Как найти пароль для контейнера криптопро

Зачастую пользователи не могут вспомнить пароль (пинкод) от контейнера ЭЦП, что неудивительно меняется он раз в год при плановой смене ключа ЭЦП после чего ставится галочка «запомнить пароль» и пароль больше никогда не вводится.Сохраненный пароль можно посмотреть с помощью консольной утилиты csptest, входящей в состав КриптоПро CSP.

Утилита находится в папке с установленным КриптоПро (по умолчанию C:Program FilesCrypto ProCSP).

Переходим в директорию с программой

cd «C:Program FilesCrypto ProCSP»

Смотрим имена доступных контейнеров закрытого ключа ЭЦП:

csptest -keyset -enum_cont -fqcn -verifycontext

команда выводит список доступных контейнеров вида: \.<имя считывателя><имя контейнера>

После этого выводим сохраненный пароль для нужного контейнера:

csptest -passwd -showsaved -container «<имя контейнера>»

PS: Данный способ подходит для КриптоПро 3.6 и выше. В КриптоПро 3.0 у утилиты csptest отсутствует опция -showsaved.

PPS: Если этот метод не помогает и у вас аппаратные контейнеры (токены), можно попробовать ввести пароль по умолчанию. Для rutoken это 12345678, для eToken 1234567890, для JaCarta PKI/ГОСТ 11111111 (1234567890 если включена опция обратная совместимость).

PPPS: Весь процесс можно автоматизировать обычным батником,который  массово достает пароли из всех доступных ключей. Большое спасибо . Скачать bat-файл можно отсюда. Текст батника:

@echo off
SetLocal EnableExtensions EnableDelayedExpansion
copy «C:Program FilesCrypto ProCSPcsptest.exe» >nul
chcp 1251
if exist %computername%.txt del /f /q %computername%.txt
if exist temp.txt del /f /q temp.txt
set NameK=»»
for /f «usebackq tokens=3,4* delims=» %%a in (`csptest -keyset -enum_cont -fqcn -verifycontext` ) do (
set NameK=%%a
;csptest -passwd -showsaved -container «!NameK!» >> temp.txt
)
del /f /q csptest.exe
set/a $ai=-1
set/a $bi=2
for /f «usebackq delims=» %%a in («temp.txt») do @(set «$a=%%a»
if «!$a:~,14!»==»AcquireContext» echo:!$a! >> %computername%.txt
if «!$a:~,8!»==»An error» echo:Увы, ключевой носитель отсутствует или пароль не был сохранен. >> %computername%.txt & echo: >> %computername%.txt
if «!$a:~,5!»==»Saved» set/a $ai=1
if !$ai! geq 0 set/a $ai-=1 & set/a $bi-=1 & echo:!$a! >> %computername%.txt
if !$bi!==0 echo: >> %computername%.txt & set/a $bi=2
)
del /f /q temp.txt
EndLocal
echo on

Скачать отдельно утилиту csptest для версий 3.6 3.9 и 4.0 можно отсюда.

Для работы с квалифицированной электронной подписью необходимо средство криптографической информации (СКЗИ). Это программа для защиты от изменений и шифрования подписанных данных. Также она запрашивает пароль контейнера при аутентификации пользователя. В настоящее время одним из самых популярных СКЗИ является КриптоПро CSP от компании КриптоПро.

Рассмотрим, где взять пароль КриптоПро CSP, если пользователь его забыл, как его удалить и какие пароли ставят по умолчанию на физические носители.

Как восстановить пароль контейнера

Восстановить пароль закрытого ключа невозможно. Его можно только подобрать или вспомнить. Чтобы подобрать пароль, пользователь сначала определяет носитель, на котором хранится контейнер закрытого ключа, а потом его тип.

Определить носитель

КриптоПро CSP 4.0/5.0

Для КриптоПро CSP версии 4.0/5.0 достаточно выполнить следующие шаги:

Открыть меню «Пуск» → «Все программы» → «КриптоПро CSP» → Вкладка «Сервис» → «Протестировать» → «Обзор»

Носитель, на котором записан контейнер закрытого ключа, будет показан в колонке «Считыватель».

КриптоПро CSP 5.0

В КриптоПро CSP версии 5.0 носитель контейнера можно посмотреть следующим образом:

Открыть меню «Пуск» → «Все программы» → «Инструменты КриптоПро» → «Контейнеры»

Носитель, на котором записан контейнер закрытого ключа, будет показан в колонке «Считыватель».

