Перенос сертификатов КриптоПРО на другой компьютер, за минуту

криптопроДобрый день! Уважаемые читатели и гости крупнейшего IP блога России pyatilistnik.org. В прошлый раз я вам рассказал, о том, как установить сертификат в реестр Windows . Сегодня я вам расскажу, каким образом вы можете выполнить перенос сертификата на другой компьютер, это очень частая и жизненная ситуация с которой сталкиваются многие системные администраторы. Захотелось с вами поделиться опытом, о массовом переносе контейнеров с закрытыми ключами, находящимися в области реестра Windows. Использовать мы будем как КриптоПРО, так и встроенные механизмы. Уверен будет интересно.

Когда нужно переносить сертификаты в другое место?

И так давайте рассмотрим по каким причинам у вас может появиться необходимость в копировании ваших ЭЦП в другое место.

  1. На текущем физическом компьютере начинает умирать жесткий диск или SSD накопитель (Как проверить жизненные показатели жесткого диска), очень частая история и жизненная, когда люди теряли все свои данные, из-за банальной жадности в покупке нового оборудования и элементарного незнания принципов резервного копирования.
  2. У вас производится модернизация оборудования, его улучшение и вам нужно перенести все сертификаты с закрытыми ключами на другую систему
  3. Вы создали отдельный сервер, в виде виртуальной машины, где будут находится все ваши сертификаты и с ними смогут работать все необходимые сотрудники, терминал для бухгалтерии. Простой пример СБИС, и когда у вас 10-20 организаций.

Как видите предпосылок и вариантов переноса сертификатов из реестра на другой компьютер, предостаточно.

Какие есть варианты по копированию контейнеров закрытых ключей?

Перенос сертификатов в виде пошаговой инструкции

Первые два пункта я описывать тут не стану, так как я уже это подробно рассказывал, посмотрите по ссылкам. Я расскажу, об остальных методах и начнем мы с классического КриптоПРО.

Данный метод подойдет для тех ситуаций, когда у вас один или 2 сертификата (ЭЦП). Если же их несколько десятков, а это не такая уж и редкость, то такой путь вам не подходит, и там придется выбирать 4-й метод.

Важное замечание. Я буду переносить контейнеры закрытого ключа, которые хранятся в реестре. Если вы храните их только на токене, то переносить контейнеры вам не надо, только сертификаты

Копирование закрытого ключа из КриптоПро

Это самый простой способ, и будет актуальным при небольшом количестве контейнеров с закрытыми ключами. Чтобы выполнить перенос сертификатов из реестра, откройте ваш КриптоПРО, вкладка "Сервис", нажимаем кнопку "Сервис", далее через кнопку "Обзор", откройте "Выбор ключевого контейнера" и укажите, какой сертификат вы будите переносить. В моем примере это контейнер "Копия сертификата в реестре (Семин Иван)".

перенос сертификатов из реестра-01

Нажимаем "Далее", вас попросят задать новое имя контейнера с закрытым ключом, введите понятное для себя, для удобства.

перенос сертификатов из реестра-02

У вас откроется окно с выбором носителей, вы можете выбрать либо токен, либо флешку для переноса на другое место. У меня это внешний жесткий диск Z:\.

перенос сертификатов из реестра-03

Задаем обязательно пароль, с точки зрения безопасности, так как файлы в таком виде просто скомпрометировать.

перенос сертификатов из реестра-04

Все, на выходе я получил папку со случайным названием и набором ключей в формате key.

перенос сертификатов из реестра-05

Если вы пытаетесь копировать сертификат с токена, то в ряде случаев у вас может появиться ошибка: Ошибка копирования контейнера. У вас нет разрешений на экспорт ключа, потому что при создании ключа не был установлен соответствующий флаг. Ошибка 0x8009000B (-2146893813) Ключ не может быть использован в указанном состоянии.

Ошибка копирования контейнера

Связана такая ситуация, что в целях псевдобезопасности, удостоверяющие центры выпускают закрытые ключи без возможности экспорта, и таким образом увеличивают свою прибыль, так как в случае утери или поломки токена, вам придется его перевыпускать, а так как экспорт запрещен, то бэкапа вы сделать не сможете.

Если вы получили ошибку копирования контейнера. У вас нет разрешений на экспорт ключа, то метод с КРиптоПРО вам не поможет

Перенос сертификатов из реестра без КриптоПРО

Существуют методы экспортировать закрытый ключ и без изспользования утилиты КриптоПРО. Представим себе ситуацию, что у вас на него кончилась лицензия и вы не успели ее купить. Вам нужно сдать отчетность в СБИС. Вы развернули CryptoPRO на другом компьютере, так как он позволяет 3 месяца бесплатного использования, осталось для СБИС выполнить перенос сертификатов, которые у вас в реестре Windows.

У нас два варианта:

  • Использование оснастки mmc-Сертификаты пользователя.
  • Использование Internet Explore

Как открыть оснастку сертификаты я уже подробно рассказывал, посмотрите. Откройте там контейнер "Личное - Сертификаты". Если у вас в контейнере не один сертификат с одинаковым именем, такое может быть, то откройте сертификат в оснастке mmc и в КриптоПРО и сравните серийные номера сертификата.

перенос сертификатов-01

В Internet Explore, откройте "Свойства браузера - Содержание - Сертификаты"

Экспорт сертификата из реестра Windows

Теперь нам необходимо его экспортировать, в оснастке "Сертификаты", через правый клик, это можно сделать, в Internet Explorer, сразу видно кнопку, экспорт.

Экспорт закрытого контейнера из реестра

У вас откроется мастер переноса сертификатов, на первом шаге, просто нажимаем далее. После чего вас спросят, что вы хотите экспортировать, выбираем пункт "да, экспортировать закрытый ключ вместе с сертификатом"

перенос сертификатов

Если ваш закрытый ключ запрещено экспортировать, то эта кнопка будет не активна, и можете сразу закрывать данный метод и переходить к следующему.

сбис перенос сертификата

Следующим этапом в мастере экспорта сертификатов, вам необходимо выбрать формат выгрузки, это будет PFX архив.

контур перенос сертификатов

Далее вы задаете обязательно пароль и указываете имя и место, где будите сохранять ваш переносимый контейнер с зарытым ключом в формате pfx.

сбис перенос сертификата-2

 

Мастер экспорта сертификатов, выведет вам сводные данные, нажимаем "Готово".

перенос сертификата на рутокен-01

Отрываем локацию, куда вы его выгрузили, и найдите свой pfx архив.

перенос сертификата на рутокен-02

Теперь вам нужно еще выгрузить открытый ключ в формате cer, для этого так же зайдите в мастер экспорта, но на этот раз выберите "Нет, не экспортировать закрытый ключ".

перенос сертификата на рутокен-03

Выберите формат файла "X.509 (.CER) в кодировке DEP", задайте ему имя и место сохранения. На выходе у вас появятся два файла.

перенос сертификата на рутокен-04

Одни открытый ключ в формате cer и закрытый ключ в формате pfx. Этого набора вам будет достаточно, чтобы перенести сертификаты СБИС, Контура и остальных программ на другой компьютер.

перенос сертификата на рутокен-05

Теперь перенесите эти файлы на другое рабочее место и просто запустите, через простой двойной клик. У вас откроется мастер импорта сертификатов, на первом окне выберите нужное вам хранилище, я в своем примере оставлю "Текущий пользователь".

Установка перенесенного сертификата-01

На втором шаге проверяем импортируемый сертификат.

Установка перенесенного сертификата-02

Указываем пароль, который задавали при выгрузке.

Установка перенесенного сертификата-03

Оставляем автоматический выбор хранилища на основе типа сертификатов.

Установка перенесенного сертификата-04

Готово. Со вторым файлом то же самое. После чего у вас будут перенесены нужные вам ключи и сам сертификат, можно работать.

Установка перенесенного сертификата-05
Массовый перенос ключей и сертификатов CryptoPro на другой компьютер

Выше описанные методы хороши, когда у вас один или 5 ключиков в реестре, а как быть если их десятки. Помню лет 5 назад, когда я еще был младшим администратором, то я очень часто устанавливал электронные цифровые подписи главбуху, так как она работала в СБИС++ и сдавала там постоянно отчетность по огромному количеству организаций, по типу рога и копыта. Держать кучу токенов было не вариант, и для таких вещей у нее все хранилось в реестре и копия сертификатов была на флешке в сейфе. Флешку потом потеряли, встал вопрос сделать резервную копию всего и плюс обновить систему, в виду нового компьютера, на операционной системе Windows 8.1. ЭЦП было штук 50, а так как я ценю свое время, то и искал методы, выполнить это быстрее, к счастью я его нашел.

Заключался метод переноса сертификатов из реестра, в выгрузке веток и подмене SID значения, но обо всем по порядку. О том, как посмотреть SID пользователя и что это такое я рассказывал.

Открываете командную строку cmd и вводите команду:

whoami /USER

криптопро перенос сертификатов-01

Вот это S-1-5-21-551888299-3078463796-888888888-46162 и есть SID, вашей учетной записи. Теперь когда вы его знаете, то вам нужно выгрузить ваши закрытые ключи из реестра Windows. Для этого откройте вот такую ветку:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users\Номер вашего SID, который мы узнали\Keys

криптопро перенос сертификатов-02

В контейнере Keys, вы найдете все ваши закрытые ключи от ЭЦП. С правой стороны вы увидите файлы:
* header.key
* masks.key
* masks2.key
* name.key
* primary.key
* primary2.key

Щелкаем правым кликом по контейнеру Keys и экспортируем его.

криптопро перенос сертификатов-03

Сохраняем нашу ветку реестра с контейнерами закрытых ключей. Далее нам нужно скопировать открытые ключи, которые лежат по пути:

C:\Users\имя вашего пользователя\AppData\Roaming\Microsoft\SystemCertificates\My

Не забывайте только подставить своего пользователя, эта папка может быть скрытой, поэтому включите скрытые папки и файлы в вашей ОС. Все содержимое этой папки вам нужно перенести на другой компьютер, только уже в папку другого, нужного пользователя.

перенос сертификатов-05

Как только вы поместили на новом компьютере папку Key, вы можете перенести реестровую выгрузку. Сохраненный файл в формате reg, вы должны открыть в любом текстовом редакторе.

перенос сертификатов-01

Как я показывал выше, определите SID нового пользователя, скопируйте его полностью и замените им значение в файле reg, я отметил это стрелками.

SID начинается с S-1 и так далее

перенос сертификатов-02

Все сохраняйте файл и запускайте его, у вас будет начат перенос сертификатов (закрытых ключей), подтверждаем действие.

перенос сертификатов-03

Как видите импорт успешно завершен. Все теперь ваши закрытые и открытые ключи на месте и вы можете работать с вашими ЭЦП, и можно считать, что перенос сертификатов с одного компьютера на другой в массовом масштабе, осуществлен успешно. Если остались вопросы, то жду их в комментариях.

перенос сертификатов-04

Автор - Сёмин Иван

22 Responses to Перенос сертификатов КриптоПРО на другой компьютер, за минуту

  1. Василий:

    [QUOTE]Связана такая ситуация, что в целях псевдобезопасности, удостоверяющие центры выпускают закрытые ключи без возможности экспорта…[/QUOTE]
    И никакая это не превдобезопасность, смотрите на проблему шире. Какого вам будет если упрут вашу УКЭП и от имени организации или конкретного владельца ключа начнут подписывать юридически значимые документы?
    Вы же сами писали
    [QUOTE]Флешку потом потеряли,…[/QUOTE]

  2. Иван Семин:

    Так я и написал, это не безопасно, но было бы честнее, если бы удостоверяющие центры, все же перевыпускали сертификаты при утере или поломке носителя, если у них срок не прошел, бесплатно,

  3. Васян:

    А подскажите пожалуйста, когда я делаю то что описано в этой статье, почему-то пингвин со знаком Windows XP не появляется!
    Что я делаю не так?!

  4. Иван Семин:

    добрый день! На каком шаге у вас загвоздка?

  5. Виктор:

    Добрый день.
    После экспорта и после переноса на другой ПК пишет о том, что повреждён контейнер

  6. Виктор:

    На другом ПК пишет о том, что поврежден контейнер.

  7. Иван Семин:

    Тут может быть ряд причин, ошибки на флешке, разные версии ОС, криптоПРО. Пробовали повторно выполнить экспорт и импорт?

  8. Палыч:

    Подскажите, закрытые ключи хранятся в едином реестре, а открытые у каждого юзера свои получается?

  9. Михаил:

    А наоборот — скопировать ключ с защищенного сертифицированного носителя (USB-токена), если он неэкспортируемый, в реестр можно? Есть ли какой-то способ?

  10. Иван Семин:

    Мало вероятно, в противном случае, это была бы огромная дыра в безопасности ЭЦП, но уверен, что у соответствующих органов и служб есть такие механизмы.

  11. Олег:

    «Все, на выходе я получил папку со случайным названием и набором ключей в формате key.»

    — а дальше что? как это импортировать на другую машину?

  12. Иван Семин:

    Обычная установка через крипто про через контейнеры

  13. Саша:

    Полезная статья, так переносил сертификаты при миграции одной машины между доменами. Вопрос, который меня мучает, связанный с «псевдобезопасностью» — к нам намыливается проверка ФСБ, по персоналке. В общем — есть несколько машин, на которых в реестре .\\REGISTRY в КриптоПро стоит 1 ключ под которым сидят люди, собственно сам вопрос — как удаленно удалить этот ключ на всех машинах (желательно и контейнер и ключ)? Какие вообще есть варианты? Я склоняюсь к удаленному реестру через HKLM

  14. Алекс:

    подскажите, как через реестр скопировать ключи на сервер? точнее скопировали все, устанавливаем через КП, но оно не видит их, пока не запустишь от админа. но мы пользователям не может давать админов на сервере

  15. Иван Семин:

    такое не встречал, попробую у себя такое проделать

  16. Дмитрий:

    Олег: 13.02.2020 в 00:57
    «Все, на выходе я получил папку со случайным названием и набором ключей в формате key.»
    — а дальше что? как это импортировать на другую машину?
    Иван Семин: 13.02.2020 в 01:07
    Обычная установка через крипто про через контейнеры
    —————————————————
    Иван Семин, а Вы сами пробовали импортировать на другом компьютере? Можете подробнее написать, какие контейнеры?

  17. Дмитрий:

    А как быть, если упираюсь в такую ошибку?
    не удается открыть s-1-5-21… не удается открыть этот раздел СВедения: отказано в доступе

  18. Вячеслав:

    Как быть если в реестре нет ветки Keys?
    ОС Windows 10 x64

  19. Иван Семин:

    воспользоваться поиском по реестру и посмотреть, вероятную другую ветку

  20. Алёна:

    Огромное спасибо автору! получилось экспортом из реестра перенести конкретный сертификат (тестовый) и ключи

  21. Иван Семин:

    Рад, что смог вам помочь.

  22. Николай:

    Добрый день . Делаю слияние реестра появляется ветка Keys но она пустая в ней нет закрытых ключей. почему? Делаю экспорт на компьютере с ключами ветки кейс там они есть рег файл весит 3,5 мб. но после слияния на другом компе ветка кейс пустая.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *