Рутокен заблокирован после неправильного PIN-кода: как разблокировать и восстановить доступ

Рутокен блокирует доступ после нескольких неправильных попыток ввода PIN-кода.

Это нормальный механизм защиты: он не позволяет бесконечно подбирать пароль к носителю с электронной подписью.

В большинстве случаев блокировка PIN-кода пользователя еще не означает потерю электронной подписи.

Если известен PIN-код администратора Рутокена, счетчик попыток можно восстановить через программу управления устройством, не удаляя ключи и сертификаты.

Гораздо серьезнее ситуация, когда заблокирован PIN-код администратора.

Его стандартным способом разблокировать нельзя.

Для продолжения работы может потребоваться возврат устройства к заводским настройкам, а это удаляет находящиеся на токене данные.

Поэтому первое правило: если на экране осталось мало попыток ввода PIN-кода и вы не уверены в пароле — не продолжайте подбирать комбинации наугад.

Сначала определите, какой именно PIN заблокирован и сколько попыток осталось.

Почему Рутокен блокируется

У Рутокена предусмотрено ограниченное количество последовательных неправильных попыток аутентификации.

После исчерпания лимита соответствующий PIN блокируется.

Производитель указывает, что количество разрешенных попыток задается при инициализации или форматировании устройства.

Для типовой конфигурации часто используется 10 попыток, но фактическое значение на конкретном токене может быть другим.

Обычно блокировка возникает в трех ситуациях:

• пользователь забыл свой PIN;
• PIN вводился в программе автоматически с неправильным сохраненным значением;
• пользователь перепутал PIN пользователя, PIN администратора или пароль конкретного ключевого контейнера.

Последний вариант особенно важен для современных Рутокен ЭЦП 3.0: на одном устройстве могут использоваться разные данные доступа, поэтому не каждый запрос «Введите PIN» относится к одному и тому же паролю.

PIN пользователя и PIN администратора — в чем разница

На обычном Рутокене есть как минимум две роли.

PIN-код пользователя

Используется для повседневной работы с носителем и доступа к ключам электронной подписи.

Именно его чаще всего запрашивает КриптоПро, ЭДО, торговая площадка или другая программа при обращении к ключу.

PIN-код администратора

Используется для административных операций с устройством, включая управление PIN-кодами и разблокировку PIN пользователя.

Знать его обычному сотруднику для ежедневного подписания документов обычно не требуется.

По умолчанию для устройств Рутокен производитель указывает:

• PIN пользователя — 12345678;
• PIN администратора — 87654321.

Однако это значения только по умолчанию.

При выпуске электронной подписи, первоначальной настройке устройства или работе в организации PIN-коды могли быть изменены.

Производитель рекомендует менять стандартный PIN администратора перед использованием устройства.

Поэтому не вводите 87654321 многократно просто потому, что нашли этот код в интернете.

Если администраторский PIN ранее меняли, такими попытками можно заблокировать уже его.

Как понять, какой PIN заблокирован

Сначала откройте программу управления Рутокен.

В Windows для современных устройств можно использовать Центр управления Рутокен, который входит в актуальный комплект драйверов, а на ранее настроенных системах может использоваться Панель управления Рутокен.

Если блокировка произошла во время обычного подписания документов, скорее всего, исчерпан счетчик PIN пользователя.

Если неправильный пароль вводился после выбора роли «Администратор» в программе Рутокен, речь уже может идти о PIN администратора.

Также встречается код ошибки: 0x6983.

Техническая поддержка Рутокен расшифровывает его как состояние заблокированного PIN-кода.

Но прежде чем предпринимать действия, лучше посмотреть состояние устройства непосредственно в программе Рутокен.

Как посмотреть, сколько попыток PIN осталось

В классической Панели управления Рутокен:

1. Подключите устройство к компьютеру.
2. Запустите Панель управления Рутокен.
3. Выберите нужный токен.
4. Откройте вкладку «Администрирование».
5. Нажмите «Информация».
6. Посмотрите количество оставшихся попыток ввода PIN.

Производитель предусматривает отдельные счетчики для PIN пользователя и PIN администратора.

Если программа показывает: 1 попытка, не используйте её для проверки случайного варианта.

После еще одной ошибки соответствующий PIN может быть заблокирован.

Особенно осторожно нужно обращаться с PIN администратора: последствия его блокировки значительно серьезнее.

Как разблокировать PIN-код пользователя Рутокен

Если заблокирован именно PIN пользователя и вам известен действующий PIN администратора, электронную подпись обычно можно сохранить.

В актуальном Центре управления Рутокен порядок следующий:

1. Подключите Рутокен к компьютеру.
2. Запустите Центр управления Рутокен.
3. Откройте настройки.
4. Включите режим управления.
5. Выберите нужный Рутокен.
6. Перейдите в раздел «Администрирование».
7. В блоке управления PIN-кодами выберите разблокировку PIN пользователя.
8. Введите PIN-код администратора.
9. Подтвердите операцию.

После успешного выполнения PIN пользователя будет разблокирован.

В старой Панели управления процедура аналогична:

1. Подключите Рутокен.
2. Откройте Панель управления Рутокен.
3. Выберите устройство.
4. Нажмите «Ввести PIN-код».
5. Выберите роль «Администратор».
6. Введите PIN администратора.
7. В разделе управления PIN-кодами нажмите «Разблокировать».

Разблокировка восстанавливает счетчик попыток пользователя до установленного максимального значения.

Что делать, если заблокирован PIN администратора

Здесь ситуация принципиально другая.

Производитель прямо указывает: заблокированный PIN администратора штатно разблокировать нельзя.

Для поддерживаемых устройств после исчерпания попыток администратора предусмотрен возврат Рутокена к заводским настройкам.

При этом будут безвозвратно удалены:

• ключи;
• сертификаты;
• другие находящиеся на устройстве данные.

PIN администратора для самой процедуры возврата к заводским настройкам в поддерживаемом сценарии уже не требуется, поскольку выполняется полный сброс устройства.

Поэтому если у вас осталось несколько попыток администраторского PIN, не перебирайте пароли.

Сначала выясните его правильное значение:

• в документах на электронную подпись;
• у системного администратора;
• у сотрудника, который настраивал токен;
• у удостоверяющего центра или поставщика, если он задавал PIN;
• в корпоративной системе управления устройствами, если она используется.

Можно ли попробовать PIN администратора 87654321

Да, но только если есть основания считать, что его не меняли.

87654321 является стандартным PIN администратора Рутокен.

Однако производитель рекомендует менять его перед эксплуатацией, а удостоверяющий центр или организация могли задать собственное значение.

Поэтому безопасный порядок такой:

• если устройство новое и точно не перенастраивалось — стандартное значение может подойти;
• если история токена неизвестна — сначала посмотрите оставшееся количество попыток и выясните PIN у ответственного лица.

Особенно не стоит последовательно вводить десятки «стандартных паролей» из интернета.

Безопасный порядок действий при блокировке

Если Рутокен заблокировался после неправильного PIN, действуйте по следующей схеме.

1. Шаг 1. Прекратите вводить пароли. Особенно если неизвестно, какой PIN запрашивает программа.
2. Шаг 2. Откройте программу Рутокен. Используйте Центр или Панель управления производителя.
3. Шаг 3. Определите тип блокировки. Проверьте состояние PIN пользователя и PIN администратора.
4. Шаг 4. Посмотрите число оставшихся попыток. Если счетчик еще не равен нулю, не расходуйте оставшиеся попытки без необходимости.
5. Шаг 5. Если заблокирован пользователь — используйте PIN администратора. Войдите как администратор и выполните «Разблокировать».
6. Шаг 6. Помните, что старый пользовательский PIN сохранится. Если вы его не знаете, проверьте, позволяет ли политика устройства изменить его от имени администратора.
7. Шаг 7. Если заблокирован администратор — не форматируйте устройство сразу. Сначала выясните:
   • есть ли резервная копия ключей;
   • экспортируемы ли ключи;
   • потребуется ли перевыпуск сертификата.
8. Шаг 8. После восстановления проверьте программы с сохраненным PIN. Иначе автоматические обращения могут снова заблокировать устройство.

Частые вопросы

Сколько попыток PIN есть у Рутокена?

Количество задается при инициализации устройства. Для стандартной конфигурации часто используется 10 попыток, но администратор может установить другое значение. Проверяйте фактический счетчик в программе управления Рутокен.

Какой PIN пользователя у Рутокена по умолчанию?

Стандартное значение производителя — 12345678. Но при настройке устройства его могли изменить.

Какой PIN администратора у Рутокена по умолчанию?

Стандартное значение — 87654321. Перед эксплуатацией производитель рекомендует изменить его.

Можно ли разблокировать Рутокен без PIN администратора?

Заблокированный пользовательский PIN штатно разблокируется администратором. Если действующий PIN администратора неизвестен, обычная разблокировка пользовательского доступа невозможна. В крайнем случае для поддерживаемых моделей может использоваться возврат устройства к заводским настройкам, но он удаляет все находящиеся на носителе данные.

Разблокировка удалит электронную подпись?

Обычная операция разблокировки PIN пользователя не удаляет ключи. Она восстанавливает счетчик попыток. Не путайте ее с форматированием или возвратом к заводским настройкам.

После разблокировки PIN снова станет 12345678?

Нет. Разблокировка счетчика не возвращает пользовательский PIN к заводскому значению. Старый PIN остается прежним.

Можно ли узнать забытый PIN через КриптоПро?

Нет. КриптоПро не показывает действующий PIN Рутокена.

Можно ли восстановить ЭЦП после форматирования?

Только если сохранился соответствующий закрытый ключ или его допустимая резервная копия. Из одного сертификата .cer закрытый ключ восстановить невозможно.

Что делать, если заблокирован PIN администратора?

Производитель указывает, что его разблокировка не предусмотрена. Для поддерживаемых устройств потребуется возврат к заводским настройкам с удалением данных.

Почему правильный PIN Рутокена не подходит в КриптоПро?

Возможно, КриптоПро запрашивает не пользовательский PIN устройства, а пароль конкретного контейнера или пароль ФКН. Для ФКН-контейнеров на Рутокен ЭЦП 3.0 пароль может отличаться от PIN пользователя устройства.