OpenSSL: работа с сертификатами и приватными ключами | Записки системного администратора

Что делать если вы забыли пароль для доступа к сертификату ключа проверки электронной подписи

Не огорчайтесь. Ничего страшного в этом нет. Это же не пароль от личного кабинета налогоплательщика, в случае утраты которого, придётся повторно посещать ИФНС. Это в том случае, если Вы не потрудились задать кодовое слово для его восстановления по электронной почте.

Здесь всё гораздо проще. Обратите внимание на нижнее окно там есть ссылка «Отозвать текущий сертификат». Смело щёлкайте по ней и после этого создавайте новый сертификат и у Вас будет новый пароль:

Если Вы всё-таки опасаетесь сразу это делать, можете для убедительности сначала щёлкнуть на «Просмотреть сертификат»:

Перед вами откроется следующее окно, которое, надеюсь развеет Ваши сомнения:

На этом можно и закончить. И помните, что электронная подпись открывает перед Вами массу возможностей  как в экономии своего времени, так и в плане экономии средств. Я уже не говорю о том, что это уже более прогрессивная ступень ведения Ваших дел. И не огорчайтесь, если Вы утеряли пароль к сертификату ЭП, его всегда можно восстановить.

Удачи Вам ! И до скорых встреч на страницах блога «ПенсерМен».

Что такое закрытый ключ эцп

Закрытый ключ представлен в виде уникального набора символов, которые используются криптографическим алгоритмом для создания защищённой части электронной подписи.

Владелец электронной подписи использует именно закрытую часть для подписания электронных документов. Любой, кто получает доступ к закрытому ключу электронной подписи, может им воспользоваться. Поэтому его хранят на защищённых носителях: смарт-карте, токене, USB-носителе или дискете.

Хранить закрытый ключ можно на компьютере, однако это небезопасно — воспользоваться им сможет любой, кто имеет доступ к компьютеру. Самым защищённым носителем считается смарт-карта, так как на ней используется двухфакторная аутентификация.

Как и в случае с сертификатом, закрытый ключ может быть как скрыт так и виден, в зависимости от носителя. Он представлен в виде папки, которая содержит несколько файлов с расширением .key, поэтому закрытый ключ также называют контейнером. Скрытый контейнер с закрытым ключом нужно экспортировать, чтобы получить к нему прямой доступ.

Что такое открытый ключ эцп

Открытый ключ электронной подписи представляется в виде электронного сертификата или бумажного документа. Сертификат выдаётся только удостоверяющим центром и содержит информацию, которая используется для проверки подписи владельца и шифрования данных.

Открытый ключ можно использовать для работы с партнёрами, в отличие от закрытого, который хранится в защищённом месте. Контрагенты могут использовать открытый ключ владельца для шифрования данных, которые ему посылают. Это означает, что после отправки этих данных, получить доступ к ним сможет только владелец закрытой части ключа.

Сертификат содержит в себе следующие данные:

Электронный сертификат виден на обычных носителях в виде файла с расширением .cer, а на защищённых картах Рутокен, eToken и JaCarta он скрыт. Чтобы увидеть скрытый сертификат, его необходимо экспортировать.

Openssl: работа с сертификатами и приватными ключами | записки системного администратора

Инструкция как экспортировать закрытый ключ

Выполнять экспорт закрытого ключа электронной подписи можно из криптопровайдера КриптоПро CSP.

1. В системе Windows перейдите в «Пуск» → «Панель управления» → «КриптоПро CSP».

2. Перейдите на вкладку «Сервис» и нажмите на кнопку «Скопировать контейнер».



3. В окне «Копирование контейнера закрытого ключа» нажмите на кнопку «Обзор», выберите нужный контейнер и нажмите «Ок» → «Далее».



4. Если вы копируете закрытый ключ с защищённого носителя, введите pin-код.

5. Введите название копии закрытого ключа и нажмите «Готово».



