Коротко о главном
На одном токене можно хранить несколько электронных подписей, но не бесконечность. Вместимость зависит от модели: Рутокен Lite рассчитан на 5–7 контейнеров (примерно столько же подписей), Рутокен S и ЭЦП 3.0 — до 28, ЭЦП 2.0 — до 10. Контейнер — это хранилище для одной пары ключей, и чем больше подписей, тем выше риск выбрать при подписании не ту. На практике смешивание подписей разных организаций и людей на одном токене — не лучшая идея: во-первых, это создаёт головную боль при управлении, а во-вторых, скорость работы падает, если вы часто меняете активный контейнер. Большинству хватает одна подпись на один токен. Если нужно несколько подписей, проще купить второй носитель, чем разбираться с путаницей на одном.
В этой статье
- Что такое контейнер и чем он отличается от сертификата
- Вместимость разных моделей Рутокена: от Lite до ЭЦП 3.0
- От чего зависит количество подписей на токене
- Можно ли хранить подписи разных организаций и людей на одном токене
- Почему смешивание подписей опасно и неудобно
- Как назвать контейнер в КриптоПро, чтобы его узнать потом
- Как быстро выбрать нужный сертификат при подписании
- Когда оптимально завести отдельный токен вместо переполнения одного
- Частые ошибки при работе с несколькими подписями
Контейнер закрытого ключа: основа вместимости
Каждая подпись на токене занимает отдельный контейнер — это защищённое хранилище для одной пары ключей (приватный и публичный). Контейнер не просто так называется хранилищем: это не просто файл, а структура данных на микросхеме токена, защищённая паролем и связанная с конкретным сертификатом.
Один контейнер = одна подпись = одна личность (физическое лицо или организация). Если нужны две разные подписи (например, директора и главного бухгалтера одной компании), нужны два контейнера. Если нужна подпись для другой компании — это третий контейнер.
Чем больше контейнеров на токене, тем меньше свободной памяти на самом устройстве. Память токена используется для хранения ключей, сертификатов и служебной информации. После определённого количества новых контейнеров памяти может просто не хватить, даже если теоретический лимит контейнеров не достигнут.
Вместимость разных моделей Рутокена
Максимальное количество контейнеров зависит от поколения и модели токена.
| Модель токена | Макс. контейнеров | Типичное использование | Когда нужна система управления |
|---|---|---|---|
| Рутокен Lite | 5–7 | 1–2 подписи на практике | Если больше двух — уже нужна система |
| Рутокен S | до 28 | 5–10 подписей | Обязательна при 6+ подписях |
| ЭЦП 2.0 | до 10 | 2–5 подписей | При 5+ подписях |
| ЭЦП 3.0 | до 28 | 5–10 подписей | Обязательна при 6+ подписях |
Важный уточнение: на Lite и S контейнеры заключают в себя весь полезный объём памяти токена. Если вы забьёте токен под максимум — 5 подписей на Lite или 28 на S — практический лимит может оказаться ниже. Одна подпись занимает примерно 1–2 КБ памяти (зависит от длины ключа и других параметров), остаток памяти делится между служебной информацией.
Можно ли хранить подписи разных организаций и людей на одном токене
Технически можно. Удостоверяющие центры не запретят выпустить вторую подпись на тот же токен, если на нём ещё есть место. Но практически это редко требуется и часто приводит к проблемам.
Когда смешивание подписей имеет смысл:
- Вы — один человек, но руководитель нескольких компаний (ООО и ИП), и у каждого своя подпись.
- Вы работаете в коллективе, и каждому человеку нужна своя подпись, но тратить на каждого отдельный токен дороговато.
- Компания выпустила подпись на сотрудника, а потом пришлось выпустить личную подпись этого же человека для госуслуг — и обе они на одном токене.
Почему смешивание опасно:
Проблема не в технике, а в людях. Когда на токене несколько подписей, при подписании документа система просит вас выбрать, какую использовать. Список может быть длинным и не очень информативным — там будут просто названия контейнеров типа «Key 1», «Key 2» и так далее. Если вы в спешке, легко выбрать не ту подпись. И вот вы уже подписали договор подписью ООО вместо подписи ИП, или подписью коллеги вместо своей.
Кроме того, каждый раз, когда вы меняете активный контейнер, происходит переинициализация криптографического модуля. При частых переключениях скорость подписания падает заметно.
Почему одна подпись на один токен — золотой стандарт
В подавляющем большинстве случаев компании и люди используют один токен на одну подпись. И это правильный выбор.
Почему:
- Исключена путаница. Вы вставили токен — система предлагает одну подпись. Нечего выбирать, нечего перепутать.
- Быстрее работает. Нет переключений между контейнерами, нет задержек от переинициализации.
- Проще в управлении. При повседневной работе понятно, какой токен какой компании и какого человека. Если нужно отозвать подпись, не нужно разбираться, какой контейнер удалять.
- Безопаснее. Если один токен потеряется, потеряется одна подпись. Если на нём было пять подписей, они все потеряются.
- Дешевле в целом.** Хотя токен стоит денег, затраты на управление, предотвращение ошибок и восстановление при проблемах обычно выше, чем цена второго токена.
Как назвать контейнер в КриптоПро, чтобы его узнать потом
Если вы всё же решили держать несколько подписей на одном токене, дайте каждой контейнеру понятное имя. КриптоПро позволяет переименовывать контейнеры, и это критически важно для того, чтобы потом не перепутать.
Хорошие имена для контейнеров:
- По организации: ООО_Рога_и_Копыта, ИП_Петров, ООО_Рога_Бухгалтер
- По назначению: Налоговая_ООО, Диадок_ИП, Госуслуги_Физ
- По владельцу: Петров_Сергей, Сидорова_Инна_Бухгалтер
- Гибридный вариант: ООО_РиК_Петров, ИП_Сидоров_Диадок
Как не называть:
- Key 1, Key 2 — это же не информативно
- Подпись 1, Подпись 2 — то же самое
- Test, Prod, Old — неясно, старая это подпись или активная
- Без имени вообще — система присвоит контейнеру номер, что хуже любого имени
Как переименовать контейнер:
- Откройте КриптоПро CSP.
- Перейдите на вкладку Сертификаты.
- Найдите нужный сертификат в списке.
- Кликните на него правой кнопкой → Свойства.
- В окне свойств найдите поле Имя контейнера (или просто Container name).
- Удалите старое имя и введите новое, понятное вам.
- Сохраните.
Имя контейнера видимо только вам и вашему криптопровайдеру. Удостоверяющий центр об этом имени не знает — он работает с самим сертификатом, а не с его названием на вашем компьютере. Поэтому переименование не влияет ни на что, кроме удобства вашей работы. Подробнее о том, где хранятся сертификаты и как ими управлять, читайте в соответствующей статье.
Как выбрать нужный сертификат при подписании
Когда вы подписываете документ и на компьютере несколько сертификатов, система обычно предлагает выбрать нужный из списка. Вот как быстро ориентироваться в этом списке.
На что смотреть в окне выбора:
- Выданный кому. Это основная информация: ваше ФИО или название компании. Если вам нужна подпись организации, ищите названием компании.
- Дата выдачи и срок действия. Пропущенный сертификат система должна исключить из списка, но лучше проверить визуально: если дата по уже прошла, сертификат не работает.
- Тип. Должно быть написано Signing или Подписание (есть и шифрование — для неё нужен другой сертификат).
- Издатель (Issued by). Это удостоверяющий центр, выпустивший сертификат. Например, УЦ ФНС, или коммерческий УЦ.
- Отпечаток (Thumbprint). Уникальный хеш сертификата. Если вам нужна конкретная подпись и есть её отпечаток, можно сравнить.
Типичная ошибка: на одном компьютере несколько сертификатов, и их названия не помогают. Вы видите список из пяти сертификатов, названия похожи, и вы выбираете первый попавшийся. Потом документ не принимается, потому что вы выбрали не ту подпись. Решение: либо иметь разные токены для разных подписей (проще всего), либо очень аккуратно называть контейнеры и профессионально проверять выбор перед подписанием.
Что делать, если вышли за лимит памяти
Если вы пытались добавить новый контейнер, а система говорит, что памяти недостаточно, есть несколько вариантов.
Вариант 1: удалить ненужный контейнер. Если на токене лежит подпись, которую вы больше не используете, удалите её через КриптоПро. Это освободит место для новой. Но учтите: удаление контейнера — операция необратимая. Если понадобится эта подпись позже, придётся выпускать новую.
Вариант 2: купить второй токен. Это самое надёжное решение. Второй токен стоит дешевле, чем управление путаницей на одном, и безопаснее в плане резервирования. Если один потеряется, останется другой.
Вариант 3: перенести подпись на флешку или облако (только если УЦ позволяет). Некоторые удостоверяющие центры позволяют экспортировать контейнер в виде файла .pfx и хранить его на диске или в защищённом облаке. Но это менее безопасно, чем хранение на токене. К тому же, сам токен останется с лишней подписью, и место не освободится.
Когда завести отдельный токен вместо переполнения одного
Вот критические точки, когда пора перейти на второй токен:
По количеству подписей:
- Если у вас Lite и больше 2–3 подписей — переходите на второй Lite или на S.
- Если у вас S или ЭЦП 3.0 и больше 5–7 подписей — второй токен предпочтительнее.
- Если больше 10 подписей — уже точно нужна система: два токена по типам подписей (налоговые и ЭДО, например) или по компаниям.
По назначению подписей:
- Если подписи нужны для разных целей (налоговые + ЭДО + госуслуги), имеет смысл разделить по токенам. Так вы гарантированно не выберете не ту подпись, когда спешите.
- Если подписи разных компаний, разделение по токенам исключает риск подписать документ ООО подписью ИП.
По частоте использования:
- Если вы каждый день подписываете документы подписью A и раз в месяц подписью B, B будет валяться мёртвым грузом на токене, занимая память и усложняя выбор.
- Второй токен, лежащий в столе только на случай, — это тоже выигрыш в удобстве.
По скорости работы:
Если вы замечаете, что подписание документа идёт медленнее, чем ожидаете, может быть дело в том, что на токене слишком много контейнеров. Система переинициализирует криптографический модуль каждый раз при выборе другого контейнера. При десяти контейнерах это может быть заметной задержкой. Второй токен решит эту проблему.
Частые ошибки при управлении подписями на одном токене
Перечислим, куда обычно ошибаются:
- «Все контейнеры одинаково называются — Key 1, Key 2, Key 3». Потом вы забыли, какой Key какой компании. Решение: переименовать все в понятные имена сразу же после выпуска.
- «Выбираю первый попавшийся контейнер». Иногда сработает, иногда нет. Правило: всегда проверяйте, что выбрали правильную подпись, прежде чем подписать документ. Секунда проверки сэкономит часы переделки.
- «На токене подписи физического лица и организации — всё равно один токен». Это разные сущности, и система будет их видеть по-разному. Может быть, один токен и справится, но путаница гарантирована.
- «Удалили контейнер и думаем, что место автоматически освободится». Время на то, чтобы место освободилось внутри токена, может быть неопределённым. Иногда нужно переинициализировать токен (в КриптоПро есть такая функция).
- «Сделали резервную копию одного контейнера в .pfx, думаем, что подпись спасена». На токене она всё ещё есть. Если токен потеряется, одна подпись будет в резервной копии, но остальные потеряются. Резервируйте все контейнеры или используйте системный backup токена.
Часто задаваемые вопросы
Нужна подпись на токене и помощь с выбором — сколько нужно, как организовать управление? Специалист подскажет оптимальную схему для вашей работы — выберите свой город.
Итог
На одном токене физически может быть до 5–28 подписей в зависимости от модели, но практически больше 5–7 — это головная боль. Один токен — одна подпись — это золотой стандарт, которого придерживаются компании с хорошей культурой управления подписями. Если нужно несколько подписей, разумнее купить второй токен, чем мучиться с путаницей и рисками на одном. А если вы решили держать несколько подписей на одном носителе, дайте каждому контейнеру понятное имя и внимательно проверяйте выбор перед подписанием — секунда внимания сэкономит часы переделки.