Как зайти в настройки ms key токена

Настройка ключевого носителя «MS_KEY K» — «АНГАРА»

Для настройки ключевого носителя «MS_KEY K» — «АНГАРА » необходимо выполнить несколько не сложных шагов:

1. Необходимо установить пакет драйвера eToken PKI Client 5.1 SP1

2. Установить или обновить версию СКЗИ КриптоПРО CSP 5.0 R3. до сборки 12600 (п еред удалением/обновлением предыдущей версии КриптоПРО важно убедится в том что вы сохранили лицензионный ключ активации)

Как зайти в настройки ms key токена

Использование ключа безопасности в качестве метода проверки подлинности без паролей в настоящее время является общедоступным предварительным просмотром. Если то, что вы видите на экране, не совпадает с тем, что в этой статье, значит, администратор еще не включил эту функцию. Пока эта функция не будет включена, необходимо выбрать другой способ проверки подлинности на странице Сведения о безопасности. Дополнительные сведения о предварительных версиях см. в дополнительных условиях использования Microsoft Azure предварительного просмотра.

Прежде чем зарегистрировать ключ безопасности, необходимо зарегистрировать хотя бы один дополнительный способ проверки безопасности.

Что такое ключ безопасности?

Администратор или ваша организация предоставит вам ключ безопасности, если он потребуется для вашей учебной или учебной учетной записи. Существуют различные типы ключей безопасности, например USB-накопитель, подключаемый к устройству, или клавиша NFC, нажатая на NFC-накопитель. Дополнительные сведения о ключе безопасности, включая тип ключа, можно найти в документации производителя.

Примечание: Если вам не удается использовать ключ безопасности FIDO2, существуют и другие способы проверки без паролей, например приложение Microsoft Authenticator или Windows Hello. Дополнительные сведения о Windows Hello см. в Windows Hello обзоре.

Перед началом работы

Перед регистрацией ключа безопасности должны быть выполнены следующие условия:

Администратор включил эту функцию для использования в организации.

Вы работаете на устройстве, на обновление Windows 10 за май 2019 г. и используете поддерживаемый браузер.

У вас есть физический ключ безопасности, утвержденный администратором или вашей организацией. Ключом безопасности должны быть как FIDO2, так и microsoft-compliant. Если у вас есть вопросы о ключе безопасности и его совместимости, обратитесь в службу поддержки своей организации.

Регистрация ключа безопасности

Перейдите на страницу Мой профиль на странице Моя учетная запись и войдите в свою учетную запись, если вы еще не сделали этого.

Выберите Сведения для защиты, выберите Добавить метод, а затем в списке Добавить метод выберите ключ безопасности.

Поле

Выберите Добавить, а затем выберите тип ключа безопасности: USB-устройство или устройство NFC.

Выбор типа ключа безопасности USB или NFC

Примечание: Если вы не знаете, какой тип ключа безопасности у вас есть, обратитесь к документации производителя. Если вы не уверены в изготовителе, обратитесь за помощью в службу технической поддержки своей организации.

Убедитесь, что у вас физически доступен ключ безопасности, а затем на странице Ключ безопасности выберите Далее.

На странице Настройка нового метода регистрации выберите Далее , а затем:

Если ключом безопасности является USB-устройство, вставьте ключ безопасности в USB-порт устройства.

Если ключом безопасности является NFC-устройство, коснитесь ключа безопасности для чтения.

Введите уникальный ПИН-код ключа безопасности в Windows безопасности и выберите ОК. Вы вернетесь в поле Настройка нового метода регистрации.

Выберите Далее.

Вернись на страницу Сведения о безопасности, введите имя нового ключа безопасности, которое будет распознано позже, и выберите Далее.

Страница

Чтобы закрыть страницу Ключ безопасности, выберите Готово. На странице Сведения о безопасности обновлены сведения о ключе безопасности.

Страница

Удаление ключа безопасности из данных безопасности

Выберите ссылку Удалить с ключа безопасности, который нужно удалить.

В окнеУдалить ключ безопасности выберите ОК.

Ключ безопасности будет удален, и вы больше не сможете использовать его для работы или учебной учетной записи.

Важно: Если вы удалили ключ безопасности по ошибке, вы можете снова зарегистрировать его, используя инструкции из раздела «Регистрация ключа безопасности» этой статьи.

Управление настройками ключа безопасности из Windows Параметры

Вы можете управлять настройками ключа безопасности из приложения Windows Параметры, включая сброс ключа безопасности и создание нового ПИН-кода ключа безопасности.

Сброс ключа безопасности

Важно: При сбросе ключа безопасности все данные с него удаляются, а заводские настройки будут сброшены. Будут очищены все данные и учетные данные.

Откройте приложение Windows Параметры, выберите Учетные записи ,выберите Параметрывход , выберите Ключ безопасности, а затем — Управление.

Вставьте ключ безопасности в USB-порт или нажмите NFC-читатель, чтобы подтвердить свою личность.

Следуйте инструкциям на экране, основанным на конкретном изготовителе ключа безопасности. Если изготовителя ключа нет в инструкциях на экране, за дополнительными сведениями обратитесь на сайт изготовителя.

Чтобы закрыть экран Управление, выберите закрыть.

Создание НОВОГО ПИН-кода ключа безопасности

Вы можете создать новый ПИН-код ключа безопасности для ключа безопасности.

Откройте приложение Windows Параметры учетных записей,выберите Учетные записи , выберите Параметры вход, выберите Ключбезопасности , а затем — Управление.

Вставьте ключ безопасности в USB-порт или нажмите NFC-читатель, чтобы подтвердить свою личность.

Выберите Добавить в области ПИН-код ключа безопасности, введите и подтвердите новый ПИН-код ключа безопасности, а затем выберите ОК.

Ключ безопасности будет обновлен с новым ПИН-кодом ключа безопасности для использования с вашей учебной или учебной учетной записью. Если вы решите изменить ПИН-код еще раз, выберите Изменить.

Чтобы закрыть экран Управление, выберите закрыть.

Проверка безопасности и проверка подлинности при сбросе пароля

Сведения для защиты применяются как для двух факторной проверки безопасности, так и для сброса пароля. Однако не все методы можно использовать для обоих методов.

Используется для

Двух factor verification and password reset authentication.

Учетная запись электронной почты

Только проверка подлинности при сбросе пароля. Для двух факторной проверки необходимо выбрать другой способ.

Вопросы о безопасности

Дальнейшие действия

Если вы потеряли или забыли пароль, сбросите его на портале сброса пароля или выполните действия, которые вы можете сделать в статье Сброс пароля для работы или учебного заведения.

Копирование сертификата с mskey

Электронная цифровая подпись

Назначение

СКЗИ КриптоПро Рутокен CSP предназначено для использования в российских системах PKI, в системах юридически значимого электронного документооборота и в других информационных системах, использующих технологии цифровой подписи. В том числе:

в системах клиент-банк при подписи платежных поручений;
в системах защищенного документооборота;
в системах сбора отчетности для предоставления в электронном виде;
в органах власти и управления на федеральном и региональном уровнях;
во всех других случаях, где необходимо обеспечить повышенную защиту ключей пользователя.

Windows или Unix

Если вы выбираете версию 3.6, то нужно определиться, на какую операционную систему будет установлено ПО, – на Windows или Unix-подобную. Такое деление есть только в версии КриптоПро СSP 3.6 и более ранних. Если вы приобретаете версию или , то не имеет значения, на какую операционную систему вы планируете ее устанавливать – Windows или Unix-подобную.

Внедрение современных средств идентификации личности – огромный шаг в развитии электронного документооборота. Многие считают, что развитие подобного направления не имеет практического смысла, что использование подобных средств необходимо лишь небольшому количеству пользователей и ничто не превысит простую подпись в надёжности и удобстве, но это далеко не так.

Электронная цифровая подпись позволяет определить достоверность личности при цифровом документообороте, что существенно повышает его эффективность и позволяет экономить время и деньги.

Электронная цифровая подпись (или ЭЦП) – это, по сути, электронный реквизит
, который позволяет защитить цифровую версию какого-либо документа от подделки. Законодатель определяет ЭЦП как аналог собственноручной подписи, который используется с целью идентификации личности при электронном документообороте.

Сравнение токенов с действующим сертификатом ФСБ России

Параметр сравнения		MS_KEY K	MS_KEY K «Ангара»	ESMART Token ГОСТ
Сертификация
Изготовитель		ООО «МультиСофт Системз»	ООО «НТЦ Альфа-Проект»	ОАО «НИИ молекулярной электроники и завод «Микрон» и ISBC Group
Сертификат ФСБ России	Номер	СФ/124-2673	СФ/124-3072	СФ/124-3189
	Дата выдачи	30.07.2015	20.02.2017	01.09.2017
	Дата окончания действия	01.08.2018	20.02.2020	31.12.2018
	Объект сертификации	СКЗИ MS_KEY K (варианты исполнения 5.1.1, 5.1.2, 5.1.3, 5.2.1, 5.2.2, 5.2.3, 5.2.4)	СКЗИ MS_KEY K — «Ангара» (вариант исполнения 8.1.1)	СКЗИ ESMART Token ГОСТ на базе отечественной микросхемы MIK51SC72DV6 (варианты исполнения 1,2,3)
	Класс	КС1 (для вариантов исполнения 5.1.2 и 5.2.2), КС2 (для вариантов исполнения 5.1.1, 5.1.3, 5.2.1, 5.2.3, 5.2.4)	КС1, КС2	KC1, KC2, КС3
	Общие функции криптографической защиты	Создание и управление ключевой информацией, шифрование данных, содержащихся в областях оперативной памяти СКЗИ, вычисление имитовставки для данных, содержащихся в областях оперативной памяти СКЗИ, вычисление значения хеш-функции для данных, содержащихся в областях оперативной памяти СКЗИ, реализация функций электронной подписи
	Реализация функций электронной подписи в соответствии с с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи»	Создание электронной подписи, проверка электронной подписи, создание ключа электронной подписи, создание ключа проверки электронной подписи
Сертификат ФСТЭК России		Нет	Нет	По 4 уровню РД НДВ на ПО ESMART Token
Аппаратное обеспечение
Форм-фактор		Смарт-карта, USB-токен
Используемая микросхема		Смарт-карточный микроконтроллер NXP P5CC081	Нет данных	Отечественная сертифицированная ФСБ микросхема MIK51SC72Dv6
Возможность встраивания радиометки (RFID)		Нет	Нет	EM-Marine, Mifare, ICODE, HID Prox, HID Indala, HID iClass
Объем защищенной памяти (EEPROM)		80 КБ	80 КБ	72 КБ
Интерфейсы подключения	Для USB-токенов	USB 1.1, 2.0 и разъем типа А, требуется установка драйвера	USB 1.1, 2.0 и разъем типа А, CCID	USB 2.0 Full Speed, CCID
Интерфейсы подключения	Для смарт-карт	ISO7816	ISO7816	ISO 7816-2, ISO 18000-2, ISO 14443, ISO 15693
Датчик случайных чисел		Да	Да	Да
Защита от проникновения		Нет данных	Нет данных	Датчики вскрытия, света, импульсной помехи, напряжения, температуры, аппаратный контроль целостности и возможность быстрого стирания EEPROM
Программное обеспечение
Операционная система смарт-карты и ее функциональность		ОС «Вигрид» (VIGRID — Verification Interoperability GRID) 1.0	ОС «Вигрид» (VIGRID — Verification Interoperability GRID) 1.0	Trust 2.05 (ВМ Java Card 3.0 Classic. Платежное приложение EMV (MasterCard M/Chip 4.1))
Поддерживаемые операционные системы для эксплуатации токена	Microsof Windows	Microsoft Windows XP/2003/ Vista/2008/7	Microsoft Windows XP/2003/ Vista/2008/7	Microsoft Windows XP/2003/Vista/2008/7/8/10 (32/64-бит)
	macOS	macOS 10.7.3 (Lion) и выше		macOS
	Linux	GNU/Linux	AltLinux 7 (x86/x64), Debian 7 (x86/x64), Mint 13 (x86/x64), SUSE Linux Enterprise Desktop 12 (x64), openSUSE 13 (x86/x64), Ubuntu 12.04 (x86/x64)	GNU/Linux
Поддерживаемые интерфейсы встраивания, стандарты и криптографические спецификации		PKCS#11 v2.30 и APDU (ISO7816), Microsoft CryptoAPI, веб-криптоплагины и прочие	APDU, PKCS#11 и интерфейсы верхнего уровня	PKCS#11 версии 2.30, Microsoft CryptoAPI PC/SC, Microsoft CCID, Сертификаты X.509 v3, SSL v3, IPSec/IKE, ISO 7816, ISO 14443
Функциональное обеспечение
Аппаратная поддержка криптографических алгоритмов	Электронная подпись	ГОСТ Р 34.10-2001; RSA-1024 (только для 5.1.х)	ГОСТ Р 34.10-2012	ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012, RSA-1024, RSA-2048, ECDSA-256
	Шифрование	ГОСТ 28147-89; DES/3DES, AES (только для 5.1.х)	ГОСТ 28147-89, ГОСТ Р 34.12-2015, ГОСТ Р 34.13-2015	ГОСТ 28147-89, DES, Triple DES, AES-128, AES-192, AES-256
	Хеширование	ГОСТ Р 34.11-94; SHA-1 (только для 5.1.х)	ГОСТ Р 34.11-2012	ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012, SHA-1, SHA-256, SHA-224, SHA-384, SHA-512
Электронная подпись	Генерация ключей	Генерация ключевых пар ЭП		Генерация ключевых пар ЭП
Электронная подпись	Неизвлекаемые ключи	Да	Да	Да
Шифрование	Режимы шифрования	Нет данных	Нет данных	Нет данных
	Генерация ключей	Генерация ключа парной связи (в соответствии с RFC 4357); генерация симметричных (сессионных) ключей шифрования	Генерация симметричных (сессионных) ключей шифрования	Генерация ключевой пары для асимметричного и симметричного шифрования, Выработка сессионных ключей по схеме VKO GOST R 34.10-2001 (RFC4357) и VKO GOST R34.10-2012
	Неизвлекаемые ключи	Да	Да	Да
Аутентификация	Двухфакторная аутентификация	Предъявление токена и ввод PIN-кода
	Ограничение числа попыток ввода неверного PIN-кода/пароля	Да	Да	Да
	Биометрическая аутентификация	Нет	Нет	Аппаратная поддержка биометрической аутентификации по отпечаткам пальцев
Особенности функционирования
Основные данные о совместимости со сторонними СЗИ		КриптоПро CSP (3.9 R2, 4.0 R2, 4.0 R3) — для Windows и Linux	КриптоПро CSP (3.9 R2, 4.0 R2, 4.0 R3) — для Windows и Linux	С-Терра Клиент 4.1 и 4.2; СКЗИ VipNet CSP, начиная с 4.0; ЛИССИ-CSP; СКЗИ «КриптоПро CSP» — для Windows, Linux, macOS; СКЗИ «Бикрипт 4.0»
Декларируемые изготовителем конкурентные преимущества		multisoft.ru/katalog/zawita-informacii/skzi-mskey-k/mskey-k-isp5-1-1 multisoft.ru/katalog/zawita-informacii/skzi-mskey-k/smart-karta-mskey-k-isp5-2-1	multisoft.ru/katalog/zawita-informacii/skzi-mskey-k/skzi-mskey-k-angara-ispolnenie-811	esmart.ru/product/esmart-token-gost

Параметр сравнения		JaCarta ГОСТ	JaCarta-2 ГОСТ		Рутокен S
Сертификация
Изготовитель		ЗАО «АЛАДДИН Р.Д.»			ЗАО «Актив-софт» и ООО Фирма «АНКАД»
Сертификат ФСБ России	Номер	СФ/111-2750	СФ/124-2963	СФ/124-3112	СФ/124-2904
	Дата выдачи	01.12.2015	09.09.2016	25.04.2017	02.07.2016
	Дата окончания действия	01.12.2018	31.12.2018	31.12.2018	15.03.2018
	Объект сертификации	Персональное средство ЭП «Криптотокен ЭП» (исполнения 1, 2) в комплектации согласно формуляру 46538383.50 1430 007-01 30 01-1, предназначенное для использования совместно со СКЗИ «Криптотокен» в составе JaCarta ГОСТ (eToken ГОСТ)	СКЗИ «Криптотокен 2» в составе JaCarta ГОСТ (варианты исполнения 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12)	СКЗИ «Криптотокен 2 ЭП» в составе JaCarta ГОСТ (варианты исполнения 9, 10)	ruToken
	Класс	КС1 (для варианта исполнения 1), КС2 (для варианта исполнения 2)	КС1 (для вариантов исполнения 1, 2, 3, 7, 9, 11), КС2 (для вариантов исполнения 4, 5, 6, 8, 10, 12)	КС1 (для варианта исполнения 9), КС2 (для варианта исполнения 10)	КС2
	Общие функции криптографической защиты	Реализация функций электронной подписи	Создание и управление ключевой информацией, шифрование данных, содержащихся в областях оперативной памяти, вычисление имитовставки для данных в областях оперативной памяти, вычисление значения хеш-функции для данных, содержащихся в областях оперативной памяти, создание и проверка ЭП для данных, содержащихся в областях оперативной памяти		Шифрование файлов и данных, содержащихся в областях оперативной памяти СКЗИ, вычисление имитовставки для файлов и данных, содержащихся в областях оперативной памяти СКЗИ
	Реализация функций ЭП в соответствии с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи»	Создание, проверка, создание ключа ЭП, создание ключа проверки ЭП	Нет	Создание, проверка, создание ключа ЭП, создание ключа проверки ЭП	Нет
Сертификат ФСТЭК России		По 4 уровню РД НДВ на программный комплекс JaCarta версии 1.5			По 4 уровню РД НДВ на программно-аппаратный комплекс RUTOKEN; по 3 уровню РД НВД на специальное ПО RUTOKEN
Аппаратное обеспечение
Форм-фактор		JaCarta ГОСТ и PKI/ГОСТ: смарт-карта, USB-токен, USB-токен с дополнительным модулем Flash-памяти, MicroUSB; JaCarta PKI/ГОСТ/Flash: USB-токен; JaCarta PRO/ГОСТ: смарт-карта, USB-токен, MicroUSB	JaCarta-2 ГОСТ: смарт-карта, USB-токен, MicroUSB-токен, SIM-модуль, чип для монтажа на печатную плату, модуль смарт-карт; JaCarta-2 PKI/ГОСТ: смарт-карта, USB-токен, MicroUSB-токен; JaCarta-2 PRO/ГОСТ: смарт-карта, USB-токен; JaCarta-2 PKI/BIO/ГОСТ: смарт-карта, USB-токен		USB-токен
Используемая микросхема		Защищенные сертифицированные смарт-карточные микроконтроллеры разных производителей (международные сертификаты на уровень Common Criteria EAL 5+ по SICAPPP): Inside Secure, Infineon, NXP, ST Microelectronics			32-разрядные высокопроизводительные микропроцессоры архитектуры ARM
Возможность встраивания радиометки (RFID)		До 2 меток, для смарт-карт и USB-токенов в корпусе XL (классический USB-токен): EM-Marine, Mifare, ICODE, HID Prox, HID Indala, HID iClass			EM-Marine, Mifare, ProxCard II, ISOProx II, Indala (на заказ)
Объем защищенной памяти (EEPROM)		80 КБ	80/144 КБ		32, 64 и 128 КБ
Интерфейсы подключения	Для USB-токенов	USB 1.1 (compatible) и USB 2.0 Full speed, разъем типа А, CCID			USB 1.1+, разъем типа А
	Для смарт-карт	ISO 7816-3: T=0 (для опции EMV-совместимость); T=1 (по умолчанию). ISO/IEC 7816-4, PC/SC			Нет
Датчик случайных чисел		Да			Да
Защита от проникновения		Активная аппаратная защита от чтения областей RАM, EEPROM, ROM; применение дополнительных промежуточных слоев металлизации; перемешивание структуры функциональных блоков микроконтроллера, размещение отдельных блоков внутри чипа и между его слоями; усовершенствованные датчики безопасности; контроль тактовой частоты, температуры, напряжения питания; датчики света; активное экранирование; фильтр на входе для защиты от скачков; включение и выключение сброса; блок управления памятью; возможность отключения чтения ROM; возможность отключения выполнения кода, записанного в RAM; система защиты от накопления статистических данных по времени выполнения команд и энергопотреблению; специализированные механизмы противодействия атакам простого анализа энергопотребления; специализированные механизмы противодействия атакам дифференциального анализа энергопотребления			Контроль целостности встроенного ПО и системных областей памяти; проверка правильности функционирования криптографических алгоритмов
Программное обеспечение
Операционная система смарт-карты и ее функциональность		ОС на основе Java Card			ОС Рутокен
Поддерживаемые операционные системы для эксплуатации токена	Microsof Windows	Microsoft Windows XP SP3/2003 SP2/Vista SP2/2008 R2 SP1/2008 SP2/2012/2012 R2/7 SP1/8/8.1/10 (32/64-бит)	Сертифицированная версия: Microsoft Windows XP SP3 (32-бит)/XP SP2 (64-бит), Microsoft Windows 2003 SP2/Vista SP2/2008 R2/2008/2012/7/8/8.1/10 (32/64-бит) Поддерживаемые ОС: Microsoft Windows XP SP3/2003 SP2/Vista SP2/2008 R2 SP1/2008 SP2/2012/2012 R2/7 SP1/8/8.1/10/2016 (32/64-бит)		Microsoft Windows 10/2016/8.1/2012 R2/8/2012/7/2008 R2/ Vista/2008/XP/2003/2000
	macOS	macOS 10.9+	Сертифицированная версия: macOS 10.10 Yosemite/10.11 El Capitan Поддерживаемые ОС: macOS 10.9+		macOS
	Linux	Red Hat Linux Enterprise Linux 6.3 Desktop, OpenSUSE 12.2, Ubuntu Desktop 12.04.1 LTS, CentOS 6, Альт Линукс СПТ 6.0 (32/64-бит)	Astra Linux Common и Special Edition, CentOS 7, Debian 8.4, Mandriva Enterprise Server 5, openSUSE 13.2, Leap 42.1, Oracle Linux 5 Update 5&6, Oracle Linux 6,Red Hat Enterprise Linux 5.6/6.0/7.0/7.2, ROSA Enterprise Desktop X1 (Marathon)/Linux Server, SUSE Linux Enterprise Server 11 SP4, Ubuntu 14.04,МСВС 3.0/ 5.0, МСВСфера, Ред ОС,РОСА DX КОБАЛЬТ 1.0/ SX КОБАЛЬТ 1.0		GNU/Linux
Поддерживаемые интерфейсы встраивания, стандарты и криптографические спецификации		APDU, PKCS #11, PKCS #11 (JC-Mobile), Криптотокен ЭП, JavaScript (JC-WebClient)	PKCS #11, Интерфейсная криптобибилотека (APDU), PC/SC (APDU), JavaScript (JC-WebClient)		APDU, Microsoft SmartCard API, PKCS#11
Функциональное обеспечение
Аппаратная поддержка криптографических алгоритмов	Электронная подпись	ГОСТ Р 34.10-2001 (комбинированные модели также поддерживают RSA (512, 1024, 2048 бит))	ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012 (комбинированные модели также поддерживают RSA (512, 1024, 2048 бит) и ECC (160, 192 бит))		Нет
	Шифрование	ГОСТ 28147-89 (комбинированные модели также поддерживают AES (128, 192, 256 бит), DES (56 бит), 3DES (112, 168 бит), 3DES (168))	ГОСТ 28147-89 (комбинированные модели также поддерживают AES (128, 192, 256 бит), DES (56 бит), 3DES (112, 168 бит))		ГОСТ 28147-89
	Хеширование	ГОСТ Р 34.11-94 (комбинированные модели также поддерживают SHA-1, SHA-224, SHA-256)	ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012 (комбинированные модели также поддерживают SHA-1, SHA-224 SHA-256)		Нет
Электронная подпись	Генерация ключей	Генерация ключевых пар ЭП	Генерация ключевых пар ЭП	Генерация ключевых пар ЭП	Нет
	Неизвлекаемые ключи	Да			Нет
Шифрование	Режимы шифрования	Нет данных	Гаммирование с обратной связью; выработка имитовставки		Простая замена; гаммирование, гаммирование с обратной связью
	Генерация ключей	Генерация ключа парной связи (в соответствии с RFC 4357), по схеме VKO GOST R 34.10-2001 (RFC 4357); генерация ключевых пар с проверкой качества	Генерация ключа парной связи (в соответствии с RFC 4357), по схеме VKO GOST R 34.10-2001 (RFC 4357) и VKO_GOSTR3410_2012_256 (рекомендации ТК26); генерация ключевых пар с проверкой качества; возможность создания специальной неудаляемой ключевой пары устройства; генерация ключей шифрования по ГОСТ 28147-89 и выработки имитовставки; генерация ключей для HMAC		Генерация и импорт ключей шифрования
	Неизвлекаемые ключи	Да			Да
Аутентификация	Двухфакторная аутентификация	Предъявление токена и ввод PIN-кода
	Ограничение числа попыток ввода неверного PIN-кода/пароля	Да	Да		Да
	Биометрическая аутентификация	Нет	Аппаратная поддержка биометрической аутентификации по отпечаткам пальцев Match-on-Card		Нет
Особенности функционирования
Основные данные о совместимости со сторонними СЗИ		Криптопровайдеры КриптоПро CSP, ViPNet CSP, Signal-COM CSP, Lissi CSP	КриптоПро CSP. Предоставляется комплект средств разработки (SDK) для интеграции JaCarta-2 ГОСТ со сторонними СЗИ и СКЗИ без потери сертификата ФСБ России		Интеграция с KeePass; интеграция в smartcard-ориентированные продукты
Декларируемые изготовителем конкурентные преимущества		aladdin-rd.ru/catalog/jacarta-gost/index	aladdin-rd.ru/catalog/jacarta-2_gost/index		rutoken.ru/products/all/rutoken-s

Параметр сравнения		VPN-Key-TLS		Токен++	РУТОКЕН ЭЦП 2.0
Сертификация
Изготовитель		ООО «АМИКОН»		ООО Фирма «Инфокрипт»	ЗАО «Актив-софт» и ООО Фирма «АНКАД»
Сертификат ФСБ России	Номер	СФ/124-3000	СФ/124-2999	На сертификации	СФ/124-2771	СФ/124-3063	СФ/124-3061	СФ/124-3062
	Дата выдачи	05.12.2016	05.12.2016		25.12.2015	07.02.2017	07.02.2017	07.02.2017
	Дата окончания действия	31.12.2018	31.12.2018		25.12.2018	31.12.2018	31.12.2018	31.12.2018
	Объект сертификации	VPN-Key-TLS (варианты исполнения 2, 4)	VPN-Key-TLS Int (варианты исполнения 2, 4)	«Токен++»	«Рутокен ЭЦП 2.0» (исполнения 1, 2)	«Рутокен ЭЦП 2.0 Flash»	«Рутокен ЭЦП 2.0 Touch»	«Рутокен ЭЦП 2.0 Micro»
	Класс	КС1, КС2	КС1, КС2	КС1, КС2	КС1 (для варианта исполнения 1), КС2 (для варианта исполнения 2)	КС1, КС2	КС1, КС2	КС1, КС2
	Общие функции криптографической защиты	Cоздание ключевой информации, шифрование данных и вычисление имитовставки для данных, содержащихся в областях оперативной памяти, вычисление значения хеш-функции для данных, содержащихся в областях оперативной памяти, защита TLS-соединений		Cоздание ключевой информации	Создание и управление ключевой информацией, шифрование данных и вычисление имитовставки для данных, содержащихся в областях оперативной памяти СКЗИ, вычисление значения хеш-функции для данных, содержащихся в областях оперативной памяти СКЗИ, реализация функций электронной подписи
	Реализация функций электронной подписи в соответствии с с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи»	Cоздание, проверка, создание ключа ЭП, создание ключа проверки ЭП			Создание, проверка, создание ключа ЭП, создание ключа проверки ЭП
Сертификат ФСТЭК России		Нет		Нет	По 4 уровню РД НДВ на программно-аппаратный комплекс «Рутокен» версии 4
Аппаратное обеспечение
Форм-фактор		USB-токен, USB-токен с сенсорной кнопкой		USB-токен	USB-токен	USB-токен с модулем Flash-памяти	USB-токен с модулем Flash-памяти сенсорной кнопкой	USB-токен
Используемая микросхема		32-разрядные микропроцессоры архитектуры ARM
Возможность встраивания радиометки (RFID)		Нет		Нет	EM-Marine, Mifare, ProxCard II, ISOProx II, Indala (на заказ)	Нет	EM-Marine, Mifare, ProxCard II, ISOProx II, Indala (на заказ)
Объем защищенной памяти (EEPROM)		1536 КБ		200 КБ	64 КБ	128 КБ	128 КБ	64 КБ
Интерфейсы подключения	Для USB-токенов	USB 2.0 и выше, CCID		USB 2.0 и выше, CCID	USB 1.1 (compatible) и 2.0 (FullSpeed), CCID, разъем типа А
	Для смарт-карт	Нет		Нет	Нет
Датчик случайных чисел		Да		Да	Да
Защита от проникновения		Контроль целостности встроенного ПО и системных областей памяти		Контроль целостности встроенного ПО и системных областей памяти	Контроль целостности встроенного ПО и системных областей памяти; проверка правильности функционирования криптографических алгоритмов
Программное обеспечение
Операционная система смарт-карты и ее функциональность		Собственная		Собственная	ОС Рутокен
Поддерживаемые операционные системы для эксплуатации токена	Microsof Windows	Microsoft Windows XP/2003/2008/Vista/7/8/10 (32/64-бит)		Microsoft Windows XP/2003/2008/Vista/7/8/10 (32/64-бит)	Microsoft Windows 10/2016/8.1/2012 R2/8/2012/7/2008 R2/ Vista/2008/XP/2003/2000
	macOS	macOS 10.10 и выше (для модификации №1)		macOS 10.10 и выше	macOS
	Linux	Нет		GNU/Linux	GNU/Linux
Поддерживаемые интерфейсы встраивания, стандарты и криптографические спецификации		Нет данных		Нет данных	Microsoft Crypto API, Microsoft SmartCard API, PKCS#11 (включая российский профиль), PKI-Core (C++), Pkcs11Interop(С#), JRT11(Java), Рутокен Плагин (Javascript)
Функциональное обеспечение
Аппаратная поддержка криптографических алгоритмов	Электронная подпись	ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012 (256 и 512 бит)		ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012 (256 и 512 бит)	ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012 (256 и 512 бит), RSA-2048
	Шифрование	ГОСТ 28147-89		Нет	ГОСТ 28147-89
	Хеширование	ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012		Нет	Аппаратно: ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012 (256 и 512 бит), программно: MD5, SHA1, SHA256
Электронная подпись	Генерация ключей	Генерация ключевых пар ЭП			Генерация ключевых пар ЭП с проверкой качества; возможность создания специальной неудаляемой ключевой пары устройства
	Неизвлекаемые ключи	Да		Да	Да
Шифрование	Режимы шифрования	Простая замена; гаммирование, гаммирование с обратной связью		Нет	Простая замена; гаммирование, гаммирование с обратной связью
	Генерация ключей	Выработка сессионных ключей по схеме VKO GOST R 34.10-2001 (RFC 4357) и VKO GOST R 34.10-2012 (RFC 7836), Генерация ключей для реализации функций абонентского шифрования и TLS (в соответствии с RFC 4357)		Генерация сессионных ключей по схеме VKO GOST R 34.10-2001 (RFC 4357) и VKO GOST R 34.10-2012 (RFC 7836)	Генерация ключей шифрования по ГОСТ 28147-89, Выработка сессионных ключей (ключей парной связи) по схеме VKO GOST R 34.10-2001 (RFC 4357) и VKO GOST R 34.10-2012 (RFC 7836)
	Неизвлекаемые ключи	Да		Нет	Да
Аутентификация	Двухфакторная аутентификация	Предъявление токена и ввод PIN-кода		Предъявление токена и ввод PIN-кода, аутентификация по протоколу SESPAKE, SecureMessaging по ГОСТ 28147	Предъявление токена и ввод PIN-кода
	Ограничение числа попыток ввода неверного PIN-кода/пароля	Да		Да	Да
	Биометрическая аутентификация	Нет		Нет	Нет
Особенности функционирования
Основные данные о совместимости со сторонними СЗИ		КриптоПро CSP 5.0 (для модификации №1)		КриптоПро CSP 5.0 (ФКН)	Интеграция с OpenSSL; интеграция в любые smartcard-ориентированные программные продукты (e-mail, internet, платежные системы и т. п.); Microsoft Base SmartCard Cryptoprovider
Декларируемые изготовителем конкурентные преимущества		amicon.ru/page.php?link=VPN-Key-TLS		Нет данных	rutoken.ru/products/all/rutoken-ecp

Параметр сравнения

VdToken

Сертификация

Изготовитель

ООО «Валидата»

Сертификат ФСБ России

Номер

СФ/124-2810

СФ/114-3102

СФ/124-2812

СФ/114-3187

СФ/114-3185

СФ/124-2811

СФ/114-3103

СФ/124-2813

СФ/114-3186

СФ/124-2681

СФ/114-3188

Дата выдачи

28.01.2016

20.04.2017

28.01.2016

17.08.2017

28.01.2016

20.04.2017

28.01.2016

17.08.2017

30.06.2015

17.08.2017

Дата окончания действия

31.12.2018

17.08.2020

01.07.2020

31.12.2018

01.07.2020

30.06.2018

01.07.2020

Объект сертификации

АПК «Клиент удостоверяющего центра «Валидата УЦ 2.0»
(исполнение 1)

АПК «Клиент МБ 2.0»
(исполнение 1)

АПК «СКАД Сигнатура-L»
(исполнение 1)

АПК «Сигнатура-клиент 5»
(исполнение 1)

АПК «Клиент удостоверяющего центра «Валидата УЦ 2.0»
(исполнение 2)

АПК «Клиент МБ 2.0»
(исполнение 2)

АПК «Сигнатура-клиент 5»
(исполнение 2)

АПК «СКАД Сигнатура-L»
(исполнение 2)

Класс

КС1

КС2

Общие функции криптографической защиты

Создание и управление ключевой информацией, шифрование файлов и данных, содержащихся в областях оперативной памяти, вычисление имитовставки для файлов и данных, содержащихся в областях оперативной памяти, вычисление значения хеш-функции для файлов и данных, содержащихся в областях оперативной памяти, защита TLS-соединений

Реализация функций электронной подписи в соответствии с с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи»

Создание, проверка, создание ключа ЭП, создание ключа проверки ЭП

Сертификат ФСТЭК России

Нет

Аппаратное обеспечение

Форм-фактор

USB-токен

Используемая микросхема

Нет данных

Возможность встраивания радиометки
(RFID)

Нет

Объем защищенной памяти (EEPROM)

256 КБ

Интерфейсы подключения

Для USB-токенов

USB, CCID

Для смарт-карт

Нет

Датчик случайных чисел

Да (доступен только СКЗИ разработки ООО «Валидата»)

Защита от проникновения

Контроль целостности встроенного программного обеспечения (frmware)

Программное обеспечение

Операционная система смарт-карты и ее функциональность

Собственная

Поддерживаемые
операционные
системы для эксплуатации токена

Microsof Windows

Microsoft Windows Vista/2008/7/2008R2/8/2012/8.1/2012R2/10

macOS

Нет

Linux

Ubuntu (x86Ubuntu (x86 и x64) 14.04, 14.04.1, 14.04.2, 14.04.3, 14.04.4, 14.04.5, 16.04, 16.04.1; OpenSUSE (x86 и x64) 13.2, 42.1 (x64), 42.2 (x64); Debian (x86 и x64) 8.2, 8.3, 8.4, 8.5, 8.6; Red Hat Enterprise Linux (x64) 7.1, 7.2, 7.3; Thinstation (x86) 6.0; Astra Linux Common Edition (x64) 1.10, 1.11

Поддерживаемые интерфейсы встраивания, стандарты и криптографические спецификации

Нет данных

Функциональное обеспечение

Аппаратная поддержка криптографических алгоритмов

Электронная подпись

ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012

Шифрование

ГОСТ 28147-89

Хеширование

ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012

Электронная подпись

Генерация ключей

Нет

Неизвлекаемые ключи

Да

Шифрование

Режимы шифрования

Нет данных

Генерация ключей

Нет данных

Неизвлекаемые ключи

Да

Аутентификация

Двухфакторная аутентификация

Предъявление токена и ввод PIN-кода

Ограничение числа попыток ввода неверного PIN-кода/пароля

Да

Биометрическая аутентификация

Нет

Особенности функционирования

Основные данные о совместимости со сторонними СЗИ

Нет, только СКЗИ производства ООО «Валидата»

Декларируемые изготовителем конкурентные преимущества

x509.ru/vdtoken.shtml

В сравнении мы намеренно не делаем выводов, не выделяем продукты и производителей. Этот материал следует расценивать как сводку информации о токенах, без замалчиваний и преувеличений. Окончательный выбор всегда остается за потребителем, поскольку только он способен адекватно оценить значимость каждого показателя в выборе токена в своем, частном случае.

Благодарим за активное участие в создании статьи:

Владимира Иванова, директора по развитию компании «Актив»

Антона Кузнецова, ведущего менеджера по развитию продуктов компании «Аладдин Р.Д.»

Максима Садовского, ведущего специалиста компании «Валидата»

Илью Моргасова, генерального директора компании «Инфокрипт»

Установка необходимого программного обеспечения для работы с электронными торговыми площадками

Установка КриптоПРО CSP

Нажмите на одну из ссылок ниже для загрузки файла установки КриптоПРО на компьютер.

КриптоПро CSP 3.9 – версия для ОС WinXP
КриптоПро CSP 4.0 – версия для ОС Win 7 / 8 / 10
КриптоПРО CSP последний релиз

После окончания загрузки откройте zip-архив с помощью соответствующей программы (например Win-RAR). Внутри будет сам файл установки КриптоПРО. Запустите его и установите с параметрами по умолчанию. В процессе установки у Вас может появиться следующее окно:

Пропустите окно нажав «Далее». Установка КриптоПРО завершена.

Установка драйвера для токена

Подписи можно хранить в реестре компьютера, на обычных флеш-накопителях и на специальных usb-токенах. Список токенов, пин-коды и ссылки на ПО представлены в следующей таблице.

Тип USB-носителя

Внешний вид USB-носителя

Ссылка на загрузку драйверов

ruToken

Драйверы Рутокен для Windows

12345678

eToken

Драйверы eToken для Windows

1234567890

JaCarta LT

Единый клиент JC

1234567890

MS-Key

11111111

Esmart *

ESMART PKI Client

12345678

JaCarta LT Nano

JaCarta ГОСТ

JaCarta S/E

Единый клиент JC

1234567890

Визуально определите какой у Вас носитель.

Для работы с одним из этих носителей необходимо установить драйвер. Перейдите по соответствующей ссылке, скачайте драйвер и установите его на компьютер. Установку драйвера проводите с параметрами по умолчанию.

Установка корневых сертификатов УЦ

Скачайте корневые сертификаты перейдя по ссылкам ниже.

Корневой сертификат для неквалифицированных сертификатов
Корневой сертификат для квалифицированных сертификатов

Все сертификаты в архивах имеют соответствующие названия аналогично хранилищам, в которых их нужно установить. Откройте нужный сертификат двойным нажатием ЛКМ и установите по нижеследующему примеру.

При возникновении предупреждения как на скриншоте ниже:

Нужно согласиться с предупреждением, нажав «ДА». Ниже следует пример установки промежуточного сертификата.

Установка личного сертификата

Подключите USB-токен для хранения электронных подписей (Rutoken, eToken и т.д.);

Нажмите кнопку «ПУСК» > «Программы». Откройте папку КриптоПРО и запустите программу КриптоПРО CSP. В открывшемся окне программы перейдите на вкладку «Сервис». На вкладке «Сервис» нажмите на кнопку «Просмотреть сертификаты в контейнере». Нажмите «Далее» > «Обзор». Вы увидите имеющиеся у вас контейнеры.

Выберите нужный вам контейнер, нажмите «ОК» > «Далее».

Введите pin от USB-токена. Нажмите «ОК» > «Установить».

Установка плагинов для работы с КЭП

Крипто-Про ЭЦП Browser plugin 2.0 – стандартный плагин КриптоПро ЭЦП Browser plug-in.

Перейдите по ссылке для скачивания установочного файла, после завершения загрузки запустите файл. Во всех окнах подтверждения жмите «ДА» и дождитесь завершения установки.

capicom2102.msi – стандартная библиотека CAPICOM от Microsoft.

Перейдите по ссылке для скачивания установочного файла, после завершения загрузки запустите файл. Примите лицензионное соглашение, во всех окнах подтверждения жмите «Далее» и дождитесь завершения установки.

У некоторых площадок/порталов/сервисов есть собственные плагины, необходимые для работы с ЭП. Рекомендуется ознакомится с регламентом интересующей вас площадки перед началом работы. Например, для портала ГОСУСЛУГ необходим этот плагин, а для ЭТП ГУП Татарстана криптографический плагин.

Для настройки браузера Internet Explorer откройте «Панель управления» > «Показывать значки» > «Свойства браузера». Перед вами откроется окно, нажмите на вкладку «Безопасность»

Нажмите на кнопку «Надёжные узлы» > «Узлы»

Снимите галочку «Для всех узлов этой зоны требуется проверка серверов ( https :)». В поле «Добавить узел в зону» напишите адреса всех необходимых вам площадок по нижеследующим примерам:

*.sberbank-ast.ru > нажимаем на кнопку «Добавить»;

«Добавить узел в зону» напишите «*.roseltorg.ru» > нажмите на кнопку «Добавить»;

«Добавить узел в зону» напишите «*.etp-micex.ru» > нажмите на кнопку «Добавить»;

«Добавить узел в зону» напишите «*.rts-tender.ru» > нажмите на кнопку «Добавить»;

«Добавить узел в зону» напишите «*.zakazrf.ru» > нажмите на кнопку «Добавить». Нажимаем кнопку «Ок».

Этими действиями Вы добавите 5 федеральных электронных торговых площадок в доверенные веб-узлы. Если Вы планируете работать с КЭП на других порталах, тогда добавьте необходимые Вам сайты аналогичным образом в надежные веб-узлы.

Во вкладке «Безопасность», нажать кнопку «Другой», перед вами открывается окно, спуститесь по полосе прокрутки вниз списка.

Нужно включить или разрешить все элементы ActiveX, после проделанных операций нажать ОК. Пункт «Блокировать всплывающие окна» тут же установить в положение «Отключить».

Зайдите на вкладку «Конфиденциальность», поставьте «Низкий уровень» и уберите галочку «Включить блокирование всплывающих окон». Далее нажмите ОК для сохранения всех настроек.

Для подписания договора на сайте ОФД, настраивать необходимо другой браузер. Скачайте и установите браузер Google Chrome . После установки откройте браузер, нажмите на три вертикальных точки в верхнем правом углу окна. Выберите пункт меню «Дополнительные инструменты» > «Расширения»

Откроется меню расширений, найдите CryptoPro Extension for CAdES Browser Plug-in и поставьте галочку напротив «Включить». Браузер настроен для использования КЭП на сервисах ОФД.

Извлечение ключа из токена с неизвлекаемым ключом

Копирование сертификата с mskey

Довольно часто при оформлении сертификатов ключей электронной подписи можно наблюдать навязчивый пиар токенов с неизвлекаемым ключом. Продавцы из удостоверяющих центров уверяют, что, купив у них СКЗИ КриптоПРО CSP и токен с неизвлекаемым ключом ( Рутокен ЭЦП или JaCarta ГОСТ ), мы получим сертифицированные СКЗИ, обеспечивающие 100%-ную защиту от кражи ключей с токена. Но так ли это на самом деле? Для ответа на этот вопрос проведем простой эксперимент…

Программное извлечение ключей

В общем виде пример извлечения закрытого ключа и сертификата открытого ключа из контейнера на токене с помощью КриптоПро Java CSP следующий:

то криптографический провайдер будет пытаться в системе отобразить через консоль или GUI окно запрос на ввод пароля к контейнеру.

Устанавливаем и настраиваем КЭП под macOS

Очевидные вещи

Устанавливаем КриптоПро CSP

Регистрируемся на сайте КриптоПро и со страницы загрузок скачиваем и устанавливаем версию КриптоПро CSP 4.0 R4 для macOS – скачать .

Устанавливаем драйверы Рутокен

На сайте написано что это опционально, но лучше поставить. Со страницы загрузок на сайте Рутокен скачиваем и устанавливаем Модуль поддержки Связки Ключей (KeyChain) – скачать .

Далее подключаем usb-токен, запускаем terminal и выполняем команду:

В ответе должно быть:

Aktiv Rutoken…
Card present…
[ErrorCode: 0x00000000]

Устанавливаем сертификаты

Удаляем все старые ГОСТовские сертификаты

Если ранее были попытки запустить КЭП под macOS, то необходимо почистить все ранее установленные сертификаты. Данные команды в terminal удалят только сертификаты КриптоПро и не затронут обычные сертификаты из Keychain в macOS.

В ответе каждой команды должно быть:

No certificate matching the criteria

Устанавливаем корневые сертификаты

Корневые сертификаты являются общими для всех КЭП, выданных любым удостоверяющим центром. Скачиваем со страницы загрузок УФО Минкомсвязи:

https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A
https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=8CAE88BBFD404A7A53630864F9033606E1DC45E2
https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=0408435EB90E5C8796A160E69E4BFAC453435D1D

Устанавливаем командами в terminal:

Каждая команда должна возвращать:

Скачиваем сертификаты удостоверяющего центра

Далее нужно установить сертификаты удостоверяющего центра, в котором вы выпускали КЭП. Обычно корневые сертификаты каждого УЦ находятся на его сайте в разделе загрузок.

Альтернативно, сертификаты любого УЦ можно скачать с сайта УФО Минкомсвязи . Для этого в форме поиска нужно найти УЦ по названию, перейти на страницу с сертификатами и скачать все действующие сертификаты – то есть те, у которых в поле ‘Действует’ вторая дата еще не наступила. Скачивать по ссылке из поля ‘Отпечаток’.

Копирование сертификата с mskey

На примере УЦ Корус-Консалтинг: нужно скачать 4 сертификата со страницы загрузок :

https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=15EB064ABCB96C5AFCE22B9FEA52A1964637D101
https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=B9F1D3F78971D48C34AA73786CDCD138477FEE3F
https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=55EC48193B6716D38E80BD9D1D2D827BC8A07DE3
https://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=A0D19D700E2A5F1CAFCE82D3EFE49A0D882559DF

Скачанные сертификаты УЦ устанавливаем командами из terminal:

/Downloads/ идут имена скачанных файлов, для каждого УЦ они будут свои.

Каждая команда должна возвращать:

Устанавливаем сертификат с Рутокен

Команда в terminal:

Команда должна вернуть:

Конфигурируем CryptoPro для работы ссертификатами ГОСТ Р 34. 10-2012

Для корректной работы на nalog.ru с сертификатами, выдаваемыми с 2019 года, инструкция на сайте CryptoPro рекомендует:

Команды в terminal:

Команды ничего не возвращают.

Устанавливаем специальный браузер Chromium-GOST

Для работы с гос.порталами потребуется специальная сборка браузера сhromium – Chromium-GOST скачать .
Исходный код проекта открыт, ссылка на репозиторий на GitHub приводится на сайте КриптоПро. По опыту, другие браузеры CryptoFox и Яндекс.Браузер для работы с гос.порталами под macOS не годятся.

Скачиваем, устанавливаем копированием или drag&drop в каталог Applications. После установки принудительно закрываем Chromium-Gost командой из terminal и пока не открываем (работаем из Safari):

Устанавливаем расширения для браузера

1 КриптоПро ЭЦП Browser plug-in

Со страницы загрузок на сайте КриптоПро скачиваем и устанавливаем КриптоПро ЭЦП Browser plug-in версия 2.0 для пользователей – скачать .

Плагин для Госуслуг

Со страницы загрузок на портале Госуслуг скачиваем и устанавливаем Плагин для работы с порталом государственных услуг (версия для macOS) – скачать .

Настраиваем плагин для Госуслуг

Скачиваем корректный конфигурационный файл для расширения Госуслуг для поддержки macOS и новых ЭЦП в стандарте ГОСТ2012 – скачать .

Выполняем команды в terminal:

Активируем расширения

Запускаем браузер Chromium-Gost и в адресной строке набираем:

Включаем оба установленных расширения:

CryptoPro Extension for CAdES Browser Plug-in
Расширение для плагина Госуслуг

Копирование сертификата с mskey

Настраиваем расширение КриптоПро ЭЦП Browser plug-in

В адресной строке Chromium-Gost набираем:

На появившейся странице в список доверенных узлов по-очереди добавляем сайты:

Жмем “Сохранить”. Должна появиться зеленая плашка:

Список доверенных узлов успешно сохранен.

Копирование сертификата с mskey

Проверяем что все работает

Заходим на тестовую страницу КриптоПро

В адресной строке Chromium-Gost набираем:

Должно выводиться “Плагин загружен”, а в списке ниже присутствовать ваш сертификат.
Выбираем сертификат из списка и жмем “Подписать”. Будет запрошен PIN-код сертификата. В итоге должно отобразиться

Копирование сертификата с mskey

Заходим в Личный Кабинет на nalog

По ссылкам с сайта nalog.ru зайти может не получиться, т.к. не будут пройдены проверки. Заходить нужно по прямым ссылкам:

Личный кабинет ИП: https://lkipgost.nalog.ru/lk
Личный кабинет ЮЛ: https://lkul.nalog.ru

Копирование сертификата с mskey

Заходим на Госуслуги

При авторизации выбираем “Вход с помощью электронной подписи”. В появившемся списке “Выбор сертификата ключа проверки электронной подписи” будут отображены все сертификаты, включая корневые и УЦ, нужно выбрать ваш с usb-токена и ввести PIN.

Копирование сертификата с mskey

Что делать, если перестало работать

Переподключаем usb-токен и проверяем что он виден с помощью команды в terminal:

Очищаем кеш браузера за все время, для чего в адресной строке Chromium-Gost набираем:

Переустанавливаем сертификат КЭП с помощью команды в terminal:

Если команды Cryptopro не отрабатывают (csptest и csptestf превратились в corrupted) – нужно переустановить Cryptopro.

Что нужно для работы с КЭП под macOS

КЭП на USB-токене Рутокен Lite или Рутокен ЭЦП
криптоконтейнер в формате КриптоПро
со встроенной лицензией на КриптоПро CSP
открытый сертификат должен храниться в контейнере закрытого ключа

Поддержка eToken и JaCarta в связке с КриптоПро под macOS под вопросом. Носитель Рутокен Lite – оптимальный выбор, стоит недорого, шустро работает и позволяет хранить до 15 ключей.

Криптопровайдеры VipNet, Signal-COM и ЛИССИ в macOS не поддерживаются. Преобразовать контейнеры никак не получится. КриптоПро – оптимальный выбор, стоимость сертификата в себестоимости от 500= руб. Можно выпустить сертификат с встроенной лицензией на КриптоПро CSP, это удобно и выгодно. Если лицензия не зашита, то необходимо купить и активировать полноценную лицензию на КриптоПро CSP.

Обычно открытый сертификат хранится в контейнере закрытого ключа, но это нужно уточнить при выпуске КЭП и попросить сделать как нужно. Если не получается, то импортировать открытый ключ в закрытый контейнер можно самостоятельно средствами КриптоПро CSP под Windows.

Методология сравнения токенов

Сведения, представленные в рамках сравнения, включают:

реестр токенов;
перечень параметров, по которым они могут быть сопоставлены;
оценка токенов по представленным параметрам.

Номенклатура токенов, имеющих действующий сертификат ФСБ России, составлена преимущественно на основе данных «Перечня средств защиты информации, сертифицированных ФСБ России». Этот перечень регулярно обновляется, и разумно рассматривать его в качестве достоверного источника информации с поправкой на некоторую задержку в части обновления сведений.

Параметры сравнения выбирались таким образом, чтобы как можно более полно представить имеющуюся информацию о токенах. При формировании набора параметров учитывалось как исторически сложившееся в отрасли представление об устройствах данного класса, так и критерии последнего времени. При этом помимо отечественной нормативной базы использовались следующие зарубежные документы:

PKCS #15 v1.1: Cryptographic Token Information Syntax Standard; RSA Laboratories; June 6, 2000;
Department of Defense Public Key Infrastructure and Key Management Infrastructure Token Protection Profile (Medium Robustness), Version 3.0, 22 March 2002, Common Criteria for Information Technology Security Evaluation, Prepared by Booz Allen Hamilton Prepared for National Security Agency (NSA);
Серия европейских стандартов Protection profiles for Secure signature creation device;
GlobalPlatform Device Technology. Secure Element Access Control, Version 1.0, Public Release, May 2012;
NIST Special Publication 800-63B. Digital Identity Guidelines. Authentication and Lifecycle Management, June 2017», введенный в действие в июне 2017 года и заменяющий значимые для поставленной цели разделы документа «NIST Special Publication (SP) 800-63-2. Electronic Authentication Guideline, August 2013.

Оценка токенов согласно выбранным параметрам производилась на основании сведений из открытых источников, уточненных производителями решений по нашей просьбе. Авторы сравнения старались, чтобы сведения были максимально полными и достоверными. Но реалии таковы, что полностью исключить возможность ошибки нельзя. Поэтому мы готовы внести в материал коррективы, которые помогут повысить его качество.

При использовании сравнительной таблицы следует принять в расчет ряд оговорок частного характера:

«РУТОКЕН ЭЦП» в исполнениях «РУТОКЕН ЭЦП», «РУТОКЕН ЭЦП micro» и «РУТОКЕН ЭЦП Flash» снят с продаж (при этом соответствующие сертификаты действуют до конца 2018 года).
С начала 2017 года прекращены процедуры продажи, поддержки и сопровождения USB-токенов семейства eToken PRO (Java), eToken и СКЗИ «Криптотокен» в составе изделий eToken ГОСТ. По этой причине eToken ГОСТ исключен из рассмотрения в рамках настоящего сравнительного анализа.
В сертификате на «Криптотокен ЭП» (JaCarta ГОСТ и соответствующие комбинированные модели) не указаны отечественные стандарты в области криптографической защиты информации.
На отечественном рынке есть решения, оценка которых с учетом нюансов сертификации может быть затруднительна для потребителя. Примером является функциональный ключевой носитель (ФКН) vdToken производства компании «Валидата». ФКН vdToken не сертифицирован как самостоятельное изделие, но поддержка его заявлена в сертификатах соответствия аппаратно-программных комплексов производства компании «Валидата». Это обстоятельство отражено в значении параметра «Объект сертификации» в таблице сравнения токенов.
Имеются решения, сертификация которых на момент написания статьи еще не закончена, но проходит завершающую стадию. Одно из таких решений, «Токен++», с оговоркой включено в таблицу сравнения сертифицированных решений.
Имеется решение, сведения о котором получены уже после подготовки данного материала. Речь идет об изделии Рутокен ЭЦП 2.0 исполнение А, регистрационный номер сертификата СФ / 121-3241 от 21 ноября 2017 года, действительный до 31 декабря 2018. Данное изделие соответствует требованиям к СКЗИ классов КС1, КС2; Требованиям Приказа ФСБ № 796 для классов КС1, КС2 и может использоваться в том числе для реализации функций электронной подписи в соответствии с Федеральным законом от 6 апреля 2011 г. № 63 ФЗ «Об электронной подписи». Информация об этом решении не включена в сравнительную таблицу, читатель может ознакомиться с его возможностями самостоятельно на сайте производителя.

Как сделать, чтобы все было хорошо?

Чтобы с помощью продуктов ООО “КРИПТО-ПРО” реализовать технологию ФКН, необходимо:

1. Купить специальную версию библиотеки СКЗИ:
— для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP.
— для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.

2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.

Установка пакетов криптопро csp

При установке КриптоПро CSP по умолчанию нужные пакеты для работы с токенами и смарт-картами отсутствуют.

Выполняем установку в CSP компонента поддержки JaCarta components for CryptoPro CSP

zypper install cprocsp-rdr-jacarta-64-3.6.408.683-4.x86_64.rpm

Некоторые компоненты имеют зависимости. Так, например, если попытаться выполнить установку пакета поддержки SafeNet eToken PRO cprocsp-rdr-emv-64-4.0.9944-5.x86_64.rpm — EMV/Gemalto support module, то получим сообщение о необходимости сначала установить базовый компонент CSP поддержки считывателей cprocsp-rdr-pcsc-64-4.0.9944-5.x86_64.rpm — PC/SC components for CryptoPro CSP readers:

Устанавливаем базовые пакеты поддержки считывателей и ключевых носителей:

zypper install cprocsp-rdr-pcsc-64-4.0.9944-5.x86_64.rpm

zypper install lsb-cprocsp-pkcs11-64-4.0.9944-5.x86_64.rpm

Теперь можно установить модули для работы с остальными видами носителей и компонент GUI:

zypper install cprocsp-rdr-emv-64-4.0.9944-5.x86_64.rpm

Проверяем итоговую конфигурацию КриптоПро CSP:

Чтобы применить изменения, выполняем перезапуск службы криптографического провайдера и проверяем ее статус:

Подпись файлов в macOS

В macOS файлы можно подписывать в ПО КриптоАрм (стоимость лицензии 2500= руб.), или несложной командой через terminal – бесплатно.

Выясняем хэш сертификата КЭП

На токене и в других хранилищах может быть несколько сертификатов. Нужно однозначно идентифицировать тот, которым будем впредь подписывать документы. Делается один раз.
Токен должен быть вставлен. Получаем список сертификатов в хранилищах командой из terminal:

Команда должна вывести минимум 1 сертификат вида:

Certmgr 1.1 © “Crypto-Pro”, 2007-2018.
program for managing certificates, CRLs and stores
= = = = = = = = = = = = = = = = = = = =
1——-
Issuer: [email protected],… CN=ООО КОРУС Консалтинг СНГ…
Subject: [email protected],… CN=Захаров Сергей Анатольевич…
Serial: 0x0000000000000000000000000000000000
SHA1 Hash: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
…
Container: SCARD\rutoken_lt_00000000\0000\0000
…
= = = = = = = = = = = = = = = = = = = =
[ErrorCode: 0x00000000]

У нужного нам сертификата в параметре Container должно быть значение вида SCARD\rutoken…. Если сертификатов с такими значениями несколько, то значит на токене записано несколько сертификатов, и вы в курсе какой именно вам нужен. Значение параметра SHA1 Hash (40 символов) нужно скопировать и подставить в команду ниже.

Подпись файла командой из terminal

В terminal переходим в каталог с файлом для подписания и выполняем команду:

где ХХХХ… – хэш сертификата, полученный на шаге 1, а FILE – имя файла для подписания (со всеми расширениями, но без пути).

Команда должна вернуть:

Signed message is created.
[ErrorCode: 0x00000000]

Будет создан файл электронной подписи с расширением *.sgn – это отсоединенная подпись в формате CMS с кодировкой DER.

Установка Apple Automator Script

Чтобы каждый раз не работать с терминалом, можно один раз установить Automator Script, с помощью которого подписывать документы можно будет из контекстного меню Finder. Для этого скачиваем архив – скачать .

Распаковываем архив ‘Sign with CryptoPro.zip’
Запускаем Automator
Находим и открываем распакованный файл ‘Sign with CryptoPro.workflow’
В блоке Run Shell Script меняем текст ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ на значение параметра SHA1 Hash сертификата КЭП, полученное выше.
Сохраняем скрипт: ⌘Command + S
Запускаем файл ‘Sign with CryptoPro.workflow’ и подтверждаем установку.
В Finder вызываем контекстное меню любого файла, и в разделе Quick Actions и/или Services выбрать пункт Sign with CryptoPro
В появившемся диалоге КриптоПро ввести PIN-код пользователя от КЭП
В текущем каталоге появится файл с расширением *.sgn – отсоединенная подпись в формате CMS с кодировкой DER.

Окно Apple Automator:

Копирование сертификата с mskey

System Preferences:

Контекстное меню Finder:

Копирование сертификата с mskey

Функциональный ключевой носитель

Архитектура ФКН реализует принципиально новый подход к обеспечению безопасного использования ключевой информации, которая хранится на аппаратном носителе.

Кроме формирования электронной подписи и генерации ключей шифрования непосредственно в микропроцессоре, ключевой носитель позволяет эффективно противостоять атакам, связанным с подменой хэш-значения или подписи в канале связи.

Установка личного сертификата электронной подписи с носителя – моя подпись

Ручная установка личного сертификата электронной подписи с носителя Рутокен, E–token, JaСarta, Реестра, USB-флешки.

В большинстве случаев с ключевых носителей Рутокен, Ja Сarta сертификаты устанавливаются автоматически в течение минуты после подключения к компьютеру, если установлены драйверы.

Если вы устанавливаете сертификат с РЕСТРА или обычной USB-флешки, то пункты 1,2 вам не нужны, переходите сразу к пункту 3.

1. Проверка наличия установленных драйверов на ключевой носитель:

1.1 Присоедините ключевой носитель JaCartaRutoken к USB-порту Вашего компьютера

1.2 Подождите минуту

1.3 Выберите пункт меню Пуск -> Настройка -> Панель управления либо найдите Панель управления через Поиск, откройте Крипто Про CSP.

1.4 В появившемся окне Крипто Про CSP перейдите на вкладку Сервис

1.5 Нажмите на кнопку Просмотр/просмотреть сертификаты в контейнере

1.6 В появившемся окне нажмите кнопку Обзор

1.7 Если в окне выбора есть надпись JaCartaRutoken, как показано на рисунке ниже, значит, драйверы на JaCartaRutoken уже установлены и пункты 2 и 3 выполнять не нужно. Обратите внимание, что на Вашем компьютере может быть установлено большое число контейнеров и для того, чтобы найти надпись JaCartaRutoken, необходимо прокрутить окно с помощью колесика мыши до конца вниз

Если искомой надписи в окне нет, пункт 2 обязателен к исполнению.

2.Установка драйверов на ключевые носители

. Отсоедините все ключевые контейнеры ОТ USB-портов компьютера.

если у вас носитель JaCarta (носитель черного цвета):

2.1 Запустите соответствующую программу установки драйверов в зависимости от версии Windows, установленной на компьютере:

Ссылка – JaCartax86zip Единый Клиент JaCarta для windows 32x Ссылка – JaCartax64zip Единый Клиент JaCarta для windows 64x

и следуйте ее указаниям. После установки драйверов может потребоваться перезагрузка компьютера.

2.2 После перезагрузки подсоедините ключевой носитель к USB-порту.

2.3 После подключения на ключевом носителе загорается светодиод, это говорит о том, что JaCarta корректно распознан операционной системой и готов к работе.

если у вас носитель Rutoken (прозрачный или белого/красного цвета):

2.4 Единый файл драйверов для носителей Rutoken rtDrivers.exe работает в любой версии Windows от XP до 10, на 32 и 64 битных версиях.

2.5 После окончания установки перезагрузите компьютер и подключите Рутокен к USB-порту компьютера. Если на нём загорелся красный светодиод — значит установка произведена корректно.

3. Добавление считывателя

. Добавление ruToken, JaCarta происходит при подключенном носителе.

3.1 Выберите пункт меню «Пуск» -> «Настройка» -> «Панель Управления» -> «Крипто Про CSP»

3.2 В появившемся окне перейдите на вкладку «Оборудование»

3.3 Нажмите кнопку «Настроить считыватели» и проверьте наличие в списке считывателей пункта «Все считыватели смарт-карт» (см. рисунок на следующей странице)

3.4 Если пункт отсутствует, требуется установка считывателя, для этого нажмите кнопку «Добавить» и следуйте инструкциям мастера по установке считывателей.

. Обратите внимание, что добавление считывателей возможно только в случае, если у пользователя есть права администратора и программа Крипто Про запущена от имени администратора. Если кнопка «Добавить» неактивна, как в случае на рисунке, обратитесь к своему системному администратору.

4. Установка личного сертификата

. При установке личного сертификата к компьютеру должен быть подключен только тот ключевой носитель, с которого производится установка. Остальные носители должны быть отключены

4.1 Выберите пункт меню «Пуск» -> «Панель Управления» либо найдите Панель управления через Поиск, выберете «Крипто Про CSP»

4.2 В появившемся окне перейдите на вкладку «Сервис»

4.3 Нажмите на кнопку «Просмотреть сертификаты в контейнере…»

4.4 В поле «Имя ключевого контейнера» нажмите «Обзор»

4.5 В списке доступных контейнеров выберите нужный вам контейнер, он может быть записан на «Aktiv Co. ruToken 0», ARDS Ja Carta или USB-Флешку (определяется как Диск E/D и т.п.) и подтвердите выбор нажатием кнопки «ОК»

4.6 В поле «Имя ключевого контейнера» появится нужный вам контейнер нажать «Далее»

4.7 В ответ на запрос КриптоПро CSP ввода pin-кода на контейнер необходимо указать значение 12345678 (это стандартный pin-код на ключевой носитель ruToken, JaCarta). Если вы меняли пин-код, то введите именно его.

4.8 В открывшемся окне «Сертификат для просмотра» нажать кнопку «Свойства»

4.9 Нажать кнопку «Установить сертификат»

4.10 В появившемся мастере импорта сертификатов нажмите «Далее», укажите пункт «Поместить все сертификаты в следующее хранилище», нажмите кнопку «Обзор»

4.11 В появившемся списке хранилищ выберите «Личные» подтвердите выбор нажатием кнопки «ОК» нажмите «Далее» -> «Готово» -> «ОК» -> «ОК» -> «Готово».

Краткая инструкция по установке сертификата:

В меню «Пуск» -> «Настройка» -> «Панель Управления» -> «Крипто Про CSP» -> на вкладке «Сервис» нажать на кнопку «Просмотреть сертификаты в контейнере…»

-> в поле «Имя ключевого контейнера» нажать «Обзор»

-> в списке доступных контейнеров выбрать нужный Вам (по названию либо по наименованию носителя)

-> подтвердить выбор нажатием кнопки «ОК» -> в поле «Имя ключевого контейнера» появиться нужный Вам контейнер (ЭП)

-> нажать «Далее» -> на просьбу Крипто Про CSP ввести pin-код на контейнер необходимо указать значение вашего PIN (может и не потребоваться)

-> в окне «Сертификат для просмотра» нажать кнопку «Установить сертификат»

Руководство по настройке

После установки токена JaCarta PKI в USB порт сервера и запуска системы проверяем, что новое устройство обнаружено и появилось в списке:

В нашем случае это Bus 004 Device 003: ID 24dc:0101

Пока не установлены все необходимые пакеты, информация о токене не отобразится.

Как зайти в настройки ms key токена

Чтобы разблокировать токен MS_KEY K (Ангара):

Перейдите по ссылке https://esmart.ru/download.
Скачайте и установите специализированное ПО ESMART PKI Client для работы с токеном.

Настройка учетных записей пользователей

В первую очередь необходимо настроить учетные записи пользователей. В этом примере будет настроена учетная запись User — пользователь домена, включенные только в группу Пользователи домена. Для настройки учетной записи пользователя:

Откройте Панель управления.
В поле поиска введите слово «администрирование».

Два раза щелкните по названию Администрирование.
В домене под управлением Windows Server 2019 есть возможность одним действием запретить всем входить в домен без наличия устройства Рутокен с необходимым сертификатом (пользователь с учетной записью Administrator также не сможет войти в домен без наличия устройства Рутокен). Шаги 2-5 данной инструкции необходимо выполнить только в том случае, если в домене будут пользователи не только с устройствами Рутокен, но и использующие альтернативные способы аутентификации (пароли, биометрические данные и т. д.). При этом шаги 9-10 надо пропустить .

Настройка политик безопасности домена

Для настройки политик безопасности:

Откройте Панель управления.
Два раза щелкните по названию пункта Администрирование.
Два раза щелкните по названию оснастки Управление групповой политикой.
В окне Управление групповой политикой рядом с названием категории Объекты групповой политики щелкните по стрелочке.

Щелкните правой кнопкой мыши по названию объекта групповой политики Default Domain Policy и выберите пункт Изменить.

Шаги 4-5 необходимо выполнять только в том случае, если всем пользователям будет запрещен вход в домен без устройства Рутокен с необходимым сертификатом. Настройка будет доступна только после перезагрузки компьютера. Настройка серверной операционной системы после этого будет завершена.

Настройка клиентской операционной системы

Компьютеры с установленными клиентскими операционными системами Windows 10/8.1/8/7/Vista/XP/2000 необходимо ввести в домен и установить на них драйверы Рутокен. Редакции ОС должны включать возможность присоединения к домену. Если клиентские компьютеры были загружены во время настройки сервера, то необходимо их перезагрузить. Теперь пользователи, которым выдан сертификат типа Пользователь со смарт-картой или Вход со смарт-картой, смогут входить в домен только при подключении к компьютеру устройства Рутокен с этим сертификатом.
При извлечении устройства Рутокен в процессе открытого пользовательского сеанса, клиентская ОС будет автоматически заблокирована (в ОС Windows 10/8.1/8/7/Vista для блокировки рабочего стола при отключении устройства Рутокен необходимо установить автоматический запуск службы Политика удаления смарт-карт/Smart Card Removal Policy).

Как зайти в настройки ms key токена

Вы можете использовать ключи безопасности в качестве способа без паролей для входов в организации. Ключ безопасности — это физическое устройство, которое с уникальным ПИН-кодом используется для работы или учебной учетной записи. Так как для ключей безопасности требуется физическое устройство и что-то, что известно только вам, этот способ проверки считается более надежным, чем имя пользователя и пароль. Использование ключа безопасности в качестве метода проверки подлинности без паролей в настоящее время является общедоступным предварительным просмотром. Если то, что вы видите на экране, не совпадает с тем, что в этой статье, значит, администратор еще не включил эту функцию. Пока эта функция не будет включена, необходимо выбрать другой способ проверки подлинности на странице Сведения о безопасности. Дополнительные сведения о предварительных версиях см. в дополнительных условиях использования Microsoft Azure предварительного просмотра.

Если вы не видите параметр ключа безопасности, возможно, ваша организация не позволяет использовать этот параметр для проверки. В этом случае вам потребуется выбрать другой способ или обратиться за дополнительной помощью в службу технической поддержки своей организации. Прежде чем зарегистрировать ключ безопасности, необходимо зарегистрировать хотя бы один дополнительный способ проверки безопасности.

Что такое ключ безопасности?

В настоящее время мы поддерживаем несколько макетов и поставщиков ключей безопасности с помощью протоколов проверки подлинности без пароля (FIDO2). Эти ключи позволяют вам войти в свою учетную запись на работе или в учебном зачете, чтобы получить доступ к облачным ресурсам организации на поддерживаемом устройстве и в веб-браузере. Администратор или ваша организация предоставит вам ключ безопасности, если он потребуется для вашей учебной или учебной учетной записи. Существуют различные типы ключей безопасности, например USB-накопитель, подключаемый к устройству, или клавиша NFC, нажатая на NFC-накопитель. Дополнительные сведения о ключе безопасности, включая тип ключа, можно найти в документации производителя. Примечание: Если вам не удается использовать ключ безопасности FIDO2, существуют и другие способы проверки без паролей, например приложение Microsoft Authenticator или Windows Hello. Дополнительные сведения о Windows Hello см. в Windows Hello обзоре.

Перед началом работы

Перед регистрацией ключа безопасности должны быть выполнены следующие условия: Администратор включил эту функцию для использования в организации. Вы работаете на устройстве, на обновление Windows 10 за май 2019 г. и используете поддерживаемый браузер. У вас есть физический ключ безопасности, утвержденный администратором или вашей организацией. Ключом безопасности должны быть как FIDO2, так и microsoft-compliant. Если у вас есть вопросы о ключе безопасности и его совместимости, обратитесь в службу поддержки своей организации.

Регистрация ключа безопасности

Чтобы войти в свою учетную запись с помощью этого ключа, необходимо создать ключ безопасности и предоставить ему уникальный ПИН-код. В вашей учетной записи может быть зарегистрировано до 10 ключей. Перейдите на страницу Мой профиль на странице Моя учетная запись и войдите в свою учетную запись, если вы еще не сделали этого. Выберите Сведения для защиты, выберите Добавить метод, а затем в списке Добавить метод выберите ключ безопасности. Поле Выберите Добавить, а затем выберите тип ключа безопасности: USB-устройство или устройство NFC. Выбор типа ключа безопасности USB или NFC Примечание: Если вы не знаете, какой тип ключа безопасности у вас есть, обратитесь к документации производителя. Если вы не уверены в изготовителе, обратитесь за помощью в службу технической поддержки своей организации. Убедитесь, что у вас физически доступен ключ безопасности, а затем на странице Ключ безопасности выберите Далее. На странице Настройка нового метода регистрации выберите Далее , а затем: Если ключом безопасности является USB-устройство, вставьте ключ безопасности в USB-порт устройства. Если ключом безопасности является NFC-устройство, коснитесь ключа безопасности для чтения. Введите уникальный ПИН-код ключа безопасности в Windows безопасности и выберите ОК. Вы вернетесь в поле Настройка нового метода регистрации. Выберите Далее. Вернись на страницу Сведения о безопасности, введите имя нового ключа безопасности, которое будет распознано позже, и выберите Далее. Страница Чтобы закрыть страницу Ключ безопасности, выберите Готово. На странице Сведения о безопасности обновлены сведения о ключе безопасности.

Удаление ключа безопасности из данных безопасности

Если вы потеряли или больше не хотите использовать ключ безопасности, вы можете удалить его из своих данных безопасности. При этом ключ безопасности не будет использоваться с вашей учебной или учебной учетной записью, но при этом будут по-прежнему храниться ваши данные и учетные данные. Чтобы удалить данные и данные учетных данных из самого ключа безопасности, следуйте инструкциям в разделе «Сброс ключа безопасности» этой статьи. Выберите ссылку Удалить с ключа безопасности, который нужно удалить. В окнеУдалить ключ безопасности выберите ОК. Ключ безопасности будет удален, и вы больше не сможете использовать его для работы или учебной учетной записи. Важно: Если вы удалили ключ безопасности по ошибке, вы можете снова зарегистрировать его, используя инструкции из раздела «Регистрация ключа безопасности» этой статьи.

Управление настройками ключа безопасности из Windows Параметры

Сброс ключа безопасности

Если вы хотите удалить все данные учетной записи, хранимые в физическом ключе безопасности, необходимо вернуть этот ключ к заводским значениям по умолчанию. При сбросе ключа безопасности из него удаляются все данные, что позволяет начать сначала. Важно: При сбросе ключа безопасности все данные с него удаляются, а заводские настройки будут сброшены. Будут очищены все данные и учетные данные.

Откройте приложение Windows Параметры, выберите Учетные записи ,выберите Параметрывход , выберите Ключ безопасности, а затем — Управление. Вставьте ключ безопасности в USB-порт или нажмите NFC-читатель, чтобы подтвердить свою личность. Следуйте инструкциям на экране, основанным на конкретном изготовителе ключа безопасности. Если изготовителя ключа нет в инструкциях на экране, за дополнительными сведениями обратитесь на сайт изготовителя. Чтобы закрыть экран Управление, выберите закрыть.

Создание НОВОГО ПИН-кода ключа безопасности

Вы можете создать новый ПИН-код ключа безопасности для ключа безопасности. Откройте приложение Windows Параметры учетных записей,выберите Учетные записи , выберите Параметры вход, выберите Ключбезопасности , а затем — Управление. Вставьте ключ безопасности в USB-порт или нажмите NFC-читатель, чтобы подтвердить свою личность. Выберите Добавить в области ПИН-код ключа безопасности, введите и подтвердите новый ПИН-код ключа безопасности, а затем выберите ОК. Ключ безопасности будет обновлен с новым ПИН-кодом ключа безопасности для использования с вашей учебной или учебной учетной записью. Если вы решите изменить ПИН-код еще раз, выберите Изменить. Чтобы закрыть экран Управление, выберите закрыть.

Проверка безопасности и проверка подлинности при сбросе пароля

Сведения для защиты применяются как для двух факторной проверки безопасности, так и для сброса пароля. Однако не все методы можно использовать для обоих методов. Используется для Двух factor verification and password reset authentication. Двух factor verification and password reset authentication. Двух factor verification and password reset authentication. Двух factor verification and password reset authentication. Учетная запись электронной почты Только проверка подлинности при сбросе пароля. Для двух факторной проверки необходимо выбрать другой способ. Вопросы о безопасности Только проверка подлинности при сбросе пароля. Для двух факторной проверки необходимо выбрать другой способ.

Дальнейшие действия

Дополнительные сведения о способах проверки без паролей можно получить в статье Служба Azure AD корпорации Майкрософт начинает общеобъективный просмотр ключей безопасности FIDO2, включая запись блога без пароляили в Windows Hello обзоре. Если вы потеряли или забыли пароль, сбросите его на портале сброса пароля или выполните действия, которые вы можете сделать в статье Сброс пароля для работы или учебного заведения.

Как при помощи токена сделать Windows домен безопаснее? Часть 1

Кто-то из вас наверняка слышал про инцидент , который был обнародован совсем недавно. Американский производитель полупроводников Allegro MicroSystem LLC подал в суд на своего бывшего IT-специалиста за саботаж. Нимеш Пател, проработавший в компании 14 лет, уничтожил важные финансовые данные в первую неделю нового фискального года. Как это произошло? Через две недели после своего увольнения Пател зашел на территорию штаб-квартиры компании в Вустере (штат Массачусетс, США) с целью поймать корпоративную сеть Wi-Fi. Используя учетные данные бывшего коллеги и рабочий ноутбук, Пател авторизовался в корпоративной сети. Затем он внедрил в модуль Oracle код и запрограммировал его выполнение на 1 апреля 2016 года — первую неделю нового финансового года. Код предназначался для копирования определенных заголовков или указателей в отдельную таблицу базы данных и следующего удаления их из модуля. Ровно 1 апреля данные были удалены из системы. И поскольку злоумышленник авторизовался в сети Allegro легально, его действия были замечены не сразу. Подробности широкая общественность не знает, но скорее всего инцидент стал возможен во многом благодаря тому, что в компании для доступа в сеть использовалась парольная аутентификация. Наверняка там были и другие проблемы с безопасностью, но именно пароль можно похитить незаметно для пользователя и факт кражи пароля не будет обнаружен, в лучшем случае вплоть до момента использования похищенных учетных данных. Применение строгой двухфакторной аутентификации и запрет на использование паролей в сочетании с грамотной политикой безопасности могли бы помочь, если не избежать описанного развития событий, то сильно затруднить реализацию такого плана. Мы расскажем о том, как можно значительно повысить уровень безопасности вашей компании и защитить себя от подобных инцидентов. Вы узнаете, как настроить аутентификацию и подпись важных данных, используя токены и криптографию (как иностранную, так и отечественную). В первой статье мы объясним как настроить строгую двухфакторную аутентификацию с использованием PKI при входе в доменную учетную запись в Windows. В следующих статьях мы расскажем вам, как настроить Bitlocker, защитить электронную почту и простейший документооборот. Также мы вместе с вами настроим безопасный доступ к корпоративным ресурсам и безопасный удаленный доступ по VPN.

Двухфакторная аутентификация

Опытным системным администраторам и службам безопасности хорошо известно, что пользователи крайне не сознательны в вопросе соблюдения политик безопасности, они могут записать свои учетные данные на стикере и приклеить его рядом с компьютером, передать пароли своим коллегам и тому подобное. Особенно часто это происходит, когда пароль сложный (содержащий более 6 знаков и состоящий из букв разного регистра, цифр и специальных символов) и его трудно запомнить. А ведь такие политики администраторами задаются не просто так. Это необходимо для защиты учетной записи пользователя от простого перебора паролей по словарю. Также администраторы рекомендуют менять пароли хотя бы раз в 6 месяцев, просто из того соображения, что за это время теоретически можно отбрутфорсить даже сложный пароль. Давайте вспомним, что такое аутентификация. В нашем случае это процесс подтверждения подлинности субъекта или объекта. Аутентификация пользователя — это процесс подтверждения подлинности пользователя. А двухфакторная аутентификация — это такая аутентификация, в которой необходимо использовать не менее двух различных способов для подтверждения своей личности.

Простейшим примером двухфакторной аутентификации в реальной жизни является сейф с замком и кодовой комбинацией. Чтобы открыть такой сейф необходимо знать код и владеть ключом.

Токен и смарт-карта

Наверно, самым надежным и простым в реализации способом двухфакторной аутентификации является использование криптографического токена или смарт-карты. Токен — это USB-устройство, которое является и считывателем, и смарт-картой одновременно. Первым фактором в таком случае является факт владения устройством, а вторым — знание его PIN-кода. Использовать токен или смарт-карту, тут кому, что удобнее. Но исторически так сложилось, что в России больше привыкли использовать токены, так как они не требуют использования встроенных или внешних считывателей смарт-карт. У токенов есть и свои минусы. Например, на нем не напечатаешь фотографию. На фотографии изображена типичная смарт-карта и считыватель. Однако вернемся к корпоративной безопасности. А начнем мы с домена Windows, ведь в большинстве компаний в России корпоративная сеть построена именно вокруг него. Как известно, политики Windows-домена, настройки пользователей, настройки групп в Active Directory предоставляют и разграничивают доступ к огромному количеству приложений и сетевых сервисов. Защитив учетную запись в домене, мы можем защитить большинство, а в некоторых случаях и вообще все внутренние информационные ресурсы.

Почему двухфакторная аутентификация в домене по токену с PIN-кодом безопаснее обычной парольной схемы?

PIN-код привязан к определенному устройству, в нашем случае к токену. Знание PIN-кода само по себе ничего не дает. Например, PIN-код от токена можно диктовать по телефону другим лицам и это ничего не даст злоумышленнику, если вы достаточно бережно относитесь к токену и не оставляете его без присмотра. С паролем же ситуация совершенно иная, если злоумышленник подобрал, угадал, подсмотрел или еще каким-то образом завладел паролем от учетной записи в домене, то он сможет беспрепятственно зайти, как в сам домен, так и в другие сервисы компании, в которых используется эта же учетная запись. Токен является уникальным некопируемым физическим объектом. Им обладает легитимный пользователь. Двухфакторную аутентификацию по токену можно обойти только тогда, когда администратор намеренно или по недосмотру оставил для этого «лазейки» в системе.

Преимущества входа в домен по токену

PIN-код от токена проще запомнить, так как он может быть намного проще пароля. Каждый наверняка хоть раз в жизни видел, как «опытный» пользователь мучительно не может с нескольких попыток аутентифицироваться в системе, вспоминая и вводя свой «безопасный» пароль. PIN-код не обязательно постоянно менять, так как токены более устойчивы к перебору PIN-кодов. После некоторого числа неудачных попыток ввода, токен блокируется. При использовании токена для пользователя вход в систему выглядит следующим образом: после загрузки компьютера, он просто подключает токен к USB-порту компьютера, вводит 4-6 цифр и нажимает кнопку Enter. Скорость ввода цифр у обычных людей выше, чем скорость ввода букв. Поэтому PIN-код вводится быстрее. Токены позволяют решить проблему «брошенного рабочего места» — когда пользователь уходит со своего рабочего места и забывает выйти из своей учетной записи. Политика домена может быть настроена таким образом, чтобы компьютер автоматически блокировался при извлечении токена. Также токен может быть оснащен RFID-меткой для прохода между помещениями компании, поэтому не забрав токен со своего рабочего места, сотрудник просто не сможет перемещаться по территории.

Недостатки, куда же без них

Токены или смарт-карты не бесплатные (решается бюджетом). Их нужно учитывать, администрировать и обслуживать (решается системами управления токенами и смарт-картами). Некоторые информационные системы могут «из коробки» не поддерживать аутентификацию по токенам (решается системами типа Single Sign-On — предназначенными для организации возможности использования единой учетной записи для доступа к любым ресурсам области).

Настройка двухфакторной аутентификации в домене Windows

Служба каталога Active Directory поддерживает возможность аутентификации с помощью смарт-карты и токена, начиная с Windows 2000. Она заложена в расширении PKINIT (public key initialization — инициализация открытого ключа) для протокола Kerberos RFC 4556 . Протокол Kerberos был специально разработан для того, чтобы обеспечить надежную аутентификацию пользователей. Он может использовать централизованное хранение аутентификационных данных и является основой для построения механизмов Single Sing-On. Протокол основан на ключевой сущности Ticket (билет). Ticket (билет) является зашифрованным пакетом данных, который выдается доверенным центром аутентификации, в терминах протокола Kerberos — Key Distribution Center (KDC, центр распределения ключей). Когда пользователь выполняет первичную аутентификацию после успешного подтверждения его подлинности, KDC выдает первичное удостоверение пользователя для доступа к сетевым ресурсам — Ticket Granting Ticket (TGT). В дальнейшем при обращении к отдельным ресурсам сети, пользователь, предъявляет TGT, получает от KDC удостоверение для доступа к конкретному сетевому ресурсу — Ticket Granting Service (TGS). Одним из преимуществ протокола Kerberos, обеспечивающим высокий уровень безопасности, является то, что при любых взаимодействиях не передаются ни пароли, ни значения хеша паролей в открытом виде. Расширение PKINIT позволяет использовать двухфакторную аутентификацию по токенам или смарт-картам на этапе предаутентификации Kerberos. Вход в систему может быть обеспечен, как при использовании службы каталога домена, так и локальной службы каталога. TGT создается на основе электронной подписи, которая вычисляется на смарт-карте или токене. Все контроллеры доменов должны иметь установленный сертификат Domain Controller Authentication, или Kerberos Authentication, т. к. реализуется процесс взаимной аутентификации клиента и сервера. Приступим к настройке. Сделаем так, чтобы в домен под вашей учетной записью можно было зайти только по предъявлению токена и зная PIN-код.

Для демонстрации мы будем использовать Рутокен ЭЦП PKI производства компании «Актив». 1 Этап — Настройка домена Первым делом установим службы сертификации. Эта статья не является туториалом по внедрению корпоративного PKI. Вопросы проектирования, разворачивания и грамотного применения PKI тут не рассматриваются ввиду необъятности этой темы. Все контроллеры доменов и все клиентские компьютеры в рамках леса, где осуществляется внедрение такого решения, обязательно должны доверять корневому Удостоверяющему Центру (Центру Сертификации). Задача центра сертификации — подтверждать подлинность ключей шифрования с помощью сертификатов электронной подписи. Технически центр сертификации реализован как компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей. Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов. Удостоверяющий центр, выдающий сертификаты для использования смарт-карт или токенов, должен быть помещен в хранилище NT Authority. Зайдите в Диспетчер сервера и выберите «Добавить роли и компоненты». При добавлении ролей сервера выберите «Службы сертификации Active Directory» (Microsoft категорически рекомендует не делать это на контроллере домена, дабы не огрести проблем с производительностью). В открывшемся окне выберите «Добавить компоненты» и выберите пункт «Центр сертификации». На странице для подтверждения установки компонентов нажмите «Установить». 2 Этап — Настройка входа в домен с помощью токена Для входа в систему нам понадобится сертификат, который содержит идентификаторы Smart Card Logon и Client Authentication. Сертификат для смарт-карт или токенов также должен содержать UPN пользователя (суффикс имени участника-пользователя). По умолчанию суффиксом имени участника-пользователя для учетной записи является DNS-имя домена, которое содержит учетную запись пользователя. Сертификат и закрытый ключ должны быть помещены в соответствующие разделы смарт-карты или токена, при этом закрытый ключ должен находиться в защищенной области памяти устройства. В сертификате должен быть указан путь к точке распространения списка отзыва сертификатов (CRL distribution point). Такой файл содержит список сертификатов с указанием серийного номера сертификата, даты отзыва и причины отзыва. Он используется для передачи сведений об отозванных сертификатах пользователям, компьютерам и приложениям, пытающимся проверить подлинность сертификата. Настроим установленные службы сертификации. В правом верхнем углу нажмите на желтый треугольник с восклицательным знаком и щелкните «Настроить службы сертификации…». В окне «Учетные данные» выберите необходимые учетные данные пользователя для настройки роли. Выберите «Центр сертификации». Выберите «ЦС предприятия». ЦС предприятия интегрированы с AD. Они публикуют сертификаты и списки отзыва сертификатов в AD. Укажите тип «Корневой ЦС». На следующем этапе выберите «Создать новый закрытый ключ». Выберите период действия сертификата. 3 этап — Добавление шаблонов сертификатов Для добавления шаблонов сертификатов откройте Панель управления, выберите пункт «Администрирование» и откройте Центр сертификации. Щелкните по названию папки «Шаблоны сертификатов», выберите пункт «Управление». Щелкните по названию шаблона «Пользователь со смарт-картой» и выберите пункт «Скопировать шаблон». На следующих скриншотах показано, какие параметры в окне «Свойства нового шаблона» необходимо изменить. Если в списке поставщиков нет «Aktiv ruToken CSP v1.0», то необходимо установить комплект «Драйверы Рутокен для Windows». Начиная с Windows Server 2008 R2 вместо специального провайдера от производителя можно использовать «Microsoft Base Smart Card Crypto Provider». Для устройств Рутокен библиотека «минидрайвера», поддерживающая «Microsoft Base Smart Card Crypto Provider», распространяется через Windows Update. Проверить установился ли «минидрайвер» на вашем сервере можно подключив Рутокен к нему и посмотрев в диспетчер устройств.

Если «минидрайвера» по каким-то причинам нет, его можно установить принудительно, инсталлировав комплект «Драйверы Рутокен для Windows», а после этого воспользоваться «Microsoft Base Smart Card Crypto Provider». Комплект «Драйверы Рутокен для Windows» распространяется бесплатно с сайта Рутокен . Добавьте два новых шаблона «Агент сертификации» и «Пользователь с Рутокен». Для этого выйдите из окна «Управления шаблонами». Нажмите правой кнопкой мыши на «Шаблоны сертификатов» и выберите пункт меню «Создать» и подпункт «Выдаваемый шаблон сертификата». />
Далее выберите «Агент регистрации» и «Пользователь с Rutoken» и нажмите «ОК».
В результате названия этих шаблонов отобразятся в центре сертификации.
Далее нам необходимо выписать сертификат администратору домена. Откройте службу «Выполнить» и укажите команду mmc. Добавьте оснастку «Сертификаты». В окне «Оснастки диспетчера сертификатов» выберите «моей учетной записи пользователя». В окне «Добавление и удаление оснастки» подтвердите добавление сертификатов. Выберите папку «Сертификаты». Запросите новый сертификат. Откроется страница для регистрации сертификата. На этапе запроса сертификата выберите политику регистрации «Администратор» и нажмите «Заявка». Таким же образом запросите сертификат для Агента регистрации. Чтобы запросить сертификат для определенного пользователя щелкните «Сертификаты», выберите пункт «Зарегистрироваться от имени. ». В окне для запроса сертификата установите флажок «Пользователь с Рутокен». Теперь необходимо выбрать пользователя. В поле «Введите имена выбранных объектов» укажите имя пользователя в домене и нажмите «Проверить имя». В окне для выбора пользователя нажмите «Заявка». В раскрывающемся списке выберите имя токена и укажите PIN-код. Таким же образом выберите сертификаты для других пользователей в домене. 4 этап — Настройка учетных записей пользователей Для настройки учетных записей откройте список пользователей и компьютеров AD. Выберите папку Users и пункт «Свойства». Перейдите на вкладку «Учетные записи», установите флажок «Для интерактивного входа в сеть нужна смарт-карта». Настройте политики безопасности. Для этого откройте Панель управления и выберите пункт «Администрирование». Откройте меню для управления групповой политикой. В левой части окна «Управление групповой политикой» щелкните «Default Domain Policy» и выберите пункт «Изменить».

В левой части окна «Редактор управления групповыми политиками» выберите пункт «Параметры безопасности». Откройте политику «Интерактивный вход в систему: требовать смарт-карту». На вкладке «Параметры политики безопасности» установите флажки «Определить следующий параметр политики» и «Включен». Откройте политику «Интерактивный вход в систему: поведение при извлечении смарт-карты». На вкладке «Параметры политики безопасности» установите флажок «Определить следующий параметр политики», из раскрывающегося списка выберите «Блокировка рабочей станции». Перезагрузите компьютер. И при следующей попытке аутентификации в домене уже можно будет использовать токен и его PIN-код. Двухфакторная аутентификация для входа в домен настроена, а значит существенно повышен уровень безопасность для входа в Windows домен без траты безумной суммы на дополнительные средства защиты. Теперь без токена вход в систему невозможен, а пользователи могут вздохнуть спокойно и не мучиться со сложными паролями. Следующий шаг — безопасная почта, об этом и о настройке безопасной аутентификации в других системах читайте в наших следующих статьях.

Как зайти в настройки ms key токена

Двухфакторная аутентификация в домене с использованием токенов и MS CA

Пароль является не очень надежным средством защиты. Очень часто используются простые, легко подбираемые пароли или же пользователи не особо следят за сохранностью своих паролей (раздают коллегам, пишут на бумажках и т.д.). В Microsoft уже давно реализована технология, позволяющая для входа в систему использовать SmartCard, т.е. аутентифицироваться в системе по сертификату. Но не обязательно использовать непосредственно смарт-карты, ведь для них нужны еще и считыватели, поэтому проще их заменить на usb токены. Они позволят реализовать двухфакторную аутентификацию: первый фактор — это пароль от токена, второй фактор — это сертификат на токене. Далее на примере usb токена JaCarta и домена Windows я расскажу как внедрить этот механизм аутентификации. Первым делом в AD создадим группу «g_EtokenAdmin» и уч. запись «Enrollment Agent», входящую в эту группу. Эта группа и пользователь будут рулить центром сертификации. Далее добавим серверу роль AD CA (центр сертификации). etoken_auth_02 Дополнительно установим Web службу для запроса сертификатов. etoken_auth_03 Далее выбираем вариант для предприятия. Выбираем Корневой ЦС (если у нас это первый центр сертификации в домене)
Создаем новый закрытый ключ. Длину ключа можно оставить туже, а вот алгоритм хеширования лучше выбрать SHA2 (SHA256). etoken_auth_04 Введем имя CA и выберем срок действия основного сертификата.
Остальные параметры оставляем по умолчанию и запускаем процесс установки. etoken_auth_05
После установки зайдем в оснастку центра сертификации и настроим права на шаблоны.
etoken_auth_06 Нас будут интересовать два шаблона: Агент регистрации (Enrollment Agent) и Вход со смарт-картой (Smartcard logon).
Зайдем в свойства этих шаблонов и на вкладке безопасность добавим группу «g_EtokenAdmin» с правами чтение и заявка. etoken_auth_07 Далее включим эти шаблоны. etoken_auth_08 И они появятся у нас в общем списке. etoken_auth_09 Следующим шагом настроим групповые политики:
Первым делом расскажем всем компьютерам домена о корневом центре сертификации, для этого изменим Default Domain Policy.
Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Политики открытого ключа -> Доверенные корневые центры сертификации -> Импорт etoken_auth_10 Выберем наш корневой сертификат, расположенный по пути: C:\Windows\System32\certsrv\CertEnroll. Закрываем Default Domain Policy.
На следующем шаге создадим политику для контейнера, в котором будут находится компьютеры с аутентификацией по токену (Смарт-карте). etoken_auth_11 По пути Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности. Настроим два параметра «Интерактивный вход в систему: требовать смарт-карту» и «Интерактивный вход в систему: поведение при извлечении смарт-карты». etoken_auth_12

На этом с настройками все, теперь можно генерировать клиентский сертификат и проверять аутентификацию по токену.
Залогинемся на компьютере под учетной записью «Enrollment Agent» и откроем браузер, перейдя по ссылке http://Имя_сервера_MS_CA/certsrv etoken_auth_13 Выбираем пункт Запрос сертификата -> Расширенный запрос сертификата -> Создать и выдать запрос к этому ЦС
Если возникнет ошибка вида «Чтобы завершить подачу заявки на сертификат, следует настроить веб-узел для ЦС на использование проверки подлинности по протоколу HTTPS», то нужно на сервере IIS, на котором установлен MS CA, сделать привязку сайта к протоколу https. etoken_auth_14 Продолжим получение сертификата, для этого на открывшейся странице выберем шаблон: «Агент регистрации» и нажмем кнопку выдать и установить сертификат. etoken_auth_15 Теперь пользователь Enrollment Agent может выписывать сертификаты для других пользователей. К примеру запросим сертификат для пользователя test. Для этого откроем консоль управления сертификатами certmgr.msc, т.к. через web интерфейс не получится записать сертификат на usb токен.
В этой консоли на папке личное сделаем запрос от имени другого пользователя etoken_auth_16 В качестве подписи выбираем единственный сертификат «Enrollment Agent» и переходим к следующему шагу, на котором выбираем пункт «Вход со смарт-картой» и нажимаем подробности для выбора криптопровайдера.
В моем случае я использую токены JaCarta, поэтому вместе с драйверами был установлен криптопровайдер «Athena…»: etoken_auth_17 На следующем шаге выбираем доменного пользователя, для которого выписываем сертификат и нажимаем на кнопку «Заявка». etoken_auth_18 Вставляем токен, вводим пин код и начинается процесс генерации. В итоге мы должны увидеть диалоговое окно с надписью «Успешно».
Если процесс окончился неудачно, возможно дело в шаблоне получения сертификата, в моем случае его надо было немного подправить. Приступим к тестированию, проверим работу токена на компьютере, находящемся в OU с групповой политикой входа по смарт-карте.
При попытке войти под учетной записью с паролем мы должны получить отказ. При попытке войти со смарт-картой (токеном) мы получим предложение ввести пин и должны успешно зайти в систему.

Rdp вход по личному сертификату. Защита RDP соединения при помощи SSL. Как же подключиться к удаленному рабочему столу

Тип сертификата — Сертификат проверки подлинности сервера
Установите опцию Создать новый набор ключей
CSP — Microsoft RSA SChannel Cryptographic Provider .
Установите флажок Пометить ключ как экспортируемый .
Для ЦС предприятия установите флажок Использовать локальное хранилище компьютера для сертификата . (В автономном ЦС данная опция недоступна).

Отправьте запрос центру сертификации и установите выданный сертификат. Данный сертификат должен быть установлен в локальное хранилище компьютера, иначе он не сможет быть использован службами терминалов. Чтобы проверить это запустим консоль MMC (Пуск — Выполнить — mmc ) и добавим оснастку Сертификаты (Файл — Добавить или удалить оснастку ) для учетной записи компьютера.

В корне консоли выберите нажмите Вид — Параметры и установите режим просмотра Упорядочить сертификаты по назначению . Выданный сертификат должен находиться в группе Проверка подлинности сервера .