6. В окне «Выбор ключевого носителя» выберите носитель, на который будет произведено копирование контейнера с закрытым ключом.



7. Установите пароль на контейнер. Несмотря на то что этот шаг необязательный, установка пароля обеспечит дополнительную защиту.

Как восстановить пароль электронной подписи

Пользователь сам задает защитный код. Если он потеряет комбинацию, придется его восстанавливать. Вот инструкция, как восстановить пароль ЭПЦ вручную:

1. Найти документ или файл, куда вы записали или сохранили защитные символы. На будущее, старайтесь сохранить информацию в доступном, но защищенном месте: записать и положить в сейф, сохранить в специальной программе для защиты паролей в вашем телефоне, создать особую папку на ПК.
2. Если пользователь окончательно забыл пароль на сертификат ЭПЦ, и вспомнить его никак не получается, попробуйте подобрать комбинацию. Количество попыток ввода не ограничено, поэтому пробуйте и перебирайте все возможные варианты.
3. Скопировать файлы с ЭЦП. Но это помогает не во всех случаях. Если вы автоматически запомнили пароль при установке, попробуйте скопировать контейнер электронной подписи без ввода защитного кода. Перенесите папку с файлами ЭП на другой съемный носитель. Если при копировании система не запросит код, у вас получится работать с электронной подписью на другом компьютере.

Не получилось восстановить вручную? Тогда отзывайте действующий и выпускайте новый сертификат ЭП. Обращайтесь в удостоверяющий центр, подавайте заявку и генерируйте новый ключ. Других вариантов нет.

Варианты, как восстановить пароль от ЭПЦ в налоговой или Пенсионном фонде, те же:

• попробуйте вспомнить;
• подберите символы;
• скопируйте сведения.

Звонить в удостоверяющий центр или ТОФК не имеет смысла, они не знают пользовательскую защиту и не помогут ее восстановить или обновить.

ЭЦП функционирует только в том случае, если на ПК установлена программа криптозащиты. Если вы пользуйтесь КриптоПро CSP(речь идет о ПО версии 3.6 и выше) и уже установили ключ сертификата электронной подписи в операционную систему, попробуйте проверить защитный код в криптопрограмме. Инструкция, как узнать пароль ЭПЦ через Крипто-Про (строго соблюдайте регистры и пунктуацию):

1. Зайдите в файл, в котором установлена программа (вероятнее всего, это Program Files).
2. Найдите в папке КриптоПро утилиту «csptest». Она позволит узнать код информационной защиты.
3. Запустите ее и введите: cd «C:Program FilesCrypto ProCSP».
4. Напишите такую команду: csptest -keyset -enum_cont -fqcn -verifycontext. Если у вас на ПК установлена только одна ЭП, отразится один контейнер. Если же электронных подписей несколько, то с помощью этой команды откроется перечень всех контейнеров.
5. Задайте команду csptest -passwd -showsaved -container «<наименование необходимого контейнера>». После нажатия «Ввод» отобразится вся информация об электронной подписи, в том числе и пароль.

Как выпустить сертификат нэп

Заявку на выпуск подписи оформляют в профиле личного кабинета в разделе «Получить ЭП». Чтобы перейти в профиль, кликните на свою фамилию в верхней части экрана. Сайт откроет страницу с разделами профиля, среди которых — раздел про электронную подпись.

Форма заявки предложит два варианта оформления:

1. Ключ ЭП хранится в защищенной системе ФНС. Можно подписывать и отправлять документы в налоговую с любого устройства. Нужно только авторизоваться в личном кабинете. ФНС рекомендует использовать этот вариант. 
2. Ключ хранится на вашем компьютере или ноутбуке. После установки сертификата НЭП его можно перенести на другой компьютер. Такой сертификат не работает на мобильных устройствах, например, на телефоне или планшете. Для работы ЭП на компьютер нужно дополнительно установить средство криптографической защиты информации VipNET CSP.

Форма автоматически заполнит ваши реквизиты: ФИО, адрес регистрации, ИНН, СНИЛС. Останется только придумать пароль и отправить заявку.

Как заплатить налог

Неоплаченные начисления и задолженности отражаются в разделе «Налоги» или на главной странице ЛК. Заплатить их можно двумя способами.

1. Каждый вид налога оплачивать отдельной суммой после получения уведомления от налоговой службы.
2. Заплатить единый налоговый платеж физлица (ЕНП).

ЕНП — это виртуальный кошелек налогоплательщика. Когда пользователь ЛК пополняет кошелек, деньги поступают на счет казначейства. Налоговая спишет деньги, когда наступит срок платежа, и сама распределит эту сумму по разным видам налога.

ФНС пришлет уведомление о сумме и времени оплаты налога. Сведения об оплате отразятся в личном кабинете.

Заплатить налоги через личный кабинет можно тремя способами:

• банковской картой с использованием Интернет-сервиса банка, который заключил с ФНС соглашение;
• сформировать квитанцию и оплатить ее в любом банке;
• через сайт кредитной организации из предложенного списка.

Заплатить налог через личный кабинет налогоплательщика может и другой человек своей банковской картой. Но он не сможет вернуть деньги из бюджета, если перечислил больше, чем требуется.

Как и зачем менять пароль (пин-код) к электронной подписи

Как разблокировать эцп в налоговой

Для начала необходимо убедиться, кто и по какой причине заблокировал электронную подпись:

Необходимо устранить все возможные причины, приведшие к блокировке.
Уточнить срок действия сертификата ЭЦП, возможно, потребуется оформить его перевыпуск. Проверить, совпадает ли регион прописки руководителя компании и фирмы, достоверность юридического адреса и изменения в ЕГРЮЛ.

Риск аннулирования сертификата ключа цифровой подписи возникает при отсутствии подтверждения владения соответствующим ключом от владельца. Если обстоятельство доказано, то налоговая инспекция имеет право заблокировать инструмент.

Для разблокировки подписи понадобится:

Чтобы избежать блокировки, достаточно отслеживать достоверность и актуальность информации об организации, срок годности сертификата ЭЦП и работу с подписью уполномоченным лицом.

По всем вопросам можно обратиться в службу поддержки портала налоговой, заполнив форму обращения в техподдержку

Как создать электронную подпись в личном кабинете налогоплательщика

Если у Вас уже была электронная подпись в старой версии личного кабинета, то в новой (с 2021 года) её уже не будет и пароля естественно тоже. Так что сертификат ЭП придётся создавать заново.

Итак, заходите в личный кабинет и открываете свой профиль. Для этого сразу же на первой страничке находите наверху справа свою фамилию, имя, отчество и клацаете. Ну а в открывшемся окне всё по пунктам, как на картинке:

1. выбираете вкладку «Получить ЭП»;
2. вариант хранения электронной подписи;
3. устанавливаете пароль для доступа к сертификату;
4. вводите его ещё раз;
5. жмёте кнопку «Отправить запрос»:

Почему лучше выбрать хранение ключа в системе ФНС России, думаю у Вас вопросов не вызовет. Если Вы прочитали разъяснения, то заметили и сами неоспоримые преимущества именно этого варианта.

После отправки запроса появляется окно ожидания с крутящимся кружочком. Иногда оно может задержаться на довольно таки продолжительное время:

Потом появиться окно, сообщающее о том, что сертификат успешно выпущен. Здесь можно будет вызвать окно со своим сертификатом, нажав на ссылку «Просмотреть сертификат»:

во всплывшем после этого окне ввести пароль, который Вы уже вводили дважды в самом начале и кнопка «Далее»:

А уже в следующем окне любуйтесь своим сертификатом, смотрите эти самые реквизиты, которые сверяют в налоговой при получении от Вас документов. Выглядит он примерно так:

Какие документы нужны для выпуска подписи

Чтобы выпустить сертификат КЭП физлицу нужно предоставить в УЦ документы:

• Паспорт будущего владельца сертификата — оригинал или заверенная копия.
• Заявление на выпуск КЭП с подписью будущего владельца. Заявление выдаст сотрудник сервисного центра после предоставления документов.
• СНИЛС.
• ИНН.

КЭП для физлица выпускают на один год. Стоимость сертификата зависит от набора дополнительных услуг. Узнайте, сколько стоит сертификат КЭП, на нашем сайте.

Получить электронную подпись

В стоимость услуги включено:

• автоматическая установка сертификата на ваш компьютер;
• круглосуточная техподдержка;
• сервис для подписания документов Контур.Крипто.

Для работы электронной подписи нужна программа криптографической защиты информации, например, КриптоПро CSP и лицензия на нее. В УЦ Контура можно приобрести встроенную лицензию, чтобы использовать КриптоПро CSP на любом компьютере в течение срока действия сертификата.

Криптопро: просмотреть сохраненный пароль (пинкод) на контейнер закрытого ключа эцп – trust me i`m an engineer

Кто устанавливает пароль (пин-код) на электронную подпись?

Первоначально пин-код на токен (электронный носитель) устанавливается заводом изготовителем. Такой пин-код является “пин-кодом по умолчанию”. Второй вариант, это когда Удостоверяющий центр при записи электроной подписи указывает свой пароль на носитель и при получении ЭЦП клиентом сообщает также и его пароль на токен.

Самые популярные модели токенов и их пароли, это:

RuToken – 12345678

eToken Jacarta – 1234567890

Приводим таблицу всех стандартных паролей (пин-кодов) на носители электронных подписей:

Как определить какой токен (носитель подписи) у вас читайте тут: Какие Токены используются в настоящее время? В чём разница?

Механизм отправки документов подписанных усиленной электронной подписью

Правильнее было бы использовать слово алгоритм вместо механизм. Но не буду пугать основную часть нашей аудитории — пенсерменов «заумными» словами. И далее не пугайтесь, всё разъясню. Итак, как же, например, товарищ Иванов передаёт Налоговой через интернет подписанные документы? Да ещё чтоб их никто не смог прочитать и подменить. Научным языком примерно так:

Вначале Иванов и Налоговая генерируют открытые и закрытые ключи шифрования. Затем обмениваются открытыми между собой. На следующем этапе:

1. Иванов шифрует «послание» своим закрытым ключом и как результат происходит его подписывание.
2. Далее Иванов шифрует открытым ключом, который перед этим ему отправила Налоговая то, что получилось после выполнения пункта 1. Теперь никто посторонний не сможет ничего прочитать, если даже перехватит.
3. После того как Налоговая получила «послание» Иванова, она сначала  расшифровывает его своим закрытым ключом и видит там  зашифрованный документ Иванова.
4. Тут-то «Налоговая» расшифровывает его с помощью открытого ключа переданного ей Ивановым в самом начале. В результате чего происходит сверка подписи Иванова.

А на «рабоче-крестьянском» языке «явок и паролей» это будет приблизительно похоже на такое мероприятие:

Сначала Иванов готовит чемодан с запасным ключом и бумагу с собственноручно подписанными реквизитами, а Налоговая шкатулку тоже с запасным ключом.  Идут на почту и отправляют друг другу посылки. Иванов укладывает в бандероль ключик от чемодана, а в ценное письмо бумагу со своими реквизитами и отправляет по отдельности. Налоговая — шкатулку посылкой и бандероль с одним ключиком тоже отдельно.

Иванов, получив посылку и бандероль прячет, например, свою подписанный документ в шкатулку и закрывает её ключом из полученной бандероли. Укладывает эту секретную шкатулку в свой чемодан и тоже закрывает уже на свой ключ. А потом посылкой отправляет эту «матрёшку» в Налоговую. Ключи от шкатулки и чемодана оставляет у себя.

Налоговая получает посылку и бандероль. Все ключики у неё уже имеются и если они подходят, она открывает ими и чемодан и шкатулку. Смотрит и сверяет подпись и реквизиты, указанные в документе с теми , что пришли ценной бандеролью ранее. Если всё совпадает и никаких исправлений и подозрений нет, то принимает их в работу.

Эту «белеберду» я написал для того, чтобы было понятно — усиленная электронная подпись это очень серьёзная штука с высочайшем уровнем защиты. И тот пароль, который Вы вводите для отправки электронного документа, это не просто пароль, как например для входа в «Одноклассники», а можно сказать, очень сложный механизм для запуска всех этих процессов шифрования, обмена данными, дешифрования, сверки данных.

Я уже не буду вдаваться в подробности о терминах. Например, что значит сертификат ключа проверки электронной подписи. Почему так, а не просто подпись. Хватит, и так столько ахинеи нанёс, что у самого голова пухнет. Ближе к теме.

Оформить электронную подпись можно через «личный кабинет налогоплательщика – физического лица» | фнс россии | 10 республика карелия

Оформление в удостоверяющем центре

ИП и организации могут использовать только квалифицированную ЭЦП на портале налоговой службы. Получить такую подпись можно в удостоверяющем центре, аккредитованным Минкомсвязи России, и соответствующем требованиям Федерального закона от 06.04.2021 N 63-ФЗ.

Следует собрать пакет документов, обратиться в выбранное учреждение и заказать ЭЦП. С квалифицированной подписью можно работать на электронных торговых площадках, осуществлять передачу финансовой отчётности и заверять запросы через налоговую службу.

После получения документов специалисты удостоверяющего центра оформляют ЭЦП для налоговой и сообщают заявителю о готовности в течение 24 часов. После приобретения понадобится установка сертификата подписи на компьютер.

Пароль к сертификату электронной подписи

В прошлой статье мы разбирались с декларацией 3-НДФЛ и перед отправкой документов в личном кабинете налогоплательщика вводили пароль к сертификату электронной подписи,или выражаясь простым языком подписывали наши «толмуты» электронной подписью.

Отчёты по ИП и ООО можно сделать бесплатно здесь.

Как-то я упустил из виду, что не все знают что это такое. Тема полезная как для помощи при создании электронной подписи в своём личном кабинете налогоплательщика так и для общего образования. Учитывая, что многие мои читатели пенсионеры — люди преклонного возраста и недостаточно уверенные в общении с компьютером, «разложу всё по полочкам».

Прежде всего, давайте разберёмся для чего нужна электронная подпись и что за пароль от сертификата. Здесь всё просто, как и простая подпись из под ручки, она нужна для придания какому-либо документу юридической силы. Но простую-то можно сверить с той, что в паспорте и на худой конец провести графологическую экспертизу её подлинности. А как же сверить и проверить электронную? Здесь всё гораздо сложнее. Но сначала о видах и типах.

Содержание

Создание ключа и сертификата для клиента

Точно также начнем с формирования запроса на сертификат:

./easyrsa gen-req ivanov_ivan nopass

где ivanov_ivan – имя клиента, а nopass предписывает создать закрытый ключ без пароля. Мы рекомендуем давать клиентам осмысленные имена, чтобы потом не пришлось долго гадать, кто именно скрывается под псевдонимом типа client123.

На основании запроса выпустим сертификат:

./easyrsa sign-req client ivanov_ivan

В данном случае используется опция client для указания формирования клиентского сертификата, вам также потребуется явно подтвердить действие и указать пароль от закрытого ключа CA.

Для передачи на клиент вам потребуется скопировать в доступную пользователю директорию закрытый ключ, сертификат клиента и сертификат CA. В нашем случае файлы будут скопированы в домашнюю директорию пользователя andrey.

cp pki/ca.crt pki/private/ivanov_ivan.key pki/issued/ivanov_ivan.crt /home/andrey

Затем изменим их владельца, чтобы файлы можно было скопировать, подключившись к системе с правами пользователя:

chown andrey:andrey ca.crt ivanov_ivan.key ivanov_ivan.crt

Закрытый ключ пользователя также является секретным и следует исключить его передачу по открытым каналам.

Создание ключа и сертификата для сервера

В Easy-RSA 3 все “по-взрослому”, сначала нам нужно создать запрос на сертификат:

./easyrsa gen-req ovpn-server nopass

где ovpn-server – имя вашего сервера, nopass означает, что закрытый ключ следует создать без пароля. При выполнении данной команды будет создан запрос на сертификат и сгенерирован закрытый ключ сервера ovpn-server.key, который будет располагаться в pki/private.

Для выпуска сертификата выполните:

./easyrsa sign-req server ovpn-server

Опция server обозначает выпуск сертификата для сервера. Для подтверждения выпуска вам нужно будет явно выразить свое согласие указав yes в ответ на соответствующий запрос, любый иные действия приведут к отмене действия. Затем потребуется ввести пароль закрытого ключа центра сертификации.

Выпущенные сертификаты будут располагаться в pki/issued.

Теперь скопируем необходимые сертификаты и ключи в конфигурационную директорию OpenVPN, предварительно создав там папку keys:

mkdir /etc/openvpn/keys
cp pki/ca.crt pki/dh.pem /etc/openvpn/keys
cp pki/private/ovpn-server.key pki/issued/ovpn-server.crt /etc/openvpn/keys

Дальнейшая настройка OpenVPN-сервера ничем не отличается от описанной нами ранее, и вы можете воспользоваться любой нашей инструкцией, смотрите блок Дополнительные материалы внизу статьи.

Способы восстановления пин-кода токена

Восстановить забытый ПИН невозможно, равно как и обычный пароль электронной подписи. Но есть способы подобрать необходимую комбинацию для токена.

В первую очередь попробуйте ввести заводской ПИН-код ЭПЦ, по умолчанию для Рутокена — это 12345678. Если система выдает ошибку, это значит, что ПИН-код заменили при записи сертификата ключа ЭП.

Если с заводской комбинацией не получилось, есть другой вариант — подбор ПИН-кода через администрирование. Предлагаем инструкцию, как узнать пароль от сертификата ЭПЦ через права администратора:

Шаг 1. Нам понадобится панель управления носителем-токеном. Находим раздел «Администрирование».

Шаг 2. Выбираем блок «Администратор». Вводим заводской ПИН-код для администратора: 87654321 (пример для Рутокенов).

Шаг 3. Если код не подходит (сменили при установке), пытаемся подобрать значение. Количество попыток ограничено: их всего 10. После 10-й попытки — автоматическая блокировка.

Шаг 4. Проводим разблокировку: раздел «Администрирование», затем действие «Разблокировать».

Шаг 5. По аналогии пробуем сбросить количество попыток ввода через КриптоПро. Открываем в папке КриптоПро файл «Оборудование» и настраиваем типы носителей.

Шаг 6. Выбираем необходимый токен, изучаем свойства (нажать правой кнопкой мыши) и открываем «Информацию». Теперь разблокируем код.

Шаг 7. Сбрасываем. Опять пробуем подобрать комбинацию.

Но если вы все же не вспомните и не подберете ПИН-код, не теряйте время и сразу же обращайтесь в ТОФК или удостоверяющий центр за новым ключом. Отзовите действующую электронную подпись и заполните заявку на новый сертификат. Не покупайте новый носитель: достаточно отформатировать старый и записать ключ на него. Поменяйте кодировку при установке. Новый код сохраните в защищенном, но доступном для вас месте.

