Как удалить сертификат из реестра КриптоПро: способы

Как удалить сертификат из реестра КриптоПро: способы Электронная цифровая подпись
Содержание
  1. Получается, что рутокен эцп и jacarta гост не являются токенами с неизвлекаемым ключом?
  2. Как сделать, чтобы все было хорошо?
  3. Основные способы удаления сертификата электронной цифровой подписи из реестра «криптопро»
  4. В каких случаях не рекомендуется удалять сертификат эцп
  5. Запрещаем экспортирование сертификата
  6. Как разблокировать pin-код рутокен?
  7. Как разблокировать pin-код через панель управления рутокен
  8. Как разблокировать pin-код через крипто про csp
  9. Конфигурация тестового стенда
  10. Матчасть
  11. Методика тестирования
  12. Параметры
  13. Подлежит ли сертификат в дальнейшем восстановлению
  14. По-новому взглянем на наш тестовый стенд
  15. Предназначение
  16. Прерванное удаление «криптопро»
  17. Примеры использования
  18. Проведение тестирования
  19. Протоколирование работы в лог-файл
  20. Смена pin-кода
  21. Стандартные pin-коды
  22. Удаление «криптопро» с очисткой следов установки
  23. Удаление сертификата эцп в ос linux
  24. Удаление средствами программы «криптопро»
  25. Форматирование

Получается, что рутокен эцп и jacarta гост не являются токенами с неизвлекаемым ключом?

Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть

. Он это

. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.

Как сделать, чтобы все было хорошо?


Чтобы с помощью продуктов ООО “КРИПТО-ПРО” реализовать технологию ФКН, необходимо:

1. Купить специальную версию библиотеки СКЗИ: — для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP. — для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.

2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.

Основные способы удаления сертификата электронной цифровой подписи из реестра «криптопро»

Сертификаты ЭЦП удаляются такими способами:

  • средствами ОС (утилита certmgr.exe);
  • с помощью шифрующей программы;
  • специальной утилитой Ccleaner;
  • непосредственной правкой реестра Windows.

Последний вариант не рекомендуется применять, поскольку он удаляет только упоминание о файлах криптографии, физические оставляя их на диске.

В каких случаях не рекомендуется удалять сертификат эцп

Уничтожение сертификата делает невозможным открытие документов, созданных и зашифрованных с его помощью. Доступ к старой документации не будет предоставлен даже при установке нового ЭЦП для этого же пользователя. При большом объеме зашифрованных файлов правильным решением станет не удаление сертификата, а его скрытие. Такой способ предпочтителен для документов бухгалтерской отчетности и материально ответственных лиц.

Запрещаем экспортирование сертификата

Производим экспорт сертификата, в итоге у вас получится архив pfx. Он будет содержать как открытый, так и закрытый ключ. Теперь попробуйте произвести импорт сертификата. Обратите внимание, что в момент импорта, вам не нужно ставить галку “Разрешить экспорт закрытого ключа” именно ей мы не дадим его выгрузку.

Вводим пинкод (чаще всего он стандартный у рутокен , если вы его не меняли)

У вас может появиться в некоторых случаях ошибка “импортированы могут быть только сертификаты для ключей RSA”

Для ее решения нам нужно преобразовать сертификат pfx. Нам потребуется утилита OpenSSL . С помощью OpenSSL экспортируем закрытый ключ из PFX-файла:

Надеюсь вам поможет данный метод, запретить экспортирование приватного ключа с рутокен, если у вас есть дополнения или другие методы, то напишите о них в комментариях.

Флешка Token в обычную и получил лучший ответ

Как разблокировать pin-код рутокен?

PIN-код блокируется после 10 неверных попыток ввода.

Разблокировать Рутокен или Рутокен Лайт можно 2 способами:

Как разблокировать pin-код через панель управления рутокен

1. Открыть меню «Пуск» > «Панель управления» > «Панель управления Рутокен
». Перейти на вкладку «Администрирование» и нажать на кнопку «Ввести PIN-код», выбрать пункт «Администриратор», ввести стандартный PIN-к
од — 87654321, нажать ОК.