Если вы получали сертификат с помощью изолированного (автономного) ЦС (сеть не имеет доменной структуры) то он по умолчанию будет установлен в хранилище учетной записи пользователя и придется выполнить ряд дополнительных действий.

Откройте Internet Explorer — Свойства обозревателя — Содержимое — Сертификаты , выданный сертификат должен быть установлен в хранилище Личные .

Произведите его экспорт. При экспорте укажите следующие опции:

Да, экспортировать закрытый ключ
Удалить закрытый ключ после успешного экспорта

После чего удалите сертификат из данного хранилища. В оснастке Сертификаты (локальный компьютер) выберите раздел Проверка подлинности сервера , щелкните на него правой кнопкой мыши Все задачи — Импорт и импортируйте сертификат.

Теперь в Администрирование — Службы удаленных рабочих столов откройте Конфигурация узла сеансов удаленных рабочих столов (в Windows Server 2003 Администрирование — Настройка служб терминалов).

Выберите необходимое подключение и откройте его свойства. В самом низу нажмите кнопку Выбрать и выберите полученный на предыдущем шаге сертификат (в Windows Server 2003 это окно выглядит несколько по другому).

После выбора сертификата укажите остальные свойства:

Уровень безопасности SSL
Уровень шифрования Высокий или FIPS —совместимый
Установите флажок Разрешить подключаться только с компьютеров. (недоступно в Windows Server 2003)

Сохраните введенный параметры, на этом настройка сервера закончена.

На клиентском ПК создайте подключение к удаленному рабочему столу, в качестве адреса используйте полное имя сервера, которое указано в сертификате. Откройте свойства подключения и на закладке Подключение — Проверка подлинности сервера установите опцию Предупреждать .

Чтобы данный ПК доверял сертификатам выданным нашим центром сертификации не забудьте установить на него сертификат ЦС в хранилище Доверенные корневые центры сертификации .

В Windows 7 (при использовании RDP клиента версии 7) данный сертификат требуется установить в хранилище учетной записи компьютера , для этого импортируйте его через оснастку Сертификаты (локальный компьютер) в консоли MCC, аналогично тому, как это делали выше. В противном случае подключение будет невозможно и вы получите следующую ошибку:

Установив сертификат ЦС можете пробовать подключиться, обратите внимание, что имя пользователя и пароль будет предложено ввести еще до создания RDP сессии. При успешном соединении обратите внимание на замок в заголовке окна, который свидетельствует о работе через SSL. Нажав на него можно просмотреть информацию о сертификате.

И напоследок капля дегтя в бочке меда. Терминальные службы Windows не умеют проверять подлинность подключающихся клиентов, поэтому если стоит такая необходимость следует использовать дополнительные методы защиты, такие как SSH туннель или IPSec VPN.

Кратко: позволяет настроить двухфакторную авторизацию для доступа на терминальный сервер. C помощью утилиты MS Remote Desktop Connection либо Remote Desktop Web Connection позволяет вам легко подключаться на Удаленный Рабочий Стол с помощью USB-Ключа (токена).

Как работает Rohos Logon Key с Remote Desktop.

Rohos Logon Key интегрируется в процедуру авторизации Windows Terminal Services и добавляет уровень двухфакторной авторизации в существующую инфраструктуру контроля доступа в систему. После настройки Rohos Logon Key пользователи смогут входить на Удаленный Рабочий Стол либо только при помощи USB-Ключа, либо при помощи USB-Ключа и пароля.

Преимущества защиты Терминального Сервера.

Метод позволяет ограничить удаленный доступ для некоторых пользователей или списка пользователей.
Такие пользователи обязаны каждый раз вставлять USB ключ или вводить код OTP.
Каждый ключ уникален и не может быть подделан
Нет необходимости подключать USB ключ непосредственно к серверу при его настройке.
Не нужно устанавливать программу на каждый компьютер, с которого осуществляется доступ*.
Администратору всего лишь необходимо предварительно настроить и выдать пользователю USB-Ключ для доступа.

Повышенная безопасность посредством электронного USB-Ключа либо Одноразовых паролей:

Пароль Windows+ USB ключ, например SafeNet, eToken, iKey, ePass и другие с поддержкой PKCS#11.
Пароль Windows + USB flash носитель.
Пароль Windows + OTP код, пришедший по SMS на мобильный телефон пользователя.
Пароль Window + OTP код с программы Google Authenticator, установленной на смартфоне пользователя.
Только зашифрованный пароль на USB ключе.
электронный USB-Ключ + PIN-код ключа;
электронный USB-Ключ + PIN-код ключа + Windows Пароль;

Перед тем как приступить к настройке Rohos Logon key необходимо определиться:

какой тип USB-Ключа будет использован для авторизации;
какой тип аутентификации вы хотите использовать:
1) двухфакторный = USB-Ключ + Windows Пароль,
2) однофакторный = USB-Ключ (сюда также входит вариант USB-Ключ + PIN-код ключа если таковой имеется),
3) использовать USB-Ключ только на локальном ПК. При этом Терминальный сервер не будет проверять наличие USB-Ключ у клиента.

Смарт-карты
Google Authenticator
Yubikey
USB flash drive*

* В случае использования USB flash drive в качестве ключа доступа, на компьютер клиента необходимо установить одну из двух программ: либо программу , либо . В процессе создания ключа на сервере, на USB — накопитель будет скопирован , обеспечивающий использование USB диска в качестве ключа для подключения к Remote Desktop. Этот портативный компонент можно будет запустить на других рабочих станциях, используемых для удаленного подключения к серверу.

После того как вы определились с типом USB-Ключа и способом двухфакторной авторизации вы можете приступить к установке Rohos Logon Key .

Типы USB ключей и технологии, подходящие для аутентификации через Remote desktop с программой Rohos Logon Key:

Smart-карты, Java Cards (Mifare 1K)
Токены на основе PKCS11. Например SafeNet eToken, Securetoken ST3/4, senseLock trueToken, RuToken, uaToken, iKey.
Yubikey и OTP токены, например Google Authenticator
USB Flash накопители. В этом случае после создания ключа на USB диск будет скопирован портативный компонент программы.

Этапы подготовки соединения с использованием программы Rohos Logon Key:

1. Установите программу Rohos Logon Key на терминальном сервере . В настройках программы укажите тип USB ключа.

2. Установите пакет Rohos Management Tools на компьютер, с которого будет осуществляться доступ на удаленный рабочий стол для создания ключей.

3. Создание ключей для доступа через RDC:

Подключите к локальному компьютеру ваш будущий USB ключ. Подключитесь к терминальному серверу через RDC. В настройках программы Remote Desktop укажите, какие локальные ресурсы (USB диски или смарт-карты) следует предоставить удаленному компьютеру.

Запустите программу Rohos Logon Key на терминальном сервере. Воспользуйтесь командой Setup a key , укажите пользователя, для которого вы создаете ключ и, если необходимо, впишите его пароль.

Замечание : Некоторые типы USB ключей можно создать в программе USB key manager из пакета Rohos Managment tools . Этот пакет устанавливается на компьютере администратора. После создания всех ключей в этой программе необходимо экспортировать их список на терминальный сервер. . В этой же программе есть кнопка, копирующая на USB накопитель программы.

4. Настройка Rohos Logon Key на Терминальном Сервере:

После создания всех ключей вы можете усилить безопасность сервера, запретив определенным пользователям доступ к нему без USB ключа. Откройте настройки программы Rohos Logon Key, список Разрешить доступ только с помощью USB-Ключа.

Варианты выбора:

None
Все пользователи могут входить как по паролю, так и с использованием USB ключа. Такая настройка для терминального сервера не рекомендуется.
For any user
Эта опция аналогична старой опции Allow login only by USB Key . Все пользователи обязаны использовать USB ключ для входа или разблокировки Windows.
For listed users
Только пользователи из списка обязаны использовать USB ключ для входа. Все остальные пользователи могут входить по паролю. Список создается автоматически, когда USB ключ создается для какого-либо пользователя. Имя пользователя с USB ключа заносится в этот список. Кроме того, список пользователей и ключей можно импортировать с другого компьютера. Разумеется, это может сделать только администратор.
For ‘rohos’ user group in Active Directory
Каждый пользователь из группы rohosобязан использовать USB ключ.
Внимание : группа пользователей rohos должна быть создана администратором Active Directory.
For Remote desktop login
Локальные пользователи могут входить как с ключом, так и без USB ключа. Удаленный вход возможен только с USB ключом. Этот вариант идеально подходит для усиления безопасности терминального сервера.
For Remote desktop login outside LAN
Пользователи в локальной сети могут входить на терминальный сервер и без ключа . Только пользователи, входящие через dial-up, DSL соединения, а также из других сетей, обязаны использовать ключи USB.

Подключение к удаленному рабочему столу

При подключении мы увидим вот такое диалоговое окно сетевой идентификации.

Следует выбрать имя пользователя и ввести пароль учетной записи на TS.

Если проверка подлинности пароля прошла успешно, то происходит подключение к Удаленному Рабочему Столу. На этом этапе Rohos Logon Key проверяет наличие USB-Ключа пользователя.

Rohos Logon Key может остановить доступ, если USB-Ключ не подключен:

Если используется токен с одноразовым паролем, появится окно для его ввода.

Портативный Rohos Logon Key

Попробовать Rohos Logon Key бесплатно в течении 15-дней. Rohos Logon Key.

По истечении этого периода программа также будет работать, но будет напоминать зарегистрироваться.

Одним из основных неудобств для пользователя при запуске удаленного рабочего стола или опубликованного на терминальном сервере приложения является необходимость ввода своих учетных данных. Ранее для решения этой проблемы использовался механизм сохранения учетных данных в настройках клиента удаленного рабочего стола. Однако данный способ имеет несколько существенных недостатков. Например, при периодической смене пароля приходилось изменять его вручную в настройках терминального клиента.

В связи с этим, для упрощения работы с удаленным рабочим столом в Windows Server 2008 появилась возможность использования технологии прозрачной авторизации Single Sign-on (SSO). Благодаря ей пользователь при входе на терминальный сервер может использовать учетные данные, введенные им при логине на свой локальный компьютер, с которого происходит запуск клиента удаленного рабочего стола.

В статье приведен обзор алгоритма работы технологии прозрачной авторизации Single Sign-On и поставщика услуг безопасности Credential Security Service Provider (CredSSP). Рассмотрен способ настройки клиентской и серверной частей. Также освещен ряд практических вопросов связанных с прозрачной авторизацией для служб удаленных рабочих столов.

Теоретическая информация

Технология SSO позволяет сохранение учетных данных пользователя и автоматическую передачу их при соединении с терминальным сервером. С помощью групповых политик можно определить сервера, для которых будет использоваться данный способ авторизации. В этом случае, для всех остальных терминальных серверов вход будет осуществляться традиционным образом: посредством ввода логина и пароля.

Впервые механизмы прозрачной авторизации появились в Windows Server 2008 и Windows Vista. благодаря новому поставщику услуг безопасности CredSSP. С его помощью кэшированные учетные данные передавались через безопасный канал (используя Transport Layer Security (TLS)). Впоследствии Microsoft выпустила соответствующие обновления для Windows XP SP3.

Рассмотрим это более подробно. CredSSP может использоваться в следующих сценариях:

для сетевого уровня аутентификации (NLA), позволяя пользователю быть узнанным до полной установки соединения;
для SSO, сохраняя учетные данные пользователя и передавая их на терминальный.

При восстановлении сеанса внутри фермы, CredSSP ускоряет процесс установки соединения, т.к. терминальный сервер определяет пользователя без установки полноценного соединения (по аналогии c NLA).

Процесс аутентификации происходит по следующему алгоритму:

Клиент инициирует установку безопасного канал с сервером, используя TLS. Сервер передает ему свой сертификат, содержащий имя, удостоверяющий центр и публичный ключ. Сертификат сервера может быть самоподписанным.
Между сервером и клиентом устанавливается сессия. Для неё создается соответствующий ключ, который в дальнейшем будет участвовать в шифровании. CredSSP использует протокол Simple and Protected Negotiate (SPNEGO) для взаимной аутентификации сервера и клиента так, чтобы каждый из них мог доверять друг другу. Этот механизм позволяет клиенту и серверу выбрать механизм аутентификации (например, Kerberos или NTLM).
Для защиты от перехвата, клиент и сервер поочередно шифруют сертификат сервера, используя ключ сессии, и передают его друг другу.
Если результаты обмена и исходный сертификат совпадают, CredSSP на клиенте посылает учетные данные пользователя на сервер.

Таким образом, передача учетных данных происходит по зашифрованному каналу с защитой от перехвата.

Настройка

Поставщик услуг безопасности CredSSP является частью операционной системы и входит в состав Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2. Кроме того, он может быть установлен в качестве отдельного обновления на Windows XP SP3. Этот процесс подробно описан в статье «Description of the Credential Security Support Provider (CredSSP) in Windows XP Service Pack 3 ». Для установки и включения CredSSP на Windows XP SP3 необходимо выполнить следующие действия.

1. Запустить редактор реестра regedit и перейти в ветку: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.

2. Добавить значение tspkg к ключу Security Packages

3. Перейти в ветку реестра : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders .

4. Добавить значение credssp.dll к ключу SecurityProviders (остальные значения этого ключа следует оставить неизменными).

После того как CredSSP включен, необходимо настроить его использование с помощью групповых политик или соответствующих им ключей реестра. Для настройки SSO на клиентских компьютерах используются групповые политики из раздела:

Computer Configuration\Administrative Templates\System\Credentials Delegation .

В русскоязычных версиях операционных систем это выглядит следующим образом (рис. 1).

Рис. 1. Управление передачей учетных данных при помощи групповых политик

Для использования SSO следует включить политику:

Разрешить передачу учетных данных, установленных по умолчанию .

Кроме того, после включения, следует установить для каких именно серверов будет использоваться данный способ авторизации. Для этого необходимо выполнить следующие действия.

В окне редактирования политики (рис. 2) нажать кнопку «Показать »

Рис. 2. Окно редактирования групповой политики

Добавить список терминальных серверов (рис. 3).

Рис. 3. Добавление терминального сервера для прозрачной авторизации

Строка добавления сервера имеет следующий формат:

TERMSRV/имя_сервера .

Также можно задать сервера по маске домена. В этом случае строка приобретает вид:

TERMSRV/*.имя_домена .

Если нет возможности использовать групповые политики, соответствующие настройки можно установить при помощи редактора реестра. Например, для настройки Windows XP Sp3 можно использовать следующий файл реестра:

Windows Registry Editor Version 5.00

«Security Packages»=hex (7):6b,00,65,00,72,00,62,00,65,00,72,00,6f,00,73,00,00,\

«SecurityProviders»=»msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, credssp.dll»

Здесь вместо mydomain.com следует подставить имя домена. В этом случае при подключении к терминальным серверам по полному доменному имени (например, termserver1.mydomain.com) будет использоваться прозрачная авторизация.

Для использования технологии Single Sign-On на терминальном сервере необходимо выполнить следующие действия.

Открыть консоль настройки служб терминалов (tsconfig.msc ).
В разделе подключения перейти в свойства RDP-Tcp .
На вкладке «Общие » установить уровень безопасности «Согласование » или «SSL (TLS 1.0) » (рис. 4).

Рис. 4. Настройка уровня безопасности на терминальном сервере

На этом настройку клиентской и серверной части можно считать законченной.

Практическая информация

В этом разделе рассмотрим ограничения на использование технологии прозрачной авторизации и проблемы, которые могут возникнуть при её применении.

Технология Single Sign-On работает только при соединении с компьютеров под управлением операционной системы не Windows XP SP3 и более старших версий. В качестве терминального сервера могут быть использованы компьютеры с операционной системой Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2.
Если терминальный сервер, к которому устанавливается соединение, не может быть аутентифицирован через Kerberos или SSL-сертификат, SSO работать не будет. Это ограничение можно обойти с помощью политики:
Разрешить делегирование учетных данных, установленных по умолчанию с проверкой подлинности сервера «только NTLM» .
Алгоритм включения и настройки данной групповой политики аналогичен представленному выше. Файл реестра, соответствующей данной настройке имеет следующий вид.

Аутентификация данным способом менее безопасна, чем при использовании сертификатов или Kerberos.

Если для какого-либо сервера сохранены учетные данные в настройках терминального клиента, то они имеют более высокий приоритет, чем текущие учетные данные.
Single Sign-On работает только при использовании доменных аккаунтов.
Если подключение к терминальному серверу идет через TS Gateway, в некоторых случаях возможен приоритет настроек сервера TS Gateway над настройками SSO терминального клиента.
Если терминальный сервер настроен каждый раз запрашивать учетные данные пользователей, SSO работать не будет.
Технология прозрачной авторизации работает только с паролями. В случае использования смарт-карт, она работать не будет.

Для корректной работы SSO на Windows XP SP рекомендуется установить два исправления из KB953760: «When you enable SSO for a terminal server from a Windows XP SP3-based client computer, you are still prompted for user credentials when you log on to the terminal server ».

В некоторых случаях возможна ситуация когда на одном и том же терминальном клиенте технология прозрачной авторизации может работать или не работать в зависимости от профиля подключающегося пользователя. Проблема решается пересозданием профиля пользователя. Если это является слишком трудоемкой задачей можно попробовать воспользоваться советами из обсуждения: «RemoteApp Single Sign On (SSO) from a Windows 7 client » форумов Microsoft Technet. В частности, рекомендуется сбросить настройки Internet Explorer или одобрить соответствующую надстройку для него.

Еще одним серьезным ограничением технологии SSO является то, что она не работает при запуске опубликованных приложений через TS Web Access. При этом пользователь вынужден дважды вводить учетные данные: при входе на веб-интерфейс и при авторизации на терминальном сервере.

В Windows Server 2008 R2 ситуация изменилась в лучшую сторону. Более подробную информацию об этом можно получить в статье: «Introducing Web Single Sign-On for RemoteApp and Desktop Connections» ».

Заключение

В статье рассмотрена технология прозрачной авторизации на терминальных серверах Single Sign-On. Её использование позволяет сократить время, затрачиваемое пользователем для входа на терминальный сервер и запуск удаленных приложений. Кроме того, с её помощью достаточно единожды вводить учетные данные при входе на локальный компьютер и затем использовать их при соединении с терминальными серверами домена. Механизм передачи учетных данных достаточно безопасен, а настройка серверной и клиентской части предельно проста.

Бывает такие случаи, когда при использовании RDP (Remote Desktop Protocol — протокол удалённого рабочего стола), не видно программ, которые установленные в системном трее, или ошибки и уведомления просто не отображаются. Для того, чтобы решить данную проблему, к терминальному северу можно подключиться в консольном режиме через тот же RDP.

Удаленный рабочий стол (Remote Desktop Protocol) или RDP — это технология дистанционного подключения к компьютеру (серверу), для непосредственного управлению им через локальную сеть или интернет. Я уже рассказывал о данной технологии в видеоуроке «Подключение к компьютеру через удаленный рабочий стол ».

Использование, каких-либо программ удаленного администрирования для подключения к рабочему столу напрямую не всегда удобно, например, при нестабильной связи или ограничении времени сеанса. Так вот в данной статье мы расскажем, о нехитрой вещи, которую некоторые коллеги возможно не знали.

При использовании клиента удаленного рабочего стола (RDP) Windows, в качестве средства подключения к компьютеру с Windows Server 2003/2008/2012 с запущенной службой сервера терминалов, у вас есть возможность подключения на консоль сервера. Используя эту опцию, вы можете войти на сервер, так, как если бы вы сидели прямо перед ним, а не создавать новые сессии через сетевое подключение. Дело в том, что при удаленной установке некоторых программ, могут возникнуть проблемы, которые не позволят вам сделать это из терминальной сессии, поэтому вам понадобиться войти на сервер через консоль.

Включение удаленного доступа на своем компьютере.

Для того, чтобы настроить удаленный доступ на целевом компьютере, владелец или администратор должен выполнить следующие действия (Мой компьютер \ Свойства \ Настройка удаленного доступа \ Удаленный доступ \ Разрешить подключение от компьютеров с любой версией удаленного рабочего стола ).

Если хотите пускать в свой компьютер только определённых пользователей или группы пользователей вашей сети, то необходимо поставить галочку «Разрешить подключение с компьютеров, на которых работает удаленный рабочий стол с проверкой подлинности на уровне сети (рекомендуется)».

Как же подключиться к удаленному рабочему столу?

Это конечно же стандартными средствами Windows (Пуск \ Все программы \ Стандартные \ Подключение к удалённому рабочему столу )

Или через команду Выполнить (Win + R ) и вводим команду mstsc . Это более быстрый способ и его используют в основном админы и разработчики программ, т.к. часто приходится подключаться к удаленным рабочим столам серверов.

Как же подключиться к консоли удаленного рабочего стола?

Для этого в появившемся окне вбиваем команду:

Windows Server 2003 и Windows XP: mstsc /console

Windows Server 2008/2012 и Windows 7/8/8.1: mstsc /admin

Вводим имя терминального севера или компьютера.

И вводим учетные данные пользователя имеющего права для удаленного подключения.

Так как RDP по умолчанию создаёт виртуальную консоль, то подключение происходит не к самой сессии, а непосредственно к консоли (основная консоль-мышь/клавиатура).

Какая разница между простым подключением к удаленному рабочему столу и подключением к консоли?

Подключение через консоль — доступно только администраторам и фактически приравнивается к обыкновенному входу в систему. Тогда как простое подключение по rdp — это терминальная сессия, соответственно то программное обеспечение, которое сопротивляется запуску под терминальной сессией, под консолью может вполне успешно работать.

В первом случае создается новая сессия (mstsc), параллельная с существующей. Во втором случае подключение осуществляется к своему рабочему столу (в рамках лицензий на терминал).

Записки IT специалиста

Электронно-цифровая подпись (ЭЦП) и токены, как средство ее хранения, плотно вошли в нашу жизнь, трудно представить себе предприятие, где нет хотя бы одной подписи. Другая распространенная технология — это удаленный рабочий стол (RDP), это может быть как сервер терминалов, так и просто доступ к рабочему месту сотрудника. Вполне ожидаемы попытки использовать обе эти технологии совместно, где и начинаются проблемы. В большинстве своем они проистекают от непонимания того, что такое токен, для чего он нужен и как с ним правильно работать.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Если мы говорим о токенах применительно к ЭЦП, то их основная задача — безопасное хранение закрытого ключа. Компрометация закрытого ключа равносильна полной утере подписи, так как с его помощью любой желающий может совершать от вашего имени юридически значимые действия. Использование усиленной квалифицированной электронной подписи (УКЭП) равносильно нотариально заверенной собственноручной подписи владельца. Начиная с 2022 года УКЭП выдается ФНС в единственном экземпляре, тем самым завершив эпоху зоопарка подписей, когда одно и тоже лицо (юридическое или физическое) могло иметь кучу подписей от разных УЦ, каждая из которых использовалась для собственного сервиса.

Мы немного отклонились от темы. Но, благодаря этому отступлению можно понять, что ЭЦП — это очень важно и к ее безопасности следует относиться серьезно. Токены решают одну простую задачу — не допустить выход закрытого ключа за свои пределы. При любых криптографических операциях закрытый ключ не покидает пределов токена и не может быть просто так оттуда скопирован. В этом его основное отличие от таких хранилищ ЭЦП как флеш-карта или реестр, откуда ключи можно легко извлечь при наличии доступа.

Учитывая важность ЭЦП сложилась следующая парадигма — токен это индивидуальное аппаратное средство подписи и аутентификации, а сама идея удаленного доступа к нему идет вразрез со всеми представлениями о безопасности.

Начиная с Windows Vista при подключении к компьютеру при помощи RDP работа со смарт-картами и токенами, подключенными к удаленной машине невозможна.

Чтобы лучше разобраться в этом вопросе давайте проведем некоторые практические эксперименты. Мы будем использовать в них токены JaCarta, но это не имеет никакого значения, аналогично будут вести себя любые токены от любого производителя.

Подключим токен непосредственно к серверу терминалов и подключимся к нему интерактивно, т.е. через локальную консоль. В системе токен определяется как смарт-карта и устройство чтения смарт-карт.

Родное ПО также видит токен и сертификаты на нем:

А теперь подключимся к этому же серверу по RDP, нас ожидает совершенно иная картина, хотя Диспетчер устройств будет продолжать нам показывать присутствие токена в системе:

Как мы уже писали выше, из RDP-сессии доступ к токенам и смарт-картам, подключенным к удаленному устройству невозможен!

Если же мы подключим токен к локальному компьютеру и снова подключимся к удаленному серверу, то увидим, что ПО на сервере видит токен и может полноценно с ним работать. При этом на локальном компьютере не нужно устанавливать ПО для токена, если вы будете работать с ним только удаленно. Обратите внимание, что Диспетчер устройств не показывает подключенного к серверу устройства.

У многих здесь может возникнуть вопрос: а безопасно ли это? Пробрасывать токен на сервер? Да, безопасно, потому что пробрасывается стандартное устройство смарт-карта и все последующее взаимодействие идет именно с этим устройством, а критически важная информация, такая как закрытый ключ, ни при каких обстоятельствах не покидает пределы токена.

А если пользователей несколько и у каждого свой токен со своей ЭЦП? Ничего страшного, система предоставляет эффективную изоляцию токена в пределах сеанса. Берем еще один токен, подключаем ко второму компьютеру и соединяемся с сервером, как мы и ожидали, в текущей сессии пользователь видит только свой ключ.

Поэтому единственный правильный вариант сочетания ЭЦП расположенной на токенах и удаленного рабочего стола (RDP) — это расположение токена на клиенте с последующим пробросом устройства смарт-карты на терминальный сервер. С настройками по умолчанию это происходит автоматически, в противном случае проверьте, что у вас разрешен проброс смарт-карт как на клиенте, так и на сервере.

Но иногда все-таки бывают задачи, которые требуют использовать токен удаленно, в этих случаях следует использовать иные средства удаленного доступа, предполагающие подключение к текущему консольному сеансу. Последнее условие важно, сеанс к которому вы будете подключаться должен быть создан на сервере локально, а не через удаленный доступ.

Потому что даже если мы запустим TeamViewer или аналогичное ПО в RDP-сеансе, то мы не увидим токена, а попытавшись закрыть удаленный сеанс потеряем с ним связь.

Если же мы выполним локальный вход на сервер и запустим в рамках этого сеанса средство удаленного доступа, то токен снова будет доступен.

Как видим, если понимать основные принципы работы токенов при RDP-подключении, то никаких сложностей по работе с ними нет. Если необходим удаленный доступ, то вместо RDP используем иные средства, позволяющие непосредственно подключаться к локальному сеансу. Ну и не забываем, что ЭЦП — это большая ответственность и вопросы безопасности должны стоять на первом месте.

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Похожие публикации:

Как отключить смс информирование в сбербанк бизнес онлайн
Как провести интернет в гараж для майнинга
Как продать nft с метамаска
Обмен валюты без налога до какой суммы

Настройки для работы с токенами

Для корректной работы токена необходимо предварительно настроить ПК или ноутбук.

В связи с тем, что УЦ ФНС и его доверенные лица в большинстве случаев выпускают электронные подписи на токенах под СКЗИ КриптоПро CSP, для использования токена на компьютере должен быть установлен СКЗИ КриптоПро CSP. Если на вашем компьютере уже установлен СКЗИ VipNet CSP, то для работы с токеном вам необходимо перейти на использование СКЗИ КриптоПро CSP, предварительно удалив СКЗИ VipNet CSP со своего компьютера. Одновременное использование двух и более СКЗИ на одном рабочем месте настоятельно не рекомендуется.

Если же ваша подпись на токене выпущена под СКЗИ VipNet CSP, а у вас установлен СКЗИ КриптоПро CSP, то для работы с токеном вам необходимо перейти на использование СКЗИ VipNet CSP, предварительно удалив СКЗИ КриптоПро CSP.

Для начала работы с токеном требуется определить, какой токен используется, затем скачать и установить комплект драйверов.

Рутокен

Для программных продуктов Рутокен скачайте драйвер на сайте. Выберите пункт Поддержка → Центр загрузки:

Нажмите на гиперссылку Драйверы Рутокен для Windows, EXE:

Запустите скачанный файл и следуйте подсказкам установщика: нажимайте Далее/Установить. После установки перезагрузите компьютер.

После перезагрузки откройте меню Пуск → Панель управления Рутокен.

Далее подключите ваш рутокен к компьютеру. Если рутокен к этому моменту уже был вставлен, извлеките его и снова подключите к компьютеру.

В панели управления Рутокен перейдите на вкладку Сертификаты, на ней отобразится ваш рутокен и все сертификаты:

Если список сертификатов пуст, нажмите кнопку Ввести пин-код и введите пин-код от рутокена:

Пин-коды по умолчанию

По умолчанию пароль администратора не устанавливается.

Может быть установлен через панель управления только для моделей

eToken PRO, eToken NG-FLASH, eToken NG-OTP.

Для PKI-функционала: 11111111 (8 единиц)

Для ГОСТ-функционала: 0987654321

Для PKI-функционала: 00000000 (8 нолей)

Для ГОСТ-функционала: 1234567890

11111111 (8 единиц)

При использовании JaCarta PKI с опцией «Обратная совместимость»: 1234567890

00000000 (8 нолей)

При использовании JaCarta PKI с опцией «Обратная совместимость»: PIN-код не установлен

Для PKI-функционала: 11111111 (8 единиц)

При использовании JaCarta PKI с опцией «Обратная совместимость»: 1234567890

Для ГОСТ-функционала: PIN-код не установлен

Для PKI-функционала: 00000000 (8 нолей)

При использовании JaCarta PKI с опцией «Обратная совместимость»: PIN-код не установлен

Для ГОСТ-функционала: 1234567890

После ввода для обновления списка нажмите кнопку с двумя синими стрелками:

Если после обновления список пуст, значит на рутокене нет записанных ключевых пар.

JaCarta

Для программных продуктов JaCarta скачайте драйвер на сайте. Нажмите Поддержка (1) , затем в разделе Центр загрузки скачайте драйвер ПК «Единый Клиент JaCarta» (2) :

Запустите скачанный файл и следуйте подсказкам установщика: нажимайте Далее/Установить. После установки перезагрузите компьютер.

После перезагрузки откройте меню Пуск и найдите программу Единый клиент JaCarta.

Далее подключите токен JaCarta к компьютеру. Если токен JaCarta к этому моменту уже был вставлен, извлеките его и снова подключите к компьютеру.

Слева внизу переключитесь нажмите Переключиться в режим администратора, чтобы увидеть содержимое токена. Если список сертификатов пуст, нажмите кнопку Ввести пин-код и введите пин-код от JaCarta:

Пин-коды по умолчанию

По умолчанию пароль администратора не устанавливается.

Может быть установлен через панель управления только для моделей

eToken PRO, eToken NG-FLASH, eToken NG-OTP.

Для PKI-функционала: 11111111 (8 единиц)

Для ГОСТ-функционала: 0987654321

Для PKI-функционала: 00000000 (8 нолей)

Для ГОСТ-функционала: 1234567890

11111111 (8 единиц)

При использовании JaCarta PKI с опцией «Обратная совместимость»: 1234567890

00000000 (8 нолей)

При использовании JaCarta PKI с опцией «Обратная совместимость»: PIN-код не установлен

Для PKI-функционала: 11111111 (8 единиц)

При использовании JaCarta PKI с опцией «Обратная совместимость»: 1234567890

Для ГОСТ-функционала: PIN-код не установлен

Для PKI-функционала: 00000000 (8 нолей)

При использовании JaCarta PKI с опцией «Обратная совместимость»: PIN-код не установлен

Для ГОСТ-функционала: 1234567890

После ввода нажмите кнопку с двумя стрелками, чтобы обновить список. Если после обновления список пуст, значит на JaCarta нет записанных ключевых пар.

Настройка для СКЗИ КриптоПро CSP

После настройки токена установите сертификат в хранилище компьютера с помощью КриптоПро CSP.

Если в СКЗИ КриптоПро CSP не отображается контейнер, проверьте настроены ли считыватели. Должен быть добавлен считыватель Все считыватели Смарт-карт:

Если считыватели добавлены, но контейнер не отображается, проверьте какая версия КриптоПро CSP установлена. Если установлена версия 4.0, то необходимо обновить до версии 5.0, т.к. некоторые сертификаты работают только с ней. После установки версии 5.0 контейнер должен отобразиться в КриптоПро CSP.

Если у вас уже приобретена лицензия на версию 4.0, то можно обновить КриптоПро CSP до версии 5.0.11455 без потери лицензии.

Как зайти в настройки ms key токена

Чтобы разблокировать токен MS_KEY K (Ангара):

Перейдите по ссылке https://esmart.ru/download.
Скачайте и установите специализированное ПО ESMART PKI Client для работы с токеном.
Запустите ПО ESMART PKI Client:
Нажмите Разблокировать PIN-код:
Укажите SO PIN (ПИН-код Администратора), установленный Вами или производителем токена MS_KEY K (Ангара), новый ПИН пользователя и нажмите ОК:

Не допускайте блокировку токена под администратором. В этом случае произойдет полная блокировка устройства без возможности восстановления ключа электронной подписи.