Сертификаты на токене — это записанные на защищённый носитель закрытый ключ и связанный с ним сертификат электронной подписи, доступ к которым открывается только по ПИН-коду. Если вы держите в руках Рутокен и не понимаете, что на нём лежит, рабочий он ещё или уже кирпич, — здесь вы узнаете, как за пять минут посмотреть содержимое токена, прогнать его через штатную диагностику и понять, менять устройство или нет. Разберём и то, куда смотреть, когда компьютер токен вообще не видит. Это часть большого материала про работу с электронной подписью, где собраны инструкции по всем этапам: от выпуска до подписания документов.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что хранится на токене: ключи и сертификаты
Токен — это не флешка, хотя внешне похож. На флешке файлы лежат открыто, любой скопирует. На токене закрытый ключ подписи защищён ПИН-кодом и аппаратными средствами, а сами устройства Рутокен проходят сертификацию ФСТЭК и ФСБ, чего требует 63-ФЗ для квалифицированной подписи. Внутри устройства — две вещи: закрытый ключ (закрытка, её никому нельзя показывать) и сертификат, где записаны ваши ФИО, ИНН, срок действия и открытый ключ. Плюс, если подпись выдал УЦ ФНС, туда же вшивается лицензия на КриптоПро CSP — и живёт она ровно столько, сколько действует сам сертификат.
Ключи бывают извлекаемые и неизвлекаемые — и это не занудство, а вещь, которая определяет, чем вы будете проверять токен. Извлекаемые ключи генерирует программный криптопровайдер, а токен работает как защищённое ПИН-кодом хранилище. При подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи рождаются, живут и умирают внутри криптоядра токена, наружу никогда не выходят, скопировать их нельзя в принципе. Такие ключи умеют делать только модели с криптоядром — Рутокен ЭЦП 2.0 и 3.0.
Мария Ж, специалист по цифровой подписи и КЭДО:
«Первое, что я спрашиваю, когда человек прибегает с проблемным токеном: а какой у тебя формат ключа? Потому что неизвлекаемый ключ формата PKCS#11 — тот, что для ЕГАИС — пользователь сам продиагностировать не сможет, тут только техподдержка Актива удалённо смотрит. А обычную закрытку в ЦСП-формате вы прогоните за пару минут своими руками. Разница между этими двумя случаями — это разница между ‘сам починю’ и ‘жди три дня’.»
Извлекаемые ключи дополнительно делятся на экспортируемые (контейнер можно скопировать, размножить) и неэкспортируемые (копирование запрещено флагом при генерации). Если вы получали серт в УЦ ФНС, вам по регламенту дали неэкспортируемый контейнер — это сделано ради безопасности, скопировать такую подпись на второй носитель штатно не выйдет.
Как посмотреть сертификаты на токене
Есть два инструмента: Панель управления Рутокен (входит в драйверы) и КриптоПро CSP. Через панель вы увидите сам факт наличия контейнеров и информацию о носителе. Через КриптоПро — развёрнутые данные сертификата: кому выдан, кем, до какого числа действует. Для кадровика или бухгалтера важнее второе — убедиться, что подпись жива и не протухла по сроку.
Проще всего смотреть через КриптоПро CSP. Подключаете токен в USB, открываете программу, идёте на вкладку Сервис и жмёте Просмотреть сертификаты в контейнере. Дальше через Обзор выбираете нужный контейнер, вводите ПИН-код — и на экране появляется вся информация о серте. Если контейнер пустой или сертификат не записан, программа так и скажет. В практике Добыто мы прогоняем этот шаг при каждом подключении нового сотрудника к электронному документообороту — до того как выдать человеку доступ, нужно увидеть, что подпись на носителе действительно есть и действует.
Как посмотреть сертификаты на токене: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Подключите токен в USB-порт компьютера и убедитесь, что установлены драйверы Рутокен с сайта rutoken.ru.
- Шаг 2. Запустите КриптоПро CSP и перейдите на вкладку «Сервис».
- Шаг 3. Нажмите кнопку «Просмотреть сертификаты в контейнере», затем «Обзор».
- Шаг 4. В списке ключевых контейнеров выберите нужный, нажмите «ОК» и «Далее». При запросе введите ПИН-код пользователя.
- Шаг 5. Изучите данные сертификата: владелец, издатель, серийный номер и срок действия. Если срок истёк, подпись пора перевыпускать.
Второй путь — Панель управления Рутокен. Открываете её через Пуск, подключаете токен и на вкладке Администрирование жмёте Информация. Панель покажет имя носителя, объём свободной памяти, уникальный ID устройства и политику смены ПИН-кода. Через КриптоПро смотрят содержимое подписи, через панель — здоровье самого железа. Оба инструмента бесплатны и ставятся вместе с драйверами. А убедиться, что сертификат действителен и не отозван, можно на портале Госуслуг в разделе проверки электронной подписи — удобно перед отправкой важного документа.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Документ
Файл подписи
Тест Рутокена на исправность: три этапа диагностики
Производитель токенов, компания Актив, описывает первичную диагностику в три этапа. Логика простая: сначала смотрим железо глазами, потом проверяем, видит ли его система, и только затем лезем в ключевую информацию. Пройдёте все три — будете точно знать, токен сломан или проблема в компьютере.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Этап первый — визуальный осмотр. Достаёте токен, смотрите на корпус и разъём. Небольшой люфт металлической части USB-разъёма — это норма, не поломка и не брак. А вот трещины корпуса, отломанный или перекошенный разъём, следы термического воздействия — это уже механика, при которой носитель по гарантии не меняют. Отдельно проверьте светодиод: если лампочка не горит, это ещё не приговор, устройство может работать и с перегоревшим диодом.
Этап второй — проверка через Панель управления Рутокен. Подключаете токен, открываете панель. Если носитель определился, он появится в блоке Подключённые Рутокены, а кнопки Ввести PIN-код и Информация станут активными. Жмёте Информация на вкладке Администрирование — при этом происходит поверхностная проверка целостности памяти токена. Ошибок появиться не должно. Затем пробуете авторизоваться ПИН-кодом пользователя или администратора. Если Информация отрабатывает без сбоев и авторизация проходит — железо живое, переходим к третьему этапу.
Мария Ж, судебный эксперт по трудовому праву:
«Кнопка ‘Информация’ — это ваш главный тест-драйв. Она под капотом гоняет проверку памяти. Если после нажатия вылезает ошибка, а токен при этом виден в панели — у меня к такому носителю доверия ноль, я его в работу не пущу. Лучше перевыпустить серт заранее, чем словить грабли в разгар отчётного периода, когда подпись нужна вот прямо сейчас, а она легла.»
Этап третий — проверка ключевого контейнера. Тут инструмент зависит от формата ключа. Для обычных извлекаемых ключей открываете КриптоПро CSP, находите контейнер и проверяете закрытый ключ. Если операция прошла без ошибок — ключевая информация на носителе цела. Важная оговорка: токены Рутокен ЭЦП 2.0 и 3.0 с неизвлекаемыми ключами формата PKCS#11 (те самые, что для ЕГАИС) пользователь самостоятельно не тестирует. Тут только удалённая диагностика силами техподдержки Актива. Форум Рутокена сейчас переведён в режим только для чтения, а обращаться напрямую нужно на hotline@rutoken.ru или по телефону +7 (495) 925-77-90.
Если по итогам трёх этапов токен признан неисправным, а гарантийный срок ещё не вышел — носитель меняют бесплатно, при условии что экспертиза признает случай гарантийным. Отправка на экспертизу идёт через того партнёра, у которого вы токен покупали. Купили в УЦ — несёте в этот УЦ, купили у нас — к нам.
Диагностика неизвлекаемых ключей формата PKCS#11 своими силами не делается, а перевыпуск подписи в разгар работы всегда некстати. Если у вас в компании десятки сотрудников на токенах и каждый второй прибегает с вопросом «а рабочий ли мой Рутокен», это отнимает у кадровой службы часы. В сервисе Добыто мы забираем эту рутину на себя: подписи для сотрудников выпускаем, отслеживаем сроки действия и заранее сигналим, у кого серт скоро закончится.
Образцы документов для работы с электронной подписью
Открыть список документов
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Согласие на обработку ПДн для выпуска сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Руководство пользователя Добыто КЭДО | Скачать |
Почему компьютер не видит Рутокен и как исправить
Токен воткнули, а система молчит — в панели пусто, кнопки Ввести PIN-код и Информация серые. Причин обычно пять: не установлены драйверы, кривое подключение, проблема с USB-портом, конфликт софта или неисправность самого носителя. Разбираем по порядку, после каждого шага проверяя, ожил токен или нет.
Первое — драйверы. Скачайте свежую версию с rutoken.ru и переустановите. Без драйвера панель управления вообще не запустится, а КриптоПро не увидит носитель как считыватель. Второе — переткните токен в другой USB-порт, лучше напрямую в системный блок, а не через хаб или переднюю панель корпуса. Третье — проверьте службу Смарт-карта. Идёте в Пуск, Панель управления, Администрирование, Службы, находите Смарт-карта. Если служба остановлена — запускаете, если работает — перезапускаете правой кнопкой. Эта служба — посредник между токеном и системой, легла она, и токен пропал.
Мария Ж, HR-эксперт с 13-летним стажем:
«У нас был кейс: сотрудник на удалёнке божится, что токен сломался, а по факту он его пробрасывал в RDP-сессию, и там просто слетала служба смарт-карты. Никакой поломки. Поэтому прежде чем бежать за новым устройством и платить денюжки, прогоните базовую проверку — в половине случаев железо целое, а лечится всё переустановкой драйвера и перезапуском одной службы.»
Если ничего из этого не помогло, у Актива есть Утилита восстановления работы Рутокен — запускаете её со вставленным токеном, она пробует починить связку драйверов и служб. И финальный тест на исправность: подключите токен к компьютеру, на котором драйверы никогда не ставились. Если носитель рабочий, система запустит Мастер установки нового оборудования. Если не происходит вообще ничего — железо, скорее всего, мёртвое, и его пора менять. При наличии резервной копии сертификата вы восстановите работу на новом носителе, при её отсутствии — перевыпускаете подпись в удостоверяющем центре.
ПИН-коды Рутокена: стандартные значения и блокировка
На каждом Рутокене два ПИН-кода. ПИН пользователя открывает доступ к подписи и объектам на токене — его вводят при подписании. Заводское значение по умолчанию — 12345678. ПИН администратора управляет паролем пользователя и настройками устройства, заводское значение — 87654321. Производитель настоятельно советует сменить оба сразу после получения, потому что стандартные ПИН-коды общедоступны: потеряете токен — злоумышленник первым делом введёт типовые цифры.
У ПИН-кода есть счётчик неправильных попыток, обычно их десять. Ввели неверно десять раз подряд — токен блокируется. ПИН пользователя разблокирует администратор через Панель управления Рутокен кнопкой Разблокировать. А вот если десять раз ошиблись в ПИН-коде администратора, дело плохо: восстановить устройство с сохранением сертификатов уже нельзя, только форматирование с полной потерей данных или покупка нового токена. Отсюда правило — не меняйте ПИН администратора без крайней нужды и не экспериментируйте с вводом наугад.
Если ПИН пользователя забыт, а администраторский известен — входите под администратором, разблокируете счётчик и меняете пользовательский ПИН (при условии, что при форматировании была выбрана политика смены «Пользователем и Администратором»). Если неизвестны оба — остаётся форматировать токен, стирая всё содержимое, и восстанавливать серт из резервной копии или перевыпускать заново.
Сколько сертификатов помещается на токен и какие есть модели
Вопрос из практики: сколько подписей влезет на один Рутокен. Зависит от формата и объёма памяти. Актуальные модели линейки Рутокен ЭЦП 3.0 несут 128 килобайт защищённой памяти. По тестам, для извлекаемых ключей ЦСП-формата помещается до 31 контейнера. Но цифра плавающая: один «тяжёлый» контейнер с полной цепочкой сертификатов и дополнительными расширениями может весить порядка 12 килобайт. Забьёте токен такими — влезет всего десяток. Пустой контейнер без цепочек может занимать и 200 байт. Так что универсального числа нет, всё упирается в то, что именно удостоверяющий центр дописал в серт.
Моделей несколько, и различаются они принципиально. Рутокен Lite — пассивный токен, работает только как защищённое хранилище для программных ключей, криптоядра внутри нет, формат PKCS#11 генерировать не умеет. Рутокен S — более старая модель для аутентификации. Рутокен ЭЦП 2.0 и 3.0 — активные токены с криптоядром, они делают неизвлекаемые ключи и поддерживают ЕГАИС. Именно линейка ЭЦП 3.0 нужна, если вы производите или поставляете алкоголь и отчитываетесь через ЕГАИС — другие форматы там не подойдут. Все актуальные модели сертифицированы ФСТЭК и ФСБ, что и делает подпись на них квалифицированной. Наши специалисты в Добыто при подключении компании к электронному документообороту сразу смотрят, какие носители уже на руках у сотрудников, — от модели токена зависит, какой криптопровайдер придётся ставить и в каком режиме он будет работать.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Кстати, если вы только выбираете, на чём подписывать кадровые документы, токен — не единственный путь. Для внутреннего КЭДО часто хватает облачных подписей без всякого железа, а разобраться в программах для подписания документов ЭЦП стоит до того, как закупать токены на весь штат.
Стоимость сервиса КЭДО с электронной подписью
Отдельно токен вы покупаете в удостоверяющем центре, а вот подпись для внутреннего кадрового документооборота идёт в составе тарифа на сервис КЭДО. Итоговая сумма зависит от численности штата, выбранного тарифа и набора видов подписи — от простой ПЭП до квалифицированной УКЭП. Ниже — тарифы сервиса КЭДО Добыто.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — для небольших компаний, начинающих переход на КЭДО (ПЭП и УНЭП, базовые шаблоны, email-поддержка) | от 30 ₽ за сотрудника / мес | до 25 сотрудников |
| Бизнес — для среднего бизнеса (ПЭП, УНЭП и УКЭП, интеграция с 1С, электронный архив, приоритетная поддержка) | от 50 ₽ за сотрудника / мес | неограниченно сотрудников, от 30 000 ₽ в год |
| Корпорация — для крупного бизнеса (всё из Бизнеса, выделенный сервер, SLA 99.9%, персональный менеджер, API) | по запросу | расширенные требования и SLA |
Точная сумма зависит от числа сотрудников, нужных видов подписи и подключаемых модулей вроде интеграции с 1С или электронного архива — актуальные тарифы сервиса Добыто помогут прикинуть бюджет под ваш штат.
Отдельно рассчитать расходы на лицензии КриптоПро под нужное число рабочих мест удобно через калькулятор КриптоПро. Это пригодится, если подписи выпускаются на токены для большого штата и на каждое рабочее место нужен свой криптопровайдер.
Выводы: сертификаты на токене и проверка Рутокена
Токен хранит закрытый ключ и сертификат под защитой ПИН-кода, а увидеть содержимое проще всего через КриптоПро CSP на вкладке Сервис кнопкой «Просмотреть сертификаты в контейнере». Панель управления Рутокен показывает здоровье самого носителя: имя, память, ID и результат проверки памяти по кнопке «Информация». Перед важным периодом отчётности стоит убедиться, что срок действия сертификата не истекает, — перевыпуск занимает время, которого в горячую пору нет.
Диагностика исправности идёт в три этапа: визуальный осмотр корпуса и разъёма, проверка через панель с нажатием «Информация» и авторизацией по ПИН-коду, затем проверка ключевого контейнера. Неизвлекаемые ключи формата PKCS#11 самостоятельно не тестируются — только удалённо силами техподдержки Актива. Если токен не определяется, идите по цепочке: драйверы с rutoken.ru, другой USB-порт, служба «Смарт-карта», Утилита восстановления, проверка на «чистом» компьютере. Гарантийную замену неисправного носителя делают бесплатно через того партнёра, у которого он куплен.
Держите в голове про ПИН-коды: заводские 12345678 и 87654321 меняют сразу, а десять неверных вводов администраторского ПИНа убивают токен без права восстановления сертификатов. Число подписей на одном носителе не фиксировано — до 31 контейнера ЦСП-формата на 128 килобайтах, но «тяжёлые» серты с цепочками режут это количество в разы. Модель токена определяет способ диагностики, поэтому первым делом всегда выясняйте, пассивный у вас носитель или активный.
Часто задаваемые вопросы
Как понять, что записано на моём Рутокене?
Как проверить Рутокен на исправность самостоятельно?
Почему компьютер не видит токен?
Что делать, если на Рутокене не горит лампочка?
Какие стандартные ПИН-коды у Рутокена?
Что будет, если много раз ввести неверный ПИН-код?
Сколько сертификатов помещается на один токен?
Чем извлекаемый ключ отличается от неизвлекаемого?
Можно ли скопировать сертификат с токена ФНС на второй носитель?
Меняют ли неисправный токен по гарантии?
Нужно ли устанавливать КриптоПро, если токен со встроенным криптоядром?
Как проверить действительность сертификата электронной подписи?
Разобраться с одним токеном — полдела. Когда компания переходит на кадровый электронный документооборот, встаёт задача выпустить и обслуживать подписи для всего штата, следить за сроками сертификатов и не дать никому остаться без рабочей подписи в неподходящий момент. В сервисе Добыто мы ведём это за клиента: подбираем вид подписи под каждый процесс, выпускаем ПЭП и УНЭП без токенов вовсе, а где нужна квалифицированная — помогаем с УКЭП и её обслуживанием.
Мы сопровождаем компанию до момента, когда кадровая служба работает с подписями сама и без затыков. Подписание идёт хоть с телефона, хоть из 1С, а вся цепочка подписей фиксируется с отметками времени — это ваша защита при проверках и в суде.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — под любой кадровый процесс
- Мобильное приложение для подписания с телефона — без похода в отдел кадров и без токена в кармане
- Готовый коннектор с 1С (ЗУП, КА, ERP) — ставится за час без привлечения разработчиков
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках ГИТ и в суде
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора
- Сопровождение до первых 50 подписаний — ведём до полностью самостоятельной работы