Электронная подпись: аспекты безопасности

ЭДО

28.05.2025

Зачем нужна электронная подпись

Все больше документов мы подписываем онлайн. Чтобы удостоверить свое согласие, участие в чем-либо, информированность и многое другое, используется электронная подпись (ЭП). Если применять принятую терминологию, ЭП является атрибутом, верифицирующим авторство, время подписания и подлинность документа.

Физические лица чаще всего используют электронную подпись, чтобы подать декларацию в налоговую для получения вычета или с иными целями; для заключения трудового договора при удаленной форме сотрудничества; при подаче заявления о приеме в вуз в другом городе; для сделок с недвижимостью по межгороду и во многих других ситуациях.

Еще более активно ЭП используют юридические лица. Работа в системе «Честный знак», онлайн-эквайринг, различные формы отчетности, взаимодействие с государственными органами — все это невозможно без использования этого атрибута.

Закономерно, что у всех, кто сталкивался с необходимостью подписывать документы онлайн, возникает вопрос: безопасна ли электронная подпись? Нужно ли ее защищать, и если да, то как это сделать? Какие существуют риски в подписании документов с помощью ЭП?

Но прежде чем перейти к ответам на многочисленные вопросы, разберемся в том, как устроена электронная подпись и в чем заключается принцип ее работы. Понимание этого процесса важно для предотвращения мошенничества с ЭЦП.

Как работает электронная цифровая подпись

Сама ЭП представляет собой файл с уникальной числовой информацией. Он прилагается к тому документу, который подписывается онлайн.

Чтобы работать с электронной цифровой подписью, понадобятся два ключа: открытый и закрытый. Первым можно делиться, а второй является секретной информацией. Ключи связаны друг с другом.

Предположим, что вы хотите подписать электронный документ. В этом случае программа будет использовать ваш закрытый ключ — это создаст уникальный «отпечаток», который называется хешем. Он выглядит как короткая строка символов, соответствующая содержимому документа.

Теперь подпись нужно прикрепить. Для этого хеш добавляется к документу вместе с вашим открытым ключом. Это и есть ваша электронная подпись.

После всех проделанных операций документ можно отправлять адресату. Он подписан, и при получении визави использует ваш открытый ключ для проверки. Программа снова создает хеш из документа и сравнивает его с тем, который был прикреплен к подписи.

Если хеши совпадают, значит документ не изменился и действительно подписан вами.

Если хеши не совпадают, это может означать, что документ был изменен или что подпись не принадлежит вам.

Вот так обеспечивается безопасность и подлинность документов в электронном виде. И ответ на вопрос, можно ли подделать ЭЦП, однозначно отрицательный:

Для подписи используются криптографические методы защиты, поэтому подделка абсолютно исключена. Если вам этот аргумент не кажется убедительным, заметим, что взлом криптографической защиты займет 10 000 лет при условии, что в этом процессе будут задействованы все существующие в мире компьютеры.
Если документ был подписан с помощью ЭП, после подписания его нельзя изменить. Любые попытки внести изменения в него автоматически признаются недействительными.

Риски использования электронной подписи

Пожалуй, самую большую проблему в использовании ЭЦП составляет человеческий фактор. Сама по себе подпись обладает максимально возможной защитой, но ее владелец намеренно или случайно может предоставить к ней доступ посторонним лицам. А это уже почва для мошенничества и других противоправных действий.

Могут ли злоумышленники украсть электронную подпись? И если да, то как это происходит? Подобное возможно, когда речь идет о КЭП — квалифицированной электронной подписи, которую выдают в аккредитованных удостоверяющих центрах.

КЭП состоит из открытого и закрытого ключей, а также сертификата. Все они записываются на устройство, которое называется токен. Именно этот предмет и может быть похищен, утерян или отдан постороннему лицу. Например, бизнесмен может передать токен своему бухгалтеру, чтобы сэкономить время на подписи документов. Этого делать категорически нельзя! С тем же успехом можно отдать свой паспорт постороннему и надеяться, что это не приведет ни к чему плохому.

Чем опасна электронная подпись, если она оказалась в чужих руках?

злоумышленник может вывести все деньги со счетов предприятия;
завладев ЭП, преступник способен оформить кредит на юридическое лицо, а полученные средства присвоить себе;
у мошенника появляется доступ к личным кабинетам на сайте ФНС или Госуслугах.

Это далеко не полный перечень преступлений, которые можно совершить, получив доступ к чужой ЭЦП. Поэтому очень важно хранить токен в надежном месте и ни при каких обстоятельствах не передавать его, не давать к нему доступ даже самым близким людям и доверенным лицам.

Предположим, что владелец соблюдает правила безопасного хранения. Этого недостаточно, чтобы не стать жертвой мошенничества с ЭЦП.

Преступники активно используют методы социальной инженерии, чтобы получить ценную для них информацию. Они могут дозваниваться лично до владельца или выстраивать коммуникацию через мессенджеры и социальные сети, представляясь специалистами из банков, удостоверяющих центров и других организаций. Их цель — завладеть токеном или получить доступ к хранящейся на нем информации, играя на доверии владельца подписи.

Вредоносное ПО, использующее уязвимости софта, может быть случайно скачано и установлено на компьютер, в котором хранятся открытый и закрытый ключ, а также сертификат. Если вы подозреваете, что произошел такой инцидент, немедленно осуществите блокировку электронной подписи.

Как обеспечить безопасность ЭЦП

Правила достаточно просты, но соблюдать их нужно неукоснительно.

Нельзя передавать свою электронную подпись третьим лицам. Если вы предприниматель и у вас в штате есть бухгалтеры, администраторы, секретари, оформите машиночитаемую доверенность — в этом случае они будут визировать документы с помощью личных ЭП (и, соответственно, нести за это персональную ответственность). Во всех остальных случаях используйте электронную подпись самостоятельно.
Если токен ЭЦП хранится на компьютере, установите надежный пароль и храните его в секрете. Систематически обновляйте пароли, чтобы исключить доступ третьих лиц к информации.
Возьмите за правило блокировать компьютер, если оставляете рабочее место. Даже если вы сидите в отдельном кабинете, это не исключает возможности доступа посторонних к информации, хранящейся на нем.
Позаботьтесь о современном надежном антивирусе. Защитите свои устройства от хакерских атак и попыток похитить секретные сведения с помощью вредоносных программ.
Необходимо регулярно обновлять ПО, чтобы злоумышленники не имели шанса воспользоваться его уязвимостями.
Если вы потеряли носитель с ключами, немедленно обратитесь в удостоверяющий центр и отзовите сертификат ЭЦП.
Полезно разграничить устройства, которыми вы пользуетесь, и применять ЭЦП только на рабочих компьютерах и гаджетах, а на личных не использовать.

Один из рисков, который часто тревожит людей — это выпуск электронной подписи без их ведома. Считается, что, если злоумышленник завладел паспортом человека, он может получить его ЭЦП и пользоваться ей в корыстных целях.

Прежде всего нужно сказать о том, что передавать паспортные данные третьим лицам, делать их сканы или оставлять на сайтах категорически нельзя. Но случается так, что документ утерян или украден. Как защитить электронную подпись в такой ситуации?

На портале Госуслуги в разделе «Настройки и безопасность» нужно найти «Электронную подпись». Перейдя на эту страницу, вы увидите, выпускался ли сертификат ЭЦП на ваше имя, когда это было и в каком удостоверяющем центре. При малейших подозрениях на мошенничество немедленно обратитесь с заявлением в указанный УЦ и отзовите подпись.
При выпуске ЭЦП заявитель проходит многоступенчатую идентификацию. Совпасть должны не только паспортные данные. Человек должен лично прийти в УЦ, где специалисты проверят, похож ли он на свое фото в паспорте. Вероятность того, что внешность совпадет, крайне мала. Но если вы столкнулись с таким целеустремленным мошенником, немедленно обратитесь в удостоверяющий центр с заявлением на отзыв сертификата ЭП, а затем в территориальное отделение полиции по поводу факта мошенничества с использованием ваших паспортных данных.

Вообще же, выпустить электронную подпись на ваше имя без вашего ведома практически невозможно. Вся процедура выстроена таким образом, чтобы исключить любые факторы риска или случайности. Именно поэтому ЭЦП справедливо считается одним из самых защищенных и надежных способов подписи документов.