Способы защиты от указания слабого pin-кода

Все виды паролей делят на 3 группы: надежные, средние и слабые. Для предотвращения использования последних и повышения общей безопасности достаточно настроить индивидуальную политику для задания PIN-кодов, которая будет действовать при их смене. Для этого в ЭЦП Рутокен есть несколько ключей инсталляторов (отдельно они будут рассмотрены чуть ниже):

DEFPIN (параметр, установленный в рамках базовых настроек, – NO) задает политику по выводу специального сообщения при сохранении установленного ранее по умолчанию ПИН с предложением его изменить.

PINENCODING (параметр, установленный в рамках базовых настроек, – ANSI) определяет политику в использовании любых символов кодировки UTF-8. Если значение установлено на значении UTF-8, то будет разрешено устанавливать PIN-код, где есть символы в этой кодировке (это доступно исключительно для ЭЦП Рутокен). Если будет установлено значение ANSI, то использовать символы кодировки UTF-8 запрещено.

PPACCEPTBLEBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность применения PIN-кода со «слабой» надежностью. При установлении параметра на уровне 0 это допускается, а на уровне два подобное запрещено. При значении 1 появляется предупреждающее окно, что требует дополнительного подтверждения для использования слабого по уровню защиты пароля.

PPACCEPTABLEPINBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования пароля со «средним» уровнем безопасности. При значении 0 это допускается, а если значение 1, то будет выведено соответствующее сообщение с предупреждением.

PPONLYNUBERALS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в пароле только цифр. Если значение 0, то это допустимо, а если 1, то запрещено.

PPONLYLETERS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в новом пароле для доступа исключительно букв. Если значение 0, то это допустимо, а если 1, то запрещено.

PPONESYMBOLPIN (параметр, установленный в рамках базовых настроек, – 0) политика определяет возможность указания PIN-кода, включающего только один повторяющийся символ. При установлении параметра в значение 0 это допустимо, а если 1, то запрещено.

PPCURRENTPIN (параметр, установленный в рамках базовых настроек, – 0) политика предусматривает возможность установки PIN-кода, который полностью совпадает с прежним. При значении 0 это допустимо, а если 1, то запрещено.

PPDEFAULTPIN (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования PIN-кода по умолчанию. При значении 0 это разрешено, а если 1, то запрещено.

DEFPIN (параметр, установленный в рамках базовых настроек, – NO) определяет вывод сообщения при применении заводского пароля. Если выбрано положение YES, то после ввода будет появляться на экране каждый раз окно с предупреждением: «Вы используете PIN-код по умолчанию для этого токена. Хотите его сейчас поменять?» Если выбрано положение NO, то окно не выводится.

PPMINPINLENGTH (параметр, установленный в рамках базовых настроек, – 1) определяет минимальное значение PIN-кода в символах и может составлять от 1 до 16.

PPBADPINBORDER (параметр, установленный в рамках базовых настроек, – 0) определяет границу, которая отделят «средние» пароли от «слабых». Может составлять от 0 до 100.

(параметр, установленный в рамках базовых настроек, – 100) политика определяет границу, которая отделяет «надежные» PIN-коды от «средних». Значение это обязательно должно оставаться выше PPBADPINBORDER.

PPPINLENGHTWEIGHT (параметр, установленный в рамках базовых настроек, – 73) значение определяет суммарное значение длины пароля в общей оценки его сложности. Может составлять от 0 до 100.

Стандартный пароль эцп – где его взять?

При работе с Электронной подписью, будь то подписание заявки, копирование подписи или другое действие связанное с использование сертификата Электронной подписи, у пользователя запрашивается пин-код (пароль) от подписи. Владельцу Электронной подписи требуется ввести стандартный пароль ЭЦП. Окно с запросом ввести пин-код отображается в течении 10 минут, после чего, если не был введён пин-код окно закрывается. 

На каждый носитель для электронной подписи, будь то Etoken (Jacarta) или RuToken устанавливается пароль по умолчанию. Также пароль могут называть “пин-кодом”. Когда пользователь совершает какое либо действие с электронной подписью (авторизация на площадке по ЭП или подписание заявки) – происходит обращение к ЭЦП и у пользователя запрашивает пин-код (пароль).

Установка easy-rsa и создание центра сертификации

Для установки Easy-RSA 3 выполним:

apt install easy-rsa

После чего убедимся, что установлена именно третья версия утилиты:

dpkg -l easy-rsa

Обычно затем директорию с easy-rsa копируют в конфигурационную папку OpenVPN, но на наш взгляд CA лучше располагать отдельно, поэтому мы скопируем директорию просто в /etc, однако это ни не что не влияет, и вы можете поступить по своему разумению.

cp -r /usr/share/easy-rsa /etc

Затем изменим рабочую директорию на скопированную нами папку:

cd /etc/easy-rsa

Если вас устраивают параметры по умолчанию, то следующий шаг можно пропустить и сразу перейти к созданию инфраструктуры PKI. Однако мы советуем потратить немного времени на тонкую настройку вашего CA.

Прежде всего скопируем шаблон файла настроек:

cp vars.example vars 

и откроем файл vars на редактирование. Строки вида #set_var содержат значения по умолчанию, для их именения строку нужно раскомментировать и указать собственное значение. Начнем с опции EASYRSA_DN, она предусматривает два режима: упрощенный cn_only, при котором сертификат содержит только CN (имя того, кому выдан сертификат) и традиционный org, при котором заполняются все реквизиты организации. Для OpenVPN можно использовать любой режим. Мы установим традиционный:

set_var EASYRSA_DN  "org"

После чего раскомментируйте и заполните блок ниже своими данными (в примере указаны наши):

Шаг первый. размашисто подписываем файл

Сертификат есть, теперь нужно узнать его отпечаток. Просто откроем его в оснастке «Сертификаты» и скопируем на вкладке «Состав».

Нужный нам отпечаток.

Лучше сразу его привести к должному виду — только большие буквы и без пробелов, если они есть. Это удобно сделать в консоли PowerShell командой:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Получив отпечаток в нужном формате, можно смело подписывать файл rdp:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Где .contoso.rdp — абсолютный или относительный путь к нашему файлу.

После того как файл подписан, уже не получится изменить часть параметров через графический интерфейс вроде имени сервера (действительно, иначе смысл подписывать?) А если поменять настройки текстовым редактором, то подпись «слетает».

Теперь при двойном клике по ярлыку сообщение будет другим:

Новое сообщение. Цвет менее опасный, уже прогресс.

Избавимся же и от него.

Списки отзыва и отзыв сертификатов

Если вы используете OpenVPN для организации связи между офисами или доступа в интернет, то вряд ли у вас возникнет потребность в отзыве сертификата. Другое дело, если вы предоставляете удаленный доступ к корпоративной сети с домашних ПК сотрудников, подрядчикам или аутсорсерам.

Прежде всего создадим список отозванных сертификатов (CRL):

./easyrsa gen-crl

Затем создадим символьную ссылку на список в директории с ключами OpenVPN:

ln -s /etc/easy-rsa/pki/crl.pem /etc/openvpn/keys/

И внесем в конфигурационный файл сервера OpenVPN следующую строку:

crl-verify keys/crl.pem

После чего сервер OpenVPN потребуется перезапустить.

Теперь отзовем какой-либо сертификат:

./easyrsa revoke horns_and_hooves

Где horns_and_hooves – имя сертификата клиента (СN), после отзыва следует повторно опубликовать список отозванных сертификатов:

./easyrsa gen-crl

Посмотреть список сертификатов можно командой:

cat pki/index.txt

Действующие сертификаты имеют статус V в начале строки, отозванные – R.

Как видим, работа с Easy-RSA 3 не представляет каких-либо сложностей и надеемся, что данная статья будет вам полезна.