Инсталиране на софтуер за КЕП и сигурни инсталационни пакети

Инсталиране на софтуер за КЕП обикновено започва със самоизвличащ се пакет, който слага на Windows и драйвери за четеца, и middleware за картата (StampIT). Този пакет работи с най-чувствителното, което имате на компютъра, затова е важно да е истински и непроменен. На 30 октомври 2026 издателят на инструмента DeployMaster пусна версия 7.8.0 с поддръжка на Windows 11 версия 26H2 (Just Great Software), а подобни обновявания на Windows всяка година налагат нови изграждания на инсталационните пакети.

Какво се слага на компютъра при инсталиране на софтуер за КЕП

За Windows StampIT предлага един самоизвличащ се инсталатор за всички версии, който включва драйвери за четци и middleware (StampIT). Поотделно са налични Charismathics middleware, драйвер за четци ACR38U и ACR39T и драйвер за Circle CIR115.

Изборът зависи от картата. Картите „StampIT eIDAS“ и „eIDAS 8.1“ работят с AWP Identity Manager, а сериите ID Prime 940x – със SafeNet Authentication Client (StampIT). За macOS SafeNet middleware изисква версия 10.15 или по-нова.

Борика предлага различен модел. Страницата ѝ съдържа B-Trust BISS 3.46 за Windows, macOS и Linux, както и безплатния Desktop Signer за Windows и macOS (Борика (B-Trust)). Отделни драйвери там няма, а картата се достъпва през Microsoft CryptoAPI или PKCS#11 библиотека.

Как Windows преценява дали пакетът е сигурен

Windows гледа два сигнала – дали файлът е подписан от известен издател и дали точно този файл е изтеглян от много хора без проблеми (Microsoft Learn). Дори подписан, нов файл може да получи предупреждение, докато събере репутация.

Неподписаният файл започва от нула при всяка нова версия (Microsoft Learn). Подписаният с една и съща идентичност наследява репутацията на предишните. На Windows 11 функцията Smart App Control може да блокира неподписани файлове, които нямат положителна репутация.

По наша преценка доставчик, който пуска пакети няколко пъти в годината, е по-малко вероятно да ви накара да натиснете „Изпълни въпреки това“, ако подписва всяка версия със същия сертификат.

Какво струва подписването на инсталатор и какво означава за доставчиците

Източник: Microsoft Learn, Code signing options for Windows app developers (Microsoft Learn)

Таблицата показва, че подписът не е непосилен разход за доставчик на удостоверения. От юни 2023 г. изискването на CA/Browser Forum е ключовете на OV сертификатите да стоят на хардуерен токен или HSM (Microsoft Learn). Самоподписаният сертификат е подходящ само за тест или за фирмена мрежа с управлявано доверие.

Какво не пише на страниците за изтегляне

Страницата на Борика прилага SHA-256 контролна сума за BISS 3.46 (Борика (B-Trust)). За Desktop Signer контролна сума или подпис не са споменати. Страницата на StampIT пък не съдържа стъпки за инсталиране, а само връзки към ръководства за Firefox, Adobe Acrobat Reader DC и Thunderbird (StampIT).

Това не означава, че пакетите са неподписани – страниците просто не го казват. Затова проверката е ваша: щракнете върху файла с десния бутон, отворете „Свойства“ и разгледайте раздела „Цифрови подписи“, ако го има.

Пълният списък с инструкции по операционни системи е в нашия наръчник за софтуер и драйвери за КЕП.

Защо eIDAS не обхваща инсталатора

Регламентът за електронната идентификация изисква устройството за подписване да пази данните за създаване на подписа поверителни и да не променя подписваните данни (legislation.gov.uk). Само квалифициран доставчик може да създава и управлява тези данни от името на титуляра.

Изискването касае картата или токена, а не програмата на компютъра. Инсталаторът, драйверът и middleware-ът остават извън тази защита, затова тяхната автентичност се гарантира само с практиките на подписване и проверка по-горе. Това е наш извод от текста на приложението, не твърдение на регулатора.

Какво да проверите преди инсталация

• Изтегляйте само от страницата на доставчика на вашето удостоверение (Борика (B-Trust), StampIT).
• Сравнете типа карта с изискваното middleware, преди да го изберете.
• За BISS сверете SHA-256 с файла от страницата.
• Инсталирането на BISS изисква администраторски права.
• Ако Windows покаже предупреждение, прочетете името на издателя, а не само цвета на прозореца (Microsoft Learn).

След инсталацията проверете входа със същия софтуер, например в НАП с електронен подпис. Данните в удостоверението описваме отделно в материала за личните данни в КЕП.

Коя информация ще се променя

Следващото издание на Windows ще изисква нови изграждания на инсталаторите, а за DeployMaster обновяването до 7.8.0 е безплатно за притежателите му (Just Great Software).