Открытый и закрытый ключ электронной подписи

Расшифровка основных понятий

Для дешифровки хранящихся в ЭЦП данных понадобится вторая составляющая в виде закрытого компонента сертификата.

смарт-карта

токен

USB-носитель

дискета

Похищение либо потеря устройства хранения данных может быть сразу обнаружена пользователем — можно успеть своевременно отозвать сертификат. Самым безопасным вариантом из всех представленных считается смарт-карта. Ее использование предполагает двухфакторную аутентификацию — введение PIN-кода. Скопировать информацию со смарт-карты представляется довольно сложной задачей. Однако токены более универсальны в связи с возможностью их использования на любом устройстве, оснащенном USB-портом.

Хранение закрытого ключа осуществляется только у владельца электронной цифровой подписи. Дубликаты этого компонента криптосистемы отсутствуют. Хранение составляющей ключевой пары с истекшим сроком действия целесообразно с целью возможности в дальнейшем расшифровать документы из давнего электронного архива.

Электронный компонент ключевой пары является конфиденциальным. Ответственность за его сохранность в полной мере возлагается на владельца ЭЦП, что прописано на законодательном уровне.

Каждая электронная подпись должна быть подтверждена специальным сертификатом, который удостоверяет личность владельца. Получить сертификат можно в специальном центре или у доверенного представителя.

Владельцем сертификата является физическое лицо, на которое удостоверяющий центр выдал сертификат электронной подписи. У каждого владельца имеется два ключа к подписи: открытый и закрытый. Закрытый ключ ЭП позволяет подписывать электронные документы, с его помощью можно сгенерировать электронную подпись. Он хранится в тайне, как пин-код от банковской карты.

В функции открытого ключа входит проверка подлинности подписи на документах. Он связан с закрытым “коллегой” в однозначном порядке.

Преимущества использования ЭП

Использование ЭП позволяет:

• значительно сократить время, затрачиваемое на оформление сделки и обмен документацией;
• усовершенствовать и удешевить процедуру подготовки, доставки, учета и хранения документов;
• гарантировать достоверность документации;
• минимизировать риск финансовых потерь за счет повышения конфиденциальности информационного обмена;
• построить корпоративную систему обмена документами.

Подделать ЭП невозможно – это требует огромного количества вычислений, которые не могут быть реализованы при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность. Дополнительная защита от подделки обеспечивается сертификацией Удостоверяющим центром открытого ключа подписи.

С использованием ЭП работа по схеме “разработка проекта в электронном виде – создание бумажной копии для подписи – пересылка бумажной копии с подписью – рассмотрение бумажной копии – перенос ее в электронном виде на компьютер” уходит в прошлое.

По закону

Федеральный закон “Об электронной цифровой подписи” подразделяет ЭП на несколько видов: простая ЭП, усиленная неквалифицированная и квалифицированная ЭП. С помощью простой электронной подписи можно подтвердить факт создания ЭП для определенного лица. Это делается путем использования паролей, кодов и других средств.

Усиленная неквалифицированная ЭЦП – это результат криптографического преобразования информации, которое производится посредством закрытого ключа ЭП. С помощью такой подписи можно установить личность подписавшего документ, а также обнаружить, если они имеются, изменения, произошедшие с момента подписания бумаг.

Средства ЭЦП

Средствами ЭЦП являются аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций:

• создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи,
• подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе,
• создание закрытых и открытых ключей электронных цифровых подписей.

Квалифицированный сертификат проверки подписи

Такие же особенности имеет и усиленная квалифицированная ЭП, однако для ее создания проверка ЭЦП происходит с помощью сертифицированных Федеральной службой безопасности средств криптозащиты. Сертификаты такой подписи могут быть выданы только в аккредитованном удостоверяющем центре, и нигде больше.

Согласно тому же закону, подписи первых двух типов приравниваются к собственноручной подписи на бумажном документе. Между людьми, совершающими любую операцию с использованием ЭП, необходимым является заключение соответствующего соглашения.

Третий тип (квалифицированная ЭЦП) – это аналог не только собственноручной подписи, но и печати. Таким образом, документы, заверенные подобной подписью, обладают юридической силой и признаются контролирующими органами (ФНС, ФСС и другими).

