Криптоарм как перенести лицензию на другой компьютер

Как экспортировать сертификат ЭЦП из КриптоПро и импортировать его на другой компьютер

Криптопровайдер КриптоПро предназначен для работы с криптографическими операциями. Это нужно при работе с интернет-банкингом, ЭЦП, электронной подачей отчетов в налоговую инспекцию и другие государственные органы. Тем, кто часто работает с токенами, сертификатами, закрытыми ключами и прочими криптопрограммами с помощью КриптоПро, часто приходится переносить и копировать большое количество контейнеров. Криптопровайдер имеет штатный механизм для этого, но он работает только в ручном режиме и крайне неудобен при работе с большими массивами данных. Поэтому если требуется сменить рабочий компьютер или воспользоваться сервисом с другого рабочего места, приходится иногда устраивать настоящие «пляски с бубном». Однако есть способы, как ускорить эту процедуру.

Всего в КриптоПро предусмотрено два варианта копирования ключей и сертификатов:

1. Штатный механизм, предусмотренный в интерфейсе CryptoPro, найти его можно в панели управления программы. Самый легкий способ, но работать надо с каждым контейнером и сертификатом отдельно. Когда их несколько десятков (а это уже не уникальный случай даже для физических лиц, не говоря об организациях), начинается долгая и муторная процедура.
2. Перенос самих файлов и записей в реестре. Очень быстрый способ: одинаково легко копировать и 3, и 33 ключа. Но при этом надо иметь определенные знания о процедуре.

Далее рассмотрены будут оба способа, но особое внимание будет уделяться именно второму. Дело в том, что иногда он — единственный доступный способ сделать работающую копию. Также уточним, что речь будет идти о переносе лишь тех контейнеров ключа, которые вписаны в реестр Windows. При хранении на токене копировать ключи не нужно, потребуются на новом компьютере лишь сертификаты.

Криптоарм как перенести лицензию на другой компьютер

«Переноса» КриптоПро CSP с одного компьютера на другой как такового нет. При необходимости использовать уже введенную лицензию на другом рабочем месте выполните установку КриптоПро CSP и введите эту же лицензию одним из описанных способов. После этого необходимо удалить КриптоПро CSP с предыдущей рабочей машины. Использование одной лицензии разрешается только на одном рабочем месте или сервере единовременно.

Серийный номер лицензии находится на официальном бланке. В случае, если лицензия утеряна и она приобреталась в КриптоПро, можно оформить услугу по восстановлению бланка лицензии.

Перед установкой КриптоПро CSP на новый компьютер убедитесь, что вы устанавливаете версию, которая указана в бланке вашей лицензии.

Не забудьте о переносе используемых сертификатов и соответствующих им закрытых ключей.

Шаг 2. Экспортируем ключи

Приступаем к экспорту ключей. Путь, по которому находится контейнер с ключами может отличаться в зависимости от некоторых условий, а именно:

В 32 разрядной Windows:
HKEY_LOCAL_MACHINESOFTWARECryptoProSettingsUsers\Keys(Название контейнера)

В 64 разрядной Windows:
HKEY_LOCAL_MACHINESOFTWAREWow6432NodeCrypto ProSettingsUSERS\Keys(Название контейнера)

В некоторых случаях (виртуальные машины) сертификат попадает сюда:
HKEY_USERSS-1-5-21-_ClassesVirtualStoreMACHINESOFTWAREWow6432NodeCrypto ProSettingsUSERS\Keys(Название контейнера)

Где SID это значение, которые мы выяснили на Шаге 1, оно как правило имеет вид S-1-5-21-1155488311-1545672654-485675444-1000. Название контейнера — это название наших ключей, их может быть большее одного.
Делаем экспорт куста Keys.

Аналогичным образом выясняем SID и место нахождения контейнера на ПК приемнике.

Часто задаваемые вопросы¶

В данном разделе содержатся ответы на часто задаваемые вопросы. Все рассмотренные вопросы содержат ответы по сути, без лишней теории. За разъяснениями и дополнительной информацией обращайтесь к предыдущим разделам данного руководства.

Ниже приведен список команд для каждой из версий КриптоПро. Команды позволяют извлечь номер лицензии КриптоПро из реестра в текстовый файл на рабочем столе. Достаточно просто скопировать команду в cmd. После ее выполнения на рабочем столе появится txt файл CProX.X-license.txt с номером лицензии. Пример содержания файла:

Строка напротив параметра ProductID и будет значением лицензии, в моем случае это 3636GN000001D1X5FUННU6Q43 .

Перенос КриптоПро, ключей ЭЦП, сертификатов с одного компьютера на другой

Инструкция по переносу лицензии КриптоПро, закрытых ключей ЭЦП и сертификатов с одного компьютера на другой.

1. Перенос лицензии криптопро.

Серийный номер КриптоПро CSP 3.6 находится в ветке реестра

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInstallerUserDataS-1-5-18Products5480A45343B0B0429E4860F13549069InstallProperties

в значении параметра ProductID (имя раздела 05480A45343B0B0429E4860F13549069 может оказаться другим).

2. Перенос закрытых ключей ЭЦП. (Имеются ввиду ЭЦП хранящиеся в реестре, для ключей хранящихся на флешках, и токенах действие не требуется.)

2.1 Узнать SID текущего пользователя (нужен пользователь у которого ключи).

Способ 1: командой

Способ 2:Найти ветку реестраHKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionProfileList.Выбрать SID (имеет вид, например, S-1-5-21-1993962763-492894223-1202660629-6195), и посмотреть ProfileImagePath, в конце строки найдете имя пользователя, которому принадлежит этот SID.

2.2. Для 32 битных систем нужно экспортировать ветку HKEY_LOCAL_MACHINESOFTWARECrypto ProSettingsUSERSSID_текущего_пользователяKeys в reg-файл.
Для 64-битных систем нужно экспортировать ветку HKEY_LOCAL_MACHINESOFTWAREWow6432NodeCrypto ProSettingsUSERSSID_текущего_пользователяKeys.

Эти ветки доступны только для текущего пользователя и при попытке открыть их от имени другого получим: «Не удается открыть . Не удается открыть этот раздел из-за ошибки. Сведения: Отказано в доступе.» Если у вас нет возможности залогиниться под нужным пользователем, то вам поможет утилита Марка Руссиновича psexec (скачать можно с течнета или отсюда) , которая позволяет запускать процессы от имени системной учетки. С помощью psexec запускаем regedit от имени системы:

psexec -i -d -s c:windowsregedit.exe

и нам становятся доступны все разделы. Этот же трюк спасет если система вообще не загружается, нужно скопировать файл C:WindowsSystem32configSOFTWARE и загрузить его как куст реестра, главное, чтобы файл не был поврежден.

2.3. В reg-файле меняем через автозамену SID_текущего_пользователя, на SID пользователя в новой сисмеме.

2.4. Запускаем reg-файл, после этого все готово, но необходимо будет заново установить личные сертификаты для того что бы привязать сертификаты к контейнерам. Если не видно контейнеров, то неправильно указали SID_пользователя, т.к. контейнеры видны только под тем пользователем, под SID’ом которого они находятся.

Если перенести ключи данным способом не получается можно скопировать ЭЦП на флешку (КриптоПро: Перенос ключей ЭЦП с дискет на флешку или в реестр).

3. Перенос сертификатов.

Способ 1. Экспорт-импорт сертификатов. Выполнить certmgr.msc. В открывшемся окне переходим Личное->Сертификаты. Далее правой кнопкой по сертификату -> Все задачи -> Экспорт. В мастере экспорта нажимаем далее, выбираем экспортировать закрытый ключ или нет, выбираем нужный формат и нажимаем далее. Импорт личных сертификатов, которые используются в КриптоПро, нужно делать через

Панель управления -> КриптоПро -> вкладка «Сервис» -> «Установить личный сертификат».

При установке личных сертификатов средствами Windows не выполняется привязка закрытого ключа ЭЦП, и, очевидно, работать ничего не будет.

Способ 2. Установка сертификатов из контейнеров ЭЦП. При установке личного сертификата в КриптоПро версии 3.6 и выше существует возможность скопировать сертификат в контейнер закрытого ключа. Данная процедура позволяет значительно облегчить процесс переноса. Если сертификат установлен в контейнер закрытого ключа, не нужно ни чего экспортировать, достаточно просто перенести контейнеры, а потом зайти в

Панель управления -> КриптоПро -> вкладка «Сервис» ->»Просмотреть сертификаты в контейнере»

выбрать нужный контейнер и нажать кнопки «Далее» и «Установить».

В том случае, если нужно перенести 100500 ключей сразу, поможет одна из составляющих пакета PKI Tools, которая автоматизирует процесс установки сертификатов из контейнеров. Скачать пакет можно отсюда или отсюда.

Как быть если доступ к старой системе невозможен?

Теория — это хорошо, но практика может подкинуть самые неожиданные ситуации. Как быть, если доступ к старой системе невозможен? Скажем вышла из строя материнская плата или серьезно повреждена операционная система?

Все что нам нужно в таком случае — это доступ к файловой системе старой системы. Вы можете как напрямую подключить жесткий диск к новой системе, так и загрузиться при помощи консоли восстановления или любого более продвинутого инструмента, скажем MSDaRT.

С копированием сертификатов проблемы возникнуть не должно, их хранилище простая папка на диске, а вот с хранилищем закрытых ключей в реестре немного сложнее. Но не будем забывать, что системный реестр тоже хранится в файлах на диске. Вам следует любым доступным образом скопировать файл SOFTWARE из C:WindowsSystem32config

Затем на целевой системе откройте редактор реестра, перейдите в раздел HKEY_LOCAL_MACHINE и через Файл — Загрузить куст подключите скопированный из старой системы раздел реестра. Дайте ему осмысленное имя, скажем OLD_SOFTWARE.

После чего пройдите в раздел с закрытыми ключами (с учетом новой точки монтирования) и выполните экспорт ветки Keys.

Дальнейшие действия ничем не отличаются от описанных нами в разделе Импорт ключей и сертификатов.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.