Как установить личный сертификат
Если у вас сертификат на защищённом носителе или в локальном хранилище устройства, то воспользуйтесь инструкцией по установке сертификата из ключевого контейнера.
Если у вас сертификат и закрытый ключ находятся в контейнере .pfx, то воспользуйтесь инструкцией по установке сертификата из файла .pfx.
Если у вас есть сгенерированный закрытый ключ и вы получили сертификат в Удостоверяющем центре, то для установки сертификата воспользуйтесь инструкцией по установке сертификата с привязкой к ключевому контейнеру.
Перед импортом личного сертификата убедитесь, что у вас установлен криптопровайдер КриптоПро CSP.
Примечание: для того чтобы сертификат был действительный, у вас должны быть установлены корневые сертификаты УЦ и актуальный список отзыва сертификатов (СОС).
Как установить сертификат из ключевого контейнера
Примечание: возможно, понадобится установка драйверов для токена.
Данный способ возможен, если сертификат присутствует в контейнере. Иначе функция установки будет недоступна.
- При необходимости подключите токен к устройству.
- Выберите раздел Сертификаты.
- Выберите раздел Ключи.
Или нажмите кнопку Добавить сертификат в правой части окна и в открывшемся списке действий выберите Установить из контейнера. Открывается список контейнеров. - В списке выделите контейнер.
- Нажмите кнопку Установить.
- При необходимости введите пароль к ключевому контейнеру.
Сертификат установлен в личное хранилище и отображается в списке. Теперь вы можете подписывать и расшифровывать документы этим сертификатом.
Как установить сертификат с закрытым ключом из файла .pfx
- Выберите раздел Сертификаты.
- Нажмите кнопку Добавить сертификат в правой части окна.
- В открывшемся списке действий выберите Импорт из файла.
- В файловом менеджере выберите файл сертификата .pfx.
- Введите пароль к контейнеру pfx.
- Задайте новый пароль к ключевому контейнеру.
Сертификат установлен в личное хранилище и отображается в списке. Теперь вы можете подписывать и расшифровывать документы этим сертификатом.
Как установить сертификат с привязкой к ключевому контейнеру
- Выберите раздел Сертификаты.
- Нажмите кнопку Добавить сертификат в правой части окна.
- В открывшемся списке действий выберите Импорт из файла.
- В файловом менеджере выберите файл сертификата .cer или .crt.
- Введите пароль к ключевому контейнеру, если требуется.
Сертификат установлен в личное хранилище и отображается в списке. Теперь вы можете подписывать и расшифровывать документы этим сертификатом.
Если при импорте возникает ошибка, она выводится как уведомление в правом верхнем углу. Вы можете посмотреть уведомления, нажав на иконку.
Для просмотра подробного описания ошибки или отправки в техническую поддержку нажмите кнопку Перейти в журнал в правой боковой панели списка уведомлений.
Cертификаты, Windows и немного PowerShell
Мануал
Введение
Сертификат – это контейнер для открытого ключа. Он включает в себя такую информацию как значение открытого ключа, имя сервера или пользователя, некоторую дополнительную информацию о сервере или пользователе, а также содержит электронную подпись, сформированную издающим центром сертификации (ЦС). Ранее мы уже писали о работе с сертификатами pfx с помощью openssl, теперь рассмотрим использование встроенных средств, а именно powershell.
Что такое сертификат PFX
Файл .pfx, который не следует путать с .cer, представляет собой архив PKCS#12; это пакет, который может содержать несколько объектов с дополнительной защитой паролем. Обычно он содержит сертификат (возможно, со своим набором цепочки сертификатов верхнеуровневых УЦ) и соответствующий закрытый ключ. В то время как PFX может содержать в себе несколько сертификатов, файл .cer содержит один единственный сертификат без пароля и закрытого ключа. В Windows все сертификаты находятся в логических местах хранения, называемых хранилищами сертификатов.
Одним из самых распространенных областей применения сертификатов PFX является подпись кода (code signing). Также, в случае защиты надежным паролем pfx можно передавать по открытым каналам связи.
Логические хранилища
Логические хранилища – это виртуальные месторасположения, в которых которых локально храняться сертификаты как для пользователя так и для компьютера. Powershell использует Cert PSDrive для сопоставления сертификатов с физическими хранилищами. Наименование логических хранилищ Certificates Microsoft Management Console (MMC) отличается от маркировки хранилища Cert PSDrive. В таблице ниже показано сравнение между ними:
| CERT: | CERTIFICATES MMC |
|---|---|
| My | Личные |
| Remote Desktop | Удаленный рабочий стол |
| Root | Доверенные корневые центры сертификации |
| CA | Промежуточные центры сертификации |
| AuthRoot | Сторонние корневые центры сертификации |
| TrustedPublisher | Доверенные издатели |
| Trust | Доверительные отношения в предприятии |
| UserDS | Объект пользователя Active Directory |
Модуль PKI
Утилита MakeCert.exe, входящая в состав Microsoft .NET Framework SDK и Microsoft Windows SDK, используется для создания самоподписанного сертификата. В системе, где не установлен Windows SDK, для управления сертификатами используются команды модуля Powershell PKI.
Чтобы перечислить все команды, доступные в модуле PKI, выполните следующую команду:
Командлеты, используемые в этой статье, описаны ниже:
Export-PfxCertificate
Командлет Export-PfxCertificate экспортирует сертификат или объект PFXData в файл Personal Information Exchange (PFX). По умолчанию экспортируются расширенные свойства и вся цепочка.
Get-Certificate
КомандлетGet-Certificate можно использовать для отправки запроса на сертификат и установки полученного сертификата, установки сертификата из запроса на сертификат, а также для регистрации в службе каталогов протокола LDAP.
Get-PfxData
Командлет Get-PfxData извлекает содержимое файла Personal Information Exchange (PFX) в структуру, содержащую сертификат конечного субъекта, любые промежуточные и корневые сертификаты.
Import-PfxCertificate
КомандлетImport-PfxCertificate импортирует сертификаты и закрытые ключи из файла PFX в локальное хранилище.
New-SelfSignedCertificate
Командлет New-SelfSignedCertificate создает самоподписанный сертификат. С помощью параметра CloneCert указанный сертификат может быть создан на основе существующего сертификата с копированием всех параметров из оригинального сертификата, за исключением открытого ключа.
Поиск и выбор сертификата
В Powershell Cert: PSDrive используется для вывода списка сертификатов в определенном хранилище. Чтобы вывести оба хранилища в Cert: PSDrive, выполните следующую команду:
Возвращаемый объект будет представлять собой сертификаты, которые можно изменить, удалить или экспортировать.
Команду Get-ChildItem можно комбинировать с Where-Object для поиска конкретных сертификатов. Приведенная ниже команда найдет сертификат, предположительно выданный Microsoft, проверяя свойство Subject сертификатов:
У выведенных в сертификатов часть значения Subject будет содержать Microsoft.
Создание сертификата
Для создания сертификата необходимо указать значения -DnsName (имя DNS-сервера) или -Subject и -CertStoreLocation (хранилище сертификатов, в которое будет помещен созданный сертификат). Чтобы создать сертификат для DNS itsecforu-test.com и установить его в список Личные сертификаты в системе, выполните следующую команду:
По умолчанию самоподписанный сертификат генерируется со следующими настройками:
- Криптографический алгоритм: RSA;
- Длина ключа: 2048 бит;
- Допустимое использование ключа: Проверка подлинност клиента и Проверка подлинности сервера;
- Сертификат может быть использован для цифровой подписи, шифрования ключей;
- Срок действия: 1 год.
Срок действия сгенерированного сертификата ограничен одним годом. Для увеличения срока действия сертификата необходимо указать соответствующий атрибут Date с увеличенным значением срока действия с помощью ключа -notafter. Чтобы выпустить сертификат на 5 лет, выполните приведенную ниже команду:
Новые сертификаты могут быть созданы только в личных хранилищах Cert:\LocalMachine\My или Cert:\CurrentUser\My. Выполните приведенную ниже команду help для просмотра всех остальных параметров, принимаемых командой New-SelfSignedCertificate:
Установка сертификата pfx
Сертификат может быть установлен в различные места хранения, каждое место хранения имеет свое определенное назначение, но в этой статье мы будем устанавливать в четыре места Cert:\CurrentUser\My, Cert:\LocalMachine\My, Cert:\CurrentUser\Root и Cert:\LocalMachine\Root. Расположение My является личным хранилищем для ненадежных приложений, а Root – хранилищем для доверенных сертификатов.
Команда, используемая для установки общего сертификата, отличается от команды для установки сертификата PFX. Для установки сертификата pfx используется команда Powershell Import-PfxCertificate.
Чтобы установить сертификат PFX в личное хранилище текущего пользователя, используйте следующую команду:
Для установки в личное местоположение системы измените местоположение хранилища в команде выше с Cert:\CurrentUser\My на Cert:\LocalMachine\My.
Чтобы установить PFX сертификат в доверенное хранилище текущего пользователя, используйте следующую команду:
При установке в корневое расположение текущего пользователя появится диалоговое окно для подтверждения установки сертификата, но при установке в системное корневое расположение никакого диалога не появится. Для установки в системное доверенное место измените расположение хранилища в команде выше с Cert:\CurrentUser\Root на Cert:\LocalMachine\Root.
Добавление сертификата в список доверенных
Недоверенный сертификат гораздо опаснее и подозрительнее, чем отсутствие сертификата вообще, поэтому важно добавить наш сертификат в доверенные корневые сертификаты.
Сертификаты могут быть созданы только в хранилище Cert:\LocalMachine\My или Cert:\CurrentUser\My . Поскольку любой сертификат в этом месте по умолчанию помечен как недоверенный, чтобы сделать его легитимным, необходимо его переместить из Cert:\LocalMachine\My или Cert:\CurrentUser\My в Cert:\LocalMachine\Root и Cert:\CurrentUser\Root соответственно.
Проверка наличия дубликата сертификата
Чтобы избежать повторного добавления уже существующего сертификата в хранилище сертификатов, перед добавлением нового сертификата с тем же значением Subject следует проверить и удалить уже имеющийся сертификат. Powershell автоматически создает путь виртуального диска для метки cert: и ведет себя как обычный каталог. В приведенном ниже фрагменте проверяется путь cert:\LocalMachine\My хранилища сертификатов, чтобы найти сертификат по значению Subject.
Экспорт и импорт сертификата
Команды для импорта и экспорта pfx-сертификата отличаются от команд для экспорта и импорта обычного сертификата. Команда Import-PfxCertificate используется для импорта запароленного сертификата pfx, а команда Export-PfxCertificate – для экспорта сертификата из места хранения в новое местоположение файла.
Экспорт сертификата pfx
Для экспорта сертификата pfx необходим пароль для шифрования закрытого ключа. В приведенном ниже примере мы используем значение Subject для поиска экспортируемого сертификата, выбрав сертификат, значение Subject которого равно itsecforu-test.com
Импорт сертификата pfx
Скаченные или экспортированные сертификаты pfx можно установить с помощью команды Import-PfxCertificate. Для импорта требуется пароль для сертификата и местоположение.
Команда ниже импортирует сертификат pfx, который мы экспортировали ранее:
Параметр -Exportable отмечает закрытый ключ как экспортируемый.
Как экспортировать сертификат cer из pfx
Для экспорта сертификата из файла pfx используется комбинированная команда Get-PfxCertificate и Export-Certificate. Get-PfxCertificate используется для поиска сертификата pfx, а Export-Certificate – для экспорта указанного сертификата в FilePath. Требуется ввод пароля от pfx контейнера Ниже приведенная команда экспортирует сертификат в кодировке DER (двоичный) из файла pfx.
Обратите внимание на параметр-Type, который используется для указания типа экспортируемого сертификата, в данном примере это сертификат CERT в кодировке DER (двоичный). Существуют и другие типы, они перечислены ниже.
Удаление сертификата
Для удаления сертификата можно использовать команду Remove-Item в Powershell. Перед удалением сертификата необходимо узнать его значение thumbprint (отпечатка) или определить сам объект сертификата.
Удаление с помощью thumbprint
В приведенном ниже фрагменте для удаления используется отпечаток сертификата…
Поиск и удаление сертификата с помощью сопоставления значений
Сертификат можно искать в хранилище с помощью команды Where-Object, которая принимает условный оператор, соответствующий искомому сертификату.
Обратите внимание, что мы используем значения поля сертификата Subject , другие возможные параметры – Thumbprint и SerialNumber.
Диспетчер сертификатов Windows
Диспетчер сертификатов Windows (certmgr.msc) – это приложение с графическим интерфейсом Windows для управления сертификатами. Найдите certmgr в меню Пуск, чтобы открыть Windows Certificates MMC или введите certmgr.msc в командной строке. Вид консоли предоставляет собой обзор всех локальных хранилищ.
Сертификаты можно устанавливать, удалять, импортировать и экспортировать из диспетчера сертификатов Windows.
Pfx файл сертификата как установить
Инструкции администратора
Инструкция по работе с сертификатами пользователей в системе DIRECTUM
Установка закрытого ключа
Чтобы получить возможность подписывать документы в системе DIRECTUM необходимо установить закрытый ключ на компьютеры пользователей. Для этого используется файл с расширением «. PFX », полученный в разделе «Экспорт закрытого ключа в файл «. PFX ».
· Шаг 1. Скопировать файл с расширением «.PFX» на компьютер пользователя любым удобным способом;
· Шаг 2. Щелкнуть на файле два раза;
· Шаг 3. Окно «Мастер импорта сертификатов»:
· нажать кнопку Далее >;
· Шаг 4. Окно «Мастер импорта сертификатов»/«Импортируемый файл»:
· для изменения пути и имени импортируемого файла можно воспользоваться кнопкой Обзор…;
· нажать кнопку Далее >;
· Шаг 5. Окно «Мастер импорта сертификатов»/«Пароль»:
· в поле «Пароль» набрать пароль, заданный для файла в пункте «Экспорт закрытого ключа в файл «.PFX»;
· нажать кнопку Далее >;
· Шаг 6. Окно «Мастер импорта сертификатов»/«Хранилище сертификатов»:
· установить переключатель в положение «Автоматически выбрать хранилище на основе типа сертификата»;
· нажать кнопку Далее >;
· Шаг 7. Окно «Мастер импорта сертификатов»/«Завершение работы мастера импорта сертификатов»:
Импорт ключа ЭП в формате PFX
1. Скопируйте на целевой компьютер файл с расширением PFX, полученный экспортом электронной подписи. Откройте файл (установите на него курсор и дважды щелкните мышью или нажмите Enter) и следуйте инструкции установщика, ориентируясь на скриншоты ниже:
3a. Если при экспорте файл был защищен паролем, введите пароль:
3b. Если подразумевается, что может потребоваться импортировать с вашего компьютера ЭП на другие рабочие места, укажите эту опцию:
5. Нужно указать место, куда импортируется закрытый контейнер ЭП. На выбор предлагаются токены, флешки и реестр. Рекомендуется использовать реестр, в этом случае не потребуется никаких дополнительных устройств.
7. Придумайте и введите пароль два раза. Сделайте всё, чтобы он не был утерян, т.к. восстановление пароля будет проблематично.
8. Введите пароль из пункта 7 ещё раз и поставьте галочку «Запомнить пароль»: