Programs\DESKTOP SIGN C:\Users\korábbi telepítő felhasználó\appdata\local\programs\desktop SIGN Törlés előtt javasolt a Feladatkezelőt elindítani (Ctrl+Alt+Delete együttes lenyomása) majd a Folyamatok fülön a futó alkalmazások között meg kell keresni a java.exe-t és a futó programot le kell állítani.
6. A program telepítése után a tűzfal program (ha van beállítva a gépen) kérhet engedélyt a program (java.exe) átengedésére a tűzfalon, ezt engedélyezni kell a program működéséhez. 7. Amennyiben a felhasználó nem a saját nevében telepítette a programot (mert például rendszergazdai engedély kellett hozzá), akkor a telepítés végén kelleni fog egy ki- és bejelentkezés a Windowsba (egyes operációs rendszerek esetében újra indítást is igényelhet), hogy a program helyesen el tudjon indulni. 4 HASZNÁLAT A DESKTOP SIGN a telepítés végeztével, illetve a Microsoft Windows operációs rendszer indításakor automatikusan indul, de szükség esetén manuálisan is elindítható a Start > DESKTOP SIGN > DESKTOP SIGN-Start parancsikonnal. Az indulást a program ikonja jelzi a tálcán: ha használatra kész, egy zöld pipa jelenik meg rajta a jobb alsó sarokban. Miután elindult a program, lehetőség van egy kompatibilis weboldalon keresztül aláírás végrehajtására. Ez történhet szoftveresen vagy hardveres chipkártyán tárolt tanúsítvánnyal is, mindkét esetben szükséges a megfelelő eszköz és tanúsítvány beszerzése. A használni kívánt weboldal beállításaitól és a rendelkezésre álló tanúsítványok számától, illetve típusától függően lehetőség van az aláíráshoz használt tanúsítvány kiválasztására a DESKTOP SIGN-ban. Ez az opció az aláírás kezdeményezésekor jelenik meg.
A DESKTOP SIGN alkalmazás a Start > DESKTOP SIGN > DESKTOP SIGN-Stop parancsikonnal állítható le. 4.1 DESKTOP SIGN modul működésének ellenőrzése A szoftver megfelelő működésének érdekében ellenőrizzük, hogy a Feladatkezelőben fut-e a DESKTOP SIGN alkalmazás. A feladatok (processes) fül alatt a java.exe-t kell megkeresni, aminek, ha megnézzük a futtatási helyét (jobb egérgomb és Tulajdonságok) akkor az alkalmazás hely szerinti könyvtára a DESKTOP SIGN mappából kell, hogy fusson. (Alapértelmezetten C:\Users\Public\DESKTOP SIGN\jre\bin) Azokon a gépeken, ahol tűzfal van beállítva, a DESKTOP SIGN első induláskor (ami a telepítést követően automatikusan megtörténik néhány másodperc várakozást követően) kéri a felhasználót, hogy engedélyezze a tűzfalon az alkalmazást. Ezt jóvá kell hagyni. Ez a tűzfal kivételek alatt ellenőrizhető a java.exe-re vonatkozóan. A DESKTOP SIGN a telepítést követően a háttérben fut, de a megfelelő működéshez várni kell, míg a java-s környezet teljes mértékben betöltődik. Ilyenkor a java.exe már fut ugyan, de a szolgáltatás nem elérhető (gyorsabb gépeken ez kb. 5-20 mp, míg lassabb gépeken akár 2-3 perc is lehet). A megfelelő működést a jobb alsó sarokban megjelenő alkalmazásikon feletti zöld pipa jelzi. 4.2 Gemalto 340 kártyakezelő illesztési ségedlet A DESKTOP SIGN program használata során több kártyatípus közül a Magyarországon elterjedt Gemalto IDClassic 340-es chipkártyán tárolt tanúsítvánnyal is lehet aláírni. Ennek a kártyának a használatához a Gemalto cég által kiadott Classic Client Toolbox driver és programcsomagot használja. Alapvetően ez a Gemalto csomag, egy kétkomponensű programcsomag, amelynek egyik része a kártyakezelő program (Toolbox Classic Client Toolbox/Classic Admin Toolbox), amely a felhasználó által indítva használható tanúsítvány management műveletekre, a másik része pedig egy állandóan aktív szolgáltatás (Regtool MFC Application), amelynek a feladata, hogy figyelje, hogy a géphez van-e csatlakoztatva kártyaolvasó, ha van csatlakoztatott kártyaolvasó, akkor van-e kártya behelyezve az olvasóba. Ha van a behelyezett kártyán használható érvényes tanúsítvány, akkor ez a programkomponens regisztrálja azt be a Windows tanúsítványtárban, hogy alá lehessen vele írni. Ehhez a programnak direkt eléréssel kell rendelkeznie a kártyaolvasó felé. Mielőtt tovább mennénk, a kérem, hogy ellenőrizze az alábbiakat és csak akkor lépjen tovább, ha normál működés mellett (1.,2.,3. pont) normál visszajelzést kap: - Van kártyaolvasó és van benne kártya (normál visszajelzés): - Nincs kártyaolvasó csatlakoztatva: - Van kártyaolvasó, de nincs benne kártya: - Van kártyaolvasó, de a program és a kártyaolvasó között kommunikációs hiba van:
Amennyiben a 4. pontban leírt hiba leírt hiba jelenséget tapasztalja, akkor a kártyakezelő program akadályoztatva van a működésében, ez esetben a Hibakezelés fejezetben leírtak adnak segítséget a megoldásban. 5 BEÁLLÍTÁS Időbélyeg és Proxy Szerver Beállítása A DESKTOP SIGN alkalmazással lehetőség van időbélyeg-szolgáltatás használatára, illetve külső proxy szervert is beállíthatunk, mindkettő opcionális. Ez a felület a Start > DESKTOP SIGN > DESKTOP SIGN-AdvancedConfig parancsikon segítségével érhető el. Időbélyeg-szolgáltatás használatához szükséges a szolgáltatás megrendelése során kapott PromoID megadása és a szolgáltatás engedélyezése. Ha nem szeretnénk időbélyeg-szolgáltatást használni, az adatok megadása nem kötelező.
