Как найти сертификат электронной подписи в Windows 10 и 11: способы просмотра

Сертификат электронной подписи можно искать в хранилищах Windows, через программу «КриптоПро CSP» или в системе электронного документооборота. Начните с хранилища текущего пользователя; если сертификата там нет, проверьте хранилище компьютера и носитель с ключом. Для облачной подписи используйте сервис, через который подписываете документы.

Что именно вы ищете

В обиходе «электронной подписью» называют несколько разных объектов:

• Сертификат — цифровой документ, который подтверждает, кому принадлежит подпись. В нем указаны владелец, удостоверяющий центр, срок действия и открытый ключ. Сертификат не секретен, его можно показывать и передавать контрагентам.
• Закрытый ключ — секретная часть. Он хранится в контейнере на токене, смарт-карте, диске или в облаке. Доступ к нему может быть защищен PIN-кодом. Без закрытого ключа подписать документ невозможно.
• Контейнер — место, где лежит закрытый ключ.
• Криптопровайдер — программа, которая выполняет подпись и шифрование. Для российской подписи часто используется «КриптоПро CSP». Если ключ создан для другого криптопровайдера, искать его контейнер нужно с учетом используемой программы. Это не означает, что сам сертификат нельзя увидеть в хранилище Windows.

Поэтому «найти сертификат» может означать три разные задачи: посмотреть сам сертификат, найти контейнер с ключом или проверить, что сертификат связан с ключом. Для каждой задачи свой инструмент.

Где сертификат может находиться

Сертификат электронной подписи лежит в одном или нескольких местах:

Хранилища сертификатов Windows связаны с реестром. Для локального компьютера используется ветка HKEY_LOCAL_MACHINE, для текущего пользователя — HKEY_CURRENT_USER. Смотреть сертификаты напрямую в редакторе реестра неудобно, для этого есть специальные оснастки. Запись сертификата в реестре не следует принимать за контейнер закрытого ключа.

Способ 1. Через «КриптоПро CSP»

Этот способ подходит, если подпись выпущена на ГОСТ-алгоритмах и вы работаете с ней через «КриптоПро». Через программу можно искать доступный контейнер и просматривать связанный с ним сертификат. Наличие сертификата в Windows и доступность контейнера проверяют отдельно.

1. Откройте «КриптоПро CSP». Если программа не находится через меню «Пуск», сначала выясните, какой криптопровайдер используется на этом рабочем месте.
2. Откройте средства просмотра сертификата из контейнера.
3. Просмотрите доступные контейнеры. Если ключ записан на токене или флешке, подключите этот носитель перед просмотром.
4. Выберите нужный контейнер и откройте связанный с ним сертификат. Если программа запросит PIN-код, используйте установленный для вашего носителя код. Не подбирайте его: неверные вводы могут заблокировать носитель.
5. Проверьте владельца и срок действия найденного сертификата. Если задача — установить его в Windows, используйте средства установки сертификата, предусмотренные вашей программой.

Если токен вставлен в USB-порт, а в списке контейнеров его нет, сначала проверьте подключение. Убедитесь, что носитель плотно вставлен, посмотрите на индикатор, если он есть, а затем попробуйте другой порт. Отсутствие контейнера в списке еще не доказывает, что ключ утрачен.

В «КриптоПро CSP» можно проверить сведения о программе и лицензии. Лицензия на программу и срок действия сертификата — разные вещи. Если сертификат найден, но подписание не работает, состояние лицензии проверяют отдельно от срока действия сертификата.

Способ 2. Через хранилище текущего пользователя

Начните с хранилища сертификатов вашей учетной записи Windows. Оно позволяет посмотреть установленные сертификаты, не разыскивая файлы на диске и не открывая редактор реестра.

1. Откройте средства управления сертификатами Windows. Для доступа к хранилищам можно использовать консоль MMC, описанную в следующем разделе.
2. Выберите хранилище текущего пользователя.
3. Откройте список установленных сертификатов.
4. Найдите сертификат по владельцу и удостоверяющему центру. Если сертификатов несколько, сопоставьте их сроки действия.
5. Откройте найденный сертификат и просмотрите сведения о нем.

В сертификате проверьте, кому и кем он выдан, а также срок действия. Если средство просмотра показывает сведения о связи с закрытым ключом, учитывайте их при дальнейшей проверке. Связь сертификата с ключом не гарантирует успешное подписание: носитель и сам ключ должны быть доступны используемой программе.

Средства управления сертификатами позволяют просматривать, импортировать, экспортировать и удалять сертификаты. Для поиска удаление не требуется. Если контейнер потерян, восстановить закрытый ключ по одному лишь сертификату нельзя; удаление или повторный импорт сертификата эту проблему не решает.

Способ 3. Через консоль управления MMC

Консоль MMC позволяет работать с хранилищами сертификатов текущего пользователя и локального компьютера. Она полезна, когда сертификат не найден в хранилище вашей учетной записи и нужно проверить другой тип хранилища.

1. Нажмите Win + R, введите mmc и нажмите Enter.
2. Откройте настройку оснасток консоли.
3. Добавьте оснастку для управления сертификатами.
4. Выберите хранилище текущего пользователя или локального компьютера — в зависимости от того, где ищете сертификат.
5. Завершите настройку оснастки и просмотрите сертификаты выбранного хранилища.

После этого в консоли появятся хранилища выбранного типа. Если сертификата нет в хранилище пользователя, проверьте хранилище компьютера. Отсутствие в обоих хранилищах означает, что здесь установленная копия не найдена. Следующий шаг — проверить носитель, контейнер или сервис, через который используется подпись.

Способ 4. Через свойства браузера

Сертификаты можно посмотреть через системное окно «Свойства браузера» — в некоторых вариантах интерфейса оно называется «Свойства обозревателя»:

1. Откройте «Панель управления» и найдите «Свойства браузера».
2. Перейдите на вкладку «Содержание».
3. Нажмите «Сертификаты».
4. Выберите сертификат и нажмите «Просмотр».

Этот путь предназначен для просмотра установленных сертификатов. Если нужного сертификата в списке нет, продолжите поиск в другом хранилище Windows или через криптопровайдер. Просмотр списка не заменяет поиск контейнера закрытого ключа на носителе.

Как выбрать способ

Что проверить в найденном сертификате

Нашли сертификат — проверьте несколько полей, прежде чем подписывать документы:

• Срок действия. Найденный сертификат может оказаться просроченным. Сопоставьте его срок с тем сертификатом, которым собираетесь подписывать документы.
• Владелец. Организация или физическое лицо, на которое выпущен сертификат. Для работы от имени компании важно, чтобы владелец совпадал с нужным лицом.
• Издатель. Удостоверяющий центр, выдавший сертификат. Не путайте его с владельцем: название центра помогает различить сертификаты, но само по себе не определяет возможность работы в конкретной системе.
• Закрытый ключ. Наличие установленного сертификата не подтверждает доступность ключа. Если нужно подписывать документы, дополнительно найдите соответствующий контейнер и подключите носитель.

Если при подписании появляется сообщение об отзыве сертификата, это отдельная задача, связанная с его статусом. Поиск сертификата в хранилище не устраняет причину такого сообщения.

Сертификат не отображается: что проверить

Типичные ситуации выглядят так.

Сертификата нет в хранилище текущего пользователя

Проверьте хранилище компьютера. Сертификат также может оставаться на токене и не быть установленным в Windows. Если вы используете «КриптоПро CSP», просмотрите сертификат из доступного контейнера; установку выполняйте через средства используемого криптопровайдера.

Сертификат виден в Windows, но «КриптоПро CSP» не находит контейнер

Установленный сертификат и закрытый ключ могут находиться в разных местах. Подключите носитель и повторите просмотр контейнеров. Проверьте также, с каким криптопровайдером используется ключ. Если ключ действительно утрачен, одного установленного сертификата для подписания недостаточно.

Ключ используется с другим криптопровайдером

Ищите контейнер средствами этой программы. Не делайте вывод об отсутствии сертификата только по списку контейнеров «КриптоПро CSP»: сертификат может быть установлен в Windows, а ключ обслуживаться другим криптопровайдером.

Токен не определяется

Проверьте подключение и драйверы носителя. Если для вашего токена предусмотрена программа управления, используйте ее для проверки доступных данных. Отсутствие сертификата в одном инструменте не подтверждает, что на носителе ничего нет.

Сертификат открылся, но подписать не получается

Проверьте доступность контейнера и состояние лицензии используемого криптопровайдера. Срок действия сертификата и лицензия программы — разные проверки. Повторный поиск сертификата не решает проблему с лицензией или доступом к ключу.

Файлы ключа на диске пропали

Если ключ хранился в папке, проверьте, доступен ли контейнер криптопровайдеру и есть ли резервная копия. Не определяйте повреждение по произвольному количеству файлов. Восстановить закрытый ключ из одного сертификата невозможно.

Переустановка криптопровайдера не должна быть первым действием при поиске сертификата. Сначала проверьте носитель, используемую программу и хранилища Windows. Не удаляйте контейнеры и настройки, пытаясь сделать сертификат видимым.

Копирование и перенос сертификата

Средства управления сертификатами Windows позволяют экспортировать сертификат в файл. Если экспортируется только открытая часть, такой файл можно передать контрагенту или загрузить в систему для проверки подписи. Закрытый ключ при этом не передается: копия сертификата не заменяет контейнер.

Возможность перенести закрытый ключ зависит от ограничений ключа и носителя. Неактивная кнопка копирования может быть связана с запретом экспорта, но по ней одной нельзя установить причину. Смена компьютера не обязательно требует нового сертификата: сначала выясните, доступен ли прежний носитель с ключом.

Для импорта используйте средства управления сертификатами Windows и выберите хранилище, в которое нужно добавить сертификат. Импорт файла с открытой частью не создает закрытый ключ. Если он уже существует на носителе или в другом контейнере, доступ к нему проверяют отдельно; если его нет, один импорт не позволит подписывать документы.

Где лучше хранить ключи

Выбор носителя зависит от требований удостоверяющего центра и системы, в которой вы подписываете документы. Токен, смарт-карта, диск и облачный сервис — разные места хранения ключа; возможность копирования и способ доступа зависят от конкретного варианта. Для поиска сначала определите, какой носитель или сервис используется. Облачный ключ ищут через сервис, а копия сертификата при этом может быть установлена и в Windows.

Ответы на частые вопросы

Чем отличается просмотр сертификата от поиска контейнера?

Просмотр сертификата показывает данные о владельце и сроке действия, а контейнер хранит закрытый ключ. Сертификат может быть установлен в Windows, но подписать им документ получится только при доступном контейнере. Найденная копия сертификата не заменяет ключ: для подписания нужно отдельно проверить носитель и доступ к контейнеру через используемый криптопровайдер.

Почему хранилище текущего пользователя пусто, хотя подпись работает?

Вы можете смотреть другое хранилище, чем то, с которым работает приложение. Проверьте сертификаты локального компьютера, затем носитель и используемый криптопровайдер. Если подпись облачная, посмотрите сертификат в соответствующем сервисе. Пустой список в одном хранилище не доказывает отсутствия сертификата во всех остальных местах.

Сертификат есть в хранилище пользователя, но не виден другому пользователю компьютера. Это нормально?

Да. Хранилище текущего пользователя связано с учетной записью, а хранилище локального компьютера имеет другую область доступа. При поиске сопоставьте, под какой учетной записью установлен сертификат и под какой запущено приложение. Установка сертификата для другого пользователя не переносит закрытый ключ и не гарантирует, что этот пользователь сможет подписывать документы.

Токен выдан другой организацией. Можно ли найти на нем сертификат так же?

Организация, выдавшая носитель, не заменяет сведения о владельце сертификата. Подключите токен и используйте подходящий криптопровайдер или программу управления носителем. Если доступ потребует PIN-код, используйте известный код этого токена. После открытия сертификата проверьте владельца: выдача носителя одной организацией не означает, что сертификат принадлежит ей или вам.

Как проверить версию «КриптоПро CSP» и лицензию?

Откройте установленную программу и найдите сведения о версии и лицензии в ее интерфейсе. При диагностике записывайте эти данные отдельно от срока действия сертификата: это разные характеристики. Если сертификат найден, но подписание не работает, дополнительно проверьте доступ к контейнеру. По одному сроку сертификата нельзя судить о состоянии программы и ее лицензии.

Можно ли найти сертификат через реестр Windows?

Хранилища сертификатов связаны с ветками реестра HKEY_LOCAL_MACHINE для компьютера и HKEY_CURRENT_USER для текущего пользователя. Для практического поиска удобнее консоль MMC и другие средства управления сертификатами Windows. Не принимайте запись сертификата за контейнер закрытого ключа: поиск сертификата в реестре не подтверждает, что ключ доступен для подписания.