Создание ключевой пары на рутокен эцп
Использование Рутокен позволяет пользователям КриптоПро CSP обезопасить ключевую информацию от несанкционированного доступа. Ключи и сертификаты будут храниться в защищенной файловой системе Рутокен. Но прежде, чем перейти к настройке рутокен, очень важно разобраться с цифровой подписью.
Об электронной цифровой подписи
Электронная цифровая подпись — это специальная информация, которая добавляется к электронному документу и дает возможность убедиться в том, вносились ли изменения в электронный документ после его подписания, а также гарантированно установить лицо, подписавшее данный документ. Добавить электронную цифровую подпись к электронному документу возможно с помощью личного ключа и специального программного обеспечения.
Что же такое личный ключ? Личный ключ — это набор символов в виде компьютерного файла. При этом личный ключ играет роль шариковой ручки при подписании документа на бумаге.
Для проверки ЭЦП на электронном документе используется другой набор символов — открытый ключ. После формирования сертификата открытый ключ становится его частью и не используется отдельно.
Усиленный сертификат открытого ключа (далее — сертификат) — это документ, который удостоверяет подлинность и принадлежность открытого ключа подписчику. Такой документ выдается аккредитованным центром сертификации ключей и существует в электронном виде. Для проверки ЭЦП на документе необходимо иметь сертификат подписанта и специальное программное обеспечение.
Сертификат служит для проверки ЭЦП на документе, не является секретным и может свободно распространяться через интернет и другие открытые каналы связи. Наложить на электронный документ ЭЦП с помощью сертификата или получить с него ваш личный ключ невозможно.
В итоге мы получаем следующее. Один субъект подписывает документ с помощью личного ключа и специального программного обеспечения, а другой проверяет подпись на этом документе с помощью сертификата подписанта и специального программного обеспечения. При этом лицу, которое проверяет подпись, иметь свой личный ключ и сертификат необязательно.
Итак, что такое ключевая пара?
Ключевая пара включает в себя два ключа:
-
Закрытый ключ/Приватный /Private key — ключ, известный только своему владельцу. Только сохранение владельцем/пользователем в тайне своего закрытого ключа гарантирует невозможность подделки злоумышленником документа и цифровой подписи от имени заверяющего;
Открытый ключ подписи вычисляется, как значение некоторой функции от закрытого ключа, но знание открытого ключа не дает возможности определить закрытый ключ.
- id-GostR3410-2001-CryptoPro-A-ParamSet;
- id-GostR3410-2001-CryptoPro-B-ParamSet;
- id-GostR3410-2001-CryptoPro-C-ParamSet;
- id-GostR3410-2001-CryptoPro-XchA-ParamSet;
- id-GostR3410-2001-CryptoPro-XchB-ParamSet.
- id-tc26-gost-3410-2012-512-paramSetA;
- id-tc26-gost-3410-2012-512-paramSetB.
И именно оно определяет длину закрытого/открытого ключей и корректность закрытого ключа:
— длина закрытого ключа 256 бит;
— длина закрытого ключа 512 бит.
И так, открытый ключ получается из закрытого ключа.
А откуда берется закрытый ключ?
Для получения закрытого ключа сначала необходимо решить какой длины будет закрытый ключ (256 или 512 бит), затем определиться с криптопараметрами ключевой пары. Теперь берем датчик случайных чисел и получаем случайное число соответствующей длины. Собственно это случайное число и должно стать значением d закрытого ключа (ключом подписи d). Это значение должно удовлетворять следующему правилу:
0 < d < q, где q – простое число из криптопараметров.
Что делать, если это условие не выполняется? Если d == 0, то просто сгенерировать новое случайное число. В противном случае достаточно бывает взять остаток от деления на цело значения d, которое превышает q, на q (d % q). Остаток и станет значением закрытого ключа.
Именно поэтому регулятор (ФСБ России) предъявляет особые требования к датчику случайных чисел.
В качестве примера основного источника для заполнения буфера:
- случайными цифрами можно привести:
- регистр TSC процессора – счетчик тактов процессора;
- счетчик времени GTC;
- автоинкрементируемый счетчик в отдельном потоке;
- стандартная функция rand();
- координаты мыши.
- Счетчик времени работы процесса в пользовательском режиме;
- Таймер высокого разрешения Windows.
