Расширение для браузера

VPN Client Pro ГОСТ для Google Chrome, Chromium и Microsoft Edge (версия 116 и новее) направляет трафик браузера на сервер h2.core заказчика по ГОСТ TLS 1.2 (RFC 9189): шифрование «Кузнечик»/«Магма», хэширование «Стрибог», подпись ГОСТ Р 34.10-2012. Другие программы на компьютере не затрагиваются.

Браузер не умеет работать с ГОСТ TLS сам, поэтому решение состоит из двух частей:

1. программа-помощник (vpnclient-chrome-host) — устанавливает защищённое соединение с сервером по ГОСТ и предоставляет браузеру локальный прокси (127.0.0.1); права администратора во время работы не нужны, системный VPN-адаптер не используется;
2. расширение — кнопка на панели браузера (интерфейс на русском языке): серверы, подключение/отключение, вход по сертификату на Рутокене, счётчики трафика, блокировка трафика при обрыве (kill switch).

Расширение принимает только серверы с профилем ГОСТ (crypto=ru); ключ доступа (h2://…) или ссылку на подписку выдаёт администратор вашей организации.

Бета-версия для пилотных внедрений. Редакция готовится к сертификации в системе ФСБ России; до получения сертификата продукт не является сертифицированным СКЗИ.

Загрузки

Версия 1.2.2 · SHA256SUMS

Шаг 1. Установка программы-помощника

Windows 10 / 11

1. Скачайте vpnclient-chrome-host-1.2.2-windows-amd64.zip.
2. Правой кнопкой → Свойства → на вкладке Общие в разделе Безопасность отметьте флажок, разрешающий запуск файла, загруженного из интернета → ОК (помощник пока не подписан кодовой подписью).
3. Правой кнопкой → Извлечь всё…, откройте папку vpnclient-chrome-host-1.2.2.
4. В адресной строке папки введите powershell, нажмите Enter и выполните:

   powershell -ExecutionPolicy Bypass -File .\install.ps1
   

   Помощник устанавливается для текущего пользователя (%LOCALAPPDATA%\VPNClient\ChromeHost) и регистрируется для Chrome, Chromium и Edge.

macOS (Intel и Apple silicon)

1. Скачайте vpnclient-chrome-host-1.2.2-macos.tar.gz.
2. В Терминале выполните:

   cd ~/Downloads
   tar xzf vpnclient-chrome-host-1.2.2-macos.tar.gz
   ./vpnclient-chrome-host-1.2.2/install.sh
   

   Помощник устанавливается в ~/Library/Application Support/VPNClient/ChromeHost (текущий пользователь, пароль не нужен).

Linux — Debian, Ubuntu и производные

1. Скачайте .deb для вашего процессора: vpnclient-chrome-host_1.2.2_amd64.deb (x86-64) или vpnclient-chrome-host_1.2.2_arm64.deb (ARM64).
2. Установите:

   sudo apt install ./vpnclient-chrome-host_1.2.2_amd64.deb
   

   Пакет регистрирует помощника для Google Chrome, Chromium и Microsoft Edge для всех пользователей.

Помощник для Linux работает на системах с glibc 2.28 и новее: Astra Linux Special Edition 1.7 и новее, Debian 10 и новее, Ubuntu 20.04 и новее и другие дистрибутивы с glibc не ниже 2.28.

Linux — другие дистрибутивы

1. Скачайте vpnclient-chrome-host-1.2.2-linux-amd64.tar.gz или vpnclient-chrome-host-1.2.2-linux-arm64.tar.gz.
2. Распакуйте и запустите установщик (без root, для текущего пользователя):

   tar xzf vpnclient-chrome-host-1.2.2-linux-amd64.tar.gz
   ./vpnclient-chrome-host-1.2.2/install.sh
   

Chromium из Snap или Flatpak может не запускать программы-помощники; используйте обычную (deb/rpm) сборку браузера.

Шаг 2. Установка расширения

1. Скачайте vpnclient-extension-gost-1.2.2-dev.zip и распакуйте в постоянную папку, например Документы/VPN Client ГОСТ. Браузер загружает расширение из этой папки — не удаляйте её.
2. Откройте chrome://extensions (в Edge — edge://extensions), включите Режим разработчика.
3. Нажмите Загрузить распакованное расширение и выберите папку с manifest.json.
4. Проверьте, что идентификатор расширения — kkcbilecppiahohgineablmfdckbedbk: помощник принимает подключения только от него.
5. Закрепите VPN Client Pro ГОСТ на панели (значок пазла).

В организациях расширение и помощника удобнее устанавливать централизованно — см. ниже.

Шаг 3. Подключение

1. Нажмите на значок VPN Client Pro ГОСТ.
2. Вставьте ключ доступа или ссылку на подписку в поле Ключ доступа или подписка и нажмите Добавить (разбор ключей выполняет помощник).
3. Если сервер вашей организации принимает вход по сертификату, включите Вход по сертификату с токена (см. раздел «Рутокен» ниже).
4. Нажмите круглую кнопку питания. Статус Подключено означает, что трафик браузера идёт через сервер по ГОСТ TLS.

Внизу окна показаны версии h2.core и помощника; надпись помощник не найден означает, что помощник не установлен или не зарегистрирован для этого браузера — повторите шаг 1 и перезапустите браузер. Параметр Kill switch: при обрыве соединения трафик браузера блокируется, а не идёт напрямую.

Рутокен: вход по сертификату

С версии 1.2.1 помощник выполняет вход на сервер по сертификату пользователя на Рутокене (Рутокен ЭЦП 2.0/3.0 и совместимые, PKCS#11): подпись ГОСТ Р 34.10-2012 при установлении соединения вычисляется на носителе, закрытый ключ его не покидает.

Подготовка рабочего места

1. Установите библиотеку PKCS#11 Рутокен («Актив», librtpkcs11ecp; в Windows — rtPKCS11ECP.dll, входит в «Драйверы Рутокен») с официального сайта: rutoken.ru — библиотека PKCS#11, драйверы для Windows — rutoken.ru — центр загрузки. Мы не распространяем эту библиотеку: помощник находит её там, куда её поставил официальный установщик.
2. Убедитесь, что носитель виден системе (Linux: служба pcscd; Windows — после установки драйверов).
3. Ключевую пару и сертификат пользователя на носитель записывает администратор вашей организации по своему регламенту (сертификат должен допускать проверку подлинности клиента).

Подключение

1. В окне расширения включите Вход по сертификату с токена и нажмите Найти: помощник читает с носителя только открытые данные (список сертификатов) — без PIN-кода и без операций с ключом.
2. Выберите сертификат в списке (если он один — выбирается сам).
3. Нажмите кнопку подключения и введите PIN-код пользователя токена. PIN-код не сохраняется ни в браузере, ни на диске: он передаётся помощнику только для входа на носитель в этом сеансе. Пока браузер открыт и соединение не разорвано, переключение между серверами не требует повторного ввода; после отключения PIN-код запрашивается снова.

Если PIN-код введён неверно, расширение сообщит об этом и предупредит, когда останется последняя попытка; если PIN-код пользователя заблокирован, счётчик попыток сбрасывается в «Панели управления Рутокен» PIN-кодом администратора. Если библиотека Рутокен не установлена, в окне расширения будет ссылка на её загрузку.

Вход по Рутокену в версии 1.2.2 поддерживают помощники для Windows и Linux (x86-64, ARM64). Помощник для macOS пока собран без поддержки Рутокен — она появится в подписанной сборке для macOS.

Для администратора сервера: inbound h2.core с ГОСТ TLS должен принимать метод аутентификации mtls с сертификатом вашего удостоверяющего центра ("auth": {"methods": ["mtls"], "clientCA": "<УЦ организации>.pem"}); пользователь определяется по адресу электронной почты (или CN) в сертификате.

Централизованное развёртывание (политики Chrome / Edge)

Для корпоративных рабочих мест рекомендуем установку через политики браузера: помощник — пакетом (deb, MSI из исходников WiX, pkg), расширение — политикой, без режима разработчика.

1. Помощник: разверните .deb (Linux) или установщик для Windows/macOS средствами управления парком. Имя native messaging host: com.vpnclient.nativemind.
2. Разрешите только этот помощник — политики NativeMessagingAllowlist = ["com.vpnclient.nativemind"] (при необходимости NativeMessagingBlocklist = ["*"]) и NativeMessagingUserLevelHosts = false, если помощник установлен на уровне системы.
3. Принудительная установка расширения — политика ExtensionInstallForcelist с записью kkcbilecppiahohgineablmfdckbedbk;<URL манифеста обновлений>.

Для установки расширения с собственного сервера нужны подписанный пакет CRX и манифест обновлений. Ключ подписи CRX создаёт и хранит владелец продукта; пакет и адрес манифеста будут опубликованы на этой странице. Chrome и Edge в Windows и macOS принимают такие расширения только на управляемых устройствах (домен Active Directory, MDM).

Пример для Linux, файл /etc/opt/chrome/policies/managed/vpnclient.json (Chromium: /etc/chromium/policies/managed/):

{
  "NativeMessagingAllowlist": ["com.vpnclient.nativemind"],
  "NativeMessagingUserLevelHosts": false,
  "ExtensionInstallForcelist": ["kkcbilecppiahohgineablmfdckbedbk;https://<ваш сервер>/vpnclient/updates.xml"]
}

Windows (групповая политика или реестр): HKLM\Software\Policies\Google\Chrome\ExtensionInstallForcelist — строковое значение 1 = kkcbilecppiahohgineablmfdckbedbk;https://<ваш сервер>/vpnclient/updates.xml; для Edge — HKLM\Software\Policies\Microsoft\Edge\…. macOS — профиль конфигурации с теми же ключами для com.google.Chrome.

Проверка загрузок

Сравните SHA-256 файлов с таблицей выше (или с SHA256SUMS):

• Linux: sha256sum -c SHA256SUMS --ignore-missing
• macOS: shasum -a 256 <файл>
• Windows (PowerShell): Get-FileHash <файл> -Algorithm SHA256

Обновление и удаление

• Обновление: распакуйте новую версию расширения в ту же папку и нажмите стрелку обновления на его карточке в chrome://extensions; новый помощник устанавливается поверх старого так же, как в шаге 1.
• Удаление расширения: chrome://extensions → VPN Client Pro ГОСТ → Удалить (удаляет сохранённые серверы и настройки).
• Удаление помощника: sudo apt remove vpnclient-chrome-host (deb); ./install.sh --uninstall (tar.gz, macOS); powershell -ExecutionPolicy Bypass -File .\install.ps1 -Uninstall (Windows).

Полезно знать

• Настройками прокси браузера может управлять только одно расширение; другие VPN- и прокси-расширения нужно отключить.
• Расширение не читает и не изменяет открываемые страницы и не имеет доступа к их содержимому.
• Политика конфиденциальности расширения.
• Вопросы и пилотные внедрения: контакты.