Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара (Страница 1 из 2)
Наше ООО получило (безвозмездно) от налоговой ЭП ЮЛ на ключевом носителе Рутокен ЭЦП 2.0
у которого в спецификациях (https://www.rutoken.ru/products/catalogue/id_81.html) сказано, что
он «позволяет выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена.»
Действительно, при попытке скопировать ключ с помощью оснастки «Панель управление Рутокен» или «КриптоПро CSP» появляется сообщение о невозможности экспорта ключа из-за установки соответствующего флага.
1. Как я могу быть уверен, что ключевая пара сформирована самим устройством токена, а не на компьютере сотрудника налоговой (что сразу же переводит ключ в статус скомпрометирован, так как я по умолчанию не доверяю «Леночке между декретами»)?
2. На компьютере с успешно установленными драйверами рутокен-а и утилитой КриптоПро CSP (не ФКН) данный ключ успешно эксплуатируется, из чего я делаю вывод, что криптопреобразования проводятся на ПК а не микропроцессором токена, следовательно ключ покидает токен? . Получается какой-то цирк безопасности?
3. Хотелось бы услышать список причин, по которым признак «неизвлекаемости» ключа стал обязательным.
#2 Ответ от Ксения Шаврова 2021-07-19 17:33:04
- Ксения Шаврова
- Администратор
- Неактивен
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
mihmig пишет:
Наше ООО получило (безвозмездно) от налоговой ЭП ЮЛ на ключевом носителе Рутокен ЭЦП 2.0
у которого в спецификациях (https://www.rutoken.ru/products/catalogue/id_81.html) сказано, что
он «позволяет выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена.»Действительно, при попытке скопировать ключ с помощью оснастки «Панель управление Рутокен» или «КриптоПро CSP» появляется сообщение о невозможности экспорта ключа из-за установки соответствующего флага.
Есть два термина «неизвлекаемость» и «неэкспортируемость». Эти термины пришли из разных мест, предлагаю разобраться:
В нашей терминологии используются:
— «Неизвлекаемые» ключи – это аппаратные ключи формата PKCS#11. Для генерации которых использовались аппаратные возможности Рутокена семейств 2.0 и 3.0. Такие ключи успешно используются, например, в ЕГАИС. Все операции с подписью производятся внутри токена и ключи никогда не покидают память токена (не извлекаются во время подписания).
— «Неэкспортируемые» ключи – терминология пришла из программного продукта «КриптоПро CSP» — это значит, что во время генерации ключей с помощью «КриптоПро CSP» был установлен флаг «экспорт запрещен», то есть закрытый ключ нельзя скопировать на другой носитель. Но во время работы с таким контейнером, подписание происходит на программном уровне в оперативной памяти компьютера.
Точно сказать какой у вас ключ могу, если вы приложите скриншот «Панель управления Рутокен» — вкладка «Сертификаты» или напишете что указано в поле, обведенном в рамку в этом знании — https://dev.rutoken.ru/display/KB/RU1081
Далее отвечу по пунктам:
mihmig пишет:
1. Как я могу быть уверен, что ключевая пара сформирована самим устройством токена, а не на компьютере сотрудника налоговой (что сразу же переводит ключ в статус скомпрометирован, так как я по умолчанию не доверяю «Леночке между декретами»)?
Если формат ключей «КриптоПро CSP», 100% гарантии нет.
Если ключи формата PKCS#11 — то ключи не могли быть сгенерированы где-то ещё, кроме самого токена. Копирование уже сформированных ГОСТ-ключей на Рутокен ЭЦП 2.0/3.0 запрещено — это требование ФСБ.
mihmig пишет:
2. На компьютере с успешно установленными драйверами рутокен-а и утилитой КриптоПро CSP (не ФКН) данный ключ успешно эксплуатируется, из чего я делаю вывод, что криптопреобразования проводятся на ПК а не микропроцессором токена, следовательно ключ покидает токен? . Получается какой-то цирк безопасности?
А вот тут не всегда. Например, «КриптоПро CSP» версии 5.0 R2 может успешно работать с неизвлекаемыми ключами PKCS, используя библиотеку rtpkcsecp и тогда ключи не извлекаются, а может работать с программными ключами и тогда токен будет в пассивном режиме хранить ключи на смарт-карте под PIN-кодом.
mihmig пишет:
3. Хотелось бы услышать список причин, по которым признак «неизвлекаемости» ключа стал обязательным.
Требования к неизвлекаемости сейчас нет.
Согласно требованиям УЦ ФНС есть требования к неэкспортируемости для повышения безопасности.
Неэкспортируемые закрытые ключи обладают большей защищенностью, т.к. однажды записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи штатных возможностей средства криптографической защиты информации. Неэкспортируемые закрытые ключи являются более надежным вариантом использования, поскольку получение доступа к такому закрытому ключу требует применения специальных средств и техники.
Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара (Страница 2 из 2)
Неэкспортируемые закрытые ключи обладают большей защищенностью, т.к. однажды записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи штатных возможностей средства криптографической защиты информации
На днях случайно нашел, как закрытый ключ извлекается из Rutoken lite на раз-два.
И понял, что читать надо побуквенно, прямо как в договорах, и что неэкспортируемые ключи нельзя экспортировать штатными средствами, а не штатными очень даже можно.
Итого имеем, что ключ, выдаваемый налоговой может быть компрометирован как минимум:
Автором программы-генератора ключа на ПК
Системным администратором, администрирующим ПК сотрудника налоговой
Самим сотрудником налоговой
Ну в общем есть у меня теперь флешка на 64 килобайта, но с сертификатом ФСБ за 2000р.
Дорого конечно за флешку на 64 килобайта, ну да ладно.
А теперь вопрос, который возник при побуквенном прочтении топика.
ЭЦП 2.0 генерирует ключевую пару внутри, закрытый ключ не покидает ключ (и это прекрасно), и подписывает или дешифрует те данные, что ему засунет софт (в данном случае КриптоПРО).
Правильно я понял ?
Из ЭЦП 2.0 можно экспортировать публичный ключ, что собственно и делает налоговая, выдавая этот ключ.
Правильно я понимаю ?
И главный вопрос.
Если ключи формата PKCS#11 — то ключи не могли быть сгенерированы где-то ещё, кроме самого токена. Копирование уже сформированных ГОСТ-ключей на Рутокен ЭЦП 2.0/3.0 запрещено — это требование ФСБ.
Все же, приватный ключ ФСБ запрещает генерировать вне токена, и записывать на токен,
или этот токен физически не может принять на борт приватный ключ, сгенерированный не им ?
Т.е. не получится ли так же как в Lite версии, что ключ конечно хранится надежно, но ключ мог быть (пусть в нарушении требований ФСБ, но физически мог) сгенерирован вне токена ?
Ибо проверить, каким софтом и как настраивается токен я не могу.
А если токен позволяет залить на борт приватный ключ (т.е. его могли сгенерировать и скомпрометировать) — то как правильно заметил mihmig, получается самый что ни на есть «цирк безопасности».
#17 Ответ от Ксения Шаврова 2022-04-22 12:21:07
- Ксения Шаврова
- Администратор
- Неактивен
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
biohumanoid пишет:
ЭЦП 2.0 генерирует ключевую пару внутри, закрытый ключ не покидает ключ (и это прекрасно), и подписывает или дешифрует те данные, что ему засунет софт (в данном случае КриптоПРО).
Да, для максимальной безопасности ваших закрытых ключей нужно генерировать ключи на Рутокен ЭЦП 2.0 2100, серт. ФСБ, используя библиотеку PKCS#11 (формат «как для ЕГАИС»), тогда они будут неизвлекаемыми и, действительно не покинут память токена. Их нельзя будет ни перехватить, ни скопировать.
Все варианты как сгенерировать такие ключи описаны в руководстве: https://dev.rutoken.ru/pages/viewpage.a … d=20120078
Если на Рутокен из семейства ЭЦП будет сгенерированы пассивные ключи формата КриптоПро CSP, как на Рутокен Lite, они так же будут извлекаемыми. В ФНС проставляют запрет экспорта, который будет запрещать копирование штатными средствами.
biohumanoid пишет:
Из ЭЦП 2.0 можно экспортировать публичный ключ, что собственно и делает налоговая, выдавая этот ключ.
Публичный ключ — открытая информация. Делает ли экспорт ИС ФНС — нужно уточнять у налоговой.
biohumanoid пишет:
Все же, приватный ключ ФСБ запрещает генерировать вне токена, и записывать на токен, или этот токен физически не может принять на борт приватный ключ, сгенерированный не им ?
Вы можете использовать Рутокен ЭЦП как активный носитель (и работать с неизвлекаемыми ключами), так и как пассивный (аналогично Рутокен Lite). Оба варианта легитимные, если использовать сертифицированный в ФСБ СКЗИ.
Подробнее о разнице между активными и пассивными носителями можно прочитать на https://dev.rutoken.ru/pages/viewpage.a … d=98937400
Формат ключей можно увидеть в «Панели управления Рутокен» — на вкладке «Сертификаты».
#18 Ответ от biohumanoid 2022-04-22 14:57:45
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
Ксения Шаврова пишет:
biohumanoid пишет:
ЭЦП 2.0 генерирует ключевую пару внутри, закрытый ключ не покидает ключ (и это прекрасно), и подписывает или дешифрует те данные, что ему засунет софт (в данном случае КриптоПРО).
Да, для максимальной безопасности ваших закрытых ключей нужно генерировать ключи на Рутокен ЭЦП 2.0 2100, серт. ФСБ, используя библиотеку PKCS#11 (формат «как для ЕГАИС»), тогда они будут неизвлекаемыми и, действительно не покинут память токена. Их нельзя будет ни перехватить, ни скопировать.
Все варианты как сгенерировать такие ключи описаны в руководстве: https://dev.rutoken.ru/pages/viewpage.a … d=20120078
Если на Рутокен из семейства ЭЦП будет сгенерированы пассивные ключи формата КриптоПро CSP, как на Рутокен Lite, они так же будут извлекаемыми. В ФНС проставляют запрет экспорта, который будет запрещать копирование штатными средствами.
PKCS#11 — платформонезависимый программный интерфейс доступа к криптографическим устройствам, в данном случае к Rutoken ЭЦП 2.0.
Также у вас есть библиотека PKCS#11, реализующая этот интерфейс.
Но меня интересует:
1. Действительно ли налоговая генерирует ключ для ЭЦП 2.0 средствами самого ЭЦП 2.0 через интерфейс PKCS#11 ?
2. И как я могу, получив этот токен убедиться, что закрытый ключ был действительно сгенерирован внутри токена, а не залит извне.
Что в панели управления Рутокен будет говорить о том, что ключ был сгенерирован внутри устройства ?
Легитимность = правомерность, т.е. я могу его использовать с ФНС.
Но меня волнует вопрос, действительно ли я единственный обладатель моего ключа.
В Rutoken lite таких гарантий нет, как выяснилось.
Вопрос — есть ли такие гарантии в ЭЦП 2.0 ?
#19 Ответ от Аверченко Кирилл 2022-04-22 16:17:37
- Аверченко Кирилл
- Техническая поддержка
- Неактивен
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
Добрый день.
1. Да, налоговая генерирует ключи в том числе через PKCS#11.
2. В панели управления Рутокен на вкладке Сертификаты необходимо убедиться, что в описании сертификата с ключем написано «Объект PKCS#11».
В статье https://dev.rutoken.ru/pages/viewpage.a … d=20120078 показаны скриншоты, как отображаются неизвлекаемые ключи формата PKCS#11 в Панели Управления Рутокен и Панели КриптоПро.
Импорт закрытых ключей формата ГОСТ PKCS#11 на носители семейства Рутокен ЭЦП физически невозможен.
#20 Ответ от Gleb 2022-10-29 07:27:56
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
1. Опишите плиз процедуру в налоговой, которую я должен соблюдать, когда туда пойду, чтоб точно получить ключевую пару сгенеренную внутри продукта rutoken эцп 3.0 с неизвлекаемым закрытым ключем, как генеральный директор ООО.
2. Возможно ли использовать встроенные алгоритмы шифрования для генерации неизвлекаемых ключей без установки всяких крипто про 5.0? Только с помощью софта от руктокена. Данные ключи не предполагается использовать для общения с государственными органами.
#21 Ответ от Аверченко Кирилл 2022-10-31 08:48:23
- Аверченко Кирилл
- Техническая поддержка
- Неактивен
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
Gleb, добрый день.
1. В налоговой необходимо уточнить, чтобы записали «аппаратные» ключи или «ключи для ЕГАИС».
2. Да, это возможно с помощью ПО, которое работает напрямую с нашей библиотекой rtpkcs11ecp или с Рутокен Плагин.
#22 Ответ от Gleb 2022-11-01 02:11:02
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
Аверченко Кирилл пишет:
Gleb, добрый день.
1. В налоговой необходимо уточнить, чтобы записали «аппаратные» ключи или «ключи для ЕГАИС».
2. Да, это возможно с помощью ПО, которое работает напрямую с нашей библиотекой rtpkcs11ecp или с Рутокен Плагин.
Спасибо большое. По пункту 2, какое это ПО, которое работает с вашей библиотекой? Список ПО есть какой-то? Нужен интерфейс который может искользовать Windows 10 — например шифровать данные или подписывать файлы из скриптов powershell. так-же есть задача использовать аппаратные ключи в сессиях ssh. Есть какой-то манул и пример реализации по данному вопросу? Может быть у вас есть какая-то утилита командной строки для windows/linux и ее исходный код?
#23 Ответ от ПользовательRutoken20эцп 2022-11-03 23:35:03
- ПользовательRutoken20эцп
- Посетитель
- Неактивен
Re: Рутокен ЭЦП 2.0 — неизвлекаемая ключевая пара
Аверченко Кирилл пишет:
Gleb, добрый день.
1. В налоговой необходимо уточнить, чтобы записали «аппаратные» ключи или «ключи для ЕГАИС».
2. Да, это возможно с помощью ПО, которое работает напрямую с нашей библиотекой rtpkcs11ecp или с Рутокен Плагин.
У меня RuToken ЭЦП 2.0.
2022-06-08 был в налоговой, получил как ИП цифровую подпись, в свойствах RuToken Control Panel для сертификата указано «Crypto-Pro GOST R 34.10-2012 Cryptographic service provider». То есть, насколько я понимаю эту тему, подпись извлекаемая.
Прочитав эту тему (большое спасибо за толковые разъяснения!), сегодня отправился в налоговую получить новую подпись, так как я по соображениям безопасности хочу неизвлекаемую подпись. Я был в Москве, там единственное место выдает подписи — ИФНС 46.
Так вот, я им сразу сказал, что мне нужна именно аппаратная подпись, она же «как для ЕГАИС». Девушка в окошке возражать не стала. Когда подпись уже была записана на токен, я спросил — вы аппаратную сделали? На что мне ответили, что никакого выбора нет, и программа делает в зависимости от токена. Уже зная, что мне несколько месяцев назад сделали неправильную, я попросил кого-то кто может мне ответить, и подошедшая жещина снова мне сказала, что никакого выбора нет.
Ну ладно, я позвонил в поддержку 8-800-222-22-22, там поговорил с первой линией, меня перевели «на специалиста», где меня опять заверили, что никакого выбора нет, и они делают только неэкспортируемые (то есть, неправильные) подписи в формате CryptoPro, и все, точка, никаких больше вариантов.
И во тя добрался до дома, вставил токен, и тадам, RuToken Control Panel для новой подписи показывает «PKCS#11 Object, available using Crypto-Pro Gost 34.10-2012», то есть, я так понимаю, на этот раз она неизвлекаемая, как я и хотел.
Выводы:
1) Ни специалисты на телефоне, ни работники в окошке в налоговой сами нифига не понимают.
2) То ли они исправили программу за последние 5 месяцев, то ли они пишут подписи какие попало наугад.
#24 Ответ от Аверченко Кирилл 2022-11-07 11:14:30
- Аверченко Кирилл
- Техническая поддержка
- Неактивен
Термины
Часть терминов в статье подается в упрощенном виде для простоты понимания.
Используя термин ЭП, мы подразумеваем квалифицированную электронную подпись (КЭП). Это электронная подпись, которая полностью соответствует всем требованиям 63-ФЗ и Приказу ФСБ России № 796 к средствам ЭП и хранится на персональном защищенном ключевом носителе.
Ключи ЭП — закрытый и открытый ключи, которые вместе составляют ключевую пару. Создание (генерация) ключевой пары выполняется криптографическим программным обеспечением , оно может быть установлено в точке выдачи УЦ, у вас на компьютере и в самом ключевом носителе.
Закрытый ключ никому разглашать нельзя. Если его кто-то узнал, то он может подписать любой документ от вашего имени.
Открытый ключ можно показывать всем. Его значение (это просто длинное число) заносится в сертификат ключа проверки электронной подписи (он же просто «сертификат»), который потом используется при проверке вашей подписи под документом.
Сертификат ЭП выдает Удостоверяющий Центр (УЦ). Форма сертификата КЭП соответствует требованиям Приказа ФСБ РФ № 795. Главная задача УЦ — достоверно определить, что вы – это вы. Для того, чтобы при обмене документами в электронном виде люди точно знали, что подпись, сделанная с использованием вашего сертификата — поставлена именно вами.
Ключи ЭП вместе с сертификатом составляют контейнер ЭП (ключевой контейнер).
Разновидность ключей электронной подписи
Извлекаемые ключи («пассивные контейнеры»)
Создаются с помощью программного ГОСТ-криптопровайдера, который устанавливается в операционную систему (ОС).
Контейнеры ГОСТ-криптопровайдеров можно хранить в виде файлов на флеш-накопителях, жестком диске и реестре компьютера или на специализированном ключевом носителе, защищенном PIN-кодом.
Когда ключевые контейнеры хранятся как обычные файлы, возможности анализа, копирования или удаления никак не ограничены, а значит скопировать и удалить их может кто угодно. Поэтому безопаснее хранить ключевые контейнеры на специализированном, защищенном ключевом носителе (смарт-карте или токене), защищенном PIN-кодом. Именно этот вариант мы и будем рассматривать дальше.
Чтобы криптопровайдер (СКЗИ) смог получить доступ к содержимому защищенного ключевого носителя, нужно физически иметь в распоряжении ключевой носитель и знать PIN-код. Все операции с закрытым ключом выполняются в оперативной памяти компьютера.
Т. е. во время операций с закрытым ключом, после ввода правильного PIN-кода, закрытый ключ временно извлекается в оперативную память компьютера.
Таким образом, извлекаемые экпортируемые ключи — это ключи, которые можно скопировать на другой носитель средствами программного криптопровайдера.
А извлекаемые неэкспортируемые ключи — это ключи с запретом копирования стандартными средствами программного криптопровайдера.
Защита от копирования реализуется внутренними программными механизмами самого криптопровайдера. При этом техническая возможность скопировать контейнер (закрытый ключ) остается. При формировании или импорте контейнера на ключевой носитель может быть установлен запрет на процедуру копирования, такие контейнеры (и закрытые ключи в них) называются неэкспортируемыми. Впоследствии этот параметр ы изменить нельзя.
Неизвлекаемые ключи («активные контейнеры»)
Создаются с использованием встроенных аппаратных криптографических механизмов внутри специализированных ключевых носителей. Для генерации ключей используется криптографическое ядро внутри микроконтроллера устройства. Такие ключи ЭП хранятся не просто в защищенной памяти с доступом по PIN-коду, но и в специальном типе файлов, с которым умеет работать только криптоядро устройства. При работе с подписью все операции производятся внутри токена, и закрытый ключ никогда не копируется из памяти микроконтроллера.
Неизвлекаемые ключи бывают разного формата: PKCS#11 и “ФКН-ключ” .
Используя стандартизированный программный интерфейс (API) библиотеки PKCS#11, приложение, или программный криптопровайдер, напрямую работает с криптоядром ключевого носителя.
У носителей, которые называются ФКН (функциональный ключевой носитель) есть возможность работать с неизвлекаемыми “ФКН-ключами”. Такие носители и криптопровайдер на компьютере, для передачи PIN-кода и другого обмена (в т.ч. данными, которые подписываются), строят защищенный канал. Для этого используется протокол SESPAKE ( протокол выработки общего ключа с аутентификацией на основе пароля). Выработка ключа — задача устройства ФКН и криптопровайдера на компьютере, поэтому на компьютере также должна быть установлена версия КриптоПро CSP, поддерживающая SESPAKE.
Неэкспортируемый ключ ≠ неизвлекаемый ключ .
Неэкспортируемые ключи ЭП ненадолго извлекаются в оперативную память компьютера при работе с ними программного криптопровайдера. При этом копирование неизвлекаемых ключей полностью исключено.
Доступ к закрытому ключу
Для доступа к ключевому контейнеру при работе с любыми защищенными ключевыми носителями обязательно требуется ввести правильный PIN-код Пользователя . PIN-код может не быть длинным и сложным – это компенсируется требованием физического владения устройством и ограничениями на перебор PIN-кода. После определенного количества неудачных попыток ввода PIN-кода доступ к содержимому токена или смарт-карты блокируется. Это защищает от случайного подбора PIN-кода. Очень важно установить уникальный PIN-код, который будет сложно подобрать.
Теперь поговорим о том, какие бывают ключевые носители.
Виды защищенных ключевых носителей
Пассивные ключевые носители
Выступают в роли защищенного хранилища для извлекаемых ключей. То есть программный криптопровайдер генерирует ключи, записывает их в защищенную PIN-кодом память устройства и впоследствии работает с ними. Пример такого носителя – Рутокен Lite .
Активные ключевые носители
Могут выступать в роли пассивного ключевого носителя, что снижает безопасность использования ключа ЭП. Но главное их отличие в том, что они являются самостоятельным СКЗИ, если использовать функции аппаратного криптоядра устройства — встроенного микрокомпьютера. Ключи сгенерированные в криптоядре — неизвлекаемые и вся работа с закрытым ключом (в т. ч. формирование ЭП) будет производиться внутри носителя. Активные ключевые носители еще называют криптографическими ключевыми носителям
Пример активного носителя — Рутокен ЭЦП 3.0 3220 .
Функциональный ключевой носитель (ФКН)
Это активный носитель, дополнительно имеющий реализацию протокола SESPAKE для построения защищенного канала между криптопровайдером и токеном.
Пример такого устройства — Рутокен ЭЦП 3.0 3220 , который также поддерживает активный и пассивный режимы.
1) Криптографические возможности активных и ФКН-носителей ≠ встроенный КриптоПро CSP. Если требуется работа с КриптоПро CSP, нужно приобрести лицензию на этот продукт. Вне зависимости от вида ключевого носителя и формата ключей ЭП на нем.
2) Конвертация ключей из одного формата в другой невозможна. Если ключи были созданы извлекаемыми, то их нельзя перевести в формат неизвлекаемых ключей и наоборот.
Средства генерации ключевых пар
Рассмотрим с помощью каких средств криптографической защиты информации (СКЗИ) можно генерировать и использовать разные форматы ключей, на примере устройств Рутокен:
Извлекаемые ключи («пассивные контейнеры»)
- СКЗИ КриптоПро CSP версии 4.0 и новее . При генерации нужно выбрать «режим CSP». Ключи будут созданы в защищённой памяти любой из моделей Рутокен.
- При использовании СКЗИ VipNet CSP или Signal-COM CSP , режим выбирать не надо: извлекаемые ключи будут созданы на пассивных ключевых носителях.
Неизвлекаемые ключи («активные контейнеры»)
Генерируются на активных и ФКН носителях, с использованием стандартизированного программного интерфейса (API) библиотеки PKCS#11.
Например, вся линейка продуктов Рутокен ЭЦП 3.0 содержит в себе возможности аппаратной криптографии.
Для генерации ключей формата PKCS#11 можно использовать инструменты от компании Актив:
- Генератор запроса на сертификат из комплекта Драйверов Рутокен.
- Рутокен SDK, содержащий примеры использования кроссплатформенной библиотеки rtpkcs11ecp).
Или воспользоваться программными ГОСТ-криптопровайдерами:
- СКЗИ КриптоПро CSP версии 5.0 R2и новее — при генерации ключей надо выбрать режим «Активный токен».
- СКЗИ Signal-COM CSP или VipNet CSP — на активные ключевые носители из линейки Рутокен ЭЦП 3.0 автоматически генерируются неизвлекаемые ключи.
ФКН-ключи
Для того, чтобы сгенерировать ключи ФКН с защитой канала нужно использовать модели линейки Рутокен ЭЦП 3.0 — именно эти модели имеют поддержку протокола SESPAKE. Важно так же, что для работы и генерации ключей в таком формате подойдет версия КриптоПро CSP 5.0 и новее .
Сертификация устройств
Немного о сертификации ключевых носителей.
Для того, чтобы электронная подпись юридически считалась квалифицированной, средство криптографической защиты информации (СКЗИ), с помощью которого производится генерация ключей и последующая работа с ключами ЭП, должно быть сертифицировано в ФСБ России.
Чтобы проще было запомнить:
- ФСТЭК России сертифицирует средство защиты информации (устройство).
- ФСБ России сертифицирует средство криптографической защиты информации (СКЗИ).
Таким образом, в случае с извлекаемыми ключами , сгенерированными с помощью программного СКЗИ, в ФСБ России должен быть сертифицирован именно программный ГОСТ-криптопровайдер. А пассивный носитель Рутокен должен быть сертифицирован во ФСТЭК России.
В случае с неизвлекаемыми ключами на активном или ФКН-носителе, так как при генерации ключей используется аппаратная криптография, сертифицированным в ФСБ России должен сам носитель.
Заключение
Для надежной защиты ключей ЭП от копирования и перехвата мы рекомендуем использовать активные носители с возможностью генерации неизвлекаемых ключей на «борту», такие как Рутокен ЭЦП 3.0 3220 . Так ваша электронная подпись будет максимально защищена.
Как скопировать неэкспортируемый закрытый ключ с Rutoken
С 1 января 2022 года ЭЦП на директоров юридических лиц и ИП выдаются в ФНС на носителе Рутокен. Не всегда есть возможность использовать носитель при подписании документов (много бухгалтеров кто подписывает, используется терминальный сервер, виртуальные сервера, множество юр.лиц и тд.). Раньше можно было скопировать ЭЦП с токена в реестр (файл) и подписывать с помощью него, но сейчас при выдачи ключа в ФНС стоит запрет на копирование закрытого ключа.
Прежде чем приступить к работе по копированию ключа, подготовьте необходимые элементы:
рутокен с оригиналом ключа;
второй рутокен
второй контейнер (флешку) куда будет записана копия ключа.
Что такое рутокен
Рутокен — это аппаратные и программные решения в области аутентификации, защиты информации и электронной подписи. Устройства Рутокен являются основными ключевыми носителями в массовых российских проектах, базирующихся на технологиях ЭП и инфраструктуре открытых ключей (PKI).
Обычное съемное USB устройство (флешка) для постоянного хранения не годиться, поскольку не обладает достаточной защитой, в том числе от копирования информации. Поэтому флешку нужно рассматривать только как временное хранилище для переноса подписи на второй рутокен.
Проверяем ключ на не экспортируемость
Прежде чем начать работу, проверьте, может все же ключ можно экспортировать без лишних усилий с вашей стороны.
вставьте рутокен в ПК;
Откройте панель управления Rutoken и проверьте появился ли ключ в системе;
зайдите в «КриптоПро»;
для проверки ключа выберете вкладку «Сервис» и нажмите «Протестировать»;
выберете сертификат;
далее в открывшемся окне смотрим, действительно ли запрещен экспорт ключа. В большинстве случаев напротив строки «Экспорт ключа» стоит статус «Запрещен» (при попытке скопировать такой ключ, система выдаст сообщение об ошибке).
Лайфхак! Если у вас уже закончилась ЭЦП и вы планируете выпускать новую подпись, то приобретите пустой Rutoken Lite, и на него запишите новую подпись, чтобы в дальнейшем можно было без проблем сделать экспорт ключа
Копируем рутокен на компьютер или флешку
Итак, вы выяснили, что ключ имеет статус «Не экспортируемый», но скопировать его нужно. Можно действовать следующими методами:
воспользоваться утилитой Tokens.exe;
задействовать КриптоПро CSP;
Копируем с помощью утилиты Tokens.exe
Этот метод также позволяет перенести не экспортируемый ключ на флэшку или скопировать на ПК.
Tokens.exe – является утилитой, которая позволяет копировать ключи с рутокена, имеющие статус «не экспортируемый». Для корректного функционирования программы специалисты рекомендуют устанавливать три дополнения, идущие в комплекте с утилитой.
Обратите внимание:
Рутокен (старый несертифицированный), Рутокен S, Рутокен Lite — поддерживаются;
Рутокен ЭЦП 2.0, JaCarta LT, ESMART Token ГОСТ — не поддерживаются.
Начнем:
после того, как скачали Tokens.exe и необходимые дополнения, нужно распаковать архив;
подготовьте новый рутокен и чистую флешку, подключите их к ПК;
запустите утилиту проверки Рутокенов;
в открывшемся окне, выберете нужный сертификат и нажмите на кнопку «Экспорт»;
в качестве объекта для экспорта укажите путь к флэшке либо локальный диск компьютера, отличный от системного; Выбираем флешку. Обязательно сохраняем в корень!
Вводим новое имя контейнера:
После сохранения на флешке будет создан каталог с ключами из Рутокен:
теперь можно убрать рутокен из ПК и оставить только флешку.
Совет: На данном этапе вы уже можете использовать вашу ЭЦП на компьютере без рутокена. Для этого вам останется только установить ключ, через КриптоПро CSP.
Запускаем из архива утилиту: CertFix.001069.exe. Эта программа умеет снимать защиту с ключей на файловом носителе. Выбираем нужный контейнер, который на флешке и нажимаем по нему правой кнопкой мышки с зажатой кнопкой Shift (Shift + Прав.клик):
В появившимся меню выбираем пункт: Сделать экспортируемым (файловая система). После этого защита на копирование будет снята с контейнера на флешке. В колонке Экспорт, сменится надпись с красной «DENIED» на зеленную «ALOWED»:
В появившимся меню выбираем пункт: Сделать экспортируемым (файловая система). После этого защита на копирование будет снята с контейнера на флешке. В колонке Экспорт, сменится надпись с красной «DENIED» на зеленную «ALOWED»:
Готово! Теперь можно пользоваться копией ключа, размещенной в реестре.
Используем КриптоПро CSP
Перенести ЭЦП на ПК или флешку поможет сервис КриптоПро CSP.
откройте панель управления и найдите КриптоПро CSP;
запустите ее кнопкой «Пуск»;
перейдите в раздел «Сервис»;
нажмите кнопку «Просмотреть сертификаты в контейнере»;
во вкладке «Обзор» нужно выбрать носитель;
нажмите «Ок», чтобы подтвердить выбор;
подтверждаем продолжение работы кнопкой «Далее» (возможно, потребуется ввести PIN-код, он обычно простой — 12345678, либо номер КПП вашей организации);
выбираем «Свойства» >«Состав» >«Копировать в файл…»;
жмем «Далее»;
выбрать «не экспортировать закрытый ключ»;
формат DER X.509;
выбрать хранилище для копии > «Ок» (не меняйте имя папки);
потребуется дважды ввести PIN-код > «Ок».
Важно помнить!
Электронная подпись – это аналог собственноручной подписи для подписания электронных документов.
Что произойдет, если ваша электронная подпись попадет в руки злоумышленников?
- На ваше имя могут оформить микрокредиты;
- Ваш автомобиль могут продать без вашего ведома;
- Вас могут сделать номинальным руководителем фирмы-однодневки;
- Если вы владелец организации, ее могут переоформить на другое лицо, вывести деньги компании на другой счет, незаконно возместить НДС;
- Вместо вас могут подписать любые документы;
- Вас могут привлечь к ответственности за нарушение законодательства Российской Федерации в области электронной подписи.
Меры предосторожности
- Не передавайте ключевой носитель третьим лицам
- Обеспечьте надежное хранение носителя с электронной подписью (ключевой носитель)
- При потере или краже ключевого носителя незамедлительно обратитесь с заявлением на отзыв сертификата в удостоверяющий центр, который его выдал.
- Замените «заводской» пароль (PIN-код). Обеспечьте надежное хранение пароля, исключите доступ к паролю любых лиц.
- Внимательно читайте документы при оформлении различных сервисов в организациях, оказывающих услуги для бизнеса и банках.
- Не соглашайтесь на предложения выдать электронную подпись без личной явки при первичном ее получении.
- Регулярно проверяйте информацию о выпуске на ваше имя сертификатов электронных подписей на Едином портале государственных и муниципальных услуг (Госуслуги).