Как скопировать неэкспортируемый закрытый ключ с рутокена

Как скопировать неэкспортируемый закрытый ключ с руТокен (ruToken)? Zip File, мои юные любители безопасности. С вами Денчик и сегодня мы рассмотрим способ, который позволит вам сэкономить уйму времени и толстенную пачку бабла, по незнанке ушедшую бы на покупку дорогущих рутокенов для вашей организации. Каждый ИБшник, мало-мальски касающийся темы получения ЭЦПх в курсе, что с 1 июля 21 года получить квалифицированный сертификат ключа проверки электронной подписи можно в Удостоверяющем центре от ФНС. Это относится к юридическим лицам имеющим право действовать без доверенности от имени организации, индивидуальным предпринимателям и нотариусам. Данная услуга бесплатна и выдаются КЭП сугубо в территориальных налоговых органах. Тобишь в отделении местной налоговой.

Согласно официальной инструкции, пришедший должен иметь при себе паспорт, СНИЛС и токен, необходимый для записи квалифицированного сертификата и подписи.

И вот тут-то ребятушки появляется очень важный нюанс. Дело в том, что ФНС выдаёт сертификат электронной подписи в контейнере с неэкспортируемым закрытым ключом.

Это значит, что стандартными средствами, а ля Крипто Про, скопировать его в реестр или на отдельный носитель у вас не получится. При попытке вы либо получите соответствующую ошибку, намекающую на то, что контейнер неэкспортируем.

Доблестная налоговая по умолчанию выпускает такие ключи с целью обезопасить конфиденциальные данные от злоумышленников. Но как спрашивается быть, если рутокен в организации по итогу один, а работать с ключом нужно целому штату?

Табун из бухгалтеров, ответственный по закупкам, менеджер по персоналу, специалист АХД. Все они так или иначе работают с сервисами, требующими авторизации от имени руководителя предприятия.

И вариант с тем, что каждый из них при случае будет бежать к директору, торжественно открывать сейф, расписываться за получение, четко обозначать время работы с подписью и затем возвращать рутокен обратно, сами понимаете не комильфо.

Но как спрашивается скопировать злосчастный сертификат, если его так надёжно защитили от подобных манипуляций? Как экспортировать закрытый ключ из рутокена в реестр на компьютерах, чтоб все сотрудники эффективно трудились не погладая мышек 24/7?

К сожалению, в интернете, на момент записи данного видео, рабочего способа вы увы не найдёте. Можете поверить, я очень пытался. Зато наверняка наткнётесь на предложения неких «специалистов» помочь вам скопировать контейнер с помощью какого-то специального программного обеспечения.

Мол в результате вы получаете стандартный контейнер КриптоПро с экспортируемым ключом, который можно записать на другой USB-токен, флешку или реестр компьютера. И всё за каких-то 1500 рублей.

Друзья, эти полторы тысячи целесообразнее потратить на бюджетные флешки с малым объёмом, на которые вы потом размножите копию ФНСовской ЭЦП. А вот о том, как легально получить эту самую копию, собственно, и пойдёт речь в нашем сегодняшнем выпуска. Погнали!

Но, прежде чем мы начнём, мне бы хотелось рассказать вам о профессии «Продакт-менеджер» от образовательной платформы Skillbox. Данный трек подойдет новичкам в управлении продуктами, специалистам из сферы IT, а также топ-менеджерам и предпринимателям различного уровня.

В рамках профессии «Продакт-менеджер»подробно рассматриваются методики оценки рынка, варианты тестирования гипотез и способы расчета и анализа юнит-экономики.

Квалифицированный специалист по продакт-менеджменту – это человек, отвечающий за создание и продвижение новых продуктов — сайтов, приложений, сервисов. Он управляет командой и контролирует все этапы запуска и развития продукта. Продакт-менеджеры сегодня встречаются в самых различных сферах: от IT, телекома и сферы образования до фармацевтики, промышленности и даже спорта.

Изучив профессию, вы научитесь качественно исследовать целевую аудиторию для проекта, создавать минимально жизнеспособный продукт (MVP), разрабатывать с нуля конкурентоспособную стратегию монетизации.

Вы также научитесь развивать Ваш продукт на основе данных, управлять продуктовой командой, а также овладеете популярными инструментами сбора аналитики и визуализации данных.

В качестве лекторов выступают Chief Product Officer из MORE.TV, СитиДрайв и Ivi, директор по бизнес-развитию из SkyPro, а также шеф-редактор издательства «МИФ» и непосредственно эксперт-дизайнер и сооснователь AIC и Skillbox.

