Что такое электронная подпись: бытовые аналогии и практические примеры

Аннотация

УДК 347.4:004.056

Разобрана электронная подпись через бытовые аналогии, доступные читателю без технической подготовки. Сопоставлены образы собственноручной подписи и печати, одноразового кода подтверждения, пары закрытого и открытого ключа, сертификата и удостоверяющего центра. Показано различие простой, усиленной неквалифицированной и усиленной квалифицированной электронной подписи и то, что за словом «подпись» стоят различимые средства и носители, подлежащие учёту. Приведены примеры из практики государственных услуг, личного кабинета налогоплательщика, сдачи отчётности и участия в закупках.

Ключевые слова: электронная подпись, простая электронная подпись, усиленная неквалифицированная подпись, усиленная квалифицированная подпись, ключ, сертификат, удостоверяющий центр, бытовые аналогии, 63-ФЗ.

Abstract

Abstract. The electronic signature was examined through everyday analogies accessible without a technical background. The images of a handwritten signature and seal, a one-time confirmation code, a private-and-public key pair, a certificate and a certification authority were compared. Distinctions among simple, enhanced unqualified and enhanced qualified electronic signatures were shown, as well as the fact that the word “signature” conceals distinguishable means and media that require accounting. Examples from public services, the taxpayer’s personal account, statutory reporting and public procurement were provided.

Keywords: electronic signature, simple electronic signature, enhanced unqualified signature, enhanced qualified signature, key, certificate, certification authority, everyday analogies, 63-FZ.

Введение

Разговор об электронной подписи часто начинается с малознакомых слов. Хеш, асимметрия, криптопровайдер, сертификат ключа проверки – каждое из них само по себе требует пояснения, а вместе они образуют стену, за которой теряется простая мысль: нужно понять, кто оставил след на документе и можно ли этому следу доверять. Кадровику, бухгалтеру, юристу и специалисту по информационной безопасности эта стена мешает по-разному, но итог один: либо разговор срывается в «поставьте КриптоПро и всё», либо в учёт попадают не те объекты.

Для практических задач достаточно интуиции, а не знания математики. Нужно уметь спросить у специалиста по информационной безопасности, где лежит ключ и какой сертификат к нему приложен, отличить одноразовый код на портале от подписи для сдачи отчётности и понимать, почему за словом «подпись» всегда стоят конкретные средства. Аналогия упрощает устройство и где-то расходится с техникой, зато даёт общий язык. Правовые режимы видов подписи по Федеральному закону от 06.04.2011 № 63-ФЗ «Об электронной подписи» и их применение в документах оператора персональных данных разобраны отдельно – в статье о 63-ФЗ при обработке персональных данных. Здесь – перевод на бытовой язык и несколько примеров из повседневной практики.

1. Подпись и печать

В бумажном мире подпись внизу листа делает две вещи сразу. Она говорит: «это сделал я» – и тем самым связывает документ с человеком. И она же, хотя бы на уровне привычки оборота, намекает, что человек видел текст и готов за него отвечать. Рядом с подписью руководителя нередко ставят печать организации. Печать не заменяет росчерк, но добавляет ещё один слой узнаваемости: документ выглядит исходящим от организации, а не от частного лица «на чистом листе».

Усиленная электронная подпись устроена иначе, но решает родственные задачи. Она позволяет установить, что подпись создана владельцем определённого ключа, и обнаружить, что документ после подписания изменили. Если в тексте или таблице поправили хотя бы один символ, проверка покажет несоответствие. Это ближе к мысли о прочной связке человека и содержимого, чем к декоративной печати на бланке.

Простая электронная подпись входит в ту же семью понятий, но с другим набором гарантий. Она помогает понять, что действие совершил конкретный участник взаимодействия – например, ввёл код или подтвердил вход, – однако сама по себе не обеспечивает той же уверенности в неизменности файла, какую даёт усиленная подпись. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» поэтому и устанавливает разные виды подписи: у каждой свой набор гарантий и своя сфера применения.

Внутри усиленной подписи закон проводит ещё одну границу. Усиленная неквалифицированная электронная подпись (УНЭП) создаётся с помощью средств электронной подписи и позволяет подтвердить автора и целостность документа. Сертификат ключа проверки для неё выдаёт не обязательно аккредитованный удостоверяющий центр, а требования к средствам мягче, чем в квалифицированном контуре. На практике УНЭП часто живёт внутри конкретного сервиса – например, в личном кабинете налогоплательщика, – где правила применения определяет сам оператор системы. Усиленная квалифицированная электронная подпись (УКЭП) опирается на квалифицированный сертификат аккредитованного удостоверяющего центра и на средства, соответствующие установленным требованиям. Именно с ней обычно связаны сдача отчётности, участие в закупках и иные процедуры, где закон или правила обмена прямо требуют квалифицированной подписи. Разница – не в «красоте» названия, а в том, кому система доверяет выпуск сертификата и насколько жёстко нормированы средства создания и проверки подписи.

2. СМС-код из банка

Самый привычный образ простой электронной подписи – подтверждение операции в банковском приложении или на сайте. Человек инициирует перевод или согласие с условиями, на указанный канал связи приходит одноразовый код, код вводят в форму, операция завершается. В этот момент у того, кто начал операцию, оказывается средство подтверждения, привязанное именно к этой операции. Код для одного перевода не подойдёт для другого: он живёт коротко и сгорает после использования. Речь не о том, что телефон «доказал личность навеки», а о кратковременном факторе подтверждения воли в конкретной системе.

Телефон здесь – канал доставки, а не доказательство того, что за экраном непременно «хозяин» аппарата в бытовом смысле. Если устройство оказалось в чужих руках, а доступ к приложению или к переписке уже скомпрометирован, код подтвердит действие того, кто им воспользовался. Простая подпись опирается на фактор подтверждения и на правила конкретной системы, а не на свойства гаджета как такового.

Рядом с техникой уместен гражданско-правовой принцип добросовестности. Участник отношения должен иметь право в нём участвовать и действовать от своего имени: подтверждать операцию как свою, а не прикрываться чужой учётной записью. Оказавшись у чужого средства подтверждения – чужой телефон с открытой сессией, чужой код из сообщения, – пользоваться им нельзя: это уже использование чужого фактора идентификации, что расходится с требованием добросовестности. Техническая уязвимость канала и оценка поведения лица идут рядом, но решают разные вопросы: система может принять код, а право оценивает, вправе ли человек был им распоряжаться.

С паролем картина иная. Пароль можно украсть и долго пользоваться им, пока владелец не сменит его и не заметит чужой вход. Одноразовый код крадут тоже, но окно для злоупотребления уже. Поэтому простую подпись охотно применяют там, где система готова принять такой уровень уверенности: вход на портал, подтверждение заявления, согласие с офертой. Там, где закон или правила информационного обмена требуют усиленной квалифицированной подписи – для отчётности, торгов, ряда юридически значимых документов, – нужны иные средства и иные гарантии: кто подтвердил действие, насколько трудно подделать этот факт и насколько жёстко система требует криптографической защиты содержимого.

3. Ключ и замок

Для усиленной подписи удобен образ пары «ключ и замок», если помнить, что речь идёт о проверке подлинности, а не о шифровании письма «в конверте». У владельца есть секрет – закрытый ключ. Им формируют подпись. Есть и открытый ключ: его можно раздать проверяющим. Если проверка открытым ключом прошла, подпись согласована с владельцем закрытого. Посторонний, не имея закрытого ключа, не создаст подпись, которая «сойдётся» с этим открытым ключом. Закрытый ключ хранят в тайне. Открытый, напротив, предназначен для распространения: через него убеждаются в подлинности.

Образ отвечает на вопрос «как устроена проверка», но оставляет открытым другой: где этот секрет живёт в реальной жизни организации. Закрытый ключ редко существует сам по себе. Его кладут в ключевой контейнер – логическую «упаковку», в которой секрет хранится вместе со связанными данными. Сам контейнер может лежать в файле на диске, а чаще – на защищённом носителе, который в обиходе называют токеном. Токен – это уже не сам ключ, а корпус, в котором ключ носят, защищают PIN-кодом и выдают сотруднику под ответственность. Пока эти понятия разведены, разговор об учёте становится предметным: понятно, что именно записывать в журнал – программу, файл, носитель или сертификат.

После интуиции «ключ и замок» полезно перейти к словарю артефактов: контейнер, токен, сертификат, криптопровайдер. Подробный разбор этих объектов и их связь с учётом – в материале об артефактах электронной подписи. Здесь достаточно запомнить простую связку: закрытый ключ – секрет, контейнер – где секрет упакован, токен – на чём эту упаковку носят и выдают людям.

4. Сертификат и удостоверяющий центр

Пара ключей сама по себе не отвечает на главный организационный вопрос: кому принадлежит открытый ключ, которым вы проверяете подпись. Если вам прислали открытый ключ «от Иванова», откуда знать, что это не ключ мошенника? Нужна третья сторона, которой система доверяет в вопросе связи ключа и личности. В законодательстве об электронной подписи эту роль выполняет удостоверяющий центр.

Удостоверяющий центр после установленных процедур выдаёт сертификат ключа проверки электронной подписи – документ, который связывает открытый ключ с конкретным владельцем и фиксирует срок, в течение которого этой связи принято доверять. По смыслу сертификат ближе к именному паспорту к ключу, чем к «подписи нотариуса на сделке»: кто владелец, какой ключ проверки, до какой даты, кто это подтвердил. Для квалифицированного контура закон требует сертификатов аккредитованных удостоверяющих центров. Актуальный перечень таких центров публикует уполномоченный орган; со временем он меняется, поэтому опираться стоит на официальный реестр.

Срок в сертификате – отдельная практическая ось. Пока срок действует, подпись в рамках правил системы принимают. Когда срок истёк или сертификат аннулирован, криптографический след ещё можно попытаться оставить, но доверия к нему уже не будет. В быту это близко к мысли об остатке чернил в стержне: пока чернил хватает, росчерк читают как настоящий, а пустой стержень лишь царапает бумагу. Отсюда и привычка смотреть не только на факт «у нас есть ЭП», но и на дату окончания сертификата, на носитель и на то, кому он выдан.

5. Примеры из практики

На портале государственных услуг большинство повседневных действий гражданина укладывается в контур простой электронной подписи. Человек входит в учётную запись, подтверждает заявление или согласие одноразовым кодом либо иным фактором, который система признаёт достаточным для данного действия. Юридическая сила такого подтверждения следует из совокупности правил самого портала и законодательства о предоставлении государственных и муниципальных услуг: закон допускает электронную форму обращения и определяет, при каких условиях оно считается поданным, а оператор портала закрепляет конкретный способ идентификации и подтверждения воли. В этих пределах действие на портале приобретает правовое значение. Там, где для процедуры прямо установлена усиленная квалифицированная подпись, одной учётной записи и кода уже недостаточно: меняются и правовой режим, и состав средств.

Личный кабинет налогоплательщика на сайте Федеральной налоговой службы даёт иной опыт. Для подписания обращений и деклараций гражданину нередко предлагают усиленную неквалифицированную подпись, связанную с сервисами налогового органа. На практике это означает, что человек может подписывать документы в контуре, который выстроила сама ФНС, без отдельного коммерческого токена «с улицы». Точный вид подписи в конкретном сервисе и условия его применения нужно сверять с актуальной документацией службы: интерфейсы меняются, а надпись «ЭП» на кнопке сама по себе ещё не раскрывает, идёт ли речь о простой, неквалифицированной или квалифицированной подписи.

Сдача отчётности в контролирующие органы и участие в закупках обычно требуют усиленной квалифицированной подписи. Здесь на рабочем месте кадровика и бухгалтера появляются программа-криптопровайдер, контейнер с ключом, токен и сертификат с датой окончания. Требования к средствам выше, поскольку выше правовые последствия подписанного документа. Если документ подписывает не руководитель, действующий без доверенности, а сотрудник, к факту подписи добавляется вопрос полномочий. В электронном обмене для этого служит машиночитаемая доверенность: подпись отвечает на вопрос, кто оставил электронный след, а доверенность – на каком основании этот человек действует за организацию.

Для организации, являющейся оператором персональных данных, из этих примеров следует практический вывод. Учёт средств электронной подписи строится не по абстрактному слову «ЭП», а по видам подписи и по конкретным объектам: какой вид применяется в какой процедуре, какой сертификат и носитель к нему привязаны, какой экземпляр средства криптографической защиты установлен, кому он выдан и до какой даты действует. Практика такого журнала и инструмент для сбора сведений из файлов сертификатов описаны в материале об учёте средств ЭП и СКЗИ.

Заключение

Бытовые аналогии дают язык, на котором можно говорить о разном; закон и настройка программ остаются отдельными задачами. Простая подпись ближе к одноразовому подтверждению действия. Усиленная – к связке закрытого и открытого ключа и к проверке целостности документа; внутри неё закон различает неквалифицированный и квалифицированный режимы. Сертификат и удостоверяющий центр отвечают на вопрос, кому принадлежит ключ проверки. Контейнер и токен показывают, где секрет лежит и как его выдают людям.

Когда этот язык освоен, разговор со специалистом по информационной безопасности перестаёт быть пересказом малопонятных аббревиатур. Становится ясно, чем простая подпись отличается от усиленной неквалифицированной и от усиленной квалифицированной, что учитывать, что продлевать, что забирать при увольнении и почему формула «поставим КриптоПро» ещё не отвечает на вопрос о документационном контуре. Конструктор документов «ГЕНЕРАТОР152ФЗ» помогает оформить локальные акты, в которых эти вопросы находят место. Понимание сути при этом остаётся первичным: без него документы быстро превращаются в декорацию.

Список литературы

1. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (ред. от 31 июля 2025 г.) // Собрание законодательства РФ. — 2011. — № 15. — Ст. 2036.
2. Федеральный закон от 27 июля 2010 г. № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» // Собрание законодательства РФ. — 2010. — № 31. — Ст. 4179.
3. Гражданский кодекс Российской Федерации (часть первая) от 30 ноября 1994 г. № 51-ФЗ // Собрание законодательства РФ. — 1994. — № 32. — Ст. 3301.
4. Diffie W., Hellman M. E. New Directions in Cryptography // IEEE Transactions on Information Theory. — 1976. — Vol. IT-22, No. 6. — P. 644–654.
5. Rivest R. L., Shamir A., Adleman L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems // Communications of the ACM. — 1978. — Vol. 21, No. 2. — P. 120–126.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.