Знание PIN-кодов необходимо для работы с устройством Рутокен.
Для каждого устройства Рутокен задано два PIN-кода:
PIN-код Пользователя используется для доступа к электронной подписи и объектам на устройстве (сертификатам, ключевым парам).
Если при работе с сторонним приложением запрашивается PIN-код устройства Рутокен, то вам надо ввести PIN-код Пользователя.
PIN-код Администратора используется для администрирования устройства и управления PIN-кодами.
PIN-код Администратора используется только в Панели управления Рутокен.
Правила хранения PIN-кодов:
Если вам не сообщили PIN-код Пользователя, вероятнее всего, он задан по умолчанию (12345678).
Если вы купили Рутокен в удостоверяющем центре — PIN-код Администратора вам должен сообщить сотрудник удостоверяющего центра.
Если Рутокен вам выдали на работе — PIN-код Администратора, скорее всего, знает системный администратор, IT-служба или HelpDesk.
Если Рутокен вам выдали в банке — PIN-код Администратора вам должен сообщить сотрудник банка.
Если вы приобрели Рутокен для личных целей, то на нем установлены PIN-коды по умолчанию.
Панель управления Рутокен предназначена для обслуживания устройств Рутокен в операционных системах семейства Microsoft Windows. В Панели управления Рутокен можно изменить и разблокировать PIN-коды.
Установить ее можно вместе с комплектом драйверов Рутокен для Windows. Актуальная версия комплекта драйверов доступна по ссылке:
Работа с PIN-кодом Пользователя
Что такое PIN-код Пользователя, для чего он используется и как его лучше хранить?
PIN-код Пользователя используется для доступа к электронной подписи и объектам на устройстве (сертификатам, ключевым парам).
PIN-код Пользователя необходимо хранить в безопасном месте. Главное чтобы ни у кого кроме пользователя не было доступа к нему.
Какой PIN-код Пользователя установлен по умолчанию?
PIN-код Пользователя по умолчанию — 12345678.
Как ввести PIN-код Пользователя в Панели управления Рутокен?
На устройстве Рутокен существует счетчик неправильных попыток ввода PIN-кода Пользователя.
Обычно задано 10 попыток неправильного ввода PIN-кода Пользователя.
Когда пользователь вводит неправильный PIN-код, значение этого счетчика уменьшается на единицу. Если после этого пользователь вводит правильный PIN-код, то значение счетчика становится изначальным.
Допустимое количество неправильных попыток ввода PIN-кода указано в окне с ошибкой «Неудачная аутентификация» после слов «осталось попыток».
Если там указано значение «1», то после следующей неудачной попытке ввода PIN-кода он заблокируется.
После ввода неправильного PIN-кода Пользователя несколько раз устройство Рутокен блокируется. Разблокировать его может только Администратор устройства.
Что делать, если PIN-код Пользователя заблокирован?
Если пользователь несколько раз ввел неправильный PIN-код Пользователя, то он блокируется.
При попытке ввода уже заблокированного PIN-кода Пользователя в Панели управления Рутокен отобразится следующее сообщение:
Для того чтобы разблокировать PIN-код Пользователя необходимо обратиться к администратору устройства Рутокен.
Какой PIN-код лучше использовать? Как придумать безопасный PIN-код?
PIN-код не должен быть очень сложным, так как у него есть ограниченное количество попыток ввода.
Использовать PIN-код, который был задан по умолчанию — небезопасно. Рекомендуется его изменить. При этом стоит учитывать некоторые рекомендации:
Как в Панели управления Рутокен изменить PIN-код Пользователя?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Работа с PIN-кодом Администратора
Что такое PIN-код Администратора, для чего он используется и как его лучше хранить?
PIN-код Администратора используется в Панели управления Рутокен для администрирования устройства и управления PIN-кодами.
PIN-код Администратора необходимо хранить в безопасном месте. Главное чтобы ни у кого кроме администратора не было доступа к нему.
Какой PIN-код Администратора установлен по умолчанию?
PIN-код Администратора по умолчанию — 87654321.
Как ввести PIN-код Администратора в Панели управления Рутокен?
На устройстве Рутокен существует счетчик неправильных попыток ввода PIN-кода Администратора.
По умолчанию задано 10 попыток неправильного ввода PIN-кода Администратора.
Когда администратор вводит неправильный PIN-код, значение этого счетчика уменьшается на единицу. Если после этого администратор вводит правильный PIN-код, то значение счетчика становится изначальным.
Допустимое количество неправильных попыток ввода PIN-кода указано в окне с ошибкой «Неудачная аутентификация» после слов «осталось попыток».
Если там указано значение «1», то после следующей неудачной попытки ввода PIN-кода он заблокируется.
После ввода неправильного PIN-кода Администратора несколько раз, он блокируется. В этом случае необходимо вернуть устройство Рутокен к заводским настройкам.
Что делать, если PIN-код Администратора заблокирован?
После ввода неправильного PIN-кода Администратора несколько раз он блокируется.
Если PIN-код Администратора заблокирован, то для того чтобы продолжить работу с устройством Рутокен, его необходимо вернуть к заводским настройкам, но при этом будут безвозвратно удалены все данные, хранящиеся на нем.
Как в Панели управления Рутокен изменить PIN-код Администратора?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Как разблокировать PIN-код Пользователя?
Как изменить PIN-код Пользователя?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Какие настройки необходимо выполнить, чтобы пользователь не смог задать слабый PIN-код?
Все PIN-коды по качеству делятся на три категории:
Можно выбрать политики, которые будут учитываться при оценке качества PIN-кода. Они выглядят следующим образом:
Чтобы пользователь не смог задать слабый PIN-код необходимо настроить политики для PIN-кодов. Это реализуется через групповые политики домена.
Для настройки политик для PIN-кодов существуют следующие ключи инсталлятора:
Параметр
Описание
Значение по умолчанию (строка символов)
DEFPIN
Задает политику вывода сообщения при использовании PIN- кода по умолчанию. Может принимать значения YES или NO. Если значение параметра YES, то при использовании PIN- кода, заданного по умолчанию, будет выводиться сообщение «Вы используете PIN-код по умолчанию для данного токена. Хотите поменять его сейчас?». Если значение параметра NO, то такое сообщение выводиться не будет
Задает политику использования символов UTF-8 в PIN-коде и может принимать значения ANSI или UTF8. Если значение параметра UTF8, то разрешается задавать PIN-код, включающий в себя символы UTF-8 (такая возможность существует только для Рутокен ЭЦП). Если значение параметра ANSI — запрещается
Задает минимальную длину PIN-кода в символах. Может принимать значения 1 –16
1
PPDEFAULTPIN
Задает политику использования PIN-кода по умолчанию. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код по умолчанию; если 1 — запрещается
0
PPONESYMBOLPIN
Задает политику использования PIN-кода, состоящего из одного повторяющегося символа. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий из одного повторяющегося символа; если 1 — запрещается
Задает политику использования PIN-кода, состоящего только из цифр. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий только из цифр; если 1 — запрещается
Задает политику использования PIN-кода, состоящего только из букв. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий только из букв; если 1 — запрещается
Задает политику использования PIN-кода, совпадающего с предыдущим PIN-кодом. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, совпадающий с предыдущим PIN-кодом; если 1 — запрещается
Задает политику использования «слабого» PIN-кода. Может принимать значения 0, 1 или 2. Если значение параметра 0, то разрешается использовать «слабый» PIN-код; если 2 — запрещается. Если значение параметра равно 1, то при смене PIN-кода на «слабый» на экране отобразится предупреждающее сообщение
Задает политику использования «среднего» PIN-кода. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать «средний» PIN-код; если 1, то при смене PIN-кода на «средний» на экране отобразится предупреждающее сообщение
Задает вес политики длины PIN-кода в общей (интегральной) оценке PIN-кода с точки зрения надежности. Может принимать значения 0 – 100
Задает границу, разделяющую «слабые» и «средние» PIN- коды. Может принимать значения 0 – 100
Задает границу, разделяющую «средние» и «надежные» PIN- коды. Может принимать значения 0 – 100 и должен быть не меньше значения параметра PPBADPINBORDER
Чтобы установить (обновить) Панель управления Рутокен с определенными ключами введите команду:
(минимальную длину PIN-кода — 6 символов; запрещается использовать PIN-коды, состоящие только из цифр).
Для наглядности в Панели управления Рутокен реализована возможность настройки политик для PIN-кодов.
По умолчанию выбраны все политики, а пароль считается «слабым», если его длина равна одному символу.
Политики для PIN-кодов может изменить пользователь с правами администратора операционной системы или администратора домена.
Политики для PIN-кодов устанавливаются в Панели управления Рутокен для конкретного компьютера.
Для того чтобы выбрать политики, которые будут учитываться при оценке уровня безопасности PIN-кода:
Дополнительный раздел — Возврат устройства к заводским настройкам
Возврат устройства к заводским настройкам возможен только тогда, когда PIN-код Администратора заблокирован.
Сообщение о том, что PIN-код Администратора заблокирован:
Если пользователь исчерпал все попытки ввода PIN-кода Администратора, то существует возможность вернуть устройство к заводским настройкам. Для этого не надо знать PIN-код Администратора.
При возврате устройства Рутокен к заводским настройкам все данные на нем, в том числе ключи и сертификаты, будут удалены безвозвратно.
При возврате устройства Рутокен ЭЦП Flash к заводским настройкам Flash-память тоже очистится, а информация, сохраненная в ней будет удалена безвозвратно.
В процессе возврата устройства к заводским настройкам не следует отключать его от компьютера, так как это может привести к поломке устройства.
Для запуска процесса возврата устройства Рутокен к заводским настройкам:
В окне с предупреждением об удалении всех данных на устройстве Рутокен нажмите ОК.
В окне с сообщением об успешном форматировании устройства Рутокен нажмите ОК. В результате устройство вернется к заводским настройкам.
Указание имени устройства
Для указания имени устройства Рутокен в поле Имя токена укажите новое имя устройства.
Изменение политики смены PIN-кода Пользователя
В зависимости от выбранной при форматировании устройства Рутокен политики, PIN-код Пользователя может быть изменен:
Если вы установите переключатель в положение «Пользователь«, то сможете изменить PIN-код Пользователя только, если знаете его.
При установке переключателя в положение «Пользователь» становятся невозможны следующие операции:
Если вы установите переключатель в положение «Администратор«, то сможете изменить PIN-код Пользователя только, если знаете PIN-код Администратора.
При установке переключателя в положение «Администратор» становится невозможна операция смены PIN-кода Администратора при использовании Microsoft Base Smart Card Provider.
Если вы установите переключатель в положение «Пользователь и Администратор», то сможете изменить PIN-код Пользователя, если знаете или PIN-код Администратора, или PIN-код Пользователя.
Для изменения политики в секции PIN-код Пользователяможет менять установите переключатель в необходимое положение.
Указание нового PIN-кода Пользователя (Администратора)
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Для того чтобы задать новый PIN-код Пользователя (Администратора), который будет доступен только после возврата устройства к заводским настройкам:
Указание минимальной длины PIN-кода Пользователя (Администратора)
Рекомендуемая длина PIN-кода — 6-10 символов. Использование короткого PIN-кода (1-5 символов) снижает уровень безопасности, а длинного PIN-кода (более 10 символов) может привести к увеличению количества ошибок при его вводе.
Для того чтобы задать минимальную длину PIN-кода Пользователя (Администратора), в секции Пользователь (Администратор) из раскрывающегося списка Минимальная длина PIN-кода выберите необходимое значение.
Указание максимального количества попыток ввода PIN-кода Пользователя (Администратора)
Для повышения уровня безопасности следует изменить максимальное количество попыток ввода PIN-кода Пользователя (Администратора), заданное в Панели управления Рутокен по умолчанию.
Небольшое количество попыток (1-4) может привести к случайной блокировке PIN-кода, большое количество (более 5) — снизит уровень информационной безопасности.
Для того чтобы задать максимальное количество попыток ввода PIN-кода Пользователя (Администратора), в секции Пользователь (Администратор) из раскрывающегося списка Попытки ввода PIN-кода выберите необходимое значение (рекомендуется выбрать значение — 5).
Пароль к сертификату электронной подписи: как его узнать, если забыл, как сменить, стандартные пинкоды
Работа с ЭЦП требует установление определённой защиты. Поэтому первичной установке в систему требуется ввести первоначальный пароль к сертификату электронной подписи. Он является персональным.
Пароль к рутокену и программе необходим для получения доступа. Потом, если установить настройки, его повторно вводить не надо.
Что такое пароль к сертификату ЭП
ЭЦП хранится на USB-носителе, который разбит на части, при этом место, где храниться программа и ключ, имеют защиту. Защита устанавливается с помощью специального персонального пароля.
Таким образом, пароль к сертификату ЭЦП представляет собой набор символом, который необходимо ввести, чтобы получить доступ к самой подписи. Также он открывает путь к программе работы с ЭЦП, например, КриптоПро CSP.
Данный пароль является обязательным при первичном установлении сертификата на компьютере. В дальнейшем можно настроить так, чтобы запрос не производился. Но это только доступно в отношении одного компьютера. При установке на другой ввести пароль заново придётся.
Большинство удостоверяющих центров устанавливают стандартные пароли, которые в дальнейшем каждый владелец подписи сможет сменить на личный. Они формируются автоматически и представляют заранее известный набор цифр. Удобно тем, что его можно узнать, если вдруг забудешь.
Некоторые удостоверяющие центры предпочитают генерировать случайный набор чисел. Либо могут использовать свой пароль.
Правила использования персонального пароля
Пароль обеспечивает доступ к имеющейся электронной подписи. Если им всё-таким завладели злоумышленники, при этом имея доступ к носителю с ЭЦП, они могут получить доступ к банковским счетам фирмы, а также к личным кабинетам различных государственных ведомств, через которые они могут, к примеру, оформить продажу компании.
Поэтому, первым делом после того, как произошло получение нового сертификата, необходимо уточнить — какой пин-код установлен на ключевом носителе.
Если это стандартный заводской код, то крайне желательно его сменить на новый. Кроме пин-кода пользователя целесообразно сразу менять и пин-код администратора.
Но если новый код по какой-либо причине будет утерян либо забыт, произвести процедуру сброса уже не удастся — необходимо будет выпускать новую ЭЦП и приобретать новый ключевой носитель.
При создании нового пароля нужно учитывать следующее:
Как узнать ранее введенный пароль?
Если пользователь забыл пароль, который был введен при добавлении сертификата в систему, он может узнать его при помощи программы «csptest».
Для этого необходимо сделать по шагам следующие действия:
Программа отобразит сервисную информацию, среди которой будет и пин код для контейнера криптопро.
Что делать если забыл пароль
Если пользователь забыл пароль от носителя либо сертификата, то вариантов действия где взять пин-код у него несколько:
Если копии данного сертификата не существует, а сбросить пин-код на носитель не представляется возможным, то необходимо обращаться в удостоверяющий центр для оформления новой ЭЦП.
Как узнать пин код криптопро csp
В данном случае необходимо понять, какой именно пин-код запрашивает система. Это может быть как пароль от контейнера ключа, уже установленный на компьютер, так и пин-код непосредственно от ключевого носителя.
Если необходимо узнать пароль от ключевого контейнера, какой уже присутствует в системе, то нужно воспользоваться программой «csptest», которая входит в стандартную поставку системы «Крипто Про».
Если же необходим пин-код от носителя, то его узнать никак нельзя. В лучшем случае пароль можно сбросить до заводского при помощи панели управления «Крипто Про».
Но и этот шаг сработает только тогда, когда не менялся административный пин-код на носителе. Если он также был изменен и неизвестен, то произвести его восстановление стандартными средствами невозможно.
На саму панель управления криптопро пароль по умолчанию не устанавливается.
Стандартные пароли и пинкоды
Для каждого типа ключевых носителей существуют свои стандартные пин-коды, которые присваиваются еще на заводе. Чаще всего удостоверяющие центры не меняют их, оставляя такое решение на усмотрение конечного пользователя.
Вид пароля
Рутокен
Етокен
Jacarta
Jacarta SE
(для ЕГАИС)
Стандартный
12345678
Пользовательский
12345678
1234567890
11111111
Администратора
87654321
00000000
Чаще всего данные пароли вводятся при первом подключении ключевых носителей к компьютеру и установки сертификата в систему. Далее, пользователь в любое время может сменить стандартный пин-код на свой собственный, используя актуальную версию панели управления «Крипто Про».
В некоторых удостоверяющих центрах сразу устанавливают свой пароль на носитель, обычно создавая его при помощи генератора случайных чисел.
Новый пин-код передают владельцу при выдаче токена на руки. В этом случае очень важно не потерять его и не сообщать посторонним лицам.
Смена пароля по пин-коду администратора
На клюxевых носителях USB-формата присутствует возможность произвести сброс пароля доступа к токену при использовании панели управления системы «Крипто Про».
Однако после того, как пароль будет сброшен, необходимо будет произвести переустановку всех сертификатов, которые находятся на данном носителе.
Для разблокировки необходимо выполнить следующие шаги:
После этого к рутокену будет применен стандартный пин-код. Однако данная последовательность действий сработает только в том случае, если административный пин-код на нем не изменялся.
Однако некоторые удостоверяющие центры в целях защиты данных меняют этот код перед передачей носителя клиенту. Поэтому, необходимо предварительно уточнять эту информацию.
Указанная процедура не ответит на вопрос о том, какой пин-код в настоящее время установлен на носителе. Она даст возможность обнулить его до стандартного и затем сменить на свой.
Решение всех проблем, связанных с паролем от ЭЦП: что делать, если забыл ПИН-код
При установке ключа ЭЦП в операционную систему в первый раз необходимо ввести персональный пароль доступа. С его помощью открывается доступ к содержимому рутокена и программа (а именно — КриптоПро CSP) получает возможность с ним взаимодействовать. В будущем повторно этот PIN-код не запрашивается при использовании на том же ПК. А что делать, если код доступа был забыт или утерян? Как восстановить пароль ЭЦП?
Как использовать персональный пароль
В большинстве удостоверяющих центров при выдаче USB-токенов на них устанавливают стандартный код доступа (он присваивается автоматически):
Именно их и потребуется вводить при первом подключении носителя ключа сертификата к ПК и при последующей его установки в среду операционной системы. Естественно, пользователь на свое усмотрение в будущем может заменить пароль на любой другой с помощью КриптоПро CSP актуальной версии.
В некоторых же удостоверяющих центрах пароль ЭЦП по умолчанию устанавливают иной или вовсе генерируют случайный набор чисел. Его обязательно сообщают владельцу электронной подписи при выдаче токена.
Внимание! Крайне важно сохранить данный код доступа, но при этом его не следует сообщать третьим лицам, так как они впоследствии смогут установить ключ сертификата на любой другой ПК и использовать ЭЦП без ведома его владельца.
При использовании токена на определенном компьютере пароль вводится только один раз. Далее он автоматически запоминается устройством (добавляется к установленному контейнеру), поэтому повторно его вводить уже не потребуется. Но если будет произведена переустановка ОС или замечено определенное оборудование в ПК, то установку придется выполнять повторно, для генерации ключа снова потребуется один раз ввести пароль.
Как узнать ранее введенный пароль
Как узнать пароль ЭЦП, если ключ сертификата уже установлен в операционную систему? Для этого понадобится установленная и активированная программа КриптоПро CSP версии 3.6 или выше.
Выполняется это следующим образом:
Важно! Этот метод работает только в том случае, если пользователь забыл какой пароль на ЭЦП использовался при его установке, но сам сертификат при этом уже был инсталлирован в операционную систему. Сам рутокен при этом не понадобится. А вот сбросить PIN-код по умолчанию таким образом не получится. Кстати, для выполнения данной процедры не обязательно иметь лицензированный КриптоПро. Достаточно просто установить данную программу без ввода лицензионного ключа.
Утилиту csptest можно скачать отдельно, она распространяется бесплатно в форме bat-файла. Однако полноценно работать она будет только при установленных КриптоПро CSP (так как использует их исполнительные файлы).
Что делать, если забыл пароль и сертификат не устанавливался
Если же сертификат в ОС не установлен или выполнялась переустановка Windows, но пароль для доступа к ЭП утерян, то следует попробовать воспользоваться вышеуказанными паролями по умолчанию. Если же и этот вариант не сработает, то воспользоваться своей электронной подписью пользователь уже не сможет. Ему потребуется повторно обращаться в удостоверяющий центр и регистрировать новый ЭЦП. То же самое следует выполнять, если носитель ключа сертификата был механически разрушен.
