Нет доверия к сертификату подписи. Чем отличается использование самоподписанных сертификатов от сертификатов, выданных официальным Удостоверяющим центром? Сертификат был отозван
Не смотря на то, что программа КриптоАРМ во многих отраслях уже стала стандартом для электронной подписи, у пользователей по-прежнему возникает множество вопросов по работе с ней. Мы решили рассказать о том, как начать работу в КриптоАРМ и одновременно осветить наиболее часто задаваемые вопросы, которые возникают почти у всех: как исправить ошибку построения пути сертификации и ошибку отсутствия полного доверия к сертификату.
Обычно эта ошибка выглядит так:
Давайте сначала разберемся, почему эта ошибка возникает.
Отсутствие полного доверия к сертификату означает, что ваш компьютер не знает, может ли он доверять Удостоверяющему Центру (УЦ), который выдал вам сертификат, а соответственно - и самому вашему сертификату электронной подписи. Чтобы это исправить, нам нужно будет добавить этот УЦ в список доверенных на вашем компьютере.
Сообщение об ошибке построения пути сертификации говорит нам о том, что КриптоАРМ хотел бы проверить, нет ли вашего сертификата в списке отозванных. Такой список нужен для того, чтобы включать в него потерянные или украденные сертификаты. Если ваш сертификат в таком списке - им никто не может воспользоваться. Ссылка на такой список (его выкладывает УЦ на свой сайт) есть прямо в вашем сертификате, и если у вас есть подключение к Интернет, то КриптоАРМ сам может скачать и проверить, нет ли вашего сертификата в таком списке.
Можно сделать следующий вывод: если вы железобетонно уверены, что ваш УЦ правильный, и что вашего сертификата нет в списке отзыва - то можно ничего не делать и ошибки не исправлять. Это действительно так!
Шаг 1: Переводим КриптоАРМ в режим Эксперт
В КриптоАРМ почему-то в режиме Эксперт работать значительно проще, чем в режиме пользователя. Поэтому для начала перейдем в этот режим
Шаг 2: Подключаем сертификат электронной подписи
Здесь я руководствуюсь тем, что вы уже озаботились безопасностью вашего сертификата, приобрели токен , и положили туда свой сертификат. Ну или по крайней мере положили на дискету или флешку (и храните их в сейфе). Если все же нет - .
Подключаем отчуждаемый носитель
Выбираем криптопровайдер , как показано на скриншоте, а выбирая тип носителя, следует выбрать токен или дискету (флешка считается дискетой , не удивляйтесь).
или 
Теперь выбираем контейнер. Контейнер, если упростить, это просто место где хранится сертификат на токене или флешке. В одном контейнере обычно лежит один сертификат, поэтому выбор контейнера сводится к выбору сертификата. Если у вас на носителе (флешке, токене, дискете) лежит несколько сертификатов - выберите именно тот, который вам нужен.
5
Если ваш контейнер хранится на токене (или в иных случаях), то нужно будет ввести пин-код. Для Рутокен стандартный пин-код 12345678 , для eToken - 1234567890 . Если вы все еще пользуетесь стандартным пин-кодом - стоит его сменить, ведь весь смысл использования токена заключается в защите сертификата пин-кодом.
Все, мы объяснили программе КриптоАРМ , где находится наш сертификат, но она ему не очень доверяет.
Шаг 2-1: Подключаем сертификат, если он не на съемном носителе
Если ваш сертификат лежит где-то на вашем локальном диске, то хочу вас предупредить - это очень небезопасно . Согласно данным Лаборатории Касперского, Россия находится в первой пятерке стран с наивысшей вероятностью заражения вирусами , при этом каждый двадцатый компьютер, имеющий антивирусную защиту, все же заражен тем или иным вирусом. А это значит, что злоумышленники, которые управляют вирусами, могут легко и непринужденно украсть ваш сертификат электронной подписи.
Я попытался найти простой способ добавить сертификат в КриптоАРМ, если он лежит на локальном диске, но не нашел. Поэтому единственный быстрый способ добавить сертификат с локального диска в КриптоАРМ - это положить его на флешку (прямо в корень, без папок) и .
