Пароль от ЭЦП: где взять и какие бывают

Слово «пароль» в разговоре об электронной подписи означает три разные вещи, и путаница между ними — причина большинства обращений. Разберём, какие пароли бывают, где они появляются и какие значения стоят по умолчанию.

Три разных пароля

• PIN-код носителя — защищает токен: Рутокен, JaCarta. Запрашивается при обращении к ключу, у него есть ограниченное число попыток
• Пароль контейнера закрытого ключа — задаётся в КриптоПро при создании контейнера. Часто вообще не устанавливается, тогда его нет
• Пароль от личного кабинета портала — к электронной подписи отношения не имеет, это просто доступ к сайту

Стандартные PIN-коды токенов

Производители устанавливают заводские значения по умолчанию — они указаны в открытой документации. Если PIN никто не менял, подойдёт стандартный.

Рутокен

• PIN пользователя — 12345678
• PIN администратора — 87654321

JaCarta

• PIN пользователя — 1234567890
• PIN администратора — 00000000

У отдельных моделей и у токенов, выпущенных под конкретный удостоверяющий центр, значения могут отличаться. Если стандартный не подошёл, уточняйте у того, кто выдавал носитель.

Пароль контейнера в КриптоПро

При создании контейнера закрытого ключа КриптоПро предлагает задать пароль. Многие оставляют поле пустым, и тогда пароля просто нет — программа ничего не спрашивает.

Если пароль был установлен, но забыт, восстановить его нельзя. Он не хранится в открытом виде и не подлежит сбросу: единственный выход — получение нового сертификата.

Где КриптоПро может запомнить пароль

Чтобы не вводить пароль при каждом подписании, КриптоПро позволяет его сохранить. Отсюда частая ситуация: подпись работала месяцами без запроса пароля, а после переустановки системы внезапно потребовала — потому что сохранённое значение пропало вместе с настройками.

Это одна из причин, почему пароль стоит записать отдельно, даже если система его не спрашивает.

Что делать, если пароль запрашивается неожиданно

• Посмотрите, какая программа спрашивает — КриптоПро, панель управления Рутокен или сам портал
• Если это PIN токена — попробуйте стандартное значение, но не больше одного-двух раз
• Если это пароль контейнера — вспомните, задавали ли вы его вообще: возможно, поле нужно оставить пустым
• Проверьте, не изменилось ли что-то в системе: переустановка Windows стирает сохранённые пароли

Стоит ли менять стандартный PIN

С точки зрения безопасности — да. Стандартные значения известны всем, и человек, получивший физический доступ к токену, сможет им воспользоваться.

Но есть практическая сторона: смененный и забытый PIN приводит к блокировке носителя, а это дороже, чем риск. Поэтому решение такое: меняйте, если готовы надёжно записать новое значение и хранить отдельно от токена. Если такой уверенности нет, безопаснее не оставлять токен без присмотра.

Частые сложности

• Стандартный PIN не подходит. Его менял тот, кто настраивал подпись раньше, либо у вашего носителя другое заводское значение.
• Пароль требуется, хотя раньше не спрашивался. Сохранённое значение стёрлось при переустановке системы или обновлении КриптоПро.
• Пароль подходит, но подписать всё равно нельзя. Проблема не в пароле — проверьте связь сертификата с закрытым ключом.
• Токен заблокирован после нескольких попыток. Нужен PIN администратора. Если он неизвестен — обращайтесь в удостоверяющий центр.

Общий порядок проверки, если подпись не работает: ЭЦП не работает — что проверить самостоятельно. Если токен заблокировался или непонятно, какой пароль система просит, подключусь удалённо и разберёмся.