Как перенести контейнер закрытого ключа на другой компьютер криптопро

Из нашей статьи вы узнаете:

Для работы с электронной подписью (ЭП) требуется настроенное рабочее место. Для этого на ПК устанавливают средство криптографической защиты информации (СКЗИ). Такая программа создаёт ЭП и шифрует передаваемые данные. Также с её помощью можно перенести электронную подпись на другой компьютер. Одним из самых популярных СКЗИ является отечественная программа КриптоПро CSP от компании Cryptopro.

Купить подходящую лицензию КриптоПро рекомендуем в нашем интернет-магазине. Оставьте короткую заявку, для бесплатной консультации специалиста.

В статье подробно рассмотрим, как перенести сертификат электронной подписи на другой компьютер несколькими способами.

Когда нужно переносить сертификаты в другое место

Перенос сертификатов КриптоПро на другой компьютер осуществляется по нескольким причинам:

• неисправность внутренних компонентов или программного обеспечения персонального компьютера;
• модернизация текущего оборудования;
• создание выделенного сервера для хранения сертификатов электронной подписи.

Важно! Контейнер закрытого ключа, который записан на токене, перенести не получится. Разрешено переносить только сертификаты ЭП и контейнеры, хранящиеся в реестре.

Выбрать подходящий токен для КЭП рекомендуем в нашем интернет-магазине. В каталоге представлены только сертифицированные модели токенов.

Перенос сертификатов

Перенос сертификатов на другой компьютер можно осуществить через:

• СКЗИ КриптоПро;
• браузер Internet Explorer;
• реестр Windows.

Перенос сертификатов с одного компьютера на другой с помощью КриптоПро

Чтобы перенести сертификат закрытого ключа ЭП с помощью КриптоПро потребуется:

• Подключить к ПК внешний физический носитель, на который будет осуществляться перенос: флешку или жёсткий диск.
• Открыть панель управления и запустить КриптоПро CSP.
• Переключиться на вкладку «Сервис» и нажать «Скопировать».
• В открывшемся окне выбрать необходимый для экспорта сертификат и нажать «Ок».
• Вписать название для контейнера и нажать «Готово».
• В новом окне выбрать подключённый внешний носитель и подтвердить действие.
• Ключи сохраняются в файлах с расширением key. Далее потребуется перенести их с внешнего носителя на другой ПК.

Система не позволит пользователю перенести неэкспортируемый ключ. Если попытаться скопировать УКЭП, появится уведомление об ошибке.

Перенос сертификатов КриптоПро из реестра

Осуществлять перенос лицензии КриптоПро вместе с ключами и сертификатами можно без использования СКЗИ. Делается это с помощью браузера Internet Explorer и консоли управления Microsoft. Алгоритм действий отличается, но заканчивается одинаковыми настройками в мастере импорта и экспорта.

Перенос сертификатов с помощью браузера Internet Explorer

• Запустить Internet Explorer.
• Открыть «Свойства браузера».
• Во вкладке «Содержание» выбрать «Сертификаты».
• В открывшемся списке выбрать необходимый сертификат и нажать «Экспорт».
• Далее запускается «Мастер переноса и импорта». Как с ним работать, рассмотрим после следующего способа, так как действия будут аналогичны.

Перенос сертификатов с помощью консоли управления Microsoft

• Открыть консоль нажатием клавиш WIN+R.
• Ввести команду: MMC.
• В открывшемся окне выбрать «Личное», далее «Сертификаты».
• Выбрать требуемый сертификат и нажать на него правой кнопкой мыши.
• Выбрать «Все задачи», потом «Экспорт».
• После этого запускается «Мастер переноса и импорта».

Мастер переноса и импорта

После того как открылся «Мастер переноса и импорта», пользователю необходимо скопировать закрытый ключ:

• В приветственном окне нажать «Далее».
• Отметить пункт «Да, экспортировать закрытый ключ».
• Указать формат выгрузки — архив .pfx.
• Задать пароль и имя.
• Выбрать место хранения и нажать «ОК».
• После завершения операции нажать «Готово».

Для выгрузки открытого ключа используются те же способы, но на этапе подтверждения экспорта пользователю понадобится выбрать его отмену. После этого необходимо выполнить следующие шаги:

• Нажать «ОК».
• В появившемся списке указать формат — X.509 (.cer) в кодировке DEP и нажать «ОК».
• Задать имя и указать место для переноса файлов.

В памяти внешнего носителя должно появиться два файла: открытый ключ в формате .cer и закрытый ключ в формате .pfx.

Выгрузка файлов на другой ПК

После переноса сертификатов и ключей на другой компьютер, потребуется настроить рабочее место. Для этого необходимо:

• Запустить файл двойным кликом.
• В «Мастере импорта сертификатов» нажать «Далее».
• Выбрать хранилище — «Текущий пользователь» или «Локальный диск».
• Нажать «Далее», потом «Обзор».
• Выбрать первый файл для импорта, ввести пароль доступа и нажать «Далее».
• Отметить пункт «Автоматически выбрать хранилище на основе типа сертификата».
• Нажать «Далее» и «Готово».

Второй файл устанавливается аналогичным образом.

Перенос сертификатов КриптоПро на другой компьютер за минуту

Существует массовый перенос электронных подписей на другой ПК. Для этого в реестре создаётся точная копия ветки расположения файлов. Главное правило — оба компьютера должны иметь одну и ту же версию операционной системы Windows. Для этого необходимо:

Какие сертификаты можно экспортировать

Представленные способы подходят для ключей электронной подписи, которые имеют отметку «Экспортируемый». К ним относятся простые и неквалифицированные ЭП. Их используют для внутреннего электронного документооборота. Эти правила прописываются в учредительных документах компании. Для взаимодействия с партнёрами нужно заключать дополнительное соглашение. Сдавать отчётность в государственные органы с такой подписью нельзя.

Неэкспортированные ключи имеют усиленные квалифицированные электронные подписи (УКЭП). УКЭП равнозначна своему рукописному аналогу. Она подтверждает личность владельца и делает электронные документы юридически значимыми. С их помощью можно заключать различные сделки, участвовать в торгах, вести электронный документооборот с контрагентами и госслужбами без дополнительных соглашений. В зависимости от вида владельца УКЭП получают в разных удостоверяющих центрах.

Физическим лицам и работникам юридического лица выдают УКЭП в квалифицированных удостоверяющих центрах, которые имеют аккредитацию Минцифры.

Для решения повседневных задач и дистанционной работы с юридически значимыми документами рекомендуем квалифицированные ЭП от УЦ «Калуга Астрал». В каталоге представлены тарифы для физлиц и сотрудников организаций.

Индивидуальные предприниматели и руководители юридического лица могут получить УКЭП только в УЦ ФНС или у её доверенных лиц.

Для ускоренного выпуска квалифицированной ЭП юрлица и ИП рекомендуем воспользоваться услугой Получение КЭП в ФНС под ключ. Специалисты УЦ «Калуга Астрал» помогут сэкономить время на получение электронной подписи и настройку рабочего места, а пройти идентификацию и получить подпись вы сможете через филиалы нашего партнёра — доверенного лица ФНС УЦ «Основание».

Квалифицированная электронная подпись состоит из открытого и закрытого ключа. Обе составляющие создаются с помощью криптографических алгоритмов. Для работы с КЭП нужно использовать оба ключа — каждый из них выполняет свою функцию.

Что такое открытый ключ ЭЦП

Открытый ключ электронной подписи представляется в виде электронного сертификата или бумажного документа. Сертификат выдаётся только удостоверяющим центром и содержит информацию, которая используется для проверки подписи владельца и шифрования данных.

Открытый ключ можно использовать для работы с партнёрами, в отличие от закрытого, который хранится в защищённом месте. Контрагенты могут использовать открытый ключ владельца для шифрования данных, которые ему посылают. Это означает, что после отправки этих данных, получить доступ к ним сможет только владелец закрытой части ключа.

Сертификат содержит в себе следующие данные:

• срок действия сертификата;
• реквизиты удостоверяющего центра;
• ФИО владельца сертификата;
• название криптографического алгоритма;

Электронный сертификат виден на обычных носителях в виде файла с расширением .cer, а на защищённых картах Рутокен, eToken и JaCarta он скрыт. Чтобы увидеть скрытый сертификат, его необходимо экспортировать.

Инструкция как экспортировать открытый ключ

Экспортировать открытый ключ электронной подписи можно через свойства обозревателя либо из криптопровайдера КриптоПро CSP. При этом носитель с ключом должен быть подключён к компьютеру.

Экспорт открытого ключа через свойства обозревателя

2. Перейдите на вкладку «Содержание» и нажмите на кнопку «Сертификаты».

3. В списке выберите нужный сертификат, щёлкнув по его названию, и нажмите кнопку «Экспорт».

4.В окне «Мастер экспорта сертификатов» нажмите кнопку «Далее», затем «Нет, не экспортировать закрытый ключ» и снова «Далее».

5. В окне «Формат экспортируемого файла» выберите «Файлы в DER-кодировке X.509 (.CER)» и нажмите кнопку «Далее».

Экспорт открытого ключа из КриптоПро CSP

2. Перейдите на вкладку «Сервис» и нажмите кнопку «Просмотреть сертификаты в контейнере».

4. В окне «Сертификат для просмотра» нажмите кнопку «Свойства».

5. Перейдите на вкладку «Состав» и нажмите кнопку «Копировать в файл».

6. В окне «Мастер экспорта сертификатов» нажмите кнопку «Далее», затем «Нет, не экспортировать закрытый ключ» и снова «Далее».

7. В окне «Формат экспортируемого файла» выберите «Файлы в DER-кодировке X.509 (.CER)» и нажмите кнопку «Далее».

Что такое закрытый ключ ЭЦП

Закрытый ключ представлен в виде уникального набора символов, которые используются криптографическим алгоритмом для создания защищённой части электронной подписи.

Владелец электронной подписи использует именно закрытую часть для подписания электронных документов. Любой, кто получает доступ к закрытому ключу электронной подписи, может им воспользоваться. Поэтому его хранят на защищённых носителях: смарт-карте, токене, USB-носителе или дискете.

Хранить закрытый ключ можно на компьютере, однако это небезопасно — воспользоваться им сможет любой, кто имеет доступ к компьютеру. Самым защищённым носителем считается смарт-карта, так как на ней используется двухфакторная аутентификация.

Как и в случае с сертификатом, закрытый ключ может быть как скрыт так и виден, в зависимости от носителя. Он представлен в виде папки, которая содержит несколько файлов с расширением .key, поэтому закрытый ключ также называют контейнером. Скрытый контейнер с закрытым ключом нужно экспортировать, чтобы получить к нему прямой доступ.

Инструкция как экспортировать закрытый ключ

Выполнять экспорт закрытого ключа электронной подписи можно из криптопровайдера КриптоПро CSP.

• Перейдите на вкладку «Сервис» и нажмите на кнопку «Скопировать контейнер».
• Если вы копируете закрытый ключ с защищённого носителя, введите pin-код.
• Введите название копии закрытого ключа и нажмите «Готово».
• В окне «Выбор ключевого носителя» выберите носитель, на который будет произведено копирование контейнера с закрытым ключом.
• Установите пароль на контейнер. Несмотря на то что этот шаг необязательный, установка пароля обеспечит дополнительную защиту.

Открытый и закрытый ключи квалифицированной электронной подписи выполняют разные функции, но для работы нужны обе части. В некоторых случаях владельцу ЭЦП нужно сделать экспорт на другой носитель, воспользоваться он может как средствами Windows, так и криптопровайдером КриптоПро CSP.

Электронную цифровую подпись традиционно записывают на токен в виде USB-карты, что позволяет использовать ее на разных компьютерах и не зависеть от одного рабочего места. Однако необходимость скопировать ключи и сертификаты может появиться в следующих случаях:

• желание скопировать информацию для защиты данных и предотвращения потери сведений по причине выхода из строя токена;
• необходимость работы одновременно на нескольких компьютерах;
• использование облачного сервера, где доступ к ЭЦП получит несколько пользователей;
• необходимость переустановки операционной системы, где на жестком диске есть цифровая подпись.

Способы копирования ЭЦП

Сегодня доступно копирование цифровой электронной подписи следующими способами:

• с помощью стандартных инструментов OS Windows (здесь экспорт идет из реестра операционной системы);
• с использованием возможностей КриптоПро CSP;
• с помощью массового копирования.

Как выполнить копирование ЭЦП средствами Windows

Это самый оперативный и простой вариант переноса данных, который сработает только в отношении ключей, находящихся в реестре операционной системы. Также понадобится установленная программа КриптоПро в версии не ниже 3.0. Для выполнения операции выполните следующие действия:

Теперь можно использовать электронную подпись без носителя ключа.

Как экспортировать ЭЦП с помощью КриптоПро CSP

Утилита позволяет записать контейнер на другой ПК или флешку. Сделать это можно следующим образом:

Возможность копирования контейнера доступна только при наличии активного параметра «Экспортируемый», который должен быть выбран ещё на стадии генерации ЭЦП. В противном случае система выдаст только ошибку.

Массовое копирование ключей

Способ позволяет за один раз перенести на другой компьютер несколько цифровых подписей одновременно. Для этого на компьютере создайте новую ветку и скопируйте путь с основного рабочего ПК. Сам процесс копирования идёт следующим образом:

Если не получилось скопировать

Процесс переноса электронной подписи с компьютера на флешку любым из предложенных способов обычно проходит без ошибок. Однако в некоторых случаях сохранить ЭЦП не удаётся — возникает «Ошибка копирования контейнера».

Если появилась ошибка, то владельцу подписи нужно обратиться в удостоверяющий центр, который выдал данную электронную подпись. Невозможность копирования контейнера свидетельствует о том, что ключ защищён и нужно получить его копию.

Где оформить ЭЦП и получить помощь

Если для работы вам необходима цифровая электронная подпись, то обращайтесь в УЦ «Астрал-М». Мы специализируемся на оформлении ЭЦП любого типа, предлагая следующие преимущества:

• оперативное выполнение заказа;
• широкий выбор тарифных планов с возможностью подключения дополнительных опций;
• помощь в подборе оптимального плана с учетом специфики работы заказчика;
• консультации по вопросам подготовки документов.

Для оформления ЭЦП оставьте заявку на сайте, заполнив форму обратной связи, или свяжитесь с нами по телефону. При необходимости возможно открытие подписи в офисе клиента и в ускоренном формате.

Перенос КриптоПро, ключей ЭЦП, сертификатов с одного компьютера на другой

Инструкция по переносу лицензии КриптоПро, закрытых ключей ЭЦП и сертификатов с одного компьютера на другой.

1. Перенос лицензии криптопро.

Серийный номер КриптоПро CSP 3.6 находится в ветке реестра

в значении параметра ProductID (имя раздела 05480A45343B0B0429E4860F13549069 может оказаться другим).

2. Перенос закрытых ключей ЭЦП. (Имеются ввиду ЭЦП хранящиеся в реестре, для ключей хранящихся на флешках, и токенах действие не требуется.)

2.1 Узнать SID текущего пользователя (нужен пользователь у которого ключи).

Способ 1: командой

psexec -i -d -s c:windows
egedit.exe

и нам становятся доступны все разделы. Этот же трюк спасет если система вообще не загружается, нужно скопировать файл C:WindowsSystem32configSOFTWARE и загрузить его как куст реестра, главное, чтобы файл не был поврежден.

2.3. В reg-файле меняем через автозамену SID_текущего_пользователя, на SID пользователя в новой сисмеме.

2.4. Запускаем reg-файл, после этого все готово, но необходимо будет заново установить личные сертификаты для того что бы привязать сертификаты к контейнерам. Если не видно контейнеров, то неправильно указали SID_пользователя, т.к. контейнеры видны только под тем пользователем, под SID’ом которого они находятся.

Если перенести ключи данным способом не получается можно скопировать ЭЦП на флешку (КриптоПро: Перенос ключей ЭЦП с дискет на флешку или в реестр).

3. Перенос сертификатов.

При установке личных сертификатов средствами Windows не выполняется привязка закрытого ключа ЭЦП, и, очевидно, работать ничего не будет.

Способ 2. Установка сертификатов из контейнеров ЭЦП. При установке личного сертификата в КриптоПро версии 3.6 и выше существует возможность скопировать сертификат в контейнер закрытого ключа. Данная процедура позволяет значительно облегчить процесс переноса. Если сертификат установлен в контейнер закрытого ключа, не нужно ни чего экспортировать, достаточно просто перенести контейнеры, а потом зайти в

выбрать нужный контейнер и нажать кнопки «Далее» и «Установить».

Добавить комментарий

Для экспорта закрытого ключа выполните следующие действия:

Откройте Крипто-Про CSP. Перейдите во вкладку «Сервис» и нажмите кнопку «Просмотреть сертификаты в контейнере» (Рис. 1).

Рис. 1. Крипто-Про CSP. Сервис

В открывшемся окне укажите имя ключевого контейнера, нажав «Обзор» (Рис. 2).

Рис. 2. Сертификаты в контейнере закрытого ключа

Выберите ключевой контейнер пользователя, затем нажмите «Ок» (Рис. 3).

Рис. 3. Выбор ключевого контейнера

Нажмите «Далее» (Рис. 4).

Рис. 4. Контейнер закрытого ключа

Далее нажмите кнопку «Свойства» (Рис. 5).

Рис. 5. Сертификат для просмотра

В открывшемся окне перейдите во вкладку «Состав» и нажмите кнопку «Копировать в файл» (Рис. 6).

Рис. 6. Состав сертификата

Откроется мастер экспорта сертификатов. Нажмите «Далее» (Рис. 7).

Рис. 7. Мастер экспорта сертификатов

Далее отметьте «Да, экспортировать закрытый ключ» (1) и нажмите «Далее» (2) (Рис. 8).

Рис. 8. Экспортирование закрытого ключа

Отметьте следующие пункты: «Файл обмена личной информацией – PKCS #12», «Включить по возможности все сертификаты в путь сертификации» и «Экспортировать все расширенные свойства» (1), затем нажмите кнопку «Далее» (2) (Рис. 9).

Рис. 9. Экспортированный сертификат

Укажите пароль и подтверждение пароля (1), затем нажмите кнопку «Далее» (2) (Рис. 10).

Рис. 10. Безопасность

Далее укажите имя файла, используя «Обзор» (1), затем нажмите кнопку «Далее» (2) (Рис. 11).

Рис. 11. Имя экспортируемого файла

Далее нажмите «Готово» (Рис. 12).

Рис. 12. Экспортирование закрытого ключа

Система сообщит о чтении ключевой информации, нажмите кнопку «Ок» (Рис. 13).

Рис. 13. Чтение ключевой информации

Откроется окно с информацией об успешном экспорте. Нажмите «Ок» (Рис. 14).

Рис. 14. Завершение экспорта

Импорт закрытого ключа

Для установки закрытой части ключа откройте файл, сохранённый ранее (Рис. 15).

Рис. 15. Файл, сохранённый ранее

Откроется «Мастер импорта сертификатов», нажмите кнопку «Далее» (Рис. 16).

Рис. 16. Мастер импорта сертификатов

Укажите файл, который нужно импортировать, используя кнопку «Обзор», затем нажмите «Далее» (Рис. 17).

Рис. 17. Импортируемый файл

Далее введите пароль (1), отметьте пункт «Пометить этот ключ как экспортируемый, что позволит сохранять резервную копию ключа и перемещать его.» (2), затем нажмите кнопку «Далее» (Рис. 18).

Рис. 18 Защита с помощью закрытого ключа

Отметьте пункт «Поместить все сертификаты в следующее хранилище» (1), нажмите кнопку «Обзор» (2), в открывшемся окне отметьте «Личное» (3) и нажмите «Ок» (4). В окне мастера настроек нажмите «Далее» (5) (Рис. 19).

Рис. 19. Выбор хранилища сертификата

Нажмите «Готово» (Рис. 20).

Рис. 20. Завершение мастера импорта сертификатов

В открывшемся окне КриптоПро CSP выберите носитель, на который будет импортирован ключ, затем нажмите «Ок» (Рис. 21).

Рис. 21. Выбор носителя

Далее укажите новый пароль и его подтверждение (Рис. 22).

Рис. 22. Указание пароля

Система сообщит о чтении ключевой информации, нажмите кнопку «Ок» (Рис. 23).

Рис. 23. Чтение ключевой информации

Далее введите пароль (Рис. 24).

Рис. 24. Пароль для контейнера

Далее нажмите «Ок» (Рис. 25).

Рис. 25. Чтение ключевой информации

Импорт успешно будет выполнен (Рис. 26).

Рис. 26. Заверщение импорта

Копирование контейнера закрытого ключа в реестр

Рис. 1. Пуск

Перейдите во вкладку «Сервис» (Рис. 2).

Рис. 2. Сервис

Далее в форме «Контейнер закрытого ключа» нажмите кнопку «Скопировать» (Рис. 3).

Рис. 3. Контейнер закрытого ключа

Далее используйте один из способов:

Способ 1. Нажмите кнопку «Обзор» и выберите необходимый для копирования ключевой контейнер и нажмите «Ок» (Рис. 4).

Рис. 4. Выбор ключевого контейнера

Способ 2. Можно найти нужный контейнер по сертификату. Для этого нажмите кнопку «По сертификату», в открывшемся окне выберите сертификат для копирования в реестр и нажмите кнопку «Ок» (Рис. 5).

Рис. 5. Выбор сертификата

Нажмите кнопку «Далее» (Рис. 6).

Рис. 6. Контейнер закрытого ключа

В случае, если при создании ключа не был установлен флаг на разрешение его копирования, система выдаст ошибку. В этом случае обратитесь в Удостоверяющий центр, выдавший данный сертификат ЭП (Рис. 7).

Рис. 7. Ошибка копирования контейнера

Если ошибка не возникла, далее введите имя для создаваемого ключевого контейнера и нажмите кнопку «Готово» (Рис. 8).

Рис. 8. Указание имени создаваемого ключевого контейнера

Откроется окно, в котором нужно выбрать носитель для скопированного контейнера. Чтобы подписывать без USB-носителя, выберите «Реестр» и нажмите кнопку «Ок» (Рис. 9).

Рис. 9. Выбор устройства

Откроется окно для подтверждения, нажмите кнопку «Ок» (Рис. 10).

Рис. 10. Чтение ключевой информации

Далее откроется окно установки пароля на доступ к закрытому ключу. При необходимости введите пароль, подтвердите его, и нажмите кнопку «Ок» (Рис. 11-12).

Рис. 11. Пароль для создаваемого контейнера

В окне записи дважды нажмите «Ок» (Рис. 12).

Рис. 12. Запись информации

СКЗИ «КриптоПро CSP» скопирует контейнер закрытого ключа и по завершению отобразит соответствующее сообщение (Рис. 13).

Рис. 13. Завершение копирования

Далее нужно выполнить привязку личного сертификата к закрытому контейнеру, который находится в реестре. Для этого извлеките из ПК USB-накопитель и откройте «КриптоПро CSP» (Рис. 14).

Рис. 14. Меню «Пуск»

В открывшейся программе перейдите во вкладку «Сервис», затем нажмите «Просмотреть сертификаты в контейнере» (Рис. 15).

