Как скопировать рутокен на рутокен

Как извлечь сертификат из Rutoken?

Нажимаем кнопку «Обзор» и выбираем путь куда будет сохранен экспортированный файл сертификата, после чего нажимаем кнопку «Экспортировать».

Как скопировать закрытый ключ с Rutoken?

Перейдите на вкладку Сервис и кликнуть по кнопке Скопировать. В окне Копирование контейнера закрытого ключа нажать на кнопку Обзор. Появится выбор контейнера, который был скопирован в корень флэш-накопителя. Необходимо выбрать нужный контейнер и нажать кнопку ОК.

Как посмотреть сертификат на Рутокене?

Запустите Панель управления Рутокен, перейдите на вкладку Сертификаты и щелкните по строке с необходимым сертификатом. Если сертификат действительный, то в верхней части окна отобразится зеленая галочка и статус «Сертификат действителен». Срок действия сертификата указан в таблице сертификатов в столбце Истекает.

Как выгрузить сертификат электронной подписи?

Пуск -> Панель управления -> Свойства обозревателя (или запустите браузер Internet Explorer -> Сервис -> Свойства обозревателя) Page 2 Выберите вкладку Содержание, кнопка «Сертификаты», вкладка «Личные». В списке сертификатов найдите нужный и отметьте его. Нажмите кнопку «Экспорт».

Как скачать сертификат с Рутокена на компьютер?

Кнопка «Просмотреть сертификаты в контейнере»:

Выбрать «Пуск» → «Панель управления» → «КриптоПро CSP» → вкладка «Сервис» → «Просмотреть сертификаты в контейнере».
В открывшемся окне нажать «Обзор», выбрать контейнер и нажать «ОК».
В открывшемся окне нажать «Далее».
Затем «Установить» и подтвердить действие.

Как перенести сертификат с флешки на компьютер?

Откройте приложение «Инструменты КриптоПро» и выберите вкладку «Контейнеры». Шаг 2. Выберите носитель, на который записан сертификат ЭЦП — то есть, USB-флешку. Нажмите на кнопку «Скопировать контейнер».

Где находится закрытый ключ сертификата?

Закрытый ключ хранится на ключевом носителе (токене) и защищен паролем, который известен только владельцу. Очень важно при получении токена в удостоверяющем центре поменять заводской пароль на собственный и бережно хранить токен — в этом случае никто не сможет подделать подпись.

Как скопировать сертификат ключа?

Как скопировать электронную подпись

В программе «КриптоПро» перейдите на вкладку «Сервис» и нажмите на клавишу «Скопировать». Затем нажмите на кнопку «Обзор» и выберите ключевой контейнер, который хотите скопировать. Кликните «Далее» и укажите новое произвольное имя копии контейнера.

Как скопировать сертификат с закрытым ключом на флешку?

Выберите «Пуск» > «Панель управления» > «КриптоПро CSP». Перейдите на вкладку «Сервис» и кликните по кнопке «Скопировать». В окне «Копирование контейнера закрытого ключа» нажмите на кнопку «Обзор». Выберите контейнер, который необходимо скопировать, и кликните по кнопке «Ок», затем «Далее».

Как скопировать с Рутокен на компьютер?

Чтобы скопировать сертификат:

Выберите «Пуск» → «Панель управления» →«КриптоПро CSP».
В окне «Копирование контейнера закрытого ключа» нажмите на кнопку «Обзор».
Выберите контейнер, который необходимо скопировать, и нажмите на кнопку «ОК».
Нажмите «Далее».
Придумайте и укажите имя для нового контейнера.
Нажмите «Готово».

Как посмотреть где находится сертификат?

В меню Пуск выберите пункт выполнить, а затем введите certlm. msc. Откроется средство диспетчера сертификатов для локального устройства. Для просмотра сертификатов в разделе Сертификаты — локальный компьютер в левой области разверните каталог для типа сертификата, который нужно просмотреть.

Как найти сертификат?

Официальный реестр выданных сертификатов находится на сайте Росаккредитации. Найти сертификат или декларацию о соответствии по данным ссылкам Вы можете без проблем. Для этого необходимо войти в данные реестры и через систему поиска найти выданный документ по одному из реквизитов (номеру, названию и т. п.).

Где взять файл сертификата?

Поиск сертификата через Internet Explorer:

Открываем браузер и нажимаем: Настройки → Свойства браузера → Содержание → Сертификаты
Появится окно с сертификатами, установленными на компьютер. Можно будет просмотреть информацию о них.

Как получить файл сертификата?

Как выгрузить сертификат электронной подписи в отдельный файл с расширением *. cer?:

Нажмите «Пуск», затем «Панель управления».
Откройте программу «КриптоПро».
Откройте раздел Сервис.
Нажмите «Просмотреть сертификаты в контейнере», потом «Обзор».
Выберите нужный контейнер и нажмите ОК.

