Просто о сложном
Неотъемлемой частью юридически значимого электронного документооборота является электронная подпись .
Безопасность электронной подписи зависит от:
свойств закрытого ключа
функциональных возможностей ключевого носителя
Рекомендуется использовать защищенные носители ключевой информации (далее — ключевые носители), которые, в свою очередь, делятся на пассивные (с защитой данных только по PIN-коду) и активные (со встроенными на аппаратном уровне функциями средства криптографической защиты информации, далее — СКЗИ ).
Соблюдение настоящих методологических рекомендаций по использованию ключевых носителей поможет защитить участников электронного документооборота от рисков:
получение несанкционированного доступа третьих лиц к закрытому ключу для создания его копии
подписания электронных документов третьими лицами от имени владельца электронной подписи
хищение ключевого носителя или его уничтожение
Свойства закрытого ключа
Экспортируемые и неэкспортируемые закрытые ключи
Свойство экспортируемости или неэкспортируемости закрытого ключа присваивается на этапе формирования закрытого ключа и записи его на ключевой носитель. Указанное свойство может быть реализовано в средствах электронной подписи и управляться его настройками, которые следует установить до формирования закрытого ключа.
Для экспортируемых закрытых ключей доступно их копирование, что несет риски нарушения конфиденциальности закрытого ключа.
Для копирования закрытого ключа нарушителю потребуется получить физический доступ к ключевому носителю и узнать пароль (PIN-код).
Возможность копирования закрытого ключа создаёт риск возникновения неучтенных копий, усложняет контроль за его хранением, использованием и уничтожением. Также указанное усложняет определение возможного нарушителя, особенно когда нарушитель начнет использовать копию не сразу.
Неэкспортируемые закрытые ключи обладают большей защищенностью, так как записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи стандартных СКЗИ. Получение доступа к такому ключу требует применения специальных средств и техники.
Извлекаемые и неизвлекаемые закрытые ключи
Свойство неизвлекаемости закрытого ключа достигается способом его создания и хранения , и напрямую зависит от вида ключевого носителя. Для обеспечения свойства неизвлекаемости закрытого ключа используются только активные ключевые носители, содержащие в себе аппаратно реализованные функции СКЗИ, при использовании которых создается и используется неизвлекаемый закрытый ключ.
Для некоторых ключевых носителей существует возможность записи закрытого ключа на активные ключевые носители сторонними СКЗИ (установленными локально на компьютерное устройство или непосредственно в информационной системе удостоверяющего центра) и, в таком случае, такой носитель применяется как пассивный ключевой носитель, который может обеспечить только свойство неэкспортируемости закрытого ключа.
К извлекаемым закрытым ключам относятся все виды закрытых ключей, за исключением неизвлекаемых, включая экспортируемые и неэкспортируемые.
Виды ключевых носителей
Пассивный ключевой носитель
Виды реализации: носитель с USB интерфейсом, носитель с бесконтактным интерфейсом (NFC интерфейс), смарт-карта.
Для доступа к защищенному содержимому данного ключевого носителя необходимо ввести пароль (PIN-код). Закрытый ключ хранится в ключевом контейнере на ключевом носителе. Пароль (PIN-код), которым защищён от доступа закрытый ключ на таком носителе, при получении следует изменить, обеспечить его надежное хранение и исключить доступ к паролю любых лиц.
При подписании электронного документа с использованием пассивного носителя и средства электронной подписи вычисляется уникальный набор символов — хэш документа , однозначно связанных с содержанием электронного документа. Далее закрытый ключ копируется в память компьютерного устройства, где с его помощью средство электронной подписи выполняет криптографические операции формирования электронной подписи – подписание электронного документа. По завершении процедуры подписания закрытый ключ удаляется из памяти компьютерного устройства. Процедура подписания электронного документа происходит незаметно для пользователя в течение нескольких секунд.
На ключевом носителе установлено ограничение попыток неправильного ввода пароля (PIN-кода) и при превышении такого лимита ключевой носитель блокируется. Несмотря на это пассивный ключевой носитель обладает средним уровнем защищенности от атак злоумышленников – в момент подписания документа образуется короткий промежуток времени, когда закрытый ключ находится в памяти компьютерного устройства, где существует возможность его перехвата злоумышленником с высоким уровнем технических знаний и/или с использованием специальных технических средств. Для исключения такого вида атак существует активный ключевой носитель.
Активный ключевой носитель (криптографический ключевой носитель)
создание закрытого ключа происходит на самом носителе с использованием аппаратных криптографических функций ключевого носителя
при подписании электронного документа закрытый ключ не копируется в память или реестр компьютерного устройства – подписание электронного документа происходит на самом ключевом носителе
закрытый ключ ни в какой момент времени не покидает ключевой носитель
Вычисление значения хэш документа может происходить на компьютерном устройстве, а итоговое формирование электронной подписи только на самом активном ключевом носителе.
Компрометация закрытого ключа на таком носителе возможна только в случае его хищения вместе с паролем (PIN-кодом).
Активный ключевой носитель (криптографический ключевой носитель) обладает высоким уровнем защищенности от атак злоумышленников. Риск атаки «подмена хэша» злоумышленником присутствует, но такие случаи крайне редки.
Меры предосторожности при работе с ключевыми носителями
Технические меры предосторожности
При выборе вида ключевого носителя для хранения закрытого ключа электронной подписи следует учитывать, что электронная подпись считается равнозначной собственноручной подписи в случаях, установленных Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи». Рекомендуется использовать ключевые носители с наивысшей степенью защиты закрытого ключа.
Рекомендуется сменить пароль доступа к ключевому носителю (PIN-код), установленный его изготовителем, на уникальный – известный только владельцу электронной подписи. Рекомендуемая длина пароля – не менее 6 символов с использованием специальных символов, прописных и строчных латинских букв. Рекомендуется периодическая смена пароля.
Не рекомендуется при выборе пароля основываться на типовых шаблонах и идущих подряд на клавиатуре или алфавите символов (qwerty, abcde, 12345 и другие) на каком-либо идентификаторе, паспортных данных, кличек питомцев и подобных ассоциаций.
Не рекомендуется активировать функцию «запомнить пароль» в средствах электронной подписи и настройках программного обеспечения, которое необходимо для использования ключевого носителя.
Организационные меры предосторожности
Не рекомендуется в рамках организации процедур безопасной работы с ключевым носителем:
передавать ключевой носитель третьим лицам
записывать пароль доступа к ключевому носителю (PIN-код) на бумаге или непосредственно на ключевом носителе, запоминать пароли в реестровой памяти систем электронных устройств и хранить парольную информацию в общедоступных местах
оставлять ключевой носитель без присмотра в доступных или общественных местах
Разработка верхнеуровневой целевой ИТ-архитектуры
оставлять без присмотра ключевой носитель в компьютерном устройстве, на котором осуществляется подписание электронных документов (usb-порты в системном блоке компьютера, ноутбука, планшета или других электронных устройствах)
Рекомендуется в рамках организации процедур безопасной работы с ключевым носителем:
при необходимости обеспечивать сотрудников организации, не имеющих права действовать без доверенности, их персональными закрытыми ключами и сертификатами электронной подписи, с наделением их правом подписи распорядительными документами организации путем оформления доверенности
хранить ключевой носитель в недоступном для третьих лиц месте
при потере или краже ключевого носителя незамедлительно обратиться в удостоверяющий центр, выпустивший сертификат электронной подписи, и прекратить действие такого сертификата электронной подписи, и, не дожидаясь завершения процедуры аннулирования, уведомить контрагентов о том, что утраченный сертификат с соответствующим серийным номером, считается уже недействительным
Как и где можно хранить электронную подпись
Простая и неквалифицированная электронная подпись (ЭП) могут храниться на любых носителях, так как в Федеральном законе №63-ФЗ «Об электронной подписи» нет никаких указаний на этот счет. К вопросу хранения квалифицированной ЭП нужно отнестись серьезнее. Эта подпись приравнена к собственноручной, она используется в электронных торгах и при заключении важных сделок с контрагентами. Поэтому безопаснее хранить ее на защищенном носителе, сертифицированном ФСБ.
Защищенные носители для квалифицированной электронной подписи
Токен (eToken, Рутокен и др.)
Надежный и удобный носитель в виде USB-брелока. Подходит для большинства применений, кроме ЕГАИС. С его помощью можно отправить отчет в налоговую или Росстат, подписать договор и участвовать в электронных торгах. Чтобы подписывать документы с помощью токена, на компьютер нужно установить средство криптографической защиты информации (СКЗИ).
Токен со встроенным СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE)
Носитель, который похож на обычный токен, но обладает встроенным СКЗИ. Используя электронную подпись на таком носителе, вы сможете подписывать документы на любом компьютере без покупки дополнительного ПО. Рутокен ЭЦП подходит для дистанционного банковского обслуживания, работы на госпорталах, сдачи отчетности и документооборота. Он не предназначен для работы с торговыми площадками и ЕГАИС. Рутокен ЭЦП 2.0, как и JaCarta PKI/ГОСТ/SE, используются только для работы с ЕГАИС.
