Забыли ПИН-код от токена: что можно сделать и когда подпись придётся перевыпускать

Коротко о главном

ПИН-код токена — это не то же самое, что пароль контейнера закрытого ключа, и не то же самое, что пароль сайта. ПИН открывает доступ к самому физическому токену, пароль контейнера защищает закрытый ключ внутри. На аппаратных токенах (Рутокен, JaCarta, ESMART) запрашивается сначала ПИН, потом пароль. Если забыли ПИН, токен может быть разблокирован через администраторский ПИН-код, но если и его потеряли, подпись придётся перевыпускать. Стандартные (заводские) ПИН-коды помогают не всегда, потому что многие пользователи их меняют сразу же при первом использовании.

В этой статье

• Чем ПИН-код токена отличается от пароля контейнера, пользовательского ПИН и администраторского ПИН
• Стандартные ПИН-коды популярных носителей и почему их обязательно менять
• Как устроен счётчик неверных попыток и когда токен блокируется
• Как разблокировать токен через администраторский ПИН
• Что делать, если забыли и пользовательский, и администраторский ПИН
• Форматирование токена и потеря ключа электронной подписи
• Профилактика: как сохранить ПИН и не попасть в ловушку

ПИН-коды на токене: их четыре, и они разные

На аппаратном токене для электронной подписи может быть до четырёх разных ПИН-кодов, и каждый отвечает за свою функцию. Это постоянно путают, и именно отсюда растут истории «мой токен заблокирован и не открывается». ПИН-код токена отличается от пароля контейнера закрытого ключа — первый открывает доступ к самому устройству, второй защищает ключ внутри.

Мнение эксперта

Артём Соколов

Специалист по внедрению ЭДО

Лайфхак: когда вы получаете токен из удостоверяющего центра, первое, что надо сделать — это сменить стандартный пользовательский ПИН 12345678 на свой. Администраторский ПИН обычно оставляют как есть (87654321 на Рутокене), потому что менять его реже, а вот пользовательский меняйте обязательно. Так вы сразу завязываете его на себя и понимаете, что пароль не заводской.

Стандартные ПИН-коды популярных токенов

Когда вы покупаете новый аппаратный токен или получаете его из удостоверяющего центра, на нём уже установлены заводские ПИН-коды. Это сделано специально, чтобы владелец мог с ним работать до первого использования.

Рутокен Lite и Рутокен S: пользовательский ПИН 12345678, администраторский ПИН 87654321. Это стандартная пара, она же сгенерирована как обратная последовательность цифр. На практике стоит сменить пользовательский ПИН сразу же, потому что 12345678 — это первое, что кто-то попытается подобрать.

Рутокен ЭЦП 3.0: по умолчанию использует ту же пару: 12345678 и 87654321. Если вы это получили из УЦ и видите именно эти коды, это норма.

JaCarta (eToken): стандартный ПИН зависит от конкретной версии и версии КриптоПро. Обычно это 1234567890 или 12345678, точный код должен быть в документах при покупке. Администраторский ПИН для JaCarta часто работает по другой схеме.

ESMART Token: заводской ПИН указан в сопроводительной документации на упаковке. Если документов нет, обратитесь к продавцу или к производителю токена.

Главное правило: если вы не менял ПИН с момента покупки токена, используется стандартный. Если токен получил твой коллега или его когда-то использовал предыдущий владелец, стандартный код может уже не работать.

Счётчик попыток и блокировка: как это устроено

Аппаратные токены защищены от подбора пароля. Если вводить неверный ПИН несколько раз подряд, токен блокируется. Это защита от того, чтобы кто-то на улице не перебирал коды и не открыл ваш закрытый ключ.

На большинстве Рутокенов счётчик попыток установлен на 10. Это значит:

• Вы вводите неверный пользовательский ПИН — счётчик обнуляется после трёх-пяти попыток, попробуете позже.
• После 10 неверных попыток подряд пользовательский ПИН блокируется. Токен всё ещё работает, но под пользовательским ПИН вход закрыт.
• Администраторский ПИН имеет свой отдельный счётчик. Если вы неправильно вводили администраторский ПИН 10 раз, токен полностью блокируется.

Важно: на некоторых версиях токенов счётчик может быть установлен иначе (например, 6 или 12 попыток). Точное число должно быть в документации токена.

Время ожидания между попытками зависит от криптопровайдера. Обычно система «успокаивается» через несколько секунд после неверного ввода, и вы можете попробовать снова. На самом токене нет таймера дхо блокировки после множества ошибок — блокировка срабатывает сразу.

Забыли пользовательский ПИН: разблокировка через администраторский

Если вы забыли пользовательский ПИН-код токена, у вас есть рабочий вариант — ввести администраторский ПИН и сбросить пользовательский.

Вот как это делается (инструкция для Рутокена в КриптоПро):

1. Откройте программу КриптоПро (обычно это КриптоПро CSP или ползовательский интерфейс криптопровайдера).
2. Найдите раздел управления токеном или браузер сертификатов.
3. Выберите ваш токен из списка подключённых устройств.
4. Нажмите на функцию «Управление» или «Properties» (свойства).
5. Система попросит ввести ПИН для доступа к управлению. Здесь нужен администраторский ПИН (по умолчанию 87654321 на Рутокене).
6. После ввода администраторского ПИН вы получите доступ к функции сброса пользовательского ПИН-кода.
7. Установите новый ПИН (8 цифр, обычно).
8. Сохраните изменения.

После этого старый пользовательский ПИН больше не работает, работает только новый. Счётчик попыток обнуляется.

Мнение эксперта

Наталья Ковалёва

Главный бухгалтер

Предупреждение от бывалого: не пытайтесь разблокировать токен через интернет или удалённо. Администраторский ПИН можно ввести только локально, через приложение на вашем компьютере или через взаимодействие с удостоверяющим центром. Если вы потеряли доступ к нужному компьютеру, УЦ может помочь, но это требует времени. Берегите администраторский ПИН так же тщательно, как пароль контейнера.

Забыли и пользовательский, и администраторский ПИН: полная блокировка

Если вы перепутали или потеряли оба ПИН-кода — пользовательский и администраторский, — токен полностью теряет свою функциональность. В этом случае возможны несколько сценариев в зависимости от того, когда это произошло.

Если подпись ещё не была загружена на токен: это несложно. Вы идёте в удостоверяющий центр, который выпускал подпись (или куда вы собирались идти), и говорите: «Токен потерял функциональность, нужен новый». Центр может либо переинициализировать токен (сбросить все ПИН-коды к заводским), либо выпустить новую подпись на другом токене. Это быстро и часто бесплатно.

Если подпись уже на токене, но вы не можете получить доступ: вы уже не можете использовать эту подпись. Единственный вариант — отозвать текущий сертификат в удостоверяющем центре и выпустить новый на новом токене или переинициализированном. Процедура отзыва требует личной явки и может занять день-два.

Можно ли форматировать токен и потом переинициализировать? Теоретически да, но это крайний случай. Форматирование токена стирает всё, включая приватный ключ вашей подписи, и вы не сможете использовать эту подпись больше никогда. Приватный ключ хранится на токене и нигде больше — стереть его = потерять подпись навсегда.

Поэтому форматирование используется только как последний вариант, если вы получили токен, не знаете его историю, и хотите его переинициализировать под себя с нуля.

Порядок действий при полной блокировке токена

Если вы столкнулись с ситуацией, когда токен не отвечает и вы не помните оба ПИН-кода:

1. Не паникуйте и не пытайтесь угадывать. Каждая неверная попытка приближает вас к полной блокировке.
2. Свяжитесь с удостоверяющим центром, который выпускал подпись. Передайте им информацию о токене (модель, серийный номер) и объясните ситуацию.
3. УЦ может помочь несколькими способами:
   • переинициализировать токен на месте (сбросить его к заводским установкам);
   • выпустить новую подпись на уже имеющемся токене;
   • выпустить новую подпись на другом токене и отозвать старую.
4. Если токен купили вы сами, а подпись получали в другом месте: обратитесь туда, где выпускали подпись. Они знают структуру токена и смогут помочь.
5. Если токен совсем потеряет функциональность: придётся выпустить новую подпись на новом (или переинициализированном) токене. Процедура требует личной явки в УЦ.

Форматирование токена: когда и зачем

Форматирование токена — это полный сброс всех данных на нём. После форматирования токен как бы «рождается заново»: все ПИН-коды возвращаются к заводским, все контейнеры и ключи удаляются.

Когда используется:

• Вы купили токен с чужой подписью (например, купили через «Авито») и хотите его использовать под себя.
• Администраторский ПИН полностью потерян, и других вариантов получить доступ нет.
• Токен неживой — не отвечает на команды и не открывается ни при каких обстоятельствах.

Что происходит при форматировании:

• Все контейнеры с приватными ключами удаляются без возможности восстановления.
• ПИН-коды сбрасываются к заводским (например, для Рутокена — 12345678 и 87654321).
• Токен становится пустым и готов к новому использованию.

Главный момент: если на токене была квалифицированная подпись, после форматирования она исчезает навсегда. Восстановить её нельзя. Поэтому форматируйте только если вы уверены, что больше этот ключ не нужен.

Форматирование обычно делается через инструменты КриптоПро или специальное ПО производителя токена (например, Рутокен Лоунж для Рутокена). Процедура требует администраторского доступа к системе.

Профилактика: как не потерять ПИН-коды

Самый простой способ избежать проблем — это записать ПИН-коды в момент получения или использования токена.

1. Запишите оба ПИН-кода на листок бумаги. Пользовательский ПИН (обычно тот, что вы меняете сразу) и администраторский ПИН. Запишите, какой для чего.
2. Храните листок отдельно от самого токена. Если у вас одна подпись для налоговой и работы, токен лежит на рабочем столе, а листок — в сейфе или дома. Не кладите их вместе.
3. Не пишите ПИН-коды в облак или в письма себе. Это менее безопасно, чем бумажный листок.
4. Если используете менеджер паролей: ПИН-коды к токену туда можно добавить. Менеджер обычно безопаснее, чем открытое письмо, но менее безопасен, чем отдельный физический документ.
5. Если потеряли листок: пока токен работает, попробуйте вспомнить пользовательский ПИН. Администраторский часто оставляют как заводской (87654321 на Рутокене), поэтому попробуйте сначала его. Если ничего не помогло, обращайтесь в УЦ.
6. Смена ПИН-кодов: если вы хотите изменить пользовательский ПИН, делайте это сразу же после получения токена, пока свежо в памяти. Администраторский обычно не меняют, чтобы не усложнять себе жизнь.

Различия между заводскими и пользовательскими ПИН-кодами

Если вы получили токен из удостоверяющего центра и не меняли ПИН-кода, на нём установлены заводские коды. Если вы меняли ПИН — вы установили свой.

На практике это важно при передаче токена другому человеку или при переезде на новый компьютер:

• Если забыли, менялся ли ПИН: сначала попробуйте заводской (12345678 для большинства Рутокенов). Если не сработал, значит, когда-то его меняли.
• Если передаёте токен другому человеку: обязательно передайте и ПИН-коды. Передавайте только пользовательский, администраторский оставляйте при себе (если это важно для безопасности) или передавайте, если полностью доверяете.
• При смене компьютера: токен просто подключите к новому компьютеру. ПИН-коды хранятся на самом токене, не на компьютере, поэтому они работают везде одинаково.

Когда обращаться в удостоверяющий центр

Есть моменты, когда самостоятельно уже ничего не сделаешь, и нужна помощь УЦ:

• Токен полностью заблокирован (не отвечает на команды).
• Потеряны оба ПИН-кода — пользовательский и администраторский.
• Вы получили токен от предыдущего владельца и не знаете его ПИН-коды.
• Токен был куплен давно, и вы не помните, менялся ли ПИН.
• Нужно отозвать подпись и выпустить новую.

При обращении в УЦ готовьте:

• Серийный номер токена (обычно на корпусе).
• Сертификат соответствия (документ, который был при покупке).
• Описание проблемы (какой ПИН забыл, когда это произошло).
• Копию документов о выпуске подписи (контракт, заявление).

Часто задаваемые вопросы

Потеряли доступ к токену и нужна новая подпись? Наши специалисты помогут переинициализировать токен или выпустить новую подпись быстро. Выберите свой город, и мы свяжемся с вами в течение дня.

Итог

ПИН-код токена — это не то же самое, что пароль контейнера, и это не пароль сайта. Это двухфакторная защита: физический токен + знание кода. На токене может быть несколько ПИН-кодов, каждый со своей функцией. Пользовательский ПИН открывает доступ для подписи, администраторский ПИН управляет токеном.

Если забыли пользовательский ПИН, его можно изменить через администраторский. Если забыли оба, помощь может дать только удостоверяющий центр. Чтобы этого избежать, запишите ПИН-коды сразу же при получении токена и храните отдельно от самого устройства.

Главное правило: не полагайтесь на память для важных кодов, полагайтесь на запись. Это сэкономит вам время и нервы, если что-то вдруг пойдёт не так.