Знание PIN-кодов необходимо для работы с устройством Рутокен.
Для каждого устройства Рутокен задано два PIN-кода:
PIN-код Пользователя используется для доступа к электронной подписи и объектам на устройстве (сертификатам, ключевым парам).
Если при работе с сторонним приложением запрашивается PIN-код устройства Рутокен, то вам надо ввести PIN-код Пользователя.
PIN-код Администратора используется для администрирования устройства и управления PIN-кодами.
PIN-код Администратора используется только в Панели управления Рутокен.
Правила хранения PIN-кодов:
Если вам не сообщили PIN-код Пользователя, вероятнее всего, он задан по умолчанию (12345678).
Если вы купили Рутокен в удостоверяющем центре — PIN-код Администратора вам должен сообщить сотрудник удостоверяющего центра.
Если Рутокен вам выдали на работе — PIN-код Администратора, скорее всего, знает системный администратор, IT-служба или HelpDesk.
Если Рутокен вам выдали в банке — PIN-код Администратора вам должен сообщить сотрудник банка.
Если вы приобрели Рутокен для личных целей, то на нем установлены PIN-коды по умолчанию.
Панель управления Рутокен предназначена для обслуживания устройств Рутокен в операционных системах семейства Microsoft Windows. В Панели управления Рутокен можно изменить и разблокировать PIN-коды.
Установить ее можно вместе с комплектом драйверов Рутокен для Windows. Актуальная версия комплекта драйверов доступна по ссылке:
Работа с PIN-кодом Пользователя
Что такое PIN-код Пользователя, для чего он используется и как его лучше хранить?
PIN-код Пользователя используется для доступа к электронной подписи и объектам на устройстве (сертификатам, ключевым парам).
PIN-код Пользователя необходимо хранить в безопасном месте. Главное чтобы ни у кого кроме пользователя не было доступа к нему.
Какой PIN-код Пользователя установлен по умолчанию?
PIN-код Пользователя по умолчанию — 12345678.
Как ввести PIN-код Пользователя в Панели управления Рутокен?
На устройстве Рутокен существует счетчик неправильных попыток ввода PIN-кода Пользователя.
Обычно задано 10 попыток неправильного ввода PIN-кода Пользователя.
Когда пользователь вводит неправильный PIN-код, значение этого счетчика уменьшается на единицу. Если после этого пользователь вводит правильный PIN-код, то значение счетчика становится изначальным.
Допустимое количество неправильных попыток ввода PIN-кода указано в окне с ошибкой «Неудачная аутентификация» после слов «осталось попыток».
Если там указано значение «1», то после следующей неудачной попытке ввода PIN-кода он заблокируется.
После ввода неправильного PIN-кода Пользователя несколько раз устройство Рутокен блокируется. Разблокировать его может только Администратор устройства.
Что делать, если PIN-код Пользователя заблокирован?
Если пользователь несколько раз ввел неправильный PIN-код Пользователя, то он блокируется.
При попытке ввода уже заблокированного PIN-кода Пользователя в Панели управления Рутокен отобразится следующее сообщение:
Для того чтобы разблокировать PIN-код Пользователя необходимо обратиться к администратору устройства Рутокен.
Какой PIN-код лучше использовать? Как придумать безопасный PIN-код?
PIN-код не должен быть очень сложным, так как у него есть ограниченное количество попыток ввода.
Использовать PIN-код, который был задан по умолчанию — небезопасно. Рекомендуется его изменить. При этом стоит учитывать некоторые рекомендации:
Как в Панели управления Рутокен изменить PIN-код Пользователя?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Работа с PIN-кодом Администратора
Что такое PIN-код Администратора, для чего он используется и как его лучше хранить?
PIN-код Администратора используется в Панели управления Рутокен для администрирования устройства и управления PIN-кодами.
PIN-код Администратора необходимо хранить в безопасном месте. Главное чтобы ни у кого кроме администратора не было доступа к нему.
Какой PIN-код Администратора установлен по умолчанию?
PIN-код Администратора по умолчанию — 87654321.
Как ввести PIN-код Администратора в Панели управления Рутокен?
На устройстве Рутокен существует счетчик неправильных попыток ввода PIN-кода Администратора.
По умолчанию задано 10 попыток неправильного ввода PIN-кода Администратора.
Когда администратор вводит неправильный PIN-код, значение этого счетчика уменьшается на единицу. Если после этого администратор вводит правильный PIN-код, то значение счетчика становится изначальным.
Допустимое количество неправильных попыток ввода PIN-кода указано в окне с ошибкой «Неудачная аутентификация» после слов «осталось попыток».
Если там указано значение «1», то после следующей неудачной попытки ввода PIN-кода он заблокируется.
После ввода неправильного PIN-кода Администратора несколько раз, он блокируется. В этом случае необходимо вернуть устройство Рутокен к заводским настройкам.
Что делать, если PIN-код Администратора заблокирован?
После ввода неправильного PIN-кода Администратора несколько раз он блокируется.
Если PIN-код Администратора заблокирован, то для того чтобы продолжить работу с устройством Рутокен, его необходимо вернуть к заводским настройкам, но при этом будут безвозвратно удалены все данные, хранящиеся на нем.
Как в Панели управления Рутокен изменить PIN-код Администратора?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Как разблокировать PIN-код Пользователя?
Как изменить PIN-код Пользователя?
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Какие настройки необходимо выполнить, чтобы пользователь не смог задать слабый PIN-код?
Все PIN-коды по качеству делятся на три категории:
Можно выбрать политики, которые будут учитываться при оценке качества PIN-кода. Они выглядят следующим образом:
Чтобы пользователь не смог задать слабый PIN-код необходимо настроить политики для PIN-кодов. Это реализуется через групповые политики домена.
Для настройки политик для PIN-кодов существуют следующие ключи инсталлятора:
Параметр
Описание
Значение по умолчанию (строка символов)
DEFPIN
Задает политику вывода сообщения при использовании PIN- кода по умолчанию. Может принимать значения YES или NO. Если значение параметра YES, то при использовании PIN- кода, заданного по умолчанию, будет выводиться сообщение «Вы используете PIN-код по умолчанию для данного токена. Хотите поменять его сейчас?». Если значение параметра NO, то такое сообщение выводиться не будет
Задает политику использования символов UTF-8 в PIN-коде и может принимать значения ANSI или UTF8. Если значение параметра UTF8, то разрешается задавать PIN-код, включающий в себя символы UTF-8 (такая возможность существует только для Рутокен ЭЦП). Если значение параметра ANSI — запрещается
Задает минимальную длину PIN-кода в символах. Может принимать значения 1 –16
1
PPDEFAULTPIN
Задает политику использования PIN-кода по умолчанию. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код по умолчанию; если 1 — запрещается
0
PPONESYMBOLPIN
Задает политику использования PIN-кода, состоящего из одного повторяющегося символа. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий из одного повторяющегося символа; если 1 — запрещается
Задает политику использования PIN-кода, состоящего только из цифр. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий только из цифр; если 1 — запрещается
Задает политику использования PIN-кода, состоящего только из букв. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, состоящий только из букв; если 1 — запрещается
Задает политику использования PIN-кода, совпадающего с предыдущим PIN-кодом. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать PIN-код, совпадающий с предыдущим PIN-кодом; если 1 — запрещается
Задает политику использования «слабого» PIN-кода. Может принимать значения 0, 1 или 2. Если значение параметра 0, то разрешается использовать «слабый» PIN-код; если 2 — запрещается. Если значение параметра равно 1, то при смене PIN-кода на «слабый» на экране отобразится предупреждающее сообщение
Задает политику использования «среднего» PIN-кода. Может принимать значения 0 или 1. Если значение параметра 0, то разрешается использовать «средний» PIN-код; если 1, то при смене PIN-кода на «средний» на экране отобразится предупреждающее сообщение
Задает вес политики длины PIN-кода в общей (интегральной) оценке PIN-кода с точки зрения надежности. Может принимать значения 0 – 100
Задает границу, разделяющую «слабые» и «средние» PIN- коды. Может принимать значения 0 – 100
Задает границу, разделяющую «средние» и «надежные» PIN- коды. Может принимать значения 0 – 100 и должен быть не меньше значения параметра PPBADPINBORDER
Чтобы установить (обновить) Панель управления Рутокен с определенными ключами введите команду:
(минимальную длину PIN-кода — 6 символов; запрещается использовать PIN-коды, состоящие только из цифр).
Для наглядности в Панели управления Рутокен реализована возможность настройки политик для PIN-кодов.
По умолчанию выбраны все политики, а пароль считается «слабым», если его длина равна одному символу.
Политики для PIN-кодов может изменить пользователь с правами администратора операционной системы или администратора домена.
Политики для PIN-кодов устанавливаются в Панели управления Рутокен для конкретного компьютера.
Для того чтобы выбрать политики, которые будут учитываться при оценке уровня безопасности PIN-кода:
Дополнительный раздел — Возврат устройства к заводским настройкам
Возврат устройства к заводским настройкам возможен только тогда, когда PIN-код Администратора заблокирован.
Сообщение о том, что PIN-код Администратора заблокирован:
Если пользователь исчерпал все попытки ввода PIN-кода Администратора, то существует возможность вернуть устройство к заводским настройкам. Для этого не надо знать PIN-код Администратора.
При возврате устройства Рутокен к заводским настройкам все данные на нем, в том числе ключи и сертификаты, будут удалены безвозвратно.
При возврате устройства Рутокен ЭЦП Flash к заводским настройкам Flash-память тоже очистится, а информация, сохраненная в ней будет удалена безвозвратно.
В процессе возврата устройства к заводским настройкам не следует отключать его от компьютера, так как это может привести к поломке устройства.
Для запуска процесса возврата устройства Рутокен к заводским настройкам:
В окне с предупреждением об удалении всех данных на устройстве Рутокен нажмите ОК.
В окне с сообщением об успешном форматировании устройства Рутокен нажмите ОК. В результате устройство вернется к заводским настройкам.
Указание имени устройства
Для указания имени устройства Рутокен в поле Имя токена укажите новое имя устройства.
Изменение политики смены PIN-кода Пользователя
В зависимости от выбранной при форматировании устройства Рутокен политики, PIN-код Пользователя может быть изменен:
Если вы установите переключатель в положение «Пользователь«, то сможете изменить PIN-код Пользователя только, если знаете его.
При установке переключателя в положение «Пользователь» становятся невозможны следующие операции:
Если вы установите переключатель в положение «Администратор«, то сможете изменить PIN-код Пользователя только, если знаете PIN-код Администратора.
При установке переключателя в положение «Администратор» становится невозможна операция смены PIN-кода Администратора при использовании Microsoft Base Smart Card Provider.
Если вы установите переключатель в положение «Пользователь и Администратор», то сможете изменить PIN-код Пользователя, если знаете или PIN-код Администратора, или PIN-код Пользователя.
Для изменения политики в секции PIN-код Пользователяможет менять установите переключатель в необходимое положение.
Указание нового PIN-кода Пользователя (Администратора)
Требования к новому PIN-коду описаны в разделе Как придумать безопасный PIN-код?
Для того чтобы задать новый PIN-код Пользователя (Администратора), который будет доступен только после возврата устройства к заводским настройкам:
Указание минимальной длины PIN-кода Пользователя (Администратора)
Рекомендуемая длина PIN-кода — 6-10 символов. Использование короткого PIN-кода (1-5 символов) снижает уровень безопасности, а длинного PIN-кода (более 10 символов) может привести к увеличению количества ошибок при его вводе.
Для того чтобы задать минимальную длину PIN-кода Пользователя (Администратора), в секции Пользователь (Администратор) из раскрывающегося списка Минимальная длина PIN-кода выберите необходимое значение.
Указание максимального количества попыток ввода PIN-кода Пользователя (Администратора)
Для повышения уровня безопасности следует изменить максимальное количество попыток ввода PIN-кода Пользователя (Администратора), заданное в Панели управления Рутокен по умолчанию.
Небольшое количество попыток (1-4) может привести к случайной блокировке PIN-кода, большое количество (более 5) — снизит уровень информационной безопасности.
Для того чтобы задать максимальное количество попыток ввода PIN-кода Пользователя (Администратора), в секции Пользователь (Администратор) из раскрывающегося списка Попытки ввода PIN-кода выберите необходимое значение (рекомендуется выбрать значение — 5).
Для подписи юридически значимых документов, электронного документооборота в России преимущественно используют электронные ключи или токены. Они значительно надежней привычной пары «login-password» за счет наличия двухфакторной аутентификации, когда кроме PIN-кода (пина) необходим накопитель информации, которое может быть одно из следующих видов:
Разновидности кодов доступа на подписи Рутокен
Для подписи документов ЭЦП надо знать два типа подобных кодов:
PIN-код «Пользователя» обязателен для перехода непосредственно к электронной цифровой подписи и объектам, расположенным на вашем компьютере (пара ключей доступа, сертификат). Он понадобится для работы с рядом программного обеспечения от сторонних разработчиков.
PIN-код «Администратор» нужен для управления паролем «Пользователя» и внесения корректировок в настройки устройства. Его используют только внутри панели управления токена.
Как сохранить и обезопасить данные
Утеря ПИНа автоматически означает компрометацию электронной цифровой подписи и повышает риск использования ЭП злоумышленниками. Выходом здесь будет генерация новой ЭЦП, а предупредит проблемы соблюдение простейших правил безопасности:
При выдаче Рутокена пароль Администратора или Пользователя могут не выдаваться. В этом случае они равны значениям по умолчанию (приведены выше).
Как изменить ПИН
Чаще всего при выдаче Рутокена на нем установлены стартовые версии паролей. Для снижения риска потери данных необходимо его перед началом использования заменить на новый. При задании обновленного пароля придерживайтесь следующих рекомендаций:
Как скорректировать ПИН Пользователя после получения ЭЦП Рутокен
Делать это необходимо сразу после получения для увеличения уровня безопасности, так как типовой пароль известен и одинаков для всех токенов. Изменить PIN-код Пользователя можно по следующему алгоритму:
Как войти в Рутокен с помощью пин-кода
После подключения токена к ноутбуку либо компьютеру выполните следующие действия:
Если ПИН был введен корректно, то появится кнопка «Выйти». В противном случае на окне появится сообщение с указанием числа попыток до блокировки. Если произошла последняя, то на экране появится соответствующее сообщение.
Как разблокировать Рутокен после неправильных вводов PIN-кода Пользователя?
Выполните действия по следующему алгоритму:
Основные нюансы работы с PIN-кодами Администратора
Этот пароль служит для административного управления токеном, его кодами. Он должен находиться в надежном недоступном для третьих лиц месте (в идеале, знать его должен только администратор). По умолчанию он представляет собой число 87654321.
Рутокен имеет счетчик неверных попыток для ввода PIN-кода «Администраторы» (если не изменены заводские настройки, то значение равно 10). Оставшееся количество этих попыток указывается на экране после неверного ввода (автоматически сбрасывается на первоначальное значение при правильном вводе). Если их не осталось, то необходимо сбросить токен до изначальных заводских настроек, что приведет к потере всех хранящихся на токене данных.
Как скорректировать ПИН Администратора
Для изменения действующих настроек придерживайтесь следующего алгоритма:
Как вернуться к заводским настройкам Рутокен
Подобное возможно только при случае, когда пользователь 10 раз неправильно ввел пароль Администратора. Об этом сообщит информационное окно, а для последующего сброса не понадобится введение паролей. Перед выполнением подобной процедуры необходимо учитывать ряд моментов:
Непосредственно возврат Рутокен к исходным настройкам идет следующим образом:
Перед началом форматирования необходимо заполнить ряд установочных основных данных Рутокена, которые будут действовать после возврата к заводским стартовым настройкам:
Изменение политики по смене пользовательского PIN-кода
Перед форматированием можно установить способы изменения пароля Пользователя. Здесь 3 варианта переключателей:
Каждый из пунктов имеет ряд специфических ограничений. Например, при установке переключателя в позицию «Пользователь» можно изменить ПИН только после ввода прежнего варианта. Одновременно есть 2 важных ограничения:
При установке галочки напротив пункта «Администатор» вы сможете изменить PIN-код Пользователя только при введении администраторского пароля. Одновременно теряется возможность изменения ПИН Администратора с использованием встроенного сервиса Microsoft Base Smart Card Crypto Provider.
Если вы установите переключатель в положение «Пользователь и Администратор», то появится возможность изменить пользовательский PIN-код при знании любого из действующих.
Способы установки PIN-кода Администратора и Пользователя
Для выполнения действия предварительно снимите флажок с позиции «Использовать PIN-код по умолчанию» (иначе для доступа достаточно будет ввести 12345678 или 87654321). Затем в соответствующих полях введите новые значения. Также обратим внимание на возможность выбора минимальной и максимальной длины паролей. Оптимальным с точки зрения безопасности и удобства при использовании вариантом будет установка на уровне в 6 и 10 символов соответственно.
Способы защиты от указания слабого PIN-кода
Все виды паролей делят на 3 группы: надежные, средние и слабые. Для предотвращения использования последних и повышения общей безопасности достаточно настроить индивидуальную политику для задания PIN-кодов, которая будет действовать при их смене. Для этого в ЭЦП Рутокен есть несколько ключей инсталляторов (отдельно они будут рассмотрены чуть ниже):
DEFPIN (параметр, установленный в рамках базовых настроек, – NO) задает политику по выводу специального сообщения при сохранении установленного ранее по умолчанию ПИН с предложением его изменить.
PPACCEPTBLEBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность применения PIN-кода со «слабой» надежностью. При установлении параметра на уровне 0 это допускается, а на уровне два подобное запрещено. При значении 1 появляется предупреждающее окно, что требует дополнительного подтверждения для использования слабого по уровню защиты пароля.
PPACCEPTABLEPINBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования пароля со «средним» уровнем безопасности. При значении 0 это допускается, а если значение 1, то будет выведено соответствующее сообщение с предупреждением.
PPONLYNUBERALS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в пароле только цифр. Если значение 0, то это допустимо, а если 1, то запрещено.
PPONLYLETERS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в новом пароле для доступа исключительно букв. Если значение 0, то это допустимо, а если 1, то запрещено.
PPONESYMBOLPIN (параметр, установленный в рамках базовых настроек, – 0) политика определяет возможность указания PIN-кода, включающего только один повторяющийся символ. При установлении параметра в значение 0 это допустимо, а если 1, то запрещено.
PPCURRENTPIN (параметр, установленный в рамках базовых настроек, – 0) политика предусматривает возможность установки PIN-кода, который полностью совпадает с прежним. При значении 0 это допустимо, а если 1, то запрещено.
DEFPIN (параметр, установленный в рамках базовых настроек, – NO) определяет вывод сообщения при применении заводского пароля. Если выбрано положение YES, то после ввода будет появляться на экране каждый раз окно с предупреждением: «Вы используете PIN-код по умолчанию для этого токена. Хотите его сейчас поменять?» Если выбрано положение NO, то окно не выводится.
