Установка сертификата ЭЦП в хранилище сертификатов¶

Установка сертификата ЭЦП в хранилище сертификатов — процесс импорта криптографического сертификата (электронной подписи) в системное хранилище сертификатов операционной системы Windows или в специализированное программное обеспечение криптопровайдера, обеспечивающий его использование для подписи документов, шифрования данных и идентификации владельца в информационных системах. Процедура является обязательным этапом первичной настройки рабочего места для работы с электронным документооборотом в России, где электронная подпись применяется при сдаче отчётности в ФНС, Росстат, ПФР, взаимодействии с порталом Госуслуг, системой «Электронный бюджет», торгами и иными сервисами.

¶Виды электронных подписей

В Российской Федерации электронная подпись регулируется Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи». Согласно закону, различают три вида подписи:

• Простая электронная подпись — подпись, созданная средствами криптографической защиты и подтверждающая факт формирования подписи определённым лицом (например, коды из СМС, логины и пароли).
• Усиленная неквалифицированная электронная подпись (НЭП) — создана с использованием средств криптографической защиты информации, позволяет установить автора и факт изменения документа после подписания.
• Усиленная квалифицированная электронная подпись (КЭП) — имеет юридическую силу, равную собственноручной подписи, создаётся с использованием криптографических средств, сертифицированных ФСБ РФ, и подтверждается квалифицированным сертификатом.

Сертификат ЭЦП — это электронный документ, выпускаемый удостоверяющим центром (УЦ), содержащий открытый ключ подписи, сведения о владельце, сроке действия и центре, выдавшем сертификат. Для работы с подписью сертификат должен быть установлен в хранилище сертификатов операционной системы, а соответствующий закрытый ключ — доступен через криптопровайдер (например, «КриптоПро CSP», VipNet CSP, «Рутокен CSP»).

¶Хранилища сертификатов Windows

Операционная система Windows поддерживает несколько хранилищ сертификатов:

Для работы с ЭЦП сертификат подписи устанавливается в хранилище «Личное» (Current User\Personal или Local Machine\Personal), а корневой и промежуточный сертификаты удостоверяющего центра — в соответствующие системные хранилища доверия.

¶Способы установки сертификата

¶Через оснастку «Сертификаты» (certmgr.msc)

Наиболее распространённый способ без использования дополнительного ПО:

1. Нажать комбинацию клавиш Win + R, ввести certmgr.msc (для текущего пользователя) или certlm.msc (для компьютера) и нажать Enter.
2. В дереве слева развернуть раздел «Личное» → «Сертификаты».
3. Щёлкнуть правой кнопкой мыши по разделу, выбрать «Все задачи» → «Импорт…».
4. В мастере импорта нажать «Далее», указать файл сертификата (как правило, в формате .cer, .crt или .pfx).
5. Если файл содержит закрытый ключ (.pfx), указать пароль, заданный при выгрузке.
6. Выбрать хранилище (или оставить автоматический выбор) и завершить импорт.

¶Через криптопровайдер КриптоПро CSP

Для установки сертификата с привязкой к закрытому ключу в контейнере «КриптоПро CSP»:

1. Открыть панель управления «КриптоПро CSP».
2. Перейти на вкладку «Сервис».
3. Нажать кнопку «Просмотреть сертификаты в контейнере…», выбрать нужный контейнер закрытого ключа.
4. Нажать «Установить» — мастер установит сертификат в хранилище «Личное» текущего пользователя и автоматически установит цепочку доверия (корневой и промежуточный сертификаты УЦ), если они доступны в контейнере.

¶Через проводник Windows

Дважды щёлкнув по файлу сертификата в формате .cer или .pfx, можно запустить встроенный мастер импорта сертификатов, который аналогично предыдущему способу предложит выбрать хранилище и завершить установку.

¶Установка цепочки сертификатов УЦ

Для корректной работы подписи система должна доверять удостоверяющему центру, выдавшему сертификат. Это означает необходимость установки:

• корневого сертификата удостоверяющего центра (файл, как правило, распространяется самим УЦ на официальном сайте);
• промежуточного сертификата (если УЦ использует иерархическую структуру).

Корневой сертификат устанавливается в хранилище «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации». При установке через «КриптоПро CSP» цепочка устанавливается автоматически, если сертификаты предварительно импортированы в контейнер закрытого ключа.

¶Проверка установленного сертификата

После установки сертификат можно проверить в оснастке certmgr.msc: в разделе «Личное» → «Сертификаты» должен отображаться сертификат с именем владельца, сроком действия и пометкой «Эта копия проверена». Двойной щелчок по сертификату открывает окно свойств, где на вкладке «Общие» отображается статус проверки, а на вкладке «Путь сертификации» — цепочка доверия.

¶Типичные проблемы при установке

• Ошибка «Неверная кодовая страница» или «Контейнер не найден» — указывает на отсутствие доступа к закрытому ключу или необходимость установки обновлений криптопровайдера.
• Сертификат отображается с жёлтым значком предупреждения — цепочка доверия неполная: отсутствует корневой или промежуточный сертификат УЦ.
• Сертификат не отображается в списке при подписании — проверяется срок действия, включён ли сертификат в список отзыва (CRL) и соответствует ли назначение ключа (подпись/шифрование).
• Ошибка «КриптоПро CSP: сертификат не найден» — требуется перезапуск службы «Cryptographic Services» или повторная установка сертификата через панель управления КриптоПро.

Источники:

• Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»
• Документация ООО «КриптоПро» по продукту «КриптоПро CSP»
• Microsoft Docs: сертификаты и PKI для Windows
• Руководства удостоверяющих центров по выпуску и установке квалифицированных сертификатов