e-ID MongoliaЦахим үнэмлэх
Апп татах

Root CA-д итгэмжлэх

e-ID Mongolia-аар зурсан PDF-ийг Adobe Acrobat Reader (болон гарын үсэг шалгадаг бусад PDF харагч, ж: Foxit) нээхэд «Signer's identity is unknown» / «This certificate is not trusted» гарвал Монгол Улсын үндэсний Root CA-г тухайн програм эсвэл үйлдлийн системд итгэмжит root болгон нэг удаа суулгана. Гарын үсэг өөрөө хүчинтэй — зөвхөн итгэлийн тулгуур дутуу байгаа.

Mongolian National Root CA

Үндэсний PKI-ийн гинж: Mongolian National Root CA → Mongolian National Issuing CA → Gerege Issuing CA → e-ID Mongolia Issuing CA → иргэн. Завсрын CA-ууд гарын үсэгтэй PDF дотор хамт суулгагдсан байдаг тул зөвхөн энэ Root-ийг итгэмжлэхэд хангалттай. Хүчинтэй 2031-02-01 хүртэл. DER формат, 1.4 KB.

Root CA сертификат татах (.cer)

SHA-256 хурууны хээ — татсан файлтайгаа тулгана:

CB:E7:F3:FE:1F:04:80:37:C2:15:DA:32:1E:58:CA:A4:F3:63:DE:9E:54:BB:C4:42:A3:BF:D6:2F:AD:83:44:82

Үйлдлийн системийн store-д (macOS Keychain, Windows) суулгавал энэ Root-оос гаралтай бүх гэрчилгээнд систем итгэнэ. Энэ нь Adobe-ийн PDF гарын үсгийн шалгалтад анхдагчаар нөлөөлөхгүй — Adobe-д зөвхөн Adobe Reader-ийн өөрийн жагсаалтад нэмэх (дээрх Adobe хэсэг) хэрэгтэй.

Adobe Acrobat Reader

Зөвхөн Adobe Reader / Acrobat дээр нөлөөлнө.

  1. Дээрх товчоор сертификатыг татаж авна.
  2. Тохиргоог нээнэ. macOS: Acrobat → Settings… (⌘ ,) эсвэл зүүн дээд талын ☰ цэс → Settings. Windows: ☰ Menu → Preferences (Ctrl+K). Хуучин хувилбарт: Edit → Preferences.
  3. Зүүн жагсаалтаас Signatures → «Identities & Trusted Certificates» хэсгийн More….
  4. «Digital ID and Trusted Certificate Settings» цонх зүүн талын Digital IDs-ийг сонгосон байдлаар нээгддэг тул Import товч харагдахгүй. Цонхны зүүн жагсаалтын хамгийн доод талын Trusted Certificates дээр дарна — тэгэхэд дээд мөрөнд Import гарна. Import дарна.
  5. Browse дарж татсан mongolian-national-root-ca.cer-ийг сонгоод Import дарна.
  6. Trusted Certificates жагсаалтад Mongolian National Root CA гарсан эсэхийг шалгана. Байхгүй бол Import-ийг дахин хийнэ.
  7. Түүнийг сонгоод дээд мөрийн Edit Trust → Trust tab → Use this certificate as a trusted root ✔, доорх Signatures and documents ✔ → OK.
  8. Гарын үсэгтэй PDF-ээ нээгээд Signatures самбарын ⋯ → Validate All Signatures. Import-ын дараа Adobe өмнө нь нээсэн гарын үсгийг өөрөө дахин шалгадаггүй — «Signature not yet verified / Last Checked: Never» гэж үлддэг.
  9. Хүлээгдэх үр дүн: дээд мөрөнд «Signed and all signatures are valid»; гарын үсэг бүр «Signature is valid», «Signer's identity is valid», «Document has not been modified since this signature was applied».

macOS Keychain

PDF гарын үсэгт хэрэггүй. macOS дээрх Adobe Acrobat Keychain-ийг ашигладаггүй — зөвхөн өөрийн Trusted Certificates-ийг (дээрх Adobe хэсэг). Keychain-д суулгах нь зөвхөн Apple-ийн программууд (Safari, Mail г.м.) энэ Root-оос гаралтай TLS / S/MIME гэрчилгээг итгэхэд хэрэгтэй. Safari, Preview, Chrome-ийн PDF харагч гарын үсэг огт шалгадаггүй (доор үзнэ үү).

  1. Сертификатыг Downloads хавтсанд татна.
  2. Finder-ээс mongolian-national-root-ca.cer дээр давхар товшино — Keychain Access нээгдэнэ (нээгдэхгүй бол Keychain Access → File → Import Items).
  3. Keychain асуувал login (зөвхөн өөрт) эсвэл System (бүх хэрэглэгчид, админ нууц үг) → Add.
  4. Keychain Access өмнө нь сонгосон өөр keychain дээр нээгдэж болно. Зүүн талын Default Keychains → login (System-д суулгасан бол System Keychains → System) сонгоод дээд мөрийн Certificates таб → хайлтад Mongolian гэж бичээд Mongolian National Root CA-г давхар товшино.
  5. Нээгдсэн цонхны гарчиг Mongolian National Root CA мөн эсэхийг шалгана — өөр гэрчилгээг итгэмжлэхгүйн тулд. Trust хэсгийг дэлгэж When using this certificate → Always Trust; цонхыг хаахад нууц үг / Touch ID.
  6. Шалгах: Terminal-д security verify-cert -c ~/Downloads/mongolian-national-root-ca.cer -p basic → «certificate verification successful».

Терминалаас (нэг мөр)

sudo security add-trusted-cert -d -r trustRoot ~/Downloads/mongolian-national-root-ca.cer

System Keychain-д суулгаад «Always Trust» болгоно — дээрх алхмуудтай ижил үр дүн.

Windows Certificate Store

«Trusted Root Certification Authorities» store-д суулгасан Root-ийг Edge, Outlook, Office зэрэг Windows-ийн store ашигладаг програмууд итгэнэ. Adobe Reader анхдагчаар энэ store-ийг гарын үсгийн шалгалтад ашигладаггүй: Settings → Signatures → Verification → More… → Windows Integration → «Validating signatures» ✔ хийвэл л ашиглана. PDF-д дээрх Adobe хэсгийн аргыг санал болгоно.

  1. Сертификатыг Downloads хавтсанд татна.
  2. File Explorer-оос mongolian-national-root-ca.cer дээр баруун товш → Install Certificate.
  3. Store Location: Local Machine (бүх хэрэглэгчид) эсвэл Current User → Next.
  4. Place all certificates in the following store → Browse → Trusted Root Certification Authorities → OK, Next.
  5. Finish; Windows-ийн аюулгүй байдлын анхааруулгад Yes.
  6. Програмаа (Edge, Outlook г.м.) дахин нээнэ.

Яагаад гараар суулгах вэ?

Adobe Reader нь зөвхөн өөрийн итгэмжит жагсаалт болон EU Trusted List-д орсон CA-д автоматаар итгэдэг; Mongolian National Root CA тэдгээрт байхгүй. Гарын үсэг өөрөө криптографийн хувьд бүрэн (SHA-256, OCSP/CRL цуцлалтын шалгалт) — дутуу нь зөвхөн таны PDF харагчийн итгэлийн жагсаалт дахь Root. Root-ийг нэг удаа нэмсний дараа e-ID Mongolia-аар зурсан PDF-ийн гарын үсэг «valid» гарна.

Chrome, Edge, Safari, macOS Preview — эдгээрийн дотоод PDF харагч (Chromium PDFium, Apple PDFKit) гарын үсгийг огт шалгадаггүй: анхааруулга ч, «valid» ч харуулахгүй. Root суулгасан ч өөрчлөгдөхгүй — энэ нь тэдгээр програмын хязгаарлалт. Гарын үсгийг шалгахдаа Adobe Reader эсвэл ca.eidmongolia.mn/verify ашиглана.

Байгууллага, шалгагч талд

Олон PDF-ийн гарын үсгийг системтэй шалгах бол хэрэглэгчийн харагчийн trust store-оос хамаарахгүй зам: гарын үсэгтэй PDF бүрийн сүүлийн хуудсан дээрх QR нь ca.eidmongolia.mn/verify/<id> руу хөтөлж, тэнд CA өөрөө session, гарын үсэг, цагийн тэмдгийг баталгаажуулна; дурын PDF-ийг ca.eidmongolia.mn/verify-аар (гинж, цуцлалт, цагийн тэмдэг) шалгана. Өөрийн системд шалгах бол RP баримтын 8-р хэсэг.