Шаг 3: Добавляем сертификат УЦ в список доверенных центров сертификации
Для этого возвращаемся в основное окно КриптоАРМ, заходим Сертификаты - Личное хранилище сертификатов - Правой кнопкой мыши на ваш сертификат - Свойства
Переходим на вкладку "Статус Сертификата ", выбираем сертификат удостоверяющего центра (из него "вытекает" ваш сертификат), и нажимаем Просмотреть , а затем нажимаем кнопку Установить сертификат .
Выбираем пункт "Поместить все сертификаты в следующее хранилище ", нажимаем Обзор , а затем выбираем "Доверенные корневые центры сертификации ", а затем подтверждаем установку сертификата.
OCSP (сокращенно от полного названия Online Certificate Status Protocol ) представляет из себя Интернет протокол для проверки статуса SSL-сертификата, который работает быстрее и надежнее, чем это осуществлялось ранее с помощью списков САС (или CRL списков) с отозванными SSL сертификатами.
Вкратце протокол OCSP работает следующим образом: конечный пользователь посылает запрос серверу для получения информации о SSL-сертификате. В ответ он получает OCSP ответ, один из следующих вариантов:
- good – SSL сертификат не отозван и не заблокирован,
- revoked – SSL сертификат отозван,
- unknown – не удалось установить статус SSL сертификата, так как серверу не известен издатель.
Эти OCSP ответы позволяют пользователям узнать статус SSL сертификата и подтвердить (или поставить под сомнение) безопасность того или иного веб-сервиса. Протокол OCSP стремительно ускорил процесс получения информации о SSL сертификатах и таким образом стал предпочтительным инструментом проверки статуса SSL сертификата для пользователя в режиме реального времени.
Как проверялся статус сертификатов до OCSP?
Ранее для проверки статуса SSL сертификатов использовались САС списки (также распространено название CRL списки, сокращенно от Certificate Revocation Lists). САС представляет собой список с SSL сертификатами, которые по каким-либо причинам были отозваны. Такой причиной, к примеру, может стать потеря или компрометация приватного ключа, привязанного к сертификату, или взлом сайта.
CRL списки очень информативны и содержат все серийные номера SSL сертификатов, которые были отозваны, тем самым являясь очень ресурсоемкими, а следовательно и более медленными, чем протокол OCSP. Списки САС должны постоянно обновляться со стороны центров сертификации, что требует достаточно много времени и усилий. К тому же процесс проверки сертификата по CRL спискам часто выдает неверный результат, так как информация в списках САС может быть устаревшей на момент запроса.
Как работает протокол OCSP?
Оптимальное решение на смену CRL протоколу — это протокол OCSP, позволяющий запрашивать статус сертификата стандарта X-509 на специальных серверах центров сертификации в режиме реального времени. Стандарт X-509 — это интернациональный стандарт для инфраструктуры общественного ключа, представляющий собой криптографическую систему, в которой выдаются, распределяются и проверяются сертификаты. Структура X-509 содержит такие данные о сертификате, как версия, серийный номер, алгоритмы и значение подписи, имя (название) владельца и издателя, срок действия сертификата, публичный ключ, подпись.
Протокол отправляет в режиме настоящего времени запрос на OCSPсервер, который обычно принадлежит издателю SSL сертификата, и получает OCSP ответ, как описано в начале текста. Если сервер не может обработать запрос, он возвращает ошибку. Ответы OCSP, как правило, имеют цифровую подпись и могут быть проверены пользователем на подлинность. Цифровая подпись OCSP ответа должна осуществляться тем же ключом, что и подпись самого SSL сертификата.
Протокол OCSP позволяет проверять большое количество SSL сертификатов, получая список ответов от сервера. Условием подтверждения актуального статуса сертификата является необходимость работы сервера по актуальной базе данных сертификационных центров. Большинство программ, например, Windows Vista и выше, все версии Mozilla Firefox, Adobe, Opera начиная с версии 8.0, Lotus и т.д. поддерживают протокол OCSP. Однако некоторые более старые браузеры, которые поддерживают только CRL. Кроме того, браузер Chrome отменил проверку статуса SSL по OCSP.
Различия между CRL и OCSP
Свойства списков САС:
- Список серийных номеров сертификатов, которые были отозваны
- Необходимо обновление вручную каждых 5-14 дней
- Проверка только сертификатов с EV (не работает для и )
- Если список САС недоступен, сертификат по умолчанию считается доверенным
Свойства протокола OCSP:
- Проверка SSL сертификата в индивидуальном порядке
- Требуется меньше информации, ниже нагрузка на сеть
- Осуществляется на серверах, принадлежащих издателям сертификатов
- Имеются некоторые уязвимости личных данных
Что делают сертификационные центры?