Для генерации ключевой пары используется фунция C_GenerateKeyPair. В зависимости от того, какую ключевую пару (с какой длиной закрытого ключа 256 или 512 бит) мы генерируем, в ней будет использоваться соответствующий механизм:
- CKM_GOSTR3410_KEY_PAIR_GEN для ключевой пары с закрытым ключом в 256 бит;
- CKM_GOSTR3410_512_KEY_PAIR_GEN для ключевой пары с закрытым ключом в 512 бит.
Нас интересуют атрибуты извлекаемости закрытого ключа.
Это прежде атрибут CKA_SENSITIVE, отвечающий за возможность получения значения закрытого ключа. Если значение атрибута CKA_SENSITIVE установлено в CK_TRUE, то закрытый ключ не может быть извлечен из токена в открытом виде. Второй атрибут CKA_EXTRACTABLE позволяет получать закрытый ключ в зашифрованном виде. Для этого его необходимо установить CK_TRUE.
Установка атрибута CKA_SENSITIVE в CK_TRUE, а атрибута CKA_EXTRACTABLE в CK_FALSE при генерации ключевой пары делает закрытый ключ абсолютно неизвлекаемым. Возможность определять является ли ключ экспортабельным имеется в браузере Redfox:
Кто-то скажет, — а что если изменить значения этих атрибутов. Как правило этого сделать нельзя, защиту понизить нельзя, также как «нельзя понижать градус». Точно также можно сделать неизвлекаемым закрытый ключ после его импорта на токен (если конечно токен/смарткарта разрешают импорт). После создания (или во время создания) объекта CKO_PRIVATE_KEY необходимо установить CKA_SENSITIVE=CK_TRUE, а атрибута CKA_EXTRACTABLE=CK_FALSE.
И вот здесь не мешало бы напомнить тебе, уважаемый читатель, что безопасность обеспечивается только КОМПЛЕКСОМ организационных и технических мероприятий . Поэтому не получится латать дыры в организационной безопасности за счет технических средств и наоборот — все должно быть органично согласовано. В том числе, и при доступе к значению закрытого ключа.
Для того, чтобы посмотреть какие объекты находятся на токене достаточно выполнить команду вида:
И наконец, для того, чтобы посмотреть не только какие типы объектов хранятся на токене, а объекты со всеми атрибутами необходимо использовать дополнительно флаг –d:
«Рутокен ЭЦП 2.0» – это серия устройств для хранения ключей и сертификата электронной подписи (ЭП). Носитель обеспечивает надежную защиту конфиденциальной информации. Для получения ЭП нужно обратиться в удостоверяющую компанию.
Что такое «Рутокен»
Термин Rutoken состоит из 2 частей:
- Ru – сокращение от Russian (российский);
- token – слово из английского языка, означающее «жетон».
Линейка аппаратных средств представлена несколькими разновидностями токенов и смарт-карт. Это устройства для хранения информации – ключей и сертификата электронной подписи, удостоверений, лицензий, паролей и др.
От простых флеш-накопителей и карт памяти они отличаются наличием чипа, выполняющего следующие функции:
- ограничивающего доступ к записанным сведениям (нужно ввести ПИН-код);
- осуществляющего криптошифрование данных в обход ресурсов компьютера, что повышает безопасность.
.jpg)
Сравнение с «Рутокеном S»
«Рутокен С» – это еще одна серия носителей от компании «Актив». Отличие от рассматриваемой линейки состоит в том, что для работы с устройством нужно устанавливать драйвер. «Рутокен ЭЦП 2.0» в этом не нуждается: носители данного типа используют штатный модуль CCID ОС Windows Vista и более новых версий. На старые операционные системы, например Windows XP, расширение CCID устанавливают отдельно.
«Рутокен С» – самая надежная и дорогая разновидность токенов и смарт-карт. Носители отвечают наиболее строгим критериям безопасности, установленным стандартами РФ, и в основном используются в государственных корпорациях.
Сфера применения «Рутокена ЭЦП 2.0» – цифровые системы оборота документов, удаленный банкинг, ЕГАИС.
Основные моменты работы с «Рутокеном ЭЦП 2.0»
Главные функции устройства – хранение и применение электронной подписи.
Она состоит из таких элементов:
- Личного (секретного) и открытого ключей. Первый хранится у пользователя, передавать его другим лицам нельзя. Второй позволяет проверить подлинность подписи, передается по открытым каналам.
- Сертификата (удостоверения). Он привязывает к открытому коду данные владельца, что исключает его перехват злоумышленниками для последующего использования в личных целях.
Заверение документа электронной подписью дает такой результат:
- отправитель подтверждает свое авторство;
- внесение изменений невозможно.
ЭЦП выдают удостоверяющие центры.
Чтобы ее применить, нужно установить на компьютер специальную программу. В случае с «Рутокеном» это «КриптоПро CSP».
Где купить «Рутокен» и ЭЦП
Также здесь можно заказать:
- колпачок для USB-токена;
- брелок с полем для метки;
- ленту-подвеску на шею;
- кабель удлинительный для USB-порта.
Носители продают партиями от 10 шт. Пользователям, желающим приобрести продукцию поштучно, производитель предлагает обратиться к одному из партнеров. Список для своего города можно увидеть здесь же, на сайте.
Например, в Москве с компанией «Актив» сотрудничают такие фирмы (указаны не все):
- «1С: дистрибьюция»;
- Avrorus;
- CPS;
- InfoSaver;
- «Анкад».
Инструкция по настройке «Рутокена»
Установку и настройку носителя производят в таком порядке:
Когда система предложит задать ПИН-код, вводят «12345678». Далее нужно скачать и установить на ПК программу «КриптоПро».
Как установить сертификат ЭЦП
Есть несколько способов установки сертификата.
В первом случае поступают так:
Перед тем как установить сертификат ЭЦП на компьютер этим способом, убедитесь, что он имеется в контейнере на «Рутокене», иначе в «Панели управления» отобразится пустая ключевая пара без удостоверения.
Копирование через «КриптоПро»
Во втором случае используют программу «КриптоПро»:
- Запускают ее и переходят во вкладку «Сервис».
- Выбирают пункт «Установить личный сертификат» и в открывшемся окне «Мастера» нажимают кнопку «Далее».
- Кликают по надписи «Обзор» и указывают путь к файлу сертификата.
- Продолжая следовать инструкциям «Мастера», задают местонахождение контейнера закрытого ключа и выбирают хранилище «Личные».
- Завершают установку нажатием кнопки «Готово».
.jpg)
Как скопировать ЭЦП на флешку
В случае повреждения токена, а также для передачи другому лицу подпись дублируют на флеш-карту.
- Вставляют оба USB-устройства в компьютер.
- Открывают «КриптоПро» и переходят во вкладку «Сервис».
- Последовательно нажимают кнопки «Скопировать» и «Обзор». В открывшемся диалоговом окне указывают путь к сертификату.
- Вводят пароль и название копии.
- Несколько раз нажав кнопку «Далее» и затем «Готово», выбирают в открывшемся окне флеш-карту.
- Задают пароль для копии.
Если подписывать документы приходится часто, делать это с помощью токена или флеш-карты становится неудобно. ЭП копируют в реестр Windows.
Действуют в той же последовательности, что и в случае с флеш-накопителем. Только в последнем окне пунктом назначения вместо сменного носителя указывают «Реестр».
Этот способ неудобен, если подписью пользуются несколько человек. Кроме того, после поломки жесткого диска или переустановки операционной системы выпуск сертификата придется повторить.
Копирование ЭП из реестра
Если стандартными способами скопировать подпись не удалось, ее извлекают из реестра.
Адрес нужной ветки зависит от разрядности Windows:
- 32 bit – HKEY_LOCAL_MACHINE\SOFTWARE\Crypto Pro\Settings\Users\*Имя пользователя ЭЦП*\Keys\*Идентификатор контейнера*;
- 64 bit – HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Crypto Pro\Settings\USERS\*Имя пользователя ЭЦП*\Keys\*Идентификатор контейнера*.
- Находят папку по указанному адресу и кликают по ней правой кнопкой.
- В открывшемся контекстном меню выбирают пункт «Экспортировать».
- Набирают имя файла и кликают по надписи «Сохранить».
- Стандартным способом копируют полученный файл с расширением *.reg на винчестер.
- Открывают его приложением «Блокнот».
- В третьей строчке находят SID пользователя Windows (идентификатор безопасности) и меняют его на нужный.
- Если производится перенос из 32-разрядной Windows в 64-битную, после Software вписывают Wow6432Node.
- Сохраняют изменения и закрывают «Блокнот».
- Кликают правой кнопкой по файлу реестра и выбирают в контекстном меню «Слияние».
В результате данные о контейнере попадают в реестр.
Пользователю остается установить личный сертификат с помощью программы «КриптоПро CSP» вручную.
Установка сертификата ЭЦП с «Рутокеном»
Инсталлировать удостоверение можно и через команду «Посмотреть сертификаты в контейнере» во вкладке «Сервис» программы «КриптоПро».
После ее запуска делают следующее:
- Щелкают по кнопке «Обзор» и указывают путь к сертификату.
- Выбирают пункты «Далее» – «Установить» или «Свойства» – «Установить сертификат» (зависит от версии «КриптоПро CSP»).
- Последовательно жмут на надписи «Далее» и «Готово».
Установка ЭЦП с флешки на компьютер
Инсталляцию подписи с флеш-накопителя производят так:
- Вставляют устройство в USB-разъем ПК.
- Запускают программу «КриптоПро CSP».
- Переходят во вкладку «Оборудование».
- Кликают по кнопке «Настроить считыватели».
- Выбирают пункт «Все считыватели смарт-карт».
После этого подпись появляется в компьютере.
Если окно с выбором считывателя не отобразилось, поступают так:
- Открывают пункт «Настройки считывателей».
- Кликают по надписи «Добавить».
- Щелкают по кнопке «Далее».
- В открывшемся окне выбирают «Все производители» и затем кликают по надписи «Далее».
Как перенести контейнер на «Рутокен»
Перенос тоже выполняют с помощью программы «КриптоПро CSP»:
- Вставляют носитель в разъем компьютера.
- Переходят во вкладку «Сервис» и нажимают на кнопку «Скопировать».
- В появившемся окне кликают по надписи «Обзор» и находят нужный контейнер.
- Нажимают «Далее» и вводят ПИН-код.
- Набирают имя для копии контейнера.
- Указывают «Рутокен» в качестве пункта назначения.
- Вводят пароль для доступа к нему.
.jpg)
Проверка срока действия «Рутокена ЭЦП 2.0»
Чтобы выяснить конечную дату действия подписи, делают так:
- В программе «КриптоПро CSP» во вкладке «Сервис» щелкают по кнопке «Посмотреть сертификаты в контейнере».
- С помощью функции «Обзор» находят нужную запись.
- Последовательно нажимают кнопки «ОК» и «Далее».
Отображается окно с информацией об ЭП, в т.ч. сроке ее действия.
Другой способ предусматривает использование браузера Internet Explorer:
- Переходят в раздел «Сервис» (см. изображение шестерни справа вверху).
- Выбирают пункт «Свойства браузера» и в нем – «Содержание».
- Кликают по кнопке «Сертификаты».
- Во вкладке «Личные» находят нужное удостоверение.
Рядом отображается срок его действия.
Удаление сертификата с «Рутокена»
Устаревший сертификат деинсталлируют в таком порядке:
- Нажимают кнопку «Пуск» и переходят в «Панель управления».
- Выбирают «Панель управления Рутокена».
- Переходят во вкладку «Сертификаты».
- Ставят флажок напротив нужной записи и щелкают по кнопке «Удалить».
Возможные проблемы с ЭЦП на «Рутокене»
- некорректная работа драйвера;
- повреждение токена;
- сбой в программной части ПК.
В первом случае проблему решают переустановкой утилиты, во втором – покупкой нового носителя, в третьем – заменой операционной системы.
Чтобы бесплатно получить подпись в ФНС, индивидуальный предприниматель, юридическое лицо или нотариус должны приобрести специальный токен. Токен — это носитель электронной подписи, он служит для хранения ключа ЭП и его использования.
В этой статье мы разберёмся в том, какие носители существуют, в чём разница между ними и расскажем, как с ними работать и какие ошибки могут возникнуть во время их эксплуатации.
Какие носители бывают
Все токены внешне напоминают флешку и выполняют её функции — выступают в качестве носителя. Однако, в отличие от обычной флешки, токены являются защищёнными носителями: на них устанавливается пароль и в них встроены криптографические алгоритмы. Это сделано для того, чтобы максимально обезопасить хранимую на них электронную подпись от компрометации, то есть доступа постороннего лица к защищённой информации.
