Что такое КриптоАРМ и в связке с чем работает

КриптоАРМ для подписания документа ЭЦП — это десктопная программа от компании «Цифровые технологии», которая в связке с КриптоПро CSP формирует электронную подпись для файлов любого формата. Сразу уточним: в обиходе её часто называют «КриптоПро ARM», но это два разных продукта — КриптоАРМ (обёртка с интерфейсом) работает поверх криптопровайдера КриптоПро CSP. Разберём, что нужно установить, как подписать документ через ПКМ за 5 кликов, какие форматы подписи выбрать (sig, p7s, CAdES) и как закрыть 6 типичных косяков с лицензией и контейнером ключа. Это часть большого блока про подписание документов электронной подписью, где собраны сценарии для всех программ и онлайн-сервисов.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое КриптоАРМ и в связке с чем работает

КриптоАРМ — это универсальная программа для подписания, шифрования и расшифрования файлов на десктопе или мобильном устройстве. Актуальная сертифицированная версия — КриптоАРМ ГОСТ 3 (сборка 3737), сертифицирована ФСБ России на классы CS1 и CS2 до мая 2027 года. Работает на Windows, Linux, macOS и отечественных ОС — Astra Linux, ALT Linux, Aurora.

Сама КриптоАРМ — не криптопровайдер. Это надстройка с графическим интерфейсом и API. Под ней должен лежать настоящий крипто-провайдер: КриптоПро CSP версии 5.0 R3 (основной вариант), ВипНет CSP или Сигнал-КОМ. Программа позволяет подписывать файлы через ПКМ в проводнике, через своё окно, пакетно по папкам, и поддерживает работу с токенами (Рутокен ЭЦП 2.0/3.0, JaCarta, eToken, Сигнал-КОМ).

Мария Ж, специалист по цифровой подписи и КЭДО:
«Многие путают КриптоАРМ с КриптоПро. Это две программы. Сначала ставите крипто-провайдер — КриптоПро CSP — он умеет считать алгоритмы ГОСТ. Потом КриптоАРМ — графическая обёртка, через которую удобно подписывать файлы. Без CSP сама по себе КриптоАРМ ничего не подпишет, а CSP без обёртки требует возиться с командной строкой через csptest и cryptcp.»

Ключевая особенность — встроенный почтовый клиент с поддержкой S/MIME для защищённой переписки по ГОСТ. Мобильная версия (для iOS, Android, Aurora) умеет подписывать файлы через NFC — бесконтактная подпись с приложенным к телефону токеном. На сертифицированной версии 3 нет встроенной подписи PDF с визуальным штампом — эта возможность появилась в версии 6, но она пока не проходит сертификацию.

Что нужно установить перед подписанием документа

Минимальный набор программ — три плюс ключевые материалы. Порядок установки имеет значение, иначе цепочка сертификатов не построится:

1. Драйвер токена (Рутокен с rutoken.ru, JaCarta с aladdin-rd.ru). Без драйвера контейнер ключа КриптоПро не увидит.
2. КриптоПро CSP 5.0 R3 — основной криптопровайдер. Лицензия покупается отдельно или приходит вместе с КриптоАРМ ГОСТ 3 в комплекте.
3. КриптоАРМ ГОСТ 3 — устанавливается с дистрибутива «Цифровых технологий». Дистрибутив включает КриптоПро CSP, можно ставить одним пакетом.
4. Корневые сертификаты УЦ, который выдал вашу подпись. Скачиваются с сайта УЦ и устанавливаются в системное хранилище «Доверенные корневые центры».
5. Личный сертификат с привязкой к закрытому ключу — импортируется через КриптоПро CSP (вкладка «Сервис» — «Просмотреть сертификаты в контейнере» — «Установить сертификат»).

Особо за версией. Сертифицированная КриптоАРМ ГОСТ 3 идёт в паре строго с КриптоПро CSP 5.0 R3. Если у вас на машине стоит КриптоПро 4.0 — лицензия не подойдёт, нужно обновлять. На пиратском дистрибутиве КриптоАРМ работать может, но без лицензии после 30-дневного триала закроется функционал создания подписи. Проверка подписи — бесплатная всегда.

Подписать документ электронной подписью онлайн

1 Загрузите необходимые файлы:

Перетащите или выберите файл

2 Выберите электронную подпись:

Отправить

Отправить

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Пошаговая инструкция: подписать документ через КриптоАРМ

В КриптоАРМ есть два рабочих сценария — через ПКМ в проводнике и через интерфейс самой программы. Первый быстрее, второй гибче.