A proxy szerver beállításai a Tovább gombra kattintva érhetők el, az időbélyeg-szolgáltatás adatainak megadásától függetlenül. Ezen a felületen megadhatjuk a proxy szerver használatához szükséges adatokat. A beállítások mentésére a Tovább gombra kattintást követően van lehetőség.
6 ELEKTRONIKUS ILLETÉK ÉS KÖLTSÉGTÉRÍTÉS UTALVÁNYMINTA KÉRÉSE Az alábbi lépésekkel tud a Magyar Államkincstár (továbbiakban MÁK) illeték és költségtérítési utalványmintát lekérni. 1. Nyisson egy tetszőleges böngészőt 2. Látogasson el a https://illetekigazolas.allamkincstar.gov.hu/ oldalra és válassza az ÚJ FELÜLET HASZNÁLATA opciót 3. kezdeményezzen egy illeték vagy költségtérítés igazolás kérést, adja meg az adatait és válassza ki a megfelelő cégbíróságot 4. lépjen tovább az Ügytípus kiválasztásával 5. válasszon ügytípust, majd kattintson a Kérelem elkészítése gombra 6. A következő oldalon ellenőrizheti az adatokat, és adhat meg továbbiakat a kapcsolattartáshoz. Az adatok ellenőrzését követően kattintson a KÉRELEM ALÁÍRÁSA gombra 7. Ezt követően (ha korábban telepítve lett a DESKTOP SIGN aláíró modul ha nem, lépjen a következő fejezethez) felugrik a tanúsítvány választó ablak, melyből ki kell választani a megfelelőt a lenyitható ablakból, majd kattintson a Kiválaszt gombra.
8. A PIN kód bekérésre kerül, és elkészül az utalvány minta, melyet a KÉRELM LETÖLTÉSE gombra kattintva letölthet le vagy nyomtathat ki.
7 DESKTOP SIGN MODUL MŰKÖDÉSE KÖZBEN FELMERÜLŐ HIBÁK ÉS JAVÍTÁSUK Esetleges hibák, amelyeket tapasztalhatnak a program telepítése közben vagy a mindennapi használat során. 7.1 Aláíró alkalmazás nem fut vagy nincs telepítve hibaüzenet A MÁK oldalon a Kérelem aláírása gomb megnyomása után kapott hibaüzenet A fenti képen látható, hibaüzenetet megjelenhet az alábbi esetekben: Feltelepített DESKTOP SIGN esetén, ennek oka lehet, hogy a java.exe nem fut megfelelően várni kell, míg betöltődik teljes mértékben (ez akár 2-3 percig is eltarthat), proxy szervert használnak és a DESKTOP SIGN nem tud kommunikálni a következővel https://client.desktop SIGN.com:8443/js/DESKTOP SIGN.js - kérjük, engedélyezzék a https-es porton. nem lett engedélyezve a tűzfalon a Java
7.2 Hiba történt hibaüzenet A hibaüzenet abban az esetben jelenik meg, ha nem töltött ki valamely kötelező mezőt, nem adott meg, választott ki egyet a megjelölendő mezők közül (pl. nem választott ügytípust) 7.3 Sikertelen elektronikus aláírás hibaüzenet A fenti képen látható hibaüzenet akkor jelenhet meg, ha nincs az aláíró chipkártya az olvasóban lejárt/visszavont tanúsítvánnyal történt az aláírás, vagy megszakítottuk az aláírási folyamatot. Kattintson a Bezár gombra, majd kezdje újra a Kérelem aláírása gomb megnyomásával a folyamatot.
