Как найти контейнер закрытого ключа криптопро в реестре

Практические приёмы работы с Реестром¶

В данном разделе рассматриваются практические примеры работы с реестром:

Лицензия КриптоПро в реестре [1017]¶

Лицензия КриптоПро хранится в реестре, её можно оттуда скопировать, либо ввести.

1. Перейти в ветку:

КриптоПро 3.6:

КриптоПро 3.9:

КриптоПро 4.0:

КриптоПро 3.0:

1. Открыть двойным нажатием левой кнопки мыши параметр ProductID и прописать в поле Значение серийный номер лицензии (можно с дефисами, можно без). Либо скопировать номер лицензии оттуда.

Где хранятся ключи(закрытый ключ сертификата) в реестре? [1739]¶

Реестр может использоваться в качестве ключевого носителя, другими словами, в него можно скопировать Квалифицированную электронную подпись (КЭП). После копирования закрытые ключи будут находиться:

• для 32-битной ОС:

• для 64-битной ОС:

• В некоторых случаях сертификат попадает сюда:

Где SID (идентификатор пользователя) (англ. Security Identifier (SID)) — структура данных переменной длины, которая идентифицирует учетную запись пользователя, группы, домена или компьютера.

Узнать SID пользователя можно через командную строку («Пуск → Выполнить → cmd»), введя команду WHOAMI /USER .

Рис. 23 – Узнать SID пользователя через командную строку

Чтобы скопировать текст из командной строки Windows, необходимо нажать правой кнопкой мыши на заголовок окна консоли и в меню «Свойства» на вкладке «Общие» включить опцию «Выделение мышью».

Восстановление закрытых ключей с неисправного компьютера¶

Обязательно ознакомьтесь с главой Работа с Редактором реестра и разделами:

Есть возможность восстановить закрытые ключи сертификата, если они были записаны в реестре компьютера и этот компьютер сломался.

Это можно сделать только в том случае, если жесткий диск в рабочем состоянии и есть возможность его подключить к рабочему системному блоку. Или есть копия папки C:\Windows\System32\config\ .

Если условия выполняются, необходимо проделать следующее:

1. Подключить жесткий диск от неработающего компьютера к рабочему системному блоку;

утилиту PsExec.exe и скопировать ее в корень диска C .

Открыть редактор реестра с помощью утилиты PsExec.exe (см. раздел Работа через утилиту PsExec ). В командной строке («Пуск → Выполнить → cmd») ввести команду;

Загрузить куст HKEY_LOCAL_MACHINE\Software (см. раздел Загрузка и выгрузка куста ):

• Перейти в раздел HKEY_LOCAL_MACHINE ;
• Выбрать «Файл → Загрузить куст»;
• В файловом менеджере выбрать соответствующий файл куста с нерабочего компьютера C:\Windows\System32\config\SOFTWARE ;
• Задать произвольное имя загруженному кусту, например, AZAZAZ .

1. Перейти в раздел, в котором хранятся КЭП ;

• для 32-битной ОС:

• для 64-битной ОС:

В некоторых случаях сертификат попадает сюда:

1. После того, как найден нужный раздел с ключами:

• Нажать на подраздел keys правой кнопкой мыши и выбрать пункт «Экспортировать» (см. раздел Создание резервной копии реестра (Экспорт) ).
• Выбрать место для сохранения и задать имя файла. Экспортированный файл будет иметь расширение .reg .
• Если требуется, перенести экспортированный файл с расширением .reg на другой компьютер.

1. Открыть экспортированный файл с расширением .reg в текстовом редакторе (Notepad++, Блокнот) и изменить в файле идентификатор пользователя (SID) на идентификатор текущего пользователя, для этого:

Рис. 24 – Изменение пути к веткам реестра

• В командной строке («Пуск → Выполнить → cmd») ввести команду WHOAMI /USER (см. рисунок Рис. 23 – Узнать SID пользователя через командную строку ).

Чтобы скопировать текст из командной строки Windows, необходимо нажать правой кнопкой мыши на заголовок окна консоли и в меню «Свойства» на вкладке «Общие» включить опцию «Выделение мышью».

Если разрядность(битность) текущей системы отличается от той, на которой находился контейнер закрытого ключа, то необходимо проверить и при необходимости исправить путь в текстовом редакторе.

1. Сохранить изменения в файле и открыть его двойным щелчком мыши (см. раздел Восстановление реестра из резервной копии (Импорт) ). Разрешить внести изменения в реестр.

Перед тем, как вносить изменения в реестр, обязательно создавайте его резервную копию. Подробнее в разделе Создание резервной копии реестра (Экспорт) .

1. В конце рекомендуется выгрузить ранее загруженный куст «Файл → Выгрузить куст».

Можно запускать реестр и не используя утилиту PsExec.exe , но тогда придется добавлять загруженным веткам права и разрешения вручную так, как описано в разделе Права доступа (Разрешения) . Это не критично, если речь идет, например, о копировании всего одного контейнера закрытого ключа. Если файлов много, то гораздо быстрее и удобнее использовать PsExec.exe .

Рекомендую всегда держать на готове утилиту PsExec.exe , ее скачивание и копирование занимает не так много времени.

Извлечение информации из резервной копии реестра¶

Резервные копии реестра обычно создаются автоматически каждые десять дней. Сохраняются они в папке:

• C:\Windows\System32\config\RegBack – для Windows 7 и Server 2008;
• C:\Windows\repair – для XP и Server 2003.

Данные папки содержит те же файлы, что и C:\Windows\System32\config\ .

Если, например, из реестра случайно был удален контейнер закрытого ключа, теоретически, есть возможность импортировать куст из резервной копии.

Порядок действия аналогичен, описанному порядку в инструкции Восстановление закрытых ключей с неисправного компьютера . Отличается только файл загружаемого куста C:\Windows\System32\config\RegBack\Software .

Доступ к считываетлям (Calais)¶

Иногда возникает проблема с доступом к считывателям смарт-карт. Она может быть связана с тем, что у текущего пользователя недостаточно прав на следующие ветки:

Подробнее о настройке прав доступа читайте в разделе Права доступа (Разрешения) .

Может возникнуть ситуация, когда текущий пользователь системы даже не будет являться владельцем данных веток реестра, следовательно, у него не будет прав на них. В таком случае, необходимо сначала добавить текущего пользователя во владельцы этих веток, а затем проставить ему соответствующие права, как описано в разделе Права доступа (Разрешения) данного руководства.

Доверенные узлы¶

Если узел не добавляется в надежные узлы, можно добавить его вручную через реестр, для этого необходимо:

Копирование контейнера закрытого ключа КриптоПро в реестр

В этой небольшой инструкции будет описано как скопировать ключ («закрытую часть», так же «контейнер закрытого ключа» или «персональный ключ» — основной компонент квалифицированной подписи, без которого ничего не будет работать) в реестр компьютера.
Зачем это нужно?
Скопировав ключ в реестр можно будет работать с подписью не подключая к компьютеру флешку (или токен). Удобно, если у вас множество ключей для различных порталов или программ.
Важно отметить, что это в некотором смысле снижение уровня безопасности — лично я не рекомендую делать подобную настройку на местах, к которым есть публичный доступ. Так же настоятельно рекомендую установить пароль на вход в компьютер и настроить блокирование этим паролем заставки экрана.
Теперь, когда вы уверены в том, что хотите сделать, разберемся с тем как это, собственно, делается. 🙂

Поиск нужного контейнера и копирование

Разберемся какой ключ нам нужен

Если ключей много — например несколько лет подряд делали и получали ключи на одной флешке — будет не лишним разобраться какой именно из них сейчас действует.

Для этого зайдите в панель управления КриптоПро — нажмите кнопку Пуск и наберите в поиске КриптоПро

В панели управления на вкладке Сервис нажмите кнопку Просмотреть сертификаты в контейнере.

Кнопка Обзор покажет список всех подключенных контейнеров


Выберите контейнер и нажмите кнопку Далее

Обратите внимание: ключи, выданные Федеральным казначейством имеют определенный формат именования контейнеров. Для ключей физических лиц это ФИО и уникальный цифровой код контейнера (в этом примере — 1004174130). Для ключа юридического лица — либо краткое наименование организации и уникальный код, либо ОГРН организации и уникальный код.
Запишите себе этот код — по нему вы найдете нужный ключ при последующих операциях.

Последнее окно мастера покажет информацию о сертификате, установленном в данном контейнере. Обычно даты действия сертификата достаточно, но если нужна более подробная информация — например у вас несколько сертификатов физ. лица (как пример — отдельный для СУФД) — по кнопке Свойства откроется подробная информация о сертификате.

Первый способ может не сработать, если сертификат еще не устанавливался в контейнер — например вы только получили ключ.
В этом случае проверить соответствие ключа и сертификата можно по-другому.
Во вкладке Сервис панели управления КриптоПро нажмите кнопку Установить личный сертификат.

С помощью кнопки Обзор выберите файл сертификата и нажмите Далее.



По дате действия можно убедиться что выбран правильный файл. Если все верно — нажмите кнопку Далее.

Установите галочку Найти контейнер автоматически. КриптоПро просканирует флешку и выберет подходящий к сертификату контейнер. Так же как и в первом способе зафиксируйте уникальный код контейнера.


Установку сертификата можно не продолжать и нажать кнопку Отмена — позже мы вернемся к этому мастеру, когда будет готова копия ключа.

Копирование ключа

Теперь когда вы знаете какой ключ вам нужен, займемся копированием.
Все в той же вкладке Сервис нажмите кнопку Скопировать.

Нажав кнопку Обзор и вооружившись записанным ранее уникальным кодом контейнера выберите нужный ключ. Нажмите Далее.


Введите пароль от ключа.

Это тот пароль, который вы придумывали при генерации ключа (когда оформляли заявление).
Далее мастер предложит задать имя новому контейнеру. Как правило того имени, которое он предлагает достаточно, но если у вас есть идеи как организовать свои копии вы можете воспользоваться этим функционалом.

Для завершения копирования нажмите Готово.
Будет предложено выбрать носитель для нового контейнера. В нашем случае нужно выбрать устройство Реестр.

Теперь нужно задать пароль на копию — дважды ввести пароль. Можно ввести тот же пароль, который стоит и на оригинале, можно придумать новый.

Программа оповестит вас об успешно созданном контейнере.

Таким же образом можно делать копии на рутокены или другие устройства, которые работают с КриптоПро
Или наоборот — если флешка сломалась, но вы работаете с реестром — сделайте копию из реестра на новую чистую флешку — так вы восстановите «оригинал».

Установка личного сертификата со ссылкой на копию контейнера

Последний шаг — установить сертификат так, чтобы он обращался к нужному ключу.
Для этого на вкладке Сервис панели управления КриптоПро нажмите Установить личный сертификат.

Кнопкой Обзор выберите файл сертификата и нажмите Далее два раза.

Вновь используя кнопку Обзор выберите новый контейнер — с » — Copy» в имени, или с тем именем, которое вы ему задали.

Дважды нажмите Далее, затем — Готово.

Спросит пароль — введите пароль от копии ключа.

На этом все!
Проверить работоспособность можно зайдя на портал, для которого предназначен ключ, или подписав им документ — подпись будет работать вне зависимости от наличия флешки в компьютере.

Записки IT специалиста

Перенос сертификатов и закрытых ключей CryptoPro хранящихся в реестре

• Автор: Уваров А.С.
• 21.09.2020

КриптоПро один из наиболее широко используемых криптопровайдеров на территории Российской Федерации, он широко используется в системах электронного документооборота, сдачи отчетности и взаимодействия с государственными органами, поэтому встретить его можно практически в любой организации. По этой причине у системных администраторов часто встает вопрос его переноса на другой ПК. А так как криптография является для многих сложной и непонятной областью, то эта простая задача может вызвать некоторые затруднения.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Если вы ранее не сталкивались с криптографией вообще, то рекомендуем прочитать нашу статью: Введение в криптографию. Общие вопросы, проблемы и решения. Здесь мы не будем углубляться в теорию, но приведем некоторый необходимый ликбез.

В повседневной деятельности широко распространено понятие «сертификат», им оперируют все, от сотрудников удостоверяющих центров, то бухгалтеров, работающих с ЭЦП. Часто можно услышать что-то подобное: «нам купили в бухгалтерию новый компьютер, нужно перенести сертификаты». Но если подходить с точки зрения криптографии, то слово «сертификат» в данном случае употребляется неправильно. Вся современная криптография строится вокруг инфраструктуры открытых ключей (PKI), которая подразумевает наличие у каждого участника ключевой пары: открытого и закрытого ключа.

Закрытый ключ является секретным, с его помощью мы можем подписывать документы, шифровать информацию и т.д. и т.п. Закрытый ключ Усиленной квалифицированной электронной подписи (УКЭП) равнозначен нотариально заверенной подписи и его попадание в чужие руки может привести к самым тяжелым последствиям.

Открытый ключ, дополненный некоторыми дополнительными данными, выпускается в форме сертификата и является публично доступным, с его помощью можно проверить действительность цифровой подписи, выполненной закрытым ключом или убедиться в подлинности участника обмена электронными документами.

Поэтому, когда мы говорим о переносе «сертификатов», то подразумеваем необходимость перенести ключевую пару: закрытый ключ и сертификат, перенос одних только сертификатов не принесет успеха, криптография на новом узле работать не будет.

Выяснив этот момент, перейдем к хранилищам закрытых ключей. КриптоПро предполагает в таком качестве токены, флеш-накопители и системный реестр. Токены являются наиболее защищенными устройствами, извлечь закрытый ключ из них невозможно, и вы можете не опасаться несанкционированного копирования (для этого закрытый ключ должен быть помечен как неэкспортируемый). Флеш-накопители представляют некий компромисс между безопасностью и мобильностью, а реестр удобен в тех случаях, когда на одном ПК нужно одновременно работать с большим количеством ключей. И именно с ним связаны определенные сложности при переносе на другой узел.

Экспорт ключей и сертификатов

Для того, чтобы правильно экспортировать закрытые ключи, нам нужно выяснить идентификатор безопасности ( SID) текущего пользователя (который работает с ЭЦП), это можно сделать командной:

Затем откроем редактор реестра и перейдем в ветку для 32-битных систем:

для 64-битных систем:

Найдем и раскроем раздел с SID текущего пользователя и экспортируем оттуда ветку Keys.

Обратите внимание, что данная ветка содержит закрытые ключи, поэтому следует принять все меры безопасности и не передавать файл экспорта по открытым каналам связи и вообще исключить к нему несанкционированный доступ посторонних лиц.

После чего скопируем все сертификаты, расположенные по пути

Это открытые ключи, никакой секретности они не представляют, поэтому просто копируем их любым доступным способом.

Импорт ключей и сертификатов

Прежде всего установим на новый узел КриптоПро, обратите внимание, что переносить ключи и сертификаты следует между одинаковыми версиями. В противном случае либо обновите версию КриптоПро на старой системе, либо установите старую версию на новой и обновите ее уже после переноса ключевых пар.

Затем снова узнаем SID пользователя, который будет работать с ЭЦП, если это текущий пользователь, то снова выполните:

В противном случае:

где Name — имя пользователя.

После чего откройте на редактирование файл реестра с экспортированными закрытыми ключами и замените в нем все вхождения старого SID на SID нового пользователя.

Сохраните файл и импортируйте его в реестр. Закрытые ключи перенесены, файл переноса в целях безопасности следует удалить.

Следующим шагом скопируйте сохраненные сертификаты в

После чего можно устанавливать и настраивать приложения работающие с криптографией, все будет работать.

Как быть если доступ к старой системе невозможен?

Теория — это хорошо, но практика может подкинуть самые неожиданные ситуации. Как быть, если доступ к старой системе невозможен? Скажем вышла из строя материнская плата или серьезно повреждена операционная система?

Все что нам нужно в таком случае — это доступ к файловой системе старой системы. Вы можете как напрямую подключить жесткий диск к новой системе, так и загрузиться при помощи консоли восстановления или любого более продвинутого инструмента, скажем MSDaRT.

С копированием сертификатов проблемы возникнуть не должно, их хранилище простая папка на диске, а вот с хранилищем закрытых ключей в реестре немного сложнее. Но не будем забывать, что системный реестр тоже хранится в файлах на диске. Вам следует любым доступным образом скопировать файл SOFTWARE из C:\Windows\System32\config

Затем на целевой системе откройте редактор реестра, перейдите в раздел HKEY_LOCAL_MACHINE и через Файл — Загрузить куст подключите скопированный из старой системы раздел реестра. Дайте ему осмысленное имя, скажем OLD_SOFTWARE.

После чего пройдите в раздел с закрытыми ключами (с учетом новой точки монтирования) и выполните экспорт ветки Keys.

Дальнейшие действия ничем не отличаются от описанных нами в разделе Импорт ключей и сертификатов.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Как найти закрытый ключ сертификата на компьютере

Сейчас работа любой даже самой маленькой организации практически не возможно без использования ЭЦП (электронной цифровой подписи). Это связанная в первую очередь с цифровизацией экономики. С одной стороны это упрощает ведение бизнеса но с другой прибавляет забот с получение, хранением, настройкой ЭЦП для работы на различных сервисах. ЭЦП можно сделать как на организацию так и на сотрудника. Так же для работы в разных сервисах могут потребоваться ЭЦП от определенных удостоверяющих центров. Поэтому как правило в организации не одна ЭЦП а несколько. В большинстве все они хранятся на одном носители, простой флешке или даже на жестком диске в компьютере. Мало кто покупает Рутокен/eToken, так стоят они не дешево. В общем за несколько лет на подобном носители собирается несколько закрытых контейнеров и при необходимости найти нужны становиться достаточно сложно. Сегодня хочу поделиться одним способ который поможет найти нужный закрытый ключ.

Как найти закрытую часть ключа

И так допустим есть папка в которой хранятся закрытые контейнеры/ключи и сертификаты, и нам потребовалось один из них скопировать. Имена закрытых контейнеров выглядят следующем образом, это набор цифр и букв. Понять где какой закрытый ключ невозможно.

Лично я в таких случаю делаю следующие манипуляции. Открываю КриптоПРО и выбираю пункт «Установить личный сертификат».

Далее выбирает сертификат от которого нужно найти закрытую часть.

Для начала проверяю есть он вообще, ставлю галочку «Найти контейнер автоматически» если ключевой контейнер найден, снимаю галочку и жму «Обзор».

В имени закрытой части ключа может отображать ФИО того кому она выданная, но не всегда.

Поэтому сверху отмечаем пункт «Уникальные имена», после чего отобразится имена контейнеров которые будут совпадать с именем папки с закрытой частью.

Остается только по очереди выбирать контейнеры. Если контейнер не подходить Вы увидите соответствующее сообщение.

Пока не будет найден нужный.

После чего по имени можно будет определить необходимый контейнер с закрытой частью ключа и скопировать его. Вообще лучше ЭЦП каждого пользователя хранить в отдельной папке или флешки.

Как найти закрытый ключ : 2 комментария

А если они не на флешки а в реестре хранятся, оттуда можно как-то досать?