Где 1С хранит пароли пользователей и как это устроено

Вопрос «где хранится пароль пользователя 1С» возникает у администраторов в трёх типичных ситуациях: нужно восстановить доступ к базе после ухода сотрудника, проверить, не хранятся ли пароли в открытом виде (это важно для аудита безопасности), или разобраться, почему скопированный файл базы «не пускает» старых пользователей. Ответ зависит от режима работы информационной базы — файлового или клиент-серверного — и от типа аутентификации.

Ключевой факт, который нужно понять сразу: платформа 1С:Предприятие не хранит пароли в открытом виде. В базе сохраняется только криптографический хеш пароля, вычисленный по алгоритму семейства SHA. Это значит, что «подсмотреть» пароль невозможно даже с полным доступом к файлам базы — можно лишь сбросить его и задать новый. Любые инструкции и утилиты, обещающие «узнать пароль пользователя 1С», либо занимаются перебором хеша, либо являются вредоносными.

Ниже разобрано, где именно физически лежат данные аутентификации в файловом и клиент-серверном вариантах, как устроен механизм хеширования, что делать при утере пароля администратора и какие действия безопасны, а какие способны повредить базу.

Как 1С хранит пароли: принцип хеширования

При установке или смене пароля платформа вычисляет от него хеш — строку фиксированной длины, из которой нельзя математически восстановить исходный пароль. В базе сохраняется именно этот хеш вместе со служебными параметрами (солью и признаками использованных алгоритмов). При входе пользователя платформа вычисляет хеш от введённого пароля и сравнивает его с сохранённым: совпали — доступ разрешён.

Для повышения стойкости применяется «соль» — случайное значение, добавляемое к паролю перед хешированием. Благодаря соли два пользователя с одинаковыми паролями будут иметь разные хеши, а готовые таблицы предвычисленных хешей (rainbow tables) становятся бесполезными. Современные версии платформы хранят два хеша одновременно, чтобы обеспечить совместимость между версиями.

Практическое следствие: задача «узнать пароль» некорректна сама по себе. Корректные задачи — это «сбросить пароль», «создать нового пользователя с правами администратора» или «перенести пользователей вместе с базой». Все они решаются штатными средствами без вмешательства в хранилище хешей.

Файловая база: где искать данные о паролях

В файловом варианте вся информационная база, включая список пользователей и хеши их паролей, находится в одном файле — 1Cv8.1CD в каталоге базы. Отдельного «файла паролей» не существует: сведения об аутентификации — это системные данные внутри того же контейнера, где лежат справочники и документы.

Рядом с 1Cv8.1CD в каталоге могут находиться служебные файлы и папки (журнал регистрации, временные файлы), но паролей там нет. Путь к каталогу базы виден в окне запуска 1С при выборе информационной базы — внизу списка отображается строка вида File="D:\Bases\Trade".

Важно понимать ограничение: открыть 1Cv8.1CD текстовым редактором или сторонней утилитой и «вытащить» оттуда пароль нельзя — формат закрытый, а пароли в любом случае представлены хешами. Попытки редактировать файл напрямую почти гарантированно приводят к повреждению базы.

Клиент-серверный вариант: где хранятся хеши

В клиент-серверном режиме данные информационной базы, включая пользователей и хеши их паролей, хранятся в системных таблицах базы данных на сервере СУБД — Microsoft SQL Server, PostgreSQL, Oracle или IBM DB2. Платформа 1С обращается к этим таблицам через сервер 1С:Предприятия, и прямой доступ к ним администратору не требуется.

Технически сведения о пользователях находятся в служебной таблице параметров информационной базы. Однако работать с ней напрямую через SQL-запросы категорически не рекомендуется: структура системных таблиц не документирована как интерфейс для изменения, может меняться между версиями платформы, а некорректная правка способна сделать базу неработоспособной.

Отдельно стоит упомянуть пароли самого сервера 1С и СУБД. Пароль администратора кластера серверов 1С хранится в реестре кластера на сервере, а учётные данные для подключения к СУБД задаются при создании базы и хранятся в настройках информационной базы кластера. Это разные уровни: пароль пользователя прикладного решения не имеет отношения к паролю администратора кластера или пользователя SQL Server.