Рис. 15. Вкладка «Сервис»

В открывшемся окне нажмите кнопку «Обзор» (Рис. 16).

Рис. 16. Окно «Сертификаты в контейнере закрытого ключа»

Выберите ключевой контейнер из списка и нажмите кнопку «Ок» (Рис. 17).

Рис. 17. Выбор ключевого контейнера

В окне «Сертификаты в контейнере закрытого ключа» нажмите кнопку «Далее» (Рис. 18).

Рис. 18. Окно «Сертификаты в контейнере закрытого ключа»

Затем нажмите кнопку «Установить» (Рис. 19).

Рис. 19. Просмотр сертификата

Рис. 20. Предупреждающее окно

Сертификат установится в хранилище «Личные» текущего пользователя.

Откроется окно, в котором нужно выбрать USB-накопитель для скопированного контейнера, затем нажмите кнопку «Ок» (Рис. 9).

Рис. 9. Выбор USB-накопителя

По завершению копирования на USB-накопителе появится папка с файлами .key (Рис. 14, 15).

Рис. 14. Созданная папка на USB-накопителе

Рис. 15. Файлы .key

Далее нужно выполнить привязку личного сертификата к закрытому контейнеру. Для этого извлеките из ПК USB-накопитель, из которого скопировали ЭП, и откройте «КриптоПро CSP» (Рис. 16).

Рис. 16. Меню «Пуск»

В открывшейся программе перейдите во вкладку «Сервис», затем нажмите «Просмотреть сертификаты в контейнере» (Рис. 17).

Рис. 17. Вкладка «Сервис»

В открывшемся окне нажмите кнопку «Обзор» (Рис. 18).

Рис. 18. Окно «Сертификаты в контейнере закрытого ключа»

Выберите ключевой контейнер из списка и нажмите кнопку «Ок» (Рис. 19).

Рис. 19. Выбор ключевого контейнера

В окне «Сертификаты в контейнере закрытого ключа» нажмите кнопку «Далее» (Рис. 20).

Рис. 20. Окно «Сертификаты в контейнере закрытого ключа»

Затем нажмите кнопку «Установить» (Рис. 21).

Рис. 21. Просмотр сертификата

Рис. 22. Предупреждающее окно

КриптоПро один из наиболее широко используемых криптопровайдеров на территории Российской Федерации, он широко используется в системах электронного документооборота, сдачи отчетности и взаимодействия с государственными органами, поэтому встретить его можно практически в любой организации. По этой причине у системных администраторов часто встает вопрос его переноса на другой ПК. А так как криптография является для многих сложной и непонятной областью, то эта простая задача может вызвать некоторые затруднения.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

В повседневной деятельности широко распространено понятие «сертификат», им оперируют все, от сотрудников удостоверяющих центров, то бухгалтеров, работающих с ЭЦП. Часто можно услышать что-то подобное: «нам купили в бухгалтерию новый компьютер, нужно перенести сертификаты». Но если подходить с точки зрения криптографии, то слово «сертификат» в данном случае употребляется неправильно. Вся современная криптография строится вокруг инфраструктуры открытых ключей (PKI), которая подразумевает наличие у каждого участника ключевой пары: открытого и закрытого ключа.

Закрытый ключ является секретным, с его помощью мы можем подписывать документы, шифровать информацию и т.д. и т.п. Закрытый ключ Усиленной квалифицированной электронной подписи (УКЭП) равнозначен нотариально заверенной подписи и его попадание в чужие руки может привести к самым тяжелым последствиям.

Открытый ключ, дополненный некоторыми дополнительными данными, выпускается в форме сертификата и является публично доступным, с его помощью можно проверить действительность цифровой подписи, выполненной закрытым ключом или убедиться в подлинности участника обмена электронными документами.

Поэтому, когда мы говорим о переносе «сертификатов», то подразумеваем необходимость перенести ключевую пару: закрытый ключ и сертификат, перенос одних только сертификатов не принесет успеха, криптография на новом узле работать не будет.

Выяснив этот момент, перейдем к хранилищам закрытых ключей. КриптоПро предполагает в таком качестве токены, флеш-накопители и системный реестр. Токены являются наиболее защищенными устройствами, извлечь закрытый ключ из них невозможно, и вы можете не опасаться несанкционированного копирования (для этого закрытый ключ должен быть помечен как неэкспортируемый). Флеш-накопители представляют некий компромисс между безопасностью и мобильностью, а реестр удобен в тех случаях, когда на одном ПК нужно одновременно работать с большим количеством ключей. И именно с ним связаны определенные сложности при переносе на другой узел.

Экспорт ключей и сертификатов

Для того, чтобы правильно экспортировать закрытые ключи, нам нужно выяснить идентификатор безопасности (SID) текущего пользователя (который работает с ЭЦП), это можно сделать командной:

Затем откроем редактор реестра и перейдем в ветку для 32-битных систем:

для 64-битных систем:

Найдем и раскроем раздел с SID текущего пользователя и экспортируем оттуда ветку Keys.

Обратите внимание, что данная ветка содержит закрытые ключи, поэтому следует принять все меры безопасности и не передавать файл экспорта по открытым каналам связи и вообще исключить к нему несанкционированный доступ посторонних лиц.

После чего скопируем все сертификаты, расположенные по пути

Это открытые ключи, никакой секретности они не представляют, поэтому просто копируем их любым доступным способом.

Импорт ключей и сертификатов

Прежде всего установим на новый узел КриптоПро, обратите внимание, что переносить ключи и сертификаты следует между одинаковыми версиями. В противном случае либо обновите версию КриптоПро на старой системе, либо установите старую версию на новой и обновите ее уже после переноса ключевых пар.

Затем снова узнаем SID пользователя, который будет работать с ЭЦП, если это текущий пользователь, то снова выполните:

В противном случае:

где Name — имя пользователя.

После чего откройте на редактирование файл реестра с экспортированными закрытыми ключами и замените в нем все вхождения старого SID на SID нового пользователя.

Сохраните файл и импортируйте его в реестр. Закрытые ключи перенесены, файл переноса в целях безопасности следует удалить.

Следующим шагом скопируйте сохраненные сертификаты в

После чего можно устанавливать и настраивать приложения работающие с криптографией, все будет работать.

Как быть если доступ к старой системе невозможен?

Теория — это хорошо, но практика может подкинуть самые неожиданные ситуации. Как быть, если доступ к старой системе невозможен? Скажем вышла из строя материнская плата или серьезно повреждена операционная система?

Все что нам нужно в таком случае — это доступ к файловой системе старой системы. Вы можете как напрямую подключить жесткий диск к новой системе, так и загрузиться при помощи консоли восстановления или любого более продвинутого инструмента, скажем MSDaRT.

С копированием сертификатов проблемы возникнуть не должно, их хранилище простая папка на диске, а вот с хранилищем закрытых ключей в реестре немного сложнее. Но не будем забывать, что системный реестр тоже хранится в файлах на диске. Вам следует любым доступным образом скопировать файл SOFTWARE из C:WindowsSystem32config

Затем на целевой системе откройте редактор реестра, перейдите в раздел HKEY_LOCAL_MACHINE и через Файл — Загрузить куст подключите скопированный из старой системы раздел реестра. Дайте ему осмысленное имя, скажем OLD_SOFTWARE.

После чего пройдите в раздел с закрытыми ключами (с учетом новой точки монтирования) и выполните экспорт ветки Keys.

Дальнейшие действия ничем не отличаются от описанных нами в разделе Импорт ключей и сертификатов.

Важное замечание

Для корректного экспорта ключа в pfx файл на рабочем месте должен быть установлен только ViPNet CSP.

Для корректного импорта ключа из pfx файла на рабочем месте должен быть установлен только КриптоПро CSP.

Если перенос ключа выполняется на одном и том же компьютере, то вначале вам необходимо создать pfx файл ключа согласно приложенной инструкции, после этого удалить ViPNet CSP, перезагрузить ПК, установить КриптоПро CSP и выполнить импорт ключа.

1. В окне «ViPNet CSP» в разделе «Контейнеры ключей» выберите контейнер ключей, содержащий сертификат или сертификат и закрытый ключ, которые вы хотите экспортировать. Нажмите кнопку «Свойства» либо дважды щелкните нужный контейнер ключей.

2. В окне «Свойства контейнера ключей» нажмите кнопку «Открыть».

3. В окне «Сертификат» перейдите на вкладку «Состав» и нажмите кнопку «Копировать в файл».

4. На странице приветствия мастера экспорта сертификатов нажмите кнопку «Далее».

5. На странице «Экспортирование закрытого ключа» укажите, что хотите вместе с сертификатом экспортировать закрытый ключ.

6. На странице «Формат экспортируемого файла» выберите формат PKCS #12 (.PFX).

7. На странице «Пароль» задайте и подтвердите пароль доступа к экспортируемому закрытому ключу.

8. На странице «Имя файла экспорта» укажите папку, в которой вы хотите создать файл с экспортируемыми ключами, и задайте имя этого файла.

9. На странице завершения работы мастера экспорта сертификатов нажмите кнопку «Готово».

В результате сертификат с закрытым ключом будут сохранены в файл.

Для установки pfx файла необходимо использовать «Инструменты КриптоПро».

1. Запустите «Инструменты КриптоПро» (Пуск – Все программы – КриптоПро — Инструменты КриптоПро).

2. В разделе «Сертификаты» включите расширенные настройки кнопкой «Показать расширенные».

3. Импортируйте ключ нажав на кнопку «Импортировать ключи».

4. В открывшемся окне укажите путь к pfx файлу, а затем пароль к нему.

5. В предложенном списке выберите носитель, на котором будет сохранен контейнер закрытого ключа.

В случае если контейнер в «ViPNet CSP» был создан на Рутокен ЭЦП никаких действий для конвертирования не требуется. Данные контейнеры сразу корректно отображаются в «КриптоПро CSP 5.0».

Как правило, после выпуска сертификата открытого ключа, он помещается в ключевой контейнер, и его можно извлечь из контейнера средствами КриптоПро CSP. Для этого необходимо выполнить следующие действия:
1. Перейти в Панель управления (ПУСК – Панель управления) найдите и запустить КриптоПро CSP.
2. На вкладке сервис выбрать «Просмотреть сертификат в контейнере».
3. Выбрать нужный контейнер и нажать «Далее». Если в контейнере присутствует сертификат, то отобразится информация о нём.
4. Нажать «Свойства». Откроется сам сертификат.
5. Перейти на вкладку «Состав». Нажать кнопку «Копировать в файл».
6. Выбрать варианты: «Нет, не экспортировать закрытый ключ» и «Файл в DER-кодировке X509» (.CER)
7. Указать путь для сохранения файла сертификата.

***При выполнении пункта 3 может появиться информационное сообщение: «В контейнере закрытого ключа не найдены сертификаты». В этом случае, сертификат, скорее всего, был передан пользователю в виде файла.***

***Если при использовании версии КриптоПро CSP 2.0 появляется сообщение: «В контейнере не найдены секретные ключи», то, скорее всего этот контейнер был сгенерирован в КриптоПро CSP 3.0 или выше.***

2.

salikoff

Сейчас в теме

1С должна видеть ваши открытые ключи, которые отображаются в оснастке certmgr. КриптоПро же показывает вам контейнеры закрытого ключа. Это разные вещи. Чтобы понять, где у вас проблема, нужно подробное описание ваших действий по переносу.

3.

AleksandrLeshkov

Сейчас в теме

(2)С переносом разобрался, спасибо, просто не установил галочку Экспортировать дополнительные свойства (непонятно почему КриптоПро в инструкции не указала об этом). Но теперь новая проблема — 1С не видит криптопро

4.

ishelper

Сейчас в теме

5.

AleksandrLeshkov

Сейчас в теме

(4)VipNet уже с компьютера выпилен, вот и не понимаю в чём дело

8.

serg33rus

Сейчас в теме

(5) Переустановить КрптоПро ПОСЛЕ того как выпилили випнет. 1С в какой-то момент времени клинит если два криптопровайдера. И если сначала поставили крипто, а потом снесли вип, то тоже будет клинить.

9.

AleksandrLeshkov

Сейчас в теме

Спасибо! Сейчас попробую

6.

muskul

Сейчас в теме

нахрен весь этот геморой если подпись випнета действительно где то еще пару месяцев. перевыпустите как положено.
проверте версию крипто про. 4,5 в подписе поменять тип программы

7.

AleksandrLeshkov

Сейчас в теме

У некоторых клиентов до 2023 года, выпустили в декабре. А вообще да, лучше бы перешли сразу уже

10.

GSokolov

Сейчас в теме

11.

AleksandrLeshkov

Сейчас в теме

Вообще это специально умышленно сделан ляп со стороны у Крипто-Про. Чтобы не перебегали к конкурентам. 🙂

В документации на VipNet русским по-белому написано, что VipNet поддерживает:
«файл формата PKCS#12. Этот формат предназначен для передачи зашифрованных на пароле закрытых ключей и сертификатов (файлы с расширениями .pfx, .p12). Файлы формата PKCS#12 формируются в соответствии с рекомендациями Технического комитета по стандартизации (ТК 26) «Криптографическая защита информации».
Примечание. Файлы формата PKCS#12, не соответствующие рекомендациям ТК 26 (например, файлы, созданные в ПО компании «КриптоПро»), не поддерживаются.»

(3)  Обман, сирьожа.. хм.. никакого обмана.
VipNet CDP — БЕСПЛАТНЫЙ продукт, и, соответственно, ничего тебе лично не должен. В том числе и конвертировать кривые (умышленно сделанные кривыми) pfx.

А вот Крипто-Про — ПЛАТНЫЙ продукт. И для заманивания клиентов они сделали возможность конвертировать из Vipnet. Который (ViNet), кстати,  тоже умышленно делает pfx слегка кривыми.

Логично же, что платный продукт должен чем-то заманивать клиентов. В отличие от бесплатного, которому доп. функционал и на.. не тарахтел.

вот такое вот.. гггг..