Электронная подпись гражданина: виды, использование и компрометация ключа
Электронная подпись — не один универсальный инструмент. Закон различает простую, усиленную неквалифицированную и усиленную квалифицированную подписи; юридический эффект зависит от вида подписи, закона, информационной системы и соглашения сторон. При утрате носителя, раскрытии PIN-кода, неожиданном сертификате или подозрении на чужое подписание нужно быстро прекратить действие скомпрометированного сертификата и сохранить следы события.
Какие виды подписи существуют
Федеральный закон № 63-ФЗ выделяет простую электронную подпись, усиленную неквалифицированную и усиленную квалифицированную. Простая подпись подтверждает формирование подписи определённым лицом с помощью кодов, паролей или иных средств, если применимый порядок это допускает. Усиленные подписи основаны на криптографическом преобразовании и позволяют проверять связь с подписантом и изменения документа. Квалифицированная подпись использует квалифицированный сертификат и средства, соответствующие установленным требованиям. Нельзя переносить правила одного вида подписи на другой: пароль от личного кабинета, подпись в банковском приложении и УКЭП могут иметь разный режим.
Когда электронный документ равен бумажному
Юридическая сила определяется не внешним видом файла, а выполнением условий закона. Для квалифицированной подписи действует специальное правило о равнозначности собственноручной подписи в предусмотренных законом случаях. Для простой и неквалифицированной подписи значение часто зависит от закона, подзаконного акта или соглашения участников, где должны быть определены правила идентификации и конфиденциальности ключа. Поэтому при споре ищите не только файл подписи, но и основание, по которому именно этот способ считался согласованным.
Что такое ключ и сертификат
Закрытый ключ используется для создания подписи и должен оставаться под контролем владельца. Ключ проверки подписи предназначен для проверки, а сертификат связывает ключ проверки с конкретным владельцем и содержит сведения о сроке действия и удостоверяющем центре. Передача токена и PIN-кода другому человеку разрушает фактический контроль над подписью и создаёт высокий риск. Для работы сотрудника от имени организации должны использоваться предусмотренные законом полномочия и, когда требуется, машиночитаемая доверенность, а не «общая флешка» руководителя.
Как проверить выпущенные сертификаты
ФНС указывает, что сведения о выпущенных на имя гражданина квалифицированных сертификатах можно проверить в личном кабинете Госуслуг в разделе безопасности, связанном с электронной подписью. Сопоставьте удостоверяющий центр, серийный номер и срок действия с теми сертификатами, которые получали сами. Неожиданный сертификат — повод немедленно связаться с выдавшим удостоверяющим центром по официальным контактам и выяснить основание выпуска. Не переходите по ссылкам из подозрительных писем о «срочном перевыпуске».
Что считать компрометацией
Компрометация — практический риск того, что закрытый ключ или данные для его использования стали доступны постороннему лицу. Это может быть потеря или кража носителя, разглашение PIN-кода, копирование экспортируемого ключа, заражение компьютера, неожиданные операции с подписью или выпуск сертификата без вашего ведома. Не нужно ждать доказанного мошенничества: при обоснованном подозрении задача владельца — остановить дальнейшее использование, уведомив удостоверяющий центр и прекратив действие сертификата.
Порядок действий при утрате или подозрении
Отключите носитель от компьютера, зафиксируйте обстоятельства и время обнаружения, свяжитесь с удостоверяющим центром и подайте заявление о прекращении действия сертификата по его процедуре. Если подпись использовалась в конкретных системах, уведомите операторов и контрагентов, где это необходимо. Проверьте историю значимых действий: регистрационные сведения, поданные заявления, договоры, отчётность. При признаках преступления подайте заявление в полицию и сохраните документы удостоверяющего центра, журналы операций, письма и уведомления. Не удаляйте следы с устройства до фиксации, если они могут понадобиться для разбирательства.
Как оспаривать документ, подписанный не вами
Сам сертификат на ваше имя ещё не доказывает, что конкретное действие совершили лично вы, но и простого заявления «я не подписывал» может быть недостаточно. В споре исследуют способ создания подписи, действительность сертификата, контроль над ключом, журналы информационной системы, время и IP-данные, порядок идентификации, содержание соглашения и иные обстоятельства. Тактика зависит от последствий: регистрационное действие, договор, налоговый документ или судебное заявление требуют разных процедур отмены или оспаривания.
Как снизить риск
Используйте защищённый носитель, смените заводской PIN, не храните PIN рядом с токеном, не передавайте ключ третьим лицам и не оставляйте его подключённым без присмотра. Регулярно проверяйте сведения о сертификатах. Обновляйте используемые средства защиты и не устанавливайте неизвестное ПО на компьютер, с которого подписываются документы. Перед подтверждением подписи проверяйте содержание документа и адрес системы: криптографическая стойкость не защищает от того, что пользователь сам подписал подменённый файл.
Частые вопросы
Что делать, если потерял токен с УКЭП?
Незамедлительно обратитесь в удостоверяющий центр, который выдал сертификат, для прекращения его действия. До завершения процедуры считайте ключ потенциально скомпрометированным и проверьте значимые операции.
Можно ли передать свою УКЭП бухгалтеру?
Передавать личный закрытый ключ и PIN другому лицу небезопасно. Для представителей предусмотрены собственные подписи и механизмы подтверждения полномочий, включая машиночитаемую доверенность в применимых случаях.
Где проверить, не выпущена ли подпись без моего ведома?
ФНС рекомендует проверять сведения о квалифицированных сертификатах в личном кабинете Госуслуг в разделе настроек и безопасности, связанном с электронной подписью.