# 7. Встановлення та конфігурація шлюзу безпечного обміну

Встановлення шлюзу безпечного обміну виконується Адміністратором локальних компонентів (системним адміністратором). Віртуальна машина (або фізичний сервер) повинні бути попередньо налаштовані згідно розділів 5.1 та 5.2.

# 7.1. Встановлення шлюзу безпечного обміну вручну

#### 7.1.1. <span lang="UK">Налаштування вбудованого міжмережевого екрану</span>

<span lang="UK">З метою увімкнення мережевого захисту з використанням вбудованого міжмережевого екрану, необхідно виконати налаштування шлюзу безпечного обміну за допомогою брандмауера IPtables та командної утиліти ufw.</span>

<span lang="UK">Перед налаштуванням міжмережевого екрану необхідно:</span>

<span lang="UK">1. Підготувати відомості про адреси наступних локальних компонентів системи «Трембіта»:</span>

<span lang="UK">- мережеву адресу серверу робочої станції адміністратора (**&lt;IP\_РС\_адміністратора&gt;**, при виконанні команд необхідно замінити на реальне значення);</span>

<span lang="UK">- мережеву адресу серверу баз даних та архівування (**&lt;IP\_серверу\_баз\_даних\_та\_архівування&gt;**, при виконанні команд необхідно замінити на реальне значення);</span>

<span lang="UK">- мережеву адресу серверу аналізу журналів подій (**&lt;IP\_серверу\_аналізу\_журналів\_подій&gt;**, при виконанні команд необхідно замінити на реальне значення);</span>

<span lang="UK">- мережеву адресу серверів з вебсервісами та вебклієнтами, які реєструється на шлюзі безпечного обміну (**&lt;IP\_вебсервіс&gt;** та **&lt;IP\_вебклієнт&gt;**, при виконанні команд необхідно замінити на реальне значення. У випадку необхідності можна продублювати команди з цими скороченнями для всіх серверів з вебсервісами та вебклієнтами);</span>

<span lang="UK">2. Послідовно виконати наступні команди на шлюзі безпечного обміну, відповідно вказуючи адреси з попереднього пункту:</span>

```
sudo ufw allow from <IP_РС_адміністратора> to any port 22 proto tcp
sudo ufw enable
sudo ufw default deny outgoing
sudo ufw default deny incoming
sudo ufw allow in 5500/tcp
sudo ufw allow out 5500/tcp
sudo ufw allow in 5577/tcp
sudo ufw allow out 5577/tcp
sudo ufw allow in 5599/tcp
sudo ufw allow out 5599/tcp
sudo ufw allow out 4001/tcp
sudo ufw allow from <IP_РС_адміністратора> to any port 4000 proto tcp
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 8081/tcp
sudo ufw allow from <IP_вебклієнт> to any port 80 proto tcp
sudo ufw allow from <IP_вебклієнт> to any port 443 proto tcp
sudo ufw allow out 53
sudo ufw allow in 53/tcp
sudo ufw allow out 123/udp
sudo ufw allow out 11371/tcp
sudo ufw allow out from any to <IP_серверу_аналізу_журналів_подій> port 1514
sudo ufw allow out from any to <IP_серверу_баз_даних_та_архівування> port 5432 proto tcp
```

---

#### 7.1.2. Додавання репозиторію з пакетами системи «Трембіта»

<span lang="UK">Для додавання репозиторію з пакетами системи «Трембіта» необхідно закоментувати всі вже існуючі рядки у файлі /etc/apt/sources.list (вставляючи символ # на початку кожного рядку) та додати наступний новий рядок в кінці файлу:</span>

```
deb https://project-repo.trembita.gov.ua:8081/repository/ss-1.12.6/ bionic main
```

<span lang="UK">Швидко це можна зробити за допомогою послідовного виконання наступних двох команд, перша з яких додає символ коментування «#» до кожного непустого рядку, а друга – додає новий рядок з посиланням на репозиторій в кінець даного файлу:</span>

```
sudo sed -i 's/^[A-Za-z0-9]/#&/' /etc/apt/sources.list
echo 'deb https://project-repo.trembita.gov.ua:8081/repository/ss-1.12.6/ bionic main' | sudo tee -a /etc/apt/sources.list
```

<span lang="UK">Перевірити результат виконання команд можна за допомогою текстового редактора nano, відкривши файл на редагування за допомогою наступної команди:</span>

```
sudo nano /etc/apt/sources.list
```

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Для виходу з редактору використовується комбінація клавіш «Ctrl + X». Якщо були внесені змін, то потрібно натиснути клавішу «Y» для їх збереження або «N» для відміни.</span></p>

---

#### 7.1.3. Додавання GPG ключа для репозиторію

<span lang="UK">Для встановлення програмного забезпечення з репозиторію системи «Трембіта» потрібно завантажити та додати в систему GPG ключ даного репозиторію.</span>

<span lang="UK">Для цього Адміністратору локальних компонентів (системному адміністратору) необхідно виконати наступну команду:</span>

```
sudo wget -O - https://project-repo.trembita.gov.ua:8081//public-keys/public.key.txt | sudo apt-key add -
```

<span lang="UK">Якщо команда виконана успішно, буде виведено повідомлення «ОК»</span>

![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/vck2RjTPujLYREsf-embedded-image-io9blrak.png)

---

#### 7.1.4. Налаштування локалі

<span lang="UK">Якщо локалі «en\_US.utf8» немає в системі, Адміністратору локальних компонентів (системному адміністратору) необхідно згенерувати її за допомогою послідовного виконання наступних команд:</span>

```
sudo locale-gen en_US.UTF-8
sudo dpkg-reconfigure locales
```

<span lang="UK"><span lang="UK">У наступному діалоговому вікні необхідно знайти запис «en\_US.UTF-8 UTF-8», встановити відповідну позначку шляхом натискання кнопки \[SPACE\] та натиснути на кнопку \[ENTER\]:</span></span>

[![Screenshot 2024-04-10 231942.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/sav3Kf9V7aKGVldW-screenshot-2024-04-10-231942.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/sav3Kf9V7aKGVldW-screenshot-2024-04-10-231942.png)

<span lang="UK">У діалоговому вікні «Default locale for a system environment» потрібно обрати «en\_US.UTF-8» та перезайти в обліковий запис користувача (наприклад, закривши поточну та ініціювавши нову сесію SSH).</span>

<span lang="UK">В операційній системі шлюзу безпечного обміну має бути встановлена локаль «en\_US.UTF-8». Для встановлення даної локалі необхідно виконати наступну команду:</span>

<span lang="UK">echo 'LC\_ALL=en\_US.UTF-8' | sudo tee -a /etc/environment</span>

<span lang="UK">Та перезавантажити змінні оточення за допомогою виконання наступної команди:</span>

<span lang="UK">. /etc/environment</span>

<p class="callout warning"><span lang="UK"> </span><span lang="UK">**<span lang="UK">Важливо!</span>**<span lang="UK"> Варто звернути увагу на наявність пробілу після першої крапки у команді вище.</span></span></p>

---

#### 7.1.5. Встановлення пакету uxp-securityserver-ua

<span lang="UK">Для встановлення програмного забезпечення </span>UXP Security Server<span lang="UK"> для шлюзу безпечного обміну використовується команда apt. Перед встановленням потрібно оновити список доступних пакетів з репозиторію системи «Трембіта».</span>

<span lang="UK">Для встановлення зазначеного програмного забезпечення Адміністратору локальних компонентів (системному адміністратору) необхідно послідовно виконати наступні команди:</span>

```
sudo apt update
sudo apt install -y uxp-securityserver-ua libc6=2.27-3ubuntu1.6
```

<span lang="UK">Під час встановлення необхідно ввести ім’я облікового запису (логін) Адміністратора вебсервісів, що буде адмініструвати функціонал шлюзу безпечного обміну - наприклад, *uxpadmin*:</span>

<span lang="UK">[![viber_image_2024-04-30_12-22-48-790.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/CJbsMhvqXTH8OviS-viber-image-2024-04-30-12-22-48-790.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/CJbsMhvqXTH8OviS-viber-image-2024-04-30-12-22-48-790.png)</span><span lang="UK">Цей користувач зможе авторизуватись в вебінтерфейсі адміністрування шлюзу безпечного обміну.</span>

Для перевірки стану виконання встановлених компонентів ПЗ UXP Security Server після інсталяції ШБО необхідно виконати наступну команду:

```
sudo systemctl list-units | grep "uxp"
```

Список сервісів UXP, які мають бути активними (active/running):

```
uxp-confclient.service
uxp-jetty.service
uxp-monitor.service
uxp-proxy.service
uxp-signer.service
uxp-uaic.service  (якщо встановлений модуль контролю цілісності)
```

---

#### 7.1.6. Додавання додаткового облікового запису Адміністратора вебсервісів


<p class="callout warning">**Важливо!** В разі, якщо виникає необхідність роботи з вебінтерфейсом ШБО у декількох співробітників Учасника системи "Трембіта", кожен з них обов'язково повинен мати власний обліковий запис!</p>

<span lang="UK">Шлюз безпечного обміну використовує локальних користувачів і групи операційної системи для контролю доступу до вебінтерфейсу адміністрування шлюзу безпечного обміну.</span>

<span lang="UK">Обліковий запис, що використовується для входу в вебінтерфейс адміністрування шлюзу безпечного обміну – це обліковий запис Адміністратора вебсервісів (за замовчуванням з логіном uxpadmin).</span>

<span lang="UK">Для створення додаткового Адміністратора вебсервісів, Адміністратору локальних компонентів (системному адміністраторові) необхідно:</span>

<span lang="UK">1. Послідовно виконати наступні команди:</span>

```
sudo useradd -M -N <username>
sudo chsh -s /bin/false <username>
sudo passwd <username>
```

де **&lt;username&gt;** - логін створюваного користувача латиницею.

2\. Ввести пароль нового користувача двічі.

---

#### 7.1.7. Додавання додаткового облікового запису Відповідального за управління ключами

<span lang="UK">У випадку, коли локальні компоненти системи «Трембіта» адмініструє Оператор, уповноваженому співробітнику Суб’єкта електронної взаємодії, що відповідає за встановлення інформаційної взаємодії та управління особистими ключами електронної печатки (Відповідальному за управління ключами), потрібно надати доступ до функціоналу ШБО.</span>

<span lang="UK">Для цього потрібно створити обліковий запис Відповідального за управління ключами, який буде використовуватись для входу в вебінтерфейс адміністрування ШБО, шляхом послідовного виконання наступних команд:</span>

```
sudo useradd -M -N <security-officer>
sudo adduser <security-officer> uxp-security-officer
sudo chsh -s /bin/false <security-officer>
sudo passwd <security-officer>
```

де **&lt;security-officer&gt;** - логін створюваного користувача латиницею.

Після виконання цих команд необхідно ввести пароль нового користувача двічі.

---

#### 7.1.8. <span lang="UK">Встановлення модулю контроля цілісності</span>

<span lang="UK">Цілісність програмного забезпечення шлюзу безпечного обміну гарантується модулем контролю цілісності. </span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Цей модуль є обов’язковим для встановлення на шлюзі безпечного обміну промислового середовища</span><span lang="UK">!</span></p>

<span lang="UK">Встановлення модуля контролю цілісності необхідно виконати наступну команду:</span>

```
sudo apt install uxp-addon-securityserver-uaic nginx-light=1.14.0-0ubuntu1.7 libpam0g=1.1.8-3.6ubuntu2.18.04.2 libnginx-mod-http-echo=1.14.0-0ubuntu1.7 nginx-common=1.14.0-0ubuntu1.7 bash=4.4.18-2ubuntu1.2 passwd=1:4.5-1ubuntu2
```

<span lang="UK">Під час встановлення необхідно налаштувати параметри надсилання повідомлень електронною поштою (за допомогою утиліти Postfix). Якщо даної потреби немає, необхідно обрати варіант «Local only» та підтвердити запропоновані варіанти за замовченням щодо імені хоста та електронної пошти:</span>

<span lang="UK">[![Picture3_1.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/scaled-1680-/ZQao2fyxkJmyq0Z2-picture3-1.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/ZQao2fyxkJmyq0Z2-picture3-1.png)</span>

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Після встановлення модуля контролю цілісності, програма встановлення початково призупиняє перевірку цілісності на 30 хвилин, щоб запобігти запуску перевірки цілісності та призупиненню сервісів під час процесу конфігурації шлюзу безпечного обміну. Якщо конфігурування триває довше, необхідно додатково призупинити перевірку цілісності у вебінтерфейсі шлюзу безпечного обміну, натиснувши на кнопку «Перевірка цілісності призупинена на ## хв», щоб отримати більше часу</span><span lang="UK">.</span></p>

<span lang="UK">[![Picture3_2.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/scaled-1680-/zBat3KkK7hZM2qwT-picture3-2.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/zBat3KkK7hZM2qwT-picture3-2.png)</span>

<span lang="UK">[![Picture3_3.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/scaled-1680-/tpOabK0E6gb2gu5e-picture3-3.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-05/tpOabK0E6gb2gu5e-picture3-3.png)</span>

---

#### 7.1.9. <span lang="UK">Надання доступу до вебінтерфейсу шлюзу безпечного обміну з робочої станції адміністратора</span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> В промисловому середовищі користувачі з ролями «Адміністратор вебсервісів» та «Відповідальний за управління ключами» повинні підключатися до вебінтерфейсу ШБО виключно з робочих станцій адміністратора!</span></p>

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Якщо Суб’єкт електронної взаємодії та Учасник є різними юридичними особами, то Суб’єкт електронної взаємодії аналогічно повинен мати власну робочу станцію адміністратора.</span></p>

<span lang="UK">Керування доступом до вебінтерфейсу ШБО здійснюється за допомогою налаштувань NGINX. </span>

<span lang="UK">Перелік IP-адрес, з яких можна підключитись до ШБО знаходиться у файлі дозволених хостів. </span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Даний файл повинен містити виключно адреси довірених робочих станцій адміністратора. Адміністратор локальних компонентів (системний адміністратор) повинен завжди тримати перелік дозволених адрес у актуальному стані.</span></p>

<span lang="UK">Для того, щоб додати ІР-адресу робочої станції адміністратора до файлу дозволених хостів необхідно:</span>

<span lang="UK">1. Відкрити на редагування файл /etc/uxp/uaic/allowed\_hosts.conf у текстовому редакторі nano за допомогою виконання наступної команди:</span>

```
sudo nano /etc/uxp/uaic/allowed_hosts.conf
```

<span lang="UK">2. Додати до файлу наступний рядок:</span>

```
allow <workstation-IP>;
```

<span lang="UK">де **&lt;workstation-IP&gt;** </span><span lang="UK">–</span><span lang="UK"> IP-адреса робочої станції адміністратора, що буде використовуватися для доступу до вебінтерфейсу ШБО.</span>

<span lang="UK">3. Зберегти зміни і закрити редактор. Для цього необхідно натиснути комбінацію клавіш «Ctrl+X», ввести «Y» для підтвердження збереження внесених змін та натиснути на клавішу «Enter».</span>

<span lang="UK">4. Перевірити конфігурацію за допомогою виконання наступної команди:</span>

```
sudo nginx -t
```

<span lang="UK">Якщо перевірку конфігурації пройдено успішно, буде виведено повідомлення «test is successful»:</span>

<span lang="UK">5. Перезавантажити сервіс NGINX, щоб застосувати зміни на ШБО, за допомогою виконання наступної команди:</span>

```
sudo service nginx reload
```

<span lang="UK">Перед виконанням подальших налаштувань ШБО, необхідно обчислити нові значення геш-функцій програмних компонентів ШБО за допомогою виконання наступної команди:</span>

```
sudo uxp-ua-integritychecker.sh recalc_all
```

<div id="bkmrk--15" style="mso-element: comment-list;"><div style="mso-element: comment;"><div class="msocomtxt" id="bkmrk--16" language="JavaScript" onmouseout="msoCommentHide('_com_1')" onmouseover="msoCommentShow('_anchor_1','_com_1')"></div></div></div>

# 7.2. Початкова конфігурація шлюзу безпечного обміну

Початкова конфігурація шлюзу безпечного обміну виконується Адміністратором вебсервісів.

#### 7.2.1. Завантаження ліцензії для шлюзу безпечного обміну

<span lang="UK">Для роботи ШБО в промисловому середовищі потрібна діюча ліцензія, без неї він не працюватиме. Файл ліцензії можна знайти в Особистому кабінеті Каталогу системи «Трембіта» в розділі «Адміністрування» на вкладці «Матеріали».</span>

<span lang="UK">Для того, щоб завантажити ліцензію на ШБО необхідно перейти до його вебінтерфейсу за посиланням: </span><span lang="UK">https://&lt;Your-security-server-IP&gt;:4000</span><span lang="UK">,</span>

<span lang="UK">де **&lt;Your-security-server-IP&gt;** – це внутрішня (локальна) IP-адреса шлюзу безпечного обміну,</span>

<span lang="UK">використовуючи атрибути </span><span lang="UK">доступу користувача з роллю Адміністратор вебсервісів:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/qJeimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/qJeimage.png)

<p class="callout info">**Примітка.** <span lang="UK">При першому доступі до вебінтерфейсу ШБО може з’явитись попередження про те, що використовується сертифікат, виданий недовіреним центром сертифікації. При встановленні шлюзу безпечного обміну використовується самопідписаний сертифікат, тому слід додати виняток для цього сертифікату у браузері. </span></p>

<p class="callout info">**Примітка.** У перші хвилини після перезапуску шлюзу безпечного обміну вебінтерфейс ШБО може відображати повідомлення «502 Bad Gateway» (зазвичай менше однієї хвилини). Необхідно періодично оновлювати сторінку авторизації, поки не відобразиться форма входу.</p>

<span lang="UK">Після першої авторизації в вебінтерфейсі ШБО користувачеві буде відображено діалогове вікно вибору файлу ліцензії, в якому необхідно завантажити файл ліцензії промислового середовища member.live.license.lic.</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/ftQimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/ftQimage.png)

В даному діалоговому вікні необхідно натиснути на кнопку <span lang="UK">«</span>Переглянути<span lang="UK">»</span> та завантажити файл ліцензії.

Після завантаження необхідно його підтвердити, натиснувши кнопку «Зберегти ліцензію».

---

#### 7.2.2. Ініціалізація шлюзу безпечного обміну

<span lang="UK">При ініціалізації ШБО необхідно завантажити файл якоря конфігурації промислового середовища (файл configuration anchor). </span>

<span lang="UK">Файл якоря конфігурації промислового середовища можна знайти в Особистому кабінеті Каталогу системи «Трембіта» в розділі «Адміністрування» на вкладці «Матеріали».</span>

<span lang="UK">Якір конфігурації необхідно завантажити в наступному діалоговому вікні та підтвердити імпорт, натиснувши на кнопку «Підтвердити» («Confirm»):</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/Ekoimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/Ekoimage.png)

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/jcWimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/jcWimage.png)

<span lang="UK">Після чого відкриється вікно ініціалізації ШБО:</span>

![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-09/KSAu5pkSIzYvBQ3F-embedded-image-wenovydf.png)

<span lang="UK">Для ініціалізації ШБО необхідно заповнити наступні дані:</span>

<table border="1" cellpadding="0" cellspacing="0" id="bkmrk-%D0%92%D0%BB%D0%B0%D1%81%D0%BD%D0%B8%D0%BA-%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D0%B0-%D0%B1%D0%B5%D0%B7%D0%BF" style="width: 848px;" width="650"><tbody><tr><td colspan="2" style="width: 854.2px;" valign="top" width="650"><span lang="UK">Власник сервера безпеки (Security Server Owner)</span>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">Клас Учасника </span>

<span lang="UK">(Member Class)</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">GOV</span>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">Код Учасника</span>

<span lang="UK">(Member Code)</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">У якості коду Учасника використовується код ЄДРПОУ організації, яка є Учасником системи «Трембіта». </span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Якщо ввести неправильний Member Code, то шлюз безпечного обміну не буде функціонувати коректно і його потрібно буде переінсталювати!</span></p>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">Ім’я Учасника</span>

<span lang="UK">(Member Name)</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">Ім'я Учасника автоматично отримується з сервера Каталогу Учасників (після введення коду Учасника) відповідно до заявки на реєстрацію Учасника у системі «Трембіта».</span>

</td></tr><tr><td colspan="2" style="width: 854.2px;" valign="top" width="650"><span lang="UK">Шлюз безпечного обміну (Security Server)</span>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">Код сервера безпеки</span>

<span lang="UK">(Security Server Code)</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">Унікальний код ШБО («сервера безпеки» в вебінтерфейсі) в промисловому середовищі системи «Трембіта», який потрібно створити відповідно до наступного шаблону: </span>

**<span lang="UK">MemberCode\_SS\_P\_Number\_FreeSymbols</span>**<span lang="UK">, де: </span>

<span lang="UK">**MemberCode** – код ЄДРПОУ організації;</span>

<span lang="UK">**SS** – означення ШБО (security server);</span>

<span lang="UK">**P** – абревіатура промислового середовища системи, не змінюється;</span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Варто звернути увагу, що \_SS\_P\_ потрібно вводити великими латинськими літерами з використанням символу нижнього підкреслення «\_».</span></p>

<span lang="UK">**Number** – порядковий номер ШБО організації;</span>

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Нумерація ШБО для тестового та промислового середовищ системи незалежна.</span></p>

<span lang="UK">**FreeSymbols** – (за потреби) цифри та літери, які можна додавати до ідентифікатора ШБО задля власної зручності (наприклад, позначення центру обробки даних, позначення інформаційної системи, в якій використовується ШБО тощо).</span>

<p class="callout warning"><span lang="UK">**Важливо!** </span><span lang="UK">Додаткові символи повинні містити лише цифри та великі літери англійського алфавіту.</span></p>

</td></tr><tr><td colspan="2" style="width: 854.2px;" valign="top" width="650"><span lang="UK">Програмний токен (Software Token)</span>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">PIN</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">Необхідно придумати PIN-код, який буде використаний для захисту ключів автентифікації, що зберігаються у програмному сховищі (файловій системі ОС). </span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Адміністратор вебсервісів має зберігати PIN-код у безпечному місці, оскільки після втрати PIN-коду необхідно відновлювати токен, повторно видавати та реєструвати новий сертифікат автентифікації.</span></p>

</td></tr><tr><td style="width: 427.1px;" valign="top" width="179"><span lang="UK">Повторити PIN</span>

</td><td style="width: 427.1px;" valign="top" width="471"><span lang="UK">Ввести повторно значення PIN-коду.</span>

</td></tr></tbody></table>

<span lang="UK">Після введення інформації необхідно натиснути на кнопку «Відправити» («Submit»). Ініціалізація може зайняти декілька хвилин. Коли буде відображено повідомлення про те, що сервер був ініціалізований, необхідно натиснути на кнопку «OK».</span>

---

#### 7.2.3. Введення PIN-коду програмного токену

<span lang="UK">ШБО прив’язує всі особисті ключі до токенів безпеки. Після ініціалізації з’явиться помаранчеве повідомлення у верхній частині сторінки з написом «Будь ласка, введіть PIN-код програмного токену». Це повідомлення вказує на те, що зазначений токен безпеки на даний час заблокований, а особисті ключі не можуть бути використані. Щоразу при перезавантаженні ПЗ UXP Security Server або всієї операційної системи ШБО, потрібно вводити PIN-код токену безпеки (у всі використовувані токени безпеки).</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/Chdimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/Chdimage.png)

<span lang="UK">Адміністратор вебсервісів має увійти в програмний токен безпеки (softToken), використовуючи PIN-код, введений під час ініціалізації сервера, для чого необхідно:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Знайти рядок із написом «Токен: softToken-0».</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Введіть PIN-код» в цьому рядку </span><span lang="UK">–</span><span lang="UK"> відкриється діалогове вікно для введення PIN-коду.</span>

<span lang="UK">4. </span><span lang="UK">Ввести PIN-код та натиснути на кнопку «OK».</span>

<span lang="UK">Якщо все зроблено коректно, повідомлення «Будь ласка, введіть PIN-код програмного токену» зникне, а кнопка «Вихід» – з’явиться замість кнопки «Введіть PIN-код»:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/wURimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/wURimage.png)

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Варто звернути увагу, що на шлюзі безпечного обміну в промисловому середовищі працює модуль контролю цілісності. Необхідно перевіряти значення таймеру у верхній частині сторінки. Якщо користувач не встигатиме завершити необхідні налаштування, він має натиснути на кнопку «Перевірка цілісності призупинена на ## хв», щоб отримати більше часу. Після завершення налаштувань обов’язково потрібно натиснути на кнопку «Оновити ГОСТ-ХЕШ».</span></p>

![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-09/cH1CC4x0kfZjQSsv-embedded-image-k6fwtyze.png)

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Якщо користувач не встиг виконати всі необхідні налаштування та зберегти зміни шляхом оновлення ГОСТ-хешу, модуль контролю цілісності може призупинити роботу сервісів шлюзу безпечного обміну, а вебінтерфейс адміністрування стане недоступним. У цьому випадку Адміністратору локальних компонентів (системному адміністраторові) необхідно виконати наступні команди в командному інтерфейсі ШБО:</span></p>

```
sudo uxp-ua-integritychecker.sh recalc_all
sudo uxp-ua-integritychecker.sh check
sudo uxp-ua-integritychecker.sh start_all
```

---

#### 7.2.4. Налаштування сервера позначок часу

<span lang="UK">Шлюз безпечного обміну використовує зовнішню службу встановлення позначок часу (timestamping) для встановлення позначок часу на кожне повідомлення. </span>

<span lang="UK">ШБО може мати декілька довірених служб позначок часу. </span>

<span lang="UK">Адміністратор вебсервісів може обрати, які служби позначок часу будуть використовуватися даним ШБО (зазвичай, це служба, створена відповідним надавачем електронних довірчих послуг, у якого організація отримала сертифікати печатки та шифрування).</span>

<span lang="UK">Необхідно додати цю службу в список служб встановлення позначок часу, використовуваних шлюзом безпечного обміну, наступним чином:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Параметри системи». Список серверів позначок часу має бути порожнім («Немає (відповідних) записів»).</span>

<span lang="UK">2. </span><span lang="UK">Натиснути на кнопку «Додати» в секції «Сервіси позначки часу».</span>

<span lang="UK">3. </span><span lang="UK">Обрати зі списку доступний сервіс і натиснути на нього.</span>

<span lang="UK">4. </span><span lang="UK">Натиснути на кнопку «OK».</span>

<span lang="UK">В результаті відобразиться інформація про обраний сервіс позначок часу і його URL в секції «Сервіси позначки часу».</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/oYzimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/oYzimage.png)

<p class="callout warning">**Важливо!** Повинен бути зазначений саме TSP-сервер видавця КНЕДП, де організація отримувала електронну печатку!</p>

# 7.3. Підключення захищених носіїв особистих ключів (апаратних токенів)

<span lang="UK">Шлюз безпечного обміну накладає електронну печатку на кожне повідомлення (здійснює його підписання), що відправляється до іншого шлюзу безпечного обміну через систему «Трембіта». Підписання здійснюється з використанням кваліфікованого сертифікату електронної печатки, який було отримано на підготовчих кроках від кваліфікованого надавача електронних довірчих послуг.</span>

<span lang="UK">В промисловому середовищі системи «Трембіта» є обов’язковим використання апаратних токенів або HSM-пристроїв.</span>

<span lang="UK">Захищений носій особистих ключів (апаратний токен), на якому знаходяться особисті ключі електронної печатки та шифрування необхідно правильно підключити до віртуальної машини шлюзу безпечного обміну. За дану дію відповідає Адміністратор локальних компонентів (системний адміністратор).</span>

<span lang="UK">За налаштування використання криптографічних ключів та сертифікатів печатки в цілому відповідає працівник Учасника, що є власником ШБО.</span>

<span lang="UK">За налаштування використання криптографічних ключів та сертифікатів **печатки** в цілому відповідає працівник **Учасника**, що є власником ШБО.</span>

<span lang="UK">За налаштування використання криптографічних ключів та сертифікатів **печатки Суб’єкта електронної взаємодії** відповідає користувач з роллю Відповідальний за управління ключами Суб’єкта електронної взаємодії через вебінтерфейс ШБО.</span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Паролі до ключів та сертифікатів печатки Суб’єкта електронної взаємодії вводяться через вебінтерфейс шлюзу безпечного обміну Відповідальним за управління ключами та не повинні передаватися співробітникам Оператора та іншим третім особам.</span>  
</p>

---

#### 7.3.1. Налаштування CMP-сервісу кваліфікованого надавача електронних послуг

<span lang="UK">Для того, щоб шлюз безпечного обміну мав можливість працювати з КНЕДП, що видав сертифікати, необхідно додати інформацію про нього у спеціальний файл, для чого необхідно:</span>

<span lang="UK">1. Відкрити даний файл за допомогою виконання наступної команди:</span>

```
sudo nano /etc/uxp/uac/osplm.ini
```

<span lang="UK">2. Знайти розділ (у квадратних дужках визначаються розділи) з налаштуваннями CMP-сервісу та встановити наступні параметри доступу:</span>

```
[\SOFTWARE\Institute of Informational Technologies\Certificate Authority-1.3\End User\CMP]
Use=1
CommonName=
Address= ca-test.czo.gov.ua
Port=80
```

<span lang="UK">3. У поле Address необхідно вказати адресу до сервісу CMP КНЕДП, що видав сертифікати (наприклад, ca.informjust.ua, ca.iit.com.ua тощо, залежно від КНЕДП). Зазначену адресу може надати, зокрема, надавач електронних довірчих послуг або її можна дізнатись з веб інтерфейсу ШБО на вкладці «Параметри системи» в секції «Сервіси позначки часу» (який було вказано в [розділі 7.2.4](https://docs.trembita.gov.ua/link/66#bkmrk-6.2.2.2.-%D0%9D%D0%B0%D0%BB%D0%B0%D1%88%D1%82%D1%83%D0%B2%D0%B0%D0%BD%D0%BD) даної інструкції). </span>

<span lang="UK">Приклад результату модифікації файлу:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/jZ8image.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/jZ8image.png)

---

#### 7.3.2. Встановлення підтримки захищених носіїв особистих ключів (апаратних токенів)

<span lang="UK">Встановлення підтримки захищених носіїв особистих ключів (апаратних токенів) виконується Адміністратором локальних компонентів (системним адміністратором).</span>

<span lang="UK">Шлюз безпечного обміну версії 1.12.6 підтримує наступні захищені носії особистих ключів:</span>

<span lang="UK">1. </span><span lang="UK">Апаратні токени:</span>

<span lang="UK">- </span><span lang="UK">Алмаз-1К;</span>

<span lang="UK">- </span><span lang="UK">Автор Secure Token 337;</span>

<span lang="UK">- </span><span lang="UK">Автор Secure Token 338;</span>

<span lang="UK">- </span><span lang="UK">EfitKey;</span>

<span lang="UK">- </span><span lang="UK">Кристал-1;</span>

<span lang="UK">2. </span><span lang="UK">Мережеві криптомодулі:</span>

<span lang="UK">- </span><span lang="UK">ІІТ Гряда-301;</span>

<span lang="UK">- </span><span lang="UK">Сайфер «Шифр-HSM».</span>

<span lang="UK">Апаратний токен (захищений носій особистих ключів) необхідно підключити до фізичного обладнання – сервера, який забезпечує функціонування ПЗ шлюзу безпечного обміну. Якщо використовується система віртуалізації на сервері – потрібно налаштувати адресацію фізичного порту, до якого підключений апаратний токен, до віртуальної машини шлюзу безпечного обміну.</span>

<span lang="UK">Правильність адресації можна перевірити через наявність інформації про ключі у операційній системі, для чого потрібно виконати наступну команду на шлюзі безпечного обміну:</span>

```
sudo dmesg | grep usb
```

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/x82image.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/x82image.png)

<span lang="UK">З результату виконання команди можна побачити, що в системі присутні два апаратних токени – Product: IIT E.Key Crystal-1 та Product: E.Key Almaz-1C – відповідно «Кристал-1» та «Алмаз-1К».</span>

<span lang="UK">Для роботи усіх апаратних токенів необхідно встановити пакети підтримки електронних ключів операційною системою Linux, а саме Ubuntu 18.04 Server 64bit:</span>

```
sudo apt-get install pcscd libccid pcsc-tools libccid libpcsclite1 opensc
```

##### 7.3.2.1. Налаштування Алмаз-1К

<span lang="UK">Додаткових налаштувань, крім встановлення пакетів підтримки електронних ключів операційною системою Linux, виконувати не потрібно.</span>

##### 7.3.2.2. Налаштування Автор Secure Token 337/ Secure Token 338

<span lang="UK">Для зазначених токенів Автор необхідно:</span>

<span lang="UK">1. </span><span lang="UK">Завантажити драйвер для 64-розрядної ОС Linux за допомогою виконання наступної команди:</span>

```
wget https://project-repo.trembita.gov.ua:8081//files/t1/libav337p11d.so
```

<span lang="UK">2. </span><span lang="UK">Перемістити завантажений файл у директорію /usr/lib/:</span>

```
sudo cp libav337p11d.so /usr/lib/
```

<span lang="UK">3. Перевірити доступність токену в системі можна за допомогою виконання наступної команди:</span>

```
sudo pkcs11-tool -v --list-slots --module /usr/lib/libav337p11d.so
```

<span lang="UK">У випадку, якщо ключ доступний для системи, має бути виведено інформацію про нього, наприклад:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/sfGimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/sfGimage.png)

##### 7.3.2.3. Налаштування <span style="color: black; mso-color-alt: windowtext;">EfitKey </span>

<span lang="UK">При використанні захищеного носія EfitKey необхідно виконати наступні дії:</span>

<span lang="UK">1. Скорегувати файл Info.plist, для того, щоб додати (включити) існуючий PCSC-пристрій (токен EfitKey) до відповідного списку PCSC-пристроїв, які підтримуються системою, відкривши його за допомогою виконання наступної команди:</span>

```
sudo nano /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist
```

<span lang="UK">2. Знайти строку «&lt;key&gt;ifdVendorID&lt;/key&gt;» і після елементу «&lt;array&gt;» додати:</span>

```
«<string>0xC1A6</string>»
```

<span lang="UK">3. Знайти строку «&lt;key&gt;ifdProductID&lt;/key&gt;» і після елементу «&lt;array&gt;» додати:</span>

```
«<string>0x0151</string>»
```

<span lang="UK">4. Знайти строку «&lt;key&gt;ifdFriendlyName&lt;/key&gt;» і після елементу «&lt;array&gt;» додати:</span>

```
«<string>EfitTechnologies EfitKey</string>»
```

<span lang="UK">5. Завантажити та скопіювати бібліотеку драйверів libefitkeynxt.so до директорії /usr/lib/ за допомогою послідовного виконання наступних команд:</span>

```
wget https://project-repo.trembita.gov.ua:8081//files/t1/libefitkeynxt.so
sudo cp libefitkeynxt.so /usr/lib/
```

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Для роботи libefitkeynxt.so і EfitKey необхідно мати запущений демон pcscd.</span></p>

<span lang="UK">6. Під’єднати захищений носій ключової інформації EfitKey та перевірити доступність носія в системі:</span>

```
sudo pkcs11-tool -v --list-slots --module /usr/lib/libefitkeynxt.so
```

<span lang="UK">У випадку, якщо ключ доступний для системи, має бути виведено інформацію про нього, наприклад:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/gBMimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/gBMimage.png)

##### 7.3.2.4. Налаштування Кристал-1

<span lang="UK">При використанні токену «Кристал-1» необхідно виконати наступні дії:</span>

<span lang="UK">1. Створити файл /etc/udev/rules.d/80-uxp-iit-e-keys.rules за допомогою виконання наступної команди:</span>

```
sudo nano /etc/udev/rules.d/80-uxp-iit-e-keys.rules
```

