Электронная подпись и сертификат ЭП: базовые сведения

Что такое электронная подпись и для чего её применяют

Электронная подпись (ЭП) представляет собой реквизит электронного документа, полученный в результате криптографического преобразования информации. Этот реквизит позволяет установить отсутствие искажений в документе после его подписания и подтвердить, что подпись принадлежит конкретному лицу. Иными словами, ЭП выполняет функции, аналогичные собственноручной подписи, но в цифровой среде. Технология базируется на асимметричных криптоалгоритмах, в которых используется пара ключей – закрытого (секретного) и открытого. Закрытый ключ известен только владельцу, открытый – доступен любому, кто проверяет подпись.

Применение ЭП охватывает широкий круг задач. С её помощью подписывают договоры с контрагентами, сдают налоговую и бухгалтерскую отчётность в контролирующие органы, обмениваются юридически значимыми документами внутри корпоративных систем электронного документооборота (СЭД). ЭП используется для авторизации в государственных информационных системах, например на портале «Госуслуги», для подачи заявлений в суды и участия в электронных торгах. По данным Минцифры, в 2023 году было выдано более 30 миллионов сертификатов ключа проверки электронной подписи. Отсутствие необходимости личного присутствия при подписании и возможность мгновенной передачи документов сокращают время операций с нескольких дней до нескольких минут. Оформить электронную подпись можно тут.

Замена собственноручной подписи: назначение и преимущества

Основное назначение ЭП – замещение физической подписи человека. При этом цифровая подпись обеспечивает более высокую степень защиты: она привязывается не только к документу, но и к конкретному моменту времени (через метку времени). Ключевое преимущество – неизменность подписанного документа: любое последующее изменение приводит к неверному результату проверки, что гарантируется свойствами криптографической хэш-функции. Кроме того, ЭП решает проблему идентификации в удалённом взаимодействии: владелец сертификата подтверждает свою личность один раз в удостоверяющем центре, после чего может подписывать неограниченное количество документов в течение срока действия сертификата.

Для бизнеса использование ЭП снижает затраты на бумагу, печать, курьерскую доставку и хранение архивов. Согласно исследованиям, компании, перешедшие на электронный документооборот с применением квалифицированной подписи, сокращают издержки на обработку одного документа в среднем на 80 %. Для физических лиц – это возможность оформить кредиты, договоры страхования или доверенности без визита в офис. Юридическая значимость подписанных электронных документов признаётся наравне с бумажными, если соблюдены требования законодательства.

Основные сценарии использования: документооборот, отчётность, договоры

ЭП востребована в нескольких ключевых областях.

• Внутренний и внешний документооборот. Организации обмениваются счетами-фактурами, актами, накладными, заказами. Системы СЭД автоматически проверяют подлинность подписи при получении документа.
• Отчётность в государственные органы. Налоговая отчётность (ФНС), отчётность в Пенсионный фонд (СФР), Росстат, Росалкогольрегулирование – обязательна для сдачи с использованием усиленной квалифицированной подписи (УКЭП). С 2024 года данные о доходах физических лиц (6-НДФЛ) подаются только в электронном виде через УКЭП.
• Договорная работа. Подписание договоров с удалёнными контрагентами без печати и бумаги. Применяется как простая (для внутренних соглашений), так и квалифицированная подпись (для внешних договоров, требующих нотариального удостоверения).
• Судебное делопроизводство. Исковые заявления, жалобы и ходатайства можно подавать через систему «Мой арбитр» или ГАС «Правосудие» с УКЭП. Электронные документы признаются доказательствами.
• Электронная торговля и сделки. Участие в торгах на электронных площадках (44-ФЗ, 223-ФЗ) требует УКЭП для подписания заявок и договоров.

Виды электронной подписи: простая, неквалифицированная, квалифицированная

Федеральный закон № 63-ФЗ «Об электронной подписи» (далее – 63-ФЗ) выделяет три вида ЭП. Они различаются по способу создания, уровню защиты и юридической силе. Простая электронная подпись (ПЭП) не использует криптографию. Усиленная неквалифицированная подпись (УНЭП) и усиленная квалифицированная подпись (УКЭП) базируются на криптографических алгоритмах, но имеют разный статус.

Простая подпись на основе кодов и паролей

Простая электронная подпись (ПЭП) – это комбинация логина и пароля, одноразового кода из SMS, кода доступа в мобильном приложении. Она не основана на криптографии, поэтому не гарантирует неизменность документа. ПЭП позволяет установить, что человек совершил действие (например, нажал кнопку «Отправить»), но не доказывает, что документ не был изменён после этого. Область использования – внутренние корпоративные системы, регистрация на сайтах, оплата товаров в интернет-магазинах. Для признания юридической силы ПЭП необходимо соглашение сторон, в котором определены порядок идентификации и ответственность. Например, банки применяют ПЭП для входа в интернет-банк, а операторы связи – для подтверждения действий абонента.

Усиленная неквалифицированная подпись: криптографическое преобразование

Усиленная неквалифицированная подпись (УНЭП) создаётся с помощью криптографического преобразования информации с использованием закрытого ключа. Она позволяет проверить, что подпись принадлежит конкретному владельцу, и обнаружить любые изменения в документе. Однако сертификат для УНЭП выдаётся не обязательно аккредитованным удостоверяющим центром (УЦ), поэтому проверка подлинности возможна только в рамках доверенной среды (например, внутри одной организации). Юридическая сила УНЭП признаётся, если стороны заключили соглашение о её использовании. УНЭП применяется в корпоративных СЭД, при подписании внутренних документов, реже – в межкорпоративном обмене, когда контрагенты доверяют друг другу. Для сдачи отчётности в госорганы УНЭП не подходит.

Усиленная квалифицированная подпись: приравнивание к бумажному документу

Усиленная квалифицированная подпись (УКЭП) – наиболее защищённый вид ЭП. Она создаётся по алгоритмам, утверждённым ФСБ России (ГОСТ Р 34.10-2012, ГОСТ 34.11-2012). Квалифицированный сертификат ключа проверки выпускается только аккредитованным удостоверяющим центром, который прошёл проверку Минцифры. УКЭП приравнивается к собственноручной подписи на бумажном носителе без каких-либо дополнительных соглашений. Это означает, что документ, подписанный УКЭП, имеет такую же юридическую силу, как бумажный с синей печатью. УКЭП обязательна для сдачи отчётности в ФНС, СФР, Росстат, участия в электронных торгах по 44-ФЗ и 223-ФЗ, для работы в «Госуслугах» (для юридических лиц и ИП) и для других операций, где требуется высокая степень подтверждения личности.

Сертификат электронной подписи и порядок его получения

Сертификат ключа проверки электронной подписи (обычно называют сертификатом ЭП) представляет собой электронный документ, который удостоверяет принадлежность открытого ключа определённому лицу. Именно сертификат, а не сама подпись, связывает владельца с его открытым ключом. Без сертификата нельзя проверить, кому принадлежит подпись. Сертификат содержит информацию о владельце (ФИО, ИНН, СНИЛС, должность), данные об удостоверяющем центре, срок действия и сам открытый ключ. Срок действия квалифицированного сертификата составляет обычно 12 месяцев, но может быть установлен на 1, 2 или 3 года в зависимости от политики УЦ. По истечении срока сертификат перестаёт быть действительным, и подписи, созданные после его окончания, не будут считаться действительными. Документы, подписанные до истечения срока, остаются юридически значимыми.

Данные сертификата: открытый ключ, владелец, срок действия

Квалифицированный сертификат должен содержать строго определённый набор реквизитов согласно приказу ФСБ России. В числе обязательных полей:

1. Уникальный номер сертификата.
2. Даты начала и окончания действия.
3. Фамилия, имя, отчество (для физического лица) или наименование организации (для юридического).
4. ИНН (для физического лица – 12 цифр, для организации – 10 цифр).
5. СНИЛС владельца.
6. Открытый ключ (параметр криптографического алгоритма, длина ключа – 256 бит для алгоритма ГОСТ Р 34.10-2012).
7. Наименование и адрес удостоверяющего центра.
8. Ограничения использования (например, только для работы в определённой информационной системе).

Защита данных сертификата обеспечивается электронной подписью удостоверяющего центра. Подмена любого поля приведёт к недействительности сертификата при проверке.

Роль удостоверяющего центра: выпуск сертификата и проверка личности

Удостоверяющий центр (УЦ) – это юридическое лицо, которое создаёт и выдаёт сертификаты ключей проверки ЭП. Для выпуска квалифицированных сертификатов УЦ должен иметь аккредитацию Минцифры. Процедура получения сертификата включает следующие шаги:

• Подача заявления и предоставление документов, удостоверяющих личность (паспорт, СНИЛС, ИНН). Для юрлиц – ещё и учредительные документы, решение о назначении руководителя.
• Идентификация заявителя – личная явка в УЦ или удалённая идентификация через ЕСИА (для физических лиц) с использованием усиленной квалифицированной подписи.
• Генерация ключей. Обычно ключи создаются на токене (специальный защищённый носитель, например, Рутокен или JaCarta). Закрытый ключ остаётся на носителе и не передаётся УЦ.
• Запись сертификата на носитель и вручение владельцу.

УЦ также ведёт реестр выданных сертификатов и обеспечивает возможность проверки статуса (действителен/отозван). При утрате закрытого ключа владелец обязан уведомить УЦ, после чего сертификат аннулируется. Восстановление невозможно – требуется выпуск нового сертификата с новой парой ключей.

Механизм работы электронной подписи: ключи и криптография

Работа ЭП основана на асимметричной криптографии. Используются две математически связанные последовательности бит – закрытый ключ (секретный) и открытый ключ (общедоступный). Принципиально, что по открытому ключу невозможно вычислить закрытый (задача дискретного логарифмирования для эллиптических кривых, применяемая в ГОСТ Р 34.10-2012, считается вычислительно сложной). Длина ключей в российских стандартах – 256 бит. Закрытый ключ используется владельцем для создания подписи, открытый – любым проверяющим для её верификации. Хэширование документа перед подписанием обеспечивает компактность и неизменность.

Закрытый ключ для подписания и открытый ключ для проверки

Владелец ЭП хранит закрытый ключ в недоступном для посторонних месте – на защищённом токене, в смарт-карте или на компьютере с парольной защитой. Подписание документа происходит следующим образом: на основе содержимого документа вычисляется хэш (криптографическая свертка фиксированной длины), затем хэш шифруется закрытым ключом. Результат – это подпись, которая прикрепляется к документу. Открытый ключ распространяется через сертификат. Для проверки подписи получатель берёт открытый ключ из сертификата, расшифровывает им подпись, получая хэш, и сравнивает его с хэшем, вычисленным самостоятельно от полученного документа. Если хэши совпадают – документ подлинен и не изменён. Если нет – документ был модифицирован или подпись недействительна.

Криптографическое хэширование для защиты от изменений

Хэш-функция (ГОСТ Р 34.11-2012 «Стрибог») отображает документ произвольной длины в 256-битное значение. Это свойство называется «сжатие с детерминированностью»: один и тот же документ всегда даёт одинаковый хэш, а малейшее изменение в документе радикально меняет хэш. Хэширование обеспечивает невозможность подделки подписи путём перебора (коллизионная стойкость). Использование хэша вместо подписывания всего документа ускоряет криптографические операции. В российских стандартах применяются хэш-функции, одобренные ФСБ, обеспечивающие стойкость к атакам, по оценкам, на уровне более 2^128 операций.

Юридическая сила и риски использования электронной подписи

Юридическая значимость электронных документов с подписью регулируется федеральным законодательством. При этом владельцы подписей должны соблюдать меры предосторожности, чтобы не потерять возможность доказывания подлинности и не стать жертвой мошенничества.

Законодательная основа: Федеральный закон об электронной подписи

Основной нормативный акт – Федеральный закон № 63-ФЗ «Об электронной подписи» (вступил в силу 8 апреля 2011 года, с последующими изменениями). Закон определяет виды ЭП, требования к средствам подписания, порядок признания иностранных сертификатов. В дополнение действуют подзаконные акты: приказы Минцифры, методические документы ФСБ. Согласно статье 6 63-ФЗ, усиленная квалифицированная подпись признаётся равнозначной собственноручной подписи на бумажном носителе и используется без дополнительных соглашений. Для простой и неквалифицированной подписи требуется явное указание закона или соглашение сторон. Например, закон «О бухгалтерском учёте» (402-ФЗ) допускает использование УНЭП для первичных учётных документов при условии, что это установлено учётной политикой компании. Также 63-ФЗ устанавливает ответственность удостоверяющих центров за подтверждение личности владельцев.

«Усиленная квалифицированная электронная подпись признается равнозначной собственноручной подписи и может применяться в любых правоотношениях без каких-либо дополнительных соглашений» (п. 1 ст. 6 ФЗ-63).

Основные риски: утрата закрытого ключа, истечение срока сертификата

Главные риски при использовании ЭП связаны с компрометацией закрытого ключа. Если злоумышленник получит доступ к закрытому ключу, он сможет подписывать документы от имени владельца. Поэтому ключ должен храниться на защищённом носителе (токене) с аппаратным генератором случайных чисел, а доступ к нему защищаться PIN-кодом (не менее 6 символов). При потере или краже токена необходимо немедленно заблокировать сертификат в удостоверяющем центре.

Второй риск – истечение срока действия сертификата. Все подписи, созданные после даты окончания срока сертификата, считаются недействительными. Для своевременного продления необходимо обращаться в УЦ за несколько недель до истечения. Если сертификат уже истёк, повторно использовать его нельзя – нужно выпускать новый. Особую осторожность следует соблюдать при долговременном хранении электронных документов: подпись может быть проверена только при наличии действующего сертификата на момент подписания. Для длительного хранения применяют метки времени и архивацию цепочки сертификатов.

Также существует риск отзыва сертификата из-за смены организационно-штатной структуры (увольнение сотрудника). В таких случаях все документы, подписанные бывшим сотрудником после увольнения, будут недействительными, поэтому удостоверяющий центр должен оперативно вносить изменения в реестр.

Соблюдение правил хранения и своевременное обновление сертификатов позволяют поддерживать юридическую значимость электронных документов на всём протяжении их жизненного цикла. Использование ЭП, особенно усиленной квалифицированной, стало стандартом деловой практики в России, что подтверждается свыше 30 миллионами выданных сертификатов и миллиардами подписанных документов ежегодно.

Видео