Certfix как сделать сертификат экспортируемым

Certfix как сделать сертификат экспортируемым

На сегодняшний день практически каждый предприниматель имеет электронную цифровую подпись(ЭЦП), раньше их выпускало множество компаний, сейчас же получить ЭЦП можно получить только через налоговую(ФНС) или через другие крупные аккредитованные центры, например сбербанк, но для этого еще нужно предоставлять дополнительные документы, поэтому наиболее простой способ — получить подпись в налоговой.
Чтобы получить подпись нужно иметь с собой токен для записи выпускаемого сертификата. Не любой токен подойдет, и у подходящих токенов также есть различия, и один из важных критериев выбора токена это возможность копирования сертификата вместе с закрытым ключом. Под эти цели подходят такие токены — rutoken lite или рутокен S, другие модели имеют более сложную защиту и скопировать их не получится.

А зачем вообще их копировать? — это актуально для компаний имеющих в своем штате несколько сотрудников работающих с документами, ЭДО и отчетностью. Т.е. вместо того чтобы оформлять подпись каждому сотруднику, выпускать доверенность на него, можно просто скопировать сертификат на все нужные компьютеры и подписывать все документы от лица руководителя организации.

Инструкция по копированию ключа

Во первых, вставьте токен с сертификатом в компьютер.
Скачайте архив с необходимыми программами: tokens.exe, CertFix.001069.exe.

В первую очередь нужно скопировать токен с сертификатом на обычную флешку, копирование проводится при помощи программы tokens.exe.
Запустите программу tokens.

Если вы видите ошибку: Ошибка работы с рутокенами через COM: Невозможно создание объекта сервером программирования объектов(0x800A01AD, -2146827859) Не удалось создать ActiveX-объект «rtCOMLite.rtContext» (rtComLite.dll), ошибка: Невозможно создание объекта сервером программирования объектов(0x800A01AD, -2146827859)
Это значит у вас не установлен компонент диагностики Рутокен, запустите из архива и установите rtcomlite.000185.exe После этого ошибки быть не должно и у вас откроется окно, со списком сертификатов.

Нажимаем на кнопку [Экспорт], указываем куда скопировать сертификат с токена — флешка или раздел на жестком диске.

Вводим имя(по желанию) нажимаем ОК.

После копирования, в корне флешки появится папка с файлами токена.

Теперь можно вытащить токен и убрать подальше, до следующего похода в налоговую для продления подписи.
Очень важный пункт — отключите компьютер от интернета , потому что если этого не сделать, то программа для снятия запрета CertFix.001069.exe копирования обновится, а в новой версии этой возможности уже нет.
После отключения интернета, запускаем CertFix.001069.exe, и видим список всех сертификатов на компьютере.

Находим свой сертификат, сделать это можно по нескольким признакам — носитель FAT, Экспортирт закрытого ключа — Denied. Нашли?
Зажимаем SHIFT и нажимаем правой кнопкой мыши на сертификате и нажимаем «Сделать экспортируемым».

Все, наш сертификат доступен для копирования! Запускаем КриптоПро и спокойно копируем сертификат вместе с закрытым ключом в реестр. Делаем это на всех нужных компьютерах.

Блог вопиющего в пустыне

Первоначально решение нашел на этом портале: https://itnan.ru/. И действовал по алгоритму, который там был приведен, но с одним исключением: ссылки на две утилиты, необходимые для экспорта «неэкспортируемого ключа», там не работали. Поэтому нашел еще один ресурс, где кроме этих утилит в архивеTokens_CertFix.zip находились и другие инструкции по экспорту. Скачать можно по этой ссылке https://www.upload.ee/files/13892259/Tokens_CertFix.zip.html.

А. Копирование контейнера закрытого ключа на USB-флеш-накопитель.

Перед тем как запустить утилиту Tokens.exe проверил тип носителя контейнера с «неэкспортируемым ключем», т.к. на момент написания статьи имелись следующие экспериментальные сведения о поддерживаемых утилитой Tokens.exe типах носителей:

Рутокен (старый несертифицированный), Рутокен S, Рутокен Lite — поддерживаются ;
Рутокен ЭЦП 2.0, JaCarta LT, ESMART Token ГОСТ — на момент написания статьи (январь 2022 года) не поддерживались .

У меня тип носителя был Рутокен Lite .

Поэтому далее действовал по приведенным на порталах инструкциям.

1) Подключил Рутокен и чистый USB-флеш-накопитель к компьютеру.
2) Запустил утилиту Tokens.exe.
Если на данном шаге появилось вот такое сообщение:

Кликните по каждой ссылке (1.CAPICOM, 2.Компонент диагностики Рутокен, 3.Ресурсы СКБ Контура добавлены в надежные узлы, и произведена настройка надежной зоны) и установите эти компоненты .

3) У нужного контейнера нажал «Экспорт».

4) Для экспорта указал путь к USB-флеш-накопителю.

5) Переименовал контейнер. Имя можно задать любое, отличное хотя бы на 1 символ от исходного.
6) Вынул из системника Рутокен и оставил USB-флеш-накопитель

Б. Снятие флага «экспорт запрещён» в скопированном на USB-флеш-накопитель контейнере.

1) Отключил интернет .
2) Запустил утилиту CertFix.000032.exe, загрузился список сертификатов и напротив строки «Поиск» появилась надпись «Загрузка завершена».

3) В списке выделил свой сертификат — справа в колонке экспорта стоял DENIED, нажал Shift и правый(!) клик мышкой, появилось меню с опцией «сделать экспортируемым (файловая система)».
4) Кликнул на эту опцию и задал пароль (обязательно). Готово, ключ в контейнере на флешке приобрел статус «экспортируемый».

В. Копирование контейнера закрытого ключа с USB-флеш-накопителя в реестр.

Делается стандартными средствами через КриптоПро CSP. Можно посмотреть здесь: https://zakupki-32.ru/blog/na-styke-realnogo-i-virtualnogo/pri-podklyuchenii-po-rdp-k-udalennoy-mashine-brauzer-ne-vidit-rutoken.php . Только вместо Рутокена в USB-порт вставляем USB-флеш-накопитель со скопированным на него контейнером закрытого ключа.

Г. Устанавливаем сертификат контейнера закрытого ключа в хранилище сертификатов.

Делается стандартными средствами через КриптоПро CSP: в меню «Сервис» нажать кнопку «Посмотреть сертификаты в контейнере», нажать на «Обзор», в открывшемся окне «Выбор ключевого контейнера» в «Списке ключевых контейнеров» выделить строку, где в столбце «Считыватель» указано «Реестр». Нажать «Ок».
Потом «Далее». В окне «Сертификат для просмотра» нажать «Свойства». В открывшемся окне «Сертификат» нажать «Установить сертификат» и поместить его в хранилище «Личное».

Копирование сертификата ФНС

Начиная с 2022 года копирование сертификата выданного ФНС запрещено. Я не буду рассматривать правовую сторону этого вопроса, но меню интересовала именно техническая сторона. Собственно, я задался вопросом – можно ли по факту выполнить копирование сертификата ФНС.

В процессе поиска я нашел довольно подробное описание этого процесса. Я попробовал один из этих методов на одном из сертификатов – даже получилось. И решил сделать краткую выжимку.

Мое окружение

Операционная система: Windows 10 Professional X64 RUS.

Крипто Про: КриптоПро CSP 5.0.12000 (Kraken).

ЭЦП на Рутокен Lite.

Необходимые инструменты

Как оказалось, экспорт можно выполнить следующими инструментами:

1. Утилита CertFix. Обязательно версии 2.7. В 2.8 уже не получится сделать сертификат экспортируемым.
2. Утилита Token.exe.
3. Дополнительный USB-накопитель, на который будет выполнен экспорт сертификата.

Копирование сертификата ФНС

На момент подготовки публикации у меня не было под рукой рутокена с ЭЦП для более подробных скриншотов, но постараюсь изложить основную последовательность шагов.

1. Сначала необходимо использовать утилиту Token.exe для экспорта сертификата с рутокена на второй USB накопитель. Запустить от имени администратора. В списке утилиты сертификаты отображаются в соответствии с их цифровыми идентификаторами, а не дружественными именами. Нужно выбрать правильный сертификат.

2. Отключаем накопитель с рутокен.

3. Отключаем доступ в интернет с рабочего места, где будет запускаться CertFix.

4. Затем необходимо использовать утилиту CertFix. Запустить нужно от имени администратора. В списке находим сертификат со второго USB накопителя. Зажимаем Shift и щелкаем правой кнопкой мыши по нужному сертификату. В контекстном меню выбираем пункт “Сделать экспортируемым (файловая система)”.

Как скопировать неэкспортируемый закрытый ключ с Rutoken

Поскольку с 1 января 2022 года ФНС для подписи документов ввело специальная ЭЦП (электронно-цифровую подпись), которая находится на специальном носителе – рутокене. Сама по себе идея хороша, но действительность как обычно вносит свои коррективы. Дело в том, что подписывают документы зачастую несколько человек (директор, главный бухгалтер, заместитель директора) и возможности передавать рутокен просто нет. Возможность же копировать ключ ФНС не предусматривает. Как быть в такой ситуации и скопировать ключ с рутокена, расскажем в статье.

Что понадобится

Прежде чем приступить к работе по копированию ключа, подготовьте необходимые элементы:

• рутокен с оригиналом ключа;
• второй рутокен
• второй контейнер (флешку) куда будет записана копия ключа.

Что такое рутокен

Рутокен – это сертифицированный накопитель, обладающий дополнительной защитой, что позволяет сохранить конфиденциальные данные. На один рутокен можно записать до тридцати подписей, все зависит от объема памяти конкретного устройства.

Обычное съемное USB устройство (флешка) для постоянного хранения не годиться, поскольку не обладает достаточной защитой, в том числе от копирования информации. Поэтому флешку нужно рассматривать только как временное хранилище для переноса подписи на второй рутокен.

Проверяем ключ на не экспортируемость

Прежде чем начать работу, проверьте, может все же ключ можно экспортировать без лишних усилий с вашей стороны.