Мы лишь вскользь упомянем о том, что хранить электронную подпись можно и на компьютере, но это небезопасно. В то же время, с 1 января 2022 года, получить подпись для юридических лиц, индивидуальных предпринимателей и нотариусов можно будет только в удостоверяющем центре ФНС. И получатель должен иметь при себе токен, на который и будет загружен ключ.
К носителям выставлены определённые требования: они должны быть сертифицированы и соответствовать формату USB Type-A. К этому типу можно отнести следующие токены:
- JaCarta LT, JaCarta ГОСТ, JaCarta-2 ГОСТ;
- Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен S;
- ESMART Token, ESMART Token ГОСТ.
В чём разница
Носители различают по следующим критериям: производитель, внешний вид, аппаратная криптография, объём защищённой памяти, цена, дополнительные опции, поддержка тех или иных операционных систем и необходимое программное обеспечение для работы.
Токены могут различаться также и по максимальному количеству электронных подписей, которые можно на них установить. Например, если размер носителя 64 Кб, то на него можно установить до 8 электронных подписей.
Объём защищённой памяти варьируется от 32 до 128 Kb, в зависимости от производителя. Некоторые модели могут содержать дополнительную flash-память для автоматического запуска необходимого программного обеспечения. Большинство токенов поддерживает множество версий Windows, а также Mac OS X и GNU/Linux.
Несмотря на все отличия, носители служат одной цели. Мы рекомендуем при выборе токена обращать внимание на то, подходит лишь ваша операционная система или нет для работы с данным носителем. При необходимости можно покупать карту с дополнительными опциями.
Как работать с носителями
Мы говорили об этом раньше, но напомним — токен должен быть сертифицирован ФСТЭК России или ФСБ России. Только на такой носитель УЦ ФНС сможет установить электронную подпись и, соответственно, только с таким носителем сможет работать индивидуальный предприниматель, юридическое лицо или нотариус.
Порядок получения электронной подписи на токен выглядит следующим образом:
- Приобретаем сертифицированный носитель.
- Приходим в операционный зал налогового органа региона.
- Представляем документ, удостоверяющий личность, СНИЛС, токен и документацию к нему.
- Получаем электронную подпись.
Чтобы полноценно работать с установленной на токен электронной подписью, нужно выполнить ещё несколько действий. Главное — на компьютер нужно установить криптопровайдер « КриптоПро CSP », это требование налоговой. Остальное зависит от выбранного носителя: нужно будет установить драйвер для работы с токеном.
Порядок работы с носителями очень прост: в случае с Рутокеном, который является самым распространённым российским носителем, достаточно установить драйвер и воткнуть сам токен в гнездо USB. Настройка носителя осуществляется в специальной панели управления, которая устанавливается вместе с драйвером.
После выполненных действий электронную подпись можно будет использовать по назначению: подписывать электронные документы, работать с государственными порталами и участвовать в закупках.
Какие могут возникнуть ошибки
- Сертификат ненадёжен / Не удалось проверить статус отзыва . Для решения проблемы достаточно обновить комплект драйверов. Если же это не помогло, то выберите ваш сертификат в панели управления, нажмите кнопку «Свойства» и перейдите на вкладку «Путь сертификации», где вы сможете установить сертификат и сделать его доверенным.
- Rutoken перестаёт определяться . Эта ошибка может быть связана со спецификой работы материнской платы. Если невозможно запустить панель управления, но светодиод на токене горит, достаточно извлечь носитель и заново его вставить. Если же это не помогло, обратитесь в удостоверяющий центр за помощью.
- Панель управления не видит Рутокен ЭЦП 2.0 . Чтобы решить эту проблему, нужно пробовать разные варианты:
- воспользуйтесь другим разъёмом USB;
- переустановите комплект драйверов;
- проверьте количество считывателей в настройках панели управления (значение должно быть 1).
Носитель ключа электронной подписи нужно хранить в недоступном для посторонних лиц месте, чтобы избежать компрометации. Использовать его нужно чётко в соответствии с прилагаемой инструкцией, а при возникновении проблем — пользоваться вышеуказанными методами их решения или обращаться в службу поддержки.
Читайте также: