Как найти пароль контейнера ключей

Зачастую пользователи не могут вспомнить пароль (пинкод) от контейнера ЭЦП, что неудивительно меняется он раз в год при плановой смене ключа ЭЦП после чего ставится галочка “запомнить пароль” и пароль больше никогда не вводится.Сохраненный пароль можно посмотреть с помощью консольной утилиты csptest, входящей в состав КриптоПро CSP.

Утилита находится в папке с установленным КриптоПро (по умолчанию C:Program FilesCrypto ProCSP).

Переходим в директорию с программой

cd “C:Program FilesCrypto ProCSP”

Смотрим имена доступных контейнеров закрытого ключа ЭЦП:

csptest -keyset -enum_cont -fqcn -verifycontext

команда выводит список доступных контейнеров вида: \.<имя считывателя><имя контейнера>

После этого выводим сохраненный пароль для нужного контейнера:

csptest -passwd -showsaved -container “<имя контейнера>”

PS: Данный способ подходит для КриптоПро 3.6 и выше. В КриптоПро 3.0 у утилиты csptest отсутствует опция -showsaved.

PPS: Если этот метод не помогает и у вас аппаратные контейнеры (токены), можно попробовать ввести пароль по умолчанию. Для rutoken это 12345678, для eToken 1234567890, для JaCarta PKI/ГОСТ 11111111 (1234567890 если включена опция обратная совместимость).

PPPS: Весь процесс можно автоматизировать обычным батником,который  массово достает пароли из всех доступных ключей. Большое спасибо . Скачать bat-файл можно отсюда. Текст батника:

@echo off
SetLocal EnableExtensions EnableDelayedExpansion
copy “C:Program FilesCrypto ProCSPcsptest.exe” >nul
chcp 1251
if exist %computername%.txt del /f /q %computername%.txt
if exist temp.txt del /f /q temp.txt
set NameK=””
for /f “usebackq tokens=3,4* delims=” %%a in (`csptest -keyset -enum_cont -fqcn -verifycontext` ) do (
set NameK=%%a
;csptest -passwd -showsaved -container “!NameK!” >> temp.txt
)
del /f /q csptest.exe
set/a $ai=-1
set/a $bi=2
for /f “usebackq delims=” %%a in (“temp.txt”) do @(set “$a=%%a”
if “!$a:~,14!”==”AcquireContext” echo:!$a! >> %computername%.txt
if “!$a:~,8!”==”An error” echo:Увы, ключевой носитель отсутствует или пароль не был сохранен. >> %computername%.txt & echo: >> %computername%.txt
if “!$a:~,5!”==”Saved” set/a $ai=1
if !$ai! geq 0 set/a $ai-=1 & set/a $bi-=1 & echo:!$a! >> %computername%.txt
if !$bi!==0 echo: >> %computername%.txt & set/a $bi=2
)
del /f /q temp.txt
EndLocal
echo on

Скачать отдельно утилиту csptest для версий 3.6 3.9 и 4.0 можно отсюда.

Зачастую пользователи не могут вспомнить пароль (пинкод) от контейнера ЭЦП, что неудивительно меняется он раз в год при плановой смене ключа ЭЦП после чего ставится галочка “запомнить пароль” и пароль больше никогда не вводится. Сохраненный пароль можно посмотреть с помощью консольной утилиты csptest, входящей в состав КриптоПро CSP.

Утилита находится в папке с установленным КриптоПро (по умолчанию C:Program FilesCrypto ProCSP).

Переходим в директорию с программой: cd “C:Program FilesCrypto ProCSP”

Смотрим имена доступных контейнеров закрытого ключа ЭЦП: csptest -keyset -enum_cont -fqcn -verifycontext
команда выводит список доступных контейнеров вида: \.<имя считывателя><имя контейнера>

После этого выводим сохраненный пароль для нужного контейнера: csptest -passwd -showsaved -container “<имя контейнера>”

P.S.: Данный способ подходит для КриптоПро 3.6 и выше. В КриптоПро 3.0 у утилиты csptest отсутствует опция -showsaved.

Если этот метод не помогает и у вас аппаратные контейнеры (токены), можно попробовать ввести пароль по умолчанию. Для rutoken это 12345678, для eToken 1234567890, для JaCarta PKI/ГОСТ 11111111 (1234567890 если включена опция обратная совместимость).

Весь процесс можно автоматизировать обычным батником, который массово достает пароли из всех доступных ключей. Большое спасибо Александру Санникову за доработку скрипта. Скачать bat-файл можно отсюда. Текст батника:

@echo off
SetLocal EnableExtensions EnableDelayedExpansion
copy "C:Program FilesCrypto ProCSPcsptest.exe" >nul
chcp 1251
if exist %computername%.txt del /f /q %computername%.txt
if exist temp.txt del /f /q temp.txt
set NameK=""
for /f "usebackq tokens=3,4* delims=" %%a in (`csptest -keyset -enum_cont -fqcn -verifycontext` ) do (
set NameK=%%a
;csptest -passwd -showsaved -container "!NameK!" >> temp.txt
)
del /f /q csptest.exe
set/a $ai=-1
set/a $bi=2
for /f "usebackq delims=" %%a in ("temp.txt") do @(set "$a=%%a"
if "!$a:~,14!"=="AcquireContext" echo:!$a! >> %computername%.txt
if "!$a:~,8!"=="An error" echo:Увы, ключевой носитель отсутствует или пароль не был сохранен. >> %computername%.txt & echo: >> %computername%.txt
if "!$a:~,5!"=="Saved" set/a $ai=1
if !$ai! geq 0 set/a $ai-=1 & set/a $bi-=1 & echo:!$a! >> %computername%.txt
if !$bi!==0 echo: >> %computername%.txt & set/a $bi=2
)
del /f /q temp.txt
EndLocal
echo on

Для работы с квалифицированной электронной подписью необходимо средство криптографической информации (СКЗИ). Это программа для защиты от изменений и шифрования подписанных данных. Также она запрашивает пароль контейнера при аутентификации пользователя. В настоящее время одним из самых популярных СКЗИ является КриптоПро CSP от компании КриптоПро.

Рассмотрим, где взять пароль КриптоПро CSP, если пользователь его забыл, как его удалить и какие пароли ставят по умолчанию на физические носители.

Как восстановить пароль контейнера

Восстановить пароль закрытого ключа невозможно. Его можно только подобрать или вспомнить. Чтобы подобрать пароль, пользователь сначала определяет носитель, на котором хранится контейнер закрытого ключа, а потом его тип.

Определить носитель

КриптоПро CSP 4.0/5.0

Для КриптоПро CSP версии 4.0/5.0 достаточно выполнить следующие шаги:

Открыть меню «Пуск» → «Все программы» → «КриптоПро CSP» → Вкладка «Сервис» → «Протестировать» → «Обзор»

Носитель, на котором записан контейнер закрытого ключа, будет показан в колонке «Считыватель».

КриптоПро CSP 5.0

В КриптоПро CSP версии 5.0 носитель контейнера можно посмотреть следующим образом:

Открыть меню «Пуск» → «Все программы» → «Инструменты КриптоПро» → «Контейнеры»

Носитель, на котором записан контейнер закрытого ключа, будет показан в колонке «Считыватель».

Определить тип носителя

Рассмотрим типы носителей, на которых хранится контейнер закрытого ключа:

• CLOUD — это контейнер закрытого ключа, который хранится в облачном сервере. Что делать, если пользователь забыл пароль и не знает, что вводить на данной странице:

В этом случае требуется обратиться в удостоверяющий центр, который выдал облачную электронную подпись, для восстановления данных.

Если при подписи документа авторизация пройдена, но всплывает данное окно:

То пароль закрытого ключа забыт. Он не восстанавливается. Его можно только подобрать, вспомнить или сделать перевыпуск сертификата. Для того чтобы вспомнить пароль, у пользователя есть ограниченное количество попыток. Если они закончились, ключ блокируется. Разблокируют его только в организации, выпустившей сертификат.

• REGESTRY — ключ находится в реестре. Ввод пароля ограничен 5 попытками.
• FAT12_<буква диска> — ключ хранится на съёмном диске. Ввод пароля ограничен 5 попытками.
• HDIMAGE — ключ находится на локальном диске. Ввод пароля ограничен 5 попытками.
• JaCarta, eToken, Rutoken, TokenPlusPlus, ESMART, MSKEY — ключ записан на физический носитель (токен). Количество попыток ввода пароля ограничено производителем токенов. Пароли по умолчанию, которые производитель устанавливает на носитель:
• JaCarta — 1234567890;
• Rutoken — 12345678 или 11111111;
• eToken — 1234567890.