Невозможно открыть документы, зашифрованные старым сертификатом ЭП, с помощью нового сертификата — даже если новый сертификат выдан тому же лицу.
Управление сертификатами с помощью Диспетчера Сертификатов Windows и PowerShell
Этот материал является переводом оригинальной статьи «ATA Learning : Michael Soule: Managing certificates with Windows Certificate Manager and PowerShell».
Работа с сертификатами обычно является одной из дополнительных задач, которые приходится выполнять системному администратору Windows. Диспетчер сертификатов Windows является одним из наиболее важных инструментов для выполнения этой задачи.
В этой статье мы рассмотрим управление сертификатами для операционной системы Windows. Однако если вы хотите узнать больше о том, как работают сертификаты в целом, прочитайте нашу статью «Ваше руководство по сертификатам X509».
Понимание хранилищ сертификатов
В управлении сертификатами Windows все сертификаты находятся в логических хранилищах, называемых «хранилищами сертификатов». Хранилища сертификатов — это «контейнеры», в которых Windows хранит все установленные на данный момент сертификаты, причем сертификат может содержаться более чем в одном хранилище.
К сожалению, хранилища сертификатов — не самая интуитивно понятная концепция для работы. Ниже вы узнаете, как различать эти репозитории и как с ними работать.
Каждый репозиторий находится в реестре и файловой системе Windows. Когда вы работаете с сертификатом в хранилище, вы взаимодействуете с логическим хранилищем, не изменяя напрямую реестр или файловую систему. Этот более простой метод позволяет вам работать с одним объектом, в то время как Windows заботится о том, как этот объект представлен на диске.
Иногда хранилища сертификатов также называют физическими или логическими хранилищами. Физические хранилища относятся к фактическому расположению файловой системы или реестра, где хранится раздел реестра и/или файл(ы). Логические хранилища — это динамические связи, связанные с одним или несколькими физическими хранилищами. Логическими хранилищами гораздо проще управлять, чем физическими, для большинства случаев использования.
Windows хранит сертификаты в двух разных местах: в контексте пользователя и в контексте компьютера. Сертификат хранится в одном из этих двух полей, в зависимости от того, будет ли он использоваться одним пользователем, несколькими пользователями или самим компьютером. В дальнейшем в этой статье сертификат в контексте одного пользователя и одного компьютера неофициально называется сертификатом пользователя и сертификатом компьютера.
Сертификаты пользователя
Если сертификат будет использоваться одним пользователем, идеальным вариантом будет хранить сертификат пользователя в диспетчере сертификатов Windows. Это обычный вариант для использования методов аутентификации на основе сертификатов, таких как IEEE 802.1x для проводных систем.
Сертификаты пользователя находятся в профиле текущего пользователя и логически отображаются только в контексте этого пользователя. Сертификаты пользователей «сопоставляются» и являются уникальными для каждого пользователя, даже в одних и тех же системах.
IT-сертификаты
Если сертификат должен использоваться всеми пользователями компьютера или каждым процессом в системе, он должен храниться в хранилище на компьютере. Если сертификат используется, например, на веб-сервере для шифрования связи всех клиентов, то имеет смысл поместить сертификат в контекст компьютера.
Если у вас еще нет электронной подписи, получите ЭП от аккредитованного удостоверяющего центра. В УЦ Contour есть подписи для сотрудников и руководителей, транзакций, счетов и кадровых файлов.
Как удалить сертификаты из хранилища в Windows 10
Сертификат цифровой подписи — это специальная запись, в которой хранится личная информация, необходимая для авторизации пользователя на защищенных государственных сайтах и сайтах некоторых коммерческих организаций. Сертификаты ЭЦП используются браузерами, но хранятся в отдельном хранилище сертификатов Windows. Исключением является браузер Mozilla Firefox, который имеет собственное хранилище сертификатов.
Способ 1: Использование оснастки «certmgr»
Сертификат, хранящийся в интегрированном хранилище сертификатов Windows, можно удалить с помощью инструментов операционной системы, в частности с помощью оснастки «certmgr».
Вы также можете удалить сертификат в Windows 10 через приложение «Свойства обозревателя». Этот метод менее надежен, так как при удалении некоторых записей электронной подписи пользователи могут столкнуться с ошибками.
-
Откройте классическую «Панель управления» с помощью команды control в окне Win+R-run.
Удаление сертификата в Firefox
Если вы установили сертификат с помощью браузера Firefox, его также можно удалить с помощью Firefox. Этот браузер также имеет свой набор электронных подписей, которые могут потребоваться для входа в учетные записи некоторых специализированных интернет-ресурсов.
Перед удалением сертификатов в Windows 10 необходимо создать их резервную копию на случай, если вы ошибетесь при выборе ЭЦП или захотите восстановить электронную подпись.
Мы рады, что смогли помочь вам решить эту проблему.
Кроме этой статьи, на этом сайте есть еще 13117 полезных руководств. Добавьте Lumpics.ru в закладки (CTRL+D) и вы обязательно найдете нас полезными.
Этот материал является переводом оригинальной статьи «ATA Learning : Michael Soule: Managing certificates with Windows Certificate Manager and PowerShell».
Как удалить сертификат встроенными средствами Windows
Перед удалением сертификата ЦС убедитесь, что срок действия ЭЦП истек.
Если ЭП скомпрометированного пользователя была заменена на новую, нет необходимости удалять сертификат корневого ЦС (частную часть ЭП), так как он все равно должен быть установлен заново.
Вы можете удалить сертификат ЭЦП на компьютере с Windows 7 следующими способами:
- В браузере Internet Explorer,
- В браузере Internet Explorer с помощью диспетчера сертификатов.
Для использования этих инструментов у вас должны быть права администратора.
Удалите ЭЦП в Internet Explorer:
- В служебной панели браузера перейдите на вкладку Свойства браузера,
- В появившемся диалоговом окне выберите вкладку Содержание, а затем Сертификаты,
- В появившемся списке сертификатов выберите сертификаты, которые необходимо удалить по отдельности, нажмите кнопку «Удалить» и подтвердите действие.
Этот способ подходит, если необходимо удалить с компьютера публичную часть сертификата ЭЦП.
Хотя сертификат ЦС не появляется в списке, он по-прежнему занимает место на компьютере.
Если вам необходимо удалить все сертификаты вместе с закрытой частью ЭП, вы должны использовать встроенный менеджер сертификатов, выполнив следующие шаги:
- Откройте меню «Пуск», введите certmgr.msc в строке «Выполнить» и нажмите «Enter»,
- С левой стороны отображается древовидный список со всеми сертификатами, добавленными в систему,
- Разверните поочередно группы «Личные» и «Доверенные корневые сертификаты», выберите сертификаты, которые необходимо удалить, выбрав в каждом случае пункт «Удалить» в контекстном меню, и подтвердите действие в появившемся диалоговом окне.
В Windows 10 можно удалить сертификаты во всех браузерах через настройку «Свойства:Интернет». Для этого выберите «Сеть и Интернет» на панели инструментов и перейдите в раздел «Управление настройками браузера». В разделе «Свойства: Интернет» на вкладке «Содержание» выберите опцию «Сертификаты».
Опытные пользователи иногда прибегают к удалению записи о сертификате ЭП из реестра. Сам файл сертификата по-прежнему хранится на носителе данных, но не отображается в Менеджере сертификатов или КриптоПро CSP.
Удаление сертификата ЭЦ в Linux
В Linux нет встроенного менеджера сертификатов. Поэтому для удаления лишних сертификатов используется специальное программное обеспечение. Последовательность действий, которые необходимо выполнить в таких программах, схожа, но отдельные команды, вводимые в терминал, отличаются. Теперь рассмотрим, как удалить ЭЦП через командную строку:
- Откройте командную строку,
- Откройте командную строку и введите команду certmg r-list в командную строку (терминал),
- Выберите из появившегося списка и скопируйте имя удаляемого сертификата,
- Введите в терминал следующую команду: certmg r-de l-c -m xxxx.cer, где «xxxx.cer» — номер удаляемого сертификата.
В окне отображаются данные по всем сертификатам на компьютере, не только по ЭЦП, но и по сертификатам, полученным от Почты России.
Удаление сертификатов при помощи специального ПО
В зависимости от того, какое средство криптографической защиты используется для работы с сертификатом, будет зависеть и метод удаления. Описанные выше методы работают для сертификатов, которые работают с дистрибутивом КриптоПро CSP Distribution Kit. Данная программная платформа выпущена на территории Российской Федерации. Она позволяет удалить ЭП вместе с корневым сертификатом центра сертификации.
Процедура удаления ЭЦП с помощью КриптоПро:
- Откройте «Панель управления» через меню «Пуск»,
- Запустите программное обеспечение КриптоПро,
- Выберите вкладку «Инструменты» в окне приложения,
- Нажмите на кнопку «Удалить» (в версиях программного обеспечения ниже 3.5 нажмите на кнопку «Удалить контейнер»),
- Нажмите кнопку «Готово» во всплывающем диалоговом окне.
Этот метод подходит для недействительных сертификатов ЭЦП, а также для закрытой части ЭЦП. Если планируется смена ЦС, вам не нужно сохранять корневой сертификат, но расшифровать документы, созданные с устаревшей ЭЦП, будет уже невозможно.