Однако не думайте, что всё ограничится сухой теорией. Вам предстоит не только изучать материалы лекций, но и выполнить практические работы — живые и максимально приближенные к реальным продуктовые задачи. Вы также сможете в командах решать кейсы от ведущих компаний в рамках хакатонов. В завершение вы подготовите собственный итоговый проект, который сможете включить в ваше портфолио.

Выполняя итоговый проект, вы, разработаете жизнеспособную бизнес-модель, MVP нового продукта и после тестирования разработаете итоговый прототип. Тут на выбор вы можете поработать как с кейсом от реального заказчика, так и со своим собственным проектом.

Ну а в качестве дополнительных бонусов вы получите доступ к курсу «Эмоциональный интеллект и лидерство». Пройдя курс, вы легко научитесь убеждать и выстраивать доверительные отношения с коллегами, т.е. сможете стать тем лидером, за которым потянутся сотрудники.

С более подробной информацией о профессии «Продакт-менеджер» и особенностях работы на образовательной платформе от Skillbox вы можете ознакомиться, перейдя по ссылочке в описании.

Регистрируйтесь на программу со скидкой 40%, а по промокоду PRODACT2022 вы получите дополнительную скидку в 10 000 р. только до конца мая.

Переходите, записывайтесь и получайте востребованную профессию на рынке труда, обеспечив тем самым себе стабильную заработную плату и гарантированный карьерный рост в успешной компании.

Но, прежде чем мы начнём, мне бы хотелось рассказать вам о курсе «Профессия Продакт-менеджер» от образовательной платформы SkillBox. Данный курс подойдёт новичкам в управлении продуктами, специалистам из сферы IT, а также Топ-менеджерам и предпринимателям различного уровня.

В нём подробно рассматриваются методики оценки рынка, варианты тестирования гипотез и способы анализа юнит-экономики. Квалифицированный специалист по продакт-менеджменту – это человек отвечающий за создание и продвижение новых продуктов.

Сайтов, приложений, сервисов и софта. Он управляет командой и контролирует все этапы запуска и развития продукта. Продакт-менеджеры сегодня встречаются в самых различных сферах: от IT, телекома и сферы образования до фармацевтики, промышленности и даже спорта.

Изучив курс, вы научитесь качественно исследовать целевую аудиторию для проекта, создавать минимально жизнеспособный продукт в нише, разрабатывать с нуля конкурентную стратегию монетизации.

Развивать Ваш продукт на основе полученных данных, управлять командой, активно участвующей в разработке, а также будете иметь представление о популярных инструментах для углублённого вычисления, сбора аналитики и визуализации данных.

В качестве лекторов курса выступают Chief Product Officer из СитиДрайв и Ivi. директор по бизнес-развитию из SkyPro, а также шеф-редактор издательства «МИФ» и непосредственно дизайнер-сооснователь AIC и SkillBox.

Однако не думайте, что всё ограничится лекциями. Вам предстоит не только изучать сухую теорию, но и работать с индивидуальным куратором в мини-группах, в рамках которой вы подготовите собственные итоговые проекты.

А именно, разработаете жизнеспособную бизнес-модель, MVP нового продукта и после тестирования гипотез разработаете итоговый прототип. Тут на выбор вы можете поработать, как с кейсом от реального заказчика, так и со своим собственным проектом.

Ну а в качестве дополнительных бонусов Вы получите доступ к курсу «Эмоциональный интеллект и лидерство». Пройдя который вы легко научитесь убеждать и выстраивать доверительные отношения с коллегами. Т.е. сможете стать тем лидером, за которым потянутся грамотные сотрудники.

С более подробной информацией о курсе «Профессия Продакт-менеджер» и особенностях работы на образовательной платформе от SkillBox вы можете ознакомиться, перейдя по ссылочке в описании.

Ну а мы возвращаемся к основной теме нашего ролика. Сразу оговорюсь, что федеральный закон №63 «Об электронной подписи и других НПА» не содержит в себе запрета на копирование контейнеров с ключами.

ФНС выпускает неэкспортируемые ключи чтобы максимально обезопасить конфиденциальные данные от злоумышленников. Поэтому решив скопировать ЭЦП от ФНС вы должны обеспечить дальнейшую конфиденциальность скопированного ключа сами.

Шаг 1. Для начала процедуры вставьте в компьютер флешку и защищённый Рутокен с нужным ключом. Убедитесь, что Токен считан, запустив соответствующую панель управления.

Шаг 2. На вкладке «Сертификаты» выбираем нужный действующий сертификат и пробуем экспортировать его стандартным способом. Программа само собой сообщает о том, что сделать это данным способом невозможно.

Шаг 3. Давайте попробуем повторить аналогичные действия через всеми любимую Крипто Прошу. Пункт «Сервис», «Скопировать», «Обзор контейнеров». И видим тут нашего неэкспортируемого друга.