7.4 Vírusirtó használata esetén előforduló hiba Vannak olyan vírusirtók, amelyek védelmi rendszerei automatikusan letiltják a Gemalto 340-es kártyák és a Gemalto saját illesztő és irányító-program (MFC) használatát, ennek következtében (bár a DESKTOP SIGN program hibamentesen elindul, jelenik meg a tálcán) aláíráskor két jelenség léphet fel: - A tanúsítvány kiválasztó ablakban nem jelenik meg a kártyán tárolt tanúsítvány. - Megjelenik, az aláíráskor a tanúsítvány, de a rendszer nem képes azt használni. A NETLOCK az elmúlt időszakban számos vírusírtó működését tesztelte és a következő vírusirtókat azonosította, amelyek ezt a jelenséget előidézhetik: Eset NOD Kaspersky McAfee Avast AVG Visszautalva a vírusirtókkal kapcsolatos jelenségre, a Windows 10 1803-as, illetve az azt követő frissítéseivel rendelkező rendszereken is jelentkezhet a probléma. Ennek oka, hogy a Windows Defender programba több új heurisztikus szabályozás is bekerült, többek között az MFC programhoz hasonlóan figyelő szolgáltatásként működő alkalmazásoknak a direkt eszköz elérése is korlátozva lett. Windows 10 alatti módosítások kezelésére a Gemalto cég kiadott legfrissebb csomagja nyújt megoldást. Gemalto Classic Client verzió: ToolBox verzió: Ezen verziójú kártyakezelő csomag használatával az említett 1803-as Windows frissítés mellett is problémamentes a kártya használat és az aláírás.
7.5 Window tűzfal probléma Aláírás probléma léphet fel a DESKTOP SIGN használata során a Windows tűzfal ellentmondó szabályozása miatt is. (Microsoft rendszerek esetében, ha egy programra vonatkozó tűzfal-szabályozásból létezik megengedő és tiltó is egyszerre, a tiltó szabály mindig erősebb.) Ebből az okból kifolyólag, amennyiben sikertelen vagy problémás az aláírás, ellenőrizni kell a Windows tűzfal beállításokat. Abban az esetben, ha a fenti mintában szereplő módon a Java (TM) Platform SE binary szabályból nem csak megengedő (zöld pipás) szabályok vannak, hanem létezik akár csak egy tiltó szabály is, a DESKTOP SIGN nem tud a tűzfalon keresztül kommunikációt megvalósítani. Ilyen esetben törölni kell az összes megengedő és tiltó szabályt is, majd újra kell indítani a DESKTOP SIGN programot. Ekkor a Windows tűzfal újból engedélykérést fog intézni a felhasználó felé és létrehozza (a most már) csak megengedő szabályokat. 7.6 Nem rendszergazdaként lett telepítve a DESKTOP SIGN Kérjük, a DESKTOP SIGN_setup.exe-t Futtatás rendszergazdaként módban indítsa el a probléma megoldása érdekében. 7.7 Aláírási művelet hiba hálózati kommunikáció miatt A DESKTOP SIGN programnak a helyes működéséhez szüksége van a hálózaton keresztül történő kommunikációra. Ehhez a kommunikációhoz a 8443-as portot használja. Amennyiben ez a port nincs engedélyezve kétirányú kommunikációra a felhasználó gépén, a program aláírási műveletében hibát okoz vagy nem elérhető a hívó fél oldaláról az aláíró modul, vagy nem tudja vissza adni az aláírást. Ezen kívül javasolt a DESKTOP SIGN legfrissebb verziójának a használata. 7.8 Nem fut az alkalmazás Ha nem fut az alkalmazás (szerver), a javascript betöltése sikertelen lesz, a tálcán megjelenő DESKTOP SIGN ikon ilyenkor nem zöld.
7.9 Aláíró tanúsítvány nem került kiválasztásra Ha a tanúsítvány-kiválasztó ablakban a Cancel gombra kattint, egy Javascript alert jelenik meg a következő üzenettel: Certificate selection cancelled. 7.10 Az aláíró nem ad meg PIN kódot Ha az aláíró a PIN kód bekérő ablakban a Cancel gombra kattint egy Javascript alert jelenik meg a következő üzenettel: PIN input cancelled. 7.11 Rossz PIN kód használata Ha rossz PIN kerül megadásra, egy Javascript alert jelenik meg a következő üzenettel: The card cannot be accessed because the wrong PIN was presented, vagy ennek megfelelő üzenet az operációs rendszer nyelvén. 7.12 Hibás signatureparameter Amennyiben hibás signatureparameter kerül elküldésre, a DESKTOP SIGN API visszaküldi az adott exception-t.