Защита эпц

Работа с PIN-кодом Пользователя

Что такое PIN-код Пользователя, для чего он используется и как его лучше хранить? 

PIN-код Пользователя используется для доступа к электронной подписи и объектам на устройстве (сертификатам, ключевым парам).

PIN-код Пользователя необходимо хранить в безопасном месте. Главное чтобы ни у кого кроме пользователя не было доступа к нему.

Как ввести PIN-код Пользователя в Панели управления Рутокен?

На устройстве Рутокен существует счетчик неправильных попыток ввода PIN-кода Пользователя. 

Обычно задано 10 попыток неправильного ввода PIN-кода Пользователя.

Когда пользователь вводит неправильный PIN-код, значение этого счетчика уменьшается на единицу. Если после этого пользователь вводит правильный PIN-код, то значение счетчика становится изначальным.

Допустимое количество неправильных попыток ввода PIN-кода указано в окне с ошибкой «Неудачная аутентификация» после слов «осталось попыток».

Если там указано значение «1», то после следующей неудачной попытке ввода PIN-кода он заблокируется.

1. Подключите устройство Рутокен к компьютеру.
2. Запустите Панель управления Рутокен.
3. Нажмите Ввести PIN-код.
4. Укажите PIN-код Пользователя и нажмите ОК.
5. Если введен верный PIN-код Пользователя, то вместо кнопки Ввести PIN-код отобразится кнопка Выйти.
6. Если введен неверный PIN-код, то на экране отобразится сообщение об этом. В поле осталось попыток будет указано максимальное количество попыток ввода неправильного PIN-кода.
7. Нажмите ОК и повторите ввод PIN-кода.

Как посмотреть количество оставшихся попыток ввода неправильного PIN-кода Пользователя?

1. Откройте Панель управления Рутокен.
2. На вкладке Администрирование нажмите Информация.
3. В окне Информация о Рутокен в строке Попыток ввода PIN-кода Пользователя отображается количество оставшихся попыток.

Что делать, если PIN-код Пользователя заблокирован?

Если пользователь несколько раз ввел неправильный PIN-код Пользователя, то он блокируется. 

При попытке ввода уже заблокированного PIN-кода Пользователя в Панели управления Рутокен отобразится следующее сообщение:

Для того чтобы разблокировать PIN-код Пользователя необходимо обратиться к администратору устройства Рутокен.

Какой PIN-код лучше использовать? Как придумать безопасный PIN-код?

Использовать PIN-код, который был задан по умолчанию — небезопасно. Рекомендуется его изменить. При этом стоит учитывать некоторые рекомендации:

• Необходимо составить PIN-код из 6-10 символов. Использование короткого PIN-кода (1-5 символов) заметно снижает уровень безопасности, а длинного PIN-кода (более 10 символов) может привести к увеличению количества ошибок при его вводе.
•  Лучше составить PIN-код из: цифр, латинских букв, пробелов и специальных символов (точек, запятых, восклицательных знаков и т.п).
• PIN-код будет надежнее, если вы составите его из смешанного набора цифровых и буквенных символов.
• PIN-код будет ненадежным, если вы при его составлении будете использовать общеупотребляемые слова и устойчивые словосочетания.
• Не стоит использовать наборы символов, представляющие собой комбинации клавиш, расположенных подряд на клавиатуре, такие как: qwerty, 123456789, wazwsx и т.п.
• Не стоит использовать персональные данные: имена и фамилии, адреса, номера паспортов, страховых свидетельств и т.п.
• Лучше всего использовать разные PIN-коды для разных устройств Рутокен.

Как в Панели управления Рутокен изменить PIN-код Пользователя?

Требования к новому PIN-коду описаны в разделе 

1. Подключите устройство Рутокен к компьютеру.
2. Запустите Панель управления Рутокен.
3. Введите PIN-код Пользователя.
4. В секции Управление PIN-кодами нажмите Изменить. Если эта кнопка не активна, то для изменения PIN-кода необходимо обратиться к администратору устройства Рутокен.
5. В полях Введите новый PIN-код и Подтвердите новый PIN-код введите новый PIN-код. Если индикатор безопасности PIN-кода, расположенный рядом с полем Введите новый PIN-код подсвечен красным цветом, то PIN-код является «слабым», если желтым  — то «средним», а если зеленым  — то «надежным». 
6. Нажмите ОК.В результате PIN-код Пользователя изменится.

Какой пароль нужен для использования ключа ЭЦП

При использовании ключа ЭЦП, необходимо знать пароль, который был создан в процессе установки программного обеспечения. Этот пароль является одним из основных элементов безопасности и должен быть длинным, надежным и, конечно же, запоминающимся.

Если вы забыли или потеряли пароль от ключа ЭЦП, обратитесь к руководству пользователя вашего программного обеспечения для получения инструкций по восстановлению. Для безопасности, часто создается возможность назначить новый пароль и изменить его с определенной периодичностью.

Важно помнить, что пароль от ключа ЭЦП может быть предоставлен только его владельцу и не должен быть передан третьим лицам. В противном случае, это может привести к несанкционированному доступу к защищенной информации, что представляет угрозу для безопасности данных

Что такое ПИН-код карты

ПИН-код — это набор цифр, проще говоря, пароль для идентификации владельца карты. «Квалифицировать ПИН-код с юридической точки зрения можно в качестве кода, присваиваемого каждой карте и используемого держателем карты при совершении операций и иных сделок с использованием карты в качестве аналога его собственноручной подписи», — поясняет заместитель руководителя Федерального центра медиации, юрист Владимир Кузнецов.

ПИН-код защищен нормативными актами, касающимися неприкосновенности частной жизни и конфиденциальности, добавляет он. Знать пароль от карты должен только ее владелец. Если пароль попадет к третьим лицам, карта считается скомпрометированной. Что это значит, подробно разобрали здесь.

Отличие пароля подписи от ПИН-кода токена

Электронная подпись (ЭП) — это программа, призванная заменить ручное визирование при электронном документообороте. Сертификат ЭП выдается конкретному лицу и идентифицирует его личность.

Существует два варианта работы с ЭП, от которых зависит ответ на вопрос, как узнать ПИН-код от ЭЦП. Это:

1. Установка ее на компьютер. В этом случае создается специальная папка, контейнер или директория, в которой находятся сертификат ЭП и ключи. При установке программа требует подтвердить возможность доступа — при оформлении владельцу выдается или направляется в СМС стандартный код, после установки его следует заменить на собственный и запомнить. Подтверждение права доступа потребуется при переустановке на другие устройства, и чтобы не вводить код доступа при каждом ее использовании, пользователю предоставлена возможность воспользоваться функцией запоминания. Тогда программа не будет требовать его каждый раз, но в этом случае больше вероятность его забыть, и при необходимости переустановить программу на другое устройство пользователь встретится со множеством сложностей.
2. С помощью специального физического носителя — токена, напоминающего обычную флешку. Токен имеет средство обеспечения безопасности использования — ПИН-код, который вводится при записи ЭЦП на носитель. Если носитель новый, используется заводской код, при установке сертификата на компьютер пользователя и при каждом подписании с его помощью, если пользователь не нажал «Запомнить».

Таким образом, и пароль ЭЦП, и ПИН-код токена — это средства обеспечения безопасности использования подписи, но один используется для установленного на компьютер программного обеспечения, а другой — при использовании внешнего носителя ЭЦП. Следовательно, инструкции, как узнать пароль ключа ЭЦП и ПИН-код от токена, различны.

Эксперты КонсультантПлюс детально разобрали, как работать с электронной подписью. Используйте эти инструкции бесплатно.

Что делать, если забыл/потерял пароль электронной подписи?

Если вы забыли или потеряли пароль ЭЦП, то о восстановлении не может быть и речи. Можете обратиться в службу поддержки УЦ, но и она вам не поможет, потому что удостоверяющие центры не хранят секретные коды владельцев подписей. Попытайтесь подобрать или вспомнить важную комбинацию символов.

«Потерялся пароль подписи»

Код от контейнера ЭП можно подбирать столько раз, сколько вам нужно – лимиты до блокировки не установлены. Перебирайте все возможные сочетания – даты, имена… Возможно, вы изначально установили простой пароль для защиты контейнера.

Если не получается «угадать» код, то есть еще один вариант, который может помочь. Попробуйте перенести папку с данными ЭП на другой компьютер или флешку. Если ранее вы хранили пароль на ПК и нажимали «Запомнить», то при копировании файлов на другое устройство система может не запросить пароль. А работать с подписью вы сможете.

Если никакой из названных вариантов не помог, как узнать пароль от ЭЦП, то придется заказывать новую подпись в Удостоверяющем центре. Перед этим потребуется отозвать прошлую ЭП.

«Потерялся пин-код токена»

Восстановить PIN-код токена, который забыли или потеряли, тоже не получится. Если бы все было так просто, то токен не являлся бы носителем с высоким уровнем защиты от злоумышленников.

Однако есть пара вариантов, с помощью которых можно попробовать восстановить код.

Способ №1. Стандартный пароль

Изначально новоиспеченному владельцу выдают токен с заводской комбинацией символов. Попробуйте ввести их, чтобы получить доступ к подписи. Для разных носителей применяют определенные стандартные пароли. Собрали их для вас в таблице – пароли для пользователя и администратора:

Если общепринятый пароль из таблицы не открыл доступ к токену, значит, пароль менялся при записи сертификата. Пробуйте восстановить пин-код методом подбора, но помните о лимите до блокировки.

Способ № 2. Подбор пин-кода и администраторского доступа

На подбор пароля от токена есть ограничения – 10 попыток, после чего произойдет блокировка. Но лимит можно увеличить, если вы зайдете от имени администратора.

1. Откройте панель управления токеном и выберите раздел «Администрирование».
2. Укажите PIN-код администратора. Заводские администраторские пароли для различных носителей приведены в таблице выше. Если пароль от производителя не подошел, значит, его поменяли.
3. Если ваши попытки все-таки заблокировали, то снять блокировку PIN-кода токена можно через раздел «Администрирование», нажав соответствующую кнопку:

Если вы знаете PIN-код администратора, то обнулить попытки ввода можно через программу КриптоПро CSP:

1. Откройте КриптоПро CSP и в разделе «Оборудование» выберите «Настроить типы носителей».
2. Укажите ваш токен. Откройте его свойства и перейдите во вкладку «Информация».
3. Нажмите «Разблокировать PIN-код» как показано на скриншоте:

После разблокировки количество попыток ввода откатится назад. Но работать с подписью не получится, пока вы не узнаете пароль от ЭЦП.

Если не удалось возобновить или сменить пароль ЭЦП, то остается только обращаться в Удостоверяющий центр, чтобы отозвать предыдущий сертификат и выпустить новый. Носитель (токен) можно не менять: отформатируйте его и передайте специалисту для записи нового ключа.

После того как получите новую ЭП, рекомендуем поменять стандартный код на более сложную комбинацию. И заранее продумайте, как его хранить, чтобы снова его не потерять. Для уверенности используйте сразу несколько вариантов, которые мы описали в статье.

Как использовать персональный пароль

В большинстве удостоверяющих центров при выдаче USB-токенов на них устанавливают стандартный код доступа (он присваивается автоматически):

• для рутокенов — это 12345678;
• для eToken — 1234567890;
• для смарт-карт (JaCarta) — 11111111.

Именно их и потребуется вводить при первом подключении носителя ключа сертификата к ПК и при последующей его установки в среду операционной системы. Естественно, пользователь на свое усмотрение в будущем может заменить пароль на любой другой с помощью КриптоПро CSP актуальной версии.

В некоторых же удостоверяющих центрах пароль ЭЦП по умолчанию устанавливают иной или вовсе генерируют случайный набор чисел. Его обязательно сообщают владельцу электронной подписи при выдаче токена.

Внимание! Крайне важно сохранить данный код доступа, но при этом его не следует сообщать третьим лицам, так как они впоследствии смогут установить ключ сертификата на любой другой ПК и использовать ЭЦП без ведома его владельца. При использовании токена на определенном компьютере пароль вводится только один раз. Далее он автоматически запоминается устройством (добавляется к установленному контейнеру), поэтому повторно его вводить уже не потребуется

Но если будет произведена переустановка ОС или замечено определенное оборудование в ПК, то установку придется выполнять повторно, для генерации ключа снова потребуется один раз ввести пароль

Далее он автоматически запоминается устройством (добавляется к установленному контейнеру), поэтому повторно его вводить уже не потребуется. Но если будет произведена переустановка ОС или замечено определенное оборудование в ПК, то установку придется выполнять повторно, для генерации ключа снова потребуется один раз ввести пароль

При использовании токена на определенном компьютере пароль вводится только один раз. Далее он автоматически запоминается устройством (добавляется к установленному контейнеру), поэтому повторно его вводить уже не потребуется. Но если будет произведена переустановка ОС или замечено определенное оборудование в ПК, то установку придется выполнять повторно, для генерации ключа снова потребуется один раз ввести пароль.

Мнение эксперта Михаил Житняков Ведущий специалист по программному обеспечению Важное замечание: в некоторых удостоверяющих центрах пароль от ЭЦП по умолчанию устанавливают свой собственный. Следует у представителя УЦ уточнять эту информацию

К примеру, ранее так делали в «Контур» для всех рутокенов версии 2.0, позже — стали применять стандартные.

Криптопро: просмотреть сохраненный пароль (пинкод) на контейнер закрытого ключа эцп — trust me i`m an engineer

Зачастую пользователи не могут вспомнить пароль (пинкод) от контейнера ЭЦП, что неудивительно меняется он раз в год при плановой смене ключа ЭЦП после чего ставится галочка «запомнить пароль» и пароль больше никогда не вводится.Сохраненный пароль можно посмотреть с помощью консольной утилиты csptest, входящей в состав КриптоПро CSP.

Утилита находится в папке с установленным КриптоПро (по умолчанию C:Program FilesCrypto ProCSP).

Переходим в директорию с программой

cd «C:Program FilesCrypto ProCSP»

Смотрим имена доступных контейнеров закрытого ключа ЭЦП:

csptest -keyset -enum_cont -fqcn -verifycontext

команда выводит список доступных контейнеров вида: \.<имя считывателя><имя контейнера>

После этого выводим сохраненный пароль для нужного контейнера:

csptest -passwd -showsaved -container «<имя контейнера>»

PS: Данный способ подходит для КриптоПро 3.6 и выше. В КриптоПро 3.0 у утилиты csptest отсутствует опция -showsaved.

PPS: Если этот метод не помогает и у вас аппаратные контейнеры (токены), можно попробовать ввести пароль по умолчанию. Для rutoken это 12345678, для eToken 1234567890, для JaCarta PKI/ГОСТ 11111111 (1234567890 если включена опция обратная совместимость).

PPPS: Весь процесс можно автоматизировать обычным батником,который  массово достает пароли из всех доступных ключей. Большое спасибо . Скачать bat-файл можно отсюда. Текст батника:

@echo offSetLocal EnableExtensions EnableDelayedExpansioncopy «C:Program FilesCrypto ProCSPcsptest.exe» >nulchcp 1251if exist %computername%.txt del /f /q %computername%.txtif exist temp.txt del /f /q temp.txtset NameK=»»for /f «usebackq tokens=3,4* delims=» %%a in (`csptest -keyset -enum_cont -fqcn -verifycontext` ) do (set NameK=%%a;csptest -passwd -showsaved -container «!NameK!» >> temp.txt)del /f /q csptest.exeset/a $ai=-1set/a $bi=2for /f «usebackq delims=» %%a in («temp.txt») do @(set «$a=%%a»if «!$a:~,14!»==»AcquireContext» echo:!$a! >> %computername%.txtif «!$a:~,8!»==»An error» echo:Увы, ключевой носитель отсутствует или пароль не был сохранен. >> %computername%.txt & echo: >> %computername%.txtif «!$a:~,5!»==»Saved» set/a $ai=1if !$ai! geq 0 set/a $ai-=1 & set/a $bi-=1 & echo:!$a! >> %computername%.txtif !$bi!==0 echo: >> %computername%.txt & set/a $bi=2)del /f /q temp.txtEndLocalecho on

Скачать отдельно утилиту csptest для версий 3.6 3.9 и 4.0 можно отсюда.

Как защитить свою электронную подпись?

https://youtube.com/watch?v=AGeS1SECwOI

После того как вы получили эцп в удостоверяющем центре , вам необходимо:

1. Настроить свое рабочее место на компьютере для работы с ключем. это можно сделать по моей инструкции как настроить компьютер для работы с ЭПЦ
2. После этого открываем программы КриптоПРО CSP
3. Переходим в меню Сервис и нажимаем внизу кнопку Изменить пароль
4. Через кнопку Обзор выбираем наш сертификат
5. Устанавливаем на наш сертификат пароль
6.  Таким образом буквально в несколько кликов мы защитили наш сертификат от любых действий лицами которые могут завладеть нашим сертификатом.

Но чтобы понять как выглядит и какой принци работы защищенного сертификата ЭЦП на который мы только что установили пароль или как его еще принято называть ПИН код, то это выглядит примерно таким образом.

При заходе на любой сайт или сервис где от нас потребуется предоставить электронный ключ ЭЦП будет вылетать окно которое попросит ввести пароль. В моем примере я допустим хочу через мой рутокен зайти на сайт Мос.ру

Вуаля! Теперь даже если Вы потеряете флешку или она окажется у черных риелторов или мошенников они ничего не смогут с ней сделать и тем самым нанести вам какой то ущерб!

Как узнать пароль от сертификата ЭЦП

Установка сертификата электронной подписи на персональном компьютере возможна через браузеры Internet Explorer, Mozilla Firefox, Opera, Chrome и Яндекс-Браузер. Сначала к компьютеру подключается полученный ключевой носитель Рутокен или JaCarta. Перейти по электронному адресу: https://i.kontur-ca.ru

Далее в открывшееся окно необходимо ввести номер телефона, указанный в заявлении на выдачу КЭП:

В течение нескольких секунд на телефон придет СМС с кодом, который и является паролем от сертификата. Его вводят в соответствующее окно:

Полученный пароль действителен только в течение 5 минут после получения, поэтому если имеется опоздание с вводом — нужно обносить ссылку и повторить весь процесс заново. Если пароль не пришел в течение нескольких минут — можно запросить его повторно.

Далее откроется список заявок на разные сертификаты. Пользователь нажимает на кнопку «Выпустить» напротив необходимого сертификата.

Если все данные верны, то нужно поставить галочку напротив «Я подтверждаю свое согласие на выпуск сертификата». При обнаружении ошибки в данных необходимо обратиться в техническую поддержку удостоверяющего центра, выпустившего сертификат. Иногда на этом этапе возникает ошибка с просьбой о перенастройке ПК. Если это произошло, то необходимо перейти на страницу настройки и повторить все шаги с начала.

Стандартный код от ЭП

Разработчики придумали ряд стандартных заводских кодов, которые могут использовать все пользователи в качестве пин-кода от защищенного носителя. Для ЭН Rutoken Lite/S/ЭЦП версии 2.0. это:

• Для администратора: 87654321;
• Для клиента: 12345678.

Носитель eToken использует стандартный код пользователя 1234567890. Устройство eSmart/JaCarta LT и JaCarta работает с кодом 12345678, а JaCarta SE (применяется для работы с ЕГАИС) использует несколько кодов:

• Для администратора: 00000000;
• Для клиента: 11111111.

Для части, отвечающей за ГОСТ, этот токен требует иных паролей для администратора и пользователя соответственно: 1234567890 и 0987654321.

Что делать, если забыл пароль и сертификат не устанавливался

Если же сертификат в ОС не установлен или выполнялась переустановка Windows, но пароль для доступа к ЭП утерян, то следует попробовать воспользоваться вышеуказанными паролями по умолчанию. Если же и этот вариант не сработает, то воспользоваться своей электронной подписью пользователь уже не сможет. Ему потребуется повторно обращаться в удостоверяющий центр и регистрировать новый ЭЦП. То же самое следует выполнять, если носитель ключа сертификата был механически разрушен.

Можно ли как-то восстановить пароль от ЭЦП?

Мнение эксперта
Михаил Житняков
Ведущий специалист по программному обеспечению

Нет, такой возможности не предусмотрено. Это сделано для того, чтобы минимизировать риск компрометации электронной подписи третьими лицами. Даже если они завладеют самим токеном, то восстановить пароль к ЭЦП или сбросить его к «заводскому» у них не получится, так как такая возможность не предусмотрена даже на аппаратном уровне устройства. Сделать это можно только с помщью КриптоПро CSP и только с того компьютера, где ранее был установлен сертификат ЭЦП.

Как получит новый сертификат

Что делать если забыл пароль от ЭЦП и восстановить его невозможно? Повторно обращаться в удостоверяющий центр и выпускать новый сертификат. При этом ранее выданная подпись, независимо от срока её действия, будет аннулирована, при попытке подписать ею документ или пройти проверку подлинности ключа ничего не получится, так как на шлюзе Минкомсвязи ЭЦП будет считаться как недействительной. Соответственно, подписанные ею файлы не будут иметь юридическую силу.

Потребуется предоставить в удостоверяющий центр базовый набор документов:

• паспорт;
• ИНН;
• СНИЛС;
• выписка из реестра ФНС (только для предпринимателей).

Далее — все стандартно. Нужно будет оплатить стоимость выпуска нового сертификата, изготавливают его в течение 2 — 4 дней. После его получения можно его использовать для авторизации на сайтах портала Госуслуг.

Как изменить пароль по пин-коду администратора

Именно на USB-рутокенах предусмотрена возможность разблокировки и «обнуления» пароля с панели администратора КриптоПро CSP. Только после того, как будет установлен стандартный пароль ЭЦП потребуется также переустановить сертификаты, установленные в среду ОС.

Итак, разблокировка выполняется следующим образом:

• запустить КриптоПро CSP из панели управления;
• выбрать «Ввести PIN-код» (в закладке «Администрирование»);
• выбрать «Администратор» и ввести код 87654321;
• нажать «Ок», в появившемся окне — «Разблокировать».

После — будет установлен стандартный PIN-код. Но это сработает лишь в том случае, если PIN-код администратора не менялся с момента получения USB-рутокена. В некоторых удостоверяющих центрах данный PIN-код ставят другой — следует у них же и уточнять эту информацию. После разблокировки рутокена его стандартный пароль будет 12345678. Его же можно будет использовать для установки нового сертификата в Windows.

Эта процедура не позволит узнать какой пароль на ЭЦП по умолчанию использовался ранее, но дает возможность установить новый. Естественно, в дальнейшем его рекомендуется изменить.

Итого, как поменять пароль на ЭЦП если забыл? Если стандартные, используемые по умолчанию, не подходят, то изменить код удастся только на рутокенах, но только при наличии PIN-кода администратора. В остальных случаях узнать ранее введенный PIN-код можно только при установленном в ОС сертификате ЭЦП. В других ситуациях — токен будет заблокирован и восстановить его не получится, потребуется перевыпуск сертификата.

Способы узнать пин-код токена

Есть два способа узнать код от токена:

1. Воспользоваться заводским предустановленным кодом — он сработает, если код не меняли после установки. Заводской пароль ЭЦП по умолчанию зависит от марки токена: «Рутокен», eSmart, JaCarta и JaCarta LT — 12345678; eToken — 1234567890 или eToken; Jacarta SE — 1111111 для PKI-части и 0987654321 для ГОСТ-части.
2. Если заводская комбинация не подошла, код переустановлен. В этом случае его остается только подобрать. Количество ошибочных попыток ограничено десятью, поэтому бесконечный перебор комбинаций здесь неуместен.

Поиск забытого кода облегчится, если увеличить количество попыток для подбора вариантов с помощью прав администратора. Для этого необходимо:

Шаг 1. Перейти в панель управления токеном. Вкладка «Панель управления» расположена, как правило, на кнопке «Пуск».

Шаг 2. Система предложит ввести ПИН-код пользователя или администратора. Выберете вариант «Администратор» и введите код. Здесь возможен ПИН-код ЭЦП по умолчанию: для «Рутокена» — 87654321, для Jacarta SE — 00000000 для PKI-части и 1234567890 для ГОСТ части.

Шаг 3. В появившемся окне сверху выберите вкладку «Администрирование» и найдите в правой ее части кнопку «Разблокировать». После ее нажатия ПИН-код разблокируется, система оповестит об этом дополнительным сообщением. После нажатия на «ОК» пользователь продолжит перебор возможных кодов от ЭП.

Разблокировка сертификата доступна и через «КриптоПро CSP», но для этого все равно потребуется подтвердить доступ администратора:

Шаг 1. Открыть программу и найти вкладку «Оборудование», затем нажать «Настроить типы носителей».

Шаг 2. Выбрать токен и в его свойствах найти раздел «Информация».

Шаг 3. Нажать кнопку «Разблокировать PIN-код».

После разблокировки ПИН-кода доступ к сертификату у пользователя не появится, но увеличится количество попыток узнать забытый ПИН-код.

Если ни одна из этих схем неосуществима, например потому что у пользователя нет пароля администратора, узнать ПИН-код не получится. В этом случае придется отзывать существующий сертификат и заказывать новую ЭП.