Шаг 4. Но, как я уже говорил ранее, не стоит отчаиваться. Ибо и на старуху найдётся проруха. Сейчас мы всё экспортируем. Вставляем в компьютер Запускаем специальную утилиту проверки рутокенов, которую я выложу в свой ламповый телеграм-канал. Ссылку, разумеется, ищите в описании под этим видосом.

Шаг 5. И, если пин-код на токене по умолчанию 12345678, а что-то мне подсказывает, что в вашем случае будет именно так по причине дефолтной конфигурации и фактора человеческой лени, жмём на ОК.

Шаг 6. Программа показывает наш список доступных вариантов для экспорта. Выбираем нужный по имени и указываем в проводнике флешку на которую собираемся скопировать защищённый контейнер.

Шаг 7. При желании можете изменить его имя и затем подтвердить действия нажав на ОК.

Шаг 8. Для проверки заходим на флешку и смотрим, появилась ли новая папка.

Шаг 9. Отлично. Теперь давайте снова зайдём в Крипто Про и посмотрим список неэкспортируемых контейнеров. Видим, что в списке добавился вариант скопированный на флешку.

Шаг 10. Собственно, если нужно, можно даже установить из него открытую часть.

Теперь эту флешку можно смело втыкать в компьютер главбуха. Работать будет не хуже, чем оригинальный рутокен. И всё практически даром. Никому левому платить кэш не надо. Ни за дополнительные рутокены, не за работу.

Пользуйтесь данной методой, но не забывайте соблюдать важные правила для обеспечения должного уровня безопасности.

Всегда устанавливайте нестандартный пароль на скопированный контейнер;
Никогда не активируйте функцию «запомнить пароль»;
Не храните пароли в открытых местах. И не позволяйте подобную блажь своим пользователям;
Не передавайте такую флешку или рутокен с контейнером третьим лицам;
Не оставлять ключевые носители без присмотра. А лучше всего храните ключевой носитель в недоступном для посторонних сотрудников месте;

Соблюдая пять вышеперечисленных правил, вы сможете соблюсти баланс между эффективной работой пользователей вашей организации и обеспечением соответствующего уровня безопасности.

Если понравился данный лайфхак, то не забудь отблагодарить меня лайком и написать комментарий под данным видосом. Ну а всем подписавшимся на канал — отдельный респект.

Впереди вас ждёт ещё больше подобных технических выпусков и тёрок за безопасность. С вами, как обычно, был Денчик. До новых встреч, уважаемые камрады. Всем пока.

Экспортировать неэкспортируемый сертификат с рутокена

Небольшая заметка как экспортировать неэкспортируемый ключ с Rutoken.

Внимательно читайте комменты

Если при создании ЭЦП не был установлен флаг дающий возможность экспортировать ключ, то при попытке скопировать ключ с Rutoken через КриптоПро у вас появится «Ошибка копирования контейнера. У вас нет разрешений на экспорт ключа, потому что при создании ключа не был установлен соответствующий флаг».

Но скопировать его все равно можно — для этого понадобится специальное ПО:

1. Утилита проверки Рутокенов версии 3.4.2

2. Сертфикс 1.1.27.3154

При помощи утилиты проверки Рутокенов версии 3.4.2 вы сможете экспортировать ключ с Рутокен на флешуку или реестр

После чего при помощи помощи Сертфикс 1.1.27.3154 вы сможете снять блокировку зажав клавишу Shift и кликнув по нужному сертификату правой кнопкой мыши выбрав пункт активации экспорта согласно вашему новому месту хранения выбранного в утилите проверки Рутокенов.

Важным моментом является то, что версия Сертфикс выше 1.1.27.3154 может быть программно ограничена на возможность сделать сертификат некоторых удостоверяющих центров экспортируемым.

Обновление программа проверяет при запуске, поэтому чтобы обновление не загрузилось необходимо заблокировать доступ в интернет для нее через брандмауэр Windows.

Записки IT специалиста

Перенос сертификатов и закрытых ключей CryptoPro хранящихся в реестре

Автор: Уваров А.С.
21.09.2020

КриптоПро один из наиболее широко используемых криптопровайдеров на территории Российской Федерации, он широко используется в системах электронного документооборота, сдачи отчетности и взаимодействия с государственными органами, поэтому встретить его можно практически в любой организации. По этой причине у системных администраторов часто встает вопрос его переноса на другой ПК. А так как криптография является для многих сложной и непонятной областью, то эта простая задача может вызвать некоторые затруднения.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Если вы ранее не сталкивались с криптографией вообще, то рекомендуем прочитать нашу статью: Введение в криптографию. Общие вопросы, проблемы и решения. Здесь мы не будем углубляться в теорию, но приведем некоторый необходимый ликбез.