Квалифицированный сертификат ключа проверки электронной подписи выдается в дополнение к усиленной квалифицированной ЭЦП. Он содержит аналогичную информацию за исключением сведений об открытом ключе (так как в квалифицированной подписи он вовсе не предусмотрен). Его также можно использовать для проверки валидности ЭЦП или использовать для расшифровки подписанных и зашифрованных документов, созданных в среде Microsoft Office.

Квалифицированный сертификат ключа проверки ЭП также имеет свой срок действия – 12 месяцев. По истечению данного периода он аннулируется, то есть, теряет свою юридическую силу. Эти условия актуальный и к неквалифицированным вариациям ключа.

Криптографическая основа

В основе электронной подписи лежит криптография открытого ключа. С ее помощью формируется специальный сертификат пользователя. Он содержит данные о пользователе, открытый ключ и электронную подпись сертификата, ее можно проверить с помощью открытого ключа удостоверяющего центра. Алгоритм гарантирует, что произвести генерацию подписи может только удостоверяющий центр, который имеет секретный ключ шифрования и доверие к которому является основой для работы всей системы ЭЦП.

Доверие к удостоверяющим центрам основано на иерархическом принципе: сертификат удостоверяющего центра нижнего уровня заверяется электронной подписью удостоверяющего центра более высокого уровня. Высочайшим уровнем удостоверяющих центров является федеральный, который находится под управлением государственных органов.

Вся система доверия, построенная на сертификатах, образует так называемую инфраструктуру открытых ключей (Public Key Infrastructure, PKI). При такой инфраструктуре требуется проверка не только легитимности ключа удостоверяющего центра, выдавшего сертификат, но и всех вышестоящих удостоверяющих центров.

В России сейчас создается система PKI, которая доступна практически всем желающим. Изначально она была создана агентством Росинформтехнологии на базе Общероссийского государственного информационного центра (ОГИЦ). Однако сейчас федеральный удостоверяющий центр передан в ведение «Ростелекома». Этот телекоммуникационный оператор активно предлагает развивать различные проекты с использованием PKI.

Другие сферы применения

В настоящее время чаще всего используется ЭЦП для юридического лица. Широко задействуется технология цифровых подписей в электронном документообороте. Назначение последнего может быть различно: внешний и внутренний обмен, документы могут иметь кадровый или законотворческий характер, организационный, распорядительный или торгово-промышленный, словом, все, что может обойтись исключительно подписью и печатью. Регистрация ЭЦП должна производиться в аккредитованном центре.

Для внутреннего документооборота цифровая подпись полезна тем, что позволяет быстрее инициировать факт утверждения бумаг, организующих внутренние процессы. ЭЦП позволяет директору не только подписывать документы, находясь вне офиса, но и не хранить кипы бумаг.

При межкорпоративном документообороте электронная цифровая подпись является одним из самых важных условий, ведь без нее цифровые бумаги не имеют юридической силы и не могут использоваться как доказательства в случае подачи иска. Электронный документ, подписанный усиленной ЭП, сохраняет легитимность даже при длительном хранении в архиве.

Также документы, подписанные ЭП, используются для проведения электронных торгов. Наличие цифровой подписи в указанном случае гарантирует покупателям, что предложения на торгах реальные. К тому же контракты, не подписанные с помощью ЭПЦ, не имеют юридической силы.

Электронные документы могут использоваться как доказательства при рассмотрении дел в арбитражном суде. Любые сертификаты или расписки, а также иные бумаги, заверенные цифровой подписью или другим аналогом подписи, являются письменными доказательствами.

Документооборот между физическими лицами происходит в основном в бумажном виде, однако есть возможность совершать передачу бумаг или заключение договоров с помощью ЭП. Удаленные работники могут использовать цифровую подпись для отправки в электронном виде актов приемки-сдачи.

Равнозначность собственноручной подписи

Электронная цифровая подпись в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:

• сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;
• подтверждена подлинность электронной цифровой подписи в электронном документе;
• электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.

Область применения ЭЦП определяется идентификатором, называемым OID. У каждой области действия свой OID. Например, область применения, которая позволяет подписывать документы для постановки объектов на ГКН, имеет OID 1.2.643.5.1.24.2.1.3.1 «Формирование кадастровым инженером документов для получения услуг со стороны заявителя». ЭЦП с таким OID выдается только кадастровым инженерам, которые для получения предъявляют Аттестат кадастрового инженера.

Область применения, которая позволяет органу кадастрового учёта подтверждать документы – результаты кадастрового учета имеет OID – 1.2.643.5.1.24.2.1.2 «Формирование документов как результата оказания услуги со стороны органов кадастрового учета». ЭЦП с такими OID нами не выдается. И не может быть выдан без специальной аккредитации.

Электронная отчетность

ЭЦП незаменима для предоставления отчетности контролирующим органам. Множество документов можно сдать в электронном виде вместо того, чтобы везти целую кипу формуляров. Клиент может не только выбрать время и не стоять в очереди, но и сдать отчетность удобным для себя способом: через программы 1С, порталы государственных учреждений или отдельное программное обеспечение, специально для этого предназначенное.

Государственные услуги

Большинство граждан сталкивались с термином “электронная подпись” на различных сайтах. Один из способов верификации аккаунта, например, на портале, предоставляющем доступ ко множеству государственных услуг, является подтверждение посредством электронной подписи. Более того, ЭЦП для физических лиц позволяет подписывать любые цифровые документы, направленные в то или иное ведомство, или получать подписанные письма, договора и уведомления.

Электронная подпись для госзакупок

Основная статья:Электронная подпись в закупках

Для участия в закупочных процедурах необходимо наличие электронной подписи. Каких типов бывают ЭП, что влияет на стоимость подписи и какой пакет документов необходимо подготовить для её получения? Подробнее здесь.

Как выбрать сертификат

Так как имеется три типа электронной подписи, у граждан часто возникает вопрос о том, какой из сертификатов лучше. Следует помнить, что любая ЭП является аналогом собственноручной подписи, и на данный момент законодательством РФ установлено, что человек вправе использовать их по своему усмотрению.

Выбор цифровой подписи напрямую зависит от тех задач, которые будут посредством нее решаться. Если готовится сдача отчетности в контролирующие органы, потребуется наличие квалифицированной подписи. Для межкорпоративного документооборота также чаще всего требуется именно квалифицированная ЭП, ведь только она не только дает документам юридическую силу, но и позволяет устанавливать авторство, контролировать изменения и целостность бумаг.

Внутренний документооборот можно осуществлять со всеми типами электронно-цифровых подписей.

Хроника

8 июля 2019 года стало известно, что Министр экономического развития Максим Орешкин выступил за скорейшее принятие законопроекта, ужесточающего требования к удостоверяющим центрам электронной подписи. Соответствующее заявление министр сделал в ходе парламентских слушаний в Госдуме, посвященных вопросам Цифровой экономики.

В Госдуму были внесены сразу два законопроекта с поправками в Закон «Об электронной подписи». Первый из них разработан сенаторами Владимиром Кравченко, Любовью Глебовой и Михаилом Пономаревым, второй – сенатором Людмилой Боковой.

Закон «Об электронно-цифровой подписи» был принят в России в 2003 г. К документу было множество нареканий, и в 2011 г. его заменили новым Законом – «Об электронной подписи».

В законе упоминается электронная подпись трех видов: простая, усиленная и квалифицированная. Усиленная электронная подпись выдается удостоверяющим центром, квалифицированная – удостоверяющим центром, прошедшим аккредитацию в Минкомсвязи. Квалифицированная электронная подпись признается аналогом собственноручной. В числе прочего она необходима для участия в госзакупках.

Изначально закон требовал, что для аккредитованных удостоверяющих центров минимальный размер чистых активов должен составлять 1 млн руб., а минимальный размер финансового обеспечения для покрытия возможных убытков третьим лицам 1,5 млн руб.

В 2015 г. по инициативе Минкомсвязи законодатели увеличили минимальный размер чистых активов до 7 млн руб., а минимальный размер финансового обеспечения – до 30 млн руб. Но власти хотели и дальше ужесточать требования к удостоверяющим центрам. Так, в 2017 г. Минкомсвязи разработало законопроект о монополизации выдачи квалифицированных электронных подписей государством, однако данный документ был раскритикован отраслью и не получил дальнейшего развития.

В представленных законопроектах речь идет о дальнейшем ужесточении требований к аккредитованным удостоверяющим центрам. Согласно обоим документам, минимальный размер чистых активов предлагается увеличить до 1 млрд руб., либо, если у удостоверяющего центра есть филиалы в как минимум двух третях российских регионов, до 500 млн руб.

Минимальный размер финансовой гарантии предлагается увеличить до 200 млн руб. Если число мест осуществления лицензируемого вида деятельности превышает 10, то за каждое такое место необходима дополнительная финансовая гарантия в размере 500 тыс. руб., но не более 300 млн руб. в совокупности.

Срок аккредитации удостоверяющих центров сокращается с пяти до трех лет. За нарушения в работе удостоверяющих центров технического характера вводится административная ответственность.

За заведомо умышленные действия сотрудников удостоверяющих центров помимо административной, вводится еще и уголовная ответственность.

Также вводятся требования к деловой репутации руководителей удостоверяющих центров и лиц, владеющих в них не менее чем 10% капитала. Если аккредитация удостоверяющего центра была отозвана, то центр сможет обратиться за новой аккредитацией не ранее чем через три года. Кроме того, аккредитованные удостоверяющие центры должны владеть лицензиями на разработку шифровальных средств и обладать правами собственности на аппаратные средства электронной подписи.

Другое важное требование состоит в использовании юридическими лицами электронных подписей, причем здесь подходы обоих документов расходятся. Законопроект Кравченко, Глебовой и Пономарева предполагает обязать использовать только квалифицированные электронные подписи, выданные удостоверяющим центром Федеральной налоговой службы (ФНС).

В случаях с кредитными организациями, некредитными финансовыми организациями и платежными системами будут применять квалифицированные электронные подписи, выданные удостоверяющими центрами Центробанка. В случаях с органами государственной власти и местного самоуправления, а также их должностными лицами будут применяться квалифицированные электронные подписи, выданные удостоверяющими центрами Федерального казначейства.

Законопроект Боковой более либерален. Он позволит юридическим лицами продолжить использовать квалифицированные электронные подписи от любых аккредитованных удостоверяющих центров. ФНС сможет отзывать сертификаты электронных подписей юридических лиц и индивидуальных предпринимателей.

Аналогичным образом, Центробанк сможет отзывать сертификаты электронных подписей кредитных организаций, некредитных финансовых организаций и платежных систем. Как и в другом законопроекте, законопроект Боковой также требует от органов госвласти и их должностных лиц получать квалифицированные электронные подписи только в удостоверяющем центре Федерального казначейства.

В случае принятия обоих законопроектов они вступят в силу в течение 120 дней с момента их подписания. Сертификаты квалифицированных электронных подписей и аккредитации удостоверяющих центров, выданные до опубликования данного закона, будут действительны до конца срока их действия, но не более двух лет.

Норма законопроекта Кравченко, Глебовой и Пономарева об использовании юридическими лицами квалифицированных электронных подписей, выданных удостоверяющим центром ФНС и Центробанком, вступит в силу через два года после опубликования соответствующих законов. Норма законопроекта Боковой о возможности ФНС и Центробанка отзывать сертификаты квалифицированных электронных подписей также вступит в силу через два года после опубликования закона.

В то же время есть и некоторые послабления. Удостоверяющие центры смогут привлекать третьих лиц для приема заявлений на выдачу сертификатов электронных подписей и вручению данных сертификатов.

Кроме того, удостоверяющие центры смогут хранить ключи проверки электронных подписей, и по поручению их владельцев, создавать с их помощью электронные подписи. Как пояснил Орешкин, речь идет о возможности использования облачной электронной подписи.

Законопроект вводит понятие доверенной третей стороны. Она будет проверять подлинность электронной подписи в электронных документах в конкретный момент и проверять подлинность электронных подписей, выданных за рубежом. Доверенные третьи лица должны будут проходить аккредитацию в Минкомсвязи. Ожидается, что в России появится около 20 таких лиц.

В связи с этим вводится еще одно понятие – метка доверенного времени. Это достоверная информация в электронной форме о дате и времени подписания электронного документа электронной подписью, создаваемая и проверяемая доверенной третьей стороной, удостоверяющим центров либо операторов информационной системы.

Удостоверяющие центры должны будут выдавать сертификаты электронных подписей по цене, не превышающей установленное Правительством значение. Лицам, получившим сертификаты, безвозмездно должна быть предоставлена возможность зарегистрироваться в Единой системе идентификации и аутентификации. Кроме того, физическим лицам должны быть безвозмездно предоставлены технические средства для шифрованиябиометрических подписей.

Авторы законопроектов утверждают, что предложенные ими документы решат еще одну проблему. На июль 2019 года госведомства требуют наличия в сертификатах квалифицированных электронных подписей наличия тех или иных полномочий, закрепляемых за пользователем в рамках конкретной информационной системы. В результате сертификаты, выданные аккредитованными удостоверяющими центрами, не могут быть использованы в некоторых информационных системах, и удостоверяющие центры вынуждены предлагать квалифицированные электронные подписи для работы в конкретных информационных системах.[1]

Как подписать документ ЭЦП?

Главный вопрос у тех, кому требуется впервые воспользоваться электронно-цифровой подписью, состоит в том, как происходит подписывание документа. С бумагами все просто – расписался и отдал, а как это сделать на компьютере? Такой процесс невозможен без использования специального ПО. Программа для ЭЦП называется криптопровайдером. Она устанавливается на компьютер, и уже в ее среде ведется различная деятельность с формулярами.

Существует довольно большое число криптопровайдеров, как коммерческих, так и бесплатных. Все они сертифицированы государственными органами, однако если требуется взаимодействие с “1С:Предприятие”, то выбор следует остановить на одном из двух продуктов: VipNet CSP или CryptoPro CSP. Первая программа бесплатная, а вторую нужно будет купить.

Удобное, по отзывам пользователей, приложение для формирования ЭЦП называется CyberSafe. Оно не только позволяет подписывать документы, но и работает в качестве удостоверяющего центра, то есть этой программой осуществляется проверка ЭЦП. Также пользователю доступна загрузка документов на сервер, таким образом, подписанный договор или сертификат будет доступен всем специалистам предприятия, имеющим доступ к программе, и не нужно будет высылать его каждому по электронной почте. С другой стороны, можно сделать и так, чтобы доступ получила только определенная группа людей.

ЭПЦ во внутреннем ЭДО

В случае с межкорпоративным оборотом плюсы и минусы понятны сразу, причем положительные стороны в явном большинстве. Из недостатков же можно отметить только затраты на ключ ЭЦП, организацию ПО (пусть это и разовая трата), а также сведение к минимуму личных встреч представителей компаний и руководителей, однако при надобности встречу можно и организовать.

А вот чем будет полезен электронный документооборот внутри предприятия? Как будут окупаться затраты на снабжение всех сотрудников ключами ЭЦП?

Использование цифровых документов экономит время: вместо того, чтобы сначала распечатывать необходимую бумагу, а потом искать ее среди кипы распечаток или вообще ходить в другой кабинет, если используется сетевой принтер, сотрудник может подписать и отправить все не вставая из-за стола. К тому же при переходе на ЭДО существенно снижаются затраты на бумагу, тонер и техническое обслуживание принтеров.

Цифровые документы могут являться и инструментом сохранения конфиденциальности. Электронную подпись невозможно подделать, а это значит, что даже если внутри компании у сотрудника или руководителя есть недоброжелатели, им не удастся совершить никакой подмены документов.

Часто нововведения продвигаются со скрипом, так что сотрудникам поначалу может быть трудно привыкнуть к новому формату подачи документов, однако как только они оценят удобство ЭЦП, то больше не захотят возвращаться к беготне с бумажками.

Психологический барьер

Электронно-цифровые подписи появились относительно недавно, поэтому многим трудно воспринимать их как реальный аналог привычных бумажных документов. На многих предприятиях возникает подобная проблема: сотрудники просто не считают договор подписанным, пока на бумаге не стоят реальные печать и подпись.

Они используют сканы с бумажных документов, легко теряют свой ключ ЭЦП. Преодолеть этот психологический барьер поможет… еще одна бумажка. Официально заверенное “мокрой” подписью положение об электронном документообороте даст сотрудникам понять, что это серьезная вещь, и относиться к цифровым документам следует так же, как к аналоговым.

Еще одна проблема может возникнуть в образовательной части. На многих предприятиях работают сотрудники в возрасте. Они являются ценными кадрами, опытны в своей сфере, имеют большой стаж, однако им бывает довольно трудно объяснить, как пользоваться электронно-цифровой подписью, ведь они буквально недавно занимались освоением электронной почты, а здесь все гораздо сложнее, да еще и есть множество нюансов.

Задачу по обучению можно передать IT-отделу или прибегнуть к помощи сторонних специалистов. Многие компании проводят компьютерные тренинги и курсы для своих сотрудников, где им объясняются основы по работе с электронной почтой и различными программами. Почему бы в этот список не включить и приложение для формирования ЭЦП?