Восстановление пароля к сертификату электронной подписи¶
Пароль к электронной подписи — это секретная строка (кодовая фраза), защищающая закрытый ключ подписи, хранящийся в защищённом хранилище сертификационного центра на компьютере, в реестре Windows, на токене (USB-ключе) или в облачном сервисе. Восстановить утраченный пароль в прямом смысле невозможно: закрытый ключ криптографически необратимо связан с паролем, поэтому единственный легальный путь — перевыпуск сертификата или обращение к администратору хранилища.
¶Где хранится пароль
Закрытый ключ электронной подписи (ЭП) в России выпускается удостоверяющими центрами (УЦ) в соответствии с Федеральным законом № 63-ФЗ «Об электронной подписи». Ключ может быть размещён в нескольких средах, и от этого зависит порядок действий при утрате пароля:
| Среда хранения | Примеры | Кто задаёт пароль |
|---|---|---|
| Защищённое хранилище Windows (контейнер «Рутокен», «КриптоПро») | КриптоПро CSP, VipNet CSP | Владелец ключа при выпуске |
| USB-токен | Рутокен ЭЦП 2.0, JaCarta, eToken | Владелец ключа |
| Облачное хранилище | VipNet Trusted Cloud, КриптоПро DSS | Владелец ключа |
| Смарт-карта | Контейнеры на чипе карты | Владелец ключа |
В большинстве случаев пароль устанавливает сам владелец подписи при первом обращении в УЦ или при активации токена. Удостоверяющий центр пароль не хранит и не может его восстановить.
¶Порядок действий при утрате пароля
¶Для подписи на токене или смарт-карте
Токены Рутокен, JaCarta и eToken имеют встроенную политику блокировки: обычно после трёх-пяти неверных попыток ввода PIN-кода контейнер блокируется. Если пароль забыт:
- Проверить документацию производителя токена — некоторые модели поддерживают заводской PIN по умолчанию (например,
12345678для Рутокен ЭЦП 2.0 при первом подключении). - Если пароль изменён и забыт, обратиться в удостоверяющий центр, выдавший сертификат. УЦ выпустит новый сертификат на новый токен или переиздаст ключ в другом контейнере.
- При блокировке PIN контейнер считается непригодным для использования — требуется перевыпуск.
¶Для подписи в защищённом хранилище Windows
Если ключ установлен в реестр Windows (контейнер «на диске»), пароль задаётся при импорте ключа из PFX-файла. При утрате пароля:
- Если сохранён исходный PFX-файл и известен пароль к нему — удалить заблокированный контейнер через оснастку «Сертификаты» (certmgr.msc) и переимпортировать ключ.
- Если PFX-файл утрачен вместе с паролем — перевыпуск сертификата в УЦ.
¶Для облачной подписи
В облачных сервисах (КриптоПро DSS, VipNet Trusted Cloud) пароль является учётными данными. Восстановление выполняется через стандартную процедуру сброса: функция «Забыли пароль» на портале сервиса, подтверждение личности через УЦ или через службу поддержки оператора облачной подписи.
¶Перевыпуск сертификата
Перевыпуск — основной сценарий восстановления доступа. Процедура включает:
- Обращение в УЦ, выдавший сертификат, с заявлением о признании ключа непригодным.
- Идентификацию заявителя (лично с паспортом или через Госуслуги для физических лиц).
- Выпуск нового сертификата с новым закрытым ключом и новым паролем.
- Установку нового сертификата на рабочее место или токен.
Стоимость перевыпуска в большинстве УЦ либо бесплатна в пределах оплаченного пакета услуг, либо оплачивается как отдельная услуга. Срок выпуска — от нескольких минут (для физических лиц через Госуслуги) до одного-трёх рабочих дней (для юридических лиц с проверкой документов).
¶Как избежать утраты пароля
- Использовать менеджер паролей для хранения PIN-кодов токенов.
- Не менять PIN-код токена без необходимости: заводской код документирован и его легко восстановить.
- Хранить PFX-файлы и пароли к ним в разных местах.
- Для юридических лиц — назначить ответственное лицо, знающее процедуру перевыпуска и имеющее доступ к УЦ.
¶Правовой аспект
Согласно 63-ФЗ, удостоверяющий центр не несёт ответственности за утрату пароля владельцем ключа: пароль является средством криптографической защиты, находящимся под контролем владельца. Обязанность УЦ — обеспечить выпуск нового сертификата при корректном подтверждении личности заявителя. Использование чужого пароля или попытки подбора PIN-кода к чужому токену квалифицируются как несанкционированный доступ к компьютерной информации (ст. 272 УК РФ).
Источники:
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»
- Документация производителей токенов: Рутокен, JaCarta, eToken
- Регламенты удостоверяющих центров (КриптоПро, НУЦ, Тензор)