Рутокен ЭЦП 2.0 - неизвлекаемая ключевая пара (Страница 1 из 3)

Здравствуйте, mihmig.

Есть два термина «неизвлекаемость» и «неэкспортируемость». Эти термины пришли из разных мест, предлагаю разобраться:
В нашей терминологии используются:
- «Неизвлекаемые» ключи – это аппаратные ключи формата PKCS#11. Для генерации которых использовались аппаратные возможности Рутокена семейств 2.0 и 3.0. Такие ключи успешно используются, например, в ЕГАИС. Все операции с подписью производятся внутри токена и ключи никогда не покидают память токена (не извлекаются во время подписания).
- «Неэкспортируемые» ключи – терминология пришла из программного продукта «КриптоПро CSP» - это значит, что во время генерации ключей с помощью «КриптоПро CSP» был установлен флаг «экспорт запрещен», то есть закрытый ключ нельзя скопировать на другой носитель. Но во время работы с таким контейнером, подписание происходит на программном уровне в оперативной памяти компьютера.

Точно сказать какой у вас ключ могу, если вы приложите скриншот «Панель управления Рутокен» - вкладка «Сертификаты» или напишете что указано в поле, обведенном в рамку в этом знании - https://dev.rutoken.ru/display/KB/RU1081

Далее отвечу по пунктам:

Если формат ключей «КриптоПро CSP», 100% гарантии нет.
Если ключи формата PKCS#11 - то ключи не могли быть сгенерированы где-то ещё, кроме самого токена. Копирование уже сформированных ГОСТ-ключей на Рутокен ЭЦП 2.0/3.0 запрещено - это требование ФСБ.

А вот тут не всегда. Например, «КриптоПро CSP» версии 5.0 R2 может успешно работать с неизвлекаемыми ключами PKCS, используя библиотеку rtpkcsecp и тогда ключи не извлекаются, а может работать с программными ключами и тогда токен будет в пассивном режиме хранить ключи на смарт-карте под PIN-кодом.

Требования к неизвлекаемости сейчас нет.
Согласно требованиям УЦ ФНС есть требования к неэкспортируемости для повышения безопасности.
Неэкспортируемые закрытые ключи обладают большей защищенностью, т.к. однажды записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи штатных возможностей средства криптографической защиты информации. Неэкспортируемые закрытые ключи являются более надежным вариантом использования, поскольку получение доступа к такому закрытому ключу требует применения специальных средств и техники.

Здравствуйте, mihmig.

Это программные, неэкспортируемые ключи, созданные с помощью «КриптоПро CSP». Аппаратная криптография токена не участвовала в генерации ключей и не участвует в работе с ЭП. Токен выступает в роли пассивного хранилища, защищённого PIN-кодом.

Да, при работе с программными ключами (как у вас сейчас) извлекается для осуществления операций с подписью.

Как раз из-за увеличения мошеннических схем с ЭП и вводятся новые правила получения сертификатов.
Сертификат для лица, действующего без доверенности - в единственном числе, неэкспортируемый.
Остальные сотрудники будут получать сертификаты на ФЛ без указания ИНН и сопровождать отчетность электронной доверенностью, которая станет обязательной с 01.01.2022.

Прочел все сообщения темы. Стало ясно, что несмотря на возможности носителя, вам создали извлекаемый (хоть и неэкспортируемый) ключ. Чисто теоретически, при наличии "специальных средств и техники" у ФНС, копии закрытых ключей у них остаться могут. Остается решить для себя насколько каждый доверяет налоговой в этом плане.

У меня остался ряд вопросов по процедуре получения ЭЦП, которую вам (ООО) пришлось пройти.

• Вас вообще спрашивали какой Вы хотите ключ - извлекаемый или нет?

• Процедура генерации ключа и создания сертификата ЭЦП проходила только на ПК сотрудника ФНС?

В коммерческом УЦ (кстати, возможность пользоваться ЭЦП от них после 1 января будет, но нужно подождать, когда они пройдут переаккредитацию). Вот у них ключ я создаю на своем ПК, а визит в УЦ нужен только для того, чтобы подписать документы на бумаге и показать свое мурло с паспортом.

Edinorog, приветствую!

Сделать неизвлекаемые ключи уже не получится. Неизвлекаемые можно сгенерировать только аппаратными средствами непосредственно на токене.
А вот сделать неэкспортируемые - можно. Нужно экспортировать ключи из реестра в формате .pfx и при импорте ключей на токен установить запрет экспорта.

Edinorog, да, хватит.

Edinorog, при экспорте в pfx сохраняется имя ключевого контейнера, из которого выполняется экспорт.
Можете сперва сделать копию контейнера из Реестра в Реестр, задав нужное Вам имя, а затем - переустановить сертификат из нового контейнера и запросить экспорт в pfx.

Понял. Если в имени контейнера есть кириллица, то имя заменяется на pfx-абракадабра.