<span lang="UK">2. Прописати в ньому наступні правила:</span>

```
SUBSYSTEM=="usb", ATTR{idVendor}=="03eb", ATTR{idProduct}=="9301", MODE="0660", GROUP="uxp"
SUBSYSTEM=="usb", ATTR{idVendor}=="03eb", ATTR{idProduct}=="9308", MODE="0660", GROUP="uxp"
```

<span lang="UK">3. Перевірити, чи встановлено бібліотеку libusb-0.1-4 за допомогою виконання наступної команди:</span>

```
sudo apt list --installed | grep libusb-0.1-4
```

<span lang="UK">У випадку, якщо бібліотеку не встановлено, встановити її за допомогою виконання наступної команди:</span>

```
sudo apt-get install libusb-0.1-4
```

##### 7.3.2.5. Налаштування ІІТ Гряда-301

<span lang="UK">При використанні токену безпеки ІІТ «Гряда-301» необхідно виконати наступні дії:</span>

<span lang="UK">1. Відкрити файл /etc/uxp/uac/osplm.ini за допомогою виконання наступної команди:</span>

```
sudo nano /etc/uxp/uac/osplm.ini
```

<span lang="UK">2. Додати в нього наступний блок параметрів:</span>

```
[\SOFTWARE\Institute of Informational Technologies\Key Medias\NCM Gryada-301]
[\SOFTWARE\Institute of Informational Technologies\Key Medias\NCM Gryada-301\Modules]
[\SOFTWARE\Institute of Informational Technologies\Key Medias\NCM Gryada-301\Modules\<Serial Number>]
OrderNumber=0
SN=<Serial Number>
Address=<Your-Gryada-301-IP>
AddressMask=255.0.0.0
```

<span lang="UK">де &lt;**Serial Number&gt;** – це останні три цифри серійного номеру пристрою ІІТ Гряда-301 (серійний номер пристрою має вигляд 301XXX, останні три цифри ХХХ необхідно додати у файл),</span>

<span lang="UK">**&lt;Your-Gryada-301-IP&gt;** – це мережева адреса пристрою,</span>

<span lang="UK">**AddressMask** – маска підмережі, у якій знаходиться пристрій.</span>

<span lang="UK">3. Перезавантажити сервіс uxp-signer за допомогою виконання наступної команди:</span>

```
sudo systemctl restart uxp-signer
```

##### 7.3.2.6. Налаштування Сайфер «Шифр-HSM»

<span lang="UK">Для забезпечення роботи токену безпеки «Шифр-HSM» необхідна бібліотека libcihsm.so. Її потрібно розмістити в директорії /var/tmp/uxp/EUSign-x64-1.3.263/ файлової системи шлюзу безпечного обміну. </span>

<p class="callout info"><span lang="UK">**Примітка.** </span><span lang="UK">Дана бібліотека поставляється компанією-виробником разом з токеном безпеки.</span></p>

<span lang="UK">Після цього необхідно виконати наступні кроки:</span>

<span lang="UK">1. Змінити права доступу до бібліотеки за допомогою виконання наступної команди:</span>

```
chmod 644 /var/tmp/uxp/EUSign-x64-1.3.263/libcihsm.so
```

<span lang="UK">2. Впевнитись, що шлюз безпечного обміну має підключення до модулю «Шифр-HSM» за допомогою виконання наступної команди:</span>

```
PKCS11_PROXY_SOCKET=tcp://<Your-CipherHSM-IP>:23454 pkcs11-tool \
--module /var/tmp/uxp/EUSign-x64-1.3.263/libcihsm.so -
```

<span lang="UK">де **&lt;Your-CipherHSM-IP&gt;** – IP-адреса модулю.</span>

<span lang="UK">Після виконання команди будуть показані усі доступні слоти на модулі, наприклад:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/f9Mimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/f9Mimage.png)

<span lang="UK">3. Відкрити файл /etc/uxp/services/local.conf за допомогою виконання наступної команди:</span>

```
sudo nano /etc/uxp/services/local.conf
```

<span lang="UK">та додати в нього наступну строку:</span>

```
export PKCS11_PROXY_SOCKET=tcp://<Your-CipherHSM-IP>:23454
```

<span lang="UK">4. Переглянути всі ключі та сертифікати на токені, скориставшись інструментом pkcs11-tool, за допомогою виконання наступної команди:</span>

```
PKCS11_PROXY_SOCKET=tcp://<Your-CipherHSM-IP>:23454 pkcs11-tool \
--module /var/tmp/uxp/EUSign-x64-1.3.263/libcihsm.so \
--slot <SlotNunber> -O -v -l --pin <PIN Code>
```

<span lang="UK">де **&lt;Your-CipherHSM-IP&gt;** – IP адреса модулю;</span>

<span lang="UK">**&lt;PIN Code&gt;** – PIN–код модулю.</span>

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> Якщо після виконання команди було отримано помилку CKR\_USER\_ALREADY\_LOGGED\_IN, необхідно видалити розділ входу </span><span lang="UK">-l --pin &lt;PIN Code&gt;</span><span lang="UK"> з попередньої команди.</span></p>

<span lang="UK">5. Скопіювати сертифікат з попереднього кроку та сертифікат КНЕДП в директорію /etc/uxp/uac/certificates/.</span>

<span lang="UK">6. Перезавантажити сервіс uxp-signer за допомогою виконання наступної команди:</span>

```
sudo systemctl restart uxp-signer
```

<span lang="UK">Після проведених дій з обраним ключем обов’язково необхідно перезавантажити операційну систему:</span>

```
sudo shutdown -r now
```

<span lang="UK"><span lang="UK">Після чого використовуваний ключ повинен з’явитись в вебінтерфейсі ШБО в розділі «Ключі і сертифікати»</span></span><span lang="UK">.</span>

# 7.4. Реєстрація шлюзу безпечного обміну

##### 7.4.1. Імпорт ключа підпису та шифрування

Для імпорту ключа підпису та шифрування потрібно мати згенеровані ключі печатки та шифрування та відповідні сертифікати, видані одним з КНЕДП, що підтримуються системою «Трембіта». Отримання сертифікатів виконується на підготовчому етапі підключення до системи.

Ключі електронної печатки та шифрування можуть зберігатися на програмних захищених носіях особистих ключів, які повинні бути підключені та налаштовані згідно [розділу 7.3.3](https://docs.trembita.gov.ua/books/instrukciia-zi-vstanovlennia-lokalnix-komponentiv-sistemi-trembita-v-promislovomu-seredovishhi-vrucnu/page/73-pidkliucennia-zaxishhenix-nosiyiv-osobistix-kliuciv-aparatnix-abo-programnix-tokeniv).

Для імпорту ключів електронної печатки та шифрування на ШБО потрібно виконати наступні дії в його вебінтерфейсі:

1\. Перейти в розділ «Ключі і сертифікати».

2\. Ввести PIN-код до сховища ключів uacToken (це PIN-код до особистого ключа, що імпортований з ZIP-архіву).

3\. Навпроти кожного сертифікату натиснути кнопку «Імпортувати».

<p class="callout info">**Примітка.** У випадку використання апаратного модулю Сайфер «Шифр-HSM», PIN-код токену вводиться в форматі ##slot\_id##password. Наприклад ##231036361##1234567890.</p>

---

##### 7.4.2. Створення ключа автентифікації для шлюзу безпечного обміну

<span lang="UK">Шлюз безпечного обміну повинен автентифікуватися при відправці повідомлень до інших шлюзів безпечного обміну. Сертифікат автентифікації використовується для перевірки автентичності шлюзу безпечного обміну.</span>

<span lang="UK">За створення ключа автентифікації та подальші дії з ним відповідає Адміністратор вебсервісів.</span>

<span lang="UK">Для того, щоб створити новий ключ автентифікації у вебінтерфейсі шлюзу безпечного обміну, необхідно:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Обрати токен «softToken-0», натиснувши на ньому мишкою.</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Генерувати ключ».</span>

<span lang="UK">4. </span><span lang="UK">Ввести позначку для ключа автентифікації. Рекомендовано ввести позначку </span><span lang="UK">–</span><span lang="UK"> authKey.</span>

<span lang="UK">5. </span><span lang="UK">Натиснути на кнопку «OK». </span>

<span lang="UK">Генерація ключа може зайняти кілька секунд. Якщо все зроблено вірно, щойно створений ключ з’явиться під токеном безпеки з написом «authKey (?)».</span>

<span lang="UK">![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-09/HOpS0RSGcsfHfV9s-embedded-image-uovhwkw1.png)</span>

---

##### 7.4.3. Генерація запиту на сертифікат (Certificate Signing Request) ключа автентифікації

<span lang="UK">Сертифікати автентифікації, які використовуються шлюзами безпечного обміну, повинні бути підписані технологічним центром сертифікації ключів промислового середовища системи «Трембіта».</span>

<span lang="UK">Для цього спочатку необхідно створити запит на підпис сертифікату (Certificate Signing Request (CSR)) для попередньо створеного ключа через вебінтерфейс ШБО. Центр сертифікації приймає заявки на підпис у вигляді файлів в текстовому форматі PEM. </span>

<span lang="UK">Для створення запиту необхідно виконати наступні дії в вебінтерфейсі ШБО:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Вибрати ключ автентифікації, згенерований на попередньому кроці (authKey).</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Генерувати CSR» </span><span lang="UK">–</span><span lang="UK"> відкриється діалог «Створити запит на підпис сертифіката».</span>

<span lang="UK">4. </span><span lang="UK">У діалоговому вікні необхідно встановити наступні значення:</span>

<table border="1" cellpadding="0" cellspacing="0" id="bkmrk-%D0%9F%D0%BE%D0%BB%D0%B5-%D0%97%D0%BD%D0%B0%D1%87%D0%B5%D0%BD%D0%BD%D1%8F-%D0%92%D0%B8%D0%BA%D0%BE%D1%80%D0%B8" style="height: 163.2px; width: 850px;" width="662"><thead><tr style="height: 35.2px;"><td style="height: 35.2px; width: 170.175px;" valign="top" width="208"><span lang="UK">Поле</span>

</td><td style="height: 35.2px; width: 674.025px;" valign="top" width="454"><span lang="UK">Значення</span>

</td></tr></thead><tbody><tr style="height: 35.2px;"><td style="height: 35.2px; width: 170.175px;" valign="top" width="208"><span lang="UK">Використання (Usage)</span>

</td><td style="height: 35.2px; width: 674.025px;" valign="top" width="454"><span lang="UK">Auth</span>

</td></tr><tr style="height: 57.6px;"><td style="height: 57.6px; width: 170.175px;" valign="top" width="208"><span lang="UK">Сервіс сертифікації</span>

<span lang="UK">(Certification Service)</span>

</td><td style="height: 57.6px; width: 674.025px;" valign="top" width="454"><span lang="UK">Необхідно обрати технологічний центр сертифікації ключів промислового середовища системи – «Trembita Diia CA»</span>

</td></tr><tr style="height: 35.2px;"><td style="height: 35.2px; width: 170.175px;" valign="top" width="208"><span lang="UK">CSR Format</span>

</td><td style="height: 35.2px; width: 674.025px;" valign="top" width="454"><span lang="UK">PEM</span>

</td></tr></tbody></table>

<span lang="UK">5. </span><span lang="UK">Натиснути на кнопку «OK».</span>

<span lang="UK">6. </span><span lang="UK">Відобразиться діалог підтвердження з інформацією про шлюз безпечного обміну. Якщо найменування організації у полі «Organization (O)» не відображається </span><span lang="UK">–</span><span lang="UK"> це означає, що організація ще не зареєстрована. В такому разі потрібно звернутися до Адміністратора системи «Трембіта» для уточнення. Якщо всі поля заповнені </span><span lang="UK">–</span><span lang="UK"> необхідно натиснути на кнопку «OK».</span>

<span lang="UK">Зберегти файл з розширенням \*.pem на комп’ютері.</span>

---

##### 7.4.4. Отримання сертифікату для ключа автентифікації

<span lang="UK">Згенерований \*.pem файл запиту (CSR) використовується для створення та отримання сертифікату автентифікації для шлюзу безпечного обміну. Сертифікат автентифікації видає Адміністратор системи «Трембіта».</span>

<span lang="UK">Для цього необхідно згенерований \*.pem файл надіслати Адміністратору системи «Трембіта» засобами Особистого кабінету Каталогу системи «Трембіта» (**Видача нового сертифікату автентифікації (Промислове середовище)**).</span>

<span lang="UK">Порядок подання зазначеної заявки вказаний у п. 7.3.3 Регламенту роботи системи «Трембіта».</span>

<span lang="UK">Адміністратор системи «Трембіта» має обробити дану заявку та у відповідь засобами Особистого кабінету Каталогу системи «Трембіта» надати сертифікат автентифікації. Цей сертифікат потрібен для виконання наступного кроку реєстрації ШБО.</span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Без цього сертифікату подальші кроки неможливі!</span></p>

---

##### 7.4.5. Імпорт сертифікату для ключа автентифікації на шлюз безпечного обміну

<span lang="UK">Для імпорту виданого на попередньому кроці сертифікату автентифікації до шлюзу безпечного обміну Адміністратору вебсервісів потрібно виконати наступні дії в вебінтерфейсі ШБО:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Натиснути на кнопку «Імпорт сертифікату».</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Переглянути» і обрати сертифікат автентифікації, отриманий на попередньому кроці.</span>

<span lang="UK">4. </span><span lang="UK">Натиснути на кнопку «OK».</span>

<span lang="UK">Якщо все зроблено правильно, у вебінтерфейсі ШБО буде відображена інформація про доданий сертифікат під ключем автентифікації «Ключ: authKey»</span><span lang="UK" style="mso-bidi-font-size: 12.0pt; line-height: 150%; font-family: 'Tahoma',sans-serif;">. </span>

---

##### 7.4.6. Активація сертифікатів автентифікації та підпису

<span lang="UK">На цьому етапі сертифікати автентифікації та електронної печатки вже імпортовані до шлюзу безпечного обміну, однак, вони за замовчуванням відключені (в колонці «OCSP-відповідь» для сертифікату вказано «відключений»). </span>

<p class="callout warning">**<span lang="UK">Важливо!</span>**<span lang="UK"> Відключені сертифікати не використовуються шлюзом безпечного обміну. </span></p>

<span lang="UK">Для їх активації Адміністратору вебсервісів необхідно виконати наступні дії в вебінтерфейсі шлюзу безпечного обміну:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Обрати сертифікат автентифікації, який імпортовано на попередньому кроці (наступний рядок під «Ключ: authKey», з числовим серійним номером).</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Активувати».</span>

<span lang="UK">4. </span><span lang="UK">Вибрати сертифікат печатки (під рядком «Ключ: uaToken-sign (sign)»).</span>

<span lang="UK">Натиснути на кнопку «Активувати».</span>

---

##### 7.4.7. Відправка запиту на реєстрацію сертифікатів

<span lang="UK">Сертифікат автентифікації використовується іншими шлюзами безпечного обміну для перевірки автентичності ШБО конкретного Учасника. Для цього шлюзи безпечного обміну повинні обмінятися зареєстрованими сертифікатами автентифікації та довіряти їм.</span>

<span lang="UK">Довірені сертифікати автентифікації поширюються через сервер Каталогу Учасників системи «Трембіта». Адміністратор системи «Трембіта» повинен перевірити отриманий запит на реєстрацію і, якщо запит дійсний, додати сертифікат автентифікації у перелік зареєстрованих у промисловому середовищі системи «Трембіта».</span>

<span lang="UK">Варто звернути увагу, що статус сертифіката автентифікації, який імпортовано в попередньому стані, «збережений», а не «зареєстровано». Це означає, що цей сертифікат ще не був відправлений на реєстрацію до серверу Каталогу Учасників. </span>

<span lang="UK">Для реєстрації сертифікату автентифікації та сертифікату шифрування Адміністратор вебсервісів у вебінтерфейсі ШБО повинен виконати наступні дії:</span>

<span lang="UK">1. </span><span lang="UK">Перейти в розділ «Ключі і сертифікати».</span>

<span lang="UK">2. </span><span lang="UK">Вибрати сертифікат шифрування (рядок під «Ключ: uaToken-encr (encr)»).</span>

<span lang="UK">3. </span><span lang="UK">Натиснути на кнопку «Зареєструвати». Якщо всі попередні кроки виконані успішно, буде відображено повідомлення зеленого кольору з інформацією, що запит надіслано успішно, а також статус сертифіката шифрування повинен стати «в процесі реєстрації».</span>

<span lang="UK">4. </span><span lang="UK">Обрати сертифікат автентифікації, який імпортовано на попередньому кроці.</span>

<span lang="UK">5. </span><span lang="UK">Натиснути на кнопку «Зареєструвати». Відкриється діалог «Запит на реєстрацію».</span>

<span lang="UK">6. </span><span lang="UK">Ввести загальнодоступну («білу/публічну») IP-адресу шлюзу безпечного обміну (яка доступна через мережу Інтернет, була виділена для цього шлюзу безпечного обміну та налаштована на підготовчих кроках) або відповідне DNS-ім’я та натиснути на кнопку «OK».</span>

<span lang="UK">Якщо все зроблено коректно, статус сертифіката автентифікації повинен стати «в процесі реєстрації». Це означає, що запит був успішно відправлений шлюзом безпечного обміну.</span>

<span lang="UK">Наступним кроком є подача заявки на реєстрацію шлюзу безпечного обміну засобами Особистого кабінету Каталогу системи «Трембіта» (**Реєстрація ШБО в ядрі системи (Промислове середовище)**). Порядок подання зазначеної заявки вказаний в п. 7.3.4 Регламенту роботи системи «Трембіта».</span>

<span lang="UK">Адміністратор системи «Трембіта» повинен обробити заявку та підтвердити запит.</span>

<span lang="UK">Коли запит на реєстрацію буде схвалено, статус сертифікату автентифікації та сертифікату шифрування зміниться на «зареєстровано». Це може зайняти деякий час (з врахуванням часу обробки заявки), поки глобальна конфігурація не буде оновлена. Після отримання відповіді на заявку на реєстрацію шлюзу безпечного обміну можна перевірити сторінку «Ключі і сертифікати» у вебінтерфейсі шлюзу безпечного обміну. В разі необхідності можна оновлювати її. Оновлення глобальної конфігурації може зайняти декілька хвилин.</span>

<span lang="UK">Приклад вебінтерфейсу, коли всі сертифікати коректно зареєстровані:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/ZtzXTQmu9KSZjKYp-lFTimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/ZtzXTQmu9KSZjKYp-lFTimage.png)

# 7.5. Створення підсистем

<span lang="UK">Щоб опублікувати сервіси або здійснювати запити до інших сервісів через систему «Трембіта» на шлюзі безпечного обміну Адміністратор вебсервісів повинен створити та зареєструвати принаймні одну підсистему, яка представлятиме реальну інформаційну систему Суб’єкта електронної взаємодії у тестовому середовищі системи «Трембіта». </span>

<span lang="UK">Для реєстрації підсистем у вебінтерфейсі шлюзу безпечного обміну необхідно виконати наступні дії:</span>

<span lang="UK">1. </span><span lang="UK">Обрати розділ «Клієнти сервера безпеки» та натиснути на кнопку «Додати клієнта».</span>

<span lang="UK">![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-06/CMkwaFeoOKnliV7x-embedded-image-2ujxjgcb.png)</span><span lang="UK">2. </span><span lang="UK">Обрати «Клас Учасника» – GOV.</span>

<span lang="UK">3. </span><span lang="UK">Ввести в поле «Код Учасника» код ЄДРПОУ організації, яка є власником інформаційної системи (Суб’єкта електронної взаємодії). </span>

<p class="callout info">**<span lang="UK">Примітка.</span>**<span lang="UK"> При створенні кластера підсистему можна додати шляхом вибору її з глобального списку, натиснувши на відповідну кнопку в інтерфейсі – «Виберіть клієнта з глобального списку», знайти необхідну підсистему шляхом пошуку по коду підсистеми, після чого натиснути на кнопку «ОК».</span></p>

<span lang="UK">4. </span><span lang="UK">Ввести назву підсистеми (правила іменування зазначені у розділі 6.3 Регламенту роботи системи «Трембіта»).</span>

<span lang="UK">5. Натиснути послідовно на кнопки «OK» і потім «Підтвердити». </span>

<span lang="UK">![](https://docs.trembita.gov.ua/uploads/images/gallery/2024-06/T3XkUX123azxWnlH-embedded-image-h7tujmgw.png)</span>

<span lang="UK">Якщо попередні кроки виконано успішно, буде виведено повідомлення зеленого кольору про успішність відправлення запиту. Запит ШБО буде переданий на сервер Каталогу Учасників системи «Трембіта».</span>

<span lang="UK">Після цього необхідно подати заявку на реєстрацію підсистеми та прив’язку її до конкретного ШБО засобами Особистого кабінету Каталогу системи «Трембіта» (**Реєстрація підсистеми на ШБО (Промислове середовище)**). Порядок подання зазначеної заявки наведено в п. 7.5.2 Регламенту роботи системи «Трембіта».</span>

<span lang="UK">Після виконання Адміністратором системи «Трембіта» заявки з’явиться зелена позначка навпроти підсистеми у вебінтерфейсі та буде забезпечено можливість використання тестового середовища системи «Трембіта». Якщо підсистеми зареєстровані вірно, інтерфейс ШБО буде виглядати наступним чином:</span>

[![image.png](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/scaled-1680-/MPQdpFwtbfR2wEuS-UwOimage.png)](https://docs.trembita.gov.ua/uploads/images/gallery/2024-04/MPQdpFwtbfR2wEuS-UwOimage.png)