История электронной подписи: от идеи Диффи—Хеллмана до 63-ФЗ

Аннотация

УДК 347.4:004.056

Прослежена эволюция идеи цифровой подписи от работы У. Диффи и М. Хеллмана 1976 года и схемы RSA до национальных стандартов и российского правового регулирования. Показан переход от узкого режима электронной цифровой подписи по Федеральному закону от 10.01.2002 № 1-ФЗ к трём видам электронной подписи по Федеральному закону от 06.04.2011 № 63-ФЗ. Смена терминологии при этом отражает смену парадигмы регулирования. Для юриста и оператора персональных данных история объясняет происхождение разнородных средств подписи и потребность различать и учитывать их в документационном контуре.

Ключевые слова: электронная подпись, электронная цифровая подпись, Диффи—Хеллман, RSA, 1-ФЗ, 63-ФЗ, ГОСТ Р 34.10-94, история регулирования.

Abstract

Abstract. The evolution of the digital signature idea was traced from the 1976 work of W. Diffie and M. Hellman and the RSA scheme to national standards and Russian legal regulation. The shift from the narrow electronic digital signature regime under Federal Law No. 1-FZ of 10 January 2002 to the three types of electronic signature under Federal Law No. 63-FZ of 6 April 2011 was shown. It was argued that the change of terminology reflects a paradigm shift in regulation. For lawyers and personal data operators, the history explains the origin of heterogeneous signature means and the need to distinguish and account for them in the documentary framework.

Keywords: electronic signature, electronic digital signature, Diffie–Hellman, RSA, 1-FZ, 63-FZ, GOST R 34.10-94, history of regulation.

Введение

Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» для практикующего юриста и специалиста по защите персональных данных нередко выглядит готовым каталогом требований: виды подписи, квалифицированный сертификат, аккредитованный удостоверяющий центр, средства создания и проверки. Исторический контекст показывает, почему закон говорит о трёх видах подписи, почему в обиходе до сих пор звучит «ЭЦП» и откуда у государства возник интерес к оценке соответствия средств криптографической защиты. Нормы 63-ФЗ выросли из длинной линии криптографических идей, стандартов и более раннего российского закона, который оказался слишком узким для многообразия практики.

Контекст применения сегодня очевиден без общих слов о «цифровой эпохе». Организации подписывают отчётность, участвуют в закупках, ведут кадровый и договорный документооборот в электронном виде, подтверждают действия на порталах и в личных кабинетах. В одном и том же учреждении могут соседствовать одноразовый код подтверждения, усиленная неквалифицированная подпись сервиса налогового органа и квалифицированная подпись на токене для сдачи отчётности. Юристу нужно понимать, какой правовой режим стоит за каждым из этих следов. Оператору персональных данных – какие средства и носители при этом задействованы и почему в учёте и локальных актах их следует различать по видам и объектам.

Ниже прослеживается превращение криптографической идеи цифровой подписи в российский правовой институт и смысл перехода от регулирования электронной цифровой подписи к регулированию электронной подписи. Математика нужна лишь настолько, насколько объясняет появление правовой конструкции; нормативные акты — настолько, насколько фиксируют смену парадигмы доверия к электронному документу.

1. Рождение идеи (1976–1978)

В 1976 году Уитфилд Диффи и Мартин Хеллман опубликовали статью «New Directions in Cryptography» в журнале IEEE Transactions on Information Theory. Работа известна прежде всего предложением открытого распределения ключей, но для юридической истории электронной подписи важнее другая линия: авторы сформулировали понятие цифровой подписи как способа подтвердить авторство сообщения в открытой системе, где стороны заранее не делят общий секрет. Подпись должна была позволить получателю и третьей стороне убедиться, что сообщение исходит от заявленного отправителя и не было изменено по пути. Это уже доказательство связи лица и содержимого – задача, близкая собственноручной подписи на бумаге, но поставленная для сети.

Практическую схему на асимметричной криптографии предложили Рональд Ривест, Ади Шамир и Леонард Адлеман. Их работа 1977 года и публикация 1978 года в Communications of the ACM описали систему, позднее известную как RSA (Rivest–Shamir–Adleman; в русскоязычной практике – алгоритм или схема RSA). Смысл для права прост. Закрытый ключ остаётся у владельца и используется для создания подписи. Открытый ключ можно распространять: им проверяют, согласована ли подпись с этим владельцем. Посторонний, не имея закрытого ключа, не создаст подпись, которая пройдёт проверку данным открытым ключом. Развёрнутые бытовые образы пары «ключ и замок», сертификата и удостоверяющего центра даны в материале с бытовыми аналогиями электронной подписи. Юридически значимый результат 1970-х состоит в том, что появилась воспроизводимая конструкция, в которой авторство и целостность сообщения можно проверять без передачи секрета проверяющему.

Именно эта конструкция сделала возможным последующий разговор о правовой силе электронного документа. Подпись на общем пароле или на доверии администратору закрытой системы оставляла третьей стороне мало способов независимо убедиться в подлинности. Асимметрия открыла путь к проверке вне контура отправителя. Отсюда – интерес стандартизаторов и законодателей: если алгоритм и форматы зафиксированы, подпись можно сопоставлять в разных организациях и государствах, а не только внутри одной программы.

2. Развитие схем и стандартов (1980-е – начало 1990-х)

После RSA криптография цифровой подписи не остановилась на одной схеме. В 1984 году Тахер Эль-Гамаль предложил схему подписи, опирающуюся на задачу дискретного логарифмирования. Она расширила семейство практически применимых конструкций и повлияла на последующие стандарты. В начале 1990-х в США оформился алгоритм DSA (Digital Signature Algorithm) как национальный стандарт цифровой подписи. Для истории права достаточно самого факта стандартизации: государство и рынок закрепляют воспроизводимый способ создания и проверки подписи, который можно встроить в протоколы, программные средства и, позднее, в юридические требования к средствам.

Стандарты делают подпись проверяемой третьей стороной в организационном смысле. Если две организации используют согласованный алгоритм и формат, проверка перестаёт зависеть от того, «чья это программа» в бытовом понимании. Асимметричная модель при этом отличается от общего пароля: пароль делят и скрывают, открытый ключ, напротив, предназначен для распространения. Путаница этих моделей до сих пор встречается в локальных актах, где «электронную подпись» описывают как «логин и пароль плюс КриптоПро» без различения видов и средств.

К началу 1990-х идея цифровой подписи вошла в язык инженеров, банковских систем и органов стандартизации. Оставался вопрос, который решает уже не математика: кто связывает открытый ключ с конкретной личностью или организацией, на какой срок этой связи доверяют и какие средства допускаются для создания юридически значимой подписи. Ответы на эти вопросы разные юрисдикции дали в разное время. Российский путь сочетал раннее появление отечественного стандарта на процессы формирования и проверки подписи с относительно поздним специальным законом и последующей сменой законодательной модели.

3. Российский путь: от ЭЦП к ЭП

В 1990-е годы в России электронный документооборот и платёжные практики развивались быстрее, чем специальное законодательство о подписи. В деловом и банковском обороте появлялись системы подтверждения операций и защищённого обмена сообщениями. Среди них в публичном пространстве обсуждалась, в частности, платёжная практика «Блиц» и связанные с ней споры о границах допустимого применения криптографии – сюжет, отражённый в прессе того периода, в том числе в материалах «Коммерсанта». Важен фон: рынок уже искал способы подтверждать электронные действия, а единой правовой рамки для разных уровней доверия ещё не было.

Параллельно формировалась отечественная стандартизация. ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» был принят 23.05.1994 и введён в действие с 01.01.1995. Стандарт закреплял процессы формирования и проверки подписи в логике отечественных криптографических решений. Тем самым был закреплён технический язык, на который позднее опиралась практика средств и сертификации, тогда как правовую силу подписи определяли уже иные акты. Развитие российских стандартов и их связь с квалифицированным контуром рассмотрены в материале о российской криптографии, ГОСТ и регулировании электронной подписи.

Федеральный закон от 10.01.2002 № 1-ФЗ «Об электронной цифровой подписи» впервые на уровне федерального закона закрепил институт электронной цифровой подписи. Режим оказался узким. Закон оперировал понятием ЭЦП и фактически выстраивал жёсткий контур: квалифицированные ожидания к средствам и сертификатам стягивались к одной модели «настоящей» цифровой подписи. Для ряда задач этого было достаточно. Для многообразия практики – от простого подтверждения действия на портале до усиленной подписи без квалифицированного сертификата – рамка оказалась тесной. Закон впоследствии утратил силу, но след термина «ЭЦП» в обиходе сохранился и до сих пор мешает различать виды подписи по действующему праву.

Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» сменил не только название. Он ввёл три вида электронной подписи – простую, усиленную неквалифицированную и усиленную квалифицированную – и тем самым закрепил парадигму «вид подписи под задачу». Электронная цифровая подпись как единственный правовой центр тяжести уступила место более широкому институту электронной подписи. Простая подпись решает иные задачи, чем квалифицированная: перенос гарантий одного режима на другой в локальном акте или в разговоре со специалистом по информационной безопасности приводит к размытым обязанностям и ложным ожиданиям.

Для оператора персональных данных значение сдвига особенно заметно. В одном документообороте могут сосуществовать код подтверждения, подпись сервиса государственного органа и квалифицированная подпись на сертифицированном средстве. Виды подписи и их применение в контуре обработки персональных данных разобраны в статье о 63-ФЗ при обработке персональных данных. Зарубежные модели доверия к электронной подписи, в том числе логика eIDAS, сопоставляются с российской рамкой в материале о eIDAS и сравнительном регулировании. Здесь важно иное: 63-ФЗ сделал разнообразие легальным и ожидаемым, а вместе с разнообразием видов появилось разнообразие средств.

4. Почему это важно сегодня

Гибкость 63-ФЗ удобна бизнесу и государству, но предъявляет цену ясности. Если закон допускает разные виды подписи, организация обязана понимать, чем именно она подписывает конкретный документ и какие объекты при этом возникают: ключ, контейнер, носитель, сертификат, экземпляр средства криптографической защиты. Без этого понимания учёт превращается в перечень «флешек» или в одну строку про «ЭЦП директора». Словарь артефактов – контейнер, токен, сертификат, криптопровайдер – дан в материале об артефактах электронной подписи.

История объясняет и другую практическую привычку – говорить об учёте средств. Когда подпись мыслилась в основном как один жёсткий контур ЭЦП, соблазн сводить всё к «установили программу» был сильнее. Когда рядом живут код, программный контейнер и сертифицированное СКЗИ, становится ясно, что учитывать нужно различимые объекты и ответственных лиц. Разнородность средств логически требует различать их в документах и контрольных процедурах; пошаговая инструкция по журналу здесь не разбирается. Практика учёта средств ЭП и СКЗИ описана в материале об учёте средств электронной подписи и СКЗИ.

Для юриста история даёт язык квалификации двух крайностей. Одна сводит «электронную подпись» к квалифицированной ЭЦП образца закона 2002 года; другая приравнивает любое экранное подтверждение к усиленной квалифицированной подписи. Федеральный закон № 63-ФЗ различает виды именно потому, что задачи и гарантии у них разные. Понимание происхождения этой конструкции снижает риск формальных локальных актов, в которых термины перепутаны, а обязанности размыты.

Заключение

Идея цифровой подписи как подтверждения авторства в открытой сети была сформулирована в работе Диффи и Хеллмана 1976 года и получила практическую схему в линии RSA (работа 1977 года, публикация 1978 года). Схемы Эль-Гамаля и стандарты вроде DSA сделали подпись воспроизводимой и проверяемой третьей стороной, подготовив почву для правового признания. В России технический язык был рано закреплён ГОСТ Р 34.10-94, а узкий правовой режим ЭЦП – Федеральным законом от 10.01.2002 № 1-ФЗ, позднее утратившим силу.

Федеральный закон от 06.04.2011 № 63-ФЗ сменил парадигму: вместо одного жёсткого контура ЭЦП закон закрепил три вида электронной подписи под разные задачи. Обиходное «ЭЦП» часто маскирует смешение простой и квалифицированной подписи, поэтому в документах и в разговоре со специалистом по информационной безопасности полезно опираться на терминологию действующего закона. История объясняет, почему формула «просто поставить ЭЦП» устарела: сегодня нужно различать виды подписи и средства, а при необходимости – учитывать их в документационном контуре организации.

Таким образом, электронная подпись в российском праве – результат длинного пути от криптографической идеи к гибкому институту видов подписи. Для юриста и оператора эта история – инструмент квалификации: она показывает, откуда взялись требования 63-ФЗ и почему учёт разнородных средств логически следует из самой модели закона.

Конструктор документов «ГЕНЕРАТОР152ФЗ» помогает оформить локальные акты, в которых применение электронной подписи и связанных средств находит место в общей системе документации оператора. Историческое понимание при этом остаётся первичным: без него документы легко воспроизводят устаревшую рамку «одной ЭЦП на все случаи».

Список литературы

1. Diffie W., Hellman M. E. New Directions in Cryptography // IEEE Transactions on Information Theory. — 1976. — Vol. IT-22, No. 6. — P. 644–654.
2. Rivest R. L., Shamir A., Adleman L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems // Communications of the ACM. — 1978. — Vol. 21, No. 2. — P. 120–126.
3. ГОСТ Р 34.10-94. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи (принят постановлением Госстандарта России от 23.05.1994 № 154, введён в действие 01.01.1995).
4. Федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи» (утратил силу) // Собрание законодательства РФ. — 2002. — № 2. — Ст. 127.
5. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (ред. от 31 июля 2025 г.) // Собрание законодательства РФ. — 2011. — № 15. — Ст. 2036.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.