Администрирование · 10 мин
Как 1С шифрует пароли пользователей
Разбираем, как 1С хранит и шифрует пароли пользователей: хеширование, защищённое хранилище, настройки политики паролей и способы проверить безопасность базы.
Вопрос о том, как 1С шифрует пароли, встаёт обычно в трёх ситуациях: при аудите безопасности базы, при восстановлении доступа забытого пароля и при переносе пользователей между конфигурациями. Важно сразу понять главное: 1С не «шифрует» пароли в классическом смысле — она хранит их криптографический хеш, из которого исходный пароль восстановить нельзя. Поэтому «расшифровать пароль 1С» невозможно в принципе — можно только сбросить его и задать новый.
Механизм хранения зависит от того, где работает учётная запись: встроенная аутентификация информационной базы, аутентификация операционной системы, OpenID или хранение паролей внешних ресурсов в защищённом хранилище конфигурации. В каждом случае платформа применяет разные алгоритмы и разные уровни защиты, и администратору полезно понимать, где именно лежит хеш и кто имеет к нему доступ.
Ниже разобраны технические основы хранения паролей в платформе 1С:Предприятие 8.3, типовые настройки политики паролей, способы проверить текущее состояние защиты и типичные ошибки администраторов, которые сводят всю криптографию к нулю.
Как устроено хранение паролей в платформе 1С
При создании пользователя информационной базы платформа вычисляет от введённого пароля хеш — результат односторонней криптографической функции. Хеш сохраняется в служебных таблицах информационной базы (в файловой базе — в файле 1Cv8.1CD, в клиент-серверном варианте — в таблицах СУБД), а сам пароль нигде не записывается. При входе пользователя платформа вычисляет хеш от введённого значения и сравнивает его с сохранённым.
Ключевое свойство такой схемы — необратимость. Даже получив файл базы или доступ к таблицам SQL, злоумышленник видит только хеши. Подобрать исходный пароль теоретически можно перебором, поэтому стойкость защиты напрямую зависит от длины и сложности пароля, а также от алгоритма хеширования, который применяет конкретная версия платформы.
В современных версиях платформы 8.3 используются стойкие алгоритмы хеширования, включая отечественные ГОСТ-алгоритмы при соответствующей настройке. Точный алгоритм зависит от версии платформы и режима совместимости, поэтому при аудите стоит сверяться с документацией на установленный релиз, а не полагаться на общие утверждения.
Какие виды аутентификации влияют на хранение пароля
В 1С пароль пользователя хранится в базе только при встроенной аутентификации 1С:Предприятия. Если включена аутентификация операционной системы, проверку выполняет Windows или Linux-домен, и платформа хранит лишь ссылку на учётную запись ОС — пароль в базе отсутствует вовсе. Это самый безопасный вариант для доменной среды.
При смешанной схеме (разрешены оба способа) хеш пароля 1С всё равно сохраняется в базе, если пароль задан. Администратору стоит помнить: пока существует хеш, существует и теоретическая возможность его перебора при утечке базы.
Сравнение способов аутентификации
Хеш пароля хранится в базе. Подходит для файловых баз и внешних пользователей, но требует политики сложности паролей.
Пароль в базе не хранится, проверку выполняет домен. Оптимально для корпоративной сети, но не работает для внешнего доступа без VPN.
Проверку выполняет внешний провайдер. Удобно для веб-доступа, требует настройки доверия к провайдеру.
Защищённое хранилище паролей в конфигурациях
Отдельная тема — пароли, которые пользователи вводят в прикладных решениях для доступа к внешним сервисам: почте, FTP, обменам с сайтом, ЭДО. В типовых конфигурациях на базе БСП (Библиотека стандартных подсистем) для этого существует подсистема защищённого хранилища: данные шифруются и сохраняются в специальном регистре, а не в открытом виде в реквизитах справочников.
В отличие от хеша пароля пользователя, данные защищённого хранилища должны быть обратимыми — системе нужно предъявлять пароль внешнему сервису. Поэтому здесь применяется именно шифрование, а не хеширование, и критически важно, чтобы ключи шифрования не лежали рядом с данными в открытом виде.
Как настроить политику паролей
Хеш стойкого алгоритма не спасает слабый пароль: короткие словарные пароли перебираются за минуты. Платформа позволяет задать требования к паролям пользователей на уровне информационной базы. Настройки выполняются в конфигураторе через свойства пользователя и, в типовых конфигурациях, через раздел администрирования.
Разумный минимум для рабочей базы: длина от 8–12 символов, требование смешивать буквы в разных регистрах и цифры, запрет повторного использования старых паролей и ограничение срока действия для привилегированных учётных записей. Для пользователей с правами администратора требования должны быть строже, чем для рядовых.
- 1Откройте конфигуратор и перейдите в раздел «Администрирование — Пользователи».
- 2Для каждого пользователя проверьте, какие виды аутентификации включены, и отключите неиспользуемые.
- 3В типовой конфигурации задайте требования к сложности и сроку действия паролей в настройках входа пользователей.
- 4Принудительно смените пароли, не отвечающие новой политике.
- 5Проверьте вход под тестовой учётной записью: слабый пароль должен отклоняться.
Как проверить, что пароли хранятся безопасно
Практическая проверка включает три направления. Первое — убедиться, что ни в одной таблице базы нет паролей в открытом виде: в типовых конфигурациях это регистры и реквизиты, где по ошибке могли сохранить секреты до внедрения защищённого хранилища. Второе — проверить, что права на чтение служебных данных ограничены, а файл базы или бэкапы недоступны посторонним по сети и через общие папки.
Третье направление — контроль копий. Хеши из старого бэкапа остаются действительными, пока пользователь не сменил пароль, поэтому доступ к архивам баз должен регулироваться так же строго, как к самой базе.
Как проверить результат
Пароли недоступны для просмотра в формах и хранятся через подсистему защищённого хранилища
Пароль виден в реквизите справочника или в тексте запроса/модуля
У доменных пользователей включена только аутентификация ОС, лишние хеши отсутствуют
У всех включены оба способа, пароли 1С заданы «про запас» и никогда не менялись
Доступ только у администраторов, бэкапы в защищённом хранилище
Папка с базой или архивами доступна всем сотрудникам по сети
Что делать, если пароль утерян или нужен «просмотр»
Забытый пароль пользователя восстанавливается только сбросом: администратор в конфигураторе или в режиме предприятия задаёт новый пароль, старый хеш при этом замещается. Никакой штатной функции «показать текущий пароль» в платформе нет — это следствие хеширования, а не ограничение интерфейса.
Если утерян пароль единственного администратора файловой базы, существуют штатные и сервисные процедуры сброса списка пользователей через манипуляции с файлом базы, но их корректное выполнение требует опыта и обязательной резервной копии. В клиент-серверном варианте задачу решает администратор кластера или СУБД.
Ограничения и частые вопросы безопасности
Хеширование защищает пароль внутри базы, но не заменяет остальные меры: шифрование канала связи (особенно для веб-клиента и тонкого клиента через интернет), ограничение сетевого доступа к серверу 1С и СУБД, регулярные обновления платформы. Перехваченный при передаче по незащищённому каналу пароль не спасёт никакой хеш в базе.
Также помните, что «соль» и параметры хеширования управляются платформой, а не администратором: влиять на них напрямую нельзя, поэтому реальные рычаги защиты — это политика паролей, выбор способа аутентификации и контроль доступа к файлам базы.
Что важно запомнить
1С хранит не пароли, а их необратимые хеши: просмотреть или расшифровать пароль нельзя, только сбросить. Безопасность обеспечивается связкой мер: стойкая политика паролей, аутентификация ОС там, где это возможно, защищённое хранилище для секретов внешних сервисов и строгий контроль доступа к файлам базы и бэкапам.
Частые вопросы
Можно ли узнать пароль пользователя 1С из базы?
Нет. В базе хранится только хеш, из которого исходный пароль не восстанавливается. Единственный легальный путь — сбросить пароль и задать новый через конфигуратор или режим предприятия с правами администратора.
Какой алгоритм хеширования использует 1С?
Зависит от версии платформы и настроек: современные релизы 8.3 применяют стойкие криптографические алгоритмы, включая ГОСТ при соответствующей конфигурации. Точный алгоритм для вашей версии указывается в документации на релиз платформы.
Опасно ли передавать копию базы разработчику?
Да, если предварительно не сменить пароли и не удалить секреты. Вместе с копией уходят хеши пользователей и, возможно, пароли внешних сервисов. Правильный порядок: сделать копию, сменить в ней все пароли на технические, очистить чувствительные данные — и только потом передавать.
Чем аутентификация ОС лучше пароля 1С?
При аутентификации операционной системы пароль вообще не хранится в базе — проверку выполняет домен. Это исключает перебор хешей из украденной копии базы и позволяет централизованно управлять политикой паролей через доменные службы.
Где в типовых конфигурациях хранятся пароли от почты и обменов?
В конфигурациях на базе БСП — в защищённом хранилище (специальном регистре с шифрованием данных). Если в вашей конфигурации такие пароли лежат в обычных реквизитах, это повод перенести их в защищённое хранилище и сменить скомпрометированные пароли.
Защищает ли хеширование при передаче пароля по сети?
Нет. Хеш защищает пароль только в хранилище. Для защиты при передаче нужны шифрованные каналы: VPN, TLS для веб-доступа и защищённое соединение с сервером 1С и СУБД.