Существует три вида электронной подписи.
Простая ЭП. Это СМС-код, который вам присылает банк для подтверждения операции, «логин-пароль» в личном кабинете. Такая подпись подтверждает авторство, но не придает документу юридическую
значимость и не гарантирует, что его не изменили после подписания. Ее применяют на сайте госуслуг, при банковских транзакциях, авторизации на сайтах.
Усиленная квалифицированная ЭП. Это наиболее многофункциональная подпись. Она создается с помощью криптографических алгоритмов. Такую подпись может выдать только удостоверяющий центр,
аккредитованный Минкомсвязи РФ. Подпись подтверждает автора документа, автоматически придает
подписанному документу юридическую силу и гарантирует, что документ не изменяли после подписания.
КЭП используют, чтобы сдавать отчетность, участвовать в электронных торгах, вести электронный документооборот, работать с государственными информационными системами и госорганами, например,
Росреестром, ФТС, Налоговой, а также порталами ЕФРСФДЮЛ, ФГИС Росаккредитация и т. д.
Усиленная неквалифицированная ЭП. Эта подпись также создается с помощью программ криптошифрования, выдается в УЦ. Но, в отличие от КЭП, выдать подпись может УЦ без аккредитации Минкомсвязи.
Еще одно отличие неквалифицированной электронной подписи (НЭП) от КЭП: чтобы НЭП придавала документу юридическую силу и ее можно было использовать для документооборота внутри компании или с
внешними контрагентами, владельцы подписи должны заключить соглашение, которое наделит НЭП юридической силой.
Поэтому НЭП не подходит для взаимодействия с большинством госорганов — например, Росреестр, не заключает дополнительные соглашения с каждым заявителем. Однако НЭП использует ФНС для работы с
физлицами. Каждый пользователь сайта nalog.ru может получить НЭП. Но документы с такой подписью имеют юридическую силу только при взаимодействии с ФНС.
Как устроена квалифицированная подпись и почему ее нельзя подделать
Расскажем, как устроена КЭП — наиболее используемая бизнесом и многофункциональная подпись. Благодаря криптографическим алгоритмам вероятность подделки такой подписи стремится к нулю. На то, чтобы
ее взломать, понадобится столько времени, что срок действия ЭП успеет закончиться.
Для создания электронной подписи используется закрытый ключ ЭП, а для ее проверки — открытый ключ и сертификат ЭП. Закрытый и открытый ключи вы генерируете одновременно, когда получаете ЭП в
удостоверяющем центре. После того, как УЦ подтвердил вашу личность и то, что вы владеете закрытым ключом, он включает в сертификат открытый ключ.
Закрытый ключ известен только вам — он хранится на токене (похож на usb-флешку и защищен пин-кодом) или в вашем компьютере. Его нужно держать в тайне. С помощью закрытого ключа вы
подписываете (шифруете) электронные документы.
Открытый ключ и сертификат доступны всем, кому вы отправите подписанный электронный документ. Они позволяют расшифровать ЭП в подписанном документе: проверить, что документ никто не изменял
после подписания и он действительно подписан вами.
При этом благодаря асимметричному шифрованию нельзя подобрать закрытый ключ, зная открытый. Поэтому подписанный документ никто не сможет изменить или подделать.
За тем, чтобы КЭП было невозможно подделать существующими технологиями, следят контролирующие органы. Они обновляют алгоритмы, которые отвечают за сложность взлома ЭП.
До 2019 года КЭП в удостоверяющих центрах формировались на алгоритмах ГОСТ 2001. Это все еще надежный ГОСТ, способов взломать его нет, но технологии развиваются настолько быстро, что через десяток
лет старый ГОСТ можно будет взломать.
Поэтому с 1 января 2019, в соответствии с выпиской из документа ФСБ России и уведомлением Минкомсвязи, УЦ выпускают сертификаты на алгоритмах нового стандарта — ГОСТ 2012. До конца 2019 года
информационные системы работают с КЭП старого и нового ГОСТа, поэтому владельцам КЭП с ГОСТ 2001 не нужно его перевыпускать. Однако с 2020 года все системы перейдут на ГОСТ 2012.
Однако несмотря на то, что ЭП нельзя подделать, ее можно украсть или получить за другого человека. Риск кражи возникает из-за того, что владельцы подписи не соблюдают правила безопасности:
оставляют токен с ЭП на видном месте, передают его другим людям, ставят на токен ненадежный пароль, не отзывают подпись при увольнении сотрудника.
Риск того, что ЭП на чужое имя получит злоумышленник, связан с тем, что закон об электронной подписи (63-ФЗ) недостаточно регулирует процесс идентификации получателя ЭП. Подпись юрлица можно
получить по простой доверенности и копии паспорта, которые легко подделать. Удостоверяющие центры, к сожалению, не имеют технической возможности проверить качественно сделанную подделку.
Решение, которое уберет этот риск, предложил Совет Федерации в проекте изменений в 63-ФЗ — заявитель должен приходить в УЦ лично или с нотариальной доверенностью. Этот законопроект уже
внесен в Госдуму Людмилой Боковой.
Как использовать электронную подпись
Чтобы установить электронную подпись на компьютер и работать с ней, вам понадобится не только сертификат ЭП, но и лицензия на сертифицированное средство криптозащиты (СКЗИ), например,
Крипто.Про CSP (если ваша ЭП имеет ГОСТ 2012, то лицензия нужна на КриптоПро CSP не ниже версии 4.0). СКЗИ генерирует ЭП из закрытого ключа подписи, проверяет ЭП. Также КриптоПро CSP обеспечивает
конфиденциальность и неизменность подписанных данных с помощью алгоритмов шифрования.
Также для установки электронной подписи нужно настроить рабочий компьютер, в том числе, понадобится установить дополнительные установка дополнительных надстройки или плагины для браузера.
Чтобы подписать электронный документ, понадобится:
1. Окончательная редакция документа, который необходимо подписать. После создания подписи в него нельзя будет внести изменения.
2. Действующий квалифицированный сертификат электронной подписи.
3. СКЗИ и настроенное рабочее место.
4. Программа для создания электронной подписи. Это могут быть плагины, отдельные программы или веб-сервисы: плагин для Office (например, КриптоПро Office Signature), плагин
для Adobe Acrobat (КриптоПро PDF), программа КриптоАРМ, онлайн-сервис Контур.Крипто. С помощью этих сервисов можно проверить действительность электронной подписи.
И главное — при работе с электронной подписью соблюдайте правила информационной безопасности:
1. Не передавайте закрытый ключ ЭП (хранится на токене или записан на ваш компьютер) никому. Тогда от вашего имени смогут подписать любые документы.
2. Соблюдайте цифровую гигиену рабочего места: надежный пин-код на токене, пароль на компьютере, надежный антивирус. Не запускайте непроверенные программы. Так у
злоумышленников будет значительно меньше шансов завладеть вашей ЭП.
3. Не оставляйте паспорт, его реквизиты и заверенные копии в общедоступном месте. Если эти бумаги получат мошенники, они смогут получить ЭП на ваше имя.
4. Дополнительные правила для юрлиц: сверяйтесь с бюджетом в части уплаты налогов, чтобы заметить, что кто-то за вас сдал в налоговую некорректную налоговую отчетность. А
также отзывайте сертификат бывших сотрудников сразу при увольнении.
Если вы подозреваете или точно уверены, что кто-то завладел ЭП на ваше имя, обращайтесь в удостоверяющий центр, который выдал подпись, и в полицию. Если ЭП получили без вашего ведома — найдите
документ, якобы подписанный от вашего имени. В нем будут указан адрес УЦ, в котором злоумышленник смог получить подпись.
Сергей КАЗАКОВ,
заместитель руководителя удостоверяющего центра СКБ Контур
Источник: http://www.it-world.ru/it-news/security/147094.html
