Как перенести электронную подпись на другой компьютер: инструкция для КриптоПро и токена

Перенос электронной подписи на другой компьютер зависит от того, где хранится закрытый ключ. Если КЭП записана на Рутокен, JaCarta или другой защищенный USB-токен, сам ключ обычно переносить вообще не требуется — достаточно подключить носитель к новому компьютеру и настроить рабочее место.

Что именно нужно перенести на новый компьютер

В разговорной речи обычно говорят «перенести электронную подпись» или «перенести ЭЦП». Технически рабочая электронная подпись состоит из нескольких компонентов.

Главные из них:

• закрытый ключ — используется непосредственно для создания электронной подписи;
• контейнер закрытого ключа — хранилище, в котором находится ключ;
• сертификат ключа проверки электронной подписи — содержит открытый ключ и сведения о владельце.

На новом компьютере также может понадобиться КриптоПро CSP или другой криптопровайдер, драйвер токена, браузерный плагин и необходимые корневые и промежуточные сертификаты удостоверяющего центра.

Самая распространенная ошибка — скопировать на новый компьютер только файл сертификата .cer. Этого недостаточно.

Сертификат содержит открытые данные и позволяет, например, проверять электронную подпись. Но для создания новой подписи нужен закрытый ключ. КриптоПро прямо указывает, что для работы с личным сертификатом на другом компьютере сертификат должен быть связан с соответствующим личным ключом пользователя.

Поэтому если после переноса сертификат отображается в Windows, но при подписании появляется сообщение об отсутствии контейнера закрытого ключа, скорее всего, перенесен только сертификат, а сам ключ остался на старом компьютере.

Сначала определите, где хранится электронная подпись

От этого зависит весь дальнейший порядок действий.

На практике встречаются три основных сценария.

Если вы не знаете, где находится ключ, это можно проверить в КриптоПро.

Откройте Инструменты КриптоПро и перейдите в раздел Контейнеры. В списке будут отображаться доступные контейнеры и их носители.

Названия могут отличаться в зависимости от версии программы и типа хранилища. Например, контейнер может находиться в реестре Windows, директории или на подключенном токене.

Вариант 1. Подпись хранится на Рутокен или JaCarta

Это один из самых простых сценариев.

Если закрытый ключ уже находится на аппаратном токене, копировать его на новый компьютер обычно не требуется. На новое рабочее место переносится сам токен.

КриптоПро предусматривает использование ключей и сертификатов на разных компьютерах с одного ключевого носителя: на новом рабочем месте необходимо установить сертификат и связать его с личным ключом на носителе.

Шаг 1. Установите КриптоПро CSP

На новом компьютере установите актуальную и совместимую версию КриптоПро CSP, если именно этот криптопровайдер используется для вашей подписи. После установки может потребоваться перезагрузка компьютера. Если для вашей версии или сценария использования требуется отдельная лицензия КриптоПро CSP, убедитесь, что она активирована.

Шаг 2. Установите драйвер токена

Для работы защищенного носителя может потребоваться программное обеспечение производителя. Например, для разных моделей используются соответствующие драйверы и управляющие модули Рутокен, JaCarta и других носителей. После установки подключите токен и убедитесь, что компьютер его определяет.

Шаг 3. Откройте «Инструменты КриптоПро»

Запустите приложение и перейдите в раздел: Контейнеры.

В списке должен появиться контейнер электронной подписи, находящийся на подключенном носителе.

Если контейнер не отображается, сначала проверьте: верно ли установлен драйвер токена, определяется ли сам носитель Windows и видит ли его КриптоПро.

Шаг 4. Установите сертификат

Выберите контейнер нужной электронной подписи и нажмите: Установить сертификат.

КриптоПро установит личный сертификат в соответствующее хранилище и свяжет его с закрытым ключом. Такой порядок предусмотрен интерфейсом «Инструментов КриптоПро».

После установки сертификат должен появиться в хранилище личных сертификатов пользователя.

Шаг 5. Установите необходимые плагины

Если электронная подпись используется через браузер — например, на госпорталах, торговых площадках или в веб-сервисах ЭДО, — может дополнительно потребоваться КриптоПро ЭЦП Browser plug-in или плагин конкретного сервиса.

Наличие самого сертификата в Windows еще не гарантирует, что сайт сможет обратиться к нему через браузер.

Шаг 6. Проверьте подпись

Не удаляйте настройки со старого компьютера сразу. Сначала на новом рабочем месте: откройте сервис, где обычно используется КЭП, войдите с электронной подписью и попробуйте выполнить тестовое подписание.

Только после успешной проверки можно считать перенос завершенным.

Если электронная подпись выдана ФНС

Для КЭП руководителя юридического лица, индивидуального предпринимателя или нотариуса, полученной в УЦ ФНС России, действует важное ограничение.

Закрытый ключ такой подписи скопировать с токена на другой компьютер или другой носитель нельзя.

ФНС прямо указывает, что выдаваемые ее удостоверяющим центром квалифицированные сертификаты имеют неэкспортируемые закрытые ключи.

Это означает, что при покупке нового компьютера схема выглядит так: старый компьютер → токен остается тем же → новый компьютер.

На новом ПК устанавливаются необходимое программное обеспечение, драйвер носителя и сертификаты, после чего подключается тот же USB-токен. Сам закрытый ключ при этом остается внутри носителя.

Попытка «скопировать ЭЦП ФНС с Рутокена на компьютер» штатными средствами завершиться не должна — именно так и задумано с точки зрения безопасности.

ФНС объясняет, что запрет экспорта уменьшает риск появления неучтенных копий закрытого ключа и его использования посторонними лицами.

Вариант 2. Электронная подпись хранится в реестре компьютера

Сложнее ситуация, когда контейнер закрытого ключа находится непосредственно на старом компьютере — например, в реестре Windows.

В таком случае одного файла .cer также недостаточно. Необходимо перенести сам контейнер закрытого ключа.

Для этого лучше использовать штатные средства КриптоПро, а не вручную копировать ветки системного реестра.

В документации КриптоПро предусмотрена отдельная функция копирования контейнера закрытого ключа.

Как скопировать контейнер через КриптоПро

На старом компьютере:

1. Подключите USB-носитель, на который временно будет записана копия контейнера.
2. Откройте Инструменты КриптоПро.
3. Перейдите в Контейнеры.
4. Найдите контейнер нужной электронной подписи.
5. Нажмите Скопировать контейнер.
6. Выберите внешний носитель для новой копии.
7. При необходимости введите пароль от исходного контейнера.
8. Задайте пароль для создаваемой копии.

Официальная инструкция КриптоПро указывает, что функция копирования доступна только для ключей, при создании которых был установлен признак экспортируемости.

После этого подключите носитель к новому компьютеру.

На новом ПК установите КриптоПро CSP, откройте Инструменты КриптоПро → Контейнеры, найдите перенесенный контейнер и установите сертификат.

Если вы хотите в дальнейшем хранить экспортируемый контейнер не на переносном носителе, а в разрешенном локальном хранилище нового компьютера, его можно скопировать туда средствами КриптоПро, если такой сценарий допустим для конкретного ключа и вашей политики безопасности.

Почему кнопка «Скопировать контейнер» неактивна

Это очень важный диагностический признак.

Если контейнер виден в КриптоПро, но кнопка «Скопировать контейнер» недоступна, одной из наиболее вероятных причин является запрет экспорта закрытого ключа.

Представитель КриптоПро в ответе на аналогичный случай прямо указывает: если функция копирования недоступна, экспорт и копирование данного контейнера запрещены.

Не нужно пытаться обходить это ограничение копированием случайных файлов из системных папок.

Для неэкспортируемого ключа правильное решение зависит от его хранилища.

Если ключ находится на токене — используйте этот же токен на новом компьютере.

Если доступ к неэкспортируемому ключу утрачен вместе со старым устройством или носителем, может потребоваться перевыпуск сертификата.

Можно ли перенести ЭЦП через файл .cer

Саму электронную подпись — нет.

Файл .cer содержит сертификат ключа проверки электронной подписи, но не закрытый ключ, необходимый для подписания.

Поэтому схема: экспортировать .cer → перенести .cer → установить на новом ПК — подходит для переноса сертификата, но не обеспечивает возможность подписывать документы, если закрытого ключа на новом компьютере нет.

КриптоПро также поясняет, что сертификат без ссылки на закрытый ключ можно устанавливать на другие компьютеры, например для проверки электронной подписи владельца, но это не предоставляет доступ к его личному ключу.

Именно поэтому после неправильного переноса часто возникает ситуация: сертификат отображается в системе, срок действия нормальный, владелец указан правильно, но сервис сообщает «Не найден закрытый ключ», «Не найден контейнер закрытого ключа» или предлагает выбрать контейнер вручную.

Можно ли перенести электронную подпись через PFX

Формат PFX/P12 технически может содержать сертификат вместе с закрытым ключом, если ключ допускает экспорт.

Однако использовать этот способ можно далеко не для каждой электронной подписи.

Если закрытый ключ является неэкспортируемым, выгрузить его вместе с сертификатом в PFX штатным способом не получится.

Поэтому универсальный совет «экспортируйте ЭЦП в PFX» некорректен.

Для квалифицированных подписей особенно важно учитывать способ создания ключа, требования удостоверяющего центра и используемого средства криптографической защиты.

Если задача состоит именно в переносе контейнера КриптоПро, предпочтительнее использовать штатную функцию «Скопировать контейнер», когда она доступна.

Электронная подпись находится на обычной флешке

Обычная USB-флешка и защищенный токен — не одно и то же.

На обычном накопителе контейнер может храниться в виде программных данных. Если контейнер экспортируемый, его можно перенести средствами КриптоПро на другое разрешенное хранилище.

Защищенный токен предназначен именно для безопасного хранения ключевой информации и может запрещать извлечение закрытого ключа.

Для современной квалифицированной электронной подписи нельзя исходить из принципа «вижу файлы на флешке — значит, могу просто скопировать папку».

Используйте предусмотренную криптопровайдером операцию копирования контейнера.

Что делать, если старый компьютер уже сломался

Здесь все зависит от места хранения ключа.

Если КЭП находится на токене, поломка компьютера обычно не является проблемой. Подключите токен к другому ПК и заново настройте рабочее место.

Если контейнер находился только в реестре старого компьютера, ситуация сложнее.

Если получить доступ к старой системе или резервной копии контейнера невозможно, одного сертификата .cer для восстановления закрытого ключа недостаточно.

Закрытый ключ нельзя вычислить или восстановить из открытого сертификата. В таком случае может потребоваться получение новой электронной подписи.

Именно поэтому для экспортируемых программных контейнеров резервное копирование необходимо продумывать заранее — с соблюдением требований к защите закрытого ключа.

Нужно ли удалять подпись со старого компьютера

Не делайте этого до завершения проверки нового рабочего места.

Сначала убедитесь, что на новом компьютере: КриптоПро видит нужный контейнер, сертификат связан с закрытым ключом, браузер и необходимые сервисы обнаруживают сертификат, а тестовый документ успешно подписывается.

После этого вопрос удаления старой копии зависит от типа ключа и правил его эксплуатации.

Если контейнер был скопирован из локального хранилища и старый компьютер больше не должен иметь возможность подписывать документы, старую копию разумно удалить безопасным способом.

Но сначала убедитесь, что новая копия действительно работает.

Почему после переноса электронная подпись не работает

Даже правильно перенесенный контейнер еще не гарантирует, что конкретный сайт или программа сразу увидит КЭП.

Частые причины можно разделить по симптомам.

Сертификат есть, но написано «Нет закрытого ключа»

Скорее всего, сертификат установлен отдельно от контейнера или неправильно связан с ним. Откройте КриптоПро, найдите нужный контейнер и повторно выполните «Установить сертификат».

КриптоПро не видит токен

Проверьте драйвер носителя, другой USB-порт и определяется ли устройство операционной системой. Если токен не определяется даже программой производителя, проблема, вероятнее всего, находится ниже уровня КриптоПро.

Контейнер есть, но сертификата нет

Откройте его через раздел «Контейнеры» в Инструментах КриптоПро и установите сертификат.

Сертификат установлен, но сайт его не видит

Проверьте наличие и работу браузерного плагина, перезапустите браузер и убедитесь, что используется поддерживаемый браузер. Некоторые сайты также требуют установки дополнительных компонентов собственного сервиса.

Появляется ошибка цепочки сертификатов

На новом компьютере могут отсутствовать необходимые корневые или промежуточные сертификаты удостоверяющего центра. В этом случае необходимо установить актуальную цепочку сертификатов из официального источника соответствующего УЦ.

Кнопка копирования контейнера недоступна

Сначала предполагайте, что ключ неэкспортируемый, а не что КриптоПро «сломался». Для таких контейнеров копирование может быть специально запрещено.

Как безопасно перенести электронную подпись

Закрытый ключ дает возможность подписывать документы от имени его владельца, поэтому относиться к нему как к обычному файлу нельзя.

ФНС отдельно предупреждает о рисках появления неучтенных копий экспортируемых ключей: получив закрытый ключ и данные для доступа к нему, посторонний человек потенциально может создавать электронные подписи от имени владельца.

Поэтому закрытый ключ не следует отправлять по электронной почте, в мессенджере или загружать в обычное облачное хранилище для передачи между компьютерами. Не передавайте другим людям PIN-код токена или пароль контейнера.

Если для переноса используется временный USB-носитель, после успешного переноса и проверки рабочего места необходимо решить вопрос с безопасным хранением или удалением временной копии ключа.

Нужно ли получать новую электронную подпись при покупке нового компьютера

Обычно нет.

Сертификат электронной подписи не привязан к конкретному компьютеру только потому, что вы впервые использовали его именно на этом устройстве.

Если действующий закрытый ключ сохранился и его можно использовать на новом рабочем месте, перевыпуск сертификата не требуется.

Например, если КЭП находится на токене, достаточно подключить этот же носитель к новому ПК и настроить программное обеспечение.

Новая электронная подпись понадобится в другой ситуации — например, если старый закрытый ключ был утрачен, скомпрометирован или использовать его на новом рабочем месте технически невозможно.

Как перенести ЭЦП ФНС на другой компьютер

Для КЭП, выпущенной УЦ ФНС России, правильнее говорить не о копировании подписи, а о настройке нового компьютера для работы с тем же токеном.

ФНС подтверждает, что выдаваемые ею ключи являются неэкспортируемыми, поэтому скопировать закрытый ключ с токена нельзя.

На новом компьютере потребуется установить необходимые компоненты для работы с КЭП, подключить токен и установить личный сертификат. Сам USB-токен остается носителем закрытого ключа.

Если токен потерян или неисправен и доступа к ключу больше нет, его нельзя восстановить из файла сертификата. Потребуется решать вопрос с прекращением действия старого сертификата и получением нового.

Можно ли использовать одну электронную подпись на двух компьютерах

Если закрытый ключ хранится на переносном токене, один и тот же носитель можно подключать к разным настроенным рабочим местам. На каждом компьютере должно быть установлено необходимое программное обеспечение и личный сертификат.

Если ключ экспортируемый, технически могут существовать его копии на нескольких компьютерах.

Но здесь возникает вопрос безопасности.

Чем больше копий закрытого ключа существует, тем сложнее контролировать доступ к нему. ФНС отдельно отмечает, что экспортируемые ключи создают риск возникновения неучтенных копий и усложняют контроль их использования.

Поэтому создавать дополнительные копии только ради удобства без необходимости не стоит.

Для неэкспортируемой КЭП на аппаратном носителе закрытый ключ остается на самом токене — между компьютерами перемещается носитель, а не ключ.

Перенос электронной подписи на новый компьютер: краткая схема

Если упростить весь процесс, сначала определите тип хранения ключа.

• КЭП на токене: установите на новом компьютере КриптоПро и необходимые драйверы → подключите токен → установите сертификат из контейнера → установите плагины → проверьте подписание.
• Экспортируемый контейнер в реестре или локальном хранилище: через Инструменты КриптоПро скопируйте контейнер на защищенный переносной носитель → перенесите его на новый ПК → установите сертификат → проверьте работу.
• Неэкспортируемый контейнер: скопировать закрытый ключ штатными средствами нельзя. Если он находится на токене, используйте тот же токен. Если доступ к ключу утрачен, может понадобиться новая электронная подпись.

Главное правило — не путать перенос сертификата с переносом электронной подписи. Файл .cer содержит открытую часть и сам по себе не позволяет подписывать документы. Для полноценной работы на новом компьютере должен быть доступен соответствующий контейнер закрытого ключа.

И если речь идет о КЭП ФНС на защищенном токене, переносить закрытый ключ вообще не нужно и невозможно: необходимо настроить новый компьютер для работы с тем же носителем.