PPBADPINBORDER (параметр, установленный в рамках базовых настроек, – 0) определяет границу, которая отделят «средние» пароли от «слабых». Может составлять от 0 до 100.
(параметр, установленный в рамках базовых настроек, – 100) политика определяет границу, которая отделяет «надежные» PIN-коды от «средних». Значение это обязательно должно оставаться выше PPBADPINBORDER.
PPPINLENGHTWEIGHT (параметр, установленный в рамках базовых настроек, – 73) значение определяет суммарное значение длины пароля в общей оценки его сложности. Может составлять от 0 до 100.
Как изменить политики
Для корректировки необходимо ввести команду следующего типа: \rtDrivers.exe конкретный ключ меняемой политики = новое значение. Например: C:\Users\user\Downloads\Rutoken\rtDrivers.exe PPMINPINLENGTH=6 PPONLYNUMERALS=0 PPCURRENTPIN = 1. В данном примере мы устанавливаем минимальную длину нового пароля на уровне в 6 символов и одновременно при смене он должен отличаться от предыдущего, допускается использование пароля, состоящего из ряда цифр.
Вторым вариантом изменения конкретных политик будет использование Панели управления Рутокен. Здесь необходим пароль Администратора и понимание, что изменения касаются только конкретного компьютера. Для учета конкретных, которые понадобятся для оценки актуальной степени безопасности установленного, выполните следующие действия:
Как разблокировать PIN-код?
Для предотвращения возможности подбора в Рутоке предусмотрено ограничение на количество попыток неверного ввода пользовательского или администраторского пароля (по умолчанию показатель установлен на уровне в 10 и может быть изменен во время форматирования). По умолчанию действуют следующие правила:
Работа с PIN-кодами через утилиту rtAdmin
Для упрощения администрирования устройства, смены меток, кодов, управлением разделами можно использовать специальную утилиту rtAdmin 2.0. Существуют версии для работы на компьютерах под управлением операционных систем Windows, Mac OS, Linux (соответствующую версию надо скачать с сайта разработчика токена). После установки ее можно запустить из командной строки, где в зависимости от вводимых параметров можно выполнить следующие действия:
Конкретные команды можно подать из командной строки, введя наименование исполняемого файла (rtadmin.exe) и набор нужных параметров.
Специфика работы с PIN-кодами смарт-карты Рутокен
В последнее время все более популярными стали смарт-карты Рутокен, которые по техническим возможностям схожи с традиционными USB-накопителями. Они имеют одинаковые функции, но для работы непосредственно с PIN-кодами есть несколько моментов. Речь в необходимости иметь при работе с компьютером считыватель для смарт-карт. Если же в планах использование мобильного устройства, то на последнем должен быть активирован NFC-модуль (последний по умолчанию есть во всех смартфонах за исключением моделей бюджетной категории).
По умолчанию подобные смарт-карты имеют стандартные PIN-коды для работы в режиме Пользователя и Администратора (12345678 и 87654321).
Как изменить пароль смарт-карты Рутокен с помощью компьютера
При использовании ноутбука или ПК под управлением Windows сначала понадобится загрузка и установка полного комплекта драйверов Рутокен, что можно сделать с помощью официального сайта разработчика либо УЦ, где вы оформили ЭЦП. Теперь подключите смарт-карту следующим образом:
Если действия выполнены корректно, то загорится индикатор, а при последних он будет либо неактивен, либо начнет мигать (конкретное зависит от модели считывателя).
Для изменения пароля выполните следующие действия:
Дополнительно через Панель управления вашего ЭЦП Рутокен можно узнать всю ключевую информацию о смарт-карте. Речь про идентификатор, прошивку, флаг состояния, суммарный объем доступной и свободной памяти, возможность работы по каналу ФКН и так далее.
