Сертификат ЭП: пароль и его восстановление¶
Сертификат электронной подписи (ЭП) — это электронный документ, выпускаемый удостоверяющим центром (УЦ), который подтверждает принадлежность открытого ключа подписи владельцу сертификата. Ключевой парой сертификата являются закрытый ключ (секретная часть, известная только владельцу) и открытый ключ (доступен всем). Пароль к сертификату ЭП — это защитный код, которым защищён файл закрытого ключа (контейнер ключа) в хранилище сертификатов Windows или в формате защищённого ключа (PFX/PKCS#12). Без правильного пароля невозможно использовать ЭП для подписания документов, входа на порталы государственных услуг и других сервисов.
¶Где хранится сертификат и пароль
Файлы закрытого ключа обычно размещаются в системном хранилище Windows («Сертификаты текущего пользователя» → «Личное» → «Другие пользователи»). Путь к контейнеру ключа можно посмотреть в свойствах сертификата на вкладке «Сервис» или через оснастку certmgr.msc. Сам пароль не хранится в открытом виде: операционная система запрашивает его при каждой попытке использования подписи, если владелец не сохранил его в учётной записи.
Пароль задаётся владельцем в момент выпуска сертификата в удостоверяющем центре. При удалённом выпуске (через веб-портал УЦ) пользователь придумывает пароль самостоятельно при генерации ключевой пары на своём компьютере. При личном визите в сервисный центр пароль может быть задан оператором или сгенерирован автоматически и передан владельцу на носителе (USB-флешке, ключевой карточке, токене).
¶Варианты восстановления пароля
¶Пароль сохранён в учётной записи Windows
Если при установке сертификата в окне ввода пароля был отмечен пункт «Сохранить пароль в учётной записи пользователя», то при последующем использовании подписи система подставляет его автоматически. В этом случае владелец может не помнить пароль — он не потребуется.
¶Пароль записан владельцем
Рекомендованная удостоверяющими центрами практика — записать пароль на бумаге или хранить в менеджере паролей. Если владелец располагает этой записью, восстановление не требуется.
¶Пароль был выдан удостоверяющим центром
Если сертификат выпускался в сервисном центре и пароль был сгенерирован оператором, владелец может обратиться в тот же удостоверяющий центр с заявлением о восстановлении. УЦ не хранит пароли к закрытым ключам клиентов, поэтому восстановить именно тот пароль невозможно. Однако УЦ может выпустить новый сертификат с новой ключевой парой — процедура идентична первичному выпуску.
¶Пароль утерян полностью
Если пароль неизвестен и не сохранён, восстановить доступ к существующему закрытому ключу криптографически невозможно: это противоречит назначению сертификата. Единственный выход — перевыпуск сертификата в удостоверяющем центре. Для этого необходимо:
- Обратиться в УЦ, где выпускался сертификат (или в любой другой аккредитованный УЦ).
- Подать заявление на перевыпуск, указав причину (утрата пароля).
- Пройти процедуру идентификации (лично с документом, удостоверяющим личность, или через подтверждённую учётную запись на Госуслугах).
- Сгенерировать новую ключевую пару и получить новый сертификат.
Стоимость перевыпуска, как правило, равна стоимости первичного выпуска, если сертификат не истёк. Многие УЦ предоставляют бесплатный перевыпуск при действующем договоре или в рамках абонентского обслуживания.
¶Рекомендации по хранению пароля
- Использовать менеджер паролей или физическую запись в защищённом месте.
- Не передавать пароль третьим лицам, включая сотрудников УЦ: после выпуска сертификата пароль известен только владельцу.
- При выпуске на защищённом носителе (Рутокен, eToken, JaCarta) пароль может быть не нужен — носитель сам защищает ключ PIN-кодом, который задаётся при инициализации.
- Регулярно проверять срок действия сертификата и своевременно переоформлять его, чтобы не столкнуться с потерей доступа в критический момент.
¶Особенности для юридических лиц
У сотрудников организаций сертификаты ЭП часто выпускаются корпоративными удостоверяющими центрами или через операторов ЭДО (Диадок, СБИС, Контур.Эльба и другие). В таких случаях пароль может быть известен системному администратору или куратору по ЭДО, если сертификаты выпускаются централизованно. Для восстановления пароля сотруднику следует обратиться к администратору организации, который управляет выпуском сертификатов через личный кабинет УЦ.
Источники:
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»
- Рекомендации удостоверяющих центров по выпуску и использованию сертификатов ключей проверки электронной подписи
- Документация Microsoft по хранилищам сертификатов Windows (certmgr.msc)