Как выбрать и использовать USB-токен для электронной подписи

USB-токен для электронной подписи — это защищенный носитель, безопасно хранящий закрытый ключ и сертификат КЭП. В отличие от флешки, он не позволяет скопировать ключ в открытом виде.

Как выбрать USB-токен в 2026 году

При выборе устройства необходимо учитывать следующие ключевые критерии:

1. Сертификация: Устройство обязательно должно иметь действующие сертификаты соответствия ФСБ и ФСТЭК России. Этот номер потребуется указать при подаче заявления на получение КЭП.
2. Тип криптозащиты (СКЗИ):
   • Активные токены (со встроенным СКЗИ и неизвлекаемым ключом): обязательны для получения подписи на руководителя организации или ИП в ФНС, а также для работы в системах ЕГАИС (алкогольная и лесная продукция).
   • Пассивные токены (без встроенного СКЗИ): подходят для сотрудников, работающих по доверенности, для сдачи отчетности и электронного документооборота (в этом случае на компьютер отдельно устанавливается криптопровайдер).
3. Актуальность модели: С 1 июня 2024 года создание новых ключей на устаревших носителях (например, «Рутокен ЭЦП 2.0») запрещено. Следует выбирать устройства нового поколения, такие как «Рутокен ЭЦП 3.0», «JaCarta-3 PKI» или «JaCarta-3 ГОСТ» в металлическом корпусе.
4. Тип разъема: В зависимости от оборудования выберите стандартный разъем USB Type-A или более современный USB Type-C для новых ноутбуков.

Пошаговая инструкция по использованию

1. Получение подписи: Приобретите токен и обратитесь в удостоверяющий центр ФНС или к доверенному лицу (например, в уполномоченный банк) с паспортом, СНИЛС, ИНН и самим токеном для записи на него сертификата КЭП.
2. Установка программного обеспечения: Подключите токен к компьютеру и установите необходимые драйверы с сайта производителя, криптопровайдер (например, КриптоПро CSP версии 5.0), плагин для браузера и корневые сертификаты Минцифры России.
3. Установка личного сертификата: Откройте программу КриптоПро CSP, перейдите на вкладку «Сервис» и нажмите кнопку «Установить личный сертификат». Следуя подсказкам мастера установки, выберите контейнер с ключом на вашем токене и сохраните сертификат в хранилище «Личное».

4. Смена PIN-кода: Для повышения безопасности рекомендуется зайти в «Панель управления Рутокен» или «Единый Клиент JaCarta» и сменить стандартный 8-значный PIN-код на собственный надежный пароль.
5. Подписание документов: Вставьте токен в USB-порт, откройте нужную программу или веб-сервис (например, Контур.Крипто, КриптоАРМ или портал Госуслуг), выберите сертификат, расположенный на токене, введите PIN-код и подтвердите операцию подписания.

Частые ошибки

• Попытка выпустить КЭП на «Рутокен ЭЦП 2.0»: С 1 июня 2024 года это запрещено, УЦ откажет в выпуске сертификата на устаревший носитель.
• Использование пассивного токена для руководителя: Для подписи руководителя организации или ИП в ФНС, а также для ЕГАИС, требуется исключительно активный токен с неизвлекаемым ключом.
• Игнорирование смены стандартного PIN-кода: Оставление заводского 8-значного кода создает критическую уязвимость для вашей электронной подписи.

FAQ

Можно ли скопировать закрытый ключ с USB-токена на компьютер?
Нет, активные токены конструктивно не позволяют извлечь или скопировать закрытый ключ в открытом виде, что гарантирует его безопасность.

Какой токен выбрать для сотрудника, работающего по доверенности?
Подойдет пассивный токен без встроенного СКЗИ. В этом случае криптопровайдер устанавливается отдельно на рабочий компьютер сотрудника.

Обязательно ли менять PIN-код после получения токена?
Да, это критически важно для безопасности. Стандартный 8-значный код следует заменить на собственный надежный пароль сразу после получения устройства в панели управления.