Где хранится сертификат электронной подписи на компьютере

Коротко о главном

Сертификат электронной подписи — это не один файл, а комбинация из открытой части (самого сертификата) и закрытого ключа (в контейнере). Где они хранятся, зависит от вашей операционной системы, способа выпуска подписи и выбора при получении. На Windows это может быть хранилище ОС (реестр), папка на диске или защищённый токен. На macOS сертификаты живут в Keychain. На Linux всё зависит от криптопровайдера и места, куда вы их поместили. Знать физическое местоположение сертификата нужно для диагностики проблем, экспорта, резервного копирования и для понимания того, почему компьютер его не видит.

В этой статье

• Разница между сертификатом и контейнером закрытого ключа
• Где сертификаты хранятся на Windows: хранилище и реестр
• Контейнер ключа: что это, где он находится и как его найти
• Как открыть хранилище сертификатов и посмотреть свойства сертификата
• Экспорт и импорт сертификатов: открытая часть и почему закрытый ключ экспортировать нельзя
• Где хранятся сертификаты на macOS и Linux
• Как найти нужный сертификат среди нескольких и выбрать его для задачи

Сертификат и контейнер: две части одного целого

Главное, что нужно понять в самом начале: сертификат электронной подписи — это не один файл, а две части, которые работают вместе.

Сертификат (открытая часть) — это файл или запись, которая содержит вашу открытую ключевую пару. Сертификат содержит ваше имя, срок действия, ФИО, название организации и открытый ключ. Этот файл можно хранить где угодно, передавать кому угодно, публиковать на сайте — он содержит только информацию для проверки подписи, а не для создания подписи. Люди используют открытый ключ из сертификата для проверки того, что документ действительно подписан вами.

Закрытый ключ (контейнер, файл .key или .pfx) — это та часть, которой вы подписываете документы. Закрытый ключ должен быть в абсолютной безопасности, потому что любой, кто получит доступ к ключу, сможет подписать документ от вашего имени. Закрытый ключ никогда не передаётся и не экспортируется (если только вы специально не переносите подпись на другой компьютер).

На компьютере эти две части могут лежать в разных местах. Сертификат обычно находится в хранилище операционной системы или в файле. Закрытый ключ находится в контейнере — защищённой папке, где его не может просто взять любая программа.

Хранилище сертификатов Windows

На Windows сертификаты хранятся в специальном хранилище операционной системы. Это не просто папка с файлами, а структурированное хранилище, управляемое самой ОС.

Где находится хранилище:

Для каждого пользователя Windows ведёт своё хранилище сертификатов в реестре: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap и в других ветках реестра. Но вам не нужно туда лазить руками — есть графический интерфейс.

Как открыть хранилище личных сертификатов:

1. Нажмите Win + R и введите certmgr.msc.
2. Откроется окно диспетчера сертификатов текущего пользователя.
3. Разверните ветку Личные (Personal) в левой панели.
4. Кликните на Сертификаты — в правой панели вы увидите все сертификаты, которые лежат в личном хранилище.

Каждый сертификат показывает:

• Выданный кому — ваше имя или название организации
• Выданный центром — кто выпустил сертификат (обычно удостоверяющий центр)
• Срок действия — когда сертификат начинается и когда заканчивается
• Отпечаток — уникальный идентификатор сертификата

Мнение эксперта

Артём Соколов

Специалист по внедрению ЭДО

Лайфхак: помимо certmgr.msc (хранилище текущего пользователя) есть также mmc.exe с оснасткой «Сертификаты» — она показывает хранилища компьютера в целом. Для входа в кабинет налоговой обычно подходит certmgr.msc, но если чего-то не видите, проверьте оба.

Контейнер закрытого ключа: где находится и как его найти

Сертификат в хранилище — это только половина дела. Вторая половина, закрытый ключ, лежит в контейнере. На Windows контейнер обычно находится в одном из этих мест.

На защищённом токене: Если вы при выпуске подписи выбрали вариант «хранить на токене», контейнер находится в защищённой памяти самого токена. Физически он на USB-устройстве, системе Windows его видно через драйверы токена, но скопировать его не получится — это аппаратная защита.

В реестре Windows: Если вы выбрали «хранить на компьютере», контейнер создаётся в реестре. Обычно путь выглядит так:

HKEY_CURRENT_USER\Software\Microsoft\Cryptography\Microsoft Enhanced Cryptographic Provider v1.0\User Keys

Но полезнее искать его не в реестре, а через КриптоПро CSP (если она установлена) — там есть удобный интерфейс для управления ключами.

На диске в виде файла: Некоторые удостоверяющие центры выдают контейнер в виде файла .key или .pfx, который нужно импортировать в КриптоПро CSP. В этом случае файл сначала лежит в папке, откуда вы его скачали (обычно на рабочем столе или в папке Downloads), а потом импортируется в хранилище.

Как найти контейнер через КриптоПро CSP:

1. Откройте КриптоПро CSP (Пуск → Программы → КРИПТО-ПРО → КриптоПро CSP).
2. Перейдите на вкладку Сертификаты или Мои сертификаты.
3. Найдите нужный сертификат в списке.
4. Кликните на него правой кнопкой и выберите Свойства.
5. В свойствах вы увидите, где хранится закрытый ключ: на токене, в реестре или в файле.

Просмотр свойств сертификата и срока действия

Важно знать, не только где сертификат лежит, но и что о нём известно. Срок действия — критическая информация, потому что истёкший сертификат использовать нельзя.

Просмотр свойств в Windows (certmgr.msc):

1. Откройте хранилище (Win + R → certmgr.msc).
2. Перейдите в Личные → Сертификаты.
3. Дважды кликните на нужный сертификат (или кликните правой кнопкой → Открыть).
4. Откроется окно со свойствами. Вкладка Общие показывает основную информацию.
5. Вкладка Данные сертификата показывает полные детали: открытый ключ, алгоритм, сроки.

Ключевые поля для проверки:

• Действителен с — начало периода, когда сертификат можно использовать
• Действителен по — окончание периода. Если дата уже прошла, сертификат просрочен.
• Открытый ключ — криптографический алгоритм (обычно RSA 2048 бит или 4096 бит)
• Закрытый ключ — должно быть написано «Да» или «Yes». Если «Нет», это проблема.

Если дата действия прошла, сертификат нужно выпустить заново — порядок описан в статье про продление подписи. Старый сертификат работать уже не будет.

Экспорт и импорт сертификатов

Сертификат можно копировать, передавать и импортировать на другой компьютер. Но тут важно понимать, что можно копировать, а что нельзя.

Экспорт открытой части сертификата: Это всегда можно сделать безопасно. Откройте хранилище, кликните на сертификат правой кнопкой, выберите Экспортировать. Выберите формат .cer (содержит только открытый ключ). Этот файл можно отправить кому угодно — там нет ничего секретного.

Экспорт с закрытым ключом (формат .pfx): Это возможно, но требует осторожности. Формат .pfx (PKCS#12) содержит и открытый ключ, и закрытый. Его нужен для переноса подписи на другой компьютер. Пароль на .pfx должен быть надёжным — это единственная защита в пути.

Почему закрытый ключ нельзя просто скопировать: Если вы попытаетесь найти файл с расширением .key в папке на диске и просто скопировать его, ничего не сработает. Ключи, которые хранятся в контейнере или на токене, защищены паролем и форматом. Просто скопировав файл, вы получите неработающий осколок. Нужно правильно экспортировать через криптопровайдер (КриптоПро CSP) или удостоверяющий центр.

Мнение эксперта

Наталья Ковалёва

Главный бухгалтер

Предупреждение от бывалого: я видела, как люди теряют подпись, потому что выбрали хранение в реестре без резервной копии, а потом переустановили Windows. Если вы храните ключ на компьютере, регулярно экспортируйте его в файл .pfx и сохраняйте в безопасном месте. Это не замена носителю, но уж лучше чем потеря подписи.

Сертификаты на macOS: Keychain

На компьютерах Apple сертификаты хранятся в Keychain — встроенном менеджере паролей и ключей. Это аналог хранилища Windows, но с другой архитектурой.

Как открыть Keychain и найти сертификат:

1. Откройте приложение Keychain Access (Spotlight → Keychain Access).
2. В левой панели выберите login (это личное хранилище текущего пользователя).
3. В верхней части окна нажмите на вкладку Certificates.
4. Ищите сертификат по имени — обычно это ваше ФИО или название организации.

Где Keychain хранит файлы: Физически сертификаты хранятся в папке ~/Library/Keychains/. Это защищённая папка, доступ к которой требует пароля пользователя. Обычно туда лезть не нужно — Keychain Access показывает всё, что нужно.

Работа с КриптоПро CSP на macOS: Если вы используете КриптоПро CSP на Mac, кроме Keychain будет ещё хранилище самого криптопровайдера. Оно находится в ~/Library/Application Support/CryptoPro/. КриптоПро может импортировать сертификаты как из Keychain, так и из собственного хранилища.

Сертификаты на Linux

На Linux нет единого встроенного хранилища, как на Windows или Mac. Всё зависит от того, какой криптопровайдер вы используете (обычно КриптоПро CSP) и как вы сами организуете хранение.

Типовые места хранения на Linux:

• Хранилище КриптоПро CSP: ~/.CryptoPro/ — это папка в домашней директории пользователя, где КриптоПро хранит ключи и сертификаты.
• Системное хранилище сертификатов: /etc/ssl/certs/ — там хранятся корневые и промежуточные сертификаты (общие для всей системы).
• Личная папка: Если вы сами разместили сертификат в виде файла, он может быть где угодно — на рабочем столе, в Download, в отдельной папке для проектов.

Просмотр сертификатов на Linux:

1. Откройте терминал.
2. Введите ls -la ~/.CryptoPro/ — увидите папки для сертификатов и ключей.
3. Для просмотра содержимого сертификата введите openssl x509 -in /path/to/cert.cer -text -noout.
4. Это покажет все детали: выданный кому, срок действия, открытый ключ.

На Linux чаще всего работают через командную строку, поэтому графических интерфейсов для просмотра сертификатов меньше. Зато это даёт больше контроля: вы точно знаете, где лежит ваш сертификат и как его использует система.

Как выбрать нужный сертификат среди нескольких

Если на компьютере несколько сертификатов (а это частая ситуация в компаниях), нужно найти именно тот, который подходит для конкретной задачи.

Главные признаки:

• Выданный кому — если задача требует подписи физического лица, ищите сертификат с вашим ФИО. Если нужна подпись организации, ищите по названию компании или по должности генерального директора.
• Тип сертификата — есть сертификаты для подписания документов (signing), есть для шифрования (encryption). Для входа в кабинет обычно нужен signing.
• Срок действия — просрочивший сертификат не работает. Проверяйте дату «действителен по».
• Закрытый ключ — сертификат, у которого нет закрытого ключа, использовать нельзя. Только тот, у которого есть ключ.
• Способ выпуска — если нужен квалифицированный сертификат (например, для кабинета юридического лица), обычный сертификат не подойдёт. В свойствах должно быть написано об аккредитации УЦ.

Практический пример: вы пытаетесь войти в кабинет налогоплательщика, и браузер просит выбрать сертификат из списка. На компьютере может быть и личный сертификат физического лица, и сертификат сотрудника организации. Для входа в свой личный кабинет вам нужно выбрать сертификат физического лица с вашим ФИО. Если выберете сертификат сотрудника, система потребует машиночитаемую доверенность (МЧД) и может отказать в доступе.

Частые вопросы о хранении сертификатов

Подпись давит срок или вы часто меняете компьютеры? Храните сертификат на защищённом токене — это надежнее, чем на диске компьютера. Специалист покажет, как правильно выбрать носитель под вашу задачу — выберите свой город.

Итог

Сертификат электронной подписи на компьютере — это не одна папка и не один файл, а система из открытой части (сертификата), закрытого ключа (контейнера) и места их хранения. На Windows это хранилище ОС, на macOS это Keychain, на Linux это папка криптопровайдера. Понимание того, где физически находится сертификат, поможет вам диагностировать проблемы, экспортировать подпись при переносе на другой компьютер и защитить её от кражи. Главный вывод: если вы только что получили подпись, уточните у удостоверяющего центра, где она хранится, запишите пароль к контейнеру отдельно и, если вы выбрали хранение на диске, сделайте резервную копию.