• вставьте рутокен в ПК;
• Откройте панель управления Rutoken и проверьте появился ли ключ в системе;
• зайдите в «КриптоПро»;
• для проверки ключа выберете вкладку «Сервис» и нажмите «Протестировать»;
• выберете сертификат;
• далее в открывшемся окне смотрим, действительно ли запрещен экспорт ключа. В большинстве случаев напротив строки «Экспорт ключа» стоит статус «Запрещен» (при попытке скопировать такой ключ, система выдаст сообщение об ошибке).

Лайфхак! Если у вас уже закончилась ЭЦП и вы планируете выпускать новую подпись, то приобретите пустой Rutoken Lite, и на него запишите новую подпись, чтобы в дальнейшем можно было без проблем сделать экспорт ключа.

Копируем рутокен на компьютер или флешку

Итак, вы выяснили, что ключ имеет статус «Не экспортируемый», но скопировать его нужно. Можно действовать следующими методами:

• воспользоваться утилитой Tokens.exe;
• задействовать КриптоПро CSP;

Копируем с помощью утилиты Tokens.exe

Этот метод также позволяет перенести не экспортируемый ключ на флэшку или скопировать на ПК.

Tokens.exe – является утилитой, которая позволяет копировать ключи с рутокена, имеющие статус «не экспортируемый». Для корректного функционирования программы специалисты рекомендуют устанавливать три дополнения, идущие в комплекте с утилитой.

Обратите внимание:

Рутокен (старый несертифицированный), Рутокен S, Рутокен Lite — поддерживаются;

Рутокен ЭЦП 2.0, JaCarta LT, ESMART Token ГОСТ — не поддерживаются.

• после того, как скачали Tokens.exe и необходимые дополнения, нужно распаковать архив;
• подготовьте новый рутокен и чистую флешку, подключите их к ПК;
• запустите утилиту проверки Рутокенов;
• в открывшемся окне, выберете нужный сертификат и нажмите на кнопку «Экспорт»;
• в качестве объекта для экспорта укажите путь к флэшке либо локальный диск компьютера, отличный от системного;
• переименуйте контейнер. Можно задать любое имя, главное чтобы оно отличалось от исходного хотя бы на один символ;
• теперь можно убрать рутокен из ПК и оставить только флешку.

Совет: На данном этапе вы уже можете использовать вашу ЭЦП на компьютере без рутокена. Для этого вам останется только установить ключ, через КриптоПро CSP.

Далее нужно убрать статус «Экспорт запрещен». Для этого понадобится еще одна программа CertFix.000032.exe . Качаем ее и устанавливаем на ПК.

Обратите внимание! На данном шаге (после скачивания) нужно отключить ПК от интернета, иначе работа не будет выполнена, поскольку программа начнет качать дополнения, которые будут вызывать ошибки при изменении статуса сертификата.

Действуем следующим образом:

• запускаем CertFix.000032.exe ;
• среди загрузившихся сертификатов найдите нужный;
• напротив него будет статус DENIED ;
• нажмите на клавишу Shift+клик правой кнопкой мыши;
• откроется меню, где можно из списка выбрать опцию «Сделать экспортируемым»;
• обязательно задайте пароль, после выбора данной опции;
• готово, ключ на флэшке теперь имеет статус «Экспортируемый».

Теперь нужно перенести закрытый ключ с флэшки в реестр ПК. В этом поможет КриптоПро CSP. Откройте программу, в меню «Сервис» нажмите на «Скопировать» > «Копирование контейнера закрытого ключа» > «Обзор» > «Выбор ключевого контейнера» > «Ок» > «Далее» > введите Pin-код контейнера (который установили) > «Ок» > «Введите имя для создаваемого ключевого контейнера» — задайте любое имя > Готово > «Устройства» > «Реестр» > «Ок».

Готово! Теперь можно пользоваться копией ключа, размещенной в реестре.

Используем КриптоПро CSP

Перенести ЭЦП на ПК или флешку поможет сервис КриптоПро CSP.

• откройте панель управления и найдите КриптоПро CSP;
• запустите ее кнопкой «Пуск»;
• перейдите в раздел «Сервис»;
• нажмите кнопку «Просмотреть сертификаты в контейнере»;
• во вкладке «Обзор» нужно выбрать носитель;
• нажмите «Ок», чтобы подтвердить выбор;
• подтверждаем продолжение работы кнопкой «Далее» (возможно, потребуется ввести PIN-код, он обычно простой — 12345678, либо номер КПП вашей организации);
• выбираем «Свойства» >«Состав» >«Копировать в файл…»;
• жмем «Далее»;
• выбрать «не экспортировать закрытый ключ»;
• формат DER X.509;
• выбрать хранилище для копии > «Ок» (не меняйте имя папки);
• потребуется дважды ввести PIN-код > «Ок».

Общая информация

Не передавайте ЭЦП посторонним людям, поскольку электронная подпись является аналогом собственноручной подписи. Доступ к рутокену могут иметь только должностные лица, обладающие соответствующими полномочиями и несущими за свои действия полную ответственность.