Хранилище сертификатов для локального компьютера и текущего пользователя
Каждое из системных хранилищ сертификатов имеет следующие типы:
- Хранилище сертификатов локального компьютера Этот тип хранилища сертификатов является локальным для компьютера и глобальным для всех пользователей на компьютере. Это хранилище сертификатов находится в реестре в корневом каталоге HKEY_LOCAL_MACHINE.
- Хранилище сертификатов текущего пользователя Этот тип хранилища сертификатов является локальным для учетной записи пользователя на компьютере. Это хранилище сертификатов находится в реестре в корневом каталоге HKEY_CURRENT_USER.
Сведения о конкретных расположениях реестров хранилищ сертификатов см. в разделе Расположения системных хранилищ.
Имейте в виду, что все хранилища сертификатов текущего пользователя, за исключением хранилища Текущий пользователь или личное, наследуют содержимое хранилищ сертификатов локального компьютера. Например, если сертификат добавляется в хранилище сертификатов доверенных корневых центров сертификации локального компьютера, все хранилища сертификатов доверенных корневых центров сертификации текущего пользователя (с указанным выше предостережением) также содержат этот сертификат.
Проверка подписи драйвера во время установки Plug and Play (PnP) требует, чтобы корневые сертификаты и сертификаты Authenticode, включая тестовые сертификаты, находились в хранилище сертификатов локального компьютера.
Дополнительные сведения о добавлении или удалении сертификатов из системных хранилищ сертификатов см. в разделе CertMgr.
Практическое руководство. Просмотр сертификатов с помощью оснастки MMC
При создании защищенного клиента или службы в качестве учетных данных можно использовать сертификат . Например, распространенный тип учетных данных — сертификат X.509, который создается с помощью X509CertificateInitiatorClientCredential.SetCertificate метода .
Существует три различных типа хранилищ сертификатов, которые можно изучить с помощью консоли управления (MMC) в системах Windows:
- Локальный компьютер. Хранилище является локальным для устройства и глобальным для всех пользователей на устройстве.
- Текущий пользователь. Хранилище является локальным для текущей учетной записи пользователя на устройстве.
- Учетная запись службы. Хранилище является локальным для определенной службы на устройстве.
Просмотр сертификатов в оснастке MMC
В следующей процедуре показано, как проверить хранилища на локальном устройстве, чтобы найти соответствующий сертификат.
- Выберите Выполнить в меню Пуск и введите mmc. Появится MMC.
- В меню Файл выберите Добавить или удалить оснастку. Откроется окно Добавление и удаление оснасток .
- В списке Доступные оснастки выберите Сертификаты, а затем нажмите кнопку Добавить.
- В окне оснастки Сертификаты выберите Учетная запись компьютера, а затем нажмите кнопку Далее. При необходимости можно выбрать Моя учетная запись пользователя для текущего пользователя или Учетная запись службы для конкретной службы.
Примечание Если вы не являетесь администратором устройства, вы можете управлять сертификатами только для своей учетной записи пользователя.
Просмотр сертификатов с помощью диспетчера сертификатов
Вы также можете просматривать, экспортировать, импортировать и удалять сертификаты с помощью средства диспетчера сертификатов.
Просмотр сертификатов для локального устройства
- В меню Пуск выберите Выполнить, а затем введите certlm.msc. Откроется средство диспетчера сертификатов для локального устройства.
- Чтобы просмотреть сертификаты, в разделе Сертификаты — локальный компьютер в области слева разверните каталог для типа сертификата, который требуется просмотреть.
Просмотр сертификатов для текущего пользователя
- Выберите параметр Выполнить в меню Пуск, а затем введите certmgr.msc. Отобразится инструмент диспетчера сертификатов для текущего пользователя.
- Чтобы просмотреть сертификаты, в разделе Сертификаты — текущий пользователь в области слева разверните каталог для типа сертификата, который требуется просмотреть.
См. также раздел
- Работа с сертификатами
- Практическое руководство. Создание временных сертификатов для использования во время разработки
- Практическое руководство. Получение отпечатка сертификата
Как и где можно хранить электронную подпись
Простая и неквалифицированная электронная подпись (ЭП) могут храниться на любых носителях, так как в Федеральном законе №63-ФЗ «Об электронной подписи» нет никаких указаний на этот счет. К вопросу хранения квалифицированной ЭП нужно отнестись серьезнее. Эта подпись приравнена к собственноручной, она используется в электронных торгах и при заключении важных сделок с контрагентами. Поэтому безопаснее хранить ее на защищенном носителе, сертифицированном ФСБ.
Защищенные носители для квалифицированной электронной подписи
Токен (eToken, Рутокен и др.)
Надежный и удобный носитель в виде USB-брелока. Подходит для большинства применений, кроме ЕГАИС. С его помощью можно отправить отчет в налоговую или Росстат, подписать договор и участвовать в электронных торгах. Чтобы подписывать документы с помощью токена, на компьютер нужно установить средство криптографической защиты информации (СКЗИ).
Токен со встроенным СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE)
Носитель, который похож на обычный токен, но обладает встроенным СКЗИ. Используя электронную подпись на таком носителе, вы сможете подписывать документы на любом компьютере без покупки дополнительного ПО. Рутокен ЭЦП подходит для дистанционного банковского обслуживания, работы на госпорталах, сдачи отчетности и документооборота. Он не предназначен для работы с торговыми площадками и ЕГАИС. Рутокен ЭЦП 2.0, как и JaCarta PKI/ГОСТ/SE, используются только для работы с ЕГАИС.
Дополнительная защита электронной подписи
Доступ к подписи по пин-коду
На каждом съемном носителе электронной подписи установлен пин-код — комбинация символов, после ввода которой вы получаете доступ к подписи. Вводится пин-код каждый раз при подписании документа или любом другом обращении к ЭП. По умолчанию код стандартный, но вы можете убрать его совсем или поменять на свой. Мы подготовили инструкцию по смене для Рутокен, eToken, JaCarta. Если нужно, обратитесь в УЦ, и наш специалист поможет сменить пин-код.
Защита подписи от копирования
Ключи электронной подписи по умолчанию разрешено копировать на другие носители. Если хотите, вы можете включить защиту от копирования. Для этого при оформлении заявки сообщите менеджеру, что вам нужен неэкспортируемый ключ электронной подписи. В этом случае скопировать подпись с носителя будет невозможно, так как при любой попытке экспорта файлов система будет выдавать ошибку.
Незащищенные носители для квалифицированной электронной подписи
Теоретически ЭП можно записать на любой съемный носитель. Но файлы на USB-диске, дискете или другом носителе никак не защищены. Если злоумышленники их украдут и расшифруют, то смогут подписывать любые документы. Поэтому мы не рекомендуем хранить файлы электронной подписи на подобных носителях.
Запись ЭП в реестр ноутбука — популярный, но тоже небезопасный вариант хранения подписи. Любой, кто получит доступ к системе, сможет подписывать документы или создать копию ключа. Если понадобится переехать на другое рабочее место, то для переноса ключа электронной подписи понадобится помощь квалифицированного специалиста. ЭП можно и вовсе потерять, если с компьютером что-то случится.
О чем нужно помнить при хранении квалифицированной ЭЦП
Один носитель — для одного сотрудника
Если записать ЭП разных сотрудников на один носитель, то нарушится конфиденциальность закрытых ключей. И по закону все подписи будут считаться недействительными.
Нельзя передавать свою ЭП другому человеку
Электронная подпись — это аналог собственноручной. Она служит идентификатором владельца. Если отдать ЭП другому человеку, а он подпишет документ, с которым вы не согласны, то оспорить это решение не удастся.
Нельзя хранить ЭП в открытом доступе
Квалифицированную электронную подпись нужно хранить в сейфе или другом защищенном месте. Носитель, который просто лежит на столе, легко украсть, чтобы подписать пару «лишних» документов. А когда вы это заметите, то даже в суде не сможете доказать свою непричастность.
При смене реквизитов меняйте и ЭП
Компания изменила свое название, владелец ЭП уволился или поменял должность? Меняйте подпись. Не затягивайте с этим, чтобы не столкнуться с пачкой платежек, подписанных неизвестно кем, и не нарушать п. 1 ст. 2 Федерального закона №63-ФЗ «Об электронной подписи», требующий обеспечить точную идентификацию владельца ЭП. Для замены электронной подписи обратитесь к менеджеру, который ее выдавал. Или свяжитесь с удостоверяющим центром «Тензор» удобным для вас способом.