2. После ввода PIN-кода администратора станет доступна кнопка «
Разблокировать», н
ужно нажать на неё, появится сообщение об успешной разблокировке.

Как разблокировать pin-код через
крипто про csp

1. Открыть меню «Пуск» > «Панель управления» > «Крипто Про CSP». Перейти на вкладку «Оборудование» и нажать на кнопку «Настроить типы носителей».

Читайте также:  Просмотр актов с расширением .p7s - ЭЦП Эксперт

2. Выбрать Rutoken или Rutoken Lite и нажать на кнопку «Свойства». Если в списке отсутствуют такие носители, то следует обновить модуль поддержки. Для этого рекомендуется воспользоваться сервисом Диагностики .

3. Перейти на вкладку «Информация» и нажать кнопку «Разблокировать PIN-код». Если вкладка «Информация» отсутствует, то следует обновить модуль поддержки. Для этого рекомендуется воспользоваться сервисом Диагностики .

Кнопка «Разблокировать PIN-код» будет неактивна, если смарт-карта не заблокирована. В этом случае будет отображена информация об оставшемся количестве попыток ввода пин-кода.

4. Появится сообщение об успешной разблокировке.

Разблокировать pin-код администратора без потери данных невозможно.

По умолчанию запрет на экспортируемый ключ ставится еще при создании токена, на центре сертификации . Если же там этого не сделали, то мы сделаем вот такой финт.

Конфигурация тестового стенда


Соберем тестовый стенд с конфигурацией, типовой для машин, участвующих в электронном документообороте (ЭДО):

  1. ОС MS Windows 7 SP1
  2. СКЗИ КриптоПРО CSP 3.9.8423
  3. Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2021, WHQL-certified
  4. Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
  5. КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.

Для тестирования будут использоваться токены с неизвлекамым ключом:

  1. Рутокен ЭЦП. Версия 19.02.14.00 (02)
  2. JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1

Матчасть

То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется

Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.

Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).

Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.

Методика тестирования

Смоделируем типовой процесс подготовки Администратором информационной безопасности ключевых документов для организации ЭДО:

  1. генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
  2. после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
  3. сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом;
  4. с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами) и передаются уполномоченным пользователям;
  5. после изготовления необходимого количества рабочих ключевых документовисходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.


В нашем случае мы не будем пользоваться услугами центров сертификации, а сгенерируем ключевой контейнер с самоподписанным сертификатом и разместим его в реестре компьютера (АРМа генерации ключевой информации), это и будет

исходный ключевой документ

. Затем скопируем ключевую информацию на Рутокен ЭЦП и JaCarta ГОСТ, изготовив

рабочие ключевые документы

. После этого уничтожим

исходный ключевой документ

, удалив из реестра ключевой контейнер. И, наконец, попробуем скопировать ключевую информацию с рабочих ключевых документов обратно в реестр.

Параметры

Утилита запускается из командной строки и имеет следующие параметры:

Параметры для управления флеш-памятью (Рутокен Flash)
21

Разбиение Flash-памяти на разделы (форматирование)

F
[идентификатор раздела (1-8)]
[размер в Мб]

[права доступа: ro, rw, hi, cd]

1
весь объем (1DDC сейчас)
a
rw

22Изменение прав доступа

C
[идентификатор раздела (1-8)]
[новые права доступа: ro, rw, hi, cd]
[долговременность: p – постоянное изменение, t – временное]

не определено
не определено
t

23Получение информации о размере Flash-памяти и атрибутах разделов

I

Формат ответа – аналогично п.21 Разбиение Flash-памяти на разделы (форматирование):

[идентификатор раздела (1-8)]
[размер в Мб]
[владелец: a – администратор, u – пользователь, l1-l9 – локальный пользователь]
[права доступа: ro, rw, hi, cd]

sz
Параметры для управления локальными пользователями Рутокен
24Устанавливаемый PIN-код локального пользователя

B

25Текущий PIN-код пользователя

O
[идентификатор локального пользователя (l1-l9)]

Если PIN-код для данного пользователя не определен, текущий PIN-код указывать не требуется
26Удаление локального пользователя-d [идентификатор локального пользователя (l1-l9)]
Читайте также:  Сертификат доступа эцп

При необходимости параметры командной строки могут быть переданы с помощью конфигурационного файла.

