СертификатыУдостоверяющихЦентровФайл.По умолчанию

Только новая собственная изолированная Windows VM и собственная НОВАЯ пустая файловая ИБ по точному пути C:\1c-labs\OwnTLSProfileGuard85_932d19b2-0a48-4a03-ab90-dd39aed82704\IB. Платформа8.5.1.1343, русский встроенный язык. Все дальнейшие запуск/создание публичного сертификата/файлов выполняете вы вручную только там; агент их не выполнял.

В Конфигураторе у корня: Имя=УчебныйПаспортTLS85, РежимСовместимости=НеИспользовать, ОсновнойРежимЗапуска=УправляемоеПриложение, Такси. Прикладные справочники/документы/регистры/планы/константы/обработки/отчеты, службы, общие реквизиты, задания, подписки и расширения не добавляйте. Не открывайте рабочую ИБ. Сервер проверяет metadata enum через Метаданные.СвойстваОбъектов, не через недоступный bare enum.

Роли → единственная ПаспортTLS85: АдминистрированиеДанных, Администрирование, АктивныеПользователи, ТолстыйКлиент и просмотр/использование своей общей формы. Администрирование с необходимым АдминистрированиеДанных нужно для ПолучитьПользователей/Роли, АктивныеПользователи для описаний соединений. Администрирование → Пользователи: только TLS85Ученик с единственной ПаспортTLS85. Пароль выбирает человек и не помещает в пример. Это только лабораторные права, не рекомендация production.

ОбщиеМодули → ПаспортПрофилей85: ГлобальныйНет, СерверДа, ВызовСервераДа, КлиентОбычноеПриложениеНет, КлиентУправляемоеПриложениеНет, ВнешнееСоединениеНет, ПривилегированныйНет, ПовторноеИспользованиеВозвращаемыхЗначений=НеИспользовать. Вставьте COMMON целиком. Свой общий модуль проверяет точный File-путь/версию/NoUse/схему/пользователя/роль/один сеанс; секретные данные и сертификаты не читает.

ОбщиеФормы → управляемая ПаспортTLS85. Реквизиты: КаталогДляCA85 Строка длиной0, поле ТолькоПросмотрДа; UUIDКомплекта85 Строка36 с обычным полем ввода; Статус85 Строка длиной0 с многострочным полем ТолькоПросмотрДа. Данные каждого поля равны имени соответствующего реквизита. Команда ПроверитьПрофили85, кнопка, действие ПроверитьПрофили85. Вставьте CODE целиком и назначьте настоящие ПриСозданииНаСервере2/ПриОткрытии1. Команду/события не вызывайте вручную.

Конфигурация → Модуль управляемого приложения: APP целиком, настоящее ПриНачалеРаботыСистемы0. Обновите только свою CF, закройте Конфигуратор и другие соединения. Запустите собственную ИБ толстым управляемым Windows-клиентом под TLS85Ученик. Пульт показывает реальный клиентский временный каталог; не угадывайте его по переменным окружения. Native TLS/file-source объекты и enum остаются локально на клиенте; сервер получает только вызов проверки своего сеанса без этих объектов.

В этой же собственной VM подготовьте Python3 и cryptography48.0.0. Нижний полный Python-блок сохраните как own_tls85_public_ca.py в своем учебном каталоге, НЕ в модуле1С. Запустите вручную python own_tls85_public_ca.py --base "точный КаталогДляCA85, показанный своим пультом". Не используйте никакие существующие сертификаты человека, контейнеры, клиентский PKCS12, пароль, ОС-хранилище или чужую папку. Pythonhelper создаст новый UUID-каталог и только ca.pem/manifest.json; введите показанный UUID в UUIDКомплекта85.

Helper генерирует свой временный RSA CA-ключ только в памяти, самоподписанный публичный CA с ownUUID/CN, BasicConstraints ca=True/path_length0, keyCertSign/crlSign и семь суток от фактическогоUTC. Он выполняет настоящий PEM roundtrip и проверку своей self-signature ДО записи публичного файла. Ключ не сериализуется, клиентский сертификат/ключ не создаются и доверие ОС не импортируется. Это не гарантирует стирания копий ключа из памяти Python; после ручной подготовки завершите этот учебный процесс. mode0700 не является обещанием WindowsACL.

Конструктор КриптоПро может отказать при отсутствующем/несовместимом модуле криптографии. Подготовка установленной вами учебной VM не считается гарантией поддержки провайдера или алгоритмов. При отказе СТОП: не подставляйте OpenSSL/другие сертификаты автоматически, не снижайте режим. В установленной справке прямо указан отказ на Linux/macOS без CryptoPro CPS; здесь выбран только Windows, а не утверждение, что Windows всегда гарантирует успех. Сертификат RSA используется только как собственный публичный источник данного офлайн-паспорта; успешное криптографическое применение этим не доказано.

Четыре реальные конфигурации: CSP без CA/Strict/2 заявки; CSP со своим CA/Auto/3; CSP со своим CA/Strict/5; OpenSSL со своим CA/Strict/7. Клиентский сертификат у ВСЕХ явно Неопределено. Наш учебный потребитель требует собственный CA-файл и явный эффективныйStrict, поэтому принимает только5+7=12 из17, отклоняет2+3=5. Это правило только собственного плана, НЕ универсальная рекомендация безопасности и НЕ подтверждение TLS/цепочки/отзыва/доступа.

CAНеопределено означает отсутствие проверки сертификата сервера по native контракту даже при Strict. РежимНеопределено отдельно означает Auto, а не отсутствие CA; исходное nullable значение сохраняется в паспорте. Auto зависит от IgnoreServerCertificatesChainRevocationSoftFail в conf.cfg, по справке defaulttrue/мягкий режим: код не читает и не меняет этот файл. Strict при недоступном сервере проверки отзыва приводит к ошибке реальной проверки. Этот урок НЕ обещает offlinehandshake, CRL/OCSP, mTLS, SMTP, подпись или интернет-запрос.

Нажмите только настоящую кнопку ПроверитьПрофили85. По реальным getter-полям проверятся четыре полных случая, два полных семипольных чтения каждого профиля, все собственные количества и суммы17/12/5. После повторного SHA256 своего публичногоCA и повторного паспорта своего сеанса появится успешная сводка. JSON reader: первичная ошибка сохраняется сразу; если штатный Close уже начат, повторного Close нет. Иначе разрешена ровно одна cleanup-попытка; ее ошибка сообщается отдельно, состояние читателя после ошибки считается неизвестным. При любом отказе остаетсяСТОП; новый ручной опыт требует закрыть пульт, выяснить причину и при поврежденном комплекте создать новый собственный UUID-комплект, не автоматический retry/откат.

Сверка publicUUID/маркера/имени/SHA обнаруживает случайные изменения, но не доказывает авторство против злоумышленника, способного менять и манифест, и файл. Чтения/конструкторы не атомарны; не должно быть чужих процессов, меняющих свою папку. ИмяФайла/type/passport не доказывают загрузку сертификата, пароль, срок, доверие или работу lazy native reader во время будущегоhandshake. ОС-хранилища не просматриваются. После ручного опыта завершите собственные процессы и вручную удалите только напечатанную собственную UUID-папку либо утилизируйте лабораторную VM; программа автоматически ничего не удаляет.

Подготовьте собственную новую CF/VM/роль/пульт и вручную создайте только publicCA новым полным helper.

ExactUUID/путь/размер/полный5field manifest/SHA проверяются ДО native fileCA/TLS constructors.

Создаются3КриптоПро+1OpenSSL. В каждой из4строк проверяются тип/код/количество/реальные3ROполя/предполагаемыйCA и режим.

Native Undefined режима нормализуется в Auto по documentedконтракту, но rawnullable значение не теряется. UndefinedCA независим и означает отсутствие проверки сервера.

Только actualCAownfilename+effectiveStrict принимаются нашим офлайн-потребителем:5+7, не2+3. Все суммы считаются из настоящих строк.

Второй полный7field passport каждого native объекта, свежий SHApublicCA и паспорт собственной ИБ завершают опыт без сетевого обращения.

Client certificate реальных объектов должен бытьUndefined: никакого неизвестного client/private source.

CA при наличии только FileCertificationAuthorityCertificates с точным ownUUIDfilename; OS-store/чужой файл/неизвестный тип запрещены.

Readonly свойства не присваиваются; wrongBool/другой enum в constructor третьего аргумента не допускаются.

Проверены полные4строки и17/12/5, не подставленные goldenсуммы. Все7scalar fields паспорта сравниваются по ключам/типам/значениям.

Изменение своегоCA/манифеста/схемы/пользователя/снимка или ошибкаCSP оставляетSTOP без fallback/downgrade.

Положительное ownplan решение не называется verifiedcertificate или успешным TLS.

Строгий отзыв не включает CA-проверку при Undefined источнике. Авто зависит от actualconf.cfg, а не наших предположений.

Нативные type примеры содержат typoКритоПро и другое имя enum: используйте точныйctor365 и ServerTLSCertificateRevocationCheckMode, не копируйте ошибки справки.

Веб-клиент игнорирует первые2OpenSSL аргумента, поэтому он исключен; HashingData.Append здесь синхронный и толькоthick-managed Windows.

Новый публичныйCA/SHA/паспорт не являются prooftrust или гарантией поддержки RSA/GOST/провайдера. Privatekey никогда не сериализуется; стирание памяти не обещано.

Не обещаны атомарность/откат/универсальныйTLSуспех. Все кодовые блоки только написаны/статически проверены, реальные подготовка/сертификаты/файлы/соединения агентом не выполнялись.

Используйте только собственную изолированную WindowsVM и новую пустую базу8.5.1.1343 с именем конфигурации УчебныеФайловыеTLS85, русский встроенный язык, Такси, совместимость Не использовать. Предметные объекты/расширения/задания запрещены guard. Не импортируйте production-сертификаты и не используйте рабочие ключи.

Создайте внешнюю обработку УчебныеФайловыеTLS85, основную управляемую форму. Реквизиты: КаталогДляКомплекта85 Строка длиной0, ТолькоПросмотр; UUIDКомплекта85 Строка длиной36; ПарольКомплекта85 Строка длиной64; Статус85 Строка длиной0, ТолькоПросмотр. У поля пароля включите РежимПароля, не сохраняйте значение настройками/при закрытии. Команда ПроверитьФайловыйПрофиль85, одноименное действие, кнопка, ИзменяетСохраняемыеДанные выключено. Назначьте ПриСозданииНаСервере и ПриОткрытии; основной блок вставьте целиком в модуль этой формы.

Откройте свою обработку толстым управляемым клиентом Windows8.5.1.1343. КаталогДляКомплекта85 показывает фактический клиентский временный каталог1С. Не угадывайте его по TEMP/Python: у приложений пути могут различаться. Скопируйте этот точный путь для аргумента --base следующего скрипта.

На той же собственной VM подготовьте Python3 и отдельное виртуальное окружение: python -m venv .venv; затем .venv\Scripts\python.exe -m pip install cryptography==48.0.0. Эти команды выполняете вы вручную; пакеты в вашем рабочем окружении здесь не устанавливались. Сохраните отдельный нижний блок Python как own_tls85_fixture.py в собственной учебной папке. Не вставляйте Python в модуль1С.

В терминале этой VM запустите .venv\Scripts\python.exe own_tls85_fixture.py --base "точный путь КаталогДляКомплекта85 из вашей формы". Придумайте новый только учебный пароль из16-64 печатных ASCII-символов и повторите его: getpass не выводит ввод. Скрипт сам создает свежий UUID-каталог OwnTLS85-UUID, ca.pem, client.p12 и manifest.json, не перезаписывает существующие файлы. Вводите реальный показанный UUID в UUIDКомплекта85, пароль — в поле пароля формы.

Скрипт — полноценная подготовка источников: CA имеет BasicConstraints ca=True/path_length0 и право подписи; клиент имеет ca=False, CLIENT_AUTH и свой RSA-ключ, подписан собственным CA. PKCS12 содержит закрытый ключ, клиентский сертификат и CA. Скрипт перечитывает собственный PKCS12 и сверяет ключ и отпечатки до записи. В ca.pem только публичный CA, приватный ключ CA вообще не сохраняется. Сертификаты действуют семь суток от фактического UTC-времени запуска.

Держите каталог только в отдельной VM под собственным учебным пользователем; mode0700 не является обещанием WindowsACL. PKCS12-пароль не заменяет защиту каталога и не предназначен для отправки ключа другим людям. Не импортируйте CA в доверие ОС и не устанавливайте личный сертификат. После опыта закройте форму и вручную удалите только напечатанный собственный UUID-каталог или утилизируйте учебную VM. Автоматического удаления/сети в примерах нет.

Команда сначала копирует пароль в локальную клиентскую переменную и очищает поле. ПроверитьСеанс85 — НаСервереБезКонтекста: пароль и пути не передаются в серверную процедуру. Отдельно проверяются версия толстого клиента и Windows-платформа; этот полный синхронный вариант не обещается для тонкого/веб-клиента, поскольку ХешированиеДанных.Добавить здесь доступен в толстом клиенте.

UUID разбирается настоящим конструктором УникальныйИдентификатор и сверяется с каноническим текстом Python. Произвольный путь, путь с .., URL, другой каталог или другой файл нельзя ввести в команду: все три имени строятся из фактического клиентского временного каталога, собственного UUID и фиксированных имен ca.pem/client.p12/manifest.json.

Проверяем существование, ЭтоФайл и размеры до чтения:16КиБ для манифеста,64КиБ для CA,256КиБ для PKCS12. JSON читается через настоящий ЧтениеJSON, закрывается и при успехе, и при ошибке. Маркер/UUID/flags подтверждают ожидаемый формат собственного опыта, не криптографическое авторство чужого манифеста.

SHA256 считается по реальным ДвоичныеДанные из файла, не по строке имени. Отдельный объект ХешированиеДанных получает алгоритм SHA256 и Добавить(Данные); его ХешСумма преобразуется в hex и нижний регистр. Два результата должны совпасть с собственным манифестом. Проверка обнаруживает случайное изменение файлов, но не защищает от человека, способного изменить и манифест, и файлы.

СертификатыУдостоверяющихЦентровФайл получает полный путь ca.pem без пароля, потому что файл публичный. СертификатКлиентаФайл получает полный путь client.p12 и именно его пароль. Это принципиально разные источники: сертификат без закрытого ключа не заменяет клиентский PKCS12. ИмяФайла у обоих readonly и проверяется чтением, не присваиванием.

ЗащищенноеСоединениеOpenSSL получает реальный КлиентФайл первым аргументом и реальные ЦентрыФайл вторым. Проверяются типы обоих источников и имена файлов уже через readonly-паспорт TLS. CA не пропускается даже для учебного клиента. Нет HTTPСоединение, запроса, адреса сервера или обмена.

Пароль очищается из локальной переменной после создания источника и в общем обработчике исключения. Сообщения не содержат пароля, ключа, полных бинарных данных или ОписаниеОшибки. Очистка строк не гарантирует стирания всех копий из памяти1С/Python, внутреннего объекта и отладчика: после своего опыта завершите учебные процессы. Исключение оставляет неподтвержденный статус, успешный результат не подставляется.

Положительный опыт выполняете вручную в своей VM: скрипт выдает свежий UUID и три собственных файла, затем форма с тем же UUID/паролем подтверждает файловые паспорта. В отладчике оба свойства ИмяФайла указывают именно на свой UUID-каталог. Сетевого трафика, импорта доверия и входа по сертификату не должно быть.

Отрицательный опыт в своей VM: измените один байт копии собственного ca.pem, не меняя манифест. Должно отказать на SHA256 до конструкторов сертификатов. Для следующего полноценного опыта создайте новый UUID-комплект вместо восстановления/перезаписи старого.

Введите другой UUID, неверный пароль, пустое поле, либо удалите только свой client.p12: результат не подтверждается и поле пароля очищается. Конструктор может читать источник лениво; совпадение имени и создание профиля сами по себе не доказывают, что пароль принят во время будущего handshake.

Для проверки контекста откройте свою обработку тонким клиентом: учебная команда должна отказать до синхронного хеширования. Изменение имени конфигурации или появление расширения также должно остановить опыт. Не снимайте проверки ради рабочего компьютера.

Публичный сертификат без private key не годится для СертификатКлиентаФайл. Установленная8.5 выбирает PKCS12 по .PFX/.P12, PEM по .PEM, прочее по умолчанию PEM. Внутренний PXF КриптоПро не поддерживается. Не переименовывайте формат ради обхода ошибки.

Скрипт использует BestAvailableEncryption и не понижает защиту до устаревших3DES/SHA1 ради совместимости. Поддержку полученного PKCS12 именно установленным OpenSSL1С надо подтвердить вручную. При несовместимости прекращайте опыт, не считайте паспорт доказательством чтения ключа. Пароль PKCS12 по официальной документации не является надежной границей безопасности; защита VM/каталога обязательна.

Семидневная действительность, CLOCK/UTC, цепочка и отзыв не проверяются чтением ИмяФайла или manifest.expires_utc. Время запуска скрипта и1С должно быть корректным. CA-ключ намеренно не сохранен: этот комплект нельзя использовать для выпуска настоящих серверных/пользовательских сертификатов позже.

Проверки размера/SHA и конструкторы читают файл отдельно: это не атомарная защита от подмены между чтениями. В отдельной VM не должно быть других процессов, меняющих собственный каталог. UUID/маркер — ограничение учебного workflow, не подтверждение владельца против злоумышленника.

Ничего здесь не генерировалось и в1С не запускалось. Python-блок только скомпилирован/статически проверен; реальные ключи, файлы, хранилища и handshake не создавались и не выполнялись нами. После ручной подготовки комплект содержит секрет: не отправляйте client.p12, пароль и память отладчика в чат/репозиторий.