Вовремя продлевайте ЭП
Если не продлить электронную подпись, она станет недействительной. И вы не сможете подписать ни один электронный документ, пока не получите новую ЭП в удостоверяющем центре. О том, как продлить электронную подпись, читайте в нашей статье.
Защитите рабочее место
Антивирусное ПО защищает вас от любых неприятных сюрпризов. Вирусы способны имитировать поведение владельца подписи, чтобы подписать несколько нужных злоумышленнику документов. И доказать, что подпись ставили не вы, будет тяжело.
Не храните пароли на бумажках
Это правило — основа компьютерной безопасности. Оно относится не только к электронным подписям, но и ко всем другим сферам. Пароль от токена, заботливо записанный на стикере возле компьютера, несказанно обрадует злоумышленника.
Как и где найти сертификат ЭЦП на компьютере?
Электронный документооборот (ЭДО) с каждым днем набирает популярность.
Некоторые компании практически полностью отказываются от бумажного документооборота в пользу электронного. Это обусловлено удобством системы и экономией финансовых средств.
Для ведения ЭДО необходимо оформить электронно-цифровую подпись (ЭЦП), которой впоследствии будут визироваться все документы.
Чтобы защитить ее от использования третьими лицами, владелец ЭЦП должен знать место хранения ее сертификата на ПК. Поэтому так важно знать, как найти сертификат ЭЦП на компьютере.
Понятие сертификата ЭЦП
Помимо самой электронной подписи, УЦ также выдает клиенту специальную бумагу – сертификат.
Зачастую, такой документ выдается в электронном формате, но иногда и в бумажном. Именно с его помощью можно определить подлинность ЭЦП, а также ограничить доступ к подписи для третьих лиц.
Сертификат ЭЦП содержит такие сведения:
- информация о владельце ЭВ;
- сведения о периоде действия ЭЦП;
- название УЦ, выпустившего данный сертификат;
- наименование средства;
- секретный ключ для проверки.
В момент выпуска сертификата ЭЦП аккредитованным УЦ, генерируется секретный ключ проверки. При этом все сведения о владельце ЭВ сохраняются в специальном файловом хранилище.
Поиск сертификатов ЭЦП через проводник
На ПК могут храниться открытые сертификаты виз, которые доступны только для чтения.
Чтобы найти файлы сертификатов в проводнике, пользователям ОС Windows (Vista и выше) необходимо пройти следующий путь: C:Users\ПОЛЬЗОВАТЕЛЬ\AppData\Roaming\Microsoft\System\Certificates. «ПОЛЬЗОВАТЕЛЬ» нужно поменять на имя активной учетной записи.
Стоит отметить, что сохранить закрытый сертификат на жесткий диск ПК не представляется возможным.
Он хранится на специальном USB-накопителе – токене. Используется такой документ для того, чтобы генерировать открытые ключи – в ходе манипуляции потребуется введение секретного кода, выданного УЦ.
Использовать открытый сертификат, скопированный на ПК можно только в том случае, если на этот же ПК установлен корневой сертификат (выдается в УЦ вместе с ЭЦП).
Иначе ЭВ не пройдет проверку на подлинность. Копия специального документа для программного использования также хранится на жестком диске – в папке Windows, в шифрованном виде. Однако ОС не предоставляет пользователю возможность доступа к этой копии или ее копирования.
Доступ к системным папкам, в т.ч. сертификатам ЭЦП, имеет только администратор ПК – этот момент стоит учитывать, если стоит задача найти файл сертификата ЭЦП на компьютере.В зависимости от способа шифрования, файл сертификата может быть сохранен в формате .cer или .csr.
Просмотр сертификатов через специальное ПО
Для работы с ЭЦП используется специальное программное обеспечение – криптовайдеры. Программа Крипто Про позволяет работать со специальными бумагами УЦ, а также визировать документы, проверять подписи на подлинность и т.д.
Есть еще один вариант как найти файл сертификата ЭЦП на компьютере при помощи Крипто Про, необходимо следовать такому алгоритму:
- Войти в меню «Пуск».
- Найти среди прочих программ «КриптоПро», навести мышь на нее.
- Нажать кнопку «Сертификаты».
После этого откроется окно, в котором будет полный список специальных документов, установленных на данный ПК. Здесь же можно управлять ими – просматривать подробные сведения о каждом, удалять.
Стоит обратить внимание на функцию «Скопировать весь контейнер» — она позволяет скопировать открытый ключ и специальный документ ЭЦП для использования визы на другом ПК.
Для просмотра сертификатов через КриптоПРО пользователь должен иметь статус администратора ПК, либо разрешение от администратора на совершение подобных операций. Если же пользователь вошел в систему как «Гость», то программа выдаст ошибку и ограничит доступ к списку специальных документов.
Стоит отметить, что проводить различные действия со специальными бумагами УЦ можно и через саму программу Крипто Про – ее функционал достаточно обширен как для работы со специальными документами, так и для действий с ЭЛП.
Просмотр специальных документов ЭЦП через Certmgr
Личные ключи и специальные бумаги УЦ партнеров M можно также просмотреть и при помощи встроенного в Windows менеджера для работы с установленными специальными документами.
Чтобы выполнить просмотр сертификатов через Certmgr, необходимо:
- Войти в меню «Пуск».
- В командную строку вписать certmgr.msc.
- Подтвердить команду, нажав клавишу Enter.
- В появившемся окне найти вкладку «Корневые сертификаты удостоверяющего центра», где и хранятся все личные ключи.
Запустить встроенный менеджер, удалять или копировать файлы может только администратор ПК. Если пользователь зашел в систему как «Гость», то программа не запустится.
Стоит отметить, что встроенный менеджер не имеет возможности работать с некоторыми документами, обладающими специальной кодировкой информации. Поэтому программа может отображать некорректные списки ключей.
Поиск сертификатов через Internet Explorer
Internet Explorer – это веб-обозреватель, который зачастую изначально установлен в ОС Windows – исключениями могут быть некоторые редакции Windows 10.
Даже если браузер не встроен в систему, его можно бесплатно скачать по ссылке https://www.microsoft.com/uk-ua/download/internet-explorer.aspx — перед скачиванием необходимо указать версию ОС, установленную на ПК.
Чтобы получить доступ к сертификатам через Internet Explorer, нужно следовать такому алгоритму:
- Запустить браузер.
- Кликнуть «Меню».
- Перейти на вкладку «Свойства браузера».
- Нажать кнопку «Содержание».
- Выбрать пункт «Сертификаты».
В появившемся окне будет выдан список всех установленных специальных документов, в т.ч. и от сторонних поставщиков. Стоит отметить, что в данном случае есть возможность удалять открытые ключи, однако удалить корневые сертификаты не удастся.
Использовать этот способ просмотра документов может как администратор ПК, так и «Гость». Удаление ключей доступно только для учетной записи администратора.
Просмотр ключей ЭВ через консоль управления
Алгоритм поиска и просмотра сертификатов через консоль управления выглядит следующим образом:
- Нажать одновременно клавиши Win и R, ввести в появившуюся строку «cmd» и нажать кнопку Enter.
- Ввести команду «mmc» и снова нажать на Enter.
- Выбрать пункт «Файл» и кликнуть на «Добавить или удалить оснастку».
- Кликнуть «Добавить» — «Добавить изолированную оснастку».
- Нажать на «Сертификаты».
Для осуществления манипуляций этим методом необходимо обладать правами администратора ПК.
Стоит отметить, что такой способ просмотра специальных документом обладает обширным функционалом. С его помощью можно удалять, добавлять, копировать контейнеры ЭЦП и т.д. Однако для произведения некоторых действий нужно использовать специальные команды (осуществлять их через командную строку), что может вызвать неудобства у рядовых пользователей.
Итоги
Есть несколько вариантов, где найти сертификат ЭЦП на компьютере.Самым простым и удобным является просмотр ключей и управление ими при помощи КриптоПро.
Если же необходимо только получить список ключей для чтения, рекомендуется использовать Internet Explorer.