Получение цифрового сертификата и создание цифровой подписи

В этой статье объясняется, как получить или создать цифровую подпись для использования в документах Office. Чтобы узнать больше о том, как использовать их в документах Office, ознакомьтесь со статьей Добавление и удаление цифровой подписи в файлах Office.

Что такое цифровая подпись?

Цифровая подпись (удостоверение) чаще называется цифровым сертификатом. Для цифрового подписания документа Office требуется действующий цифровой сертификат. Цифровые сертификаты обычно выдаются доверенным центром сертификации (ЦС) — надежной сторонней организацией, которая выпускает цифровые сертификаты. Существует множество коммерческих центров сертификации, у которых вы можете приобрести или бесплатно получить цифровой сертификат. Многие учреждения, правительственные организации и предприятия также могут выдавать свои собственные сертификаты.

Цифровой сертификат необходим для цифровой подписи, так как она предоставляет открытый ключ, который можно использовать для проверки закрытый ключ, связанной с цифровой подписью. Цифровые сертификаты позволяют использовать цифровые подписи как способ проверка подлинности цифровой информации.

Получение цифровой подписи от центра сертификации или партнера Майкрософт

Если предполагается обмениваться документами, содержащими цифровую подпись, с другими людьми и при этом позволять получателям документов проверять подлинность цифровой подписи, можно получить цифровой сертификат у известного стороннего центра сертификации. Дополнительные сведения можно найти в разделе Поиск цифрового удостоверения или служб цифровых подписей.

Создание цифрового сертификата

Если вы не хотите приобретать цифровой сертификат у стороннего центра сертификации или вам требуется срочно подписать документ, вы можете создать собственный цифровой сертификат.

• Какую версию Windows вы используете?
• Windows 10
• Windows 8
• Windows 7, Windows Vista или Windows XP

Перейдите в папку C:\Program Files (x86) \Microsoft оффице\рут\ (или C:\Program Files\Microsoft Office\root\Office16 , если используется 64-разрядная версия Office).

Запустите программу SelfCert.exe. Откроется диалоговое окно Создание цифрового сертификата.

В поле Имя вашего сертификата введите описательное имя сертификата.

Нажмите кнопку ОК.

Когда появится сообщение «SelfCert: успех», нажмите кнопку ОК.

Перейдите в папку C:\Program Files\Microsoft Office\ \.

Запустите программу SelfCert.exe. Откроется диалоговое окно Создание цифрового сертификата.

В поле Имя вашего сертификата введите описательное имя сертификата.

Нажмите кнопку ОК.

Когда появится сообщение «SelfCert: успех», нажмите кнопку ОК.

Нажмите кнопку Пуск и выберите по очереди пункты Все программы, Microsoft Office, Средства Microsoft Office и Средство создания цифровых сертификатов для проектов VBA. Откроется диалоговое окно Создание цифрового сертификата.

В поле Имя вашего сертификата введите описательное имя сертификата.

Нажмите кнопку ОК.

Когда появится сообщение «SelfCert: успех», нажмите кнопку ОК.

Чтобы просмотреть хранилище личных сертификатов, выполните указанные ниже действия.

Откройте Internet Explorer.

В меню Сервис выберите пункт Свойства обозревателя, а затем откройте вкладку Содержание.

Нажмите кнопку Сертификаты и откройте вкладку Личные.

Важно: Если подписать документ с применением собственного цифрового сертификата и поделиться им, то другие пользователи не смогут проверить достоверность вашей цифровой подписи. Им придется вручную указать, что они доверяют вашему самозаверяющему сертификату.

Получение цифровой подписи

Если вы пытаетесь подписать документ Office 2007 без цифрового сертификата, появится диалоговое окно Получение цифрового удостоверения и вам будет предложено выбрать, как вы хотите получить цифровую подпись.

У вас есть два варианта:

Подробнее о каждом варианте см. в следующих разделах.

Получение цифровой подписи от партнера Майкрософт

Если вы выбрали вариант Получить цифровое удостоверение от партнера Майкрософт в диалоговом окне Получение цифрового удостоверения, вы будете перенаправлены на веб-сайт Microsoft Office, где вы можете приобрести цифровой сертификат одного из сторонних центров сертификации (ЦС).

Если предполагается обмениваться документами, содержащими цифровую подпись, с другими людьми и при этом позволять получателям документов проверять подлинность цифровой подписи, рекомендуется получить цифровой сертификат у известного стороннего центра сертификации.

Создание собственной цифровой подписи

Если вы не хотите приобретать цифровой сертификат у стороннего центра сертификации или вам требуется срочно подписать документ, вы можете создать собственный цифровой сертификат, выбрав параметр Создать свое цифровое удостоверение в диалоговом окне Получение цифрового удостоверения.

Создание собственного цифрового сертификата

В диалоговом окне Получение цифрового удостоверения выберите параметр Создать свое цифровое удостоверение.

Важно: Диалоговое окно Получение цифрового удостоверения появится только в том случае, если попытаться поставить цифровую подпись в документе, не имея цифрового сертификата.

В диалоговом окне Создание цифрового удостоверения введите следующие сведения для цифровой подписи:

В поле Имя введите свое имя.

В поле Адрес электронной почты введите свой адрес электронной почты.

В поле Организация введите название организации или компании.

В поле Расположение укажите свое географическое местоположение.

Примечание: Если подписать документ с применением собственного цифрового сертификата и поделиться им, то другие пользователи не смогут проверить достоверность вашей цифровой подписи. Ваша цифровая подпись может быть проверена только на том компьютере, где она была создана.

Клиент сети Microsoft: использовать цифровую подпись (всегда) Microsoft network client: Digitally sign communications (always)

Область применения Applies to

• Windows 10. Windows 10
• Windows Server Windows Server

В этой статье описываются лучшие методики, расположение, значения, управление политиками и вопросы безопасности для сетевого клиента Майкрософт: параметр политики безопасности «Цифровая подпись» (всегда) для SMBv3 и SMBv2. This article describes the best practices, location, values, policy management, and security considerations for the Microsoft network client: Digitally sign communications (always) security policy setting for SMBv3 and SMBv2.

Справочные материалы Reference

Протокол SMB обеспечивает основу для общего доступа к файлам и печати и многих других сетевых операций, таких как удаленное администрирование Windows. The Server Message Block (SMB) protocol provides the basis for file and print sharing and many other networking operations, such as remote Windows administration. Чтобы предотвратить атаки «человек в середине», которые меняют пакеты SMB при переходе, протокол SMB поддерживает цифровую подпись пакетов SMB. To prevent «man-in-the-middle» attacks that modify SMB packets in transit, the SMB protocol supports digital signing of SMB packets.

Реализация цифровых подписей в сетях с высоким уровнем безопасности помогает предотвратить подступы клиентских компьютеров и серверов, которые называются перехватом сеансов. Implementation of digital signatures in high-security networks helps prevent the impersonation of client computers and servers, which is known as «session hijacking.» Неправильное использование этих параметров политики является распространенной ошибкой, которая может привести к сбою доступа к данным. Misuse of these policy settings is a common error that can cause data access failure.

Начиная с клиентов и серверов SMBv2 подпись может быть обязательной или не обязательной. Beginning with SMBv2 clients and servers, signing can be either required or not required. Если этот параметр политики включен, клиенты SMBv2 будут подписывать все пакеты цифровой подписью. If this policy setting is enabled, SMBv2 clients will digitally sign all packets. Другой параметр политики определяет, требуется ли подпись для связи между серверами SMBv3 и SMBv2: сетевой сервер Майкрософт: цифровая подпись (всегда). Another policy setting determines whether signing is required for SMBv3 and SMBv2 server communications: Microsoft network server: Digitally sign communications (always).

Согласование происходит между клиентом SMB и SMB-сервером, чтобы решить, будет ли использоваться подпись. Negotiation occurs between the SMB client and the SMB server to decide whether signing will be used. В следующей таблице показано эффективное поведение smBv3 и SMBv2. The following table shows the effective behavior for SMBv3 and SMBv2.

Сервер — обязательно Server – required	Сервер — не требуется Server – not required
Клиент — обязательно Client – required	Подписано Signed	Подписано Signed
Клиент — не требуется Client – not required	Подписано 1 Signed 1	Не подписано 2 Not signed 2

1 По умолчанию для трафика SMB контроллера домена 1 Default for domain controller SMB traffic 2 По умолчанию для всего другого трафика SMB 2 Default for all other SMB traffic

В SMBv2 улучшена производительность подписи SMB. Performance of SMB signing is improved in SMBv2. Дополнительные сведения см. в сведениях о потенциальном влиянии. For more information, see Potential impact.

Возможные значения Possible values

• Enabled Enabled
• Отключено Disabled

Рекомендации Best practice

В включить сетевой клиент Майкрософт: цифровая подпись (всегда). Enable Microsoft network client: Digitally sign communications (always).

Расположение Location

Конфигурация компьютера\Параметры Windows\Параметры безопасности\Локальные политики\Параметры безопасности Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options

Значения по умолчанию Default values

В следующей таблице перечислены значения по умолчанию для этой политики. The following table lists the default values for this policy. Значения по умолчанию также можно найти на странице свойств политики. Default values are also listed on the policy’s property page.

Тип сервера или объект групповой политики Server type or GPO	Значение по умолчанию Default value
Default Domain Policy Default Domain Policy	Отключено Disabled
Политика контроллера домена по умолчанию Default Domain Controller Policy	Отключено Disabled
Параметры по умолчанию для автономного сервера Stand-Alone Server Default Settings	Отключено Disabled
Эффективные параметры по умолчанию dc DC Effective Default Settings	Отключено Disabled
Действующие параметры по умолчанию для рядового сервера Member Server Effective Default Settings	Отключено Disabled
Действующие параметры по умолчанию для клиентского компьютера Client Computer Effective Default Settings	Отключено Disabled

Управление политикой Policy management

В этом разделе описываются функции и средства, которые можно использовать для управления этой политикой. This section describes features and tools that you can use to manage this policy.

Необходимость перезапуска Restart requirement

Нет. None. Изменения этой политики становятся эффективными без перезапуска устройства при их локальном экономии или распространении с помощью групповой политики. Changes to this policy become effective without a device restart when they’re saved locally or distributed through Group Policy.

Вопросы безопасности Security considerations

В этом разделе описывается, как злоумышленник может использовать функцию или ее конфигурацию, как реализовать меру противодействия, а также возможные отрицательные последствия этой меры. This section describes how an attacker might exploit a feature or its configuration, how to implement the countermeasure, and the possible negative consequences of the countermeasure.

Уязвимость Vulnerability

Перехват сеанса использует средства, позволяющие злоумышленникам, которые имеют доступ к той же сети, что и клиентские устройства или серверы, прервать, закончить или украсть сеанс. Session hijacking uses tools that allow attackers who have access to the same network as the client device or server to interrupt, end, or steal a session in progress. Злоумышленники могут перехватывать и изменять неподписаные пакеты SMB, а затем изменять трафик и перенаададовывать его, чтобы сервер выполнял нежелательные действия. Attackers can potentially intercept and modify unsigned SMB packets and then modify the traffic and forward it to make the server perform objectionable actions. Кроме того, злоумышленник может представлять себя как сервер или клиентский компьютер после проверки подлинности и получить несанкционированный доступ к данным. Alternatively, the attacker could pose as the server or client computer after legitimate authentication and gain unauthorized access to data.

SMB — это протокол общего доступа к ресурсам, поддерживаемый многими версиями операционной системы Windows. SMB is the resource-sharing protocol that’s supported by many versions of the Windows operating system. Он является основой многих современных функций, таких как direct, реплика хранилища и SMB Direct, а также многих устаревших протоколов и средств. It’s the basis of many modern features like Storage Spaces Direct, Storage Replica, and SMB Direct, as well as many legacy protocols and tools. Подписи SMB аутентификация пользователей и серверов, на серверах с данными. SMB signatures authenticate users and the servers that host the data. Если ни одна из сторон не удается проверить подлинность, передача данных не происходит. If either side fails the authentication process, data transmission doesn’t happen.

Противодействие Countermeasure

В включить сетевой клиент Майкрософт: цифровая подпись (всегда). Enable Microsoft network client: Digitally sign communications (always).

Альтернативным мерой противодействия, которое может защитить весь сетевой трафик, является реализация цифровых подписей через IPsec. An alternative countermeasure that could protect all network traffic is to implement digital signatures through IPsec. Существуют аппаратные ускорители для шифрования IPsec и подписи, которые можно использовать, чтобы свести к минимуму влияние на производительность серверов. There are hardware-based accelerators for IPsec encryption and signing that can be used to minimize the performance impact on servers. Такие ускорители недоступны для подписи SMB. No such accelerators are available for SMB signing.

Возможное влияние Potential impact

Скорость хранения данных влияет на производительность. Storage speeds affect performance. Чем быстрее диск в источнике и назначении, тем выше пропускная способность, что приводит к большему использованию ЦП для подписи. A faster drive on the source and destination allows more throughput, which causes more CPU usage for signing. Если вы используете сеть Ethernet объемом 1 ГБ или более низкую скорость хранения данных с современным ЦП, производительность будет ограничена. If you’re using a 1-Gb Ethernet network or slower storage speed with a modern CPU, there’s limited degradation in performance. Если вы используете более быструю сеть (например, 10 ГБ), влияние подписи на производительность может быть больше. If you’re using a faster network (such as 10 Gb), the performance impact of signing may be greater.