Определить тип носителя

Рассмотрим типы носителей, на которых хранится контейнер закрытого ключа:

• CLOUD — это контейнер закрытого ключа, который хранится в облачном сервере. Что делать, если пользователь забыл пароль и не знает, что вводить на данной странице:

В этом случае требуется обратиться в удостоверяющий центр, который выдал облачную электронную подпись, для восстановления данных.

Если при подписи документа авторизация пройдена, но всплывает данное окно:

То пароль закрытого ключа забыт. Он не восстанавливается. Его можно только подобрать, вспомнить или сделать перевыпуск сертификата. Для того чтобы вспомнить пароль, у пользователя есть ограниченное количество попыток. Если они закончились, ключ блокируется. Разблокируют его только в организации, выпустившей сертификат.

• REGESTRY — ключ находится в реестре. Ввод пароля ограничен 5 попытками.
• FAT12_<буква диска> — ключ хранится на съёмном диске. Ввод пароля ограничен 5 попытками.
• HDIMAGE — ключ находится на локальном диске. Ввод пароля ограничен 5 попытками.
• JaCarta, eToken, Rutoken, TokenPlusPlus, ESMART, MSKEY — ключ записан на физический носитель (токен). Количество попыток ввода пароля ограничено производителем токенов. Пароли по умолчанию, которые производитель устанавливает на носитель:
• JaCarta — 1234567890;
• Rutoken — 12345678 или 11111111;
• eToken — 1234567890.

Что делать, если забыл пароль и сертификат не устанавливался

Если же сертификат в ОС не установлен или выполнялась переустановка Windows, но пароль для доступа к ЭП утерян, то следует попробовать воспользоваться вышеуказанными паролями по умолчанию. Если же и этот вариант не сработает, то воспользоваться своей электронной подписью пользователь уже не сможет.

Как изменить пароль по пин-коду администратора

Именно на USB-рутокенах предусмотрена возможность разблокировки и «обнуления» пароля с панели администратора КриптоПро CSP. Только после того, как будет установлен стандартный пароль ЭЦП потребуется также переустановить сертификаты, установленные в среду ОС.

Итак, разблокировка выполняется следующим образом:

• запустить КриптоПро CSP из панели управления;
• выбрать «Ввести PIN-код» (в закладке «Администрирование»);
• выбрать «Администратор» и ввести код 87654321;
• нажать «Ок», в появившемся окне — «Разблокировать».

После — будет установлен стандартный PIN-код. Но это сработает лишь в том случае, если PIN-код администратора не менялся с момента получения USB-рутокена. В некоторых удостоверяющих центрах данный PIN-код ставят другой — следует у них же и уточнять эту информацию.

Эта процедура не позволит узнать какой пароль на ЭЦП по умолчанию использовался ранее, но дает возможность установить новый. Естественно, в дальнейшем его рекомендуется изменить.

Итого, как поменять пароль на ЭЦП если забыл? Если стандартные, используемые по умолчанию, не подходят, то изменить код удастся только на рутокенах, но только при наличии PIN-кода администратора. В остальных случаях узнать ранее введенный PIN-код можно только при установленном в ОС сертификате ЭЦП. В других ситуациях — токен будет заблокирован и восстановить его не получится, потребуется перевыпуск сертификата.

Как использовать персональный пароль

В большинстве удостоверяющих центров при выдаче USB-токенов на них устанавливают стандартный код доступа (он присваивается автоматически):

• для рутокенов — это 12345678;
• для eToken — 1234567890;
• для смарт-карт (JaCarta) — 11111111.

Именно их и потребуется вводить при первом подключении носителя ключа сертификата к ПК и при последующей его установки в среду операционной системы. Естественно, пользователь на свое усмотрение в будущем может заменить пароль на любой другой с помощью КриптоПро CSP актуальной версии.

В некоторых же удостоверяющих центрах пароль ЭЦП по умолчанию устанавливают иной или вовсе генерируют случайный набор чисел. Его обязательно сообщают владельцу электронной подписи при выдаче токена.

Внимание! Крайне важно сохранить данный код доступа, но при этом его не следует сообщать третьим лицам, так как они впоследствии смогут установить ключ сертификата на любой другой ПК и использовать ЭЦП без ведома его владельца.

При использовании токена на определенном компьютере пароль вводится только один раз. Далее он автоматически запоминается устройством (добавляется к установленному контейнеру), поэтому повторно его вводить уже не потребуется. Но если будет произведена переустановка ОС или замечено определенное оборудование в ПК, то установку придется выполнять повторно, для генерации ключа снова потребуется один раз ввести пароль.

Как получит новый сертификат

Что делать если забыл пароль от ЭЦП и восстановить его невозможно? Повторно обращаться в удостоверяющий центр и выпускать новый сертификат. При этом ранее выданная подпись, независимо от срока её действия, будет аннулирована, при попытке подписать ею документ или пройти проверку подлинности ключа ничего не получится, так как на шлюзе Минкомсвязи ЭЦП будет считаться как недействительной. Соответственно, подписанные ею файлы не будут иметь юридическую силу.

Справка: для выпуска новой ЭЦП можно использовать ранее выданный рутокен, покупать новый не обязательно.

Потребуется предоставить в удостоверяющий центр базовый набор документов:

• паспорт;
• ИНН;
• СНИЛС;
• выписка из реестра ФНС (только для предпринимателей).

Далее — все стандартно. Нужно будет оплатить стоимость выпуска нового сертификата, изготавливают его в течение 2 — 4 дней. После его получения можно его использовать для авторизации на сайтах портала Госуслуг.

Криптопро: просмотреть сохраненный пароль (пинкод) на контейнер закрытого ключа эцп – trust me i`m an engineer

Пароль (pin-код) для контейнера rutoken/etoken/флешка? – уц айтиком

Стандартный пин-код для токена. особенности работы. –

Зачастую пользователи не могут вспомнить пароль (пинкод) от контейнера ЭЦП, что неудивительно меняется он раз в год при плановой смене ключа ЭЦП после чего ставится галочка «запомнить пароль» и пароль больше никогда не вводится. Сохраненный пароль можно посмотреть с помощью консольной утилиты csptest, входящей в состав КриптоПро CSP.

Утилита находится в папке с установленным КриптоПро (по умолчанию C:Program FilesCrypto ProCSP).

Переходим в директорию с программой: cd «C:Program FilesCrypto ProCSP»

Смотрим имена доступных контейнеров закрытого ключа ЭЦП: csptest -keyset -enum_cont -fqcn -verifycontext
команда выводит список доступных контейнеров вида: \.<имя считывателя><имя контейнера>

После этого выводим сохраненный пароль для нужного контейнера: csptest -passwd -showsaved -container «<имя контейнера>»

P.S.: Данный способ подходит для КриптоПро 3.6 и выше. В КриптоПро 3.0 у утилиты csptest отсутствует опция -showsaved.

Если этот метод не помогает и у вас аппаратные контейнеры (токены), можно попробовать ввести пароль по умолчанию. Для rutoken это 12345678, для eToken 1234567890, для JaCarta PKI/ГОСТ 11111111 (1234567890 если включена опция обратная совместимость).

Весь процесс можно автоматизировать обычным батником, который массово достает пароли из всех доступных ключей. Большое спасибо Александру Санникову за доработку скрипта. Скачать bat-файл можно отсюда. Текст батника:

@echo off
SetLocal EnableExtensions EnableDelayedExpansion
copy "C:Program FilesCrypto ProCSPcsptest.exe" >nul
chcp 1251
if exist %computername%.txt del /f /q %computername%.txt
if exist temp.txt del /f /q temp.txt
set NameK=""
for /f "usebackq tokens=3,4* delims=" %%a in (`csptest -keyset -enum_cont -fqcn -verifycontext` ) do (
set NameK=%%a
;csptest -passwd -showsaved -container "!NameK!" >> temp.txt
)
del /f /q csptest.exe
set/a $ai=-1
set/a $bi=2
for /f "usebackq delims=" %%a in ("temp.txt") do @(set "$a=%%a"
if "!$a:~,14!"=="AcquireContext" echo:!$a! >> %computername%.txt
if "!$a:~,8!"=="An error" echo:Увы, ключевой носитель отсутствует или пароль не был сохранен. >> %computername%.txt & echo: >> %computername%.txt
if "!$a:~,5!"=="Saved" set/a $ai=1
if !$ai! geq 0 set/a $ai-=1 & set/a $bi-=1 & echo:!$a! >> %computername%.txt
if !$bi!==0 echo: >> %computername%.txt & set/a $bi=2
)
del /f /q temp.txt
EndLocal
echo on