Vipnet csp перенос ключей на другой компьютер

Обновлено: 07.07.2024

Криптопровайдер КриптоПро на сегодняшний день является, пожалуй, самым популярным на рынке, по крайней мере в России. Я хочу рассказать, как быстро и удобно перенести большое количество контейнеров закрытых ключей CryptoPro и сертификатов к ним. Существует штатный механизм в самой программе, работает в ручном режиме и не подходит, когда надо перенести большое количество.

Если у вас есть желание научиться строить и поддерживать высокодоступные и надежные системы, рекомендую познакомиться с онлайн-курсом «DevOps практики и инструменты» в OTUS. Курс не для новичков, для поступления нужно пройти .

Введение

Мне постоянно приходится иметь дело с сертификатами, токенами, закрытыми ключами, криптопровайдерами и прочим. Сейчас все завязано на это - банкинг, сдача отчетности в разные гос органы, обращения опять же в эти органы, в том числе и физ лиц. В общем, с этой темой рано или поздно придется познакомиться многим. Для того, чтобы перенести все это хозяйство с одного компьютера на другой, иногда приходится прилично повозиться, особенно тем, кто не в теме. Перенести закрытые ключи и сертификаты КриптоПро на другой компьютер можно двумя способами:

Перенести или скопировать контейнер закрытого ключа через стандартную оснастку CryptoPro в панели управления. Это самый простой и быстрый способ, если у вас не много сертификатов и ключей. Если же их несколько десятков, а это не такая уж и редкость, то такой путь вам не подходит.
Скопировать сертификаты и ключи непосредственно через перенос самих исходных файлов и данных, где все это хранится. Объем работы одинаков и для 5 и для 50-ти сертификатов, но требуется больше усилий и знаний.

Я опишу оба этих способа, но подробно остановлюсь именно на втором способе. В некоторых ситуациях он является единственно возможным.

Важное замечание. Я буду переносить контейнеры закрытого ключа, которые хранятся в реестре. Если вы храните их только на токене, то переносить контейнеры вам не надо, только сертификаты.

Копирование закрытого ключа через оснастку КриптоПро

Для того, чтобы скопировать контейнер для хранения закрытого ключа сертификата штатным средством, необходимо в Панели управления открыть оснастку CryptoPro, перейти в раздел Сервис и нажать Скопировать.

Далее вы выбираете текущий контейнер, который хотите скопировать. Это может быть либо токен, либо реестр компьютера. Затем новое имя и новое расположение контейнера. Опять же, это может быть как реестр, так и другой токен.

Ошибка копирования контейнера

Но тут есть важный нюанс. Если во время создания закрытого ключа он не был помечен как экспортируемый, скопировать его не получится. У вас будет ошибка:

Ошибка копирования контейнера. У вас нет разрешений на экспорт ключа, потому что при создании ключа не был установлен соответствующий флаг. Ошибка 0x8009000B (-2146893813) Ключ не может быть использован в указанном состоянии. Либо вы просто не сможете его выбрать для копирования, если у вас последняя версия CryptoPro. Он будет неактивен:

Если получили такую ошибку, то для вас этот способ переноса не подходит. Можно сразу переходить к следующему. Отдельно расскажу, как скопировать сертификат и закрытый ключ к нему в файл, чтобы перенести на другой компьютер без использования токена. Делаем это там же на вкладке Сервис в оснастке CryptoPro. Нажимаем Посмотреть сертификаты в контейнере.

Выбираем необходимый сертификат и нажимаем Посмотреть свойства сертификата.

Далее переходим на вкладку Состав в информации о сертификате и нажимаем Копировать в файл.

Если у вас после слов "Экспортировать закрытый ключ вместе с сертификатом" нет возможности выбрать ответ "Да, экспортировать закрытый ключ", значит он не помечен как экспортируемый и перенести его таким способом не получится. Можно сразу переходить к другому способу, который описан ниже.

Если же такая возможность есть, то выбирайте именно этот пункт и жмите Далее. В следующем меню ставьте все галочки, кроме удаления. Так вам будет удобнее и проще в будущем, если вдруг опять понадобится копировать ключи уже из нового места.

Укажите какой-нибудь пароль и запомните его! Без пароля продолжить нельзя. В завершении укажите имя файла, куда вы хотите сохранить закрытый ключ. Теперь вам нужно скопировать сам сертификат. Только что мы копировали закрытый ключ для него. Не путайте эти понятия, это разные вещи. Опять выбираете этот же сертификат в списке из оснастки Crypto Pro, жмёте Копировать в файл, экспортировать БЕЗ закрытого ключа. И выбираете файл формата .CER.

Сохраните сертификат для удобства в ту же папку, куда сохранили закрытый ключ от него. В итоге у вас должны получиться 2 файла с расширениями:

Вам достаточно перенести эти 2 файла на другой компьютер и кликнуть по каждому 2 раза мышкой. Откроется мастер по установке сертификатов. Вам нужно будет выбрать все параметры по умолчанию и понажимать Далее. Сертификат и контейнер закрытого ключа к нему будут перенесены на другой компьютер. Я описал первый способ переноса в ручном режиме. Им можно воспользоваться, если у вас немного сертификатов и ключей. Если их много и руками по одному переносить долго, то переходим ко второму способу.

Массовый перенос ключей и сертификатов CryptoPro с компьютера на компьютер

В интернете достаточно легко находится способ переноса контейнеров закрытых ключей КриптоПро через копирование нужной ветки реестра, где это все хранится. Я воспользуюсь именно этим способом. А вот с массовым переносом самих сертификатов у меня возникли затруднения и я не сразу нашел рабочий способ. Расскажу о нем тоже. Для дальнейшей работы нам надо узнать SID текущего пользователя, у которого мы будем копировать или переносить сертификаты с ключами. Для этого в командной строке выполните команду:

В данном случай user - имя учетной записи, для которой узнаем SID. Далее скопируем контейнеры закрытых ключей в файл. Для этого на компьютере открываем редактор реестра (regedit.exe) и переходим в ветку:

где S-1-5-21-4126888996-1677807805-1843639151-1000 - SID пользователя, у которого копируем сертификаты. Выбираем папку Keys и экспортируем ее. Этот путь актуален для 64-х битных систем - Windows 7, 8, 10. В 32-х битных путь может быть немного другой. Я специально не проверял, но поиском по реестру вы при желании найдете его.

Сохраняем ветку реестра в файл. В ней хранятся закрытые ключи. Теперь нам нужно скопировать сразу все сертификаты. В Windows 7, 8 и 10 они живут в директории - C:\Users\user\AppData\Roaming\Microsoft\SystemCertificates\My. Сохраняйте эту директорию. Для переноса ключей и сертификатов нам надо скопировать на другой компьютер сохраненную ветку реестра и директорию с сертификатами My.

После того, как перенесли файлы со старого компьютера на новый, открываем файл с веткой реестра в текстовом редакторе и меняем там SID пользователя со старого компьютера на SID пользователя нового компьютера. Можно прям в блокноте это сделать поиском с заменой.

После этого запускаем .reg файл и вносим данные из файла в реестр. Теперь скопируйте папку My с сертификатами в то же место в профиле нового пользователя. На этом перенос сертификатов и контейнеров закрытых ключей КриптоПро завершен. Можно проверять работу. Я не раз пользовался этим методом, на текущий момент он 100% рабочий. Написал статью, чтобы помочь остальным, так как сам не видел в интернете подробной и понятной с первого раза статьи на эту тему. Надеюсь, моя таковой получилась.

КриптоПро CSP ошибка 0x80090010 Отказано в доступе

Иногда после переноса контейнеров закрытых ключей через экспорт - импорт ветки реестра с ключами можно увидеть ошибку доступа к контейнерам. Вроде бы все на месте, ключи есть в реестре. Их можно увидеть в останстке CryptoPro, но не получается прочитать. При попытке это сделать возникает ошибка:

Убедитесь так же, что новые права наследовались на дочерние ветки с самими ключами. Обычно это так, но перепроверить на всякий случай непомешает. После этого ошибка с доступом к контейнеру закрытого ключа исчезнет.

Часто задаваемые вопросы по теме статьи (FAQ)

Можно ли перенести сертификат, который находится на токене и защищен от копирования?

Очевидно, что предложенное в статье решение для этого не подойдет. Ведь тут идет речь о переносе сертификатов, которые хранятся в реестре, то есть уже были скопированы. Технические средства для копирования защищенных крипто контейнеров тоже существуют, но это не такое простое и очевидное решение.

Безопасно ли хранить сертификаты в реестре?

Это не безопасно и в общем случае я не рекомендую это делать. USB токены для хранения сертификатов придуманы не просто так. Они реально защищают сертификаты от несанкционированного копирования. Если у вас нет объективной необходимости копировать сертификаты в реестр, лучше этого не делать. Если вам нужно сделать бэкап сертификата на случай поломки токена, то просто скопируйте его в зашифрованный архив и сохраните на флешке.

Подойдет ли предложенный способ копирования сертификатов CryptoPro для VipNet?

Нет, не подойдет. В статье описан способ переноса сертификатов CryptoPro. Другие криптопровайдеры хранят сертификаты по-другому. Универсального способа для всех не существует.

Есть ли какой-то очень простой способ скопировать сертификаты crypto pro? То, что описано в статье слишком сложно для меня.

Да, есть статья на сайте контура, в ней ссылка на утилиту для копирования контейнеров Certfix. Можете воспользоваться ей.

Всё, описанное ниже, подходит для Vipnet Client как версии 3.2, так и версии 4.3. Принцип одинаковый.

В зависимости от причин переноса и требований к нему можно выбрать один из двух способов:

«Чистая» установка Vipnet на новый компьютер, с последующей загрузкой ключевого дистрибутива (*.dst), который использовался на старом компьютере;
Установка Vipnet на новый компьютер, с предварительным копированием файлов конфигурации и архива писем программы со старого компьютера.

Первый способ как перенести Vipnet Client на другой компьютер

Первый способ можно использовать если на узле нет сложных настроек, а письма, сохраненные в VipNet «Деловая почта», не важны и их не нужно хранить, или когда на узле вообще нет писем.

Как Вы поняли, этот способ подразумевает обычную установку VipNet Client на новом компьютере. Единственное, что Вам понадобится сделать, это подгрузить в программу ключевой дистрибутив (*.dst) сетевого узла, который использовался на старом ПК. Лучше всего попросить администратора сети VipNet сформировать и выдать Вам новый дистрибутив, но можно попробовать воспользоваться тем, который Вам выдали изначально, если он не устарел.

Если Вы не знаете, где Ваш дистрибутив (такое бывает), и администратор не спешит выслать Вам новый, то переходите ко второму способу.

Итак, первый способ перенести VipNet на другой компьютер:

Отключите старый компьютер от локальной сети или полностью выключите на нём Vipnet Client. Два одинаковых узла не могут одновременно находиться в одной виртуальной сети Vipnet;
Установите на новом компьютере Vipnet Client;
Установите в Vipnet Client ключевой дистрибутив узла? который использовался на старом компьютере;
Установите требуемые настройки VipNet Client;
Теперь, если всё работает, можно удалить Vipnet Client со старого ПК.

Второй способ как перенести Vipnet Client на другой компьютер

Второй способ перенести Vipnet Client подойдет, если Вам нужно перенести все настройки программы и письма со старого компьютера на новый. Он заключается в том, чтобы скопировать файлы конфигурации на новый компьютер и поверх них установить VipNet Client.

Тут всё просто. Нужно скопировать папку «%ProgramFiles%\InfoTeCS\ViPNet Client» в то же самое место на новом компьютере. А потом установить Vipnet Client той же, или более новой версии, в ту же самую папку.

Порядок установки, в таком случае, может выглядеть следующим образом:

На старом компьютере отключите полностью Vipnet Client;
Скопируйте файлы и папки из директории старого компьютера «C:\Program Files\InfoTeCS\ViPNet Client» на флешку;
Создайте на новом компьютере папку «C:\Program Files\InfoTeCS\ViPNet Client», скопируйте в неё файлы с флешки;
Начните установку Vipnet Client, укажите в качестве пути для установки программы папку «C:\Program Files\InfoTeCS\ViPNet Client».
Перезагрузите компьютер;
Убедитесь, что всё работает. Удалите VipNet со старого компьютера.

Нюансы

Необязательно копировать все файлы из папки «%ProgramFiles%\InfoTeCS\ViPNet Client», но так удобнее. На самом деле, достаточно скопировать только следующие файлы и папки:

Если , всё-таки, нужно установить VipNet Client на новом компьютере в другую папку, по другому пути:

В файле wmail.ini в качестве значений параметров MSDir и MSArchDir укажите путь к эти папкам;
В файле mftp.ini укажите путь к новой папке установки программы ViPNet Client в значениях всех параметров, где он встречается;
Удалите файл certlist.sst, находящийся в подпапке \d_station\abn_AAAA (где AAAA — шестнадцатеричный идентификатор пользователя);
Запустите программу ViPNet Монитор. В окне ввода пароля щелкните значок справа от
кнопки «Настройка» и выберите пункт «Папка ключей пользователя». Укажите путь к папке
ключей пользователя.

Бывает такое, что на логическом диске C:\ нового компьютера может не хватить места для больших архивов писем. Тогда Вы можете скопировать архивы писем на другой логический диск, а путь к ним указать вручную. Это можно сделать следующим образом:

В файле wmail.ini в качестве значения параметра MSArchDir укажите путь к хранилищу архивов писем;

АСИОУ - автоматизированная система информационного обеспечения управления образовательным процессом

Перенос випнета на другой компьютер Ruslan
Administrator

Перенос программы випнет на другой компьютер осуществить несложно.

Для начала необходимо к этой процедуре подготовиться:

1) сделать резервную копию настроек из программы VipNet Monitor: меню "Сервис", пункт "Экспорт настроек"

2) скопировать каталог с ключами: C:Program Files(x86)InfoTeCSViPNet Clientuser_AAAA или C:Program FilesInfoTeCSViPNet Clientuser_AAAA, где АААА - произвольный набор цифр

После этого необходимо компьютер с випнетом выключить или перезагрузить, поскольку при выходе из программы Vipnet Monitor связь не разрывается. при последующей загрузке появится, как обычно, окно ввода пароля випнет - нужно отказаться от ввода пароля и согласиться работать с отключенной защитой. В противном случае у вас окажется два компьютера с один ключем и это очень негативно скажется на всей работе. После установки и настройки випнета на другом компьютере с исходного его лучше удалить, чтобы не запустили случайно.

На новом компьютере устанавливается Vipnet Client как обычная программа, и каталог с ключами user_AAAA копируется на диск в место установки. После перезапуска компьютера запустится Vipnet Monitor и потребует провести инициализацию. Для этого ему надо указать путь к каталогу ключей пользователя: C:Program Files(x86)InfoTeCSViPNet Clientuser_AAAA или C:Program FilesInfoTeCSViPNet Clientuser_AAAA. Введите пароль и все - программа должна заработать.

Можно импортировать настройки (через программу VipNet Monitor: меню "Сервис", пункт "Импорт настроек").

Процедура переноса хорошо описана в «Vipnet Client Монитор 3.2. Руководство пользователя», раздел «Перенос абонентского пункта на другой компьютер», Можно выполнить все по инструкции, а можно просто установить программу и выполнить только пункты 7-9 из этой главы.

Если каталог установки был утерян (удалили, отформатировали диск, сломался диск и пр.) - для первичной инициализации нужен ключевой файл (*.dst). Надо обратиться в ОКЗ данной сети (для ресурсов типа СИР, РКИС, АИСДОУ, АСИОУ - это ГБУ "Электронный регион", для ЕГЭ - не знаю, но скорее всего випнет для ЕГЭ сейчас не поддерживается) за получением нового. Старый файл, который был оставлен в 2013-2014 годах использовать нельзя - работать не будет.

Наш менеджер уже увидел Ваше обращение и спешит помочь Вам как можно скорее!

В рабочее время (пн – пт с 9:00 до 18:00) наши менеджеры очень активны и общительны и с радостью ответят Вам в течение дня.

В остальное время – дожидайтесь ответа на следующий рабочий день.

А пока предлагаем вам:

Почитать отзывы наших клиентов;
Узнать о новинках для бизнеса в блоге;
Пообщаться с нашими клиентами в группе ВКонтакте и на Facebook.

Заказ обратного звонка

Заполните форму, специалист свяжется с вами в течение дня. Он ответит на все вопросы и оформит тестовый доступ, если это необходимо.

Для начала копирования электронной подписи необходимо открыть программу ViPNet CSP. Скорее всего, вы не найдете ярлык программы на рабочем столе.

Чтобы открыть программу, выполните следующие действия:

Нажав на кнопку «Пуск», просто начните вводить слово «vipnet» с помощью клавиатуры. Система сама поймет, что вы выполняете поиск приложения, и предложит вам выполнить запуск. Выберите приложение «ViPNet CSP» (см. рис. 2).

После выбора приложения может пройти несколько минут, и система выполнит запуск выбранной программы. После того как программа откроется, в левой части открывшегося окна перейдите на закладку «Контейнеры» (как правило, эта вкладка открывается по умолчанию, но, если этого не произошло, пожалуйста, выберите этот пункт).

Появится список электронных подписей, которые находятся на компьютере (см. рис. 3).

Рис. 3. Список электронных подписей, которые находятся на компьютере

Большинство электронных подписей подписываются наименованием и датой создания. Если на данном компьютере много различных подписей, вам необходимо найти подпись с актуальной датой и нужным наименованием организации или ИП.

После того как вы нашли нужную подпись, нажмите на неё, для того чтобы выделить её из всего списка. Затем нажмите на панели ниже кнопку «Копировать».

Для того чтобы продолжить, на данном этапе вам необходимо вставить в компьютер подготовленный защищенный носитель.

В открывшемся окне (после нажатия кнопки «Копировать») система предложит выбрать путь для сохранения копии электронной подписи. Нажмите на кнопку «Обзор» (см. рис. 4).

Рис. 4. Путь для сохранения электронной подписи

После нажатия кнопки «Обзор» откроется окно «Обзор папок» (см. рис. 5).

Вам необходимо выбрать носитель, как правило, он располагается в разделе «Компьютер» и может иметь название «Диск X» (где X – это буква латинского алфавита). Если вы затрудняетесь в выборе, попробуйте отдельно открыть «Компьютер» с ярлыка на рабочем столе и посмотреть букву, которая присвоена вашему носителю (см. рис. 6).

Рис. 6. Устройства и диски

После того как вы убедитесь в названии носителя, можете выбрать его и продолжить копирование.

В некоторых случаях система может запросить пароль к электронной подписи. Попросите владельца компьютера ввести пароль от подписи, а затем нажмите «ОК» (см. рис. 7).

Рис. 7. Ввод пароля от электронной подписи

Далее система предложит указать новый пароль для электронной подписи. Это обязательное условие. Пароль может быть любым, главный критерий – минимум 6 символов (буквы, цифры, знаки). Укажите пароль и подтвердите его, затем нажмите «ОК». Запишите пароль или запомните, он потребуется вам в дальнейшей работе (см. рис. 8).

Рис. 8. Ввод нового пароля для электронной подписи

На данный момент можно считать подпись скопированной. Вы можете дополнительно проверить это, открыв защищенный носитель и увидев там файл с названием, которое было указано при копировании.

Читайте также: