Как самостоятельно изготовить электронную подпись / Хабр

Что такое электронная подпись

Все термины и определения приведены в законе, поэтому изложим всё, как говорится, своими словами, не претендуя при этом на абсолютную юридическую точность формулировок.

Электронная цифровая подпись (ЭЦП) — это совокупность средств, позволяющих однозначно удостовериться в том, что автором документа (или исполнителем какого-то действия) является именно то лицо, которое называет себя автором. В этом смысле ЭЦП полностью аналогична традиционной подписи: если в обычном «бумажном» документе указано, что его автор Иванов, а внизу стоит подпись Петрова, вы справедливо можете усомниться в авторстве Иванова.

Что делать, если компании необходимо множество электронных подписей?

Все больше компаний понимают, что использование электронной подписи позволяет сэкономить время и деньги, а потому покупают сотрудникам электронные подписи для различных целей – бухгалтеру для сдачи отчетности, закупщику – для работы на электронных торговых площадках. В данном случае возникает сразу несколько сложностей:

1. Трудно контролировать все электронные подписи – люди уходят из компании и уносят с собой токены с подписями.

2. Сроки действия электронных подписей заканчиваются неожиданно в самый неподходящий момент, их необходимо перевыпускать в срочном порядке.

3. Покупка электронной подписи может затянуться: закупщик запросил счет в Удостоверяющем центре, отдал его бухгалтеру. Бухгалтер считала зарплату и счет оплатила только через неделю. За это время интересная закупка уже закончилась – компания потеряла возможность подписать выгодный контракт с крупным заказчиком.

Удостоверяющие Центры предлагают крупным компаниям и организациям с разветвленной филиальной структурой решения, которые позволяют подавать заявления на выпуск сертификатов электронной подписи, не покидая собственного рабочего места. Данные сервисы позволяют сотрудникам организации оперативно получать КЭПы и управлять жизненным циклом каждого конкретного сертификата. Один сотрудник в вашей компании берет на себя функции администратора такой системы и осуществляет:

· регистрацию пользователей для получения сертификата;

· отправку заявки на проверку в УЦ;

· создает запросы на выпуск электронных подписей и их аннулирование.

Подробнее о решении для работы с множеством электронных подписей в компании можно почитать по ссылке

Безопасность при использовании кэп


Безопасность КЭП

Статьей 10 Федерального закона от 06.04.2021 №63-ФЗ «Об электронной подписи (далее — Федеральный закон №63-ФЗ) установлена обязанность участников электронного взаимодействия обеспечивать конфиденциальность ключей электронных подписей.

При использовании электронной подписи стоит помнить, что токен в ваших руках — не просто флешка, а важный инструмент с помощью которого недоброжелатели могут вывести деньги со счета организации или даже переоформить ее на себя.

Чтобы не стать участником аферы, не передавайте свой ключ электронной подписи третьим лицам. Примером такой ситуации является случай, когда генеральный директор приобретает УКЭП и передает его бухгалтеру для сдачи отчетности, а бухгалтер выводит средства с расчетного счета компании.

В любом случае, чтобы обезопасить себя и свой бизнес, вам необходимо придерживаться трех простых правил:

  • Максимально бережно относиться к токену, который вы получили в УЦ, не передавать его третьим лицам. Если вашим сотрудникам для работы требуется сертификат ЭП — оформите им собственные КЭП.
  • В случае утери токена с действующим сертификатом ЭП или подозрений на незаконное использование — сразу обращайтесь в в УЦ для прекращения действия сертификата.
  • Если вам необходимо получить квалифицированную подпись – обращайтесь за ней только в проверенный Удостоверяющий Центр.

Спасибо, за внимание! Если у вас остались вопросы, от отвечу в комментариях.

#Электронная_Подпись#ЭЦП#крипто

Где используется квалифицированная электронная подпись?

КЭП нужна, чтобы сдавать отчетность в контролирующие органы, участвовать в качестве поставщика и заказчика в электронных торгах, работать с государственными информационными системами, обмениваться формализованными документами с ФНС, вести электронный документооборот внутри компании или с ее внешними контрагентами.

Читайте также:  Создание эцп в криптопро csp

Где используется неквалифицированная электронная подпись?

НЭП можно использовать для внутреннего и внешнего ЭДО, если стороны предварительно договорились об этом.

Где используется простая электронная подпись?

Простая электронная подпись чаще всего применяется при банковских операциях, а также для аутентификации в информационных системах, для получения госуслуг, для заверения документов внутри корпоративного электронного документооборота (далее — ЭДО).

Простую электронную подпись нельзя использовать при подписании электронных документов или в информационной системе, которые содержат гостайну.

Где получить квалифицированную электронную подпись?

Издавать квалифицированные ключи электронной подписи имеют право только специальные организации — аккредитованные удостоверяющие центры, деятельность которых регулируется Минкомсвязи и ФСБ России. Выбирая удостоверяющий центр, прежде всего убедитесь, что он имеет аккредитацию Минкомсвязи, лицензии ФСБ и желательно ФСТЭК.

Для того, что бы Удостоверяющий Центр начал функционировать, ему необходимо приобрести специализированное дорогостоящее оборудование и иметь в штате высококвалифицированных сотрудников с образованием в области информационной безопасности и опытом работы в данной сфере.

Беря в расчет что в условиях самоизоляции каждый выход на улицу может обернуться штрафами, то лучше заказать доставку ЭП себе домой или в офис, часть Удостоверяющих Центров оказывают данную услугу. Лично у нас, в КОРУС Консалтинг СНГ, доставка реализована через курьеров Спецсвязи, так как они уполномочены работать с секретными документами.

Генерирование открытого и секретного ключей

Итак, вы решили самостоятельно изготовить усиленную неквалифицированную электронную подпись и научиться подписывать ею свои документы. Начать необходимо, конечно, с генерирования пары ключей, открытого (public key) и секретного (private key).

Существует множество стандартов и алгоритмов асимметричного шифрования. Одной из библиотек, реализующих эти алгоритмы, является PGP (Pretty Good Privacy). Она была выпущена в 1991 году под проприетарной лицензией, поэтому имеются полностью совместимые с ней свободные библиотеки (например, OpenPGP).

Одной из таких свободных библиотек является выпущенная в 1999 году GNU Privacy Guard (GnuPG, или GPG). Утилита GPG традиционно входит в состав почти всех дистрибутивов Линукса; для работы из-под Windows необходимо установить, например, gpg4win. Ниже будет описана работа из-под Линукса.

Сначала сгенерируем собственно ключи, подав (из-под обычного юзера, не из-под root’а) команду

gpg --full-generate-key

В процессе генерирования вам будет предложено ответить на ряд вопросов:

  • тип ключей можно оставить «RSA и RSA (по умолчанию)»;
  • длину ключа можно оставить по умолчанию, но вполне достаточно и 2048 бит;
  • в качестве срока действия ключа для личного использования можно выбрать «не ограничен»;
  • в качестве идентификатора пользователя можно указать свои фамилию, имя и отчество, например, Иван Иванович Иванов; адрес электронной почты можно не указывать;
  • в качестве примечания можно указать город, либо иную дополнительную информацию.

После ввода вами всех запрошенных данных утилита GPG попросит вас указать пароль, необходимый для доступа к секретному ключу. Дело в том, что сгененрированный секретный ключ будет храниться на вашем компьютере, что небезопасно, поэтому GPG дополнительно защищает его паролем.

Сгенерированные ключи (во всяком случае, открытый, но можно также и секретный, на тот случай, если ваш компьютер внезапно сломается) необходимо экспортировать в текстовый формат:

gpg --export -a "Иван Иванович Иванов" > public.key
gpg --export-secret-key -a "Иван Иванович Иванов" > private.key

Понятно, что private.key вы должны хранить в секрете, а вот public.key вы можете открыто публиковать и рассылать всем желающим.

Из чего складывается стоимость квалифицированной электронной подписи?

Поскольку КЭП — это ключ, сформированный с помощью криптографических средств и записанный на специальный носитель – токен, который внешне похож на обычную флешку, но в отличии от последней имеет сложную систему защиты и должен быть сертифицирован ФСБ.

Читайте также:  ФЗС Росказна перевыпуск сертификата - инструкция для чайников

Надо понимать, что под покупкой КЭП понимается приобретение:

  • сертификата электронной подписи
  • средства криптографической защиты информации (например, СКЗИ КриптоПро)
  • токена

Также, стоимость усиленной квалифицированной подписи напрямую зависит от ее возможностей. Например, УКЭП для юридических лиц, который позволяет зарегистрировать кассу, отправить отчетность, вести ЭДО будет стоить дешевле квалифицированной подписи юридического лица, которая принять участие в торгах на электронных торговых площадках. Более того для некоторых типов электронных торговых площадок потребуется запись отдельных OID для работы на них.

Как начать работать с кэп?

Для того, чтобы начать пользоваться электронной подписью, вам необходимо настроить ваш компьютер, установив:

  • драйверы токена,
  • ПО в виде дистрибутива СКЗИ (например КриптоПро CSP),
  • браузер-плагин для работы с сертификатом электронной подписи на конкретном портале/сервисе.

Обычно Удостоверяющие Центры предоставляют бесплатно специальный единый установщик, который поможет установить все необходимые компоненты на ваше рабочее место. Ну и если вы не хотите разбираться с настройкой, то можете попросить это сделать за вас специалистов Удостоверяющего Центра, часто эту услугу предоставляют бесплатно

Как оформить подпись в электронной почте

Автоматизировать процесс прикрепления шаблона подписи ко всем письмам можно в любой электронной почте. В Gmail для настройки подписи необходимо в пункте меню «Настройки» найти вкладку «Подпись». В этом блоке можно ввести нужный текст, отформатировать его и подобрать шрифт.

Квалифицированная электронная подпись или кэп

Усиленная квалифицированная электронная подпись — самый регламентированный государством вид подписи. Так же, как и НЭП, она  создается с помощью криптографических алгоритмов и базируется на инфраструктуре открытых ключей, но отличается от НЭП в следующем:

  • Обязательно имеет квалифицированный сертификат в бумажном или электронном виде, структура которого определена приказом ФСБ России № 795 от 27.12.2021.
  • Программное обеспечение для работы с КЭП сертифицировано ФСБ России.
  • Выдавать КЭП может только удостоверяющий центр, который аккредитован Минкомсвязи России.

Получить квалифицированную электронную подпись

Нужна ли мне лицензия скзи криптопро csp?

КриптоПро является наиболее распространенным в нашей стране средством криптозащиты, из тех, которые предлагают удостоверяющие центры покупателям электронных подписей.

Чаще всего при покупке электронной подписи пользователю предлагается лицензия СКЗИ КриптоПро на 1 год. Этот вариант является наиболее подходящим для тех, кто собирается использовать электронную подпись на одном компьютере в течение этого года.

Минусами такого приобретения можно считать 2 фактора:

  • лицензия СКЗИ привязана к компьютеру, следовательно, вы сможете работать с УКЭП только на одном рабочем месте
  • при использование КЭП на разных компьютерах, вам придется купить дополнительно к ним и лицензии КриптоПро CSP.

Если же вы постоянно используете в своей работе электронные подписи для разных целей (например, имеете квалифицированную подпись ИП, квалифицированную подпись физического лица и УКЭП для юридического лица), имеет смысл приобрести бессрочную лицензию СКЗИ КриптоПро.

Подписание документа

Нет ничего проще, чем создать отсоединенную ЭЦП в текстовом (ASCII) формате:

gpg -ba имя_подписываемого_файла

Файл с подписью будет создан в той же папке, где находится подписываемый файл и будет иметь расширение asc. Если, например, вы подписали файл privet.doc, то файл подписи будет иметь имя privet.doc.asc. Можно, следуя традиции, переименовать его в privet.sig, хотя это непринципиально.

Если вам не хочется каждый раз заходить в терминал и вводить руками имя подписываемого файла с полным путем, можно написать простейшую графическую утилиту для подписания документов, например, такую:

#!/usr/bin/python
# -*- coding: utf-8 -*-
from Tkinter import *
from tkFileDialog import *
import os, sys, tkMessageBox

def die(event):
    sys.exit(0)

root = Tk()
w = root.winfo_screenwidth()//2 - 400
h = root.winfo_screenheight()//2 - 300
root.geometry("800x600 {} {}".format(w, h))
root.title("Подписать документ")

flName = askopenfilename(title="Что подписываем?")

if flName:
    os.system("gpg -ba "   flName)
    button = Button(text="ЭЦП создана")
    button.bind("<Button-1>", die)
    button.pack(expand=YES, anchor=CENTER)
else:
    die()

root.mainloop()

Подпись в электронном письме: примеры

В посланиях делового характера стиль письма и подписи должны быть одинаковыми. Для сферы бизнеса неприемлемы фразы, свидетельствующие о фамильярности, личной привязанности (Например, «Чао», «Пока», «Всегда твой», «Искренне твой» и другие). Важно соблюдать органичную взаимосвязь между назначением послания и стилем его оформления.

Читайте также:  КриптоПро Office Signature: не удается подписать Word/Excel документ | ITCOM удостоверяющий центр

Образец подписи электронного письма:

Правильная подпись в электронном письме – какой она должна быть

Электронное послание для контрагента или бизнес-партнера должно быть подписано отправителем. Отсутствие такого атрибута свидетельствует о низком уровне профессионализма и незнании стандартных норм делового этикета. На подпись возлагается ряд важных функций:

Как правильно оформить подпись в электронном письме:

  1. Надо указать основные сведения об организации и отправителе с их контактными данными.
  2. Подпись должна отображать род деятельности фирмы.
  3. Лаконичность – обязательное требование. Для завершающего элемента послания достаточно 3-4 строчек. Если в подписи будет более 5 строк, она станет отталкивающим фактором.
  4. Важное условие – грамотность написания.
  5. Эстетичность проявляется в органичном сочетании выбранной цветовой гаммы с размером и типом шрифта. Не надо делать блок с подписью слишком ярким, он должен дополнять текст сообщения, а не отвлекать от него.

Оригинальная подпись в электронном письме не всегда производит ожидаемый положительный эффект. Излишняя угловатость выбранного шрифта свидетельствует о непреклонности и безликости. Их рекомендуется применять для автоматических рассылок. Рукописный стиль оформления уместен для случаев, когда надо установить доверительные отношения с получателем информации при условии, что уже имелись личные контакты, произведшие на клиента положительное впечатление.

Проверка подписи

Вряд ли, конечно, вам самому придется проверять достоверность собственной электронной подписи, но если вдруг (на всякий случай) вам захочется это сделать, то нет ничего проще:

gpg --verify имя_файла_подписи имя_файла_документа

В реальности гораздо полезнее опубликовать где-нибудь в открытом доступе (например, на вашем персональном сайте или на сайте вашей организации):

  • открытый ключ public.key для того, чтобы все желающие могли проверить (верифицировать) вашу подпись с использованием, например, той же GPG;
  • веб-интерфейс для проверки вашей подписи всеми желающими, не являющимися специалистами.

Описанию такого веб-интерфейса (причем без использования серверных технологий, с проверкой подписи исключительно на клиентской стороне) и будет посвящена последняя часть моего краткого туториала.

К счастью для нас, имеется свободная библиотека OpenPGP.js; скачиваем самый маленький по размеру (на момент написания данного туториала — 506 КБ) файл dist/lightweight/openpgp.min.js и пишем несложную html-страничку (для упрощения восприятия я удалил все описания стилей и очевидные meta-тэги):

Юридическая сила кэп

КЭП — это подпись, которая придает документам юридическую силу без дополнительных условий.  Если организации ведут ЭДО, подписывая документы КЭП,  их юридическая сила признается автоматически согласно федеральному закону № 63-ФЗ “Об электронной подписи”.

Получить квалифицированную электронную подпись

Юридическая сила нэп

Участникам ЭДО нужно соблюдать дополнительные условия, чтобы электронные документы, заверенные НЭП, считались равнозначными бумажным с собственноручной подписью. Сторонам нужно обязательно заключить между собой соглашение о правилах использования НЭП и взаимном признании ее юридической силы.

Получить электронную подпись

Юридическая сила пэп

Простая подпись приравнивается к собственноручной, если это регламентирует отдельный нормативно-правовой акт или между участниками ЭДО заключено соглашение, где прописаны:

Во многих информационных системах пользователь должен сначала подтвердить свою личность во время визита к оператору систему, чтобы его ПЭП в будущем имела юридическую силу. Например, для получения подтвержденной учетной записи на портале Госуслуг, нужно лично прийти в один из центров регистрации с документом, удостоверяющим личность.

Получить электронную подпись

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Adblock
detector