USB-токены представляют собой специализированные сменные носители, в которых защита ключевой информации осуществляется на аппаратном уровне. Отдельные модели поддерживают не только хранение ключевой информации, но и выполнение различных криптографических операций.

Использование USB-токенов практически полностью исключает возможность компрометации ключевой информации и повышает безопасность системы в целом.

Для выполнения операций по постановке / снятию подписи USB-токен должен быть подключен к рабочей станции в момент выполнения операции.

При использовании для подписи документов токенов с аппаратной криптографией Рутокен ЭЦП™, eToken GOST™, которые предполагают ввод PIN-кода, пользователю требуется вводить PIN при каждой операции подписи. Система предоставляет возможность "запоминания" введенного PIN на время сессии и его автоматического использования без повторного ввода при подписи документов (см. разд. «Предложение запомнить ПИН-код USB-токена в рамках сеанса работы»). Настройка параметров кеширования PIN выполняется при помощи свойства сервиса Настройки криптографии, соответствующего используемому СКЗИ (см. разд. «Конфигурационные параметры сервиса аутентификации»).

Матрица поддержки средств криптографической защиты информации (СКЗИ), электронных USB-ключей (токенов) и смарт-карт представлена в разд. «Совместимость USB-ключей и смарт-карт с поддерживаемыми типами СКЗИ» .

При использовании СП на базе MessagePRO™, доступно хранение ключевой информации (секретного ключа) либо локально, либо на незащищенных сменных носителях, с использованием специального криптоконтейнера, закрытого паролем. Под незащищенными носителями понимаются любые съемные устройства, отличные от USB-токенов или смарт-карт. При использовании подобных носителей, в свойствах СП должны быть сняты флаги Токен и Токен BSS.

По умолчанию в ДБО Corporate используется сохранение криптоконтейнера в каталог локальной файловой системы. Для установки в качестве способа хранения памяти незащищенных сменных носителей, либо для предоставления клиенту возможности выбора одного из двух допустимых способов используется свойство конфигурации Место хранения ключевой информации без использования токенов сервиса "Настройки криптографии (общие)".

Пароль на криптоконтейнер может быть установлен при помощи вспомогательного ПО Admin-PKI™ от компании Сигнал-КОМ. Установка пароля может быть произведена на уже сформированный криптоконтейнер с секретным ключом, для которого уже выпущен сертификат проверки ЭП. После установки пароля на криптоконтейнер все перечисленные далее криптографические операции с использованием сертификата данного ключа потребуют от пользователя дополнительного ввода пароля для доступа к криптоконтейнеру: