Muhandislik diagnostika pasporti
Код ошибки: NET::ERR_CERT_AUTHORITY_INVALID Платформа: Любая платформа / All platforms Время решения: 15 мин Целевая услуга: E-IMZO va Soliq.uz sozlash →
Xatolik kodi:
NET::ERR_CERT_AUTHORITY_INVALID
Platforma:
Любая платформа / All platforms
Yechim vaqti:
15 daqiqa (Windows-ni o'chirmasdan)
Qisqacha xulosa:
E-IMZO moduli nima uchun kalitlarni ko'rmaydi? Muammo dasturda emas, 127.0.0.1 loopback portlari, Windows Firewall va Chromium SSL sertifikatlari ziddiyatida. Muhandislik tahlili va yechimi.

Yaqinda mijozlarimizdan biri murakkab tizimli nosozlik bilan murojaat qildi: E-Imzo moduli qayta-qayta o‘rnatilgan, operatsion tizim toza, biroq brauzer soliq va bank portallarida DSX kalitlarini (elektron raqamli imzoni) baribir aniqlay olmayapti.

Aksariyat foydalanuvchilar (va hatto tajribasiz tizim administratorlari) bunday vaziyatda xatolikni kalit faylida (.pfx) yoki dasturning o‘zida deb o‘ylashadi. Ammo biz muammoni chuqurroq — tizimli tarmoq arxitekturasi darajasida tahlil qildik.

E-IMZO arxitekturasi: Brauzer va lokal modul qanday muloqot qiladi?

Ko‘pchilik E-IMZO-ni oddiy dastur deb biladi. Aslida esa E-IMZO — bu kompyuterning lokal xostida (127.0.0.1 loopback manzilida) ishlovchi va ma’lum portlarni (xususan, 14224, 14228, 14443) tinglovchi mini veb-serverdir.

Foydalanuvchi Soliq.uz, Didox.uz yoki my.soliq.uz saytiga kirib, hujjatni imzolash tugmasini bosganida, tashqi veb-sayt emas, brauzerning o‘zi kompyuter ichidagi https://127.0.0.1:14443 manziliga lokal HTTPS/WSS so‘rovini yuboradi. Ushbu zanjirda ikkita jiddiy to‘siq yuzaga kelgan edi:

Nosozlikning 2 ta asosiy sababi:
  • Firewall (Tarmoq ekrani) blokirovkasi: Korporativ xavfsizlik devori yoki mahalliy antivirus lokal portlar o‘rtasidagi loopback trafigini shubhali deb hisoblab, portlarni bloklab qo‘ygan. Shuningdek, E-Imzo moduli kalitning haqiqiyligini tekshirish uchun tashqi OCSP/CRL davlat serverlariga chiqa olmagan.
  • TLS/SSL sertifikatlarining ziddiyati: Chromium brauzerlarining (Chrome, Edge, Yandex) so‘nggi xavfsizlik yangilanishlari E-Imzo’ning lokal va o‘zi imzolagan (self-signed) SSL sertifikatini rad etgan va ulanishni xavfsiz emas (NET::ERR_CERT_AUTHORITY_INVALID) deb topgan.

Qanday muhandislik yechimi qo‘llandi?

Windows-ni qayta o‘rnatmasdan va tizimga zarar yetkazmasdan, muammoni 15 daqiqada quyidagi ketma-ketlikda hal qildik:

  1. Lokal loopback portlarini ochish: Windows Firewall (Tarmoq ekrani) qoidalariga kiruvchi va chiquvchi TCP portlar (14224, 14228, 14443) hamda E-IMZO.exe jarayoni uchun to‘liq istisno kiritildi: 
    netsh advfirewall firewall add rule name="E-IMZO-Loopback" dir=in action=allow protocol=TCP localport=14224,14228,14443
netsh advfirewall firewall add rule name="E-IMZO-Out" dir=out action=allow protocol=TCP localport=14224,14228,14443
  2. Davlat OCSP/CRL shlyuzlarini tekshirish: Kalitlar haqiqiyligini tekshiruvchi davlat sertifikatlash serverlari (fks.uz, yt.soliq.uz) tarmoq darajasida tekshirilib, DNS kechikishlari bartaraf etildi.
  3. SSL sertifikat ziddiyatini to‘g‘rilash: Brauzer darajasida localhost xavfsizlik cheklovlari aylanib o‘tildi va E-IMZO ildiz sertifikati tizimning «Ishonchli ildiz sertifikatlash markazlari» (Trusted Root Certification Authorities) reestriga toza integratsiya qilindi.
Natija: Brauzer va E-Imzo lokal moduli o‘rtasidagi shifrlangan TLS-tunnel to‘liq tiklandi. Tizim kalitlarni lahzada ko‘rdi va hisobot topshirish jarayoni to‘xtashlarsiz davom etdi!

Xulosa

Agar E-IMZO moduli ishlamasa yoki kalitlarni ko‘rmayotgan bo‘lsa — kompyuterni format qilish yoki Windows-ni qayta o‘rnatish mutlaqo shart emas. Muammo 99% holatda tarmoq portlari va sertifikatlar iyerarxiyasida bo‘ladi.

Agar sizda ham lokal infratuzilma va veb-servislar o‘rtasida tushunarsiz texnik muammolar yuzaga kelsa, vaqtingizni behuda sarflamang. Murakkab arxitekturaviy yechimlarni professionallarga ishoning.

AS
Yetakchi muhandis tomonidan tasdiqlangan: Anvar Sobirov
O'zbekiston Respublikasi DSQ ma'lumotnomasi № 0012697475 • 10+ yillik tajriba • Toshkent