Копирование сертификата электронной подписи¶
Копирование сертификата электронной подписи — перенос криптографического сертификата и закрытого ключа электронной подписи с одного носителя или компьютера на другой с целью обеспечения возможности подписания документов и идентификации владельца в информационных системах. Процедура выполняется средствами операционной системы, специализированного программного обеспечения удостоверяющих центров или криптопровайдеров и имеет ряд технических ограничений, связанных с форматом хранения ключевой информации.
¶Форматы хранения сертификатов
Сертификат электронной подписи (ЭП) представляет собой цифровой документ, подписанный удостоверяющим центром (УЦ), который содержит открытый ключ владельца, его реквизиты, срок действия и сведения о центре. Открытая часть сертификата хранится в нерабочей области сертификатов Windows в формате DER или Base64 (PEM). Закрытый ключ, в зависимости от типа подписи, может находиться:
- в реестре Windows (для программных средств криптозащиты, например, «КриптоПро CSP»);
- на защищённом носителе — токене USB (eToken, Рутокен, JaCarta) или смарт-карте;
- в файле контейнера (PFX/PKCS#12) при экспорте.
¶Способы копирования
¶Через консоль certmgr.msc
Для переноса открытого сертификата в Windows используется оснастка «Сертификаты текущего пользователя» (запуск командой certmgr.msc). В разделе «Личное» → «Сертификаты» выбирается нужный сертификат, через контекстное меню выполняется «Все задачи» → «Экспорт», после чего мастер экспорта предлагает сохранить сертификат в формате DER (.cer) или Base64 (.cer). На другом компьютере файл импортируется через «Все задачи» → «Импорт» в ту же оснастку. Этот способ переносит только открытый ключ и подходит для проверки подписей, но не позволяет подписывать документы.
¶Через КриптоПро CSP
Средства «КриптоПро CSP» позволяют работать с контейнерами закрытого ключа. Для копирования контейнера используется утилита csptest или графическая утилита «Сервис» → «Копирование ключевого контейнера». На исходном компьютере ключевой контейнер копируется в файл, после чего файл переносится на целевой компьютер, где импортируется в реестр или на токен. Для выполнения операции требуется, чтобы на обоих компьютерах была установлена совместимая версия криптопровайдера.
¶Через файл PFX (PKCS#12)
Экспорт сертификата вместе с закрытым ключом в единый файл PFX выполняется через оснастку сертификатов с флагом «Экспортировать закрытый ключ». Файл защищается паролем. На целевом компьютере файл импортируется в «Личное» хранилище. Формат PFX применяется при переходе на новое рабочее место, при переустановке операционной системы, а также при передаче подписи другому сотруднику (при наличии соответствующего разрешения УЦ).
¶Копирование на токен
При использовании USB-токенов сертификат и закрытый ключ физически находятся на защищённом носителе. Для переноса подписи на другой компьютер достаточно подключить токен и установить драйверы (например, «Рутокен» или «eToken») и средства криптозащиты. Закрытый ключ с токена в принципе не экспортируется — это защитная особенность аппаратных носителей. Для использования подписи на другом компьютере необходимо установить драйвер токена, криптопровайдер и импортировать открытый сертификат в хранилище.
¶Необходимое программное обеспечение
Для работы скопированной электронной подписи на целевом компьютере, как правило, требуются:
| Программа | Назначение |
|---|---|
| КриптоПро CSP | Криптопровайдер, работа с контейнерами ключей |
| Драйвер токена (Рутокен, eToken, JaCarta) | Обеспечение доступа к аппаратному носителю |
| Средства проверки подписи (КриптоПро PDF, Office) | Проверка подписей в документах |
| Корневые сертификаты УЦ | Доверие к сертификату на целевом компьютере |
¶Ограничения и особенности
Закрытый ключ в защищённом контейнере (токен, смарт-карта) не подлежит копированию по техническим причинам — криптографические операции выполняются внутри носителя. Копирование сертификата без закрытого ключа не позволяет подписывать документы. При переносе сертификата на другой компьютер необходимо также установить корневой и промежуточные сертификаты удостоверяющего центра, иначе подпись будет считаться недостоверной. Срок действия сертификата при копировании не изменяется; по истечении срока требуется перевыпуск в УЦ.
¶Применение
Копирование сертификатов ЭП выполняется при переводе сотрудника на новое рабочее место, при работе на нескольких компьютерах, при переустановке операционной системы, а также при необходимости подписания документов с ноутбука вне офиса. В корпоративной среде процедура часто централизована средствами групповой политики Windows или специализированными системами управления сертификатами (Microsoft AD CS, «КриптоПро DSS»).
Источники:
- Документация КриптоПро CSP (КриптоПро)
- Справка Microsoft Windows по управлению сертификатами (certmgr.msc)
- Руководства пользователей токенов Рутокен, eToken, JaCarta
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»