Аутентификация операционной системы и OpenID

У пользователя 1С может вообще не быть пароля в базе — если включена аутентификация операционной системы. В этом случае платформа сопоставляет пользователя 1С с учётной записью Windows (по формату \\ДОМЕН\ИмяПользователя), и проверку подлинности выполняет сама ОС или домен. Пароль при этом хранится в инфраструктуре Windows, а не в 1С.

Проверить, какой способ аутентификации настроен, можно в конфигураторе: Администрирование → Пользователи, открыть пользователя и посмотреть флажки «Аутентификация 1С:Предприятия» и «Аутентификация операционной системы». Если включён второй вариант, сброс пароля в 1С ничего не даст — менять пароль нужно в Windows или Active Directory.

В тонком и веб-клиенте также доступна OpenID-аутентификация через внешнего провайдера. При ней пароль тоже хранится вне информационной базы — у провайдера идентификации. Поэтому перед любыми действиями по «восстановлению пароля» сначала выясните, каким способом пользователь вообще входит в систему.

Как сбросить или сменить пароль штатными средствами

Штатный сценарий требует входа в конфигуратор под учётной записью с административными правами. Если такой доступ есть, задача решается за минуту и не требует никаких знаний о месте хранения хешей.

1. 1
   Откройте базу в конфигураторе под пользователем с правами администратора
2. 2
   Перейдите в меню Администрирование → Пользователи
3. 3
   Откройте нужного пользователя двойным щелчком
4. 4
   На закладке «Прочее» или в поле пароля задайте новый пароль и подтверждение
5. 5
   Сохраните изменения и сообщите пользователю новый пароль по защищённому каналу
6. 6
   Проверьте вход под этим пользователем в режиме Предприятия

Если в базе используется разделение данных или типовая конфигурация с управляемым приложением, сменить пароль можно и из режима «Предприятие» через раздел администрирования пользователей — при наличии соответствующих прав. Там же обычно доступна настройка требований к сложности пароля: минимальная длина, срок действия, ограничение на повторное использование.

После смены пароля старый хеш перезаписывается новым, и войти со старым паролем уже нельзя. Действие фиксируется в журнале регистрации, что важно для аудита: всегда видно, кто и когда изменил пароль пользователя.

Что делать, если пароль администратора утерян полностью

Ситуация «единственный администратор уволился, пароль никто не знает» — самая тяжёлая, но решаемая. Правильный путь зависит от режима базы и от того, есть ли доступ к конфигуратору вообще. Если список пользователей пуст или в базе нет ни одного пользователя, вход в конфигуратор выполняется без пароля — можно просто создать нового администратора.

Если пользователи есть, но пароли неизвестны, легальных штатных способов «войти без пароля» платформа не предоставляет — это осознанная мера безопасности. Практические варианты: восстановить базу из резервной копии, где пароль известен; обратиться к специалисту по 1С, который выполнит сброс через документированные процедуры снятия парольной защиты с сохранением данных; либо, если база файловая и данных в ней мало, создать новую базу и перенести данные обработками.

Маршрут решения

Как выбрать действие при утере доступа

Есть вход в конфигуратор под любым администраторомСбросьте пароль нужного пользователя через Администрирование → Пользователи

Включена аутентификация ОС и есть доступ к Windows-учёткеВойдите в Windows под этой учётной записью и запустите 1С — пароль 1С не потребуется

Есть свежая резервная копия с известным паролемВосстановите копию в отдельный каталог, войдите и перенесите актуальные данные

Нет ни паролей, ни копий, ни доступа к ОСПривлеките специалиста по администрированию 1С; самостоятельные правки файла базы недопустимы

Перенос базы и сохранение паролей

При переносе базы штатными средствами пользователи и их хеши переносятся вместе с данными. Для файловой базы достаточно скопировать файл 1Cv8.1CD — после подключения копии все пользователи входят со старыми паролями. Для клиент-серверной базы корректный способ — выгрузка в файл .dt через конфигуратор (Конфигурация → Сохранить конфигурацию в файл — нет, именно Администрирование → Выгрузить информационную базу) и последующая загрузка на новом месте.

Нюанс: если используется аутентификация операционной системы, после переноса базы в другой домен или на компьютер с другими учётными записями привязки пользователей к Windows-аккаунтам перестанут работать. Пароли 1С при этом не пострадают — достаточно заново указать соответствие пользователей учётным записям ОС.

Резервное копирование через .dt также сохраняет хеши паролей, поэтому восстановленная из копии база пускает пользователей с теми паролями, которые были актуальны на момент выгрузки. Это стоит учитывать при аудите: старая копия базы — это доступ со старыми паролями, и хранить копии нужно с теми же мерами защиты, что и рабочую базу.

Контрольные точки

Как проверить результат

Вход пользователя после сброса пароля

Норма

Пользователь входит с новым паролем, старый не подходит

Тревожный признак

Новый пароль не принимается — проверьте раскладку, регистр и сохранение изменений

Запись в журнале регистрации

Норма

Есть событие изменения пользователя с указанием автора изменения

Тревожный признак

Записи нет — изменение не сохранено или журнал отключён

Права после восстановления из копии

Норма

Пользователи и роли соответствуют моменту выгрузки

Тревожный признак

Состав пользователей устарел — копия старше, чем ожидалось

Пароли в настройках: почтовые ящики, обмены, внешние компоненты

Помимо паролей пользователей, в базе могут храниться и другие секреты: пароли учётных записей электронной почты для отправки документов, пароли к FTP и веб-сервисам в настройках обменов, ключи доступа к внешним сервисам в константах и регистрах. Эти данные хранятся в прикладных объектах конфигурации и защищены слабее, чем хеши пользователей.

Администратору стоит периодически проверять, где в конфигурации фигурируют пароли: типовые места — настройки системной учётной записи почты, узлы планов обмена, константы с ключами API. При передаче копии базы стороннему специалисту (например, для отладки) такие секреты желательно предварительно очистить или сменить после передачи.

Полезная профилактическая мера — завести минимум двух пользователей с полными правами и хранить их пароли в корпоративном сейфе паролей. Это снимает 90% аварийных ситуаций с утерей доступа и не требует никаких технических ухищрений.

FAQ

Можно ли посмотреть пароль пользователя 1С в открытом виде?

Нет. Платформа хранит только необратимый хеш пароля, поэтому ни через конфигуратор, ни через СУБД, ни сторонними средствами увидеть пароль нельзя. Доступные действия — смена или сброс пароля администратором.

Где лежит файл с паролями в файловой базе 1С?

Отдельного файла паролей нет. Пользователи и хеши их паролей хранятся внутри основного файла базы 1Cv8.1CD как системные данные. Редактировать этот файл вручную нельзя — это разрушит базу.

Перенесутся ли пароли при копировании файла базы на другой компьютер?

Да, при копировании 1Cv8.1CD или выгрузке/загрузке через .dt пользователи и хеши сохраняются, вход выполняется со старыми паролями. Исключение — аутентификация ОС: привязки к Windows-учётным записям в новом окружении придётся настроить заново.

Что делать, если уволился единственный администратор базы?

Сначала проверьте, есть ли другие пользователи с административными правами, аутентификация ОС у кого-либо из пользователей и свежие резервные копии с известным паролем. Если ничего этого нет — привлеките специалиста по 1С для штатной процедуры восстановления доступа; самостоятельная правка файлов базы недопустима.

Чем отличается пароль пользователя базы от пароля администратора кластера серверов?

Это разные уровни. Пароль пользователя информационной базы нужен для входа в прикладное решение и хранится в самой базе. Пароль администратора кластера управляет доступом к консоли администрирования сервера 1С и хранится в реестре кластера. Сброс одного не влияет на другой.

Безопасно ли хранить пароли пользователей 1С — могут ли их украсть через копию базы?

Сами пароли из копии извлечь нельзя — только перебором хешей, что для стойких паролей практически нереально. Но копия базы открывает доступ ко всем данным и позволяет войти под известными старыми паролями, поэтому резервные копии нужно защищать так же строго, как рабочую базу.