рутокен лайт пин код администратора
PIN-код для токенов: пароль с особыми правилами
Основных форм-факторов, в которых выпускаются токены, три: USB-токен, смарт-карта и брелок. Защита при помощи PIN-кода чаще всего встречается в USB-токенах, хотя последние модели USB-токенов выпускаются с возможностью установки RFID-метки и с жидкокристаллическим дисплеем для генерации одноразовых паролей.
Наиболее популярные модели токенов на современном электронном рынке России – Рутокен, eToken от компании “Аладдин”, и электронный ключ от компании “Актив”. Рассмотрим наиболее часто задаваемые вопросы касательно PIN-кодов для токена на примере токенов этих производителей.
1. Какой PIN-код используется по умолчанию?
В таблице ниже представлены информация о PIN-кодах по умолчанию для токенов Рутокен и eToken. Пароль по умолчанию отличается для разных уровней владельцев.
| Владелец | Пользователь | Администратор |
| Рутокен | 12345678 | 87654321 |
| eToken | 1234567890 | По умолчанию пароль администратора не устанавливается. Может быть установлен через панель управления только для моделей eToken PRO, eToken NG- FLASH, eToken NG-OTP. |
| JaCarta PKI | 11111111 PUK-код для разблокирования – 0987654321 | |
| JaCarta PKI/2ГОСТ | Для PKI-функционала: 11111111 | |
| JaCarta PKI/BIO | 11111111 | 00000000 |
| JaCarta PKI/Flash | 11111111 | 00000000 |
| ESMART Token | 12345678 | 12345678 |
| карта IDPrime | 0000 | 48 нулей |
| JaCarta PRO/JaCarta LT | 1234567890 | 1234567890 |
2. Надо ли изменять PIN-код по умолчанию? Если да, то в какой момент работы с токеном?
PIN-код по умолчанию настоятельно рекомендуется изменить сразу после старта работы с токеном.
3. Что делать, если PIN-коды на токене неизвестны, а PIN-код по умолчанию уже сброшен?
Единственный выход — полностью очистить (отформатировать) токен.
4. Что делать, если PIN-код пользователя заблокирован?
Разблокировать PIN-код пользователя можно через панель управления токена. Для выполнения этой операции необходимо знать PIN-код администратора.
5. Что делать, если PIN-код администратора заблокирован?
Разблокировать PIN-код администратора невозможно. Единственный выход — полностью очистить (отформатировать) токен.
6. Какие меры безопасности предприняты производителями для снижения риска подбора пароля?
Основные пункты политики безопасности для PIN-кодов USB-токенов компаний “Аладдин” и “Актив” представлены в таблице ниже. Проанализировав данные таблицы можно сделать вывод, что eToken предположительно будет иметь более защищенный пин код. Рутокен, хоть и позволяет задавать пароль всего из одного символа, что небезопасно, по остальным параметрам не уступает продукту компании “Аладдин”.
Важность сохранения PIN-кода в секрете известна всем тем, кто использует токены в личных целях, хранит на нем свою электронную подпись, доверяет электронному ключу информацию не только личного характера, но и детали своих бизнес-проектов. Токены компаний “Аладдин” и “Актив” обладают предустановленными защитными свойствами и вместе с определенной долей предосторожности, которая будет проявлена пользователем, снижают риск подбора пароля до минимума.
Pin-код Rutoken и Rutoken Lite. Как разблокировать носитель?.
Рис. 1. Rutoken Рис. 2. Rutoken Lite
Стандартные pin-коды
При возникновении окна c просьбой ввести pin-код (см. рис. 3), необходимо указать значение 12345678. Для удобства работы следует отметиться галкой пункт Запомнить pin-код.
Рис. 1. Окно ввода пин-кода
Для носителя Rutoken! Если стандартный pin-код (12345678) был самостоятельно изменен с помощью Панели управления Рутокен, то в данном окне следует указывать новый пин-код, назначенный при смене. Информация о новом пин-коде хранится только у абoнента и не известна спецоператору связи.
Как разблокировать pin-код Rutoken?
Pin-код блокируется после 10 неверных попыток ввода.
Для того чтобы разблокировать Rutoken или Rutoken Lite, следует:
1. Открыть меню Пуск / Панель управления / Крипто Про CSP. Перейти на вкладку Оборудование и нажать на кнопку Настроить типы носителей (см. рис. 4).
Рис. 4. Настройка оборудования в Крипто Про CSP
2. Выбрать Rutoken или Rutoken Lite и нажать на кнопку Свойства (см. Рис. 5).
Если в списке отсутствуют такие носители, то следует обновить модуль поддержки. Для этого рекомендуется воспользоваться сервисом Диагностика.
Рис. 5. Выбор смарт-карты
3. Перейти на вкладку Информация и нажать кнопку Разблокировать PIN-код (см. рис. 6).
Если вкладка Информация отсутствует, то следует обновить модуль поддержки. Для этого рекомендуется воспользоваться сервисом Диагностика.
Рис. 6. Разблокировка Rutoken и Rutoken Lite
Кнопка Разблокировать PIN-код будет неактивна, если смарт-карта не заблокирована. В этом случае будет отображена информация об оставшемся количестве попыток ввода пин-кода.
4. Появится сообщение об успешной разблокировке (см. рис. 7).
Рис. 7. Сообщение о разблокировке
Разблокировать pin-код администратора без потери данных невозможно.
PIN-коды ЭЦП Рутокенов
Для подписи юридически значимых документов, электронного документооборота в России преимущественно используют электронные ключи или токены. Они значительно надежней привычной пары «login-password» за счет наличия двухфакторной аутентификации, когда кроме PIN-кода (пина) необходим накопитель информации, которое может быть одно из следующих видов:
Разновидности кодов доступа на подписи Рутокен
Для подписи документов ЭЦП надо знать два типа подобных кодов:
PIN-код «Пользователя» обязателен для перехода непосредственно к электронной цифровой подписи и объектам, расположенным на вашем компьютере (пара ключей доступа, сертификат). Он понадобится для работы с рядом программного обеспечения от сторонних разработчиков.
PIN-код «Администратор» нужен для управления паролем «Пользователя» и внесения корректировок в настройки устройства. Его используют только внутри панели управления токена.
Как сохранить и обезопасить данные
Утеря ПИНа автоматически означает компрометацию электронной цифровой подписи и повышает риск использования ЭП злоумышленниками. Выходом здесь будет генерация новой ЭЦП, а предупредит проблемы соблюдение простейших правил безопасности:
При выдаче Рутокена пароль Администратора или Пользователя могут не выдаваться. В этом случае они равны значениям по умолчанию (приведены выше).
Как изменить ПИН
Чаще всего при выдаче Рутокена на нем установлены стартовые версии паролей. Для снижения риска потери данных необходимо его перед началом использования заменить на новый. При задании обновленного пароля придерживайтесь следующих рекомендаций:
Как скорректировать ПИН Пользователя после получения ЭЦП Рутокен
Делать это необходимо сразу после получения для увеличения уровня безопасности, так как типовой пароль известен и одинаков для всех токенов. Изменить PIN-код Пользователя можно по следующему алгоритму:
Как войти в Рутокен с помощью пин-кода
После подключения токена к ноутбуку либо компьютеру выполните следующие действия:
Если ПИН был введен корректно, то появится кнопка «Выйти». В противном случае на окне появится сообщение с указанием числа попыток до блокировки. Если произошла последняя, то на экране появится соответствующее сообщение.
Как разблокировать Рутокен после неправильных вводов PIN-кода Пользователя?
Выполните действия по следующему алгоритму:
Основные нюансы работы с PIN-кодами Администратора
Этот пароль служит для административного управления токеном, его кодами. Он должен находиться в надежном недоступном для третьих лиц месте (в идеале, знать его должен только администратор). По умолчанию он представляет собой число 87654321.
Рутокен имеет счетчик неверных попыток для ввода PIN-кода «Администраторы» (если не изменены заводские настройки, то значение равно 10). Оставшееся количество этих попыток указывается на экране после неверного ввода (автоматически сбрасывается на первоначальное значение при правильном вводе). Если их не осталось, то необходимо сбросить токен до изначальных заводских настроек, что приведет к потере всех хранящихся на токене данных.
Как скорректировать ПИН Администратора
Для изменения действующих настроек придерживайтесь следующего алгоритма:
Как вернуться к заводским настройкам Рутокен
Подобное возможно только при случае, когда пользователь 10 раз неправильно ввел пароль Администратора. Об этом сообщит информационное окно, а для последующего сброса не понадобится введение паролей. Перед выполнением подобной процедуры необходимо учитывать ряд моментов:
Непосредственно возврат Рутокен к исходным настройкам идет следующим образом:
Перед началом форматирования необходимо заполнить ряд установочных основных данных Рутокена, которые будут действовать после возврата к заводским стартовым настройкам:
Изменение политики по смене пользовательского PIN-кода
Перед форматированием можно установить способы изменения пароля Пользователя. Здесь 3 варианта переключателей:
Каждый из пунктов имеет ряд специфических ограничений. Например, при установке переключателя в позицию «Пользователь» можно изменить ПИН только после ввода прежнего варианта. Одновременно есть 2 важных ограничения:
При установке галочки напротив пункта «Администатор» вы сможете изменить PIN-код Пользователя только при введении администраторского пароля. Одновременно теряется возможность изменения ПИН Администратора с использованием встроенного сервиса Microsoft Base Smart Card Crypto Provider.
Если вы установите переключатель в положение «Пользователь и Администратор», то появится возможность изменить пользовательский PIN-код при знании любого из действующих.
Способы установки PIN-кода Администратора и Пользователя
Для выполнения действия предварительно снимите флажок с позиции «Использовать PIN-код по умолчанию» (иначе для доступа достаточно будет ввести 12345678 или 87654321). Затем в соответствующих полях введите новые значения. Также обратим внимание на возможность выбора минимальной и максимальной длины паролей. Оптимальным с точки зрения безопасности и удобства при использовании вариантом будет установка на уровне в 6 и 10 символов соответственно.
Способы защиты от указания слабого PIN-кода
Все виды паролей делят на 3 группы: надежные, средние и слабые. Для предотвращения использования последних и повышения общей безопасности достаточно настроить индивидуальную политику для задания PIN-кодов, которая будет действовать при их смене. Для этого в ЭЦП Рутокен есть несколько ключей инсталляторов (отдельно они будут рассмотрены чуть ниже):
DEFPIN (параметр, установленный в рамках базовых настроек, – NO) задает политику по выводу специального сообщения при сохранении установленного ранее по умолчанию ПИН с предложением его изменить.
PPACCEPTBLEBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность применения PIN-кода со «слабой» надежностью. При установлении параметра на уровне 0 это допускается, а на уровне два подобное запрещено. При значении 1 появляется предупреждающее окно, что требует дополнительного подтверждения для использования слабого по уровню защиты пароля.
PPACCEPTABLEPINBEHAVIOR (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования пароля со «средним» уровнем безопасности. При значении 0 это допускается, а если значение 1, то будет выведено соответствующее сообщение с предупреждением.
PPONLYNUBERALS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в пароле только цифр. Если значение 0, то это допустимо, а если 1, то запрещено.
PPONLYLETERS (параметр, установленный в рамках базовых настроек, – 0) определяет возможность использования в новом пароле для доступа исключительно букв. Если значение 0, то это допустимо, а если 1, то запрещено.
PPONESYMBOLPIN (параметр, установленный в рамках базовых настроек, – 0) политика определяет возможность указания PIN-кода, включающего только один повторяющийся символ. При установлении параметра в значение 0 это допустимо, а если 1, то запрещено.
PPCURRENTPIN (параметр, установленный в рамках базовых настроек, – 0) политика предусматривает возможность установки PIN-кода, который полностью совпадает с прежним. При значении 0 это допустимо, а если 1, то запрещено.
DEFPIN (параметр, установленный в рамках базовых настроек, – NO) определяет вывод сообщения при применении заводского пароля. Если выбрано положение YES, то после ввода будет появляться на экране каждый раз окно с предупреждением: «Вы используете PIN-код по умолчанию для этого токена. Хотите его сейчас поменять?» Если выбрано положение NO, то окно не выводится.
PPBADPINBORDER (параметр, установленный в рамках базовых настроек, – 0) определяет границу, которая отделят «средние» пароли от «слабых». Может составлять от 0 до 100.
(параметр, установленный в рамках базовых настроек, – 100) политика определяет границу, которая отделяет «надежные» PIN-коды от «средних». Значение это обязательно должно оставаться выше PPBADPINBORDER.
PPPINLENGHTWEIGHT (параметр, установленный в рамках базовых настроек, – 73) значение определяет суммарное значение длины пароля в общей оценки его сложности. Может составлять от 0 до 100.
Как изменить политики
Для корректировки необходимо ввести команду следующего типа: \rtDrivers.exe конкретный ключ меняемой политики = новое значение. Например: C:\Users\user\Downloads\Rutoken\rtDrivers.exe PPMINPINLENGTH=6 PPONLYNUMERALS=0 PPCURRENTPIN = 1. В данном примере мы устанавливаем минимальную длину нового пароля на уровне в 6 символов и одновременно при смене он должен отличаться от предыдущего, допускается использование пароля, состоящего из ряда цифр.
Вторым вариантом изменения конкретных политик будет использование Панели управления Рутокен. Здесь необходим пароль Администратора и понимание, что изменения касаются только конкретного компьютера. Для учета конкретных, которые понадобятся для оценки актуальной степени безопасности установленного, выполните следующие действия:
Как разблокировать PIN-код?
Для предотвращения возможности подбора в Рутоке предусмотрено ограничение на количество попыток неверного ввода пользовательского или администраторского пароля (по умолчанию показатель установлен на уровне в 10 и может быть изменен во время форматирования). По умолчанию действуют следующие правила:
Работа с PIN-кодами через утилиту rtAdmin
Для упрощения администрирования устройства, смены меток, кодов, управлением разделами можно использовать специальную утилиту rtAdmin 2.0. Существуют версии для работы на компьютерах под управлением операционных систем Windows, Mac OS, Linux (соответствующую версию надо скачать с сайта разработчика токена). После установки ее можно запустить из командной строки, где в зависимости от вводимых параметров можно выполнить следующие действия:
Конкретные команды можно подать из командной строки, введя наименование исполняемого файла (rtadmin.exe) и набор нужных параметров.
Специфика работы с PIN-кодами смарт-карты Рутокен
В последнее время все более популярными стали смарт-карты Рутокен, которые по техническим возможностям схожи с традиционными USB-накопителями. Они имеют одинаковые функции, но для работы непосредственно с PIN-кодами есть несколько моментов. Речь в необходимости иметь при работе с компьютером считыватель для смарт-карт. Если же в планах использование мобильного устройства, то на последнем должен быть активирован NFC-модуль (последний по умолчанию есть во всех смартфонах за исключением моделей бюджетной категории).
По умолчанию подобные смарт-карты имеют стандартные PIN-коды для работы в режиме Пользователя и Администратора (12345678 и 87654321).
Как изменить пароль смарт-карты Рутокен с помощью компьютера
При использовании ноутбука или ПК под управлением Windows сначала понадобится загрузка и установка полного комплекта драйверов Рутокен, что можно сделать с помощью официального сайта разработчика либо УЦ, где вы оформили ЭЦП. Теперь подключите смарт-карту следующим образом:
Если действия выполнены корректно, то загорится индикатор, а при последних он будет либо неактивен, либо начнет мигать (конкретное зависит от модели считывателя).
Для изменения пароля выполните следующие действия:
Дополнительно через Панель управления вашего ЭЦП Рутокен можно узнать всю ключевую информацию о смарт-карте. Речь про идентификатор, прошивку, флаг состояния, суммарный объем доступной и свободной памяти, возможность работы по каналу ФКН и так далее.
Применение
Утилита rtAdmin версия 2.0 используется для автоматизации процедур форматирования и администрирования устройств Рутокен: смены метки токена, PIN-кодов и их параметров, управления разделами Flash-памяти.
При работе с утилитой рекомендуется не подключать больше одного устройства Рутокен.
Поддерживаемые модели
Модель Рутокен S в новой версии rtAdmin 2.0 не поддерживается. Если требуется работа с моделью Рутокен S, используйте rtAdmin 1.3 в ОС Windows.
Поддерживаемые платформы
Ссылки на загрузку
Параметры
Утилита запускается из командной строки, её параметры представлены в таблице.
| № | Описание команды | Параметр командной строки | Значение по умолчанию/Примечание | |||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 1 | -t | Если значение параметра не установлено, то будет использовано значение по умолчанию | ||||||||||||||||||||
| 7 | Генерация PIN-кода администратора (используется при форматировании) | -r [число попыток (1-10)] | 10 | |||||||||||||||||||
| 15 | Метка токена в кодировке Windows-1251 | -L [метка токена] | Установить метку токена в кодировке Windows-1251 | |||||||||||||||||||
| 16 | Метка токена в кодировке UTF-8 | -D [метка токена] | Установить метку токена в кодировке UTF-8 | |||||||||||||||||||
| 17 | Конвертация в UTF-8 (флаг для параметров, связанных с PIN-кодами) | -U | По умолчанию PIN-коды не конвертируются в UTF-8 | |||||||||||||||||||
| 18 | Ограничение количества выполняемых итераций до одной | -q | — | |||||||||||||||||||
| 19 | Используемая библиотека PKCS#11 | -z [путь к библиотеке] | rtPKCS11.dll | |||||||||||||||||||
| 20 | Путь к конфигурационному файлу | -n [путь к файлу] | — | |||||||||||||||||||
| 21 | Протоколирование | -l [путь к файлу лога] | ||||||||||||||||||||
| Параметры для управления флеш-памятью (Рутокен Flash) | |||
| 27 | 1 весь объем (1DDC сейчас) Формат ответа – аналогично п. 27 Разбиение Flash-памяти на разделы (форматирование): | sz | |
| Параметры для управления локальными пользователями (кроме Рутокен PINPad) | |||
| 30 | Устанавливаемый PIN-код локального пользователя | Если PIN-код для данного пользователя не определен, текущий PIN-код указывать не нужно | |
| 32 | Активация получения PIN-кодов из стандартного потока ввода, если вместо PIN-кода передано значение «stdin» | a / u / l3-l9 | ro / rw / hi / cd |
4. В случае изменения атрибутов разделов Flash-памяти
ID токена
Результат
ID раздела
В шестнадцатеричном и десятичном виде
Volume access mode change Passed/
Failed
ID изменяемого раздела (01-08)
5. В случае получения информации об атрибутах разделов Flash-памяти
ID токена
Результат
ID раздела
В шестнадцатеричном и десятичном виде
Getting volume info Passed/
Failed
ID изменяемого раздела (01-08)
Пользователь может задавать имя лог-файла и его расположение. По умолчанию файл лежит в папке с утилитой и называется rtadmin.exe.log.
Если при повторном запуске утилиты пользователь не указал новое имя лог-файла, то старый файл дополняется.
Примеры использования
Запускаем утилиту с указанным именем конфигурационного файла в командной строке:
Отформатировать токен, задав минимальную длину PIN-кода пользователя 8 и сам PIN-код 12345678, PIN-код администратора 9 и сам PIN-код 987654321.
Изменить права доступа первого раздела на «только для чтения». Владельцем является пользователь, PIN-код указан по умолчанию.
Получение PIN-кода Пользователя и Администратора из стандартного потока ввода, при форматировании одного токена.
Форматирование PIN-кода с серийным номером 3ca76d25.