Пароли пользователей, сервисов и ключей ЭП в 1С 8.3: где они лежат и как их закрыть

Надёжно хранить пароли в 1С — значит закрыть четыре места сразу: пароли пользователей базы (их защищает политика паролей и права на файл или СУБД), пароли внешних сервисов (банк, ЭДО, почта — для них в типовых конфигурациях есть безопасное хранилище данных), пароли ключей электронной подписи (их держит КриптоПро CSP, а не 1С) и служебные пароли — хранилища конфигурации, кластера, логина СУБД. Слабое звено чаще всего не в самой 1С, а в доступе к файлам и серверу.

Если выбирать, с чего начать: в файловой базе первым делом закрывают права на каталог с 1Cv8.1CD, в клиент-серверной — назначают администратора кластера и отдельный логин СУБД. Политика сложности паролей и шифрование канала идут следом.

Как 1С хранит пароли пользователей и что из этого следует

Платформа не хранит пароль пользователя информационной базы открытым текстом. В базе лежит его хеш — контрольная сумма, по которой при входе сверяется введённое значение. Список пользователей хранится внутри самой базы: в файловом варианте — в файле 1Cv8.1CD, в клиент-серверном — в таблицах базы данных на сервере СУБД.

Отсюда главный практический вывод:

• 🔓 Кто получил копию 1Cv8.1CD или резервную копию базы , тот получил и таблицу пользователей. Подобрать короткий пароль по хешу или подменить запись пользователя вне 1С — вопрос времени.
• 🔑 Пароль не расшифровывается. Забытый пароль можно только сбросить: администратор задаёт новый в карточке пользователя.
• 🛡️ Сила защиты определяется длиной пароля и тем, кто имеет доступ к файлу или серверу СУБД.

Три способа входа и какой выбрать

Аутентификация ОС снимает сам вопрос хранения: пароль проверяет контроллер домена, а смену и блокировку настраивает системный администратор единой групповой политикой. Включается флажком в карточке пользователя, там же указывается доменная учётная запись в виде \\DOMAIN\ivanov.

Политика паролей: сложность, срок действия и блокировка

Политику задают в двух местах. Платформенные параметры работают для любой конфигурации, настройки БСП — в типовых решениях (Бухгалтерия 3.0, ЗУП 3.1, УТ 11, ERP).

Параметры платформы

В конфигураторе откройте Администрирование → Параметры информационной базы. Здесь задают:

1. Минимальную длину пароля — ставьте не меньше 8, для администраторов разумно 12.
2. Проверку сложности — пароль должен содержать буквы разного регистра, цифры или спецсимволы и не совпадать с именем.
3. В актуальных версиях платформы в этом же окне есть сроки действия пароля, запрет повторения старых паролей и ограничение числа неудачных попыток входа с блокировкой на заданное время.

Параметры применяются при следующей смене пароля. Действующие слабые пароли сами не станут сильными — пользователей нужно заставить их поменять.

Настройки входа в типовой конфигурации

В пользовательском режиме: Администрирование → Настройки пользователей и прав → Настройки входа. Настройки разделены для внутренних и внешних пользователей.

Пароли банков, ЭДО и почты: безопасное хранилище данных

1С хранит не только свои пароли. Логин к клиент-банку через DirectBank, учётная запись почты, пароль интернет-поддержки , токены сервисов — всё это вводится в формах настроек.

В конфигурациях на БСП такие данные пишутся не в обычный реквизит справочника, а в отдельный регистр безопасного хранилища. Прочитать его можно только в привилегированном режиме, то есть даже пользователь с правом на справочник «Учетные записи электронной почты» не увидит пароль через отчёт или консоль запросов без административных прав.

Для доработок используйте тот же механизм, а не реквизит «Пароль» в своём справочнике:

// Запись (на сервере)
УстановитьПривилегированныйРежим(Истина);
ОбщегоНазначения.ЗаписатьДанныеВБезопасноеХранилище(Ссылка, Пароль, "Пароль");
УстановитьПривилегированныйРежим(Ложь);

// Чтение (на сервере)
УстановитьПривилегированныйРежим(Истина);
Пароль = ОбщегоНазначения.ПрочитатьДанныеИзБезопасногоХранилища(Ссылка, "Пароль");
УстановитьПривилегированныйРежим(Ложь);

Безопасное хранилище — это изоляция правами, а не шифрование. Администратор базы и тот, у кого есть доступ к СУБД или файлу, данные прочитает. Поэтому оно не отменяет защиту самой базы.

Если пароль нужно только проверять

Когда ваша обработка сверяет пароль (например, для доступа к отдельной операции), храните не пароль, а хеш с солью:

Соль = Строка(Новый УникальныйИдентификатор);
Хеширование = Новый ХешированиеДанных(ХешФункция.SHA256);
Хеширование.Добавить(Соль + ВведенныйПароль);
ХешПароля = Base64Строка(Хеширование.ХешСумма);
// Сохраняете Соль и ХешПароля, сам пароль — нигде

При проверке повторяете вычисление с сохранённой солью и сравниваете строки.

КриптоПро CSP и пароли ключей электронной подписи

Пароль (ПИН-код) контейнера закрытого ключа 1С не хранит. Его проверяет криптопровайдер — КриптоПро CSP или ViPNet CSP, а сам ключ лежит на токене, в реестре или на диске.

Подключение КриптоПро к 1С

1. Установите КриптоПро CSP с действующей лицензией и сертификат пользователя в хранилище «Личное».
2. В 1С откройте Администрирование → Общие настройки → Электронная подпись и шифрование и включите использование подписи и шифрования.
3. В настройках программ электронной подписи проверьте, что КриптоПро определилась. Если программа не найдена, добавьте её из предложенного списка.
4. Добавьте сертификат в справочник сертификатов и выполните проверку: 1С подпишет и расшифрует тестовые данные.

Как не потерять ключ вместе с паролем

• 🔐 Храните ключ на защищённом токене (Рутокен ЭЦП, JaCarta), а не в реестре общего терминального сервера.
• 🚫 Не ставьте галку «Сохранить пароль» в окне КриптоПро на общем компьютере: пароль запомнится для всех, кто войдёт под этой учётной записью Windows.
• ⏱️ Флажок «Запомнить пароль» в форме подписи 1С держит ПИН только до конца сеанса — на личном рабочем месте это допустимо.
• 🧩 Один сертификат — один владелец. Общий ключ директора у бухгалтера юридически подписывает от имени директора.

Шифрование через тот же сертификат доступно и для файлов: присоединённый файл можно зашифровать на сертификаты получателей, и открыть его смогут только владельцы соответствующих закрытых ключей.

Защита файла базы, хранилища конфигурации и кластера

Здесь лежат служебные пароли, которые обычно забывают.

Файловая база

Платформа не шифрует 1Cv8.1CD. Защита — средствами ОС:

1. Каталог базы — на сервере, а не на рабочем месте бухгалтера.
2. Права NTFS на каталог — только группе пользователей 1С, без «Все» и «Пользователи домена».
3. Диск с базой и копиями — под BitLocker или другим шифрованием диска.
4. Резервные копии — в отдельное хранилище с собственными правами. Копия без пароля на архиве так же опасна, как база.

Хранилище конфигурации

У каждого разработчика свой пользователь хранилища и свой пароль, общий логин «Разработчик» не используйте. Администратор хранилища назначается при его создании — задайте ему сильный пароль сразу.

Каталог хранилища закройте правами на уровне ОС. Удалённую работу организуйте через сервер хранилища или HTTP-публикацию по HTTPS, а не через общую сетевую папку.

Кластер серверов 1С и СУБД

• 👤 Назначьте администраторов центрального сервера и кластера в консоли администрирования. Пока их нет, любой в сети с консолью может создавать и удалять базы.
• 🗄️ Для каждой базы — отдельный логин СУБД с правами только на свою базу, не sa и не postgres. Логин и пароль СУБД сохраняются в реестре кластера, поэтому каталог службы сервера 1С закрывают правами.
• 🔑 Если пароль администратора кластера утерян, не пересоздавайте кластер: остановите службу в нерабочее время (все сеансы оборвутся) и восстановите файлы реестра кластера из резервной копии либо обратитесь к администратору сервера.

Шифрование паролей при передаче по сети

Хеш в базе не спасёт, если пароль идёт по сети открыто.

В свойствах кластера и базы есть параметр уровня безопасности соединения: незащищённое, защищённое только при установке соединения (пароль уходит в зашифрованном виде) и постоянно защищённое. Второй вариант — разумный минимум для локальной сети, третий заметно нагружает сервер.

Регламент смены паролей и аудит доступа

Техника без порядка не работает . Минимальный регламент укладывается в одну страницу.

Для проверки входов откройте журнал регистрации (Администрирование → Обслуживание → Журнал регистрации или в конфигураторе) и отберите события «Сеанс. Аутентификация» и «Сеанс. Аутентификация (ошибка)». Серия ошибок под одним именем — повод заблокировать учётную запись и выяснить, кто подбирал пароль.

Если в базе обрабатываются персональные данные сотрудников и клиентов, требования к паролям, блокировке и регистрации входов вытекают из 152-ФЗ и приказа ФСТЭК № 21. Политика паролей 1С закрывает часть этих мер, но не заменяет организационные документы.

Ошибки при настройке, которые оставляют дыру

• ❌ Пароль администратора записан в .v8i или ярлык для «удобства обновления». Ярлык копируется — пароль уходит.
• ❌ Пользователь «Администратор» без пароля в базе, где остальные с паролями. Платформа пустит под ним любого, кто знает имя.
• ❌ Один логин СУБД sa на все базы. Утечка одного пароля открывает весь сервер.
• ❌ Копии базы на общем сетевом диске. Права на базу настроены, а на папку с выгрузками .dt — нет.
• ❌ Включили политику сложности и решили, что всё. Старые пароли остались прежними до первой смены.
• ❌ Пароль сервиса хранится в своём реквизите справочника и попадает в отчёты и выгрузки обмена.

Частые вопросы