Каждый из центров сертификации, как правило, владеет собственным сервером для проверки статусов SSL сертификатов, где одним из важнейших требований является время обработки запроса сервером. Издатели вкладывают огромную работу в оптимизацию и ускорение данных запросов, чтобы ни в чем не уступать своим конкурентам. Различные исследования показали, что замедления в обработке запросов могут привести к значительным коммерческим потерям. Одними из самых быстрых на сегодня являются сервера центра сертификации
КриптоАРМ
1. Ошибка - указан неверный серийный номер
Установите соответствующий лицензии дистрибутив:
2. Ошибка - Статус сертификата: недействителен, ошибка построения пути сертификации
Сообщение “ошибка построения пути сертификации” говорит о том, что Вам необходимо установить на рабочем месте корневой сертификат удостоверяющего центра и список отозванных сертификатов (СОС). Если у вас их нет, скачайте с официального сайта удостоверяющего центра или по ссылке в составе сертификата. Для просмотра ссылки необходимо:
1. Если у Вас “КриптоАРМ” версии 4, то выберите в меню ВИД - Эксперт, если “КриптоАРМ” версии 5, просто перейдите к следующему пункту инструкции.
2. В личном хранилище сертификатов двойным кликом мыши открыть сертификат
3. Нажать на кнопку “Просмотреть”
4. Выбрать вкладку “Состав”.
5. Выбрать “Доступ информации о центре сертификации”.
6. По ссылке скачать корневой сертификат удостоверяющего центра.
7. Принудительно установить сертификат в папку: “Доверенные корневые центры сертификации”.3. При подписании или проверке документа возникает предупреждение: "Нет полного доверия к сертификату подписи"
Если при создании электронной подписи либо после проверки подписанного документа появляется предупреждение «Нет полного доверия к сертификату подписи» и статус сертификата отображается с желтым вопросительным знаком, то необходимо проверить сертификат по списку отозванных сертификатов, а для этого выполните следующие действия:
- В верхнем меню выберите пункт «Настройки», затем «Управление настройками» и «Параметры прокси-сервера». Из выпадающего списка выберите вариант «Использовать системные настройки прокси». Нажмите «Применить».
- Далее в «Управление настройками» вкладка «Общие» снимите галку с опции «Отключить проверку личных сертификатов по спискам отзыва».
- Запустите «Internet Explorer», откройте меню «Сервис» -> пункт «Свойства обозревателя» («Свойства браузера») -> закладка «Подключения» -> кнопка «Настройка сети». Убедитесь в том, чтобы в «Настройках сети» флажки «Автоматическое определение параметров» и «Использовать скрипт автоматической настройки» были сброшены.
- Выберите в окне программы «КриптоАРМ» ветку «Личное хранилище сертификатов». Затем справа выберите нужный сертификат и нажмите правой кнопкой мыши, чтобы вызвать контекстное меню. В появившемся меню выберите «Проверить статус» «По CRL, полученному из УЦ».
- Если статус сертификата стал с зеленой галкой повторите ваше изначальное действие, вновь подпишите либо проверьте подпись.
4. Ошибка в ходе установки "КриптоАРМ"
В большинстве случаев устранить ошибку помогает удаление и установка его заново:
1. Удалите программу «КриптоАРМ» через Панель управления;
2. Проверьте, осталась ли папка Digt в каталоге Program Files (дополнительно проверьте каталог Program Files (х86) если используете 64-х разрядную систему Windows);
3. Если Вы устанавливали «КриптоАРМ» версии 5, то необходимо дополнительно проверить, удалились ли папки, содержащие в названии CifrovieTehnologii.TrustedTLS из папки WinSxS.
4. Скачайте заново дистрибутив из Центра загрузок .
5. Установить «КриптоАРМ», согласно шагам Мастера установки.
5. Росреестр не принимает файлы, подписанные с помощью "КриптоАРМ".
При создании подписи убедитесь что выбран тип кодировки DER и указана опция “Сохранить подпись в отдельном файле”. Т.е. нужно создать отделенную подпись, на портале помещать исходный файл и файл подписи (около 2Кб).
Видеоинструкция о том, как подписать документы для Росреестра по ссылке .
6. Чем отличается использование самоподписанных сертификатов от сертификатов, выданных официальным Удостоверяющим центром?
Сертификат – это электронный или печатный документ, удостоверяющий соответствие между парой цифровых ключей и их владельцем. В корпоративных и иных системах такие сертификаты выдаются специальным органом – Удостоверяющим центром. В этом случае получатель подписанного вами электронного документа может проверить подлинность и корректность данных отправителя, обратившись к этому УЦ.
Самоподписанный сертификат формируется самим пользователем за счет возможностей, заложенных в программу “КриптоАРМ”, т.е. сам удостоверяет соответствие своих ключей и себя, как их владельца. Использование таких сертификатов возможно при личной переписке или в тех организациях, где такая возможность специально оговорена регламентом использования ЭЦП.
Для использования сертификата вне организации для обеспечения юридически значимого документооборота необходимо использовать сертификаты, выданные сторонней организацией, Удостоверяющим центром. Одними из ведущих УЦ на территории РФ являются КриптоПро УЦ, Ekey УЦ и ряд других.
7. Почему размер зашифрованного файла увеличивается почти в два раза?
Размер зашифрованного файла зависит от того, какой вариант шифрования вы выбираете. Если выбираете шифрование в p7s, то выходной файл будет в der-кодировке. Если выбираете вариант pem, то он будет в кодировке Base 64, что естественно приводит к увеличению размера на 33%. Если же вы подписываете и шифруете одновременно и в обоих случаях используете Base 64 кодировку, то выходной файл будет больше аналогичного бинарного в 1,33 * 1,33 = 1,77 раза.
8. Как переустановить личный сертификат (с привязкой к ключевому контейнеру) средствами "КриптоАРМ".
Далее предполагается, что закрытый ключ хранится на токене (например, eToken или ruToken), если он хранится на дискете, то соответственно вынимать и вставлять следует дискету. Если же он хранится в реестре, то ничего вынимать и вставлять не требуется, но тогда необходимо быть особо внимательным на шаге 2.3, - на второй вопрос (про удаление ключей) необхидомо ответить “Нет”.
0. подготовка:
0.1. запустить КриптоАРМ.
0.2. в верхнем меню “Вид” выбрать режим “Эксперт”.1. сохранить сертификат в файл в следующем порядке:
1.1. выбрать элемент списка “Личное хранилище сертификатов” в левой части окна КриптоАРМ.
1.2. встать на сертификат в списке в правой части окна и нажать на него правую кнопку.
1.3. в появившемся контекстном меню выберите “Экспорт”.
1.4. если появится окно “CryptoPro CSP” для ввода пин-кода, на нем можно нажать “Отмена” (при необходимости - несколько раз).
1.5. в появившемся окне мастера нажать “Далее”.
1.6. на следующей странице мастера выбрать “Нет, не экспортировать закрытый ключ” и нажать “Далее”.
1.7. на следующей странице мастера выбрать первый (”DER”) или второй (”Base64″) формат и нажать “Далее”.
1.8. на следующей странице мастера нажать кнопку “Обзор”, перейти на рабочий стол (или в любое удобное место), в поле “Имя файла” ввести любое имя, например, “Сертификат1″ и нажать кнопку “Сохранить”. В странице мастера появится путь, по которому он будет сохранен, этот путь рекомендуется запомнить или даже скопировать в блокнот. Нажать “Далее”.
1.9. на следующей странице мастера нажать кнопку “Завершить”.2. удалить сертификат из хранилища в следующем порядке:
2.0. подготовка: ВЫНУТЬ ТОКЕН из компьютера!!!
2.1. выбрать элемент списка “Личное хранилище сертификатов” в левой части окна КриптоАРМ.
2.2. в правой части окна нажать правой кнопкой мыши на сертификат.
2.3. в появившемся конекстном меню выбрать пункт “Удалить”, в первом окне подтверждения выбрать “Да”, а затем во втором окне подтверждения (где спрашивается про закрытые ключи) выбрать “Нет”.
2.4. убедиться что сертификат пропал из списка.3. установить сертификат подписи в следующем порядке:
3.1. щелкнуть правой кнопкой на элемент левого окна “Личное хранилище сертификатов”.
3.2. в появившемся контекстном меню выбрать “Импорт”
3.3. в появившемся мастере включить галочки “Установить личный сертификат”, нажать “Далее”.
3.4. на следующей странице мастера нажать кнопку “Выбрать” и в диалоге выбора файла выбрать файл по имени из п.1.8 (сохраненный в блокноте). Нажать “Далее”.
3.5. на следующей странице мастера можно увидеть информацию о сертификате и нажать “Далее”.
3.6. ВСТАВИТЬ ТОКЕН.
3.7. на следующей старнице мастера необходимо выбрать криптопровайдер “CryptoPro GOST R 34.10-2001 Cryptographic Service Provider”, нажать кнопку ниже “Выбрать” и в появившемся окне выбрать контейнер, нажать “ОК”, а затем нажать кнопку “Далее”.
3.8. в появившемся окне при необходимости укажите пин-код и нажмите “ОК”.
3.9. на следующей странице мастера нажмите “Завершить”.Если в процессе выполнения этих пунктов не возникло проблем, то дальнейшая подпись должна работать без ошибок.
9. Как подписать и зашифровать декларацию для ФСРАР (Росалкогольрегулирование)?
10. Ошибка - Использование выбранного сертификата невозможно
Для корректной подписи и расшифрования в КриптоАРМ личный сертификат должен иметь привязку к ключевому контейнеру (ключевой паре).
Ее наличие можно проверить путем просмотра сертификата из личного хранилища сертификатов, например, при помощи КриптоАРМ: Контекстное меню трей-агента -> Хранилища сертификатов -> Личное хранилище сертификатов -> Выбор сертификата -> Просмотреть.
Если привязка существует, то на закладке ”Общие” (”General”) последней строкой (после срока действия сертификата) будет надпись ”Есть закрытый ключ, соответствующий этому сертификату.” (”You have a private key that corresponds to this certificate.”).Для сертификатов с ключевой парой на КриптоПро CSP установить привязку можно следующим образом:
1. сохраните сертификат (например, в der-формате) в файл и удалите из личного хранилища;
2. откройте Панель КриптоПро CSP: Пуск -> Настройки -> Панель управления -> КриптоПро CSP -> Закладка ”Сервис”;
3. нажмите кнопку ”Просмотреть сертификаты в контейнере”, затем ”Обзор”, выберите контейнер и нажмите ”ОК”, должно заполниться поле с именем контейнера;
4. нажмите ”Далее”, при необходимости введите пароль (ПИН-код), откроется форма ”Сертификаты в контейнере секретного ключа”;
5. нажмите кнопку ”Свойства”, откроется стандартная форма просмотра сертификата;
6. при необходимости сравните данный сертификат с сертификатом, сохраненным на первом шаге, если они отличаются, вернитесь на шаг 3 и выберите другой контейнер;
7. нажмите кнопку ”Установить сертификат”, затем ”Далее”, выберите ”Автоматически выбирать хранилище на основе типа сертификата”, снова ”Далее” и ”Готово”.
Обмен письмами с владельцем сертификата (инспекцией / спецоператором связи) возможен только в том случае, если сертификат, который установлен в карточке его владельца на закладке "Сертификаты ", имеет статус "действителен ".
Если у сертификата на закладке "Сертификаты " в поле "Статус " появляется любое другое сообщение, это означает, что сертификат непригоден.
При получении писем от владельца данного сертификата возникнет ошибка "Невозможно определить отправителя! " и письмо окажется в реестре проблемной почты (т.е. не будет получено). При отправке документов в адрес владельца данного сертификата возникнет ошибка "У лица <Название владельца сертификата> не найдено действительного сертификата для шифрования " и документ не будет отправлен.
В каких случаях определяется непригодность сертификата?
Истек срок действия сертификата
Сертификаты выдаются центрами сертификации на определённый срок. Когда срок действия сертификата истекает, использование данного сертификата в системе электронной отчётности автоматически прекращается. В этом случае у сертификата в карточке его владельца в поле "Статус " появляется сообщение "Один из сертификатов удостоверяющей цепи не подходит по дате ".
Как правило, когда подходит завершение срока действия какого-то сертификата, спецоператор связи в своей базе устанавливает в карточку владельца сертификата сертификат с новым сроком действия и рассылает этот сертификат в адрес других абонентов системы. Получение сертификата на стороне абонента-получателя происходит в обычные сеансы документооборота, как только сертификат получен, он автоматически устанавливается в карточку его владельца на закладку "Сертификаты ". Как только сертификат вступает в действие, он автоматически начинает использоваться вместо того сертификата, срок действия которого истёк. Этот порядок используется как при истечении срока действия сертификатов ИФНС, так и при истечении срока действия сертификата спецоператора связи.
Если сертификат с новым сроком действия вы получили на дискете или средствами обычной почтовой программы, в этом случае вам необходимо открыть карточку владельца сертификата и добавить сертификат на закладку "Сертификаты " из файла сертификата, который вы получили. Для этого необходимо выполнить ряд несложных действий:
1. В справочнике организаций откройте соответствующую карточку.
2. Перейдите на закладку "Сертификаты " и нажмите клавишу <Ins >, выберите добавление сертификата "Из файла" , далее укажите полученный файл сертификата.
Рис. 15-17 – Реквизиты сертификата
Убедитесь, что ключ подписи соответствует данному налогоплательщику и что он действителен . Название владельца указано в поле "Кому выдан ", текущий статус ключа отображается в поле "Статус ".
3. Закройте окно с реквизитами сертификата ("Сохранить "). В таблице на закладке "Сертификаты " появляется новая запись.
Сертификат был отозван
Удостоверяющие центры могут аннулировать и прекращать действие сертификатов, которые им были выданы (отзыв сертификатов). Списки отозванных сертификатов (списки отзыва) периодически публикуются удостоверяющими центрами. Эти списки регулярно рассылаются специализированными операторами связи системы в адрес своих абонентов.
Получение списка отзыва на стороне абонента происходит автоматически, в обычные сеансы доставки почты (вместе с документами с отчётностью).
Как только список отзыва получен, он автоматически устанавливается в реестр отозванных сертификатов ("Главное меню/ Сервис/ Обновления/ Списки отзыва сертификатов " в задаче "Администратор "). Как только в этот список попадает отозванный сертификат, его статус меняется с "действителен " на "отозван ". Доставка документов владельцев данных сертификатов автоматически прекращается.
Непригоден / отсутствует корневой сертификат
Подлинность сертификатов, которые используются в системе, подтверждают сертификаты удостоверяющих центров , которыми они были изготовлены. Сертификаты всех удостоверяющих центров – изготовителей сертификатов отправителей и получателей писем, должны быть установлены в хранилище корневых сертификатов Windows на рабочей станции, на которой производится доставка документов, и иметь статус "действителен ".
Система работает с корневым сертификатом автоматически, без участия пользователя. Если сертификат соответствующего удостоверяющего центра отсутствует в корневом хранилище или непригоден (например, просрочен), использование сертификатов, изготовленных данным центром сертификации, прекращается.
В этом случае в карточках владельцев соответствующих сертификатов в поле "Статус " появляется сообщение: "Цепь сертификатов не закончена " и доставка документов владельцев данных сертификатов прекращается.
Для устранения проблемы следует обратиться в спецоператору связи или в соответствующий удостоверяющий центр, получить действительный сертификат и установить его в корневое хранилище с помощью Мастера импорта сертификатов Windows (подробные инструкции приводятся в приложении "Импорт корневого сертификата ").
Как только действительный сертификат удостоверяющего центра окажется в хранилище, статус сертификатов в карточках соответствующих организаций изменится на "Действителен ".
Непригодно СКЗИ "КриптоПро CSP"
При доставке документов для работы с ключами подписи и сертификатами используется программа СКЗИ "КриптоПро CSP ". Система работает с КриптоПро CSP автоматически, без участия пользователя. Если СКЗИ "КриптоПро CSP" не установлено или непригодно, прекращается доставка документов всех отправителей.
В этом случае у всех сертификатов в карточках организаций в поле "Статус " появляется сообщение "Один из сертификатов удостоверяющей цепи не имеет правильной подписи ", "Не найден подходящий криптопроцессор! " и доставка почты прекращается.
Для устранения проблемы необходимо переустановить СКЗИ "КриптоПро CSP" (подробные инструкции приводятся в приложении "Переустановка программ криптозащиты "). После переустановки КриптоПро CSP статус сертификатов в карточках организаций изменится на "Действителен ".