Способ 1: через ПКМ (быстрый). Выделить файл в проводнике, кликнуть правой кнопкой — в меню появляется пункт «КриптоАРМ» с подпунктом «Подписать». Откроется мастер подписи. Через 5 кликов рядом с исходным файлом появится плашка с расширением .sig — это и есть откреплённая подпись.

Способ 2: через интерфейс программы. Запустить КриптоАРМ — меню «Файл» — «Подписать». Выбрать файл, дальше тот же мастер. Этим способом удобнее работать, когда нужно подписать несколько файлов скопом или применить особый профиль подписи (например, CAdES-X Long Type 1 для долгосрочного хранения).

Шаги в мастере подписи (одинаковые для обоих способов):

1. Выбрать файл (или несколько). Подтвердить путь сохранения подписи — по умолчанию рядом с исходным файлом.
2. Выбрать формат: CMS / CAdES-BES / CAdES-T / CAdES-X Long Type 1. Для рутинных задач подходит CAdES-BES, для долгого архивного хранения — CAdES-X Long с метками времени.
3. Указать кодировку: DER (бинарная, компактная) или BASE64 (текстовая, для пересылки в email и веб-формах).
4. Тип подписи: отсоединённая (sig-файл рядом с документом) или присоединённая (документ и подпись в одном файле .p7s или .sig).
5. Выбрать сертификат из списка — КриптоАРМ покажет все доступные серты на токене и в системном хранилище.
6. Ввести PIN-код токена. Если на токене стоит режим «Запрашивать ПИН один раз за сессию» — ввод нужен только при первом подписании.
7. Нажать «Подписать». Появится файл .sig (для откреплённой) или новый файл .p7s/.sig с включённым исходным документом (для присоединённой).

В практике сервиса Добыто на проектах подписания нашим клиентам удобнее всего откреплённая подпись формата CAdES-BES в кодировке DER — это базовый стандарт, который принимают почти все российские порталы (Госуслуги, ЕГАИС, ФНС, СБИС, Контур.Диадок, торговые площадки B2B-Center и Сбер-А). Для документов, которые лежат в архиве годами, имеет смысл сразу делать CAdES-X Long Type 1 с метками времени — ухаживание за подписью.

Мария Ж, юрист со стажем более 20 лет:
«Когда подписываете кадровые документы, которые потом могут понадобиться через 10-20 лет (трудовой договор, приказ о приёме, личная карточка), берите формат CAdES-X Long Type 1 с TSP-меткой времени. Иначе через 5 лет, когда сменится криптоалгоритм, проверка подписи может выпасть в ошибку. Архивариус приходит из-за этого чаще, чем кажется.»

Форматы и виды подписи в КриптоАРМ

КриптоАРМ умеет в три семейства форматов. Каждое — под свой сценарий, и путать их не стоит.

CMS (PKCS#7). Базовый формат, исторически старый. Подходит для разовых задач и поддерживается всеми площадками. Без меток времени и без архивных свойств. Расширение — .p7s.

CAdES. Современный стандарт усиленной подписи. Внутри — четыре подвида:

• CAdES-BES — базовая усиленная подпись. Минимально необходимая для большинства площадок. Ставится за секунду.
• CAdES-T — подпись с меткой времени от TSP-сервера. Доказывает, в какой момент подписан документ.
• CAdES-C — подпись с полным набором сертификатов и списков отзыва (CRL).
• CAdES-X Long Type 1 — архивная подпись. Содержит метки времени над сертификатами и CRL, выживает при смене криптоалгоритмов. Под долгосрочное хранение — 15-50 лет.

XAdES. Для XML-документов. Используется в обмене электронными счетами-фактурами через операторов ЭДО, в банковских интеграциях и в межведомственном электронном взаимодействии (СМЭВ).

На стороне результата получается либо отдельный sig-файл рядом с документом (откреплённая подпись), либо новый файл .p7s/.sig с зашитым внутрь исходным содержимым (присоединённая). Для большинства задач удобнее откреплённая — можно отправить документ обычным каналом, а подпись — отдельно. Для долгого архивного хранения чаще применяется присоединённая — меньше шансов потерять связь между файлом и его подписью.

Мария Ж, спикер по КЭДО и юриспруденции:
«Если контрагент просит просто ‘подписать ЭЦП’ — спросите, какой именно формат он ждёт. Часто на госплощадках принимают CAdES-BES в DER, в банках — тот же CAdES-BES но в BASE64, а на портале ЕГАИС — присоединённая подпись в составе документа. Подобрать формат по умолчанию нельзя, нужно сверять с принимающей стороной.»

Массовое подписание документов через КриптоАРМ

Когда документов много — десятки или сотни приказов, договоров ГПХ, актов приёма-передачи — подписывать по одному через ПКМ становится мучением. КриптоАРМ умеет в пакетное подписание скопом.

Процедура такая. Запускаете программу — меню «Документы» — «Пакетная подпись». Указываете папку с файлами. Выбираете шаблон параметров: формат, кодировка, тип подписи, сертификат. Нажимаете «Подписать всё». КриптоАРМ запросит PIN-код токена один раз и пройдёт по всей пачке — на каждый файл создаст рядом sig-файл.

Профили подписи. В КриптоАРМ можно сохранить набор параметров (формат CAdES-BES, кодировка DER, конкретный сертификат) как профиль и использовать его в один клик. Удобно, когда у компании 5-10 разных сценариев: один профиль для актов, другой — для приказов, третий — для договоров с НДС. На рабочем месте кадровика стоят все три — и не нужно каждый раз перевыбирать настройки.

На проектах внедрения КЭДО Добыто массовое подписание — это стандартная функция. У нас в сервисе кадровик отправляет 50 приказов одной кнопкой, а сотрудники получают пуш-уведомление и подписывают свою копию через мобильное приложение. КриптоАРМ полезен в гибридных сценариях, когда часть документов нужно подписать УКЭП на десктопе — например, отчёт в Социальный фонд или декларация в ФНС. Массовое подписание документов ЭЦП разбирается отдельно — там сравнение разных программ под пакетные сценарии.

6 типичных ошибок при подписании в КриптоАРМ и как их закрыть

Вот 6 косяков, которые чаще всего попадают в техподдержку КриптоПро и в наши обращения.

1. «Сертификат не найден». КриптоАРМ не видит ни одного серта в списке. Причины: токен не подключён, драйвер не установлен, сертификат не импортирован в системное хранилище «Личное». Решение: проверить подключение токена в Диспетчере устройств; запустить КриптоПро CSP — «Просмотреть сертификаты в контейнере» — выбрать контейнер — «Установить сертификат».

2. «Закрытый ключ не привязан к сертификату». Сертификат виден, но при попытке подписать программа жалуется на отсутствие закрытки. Причина: серт и закрытка лежат в разных местах. Решение: открыть КриптоПро CSP — вкладка «Сервис» — «Установить личный сертификат», указать файл сертификата и контейнер на токене — привязка восстановится.

3. «Цепочка сертификатов не выстраивается». Подпись формируется, но проверяющая сторона жалуется на невалидную цепочку. Решение: установить корневой сертификат УЦ в «Доверенные корневые центры», а промежуточные — в «Промежуточные центры сертификации». Для УЦ ФНС — guc_22.crt и CA_FNS_Russia_2022_01.crt.

4. Истекла лицензия КриптоПро CSP. Демо-период 30 или 90 дней закончился, программа перестала формировать подписи. Решение: купить бессрочную клиентскую лицензию через сайт КриптоПро (отдельная для CSP, не путать с лицензией КриптоАРМ). Лицензия КриптоПро действует на всю линейку 5.0 — R1, R2, R3.

5. Ошибка PIN-кода токена. Несколько раз подряд ввели неверный ПИН — токен заблокировался. Решение: разблокировать через PUK-код в утилите Rutoken Control Panel или JaCarta Client. Если PUK тоже превышен — перевыпускать сертификат в УЦ. Не забывайте: на новом токене ПИН по умолчанию для Рутокена — 12345678, для JaCarta — 1234567890.

6. Ошибка 0x80090010 / 0x8009000B при формировании подписи. Внутренняя ошибка криптопровайдера — крайне раздражающая, потому что текст ничего не объясняет. Чаще всего причина — повреждённый профиль КриптоПро или несовместимость драйвера токена с версией CSP. Решение: переустановить КриптоПро CSP с очисткой реестра (через утилиту cspclean), обновить драйверы Рутокена/JaCarta до последней версии, перезагрузить ПК. Если ошибка остаётся — проверить лицензию и сборку CSP, нужна 12000 и выше.

Стоимость подключения сервиса Добыто КЭДО для работы с электронной подписью

Если КриптоАРМ нужен только для разовой задачи — купите лицензию у вендора, и хватит. Если задача шире — подписание кадровых, договорных, бухгалтерских документов сотнями штук в месяц, маршруты согласования, архивное хранение — имеет смысл подключить полноценный КЭДО. Тарифы Добыто КЭДО рассчитаны под разный масштаб.

Итоговая сумма зависит от численности персонала, объёма подключаемых модулей и формата поставки (облако, on-premise, гибрид) — актуальные тарифы Добыто КЭДО помогут просчитать стоимость точнее. Электронные подписи для сотрудников включены в стоимость тарифа.

Образцы документов и инструкции по работе с ЭЦП

Альтернативы КриптоАРМ для подписания документов

КриптоАРМ — не единственный вариант. У него есть как прямые конкуренты-обёртки, так и онлайн-сервисы.

Saby Crypto. Десктопная программа от компании «Тензор» (производитель СБИС). Работает на Windows и Linux, поддерживает основные форматы CAdES. Удобна тем, кто уже использует СБИС для отчётности и обмена документами.

Контур.Крипто. Облачное решение для подписания через веб-интерфейс. Не требует установки локально — заходите на сайт, загружаете файл, подписываете. Минус — нужен доступ в интернет, плюс — работает с любого устройства, включая телефон.

КриптоПро PDF. Специализированный плагин для Adobe Acrobat и Adobe Reader. Встраивает подпись прямо в PDF с визуальным штампом. Подходит для документов, которые потом печатают и предъявляют — на штамп можно посмотреть глазами.

Командная строка. csptest и cryptcp — утилиты из состава КриптоПро CSP. Подходят для встраивания подписи в скрипты автоматизации, для серверных сценариев и пакетной обработки тысяч файлов на bash или PowerShell. Графического интерфейса нет, всё через ключи команды.

Госуслуги и Госключ. Для физлиц — мобильная подпись через приложение Госуслуги и Госключ. УНЭП и УКЭП без токена и КриптоПро, прямо в смартфоне. Подходит для сотрудников КЭДО, для подачи документов в суд (Мой Арбитр, ГАС Правосудие) и для регистрации сделок с недвижимостью на портале Росреестра.

Полное сравнение по функциям — в нашем материале программы для подписания документов ЭЦП — там разобраны 12 решений с привязкой к сценариям использования.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«КриптоАРМ хорош там, где нужен полный контроль над форматом подписи и работа на десктопе. Для обычных кадровиков, которые подписывают приказы по 50 штук в день, проще использовать КЭДО с встроенным механизмом подписи и плашечкой подписантов на документе. КриптоАРМ остаётся для бухгалтеров, юристов и тех, кто работает с ЕГАИС, ФНС и торговыми площадками — там без УКЭП на десктопе никак.»

Выводы: что важно знать о подписании через КриптоАРМ

КриптоАРМ — это удобная графическая обёртка над КриптоПро CSP, которая закрывает 95% задач по подписанию файлов на десктопе. Базовый сценарий — ПКМ по файлу, выбор «Подписать», в 5 кликов рядом появляется sig-файл с усиленной подписью CAdES-BES в кодировке DER. Для архивного хранения берите CAdES-X Long Type 1 с метками времени, для XML-документов — XAdES, для онлайн-сценариев — облачные сервисы вроде Контур.Крипто или Добыто. Перед установкой проверьте, что КриптоПро CSP версии 5.0 R3 уже стоит и лицензия активна — это базовое условие, без него КриптоАРМ работать не будет.

На практике 80% проблем при подписании — это либо отсутствие корневых сертификатов УЦ в правильном хранилище, либо истёкшая лицензия криптопровайдера, либо разрыв привязки между сертификатом и закрытым ключом на токене. Решаются эти три ситуации за 5-10 минут каждая, если знать, куда смотреть. Перед массовым подписанием стоит подписать один тестовый файл и проверить его на сторонней площадке (Контур.Крипто, Госуслуги) — если внешняя проверка проходит, значит, и принимающая сторона претензий не предъявит.

Если задача с подписанием шире, чем разовый файл — стоит смотреть в сторону полноценного КЭДО. Маршруты согласования, автозакрытие этапов по таймауту, мобильное подписание сотрудниками через пуш-уведомление, юридически значимый архив на 50 лет — всё это закрывает потребности компании, где документов сотни и тысячи в месяц. КриптоАРМ остаётся в комплекте для специфических сценариев: ФНС, ЕГАИС, торговые площадки, межведомственный обмен через СМЭВ.

Часто задаваемые вопросы