Софтуер, драйвери и инструкции за КЕП: Windows, macOS и Linux

Квалифициран електронен подпис (КЕП) на смарт карта работи само когато компютърът „вижда“ четеца, картата и сертификата в нея. За това са нужни няколко отделни програми, а всеки доставчик ги пакетира по свой начин. Тук са събрани официалните страници за изтегляне по доставчици (по азбучен ред), отделно за Windows, macOS и Linux, и начините да проверите, че подписът работи. Не публикуваме копия на инсталатори: всички връзки водят към страниците на самите доставчици, проверени към 28.10.2026.

Облачният подпис в мобилно приложение не иска нито четец, нито драйвери. За него вижте облачен и мобилен подпис.

Какво трябва да е инсталирано

Подписът на карта минава през четири слоя. Ако един липсва, следващите не работят.

1. Драйвер за четеца. Повечето USB четци работят със стандартния драйвер на системата, но доставчиците публикуват драйвери за моделите, които раздават (например ACS, Circle, Comitex).
2. Софтуер за картата (middleware). Той дава достъп до ключа в картата и служи за смяна и отключване на ПИН. За картите IDPrime това е SafeNet Authentication Client; при други карти доставчиците посочват Bit4id, AWP Identity Manager, Cryptovision или собствен мениджър.
3. Удостоверителните вериги на доставчика. Без тях програмите не разпознават сертификата като надежден.
4. Компонент за подписване. За сайтове, които искат подпис в браузъра, това е локална програма като B-Trust BISS. За файлове има настолни програми (Desktop Signer, e-Doc Signer, DSTool) или Adobe Acrobat Reader, LibreOffice и Okular, описани в как да подпишете PDF.

Какъв точно е вашият модел карта, пише в документите от доставчика. B-Trust дори пита за имейла, с който е регистриран подписът, и по него предлага софтуера за съответния носител.

B-Trust (Борика)

Windows. На страницата Инсталиране на електронен подпис е автоматичният инсталатор за Windows (търсен като „b-trust installer“). Според B-Trust редът е:

1. Поставете картата в четеца и включете четеца, преди да стартирате инсталатора.
2. Стартирайте файла и натиснете „Инсталирай“.
3. Инсталаторът проверява системата, показва откритите четци и слага софтуера за картата.
4. Изберете кои от откритите браузъри да бъдат настроени.
5. Рестартирайте компютъра.
6. Направете „Тест за работоспособност“ на test.b-trust.bg.

macOS и Linux. Автоматичният инсталатор е само за Windows. За другите системи въвеждате на същата страница имейла от сертификата и получавате предложение за софтуер.

B-Trust BISS (Browser Independent Signing Service) е компонентът за подписване в браузъра. Към 28.10.2026 на Софтуер за подписване има пакети за Windows (.msi), macOS (.pkg) и Linux (.deb и .rpm). Инсталира се с администраторски права. Ако услугата не тръгне, стартира се ръчно и се проверява с бутона „Провери“. На същата страница са B-Trust Desktop Signer (Windows и macOS) и PDF инструкции за Firefox и Chrome под Linux, за Chrome, Edge и Safari под macOS и за отключване на ПИН чрез SafeNet Authentication Client Tools.

Поддържани системи. Според системните изисквания SafeNet Authentication Client се поддържа на Windows 10 и 11 (включително ARM), macOS 13, 14, 15 и 26, RHEL и Ubuntu. Под Windows 11 ARM има особеност: версията за x86/x64 работи с Adobe Acrobat Reader, но не и в браузърите, а ARM версията работи в браузърите, но не и с Acrobat Reader. Предлагани карти към 28.10.2026 са Thales SafeNet IDPrime 940C, а 940B се поддържа само за съществуващи карти.

Evrotrust

Evrotrust издава подпис, който се използва през мобилното приложение. На страницата за изтегляне има само приложение за Google Play, App Store и Huawei AppGallery, без програма за компютър. Според списъка с поддържани устройства трябва iOS 12.0 или по-нова, Android 7.0 или по-нова или Harmony. Четец и драйвери не са нужни.

InfoNotary (Инфонотари)

Всичко е на страницата Техническа поддръжка (търсено като „infonotary installer“).

• Windows: автоматичен инсталатор (PNPInstaller), който разпознава хардуера, слага драйверите, коренните удостоверения, InfoNotary Smart Card Manager и InfoNotary e-Doc Signer. Може и ръчно: двете програми поотделно.
• macOS: първо веригата на InfoNotary, като в Keychain Access за „InfoNotary TSP Root“ задавате „Always Trust“. После драйвер за четеца (Circle или ACS), драйвер за картата (SafeNet Authentication Client за IDPrime или Bit4id) и накрая Smart Card Manager и e-Doc Signer.
• Linux: InfoNotary поддържа хранилище за Ubuntu 22.04 и 24.04 и за Fedora, RHEL и CentOS. Пакетите са safenetauthenticationclient-core (IDPrime), libbit4xpki (Bit4id), libabcccid (четец Circle) и infonotary-client-software (Smart Card Manager и e-Doc Signer). Командите за добавяне на хранилището са на същата страница.

e-Doc Signer подписва и проверява файлове във формати PAdES, CAdES и XAdES. За диагностика InfoNotary дава програмата SystemInfo за трите системи: тя проверява операционната система, четеца, картата, драйверите и браузърите, като картата трябва да е поставена по време на теста.

StampIT (Информационно обслужване)

На страницата Софтуер пакетите са разделени по система (търсени като „stampit download“):

• Windows: автоматичен инсталатор на StampIT (софтуер за картата, удостоверенията на StampIT и програма за подписване); SafeNet Authentication Client 10.9.R2 за карти ID Prime 940x и отделно за ARM64; драйвери за четци ACR38U и Circle CIR115; DSTool v2.5 за подписване на файлове във форматите p7m и p7s. Има и отделни пакети за Windows 7.
• macOS (10.12 и по-нови): драйвери за ACR38/ACR39T и Circle CIR115, AWP Identity Manager за карти с индекс „StampIT eIDAS“, SafeNet Authentication Client за карти „StampIT ID Prime940x“ и по-стара версия за macOS 10.13–10.15. Има инструкции за Firefox и Adobe Acrobat Reader.
• Linux: драйвери за ACR39T-A1 и Circle CIR115, AWP Identity Manager и SafeNet Authentication Client за серията ID Prime940.

Страницата Инсталация на УЕП обобщава, че са нужни два компонента: драйвер за четеца и софтуер за управление на картата.

Linux: pcscd, PKCS#11 и Firefox

Под Linux достъпът до картата минава през pcsc-lite: услугата pcscd управлява четците, а драйверът libccid обслужва стандартните USB четци. Ето реда от инструкцията на B-Trust за Debian и Red Hat базирани системи:

1. Инсталирайте драйвера на четеца. Ако PC/SC липсва: sudo apt install pcscd.
2. Проверете услугата: systemctl status pcscd.service. Ако не е активна: systemctl enable pcscd.service, после рестарт на услугата или на компютъра.
3. Инсталирайте софтуера за картата (за IDPrime това е SafeNet Authentication Client за Linux от вашия доставчик).
4. Във Firefox отворете Settings → Privacy & Security → Security Devices → Load, дайте име на модула и изберете библиотеката. B-Trust посочва /usr/lib/pkcs11/libeTPkcs11.so (Debian/Ubuntu) или /usr/lib64/pkcs11/libeTPkcs11.so (Red Hat). InfoNotary дава и libIDPrimePKCS11.so, libbit4ipki.so и opensc-pkcs11.so според картата.
5. Импортирайте удостоверенията на доставчика от View Certificates → Authorities.

Проектът OpenSC описва същия бутон Load за своята библиотека opensc-pkcs11.so; стъпките на OpenSC я търсят в /usr/lib/. Дали вашата карта работи с OpenSC, или иска програмата на доставчика, проверете при доставчика.

Три предупреждения от доставчиците:

• Firefox като Snap пакет (по подразбиране в новите Ubuntu) не може да зареди PKCS#11 модул. Инсталирайте Firefox извън Snap.
• За Firefox 90+ B-Trust препоръчва в about:config да зададете security.osclientcerts.autoload на false.
• Бутоните в Certificate Manager работят директно върху картата: „Delete“ изтрива подписа от нея и той не може да се възстанови.

B-Trust отбелязва още, че четците Omnikey не работят коректно под Linux. За Chrome под Linux настройката минава през NSS базата в $HOME/.pki/nssdb с инструментите modutil и pk12util; командите са в инструкциите на B-Trust и InfoNotary.

НАП и подписването в браузъра

Порталът на НАП не използва BISS. Според въпросите и отговорите на НАП за подписване компютърът трябва да стартира JNLP файлове чрез Java Web Start или Open Web Start, като НАП сочи Open Web Start. Internet Explorer вече не се поддържа; НАП препоръчва актуален Edge, Chrome или Firefox. Подробно за входа: вход в НАП с КЕП.

Как да проверите, че подписът работи

1. Тест на доставчика: „Тест за работоспособност“ на B-Trust или SystemInfo на InfoNotary.
2. Във Firefox: в Security Devices под модула трябва да се вижда четецът, а в Your Certificates — вашият сертификат.
3. Подпишете тестов PDF и го отворете в нашата проверка на подпис. Ще видите дали файлът е цял, чий е сертификатът и до кога е валиден.
4. Ако нещо се счупи по пътя, вижте честите грешки с КЕП. Ако сертификатът изтича, вижте подновяване на КЕП, а различията между доставчиците са в сравнението на доставчиците.