Как скачать сертификат электронной подписи с флешки?

На компьютере откройте меню «Пуск», выберите выберите пункт «Панель управления» и нажмите на иконку «КриптоПро CSP». Во вкладке «Сервис» нажмите на кнопку «Скопировать». В открывшемся окне нажмите на кнопку «Обзор» и выберите контейнер закрытого ключа ЭП, который хотите скопировать на флешку.

Как скопировать ЭЦП Фнс с Рутокена на компьютер?

Копирование на профиле Диагностики:

Зайдите на профиль Диагностики «Копирования» по ссылке.
Вставьте носитель, на который необходимо скопировать сертификат.
На нужном сертификате нажмите на кнопку «Скопировать».
Выберите носитель, куда необходимо скопировать сертификат и нажмите «Далее».

Как перенести сертификат с Рутокена в реестр?

Чтобы скопировать сертификат:

Выберите «Пуск» → «Панель управления» →«КриптоПро CSP».
В окне «Копирование контейнера закрытого ключа» нажмите на кнопку «Обзор».
Выберите контейнер, который необходимо скопировать, и нажмите на кнопку «ОК».
Нажмите «Далее».
Придумайте и укажите имя для нового контейнера.
Нажмите «Готово».

Как скопировать сертификат с Рутокена КриптоПро?

В программе «КриптоПро» перейдите на вкладку «Сервис» и нажмите «Скопировать». Нажмите «Обзор» и выберите ключевой контейнер (сертификат) для копирования. Нажмите «Далее» и укажите новое произвольное имя для копии контейнера.

Извлечение ключа из токена с неизвлекаемым ключом

Довольно часто при оформлении сертификатов ключей электронной подписи можно наблюдать навязчивый пиар токенов с неизвлекаемым ключом. Продавцы из удостоверяющих центров уверяют, что, купив у них СКЗИ КриптоПРО CSP и токен с неизвлекаемым ключом (Рутокен ЭЦП или JaCarta ГОСТ), мы получим сертифицированные СКЗИ, обеспечивающие 100%-ную защиту от кражи ключей с токена. Но так ли это на самом деле? Для ответа на этот вопрос проведем простой эксперимент…

Конфигурация тестового стенда

ОС MS Windows 7 SP1
СКЗИ КриптоПРО CSP 3.9.8423
Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2016, WHQL-certified
Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.

Рутокен ЭЦП. Версия 19.02.14.00 (02)
JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1

Методика тестирования

генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом;
с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами) и передаются уполномоченным пользователям;
после изготовления необходимого количества рабочих ключевых документовисходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.

Проведение тестирования

Для этого с помощью КриптоАРМ создадим в реестре контейнер закрытого ключа test-key-reestr, содержащий самоподписанный сертификат (CN=test)

С помощью штатных средств СКЗИ КриптоПРО CSP (Пуск—>Панель управления—>КриптоПро CSP) скопируем ключевой контейнер test-key-reestr на ключевые носители Рутокен ЭЦП и JaCarta ГОСТ. Ключевым контейнерам на ключевых носителях присвоим имена test-key-rutoken и test-key-jacarta соответственно.
Описание приведено применительно к JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны):

Таким образом получили рабочие ключевые документы на JaCarta ГОСТ (контейнер test-key-jacarta) и Рутокен ЭЦП (контейнер test-key-rutoken).
Попробуем скопировать ключевые контейнеры test-key-rutoken и test-key-jacarta обратно в реестр.
Описание приведено для JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны).

Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.

Матчасть

То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется функциональным ключевым носителем (ФКН) (доп. инфо).

Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.

Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).

Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.

По-новому взглянем на наш тестовый стенд

В качестве одного из ключевых носителей использовался Рутокен ЭЦП. Через «Панель управления Рутокен» о нем можно получить следующую информацию:

В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.

Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.

Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.

Как сделать, чтобы все было хорошо?

Чтобы с помощью продуктов ООО “КРИПТО-ПРО” реализовать технологию ФКН, необходимо:

1. Купить специальную версию библиотеки СКЗИ:
— для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP.
— для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.

2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.

Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?

Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть КриптоАРМ Стандарт 5 Плюс. Он это умеет. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.

Rutoken и Rutoken ЭЦП

Инструкция по копированию сертификата на разные носители размещена здесь.

Какой стандартный PIN-код?

Стандартный пароль пользователя: 12345678.

Стандартный пароль администратора: 87654321.

Как заменить стандартный PIN-код?

открыть «панель управления Рутокен»;
на вкладке «Администрирование» в поле «Считыватели Рутокен» выбрать необходимый токен и нажать кнопку «Login»;
ввести текущий PIN-код для токена и нажать «Ок»;
в поле «Управление PIN-кодами» нажать кнопку «Изменить»;
ввести текущий PIN-код для токена и задать новый PIN-код;
нажать «Ок» для сохранения нового PIN-кода.

Где найти драйверы для данного токена?

Для работы с «Рутокен» используется типовая утилита администрирования «Рутокена». Загрузить установочный файл можно с этой страницы.

Как приобрести данный токен?

Для приобретения «Рутокена» необходимо оформить заказ в интернет-магазине.

Что делать, если токен заблокирован?

Разблокировать PIN-код пользователя можно в «панели управления Рутокен». Для выполнения этой операции необходимо знать PIN-код администратора.

Если заблокирован PIN-код администратора, необходимо инициализировать (отформатировать) «Рутокен». Для этого нужно на вкладке «Администрирование» в «панели управления Рутокен» нажать кнопку «Форматировать…».

Как скопировать контейнер с сертификатом на другой носитель

Подробная инструкция о том, как скопировать сертификат на другой носитель: копирование средствами Windows, копирование на профиле диагностики, массовое копирование, копирование с помощью КриптоПро CSP, экспорт PFX-файла и его установка, а также копирование контейнера из реестра другого пользователя.

Копирование средствами Windows
Копирование на профиле Диагностики
Массовое копирование
Копирование с помощью КриптоПро CSP
Экспорт PFX-файла и его установка
Копирование контейнера из реестра другого пользователя

Копирование средствами Windows

Если для работы используется дискета или flash-накопитель, скопировать контейнер с сертификатом можно средствами Windows (этот способ подходит для версий КриптоПро CSP не ниже 3.0). Папку с закрытым ключом (и, если есть, файл сертификата — открытый ключ) поместите в корень дискеты / flash-накопителя (если поместить не в корень, то работа с сертификатом будет невозможна). Название папки при копировании рекомендуется не изменять.

В папке с закрытым ключом должно быть 6 файлов с расширением.key. Как правило, в закрытом ключе присутствует открытый ключ (файл header.key в этом случае будет весить больше 1 Кб). В этом случае копировать открытый ключ необязательно. Пример закрытого ключа — папки с шестью файлами и открытого ключа — файла с расширением.cer.

Копирование на профиле Диагностики

1. Зайдите на профиль Диагностики «Копирования» по ссылке.

2. Вставьте носитель, на который необходимо скопировать сертификат.

3. На нужном сертификате нажмите на кнопку «Скопировать».

Если на контейнер был задан пароль — появится сообщение «Введите пароль для устройства с которого будет скопирован сертификат».

Введите пароль и нажмите на кнопку «Далее».

4. Выберите носитель, куда необходимо скопировать сертификат и нажмите «Далее».

5. Задайте имя новому контейнеру и нажмите на кнопку «Далее».

6. Должно появиться сообщение об успешном копировании сертификата.

Массовое копирование

Скачайте и запустите утилиту. Дождитесь загрузки всего списка контейнеров/сертификатов и отметьте нужные галочками.
Выберите меню « Массовые действия » и нажмите на кнопку « Копирование контейнеров ».

3. Выберите носитель для хранения копии контейнера и нажмите « ОК » . При копировании в реестр можно поставить галочку на пункте «Копировать к ключевой контейнер компьютера», тогда после копирования контейнер будет доступен всем пользователям данного компьютера.

4. После копирования нажмите внизу слева кнопку « Обновить ».
Если хотите работать со скопированными контейнерами — необходимо установить сертификаты.

Копирование с помощью КриптоПро CSP

Выберите «Пуск» > «Панель управления» > «КриптоПро CSP». Перейдите на вкладку « Сервис » и кликните по кнопке « Скопировать».

В окне « Копирование контейнера закрытого ключа » нажмите на кнопку « Обзор » .

Выберите контейнер, который необходимо скопировать, и кликните по кнопке «Ок», затем «Далее». Если вы копируете с рутокена, то появится окно ввода, в котором следует указать pin-код. Если вы не меняли pin-код на носителе, стандартный pin-код — 12345678.

Придумайте и укажите вручную имя для нового контейнера. В названии контейнера допускается русская раскладка и пробелы. Затем кликните « Готово » .

В окне « Вставьте чистый ключевой носитель » выберите носитель, на который будет помещен новый контейнер.

На новый контейнер будет предложено установить пароль. Рекомендуем установить такой пароль, чтобы вам было легко его запомнить, но посторонние не могли его угадать или подобрать. Если вы не хотите устанавливать пароль, можно оставить поле пустым и нажать «ОК».

Не храните пароль/pin-код в местах, к которым имеют доступ посторонние. В случае утери пароля/pin-кода использование контейнера станет невозможным.

Если вы копируете контейнер на смарт-карту ruToken, сообщение будет звучать иначе. В окне ввода укажите pin-код. Если вы не меняли pin-код на носителе, стандартный pin-код — 12345678.

После копирования система вернется на вкладку «Сервис» КриптоПро CSP. Копирование завершено. Если вы планируете использовать для работы в Экстерне новый ключевой контейнер, установите его через Крипто Про.

При копировании может возникнуть «Ошибка копирования сертификата», если у вас нет лицензии на КриптоПроCSP или контейнер получил признак «неэкспортируемый». Справиться с этим поможет инструкция.

Экспорт PFX-файла и его установка

Экспорт сертификата с закрытым ключом

1. Откройте оснастку работы с сертификатами:

— Пуск → Все программы → КриптоПро → Сертификаты
либо
— Internet Explorer → Сервис → Свойства обозревателя → вкладка Содержание → Сертификаты.

2. Откройте сертификат, который нужно скопировать. На вкладке «Состав» нажмите «Копировать в файл».

3. В «Мастере экспорта сертификтов» нажмите «Далее» и выберите пункт «Да, экспортировать закрытый ключ». Нажмите «Далее».

4. На следующем этапе поставьте галочки у пунктов «Включить по возможности все сертификаты в путь сертификации» и «Экспортировать все расширенные свойства», остальные галочки необходимо убрать. Нажмите «Далее».

5. Обязательно задайте пароль для экспортируемого файла. Данный пароль не рекомендуется сообщать по электронной почте. Нажмите «Далее».

6. Укажите имя файла, выберите путь сохранения и нажмите «Далее», затем нажмите «Готово».

7. Экспортируйте открытый ключ сертификата (см. Экспорт открытого ключа).

8. Заархивируйте полученные файлы форматов .pfx и .cer.

Установка сертификата с закрытым ключом

1. Откройте .pfx файл. Сразу запустится «Мастер импорта сертификатов».

2. Укажите хранилище «Текущий пользователь» и нажмите «Далее», затем снова «Далее».

3. Введите пароль, который указывали при экспорте и поставьте галочку на пункте «Пометить этот ключ как экспортируемый…», иначе наче контейнер нельзя будет скопировать в дальнейшем. Нажмите «Далее».

4. Выберите пункт «Поместить все сертификаты в следующее хранилище», нажмите на кнопку «Обзор», выберите «Личное» и нажмите на кнопку «ОК». Нажмите «Далее», а затем «Готово».

5. В окне КриптоПро выберите носитель, на который хотите сохранить контейнер. При необходимости задайте пароль.

6. Для корректной работы сертификата со встроенной лицензией переустановите сертификат в контейнер (см. Как установить личный сертификат в КриптоПро).

Копирование контейнера из реестра другого пользователя

1. Необходимо найти ветку реестра с нужным контейнером. Ветки реестра, в которых может быть контейнер закрытого ключа:

для 32-битной ОС: HKEY_LOCAL_MACHINE\SOFTWARE\Crypto Pro\Settings\Users\*идентификатор пользователя*\Keys\*Название контейнера*;
для 64-битной ОС: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Crypto Pro\Settings\USERS\*идентификатор пользователя*\Keys\*Название контейнера*.

2. После того, как нашли нужную ветку, нажмите правой кнопкой мыши на ветку с контейнером и выберите «Экспортировать».

3. Введите имя файла и нажмите на кнопку «Сохранить».

4. Скопируйте файл на тот компьютер, где будете работать с электронной подписью обычными средствами Windows.

5. Пройдите диагностику на сайте https://help.kontur.ru .

6. Как диагностика закончится, нажмите на ссылку «Показать результаты».

7. В списке результатов выберите «Информация о Windows». Скопируйте оттуда SID текущего пользователя.

8. Откройте экспортированный файл реестра с помощью «Блокнота».

9. Замените SID пользователя на скопированный ранее.

Если ветка реестра экспортируется из 32-битной ОС в 64-битную ОС, добавьте в путь ветки реестра параметр Wow6432Node как на скриншоте:

10. Сохраните изменения и закройте файл.

11. Снова нажмите на файл правой кнопкой мыши и выберите «Слияние». В появившемся окне нажмите «Да».

Должно появиться сообщение о том, что данные успешно внесены в реестр. Нажмите «ОК».

Если появляется сообщение «Ошибка при доступе к реестру», необходимо еще раз проверить все пути в файле на корректность. Также проверьте, чтобы в пути не было лишних пробелов, знаков.

12. После того, как данные будут внесены в реестр, необходимо вручную установить сертификат (см. Как установить личный сертификат).