Электронная подпись: инструкция по установке, паролям и хранению

Установка электронной подписи требует настройки криптопровайдера (КриптоПро CSP) и строгого соблюдения правил защиты паролей контейнера и ПИН-кодов токена для предотвращения компрометации ключей.

Установка сертификатов

Процесс установки зависит от операционной системы и типа носителя. Для работы необходимо заранее установить криптопровайдер (например, КриптоПро CSP) и драйверы для USB-токена.

• На Windows (с токена):
  1. Подключите токен к USB-порту компьютера.
  2. Откройте программу «КриптоПро CSP» и перейдите на вкладку «Сервис».
  3. Нажмите «Просмотреть сертификаты в контейнере», выберите нужный контейнер и нажмите «Далее».
  4. Нажмите кнопку «Установить» и подтвердите действие, затем «Готово».
• На Windows (из файла .cer): В «КриптоПро CSP» на вкладке «Сервис» выберите «Установить личный сертификат», укажите путь к файлу с расширением .cer и следуйте инструкциям мастера установки, не меняя параметры по умолчанию.
• На Linux: Подключите токен, откройте «Инструменты КриптоПро», перейдите на вкладку «Контейнеры», выберите нужный контейнер на носителе и нажмите «Установить сертификат».

Пароли и ПИН-коды: защита и восстановление

Электронная подпись защищается двумя уровнями цифровых комбинаций:

• Пароль контейнера: защищает папку с файлами ключей (закрытым и открытым ключами). Создается пользователем при записи подписи на компьютер или обычную флешку.
• ПИН-код токена: защищает физический USB-носитель от несанкционированного использования. При первом использовании нового токена действует заводской ПИН-код (например, 12345678 для Рутокен), который настоятельно рекомендуется сразу сменить на свой.

Что делать, если пароль или ПИН-код забыт:

• Для пароля контейнера: можно попробовать вспомнить комбинацию или скопировать контейнер на другое устройство, если ранее при вводе была установлена галочка «Запомнить пароль».
• Для ПИН-кода токена: у вас есть обычно 10 попыток ввода, после которых токен блокируется. Если вы не меняли заводской пароль, попробуйте стандартные комбинации. Если меняли, можно попытаться сбросить ПИН-код через панель администратора токена (требуется административный ПИН-код, например, 87654321 для Рутокен) или через настройки «КриптоПро CSP».
• Крайняя мера: если вспомнить или сбросить код не удается, необходимо обратиться в УЦ для отзыва скомпрометированного сертификата и выпуска нового.

Правила хранения электронной подписи

Безопасное хранение ключей ЭП критически важно, так как их компрометация может привести к подписанию документов мошенниками от вашего имени.

• Аппаратные носители (токены): Это самый надежный способ. Рекомендуется использовать сертифицированные ФСТЭК/ФСБ России устройства (Рутокен, JaCarta, eToken). Для максимальной безопасности и удобства (например, для работы в ЕГАИС) лучше выбирать токены со встроенным СКЗИ (средством криптографической защиты информации), которые не требуют установки дополнительного ПО на каждый компьютер.
• Хранение на компьютере (в реестре или файлах): Допустимо в основном для неквалифицированной подписи физических лиц, но несет высокие риски (вирусы-кейлоггеры, кража ноутбука, доступ других пользователей). Если вы храните ЭП на ПК, обязательно установите сложный пароль на контейнер ключей и ограничьте физический доступ к компьютеру.

Организационные меры безопасности в компаниях:

1. Хранить токены в сейфах или закрывающихся металлических ящиках, не оставлять их на рабочем столе.
2. Запретить использование одного носителя разными сотрудниками и передачу ЭП третьим лицам.
3. Обязательно менять заводские пароли токенов и контейнеров ключей сразу после получения.
4. Не записывать пароли и ПИН-коды на бумажках, хранящихся вместе с носителем.
5. Своевременно отзывать ЭП при увольнении уполномоченного сотрудника или при утере носителя.

Частые ошибки

• Оставление заводских ПИН-кодов: Использование стандартных комбинаций (например, 12345678) делает токен уязвимым при физической краже или потере.
• Хранение паролей вместе с носителем: Запись ПИН-кода на стикере, приклеенном к токену или флешке, сводит на нет всю защиту устройства.
• Передача токена коллегам: Использование одного носителя разными сотрудниками нарушает правила безопасности и усложняет аудит действий в системе.

FAQ

Что делать, если токен заблокирован после 10 неверных попыток ввода ПИН-кода? Необходимо обратиться в удостоверяющий центр для отзыва скомпрометированного сертификата и выпуска нового, так как самостоятельная разблокировка в этом случае невозможна.

Обязательно ли менять заводской ПИН-код токена сразу после получения? Да, это настоятельно рекомендуется для защиты физического USB-носителя от несанкционированного использования.

Можно ли хранить электронную подпись просто в папке на компьютере? Это допустимо в основном для неквалифицированной подписи физических лиц, но несет высокие риски из-за вирусов-кейлоггеров или кражи устройства. Обязательно установите сложный пароль на контейнер ключей и ограничьте физический доступ к компьютеру. Для квалифицированной подписи и работы в системах вроде ЕГАИС используйте сертифицированные токены со встроенным СКЗИ.