В повседневной деятельности широко распространено понятие «сертификат», им оперируют все, от сотрудников удостоверяющих центров, то бухгалтеров, работающих с ЭЦП. Часто можно услышать что-то подобное: «нам купили в бухгалтерию новый компьютер, нужно перенести сертификаты». Но если подходить с точки зрения криптографии, то слово «сертификат» в данном случае употребляется неправильно. Вся современная криптография строится вокруг инфраструктуры открытых ключей (PKI), которая подразумевает наличие у каждого участника ключевой пары: открытого и закрытого ключа.

Закрытый ключ является секретным, с его помощью мы можем подписывать документы, шифровать информацию и т.д. и т.п. Закрытый ключ Усиленной квалифицированной электронной подписи (УКЭП) равнозначен нотариально заверенной подписи и его попадание в чужие руки может привести к самым тяжелым последствиям.

Открытый ключ, дополненный некоторыми дополнительными данными, выпускается в форме сертификата и является публично доступным, с его помощью можно проверить действительность цифровой подписи, выполненной закрытым ключом или убедиться в подлинности участника обмена электронными документами.

Поэтому, когда мы говорим о переносе «сертификатов», то подразумеваем необходимость перенести ключевую пару: закрытый ключ и сертификат, перенос одних только сертификатов не принесет успеха, криптография на новом узле работать не будет.

Выяснив этот момент, перейдем к хранилищам закрытых ключей. КриптоПро предполагает в таком качестве токены, флеш-накопители и системный реестр. Токены являются наиболее защищенными устройствами, извлечь закрытый ключ из них невозможно, и вы можете не опасаться несанкционированного копирования (для этого закрытый ключ должен быть помечен как неэкспортируемый). Флеш-накопители представляют некий компромисс между безопасностью и мобильностью, а реестр удобен в тех случаях, когда на одном ПК нужно одновременно работать с большим количеством ключей. И именно с ним связаны определенные сложности при переносе на другой узел.

Экспорт ключей и сертификатов

Для того, чтобы правильно экспортировать закрытые ключи, нам нужно выяснить идентификатор безопасности ( SID) текущего пользователя (который работает с ЭЦП), это можно сделать командной:

Затем откроем редактор реестра и перейдем в ветку для 32-битных систем:

для 64-битных систем:

Найдем и раскроем раздел с SID текущего пользователя и экспортируем оттуда ветку Keys.

Обратите внимание, что данная ветка содержит закрытые ключи, поэтому следует принять все меры безопасности и не передавать файл экспорта по открытым каналам связи и вообще исключить к нему несанкционированный доступ посторонних лиц.

После чего скопируем все сертификаты, расположенные по пути

Это открытые ключи, никакой секретности они не представляют, поэтому просто копируем их любым доступным способом.

Импорт ключей и сертификатов

Прежде всего установим на новый узел КриптоПро, обратите внимание, что переносить ключи и сертификаты следует между одинаковыми версиями. В противном случае либо обновите версию КриптоПро на старой системе, либо установите старую версию на новой и обновите ее уже после переноса ключевых пар.

Затем снова узнаем SID пользователя, который будет работать с ЭЦП, если это текущий пользователь, то снова выполните:

В противном случае:

где Name — имя пользователя.

После чего откройте на редактирование файл реестра с экспортированными закрытыми ключами и замените в нем все вхождения старого SID на SID нового пользователя.

Сохраните файл и импортируйте его в реестр. Закрытые ключи перенесены, файл переноса в целях безопасности следует удалить.

Следующим шагом скопируйте сохраненные сертификаты в

После чего можно устанавливать и настраивать приложения работающие с криптографией, все будет работать.

Как быть если доступ к старой системе невозможен?

Теория — это хорошо, но практика может подкинуть самые неожиданные ситуации. Как быть, если доступ к старой системе невозможен? Скажем вышла из строя материнская плата или серьезно повреждена операционная система?

Все что нам нужно в таком случае — это доступ к файловой системе старой системы. Вы можете как напрямую подключить жесткий диск к новой системе, так и загрузиться при помощи консоли восстановления или любого более продвинутого инструмента, скажем MSDaRT.

С копированием сертификатов проблемы возникнуть не должно, их хранилище простая папка на диске, а вот с хранилищем закрытых ключей в реестре немного сложнее. Но не будем забывать, что системный реестр тоже хранится в файлах на диске. Вам следует любым доступным образом скопировать файл SOFTWARE из C:\Windows\System32\config

Затем на целевой системе откройте редактор реестра, перейдите в раздел HKEY_LOCAL_MACHINE и через Файл — Загрузить куст подключите скопированный из старой системы раздел реестра. Дайте ему осмысленное имя, скажем OLD_SOFTWARE.