В случае отсутствия заданных PIN-кодов при форматировании устанавливаются PIN-коды по умолчанию.

Утилита является циклической и после выполнения заданных действий на подключенном токене ожидает подключения следующего.

Подлежит ли сертификат в дальнейшем восстановлению

Информация об удаленных сертификатах нигде не кешируется и не сохраняется в корзине, что делает невозможным их последующее восстановление даже при использовании специальной программы cpfixit.exe, возвращающей настройки безопасности реестра Windows. При ошибочном удалении ключа ЭЦП доступна только повторная установка либо добавление при помощи USB-рутокен КриптоПро.

Следует обратить внимание на получение соответствующих прав при работе с ЭЦП – для удаления достаточно иметь статус «Пользователя», а для установки потребуются полномочия «Администратора».

По-новому взглянем на наш тестовый стенд

В качестве одного из ключевых носителей использовался Рутокен ЭЦП. Через «Панель управления Рутокен» о нем можно получить следующую информацию:

В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.

Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.

Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.

Предназначение

Утилита PinChanger предназначена для автоматизации процедур форматирования и администрирования Рутокен: смены метки токена, PIN-кодов и их параметров.

Прерванное удаление «криптопро»

Удаление файлов через оснастку Windows «Программы» или установочный диск может быть прервано вследствие аппаратного или программного сбоя. В такой ситуации возможно сохранение на компьютере части секретной информации. Для ее полного удаления следует воспользоваться специальной утилитой cspclean.exe:

  • запустить файл cspclean.exe;
  • перезагрузить компьютер;
  • выполнить повторный запуск.

Если на компьютере остаются работающие компоненты программ «КриптоПро» или «КриптоАРМ» – тогда следует отказаться от использования этого сервиса и выбрать другой метод очистки.

Примеры использования

    Отформатировать один токен с параметрами по умолчанию (для поточного выполнения убрать флаг -q)

    PinChanger.exe -f -q

    Отформатировать токен, задав имя токена RutokenLabel , PIN-код пользователя 123456789 и PIN-код администратора 987654321 .

    PinChanger.exe -f -L RutokenLabel -u 123456789 -a 987654321 -q

    Отформатировать токен с использование конфигурационного файла, задав имя токена RutokenLabel , PIN-код пользователя 123456789 и PIN-код администратора 987654321 .

Проведение тестирования

1. Создадим

исходный ключевой документ

2.Сформируем

рабочие ключевые документы

3.Уничтожим исходный ключевой документ

4. Скопируем ключевую информацию из

рабочих ключевых документов

Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.

Протоколирование работы в лог-файл

Лог представляет собой файл со строками следующего содержания:

1. В случае форматирования

2. В случае смены PIN-кода

3. В случае форматирования Flash-памяти

4. В случае изменения атрибутов разделов Flash-памяти

5. В случае получения информации об атрибутах разделов Flash-памяти

Пользователь может задавать имя лог-файла и его расположение. По умолчанию файл лежит в папке с утилитой и называется Pinchanger.exe.log.

Читайте также:  Электронная цифровая подпись (ЭЦП) для регистрации деклараций о соответствии ー Нижнекамск - Компания «Сертификация плюс»

Если при повторном запуске утилиты пользователь не указал новое имя лог-файла, то старый файл дополняется.

Смена pin-кода

Пользователь может изменить PIN-код пользователя или администратора без форматирования токена, если ему известны текущие PIN-коды пользователя и администратора.

Пользователь задает текущий PIN-код администратора и пользователя в конфигурационном файле или командной строке, задает новые PIN-коды, параметры смены PIN-кода и запускает утилиту.

Результаты смены PIN-кодов пишутся в лог.

Пользователь может запустить смену PIN-кодов с автоматической генерацией новых PIN-кодов заданной длины, для этого он устанавливает соответствующую опцию в конфигурационном файле.

Пользователь может задать дефолтные значения PIN-кодов, тогда все токены будут иметь одинаковые PIN-коды.

Пользователь может задавать PIN-коды или генерировать их автоматически в кодировке UTF-8, установив соответствующую опцию в конфигурационном файле.

Пользователь может использовать заранее сгенерированные сторонними утилитами PIN-коды. Для этого в настройках он указывает файл, в котором хранится список сгенерированных PIN-кодов с символом перевода строки в качестве разделителя.

Стандартные pin-коды

12345678 — пользовательский PIN-код на Рутокен и Рутокен Лайт, установленный производителем.

При возникновении окна c просьбой ввести PIN-код, необходимо указать значение 12345678.

Для носителя Рутокен, если стандартный PIN-код (12345678) был самостоятельно изменен с помощью «Панели управления Рутокен», то в данном окне следует указывать новый PIN-код, назначенный при смене. Информация о новом пин-коде хранится только у абoнента и не известна спецоператору связи.

Удаление «криптопро» с очисткой следов установки

Устранение всех следов пребывания программы на компьютере осуществляется в 3 этапа:

  • удаление приложения;
  • очистка реестра утилитой Ccleaner;
  • устранение остаточных следов установки «КриптоПро».

Порядок действий:

  • клавишами Win R вызывается командный интерпретатор;
  • запускается appwiz.cpl;
  • отмечается галочкой отказ от повторного вывода этого окна;
  • находится нужная версия «КриптоПро CSP» и дается команда удалить ее;
  • производится перезагрузка компьютера, система выдаст сообщение о необходимости этой операции;
  • далее из командной строки вызывается утилита Ccleaner и галочкой отмечается пункт «Очистка»;
  • после выполнения задания выделяются галочкой «Реестр» и «Поиск проблем»;
  • на экран будет выведен список параметров, оставшихся в реестре;
  • они удаляются нажатием кнопки «Исправить выбранное»;
  • последние 2 действия Ccleaner повторяются до полной деинсталляции файлов;
  • в завершение очищается кеш установки, для этого делаются видимыми скрытые каталоги и удаляется папка «C:ProgramDataCryptoPRO».

По завершении всех действий в компьютере не остается следов пребывания криптографического пакета в реестре и на диске.

Удаление сертификата эцп в ос linux

Деактивация ключей ЭЦП в ОС Linux может выполняться в графической среде или в режиме командной строки. Порядок действий похож для всех дистрибутивов «Линукс»:

  • открывается окно командного интерпретатора;
  • вводится «certmgr -list»;
  • в появившемся списке выбирается требуемая запись;
  • вводится команда «certmgr -del -c -mxxxxx.cer», где вместо «xxxxx.cer» указывается номер сертификата.

При внесении данных следует быть внимательными, т.к. в окне отображаются сведения обо всех сертификатах, а не только ЭЦП.

Удаление средствами программы «криптопро»

Приложение «КриптоПро CSP» предоставляет все возможности для работы с ЭЦП. Оно устанавливает, стирает, копирует и скрывает файлы сертификатов и ключей. Удаление просроченных и ненужных файлов с расширением “.key” требует выполнения следующих действий:

  • запустить приложение «КриптоПро»;
  • перейти на вкладку «Сервис» в окне программы;
  • развернуть список ключей ЭЦП;
  • отметить нужную запись;
  • нажать на «Удалить» либо «Удалить контейнер» (определяется версией ПО);
  • подтвердить действие.

Преимуществом этого способа является то, что «КриптоПро» удаляет каждую запись по отдельности либо сразу все вместе с корневым сертификатом УЦ.

Форматирование

Утилита предоставляет пользователю возможность поточного форматирования токенов:

  1. Пользователь запускает утилиту, установив предварительно необходимые настройки в конфигурационном файле или задав опции в командной строке.
  2. Утилита форматирует обнаруженные токены, заносит результаты в лог-файл, ждет подключения следующего токена или команды прекращения работы (например по нажатию на клавишу Enter).

    Результаты форматирования пишутся в лог.

Пользователь может запустить форматирование токенов с автоматической генерацией PIN-кода заданной длины, для этого он устанавливает соответствующую опцию в конфигурационном файле.

Оцените статью
ЭЦП Эксперт
Добавить комментарий

Adblock
detector