Артефакты электронной подписи: токен, контейнер, ключи, сертификат, удостоверяющий центр, криптопровайдер, СЗИ, СКЗИ, АВЗ

Аннотация

УДК 004.056:347.4

Систематизированы технические артефакты электронной подписи, с которыми сталкивается оператор персональных данных: ключ электронной подписи и ключ проверки, контейнер, токен, сертификат, удостоверяющий центр, криптопровайдер, средства защиты информации, средства криптографической защиты и антивирусная защита. Показана связь объектов в едином контуре и их значение для учёта. Использована авторская аналогия с шариковой ручкой как язык перевода для неспециалиста.

Ключевые слова: электронная подпись, ключевой контейнер, токен, сертификат, удостоверяющий центр, криптопровайдер, СКЗИ, СЗИ, антивирусная защита, учёт средств, 63-ФЗ.

Abstract

Abstract. Technical artefacts of the electronic signature encountered by a personal data operator were systematised: signature key and verification key, container, token, certificate, certification authority, cryptographic provider, information protection means, cryptographic protection means and antivirus protection. The connection of these objects in a single contour and their relevance for accounting were shown. An author's ballpoint-pen analogy was used as a translation language for a non-specialist reader.

Keywords: electronic signature, key container, token, certificate, certification authority, cryptographic provider, cryptographic protection, information protection, antivirus protection, accounting of means, 63-FZ.

Введение

Кадровик, бухгалтер, юрист и специалист по информационной безопасности нередко слышат одни и те же слова: токен, контейнер, сертификат, криптопровайдер, СКЗИ. Их произносят вперемешку, а за каждым стоит отдельный объект со своим назначением. Без понимания, что есть что, трудно проверить сертификат, объяснить увольняющемуся сотруднику, почему нужно сдать носитель, и осмысленно вести учёт средств электронной подписи в организации, которая является оператором персональных данных.

Виды подписи по Федеральному закону от 6.04.2011 № 63-ФЗ «Об электронной подписи» и их применение в документах оператора разобраны отдельно – в материале о 63-ФЗ при обработке персональных данных. Здесь речь о другом: о тех «вещах», без которых подпись на рабочем месте просто не складывается.

Чтобы термины перестали быть стеной, удобно держать в голове образ обычной шариковой ручки. Вы берёте её в руку, потому что умеете писать именно так, как пишете вы: ваш почерк никому не передадите, но можете оставить след на бумаге. Почерк в этой картине близок к ключу электронной подписи – секрету, которым создают подпись. Сам секрет лежит не «в воздухе», а в стержне (ключевом контейнере), стержень сидит в корпусе (на токене или ином носителе), а на стержне видна именная гравировка – кому принадлежит инструмент и кто это подтвердил. Это и есть сертификат. Сколько ещё можно писать «по-настоящему», обычно смотрят по остатку пасты в стержне на просвет. Так же и со сроком сертификата: пока «чернил» хватает, подпись принимают, а когда остаток на нуле, стержнем ещё можно поцарапать бумагу, но официальному росчерку уже не верят. Аналогия упрощает устройство, зато даёт язык, на котором дальше можно спокойно назвать вещи их юридическими и техническими именами.

1. Ключи и контейнер

В Федеральном законе № 63-ФЗ различают ключ электронной подписи – уникальную последовательность символов, предназначенную для создания подписи, и ключ проверки электронной подписи – последовательность, однозначно связанную с первым ключом и предназначенную для проверки подлинности подписи. В обиходе их часто называют закрытым и открытым ключом. Закрытый держат в тайне: им формируют подпись. Открытый можно распространять: с его помощью убеждаются, что подпись согласована с владельцем закрытого. В образе ручки закрытый ключ близок к почерку, открытый – к образцу росчерка, который показывают для сравнения.

Ключевой контейнер – логическая единица хранения. Внутри обычно оказываются ключ электронной подписи и связанные с ним данные, в том числе сведения, нужные для работы с сертификатом. В образе ручки это стержень: в нём и то, чем пишут, и то, что удостоверяет право пользоваться именно этим инструментом. Состав контейнера и имена файлов у разных производителей различаются. Общий смысл один: контейнер объединяет секрет и удостоверяющие его данные.

Если ключ электронной подписи попал к постороннему, подпись, созданная этим ключом, перестаёт быть надёжной. Злоумышленник может подписывать документы от имени владельца. Поэтому ключ не передают, не копируют без нужды и хранят на защищённых носителях.

2. Токен

Токен – защищённый носитель, на котором размещают ключевой контейнер. В образе ручки это корпус: он держит стержень и не даёт обращаться с ним как с голой флешкой. На многих токенах операции с ключом выполняются внутри устройства, а доступ защищён PIN-кодом. Чтобы подписать документ, нужно и вставить носитель, и подтвердить право им пользоваться.

Формы разные: USB-устройства, смарт-карты. В разговорах ИБ и бухгалтерии часто звучат привычные названия вроде Рутокен или JaCarta – это примеры носителей, с которыми организации сталкиваются на практике, а не список «что купить». Для оператора важнее другое: токены, как и любые носители средств подписи, подлежат учёту. Фиксируют количество, серийные номера, кому выданы и на каких условиях хранятся. Это часть общего учёта средств электронной подписи.

3. Сертификат и удостоверяющий центр

Пара ключей сама по себе не отвечает на вопрос, кому принадлежит ключ проверки. Сертификат ключа проверки электронной подписи по 63-ФЗ – электронный документ или документ на бумажном носителе, выданный удостоверяющим центром либо его доверенным лицом и подтверждающий принадлежность ключа проверки владельцу сертификата. В образе ручки это именная гравировка на стержне: чьё имя, до какого срока, кто удостоверил соответствие.

Квалифицированный сертификат соответствует требованиям закона и создаётся аккредитованным удостоверяющим центром либо уполномоченным федеральным органом. Удостоверяющий центр создаёт и выдаёт сертификаты ключей проверки и выполняет иные функции, предусмотренные 63-ФЗ. В образе ручки это мастерская, которая после проверки личности выпускает именной стержень с гравировкой. Для квалифицированного контура нужны сертификаты аккредитованных удостоверяющих центров. На практике организации часто получают их в контурах Федеральной налоговой службы, Федерального казначейства, Банка России и у других аккредитованных центров. Актуальный перечень аккредитованных удостоверяющих центров публикуется уполномоченным органом и меняется со временем, поэтому опираться стоит на официальный реестр, а не на устаревший список из памятки.

Срок действия сертификата по смыслу ближе не к «пасте вообще», а к её остатку. Когда смотрят, на сколько ещё хватит ручки, обычно поднимают стержень на просвет и оценивают, сколько чернил осталось. Так же смотрят на дату окончания сертификата: пока остаток есть, подпись принимают. Если чернила кончились, стержнем ещё можно поцарапать бумагу или оставить бледный след – рука ваша, но такому росчерку уже не верят. Сертификат могут аннулировать и до истечения срока, в том числе при нарушении конфиденциальности ключа. Использование аннулированного сертификата не влечёт юридических последствий, связанных с доверием к подписи, за исключением последствий самого аннулирования.

Вспомните, сколько раз вы всматривались в росчерк на документе: настоящий ли он, не факсимиле ли, тот ли человек его оставил, чью подпись вы знаете как свою. Проверка электронной подписи работает похожим образом, только вместо сличения росчерка программа проверяет целостность документа и действительность сертификата.

4. Криптопровайдер и СКЗИ

Когда вы берётесь подписать документ, криптопровайдер собирает всё в одно действие: документ, ручку со стержнем, ваше решение оставить след. Он читает именную гравировку на стержне и смотрит, есть ли ещё остаток пасты – тот, без которого ничего подписать невозможно. Если чернила закончились, значит, истёк срок их действия: поставить подпись уже не получится. На бумаге ещё можно оставить бледный след или нацарапать линии стержнем – это по-прежнему будет ваша рука, но такой подписи никто не поверит.

По закону средства электронной подписи – шифровальные (криптографические) средства, используемые для создания и (или) проверки подписи, а также для создания ключей. На рабочем месте с ними чаще всего встречается криптопровайдер (CSP) – программа, через которую приложения и операционная система выполняют криптографические операции. В квалифицированном контуре в России опираются на отечественные стандарты, в том числе на ГОСТ Р 34.10-2012 (формирование и проверка подписи) и ГОСТ Р 34.11-2012 (хеш-функция). Связь видов подписи, СКЗИ и обязанностей оператора – в статье о 63-ФЗ при обработке персональных данных.

Если на мониторе бухгалтера или кадровика всплывает знакомое окно установки или настройки, очень часто это КриптоПро CSP, ViPNet CSP, Signal-COM CSP или другие программы. Все они дают компьютеру возможность создавать и проверять электронную подпись по установленным правилам.

СКЗИ – средства криптографической защиты информации. Это шире, чем одна программа на рабочем столе. В инструкции, утверждённой приказом ФАПСИ от 13.06.2001 № 152, к СКЗИ относят средства, реализующие криптографические алгоритмы для защиты информации при обработке, хранении и передаче, для защиты от несанкционированного доступа, для защиты от навязывания ложной информации, включая средства «электронной подписи», а также средства изготовления и распределения ключевых документов. Криптопровайдер, которым подписывают отчётность или кадровые файлы, как раз и есть привычный на рабочем месте пример такого средства. Отсюда и привычка вести поэкземплярный учёт СКЗИ, документации к ним и пользователей, допущенных к работе, – логика, хорошо знакомая по той же инструкции и по последующей практике учёта.

5. СЗИ и АВЗ

Когда оператор выстраивает защиту персональных данных, он смотрит не только на подпись. Нужен набор мер: кто имеет доступ, как защищены помещения и каналы, что стоит на компьютерах, чем шифруют и чем подписывают. В этом наборе СЗИ – общее имя средств защиты информации. Криптография (СКЗИ) занимает в нём своё место: она отвечает за преобразования, без которых нельзя обеспечить конфиденциальность, целостность и подлинность в цифровом виде.

Рядом в том же наборе обычно оказывается АВЗ – антивирусная защита. Её задача другая: вовремя заметить и остановить вредоносный код, который может украсть контейнер, подменить файл или парализовать рабочее место. Антивирус и криптопровайдер решают разные угрозы и дополняют друг друга в общей картине безопасности.

Ориентиры по составу мер при обработке ПДн в информационных системах дают, в частности, приказ ФСТЭК России от 18.02.2013 № 21, а при использовании СКЗИ – приказ ФСБ России от 10.07.2014 № 378 и уровни защищённости по постановлению Правительства РФ от 01.11.2012 № 1119. Подробный разбор уровней – в статье об уровнях защищённости ИСПДн, меры в целом – в материале о ст. 18.1 и 19 152-ФЗ.

6. Как это связано и что учитывать

Соберём цепочку целиком. Владелец обращается в удостоверяющий центр. После идентификации выдаётся сертификат ключа проверки. Ключ электронной подписи и связанные данные размещаются в контейнере на токене или ином носителе. На рабочем месте работает криптопровайдер, обеспечивающий создание и проверку подписи. При подписании появляется электронная подпись – «синий росчерк» на документе, в том числе в виде отдельного файла подписи. Проверяющая сторона убеждается в целостности документа и в действительности сертификата.

Сертификаты, носители, экземпляры СКЗИ, ответственные лица и сроки – предмет учёта. Учёт нужен не ради галочки, а чтобы в любой момент можно было показать, какие средства использовались, где они находятся и кто имеет к ним доступ. Практика журнала сертификатов и программа для сбора сведений из файлов – в материале об учёте средств ЭП и СКЗИ.

Когда документ подписывает не лицо, действующее без доверенности, а сотрудник по доверенности, к подписи добавляется вопрос полномочий. В электронном контуре для этого служит машиночитаемая доверенность. Её связь с электронной подписью будет разобрана в отдельной публикации. Пока достаточно помнить: сертификат отвечает на вопрос «кто подписал», доверенность – на вопрос «на каком основании он действует за организацию».

Заключение

Понимание артефактов снижает риск ситуации, когда в организации «установили КриптоПро и забыли». За каждым термином стоит объект: ключ, контейнер, сертификат, носитель, средство криптографической защиты. Они связаны и образуют контур, в котором каждый элемент выполняет свою функцию.

Осмысленный учёт средств электронной подписи и СКЗИ возможен только тогда, когда понятно, что именно учитывается. Сертификаты имеют срок и могут быть аннулированы. Носители выдают под ответственность. Криптопровайдеры устанавливают и обновляют. Всё это – предмет внимания оператора, а не только специалиста по информационной безопасности.

Конструктор документов «ГЕНЕРАТОР152ФЗ» позволяет подготовить локальные акты, в которых вопросы применения средств электронной подписи и криптографической защиты находят отражение, в том числе в комплекте с журналом учёта.

Список литературы

1. Федеральный закон от 6.04.2011 № 63-ФЗ «Об электронной подписи» (ред. от 31.07.2025) // Собрание законодательства РФ. — 2011. — № 15. — Ст. 2036.
2. ГОСТ Р 34.10-2012. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи (утв. приказом Росстандарта от 07.08.2012 № 215-ст).
3. ГОСТ Р 34.11-2012. Информационная технология. Криптографическая защита информации. Функция хеширования.
4. Приказ ФАПСИ от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (зарегистрирован в Минюсте РФ 06.08.2001 № 2848).
5. Приказ ФСБ России от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации».
6. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (ред. от 14.05.2020).
7. Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Собрание законодательства РФ. — 2012. — № 45. — Ст. 6257.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.