Pulpit zdalny a podpis elektroniczny i kwalifikowany: czemu karta USB nie działa

Krótka odpowiedź: podpis kwalifikowany przez pulpit zdalny nie działa najczęściej dlatego, że sesja RDP nie przekazuje na serwer czytnika kart podłączonego przez USB. Sam certyfikat i sama karta są sprawne. Do naprawy potrzebne są trzy rzeczy naraz: włączone przekierowanie kart inteligentnych w kliencie pulpitu zdalnego, oprogramowanie karty zainstalowane na komputerze zdalnym, a nie tylko na lokalnym, oraz certyfikat widoczny w magazynie tego profilu użytkownika, na którym pracujesz w sesji.

Ten problem wraca zawsze w tym samym momencie: firma przestawia się na pracę hybrydową, program księgowy albo Płatnik zostaje na jednym serwerze, a ludzie logują się do niego z domu. Wszystko działa poza jedną rzeczą, czyli podpisem. Poniżej rozkładamy to na części, bo trzy różne usterki dają bardzo podobne objawy.

Dlaczego karta kryptograficzna nie działa przez pulpit zdalny

Windows potrafi przekazać kartę inteligentną do sesji zdalnej. Ta funkcja nazywa się przekierowaniem kart inteligentnych i jest wbudowana w klienta pulpitu zdalnego. Problem polega na tym, że działa ona dla urządzeń, które system widzi jako czytnik kart, a nie dla dowolnego urządzenia USB. Część zestawów podpisu kwalifikowanego, zwłaszcza tokenów typu wszystko w jednym, potrzebuje surowego dostępu do portu USB, a tego RDP standardowo nie przekazuje.

Na polskojęzycznym forum Microsoft Learn odpowiedź na dokładnie to pytanie brzmi bez ogródek: „Pulpit zdalny nie wspiera czytnika karty kryptograficznej podłączonego przez USB”. Osoba zgłaszająca problem widziała wyłącznie komunikat „parametr jest niepoprawny”, a ten sam podpis na tym samym komputerze działał jej przez TeamViewera. To nie jest przypadek. TeamViewer i AnyDesk przejmują sesję już zalogowanego pulpitu, więc aplikacja podpisująca cały czas siedzi na tej samej maszynie, do której karta jest fizycznie wpięta. RDP tworzy osobną sesję na innym komputerze i musi wszystko przez sieć przekazać.

Co włączyć w kliencie pulpitu zdalnego

Zanim zaczniesz zmieniać cokolwiek na serwerze, sprawdź ustawienia po swojej stronie. W programie Podłączanie pulpitu zdalnego kliknij Pokaż opcje, przejdź na zakładkę Zasoby lokalne, w grupie Lokalne urządzenia i zasoby kliknij Więcej i zaznacz Karty inteligentne. Przy części zestawów trzeba dodatkowo zaznaczyć Porty. Potem rozłącz sesję i połącz się ponownie, bo zmiana nie zadziała w trwającym połączeniu.

Jeżeli używasz zapisanego pliku .rdp, ustawienie zapisuje się w nim jako osobny wiersz, więc warto poprawić plik raz i rozesłać go zespołowi zamiast tłumaczyć każdemu klikanie po zakładkach.

Gdzie instalować sterownik, a gdzie oprogramowanie karty

To jest miejsce, w którym najczęściej ginie pół dnia. Sterownik czytnika i oprogramowanie do obsługi karty trafiają w różne miejsca i nie da się tego zrobić raz.

W praktyce oznacza to, że komputer zdalny musi mieć zainstalowane oprogramowanie producenta karty, mimo że żadnej karty nigdy nie zobaczy fizycznie. Baza wiedzy jednego z polskich operatorów serwerów wirtualnych podaje konkretny przykład dla kart HID Omnikey obsługiwanych przez CryptoCard: trzeba wejść do katalogu instalacji, zwykle C:\Program Files\CryptoTech\CryptoCard Graphite Suite, kliknąć prawym przyciskiem plik CCGraphiteMD.inf, wybrać Zainstaluj i zrestartować serwer. Bez tego kroku karta bywa widoczna w systemie, ale aplikacja podpisująca jej nie użyje.

Jeżeli firma dopiero planuje przeniesienie programu księgowego na wspólną maszynę, ten temat warto rozstrzygnąć przed migracją, razem z dostawcą serwera dla firmy, bo lista oprogramowania do zainstalowania na serwerze terminalowym jest częścią wdrożenia, a nie czymś, co da się dołożyć później bez restartu.

Najczęstsze komunikaty błędów i co naprawdę znaczą

Komunikat „Zestaw kluczy nie istnieje” w Płatniku i w programach Comarch zasługuje na osobne zdanie, bo bywa mylnie brany za awarię karty. Zwykle znaczy on tylko tyle, że Windows nie łączy certyfikatu z kontenerem klucza prywatnego. Przy pracy przez RDP dochodzi do tego dodatkowa pułapka: magazyn Bieżący użytkownik jest inny dla każdego profilu, a czyszczenie wpisów w magazynie Lokalny komputer nic w nim nie zmienia. Certyfikat trzeba zarejestrować na tym koncie, na którym faktycznie pracujesz w sesji.

Trzy wyjścia, gdy karta nie chce działać przez RDP

Konfiguracja przekierowania to tylko jedna z opcji i nie zawsze najtańsza w czasie. Zestawienie poniżej pokazuje pełny wybór.

Drugi wariant rozwiązuje problem u źródła. W podpisie kwalifikowanym w chmurze, jaki oferują SimplySign od Certum czy mSzafir od KIR, klucz prywatny leży na urządzeniu dostawcy, a operację autoryzujesz kodem z telefonu. Nie ma karty, więc nie ma czego przekierowywać przez RDP, a sam certyfikat pozostaje kwalifikowany i daje pełny skutek formy elektronicznej z art. 78(1) § 2 Kodeksu cywilnego.

Trzeci wariant warto rozważyć zanim ktokolwiek zacznie liczyć koszty certyfikatów. Do umowy handlowej, zlecenia czy NDA prawo nie wymaga podpisu kwalifikowanego. Wystarczy forma dokumentowa z art. 77(2) KC, którą spełnia zwykły podpis elektroniczny ze śladem audytowym. Wtedy problem znika po obu stronach, bo podpis zdalny w tym wariancie składa się w przeglądarce i nie sięga do żadnego sprzętu. Granicę między tym, co wolno podpisać zwykłym podpisem, a co wymaga kwalifikowanego, rozpisaliśmy przy mocy prawnej podpisu elektronicznego.

Czy TeamViewer i AnyDesk radzą sobie lepiej niż pulpit zdalny

Często tak, ale z powodu, który nie jest ich zasługą. Te programy pokazują ekran komputera, do którego karta jest już wpięta, więc podpis powstaje lokalnie i żadne przekazywanie urządzenia nie jest potrzebne. RDP działa inaczej: zestawia niezależną sesję na innej maszynie, więc wszystko, co ma być dostępne w tej sesji, musi zostać przez nią przekazane.

Wniosek praktyczny jest taki, że zdalny dostęp do własnego komputera w biurze rozwiązuje problem podpisu, ale wprowadza inny: komputer musi być włączony, a karta wpięta przez cały czas. Dla jednej osoby to działa. Dla działu księgowego, w którym pięć osób podpisuje deklaracje, jest to konstrukcja, która psuje się przy pierwszej dłuższej nieobecności.

Czy zwykły podpis elektroniczny działa przez pulpit zdalny

Tak, i to bez żadnej konfiguracji. Zwykły podpis elektroniczny składany z linku w przeglądarce nie korzysta z karty, czytnika ani sterowników, więc nie ma znaczenia, czy przeglądarkę masz otwartą lokalnie, czy w sesji RDP. Cała weryfikacja opiera się na dostępie do skrzynki e-mail i na śladzie audytowym, który zapisuje czas, adres IP i przebieg operacji.

To jest zresztą główny powód, dla którego firmy nie kupują certyfikatów kwalifikowanych dla całego zespołu. Certyfikat jest potrzebny konkretnym osobom do konkretnych dokumentów: sprawozdania finansowego, deklaracji do ZUS, umów z rygorem formy pisemnej. Reszta obiegu dokumentów obchodzi się bez niego. Jak to rozdzielić, opisujemy przy podpisie elektronicznym dla firm.

Czy podpis przez pulpit zdalny jest bezpieczny

Przekierowanie karty inteligentnej samo w sobie nie obniża bezpieczeństwa podpisu, bo klucz prywatny nigdy nie opuszcza karty. Przez sesję przechodzą polecenia do karty i wyniki, a nie materiał klucza. Ryzyko leży gdzie indziej: karta wpięta na stałe w komputer, do którego kilka osób ma dostęp zdalny, plus zapisany PIN to sytuacja, w której formalnie podpisuje jedna osoba, a faktycznie każdy, kto akurat jest zalogowany.

Jeżeli w firmie kilka osób łączy się do tego samego serwera, warto rozdzielić uprawnienia i nie zostawiać karty w czytniku po godzinach. Certyfikat kwalifikowany wywołuje skutek podpisu własnoręcznego, więc konsekwencje niekontrolowanego dostępu są takie same jak przy zostawieniu podpisanych in blanco kartek w szufladzie.

Od czego zacząć naprawę

Kolejność ma znaczenie, bo każdy kolejny krok jest droższy w czasie od poprzedniego.

Zacznij od zaznaczenia Kart inteligentnych w Zasobach lokalnych i ponownego połączenia. Jeżeli to nie pomoże, zaloguj się przez RDP i sprawdź, czy w magazynie Bieżący użytkownik na tym profilu widać twój certyfikat. Jeżeli go nie ma, zaimportuj go po zalogowaniu w sesji, a nie lokalnie. Dopiero potem zajmij się instalacją oprogramowania karty na serwerze i restartem. Jeżeli po tych trzech krokach nadal nic, sprawdź u wystawcy certyfikatu, czy twój model czytnika w ogóle jest wspierany w sesjach zdalnych, bo część tokenów nie jest i żadna konfiguracja tego nie zmieni.

Na tym etapie pytanie brzmi już nie „jak to naprawić”, tylko „czy to jest warte kolejnego dnia pracy”. Dla deklaracji do urzędu zwykle tak. Dla umów z kontrahentami zwykle nie, bo te da się podpisać zdalnie w przeglądarce, bez karty po żadnej ze stron.