Дополнительная защита электронной подписи
Доступ к подписи по пин-коду
На каждом съемном носителе электронной подписи установлен пин-код — комбинация символов, после ввода которой вы получаете доступ к подписи. Вводится пин-код каждый раз при подписании документа или любом другом обращении к ЭП. По умолчанию код стандартный, но вы можете убрать его совсем или поменять на свой. Мы подготовили инструкцию по смене для Рутокен, eToken, JaCarta. Если нужно, обратитесь в УЦ, и наш специалист поможет сменить пин-код.
Защита подписи от копирования
Ключи электронной подписи по умолчанию разрешено копировать на другие носители. Если хотите, вы можете включить защиту от копирования. Для этого при оформлении заявки сообщите менеджеру, что вам нужен неэкспортируемый ключ электронной подписи. В этом случае скопировать подпись с носителя будет невозможно, так как при любой попытке экспорта файлов система будет выдавать ошибку.
Незащищенные носители для квалифицированной электронной подписи
Теоретически ЭП можно записать на любой съемный носитель. Но файлы на USB-диске, дискете или другом носителе никак не защищены. Если злоумышленники их украдут и расшифруют, то смогут подписывать любые документы. Поэтому мы не рекомендуем хранить файлы электронной подписи на подобных носителях.
Запись ЭП в реестр ноутбука — популярный, но тоже небезопасный вариант хранения подписи. Любой, кто получит доступ к системе, сможет подписывать документы или создать копию ключа. Если понадобится переехать на другое рабочее место, то для переноса ключа электронной подписи понадобится помощь квалифицированного специалиста. ЭП можно и вовсе потерять, если с компьютером что-то случится.
О чем нужно помнить при хранении квалифицированной ЭЦП
Один носитель — для одного сотрудника
Если записать ЭП разных сотрудников на один носитель, то нарушится конфиденциальность закрытых ключей. И по закону все подписи будут считаться недействительными.
Нельзя передавать свою ЭП другому человеку
Электронная подпись — это аналог собственноручной. Она служит идентификатором владельца. Если отдать ЭП другому человеку, а он подпишет документ, с которым вы не согласны, то оспорить это решение не удастся.
Нельзя хранить ЭП в открытом доступе
Квалифицированную электронную подпись нужно хранить в сейфе или другом защищенном месте. Носитель, который просто лежит на столе, легко украсть, чтобы подписать пару «лишних» документов. А когда вы это заметите, то даже в суде не сможете доказать свою непричастность.
При смене реквизитов меняйте и ЭП
Компания изменила свое название, владелец ЭП уволился или поменял должность? Меняйте подпись. Не затягивайте с этим, чтобы не столкнуться с пачкой платежек, подписанных неизвестно кем, и не нарушать п. 1 ст. 2 Федерального закона №63-ФЗ «Об электронной подписи», требующий обеспечить точную идентификацию владельца ЭП. Для замены электронной подписи обратитесь к менеджеру, который ее выдавал. Или свяжитесь с удостоверяющим центром «Тензор» удобным для вас способом.
Вовремя продлевайте ЭП
Если не продлить электронную подпись, она станет недействительной. И вы не сможете подписать ни один электронный документ, пока не получите новую ЭП в удостоверяющем центре. О том, как продлить электронную подпись, читайте в нашей статье.
Защитите рабочее место
Антивирусное ПО защищает вас от любых неприятных сюрпризов. Вирусы способны имитировать поведение владельца подписи, чтобы подписать несколько нужных злоумышленнику документов. И доказать, что подпись ставили не вы, будет тяжело.
Не храните пароли на бумажках
Это правило — основа компьютерной безопасности. Оно относится не только к электронным подписям, но и ко всем другим сферам. Пароль от токена, заботливо записанный на стикере возле компьютера, несказанно обрадует злоумышленника.
Открытый и закрытый ключ электронной подписи: принципы работы
Электронная подпись или ЭП — это аналог рукописного росчерка в цифровом формате. Она придает документам юридическую значимость и показывает, кто их подписал. Благодаря ЭП не нужно распечатывать каждый документ, а значит, тратить время и бумагу.
Технически ЭП — это уникальный цифровой и буквенный код в документе, который не считает человек, но поймут системы и сервисы. Иногда подпись сопровождает изображение, которое содержит не только набор символов, но и ФИО владельца подписи, даты действия сертификата.
Важно! Раньше использовали другое название: электронная цифровая подпись, ЭЦП. Сейчас и в законе 63-ФЗ, и в деловой практике используется термин «электронная подпись».
С 2022 года изменились правила работы с электронной подписью. Руководители организаций и ИП получают подпись в ФНС, а сотрудники организаций по-прежнему— в аккредитованных удостоверяющих центрах.
Чтобы легко и быстро оформить сертификат ФНС, обратитесь к нашему партнеру — доверенному лицу ФНС. И получите услуги от Контура — настройку компьютера и браузера, а также техподдержку и другую помощь руководителю.
Как выглядит электронная подпись
Когда владельцы приходят в удостоверяющий центр, то получают не электронную подпись, а инструменты для ее создания. Например, для рукописного росчерка человек использует чернила, печать и бумагу. А для электронной подписи — сертификат, открытый и закрытый ключи. Сколько именно инструментов участвует в создании ЭП зависит от ее вида. Подробнее о том, как выглядит электронная подпись мы рассказывали в этой статье.
Отличия электронных подписей
Существует три вида подписей. Все они подтверждают, что конкретное лицо подписало документ или совершило действие. Но отличаются юридической силой, сложностью процесса подписания документа и неизменностью подписанной информации.
Простая электронная подпись или ПЭП
С простой электронной подписью сталкиваются чаще всего. Например, для онлайн-покупок, оплаты через интернет-банк, внутреннего электронного документооборота, входа в сервисы через портал Госуслуги. Простую электронную подпись не нужно получать и устанавливать на компьютер. Достаточно ввести логин и пароль, чтобы зайти на сайт. Или код, который пришел в сообщении.
Неквалифицированная электронная подпись или НЭП
НЭП — усиленный вид электронной подписи. В отличие от простой в неквалифицированной используют криптографию — зашифрованный набор символов и специальные программы для защиты информации (СКЗИ).
НЭП создают открытым и закрытым ключом. Благодаря СКЗИ можно проверить, вносил ли кто-то в документ изменения после подписания, а также увидеть информацию об авторе документа в сертификате.
Чаще всего неквалифицированную ЭП применяют для внутреннего документооборота, например кадрового. А также для подачи физлицами налоговой декларации и обмена документами по сделкам между самозанятыми. НЭП не придает документам юридическую силу автоматически. Прежде чем подписать их стороны должны заключить между собой письменное соглашение.
Квалифицированная электронная подпись или КЭП
Квалифицированная ЭП обеспечивает юридическую силу файлу по умолчанию. Требования по получению и содержанию КЭП прописаны в законе. Это максимально защищенная усиленная подпись: в ней как и в НЭП используют криптографию. А еще она содержит информацию, кто подписал документ или изменял его.
КЭП как и НЭП создается открытым и закрытым ключом. Эти компоненты владелец подписи может получить только в удостоверяющих центрах, у которых есть разрешение от государства. Также как и в случае с НЭП с помощью криптопрограмм можно проверить, вносил ли кто-то в документ изменения и увидеть информацию об авторе документа в сертификате.
Квалифицированную электронную подпись используют, чтобы подавать документы в госорганы, суды, а также для документооборота с партнерами, участия в торгах, получения госуслуг. КЭП — универсальная подпись. В отличие от НЭП дополнительного соглашения для ее использования заключать не нужно.
Как работают ключи усиленной электронной подписи
В создании усиленной подписи — и КЭП, и НЭП — участвуют и открытый, и закрытый ключ. Поэтому именно на ее примере разберем процессы, которые происходят во время подписания документов.
Основной принцип защиты данных усиленной электронной подписи от мошенников — использование криптографии. Именно для него и используют закрытый и открытый ключи. Закрытый ключ можно сравнить с чернилами — им подписывают документ. Открытый — с лакмусовой бумажкой: он подтверждает, что подпись ставил именно этот владелец и именно этими чернилами.
Еще один элемент усиленной электронной подписи — сертификат. Его официальный термин — сертификат ключа проверки электронной подписи или СКПЭП. Он содержит значение открытого ключа и подтверждает, что ключи принадлежат конкретному владельцу.
По сути, сертификат — это носитель информации о владельце, сроке действия ЭП и удостоверяющем центре. Он доступен для всех и используется при проверке подписи под документом.
Важно! По сути сертификат — это аналог паспорта. Его выдают только аккредитованные удостоверяющие центры или ФНС и только после подтверждения личности владельца. В целях безопасности у сертификата есть срок действия не больше 15 месяцев. После нужно получать новый.
Расскажем, как работают открытый и закрытый ключ, а также сертификат, чтобы создать и проверить электронную подпись. Например, когда бухгалтер отправляет отчет в налоговую.
- Бухгалтер формирует отчет и подписывает его своим закрытым ключом, а после загружает документ в сервис оператора ЭДО. Например, Контур.Экстерн.
- Оператор ЭДО, в свою очередь, находит в общем доступе открытый ключ налоговой и шифрует им документ бухгалтера.
- После этого отчет отправляется в налоговую.
- Налоговая получает документ и расшифровывает его своим закрытым ключом.
- После она проверяет достоверность подписи: делает с помощью открытого ключа бухгалтера.
- Если данные в открытом и закрытом ключе совпали, то налоговая поймет, что именно этот бухгалтер подписал документ и отчет никто не менял после подписания.
Электронная подпись для бизнеса — это удобно. ЭП позволяет оперативно обмениваться документами с коллегами и контрагентами, а главное — защищает вашу информацию.
Как подписать документ усиленной ЭП
Сценарий подписания зависит от сервиса, в котором клиент работает с документом. Например, в Контур.Крипто владельцу нужно:
- Настроить компьютер: в сервисе это происходит автоматически.
- Загрузить файл, который нужно подписать.
- Вставить токен в компьютер или другой носитель с ключами.
- Выбрать сертификат ЭП и нажать кнопку «подписать». В этот момент закрытый и открытый ключи создадут электронную подпись для конкретного документа.
После этого появится статус «Документ подписан» и будет создан файл с расширением «.sig». Вы сможете отправить документ по электронной почте или сохранить его на компьютер. Это и будет подписью к конкретному электронному документу. Такие действия нужно совершать для подписи каждого электронного документа.
Не знаете, какую электронную подпись выбрать? Тогда определитесь, для чего именно она вам нужна. Для подписания личных документов подойдет базовая ЭП для физлиц. Для закупок нужна специальная электронная подпись с расширенным функционалом. Специалисты УЦ Контур объяснят назначение каждой ЭП и помогут с выбором.
Что такое открытый ключ электронной подписи
Обычно под открытым ключом подразумевают сертификат, но это не совсем так. Открытый ключ — это только часть информации в нем. Кроме него сертификат включает в себя все данные о владельце электронной подписи и удостоверяющем центре.
Открытый ключ расшифровывает закрытый. Им проверяют подпись владельца и зашифрованные данные.
Как получить и где хранится открытый ключ
Открытый ключ будущий владелец подписи генерирует вместе с закрытым самостоятельно на своем компьютере в сервисе удостоверяющего центра либо на специальном компьютере в офисе УЦ. Он водит мышкой в специальной программе и генерирует случайные значения. После этого УЦ записывает открытый ключ в сертификат. Их владелец может сохранить на токен или компьютер.
Если вам нужно экспортировать сертификат открытого ключа, то можете воспользоваться инструкцией в Контур.Справке.
Как посмотреть данные сертификата открытого ключа
Следуйте нашей инструкции и проверьте информацию, которая содержится в сертификате:
1. Откройте программу КриптоПро CSP. В разделе «Сервис» найдите кнопку «Просмотреть сертификаты в контейнере».
Откроется окно с сертификатами в контейнере закрытого ключа. Нажмите кнопку «По сертификату».
2. Нажмите на «Просмотреть свойства сертификата» для нужного ключа.
В окне — все данные о сертификате.
Кто может пользоваться открытым ключом
Сертификат с открытым ключом доступен для любых лиц. Владелец может передавать его контрагентам для проверки подписи. А информационные системы — сами обращаются к базам данных УЦ, чтобы найти значение открытого ключа и проверить подпись.
Что такое закрытый ключ электронной подписи
Закрытый ключ представляет из себя набор уникальных символов без информации о владельце. Он нужен для создания электронной подписи и ее защиты от компрометации. Это еще один главный инструмент для работы в криптографических программах.
Как получить и где хранится закрытый ключ
Закрытый ключ владелец подписи генерирует также как и открытый — на своем компьютере или офисе УЦ.
Закрытый ключ — основной элемент в безопасной подписи документов. Если не обеспечить ему надежную защиту, то он может попасть в руки злоумышленников. Поэтому никому не передавайте его и не сообщайте пароль.
Этот ключ лучше хранить на защищенных носителях информации — токенах с уникальным паролем. Его можно записать на рабочий компьютер или ноутбук, но это менее безопасно, если, например, на ПК нет дополнительной защиты или на нем работают ваши коллеги. Обычно закрытый ключ помещают в специальный виртуальный контейнер вместе с сертификатом и открытым ключом либо отдельно от них.
Важно! Обязательно поменяйте заводской пароль на токене после его получения в УЦ. Задайте собственный, максимально сложный и сохраните в таком месте, где никто его не найдет.
Если закрытый ключ все-таки попал в посторонние руки, заблокируйте доступ к сертификату электронной подписи — отзовите его в удостоверяющем центре.
Как посмотреть данные о закрытом ключе
Закрытый ключ — это контейнер, в котором находится несколько файлов со специальным расширением key.
Вот как это сделать:
- Зайдите в панель управления — в КриптоПро.
- Перейдите в раздел «Сервис» и скопируйте контейнер.
- Введите пин-код и задайте имя копии.
- Выберите носитель, на который копируйте закрытый ключ.
- Введите собственный пароль для дополнительной защиты и сохраните. Экспорт завершен.
Визуально экспорт выглядит так.
Шаг 1. Копируем контейнер.
Шаг 2. Выбираем ключ и вводим имя ключевого контейнера.
Шаг 3. Выбираем носитель.
Шаг 4. Задаем пароль.
Кто может пользоваться закрытым ключом
Закрытый ключ доступен только владельцу ЭП. Чтобы им не пользовались посторонние, в некоторых ситуациях закрытый ключ делают неэкспортируемым или защищают от копирования. Так, ключи от удостоверяющего центра ФНС нельзя перенести с токена или сделать дубликат для других пользователей.
Подробнее о том, как подписать документ мы рассказывали в этой статье.
Любая усиленная электронная подпись — это защищенный инструмент, который создают с помощью криптографии. Но владельцу все же не стоит забывать о безопасности: файлы для создания электронной подписи нужно хранить в надежном месте и с нестандартным паролем. А в случае потери — срочно обратиться в удостоверяющий центр. Тогда вероятность, что документ подпишут злоумышленники от лица владельца будет сведена к минимуму.
Электронная подпись для бизнеса — это удобно. ЭП позволяет оперативно обмениваться документами с коллегами и контрагентами, а главное — защищает вашу информацию.
Как защитить электронную подпись от мошенников: правила безопасности
Электронная подпись — надежный инструмент для работы. Но при неосторожном обращении она открывает возможности для злоумышленников. Какие правила нужно соблюдать при работе с электронной подписью, чтобы уберечься от мошенничества.
Что такое ЭП, КЭП и для чего они нужны
Электронная подпись (ЭП или ЭЦП) — это электронные данные в документе, которые заменяют собственноручную подпись. Больше всего возможностей у квалифицированной электронной подписи (КЭП). Предприниматели используют ее, чтобы отправлять отчетность в налоговую, участвовать в электронных торгах, получать госуслуги и вести электронный документооборот.
Если вы еще не получили электронную подпись, оформите ее в удостоверяющем центре, который прошел аккредитацию. В УЦ Контура есть подписи для сотрудников, торгов, отчетности и личных дел. Поможем оформить сертификат ФНС для руководителя. Познакомиться с сервисом
КЭП подтверждает, что документ подписан конкретным человеком и придает ему юридическую силу. Она также гарантирует, что в документ никто не вносил изменения после подписания. КЭП выдают только удостоверяющие центры (УЦ), которые имеют аккредитацию Минкомсвязи. Например, ее можно получить в Удостоверяющем центре Контура или в Центре выдачи электронных подписей в Москве. УЦ соблюдают правила безопасности — этого от них требует закон и госорганы, — удостоверяют личность будущего владельца ЭП, проверяют его документы через государственные базы. А в случае нарушений УЦ несут материальную ответственность. В УЦ владелец электронной подписи получает файлы, из которых состоит электронная подпись: закрытый ключ, открытый ключ и сертификат. Файлы записываются на токен (устройство, похожее на флешку) или в память компьютера. С помощью закрытого ключа пользователь подписывает документы, а открытый ключ и сертификат позволяют убедиться, что подпись поставил конкретный человек.
Закрытый ключ ЭП доступен только владельцу, и он должен держать его в тайне — этого требует 63-ФЗ «Об электронной подписи» (п.1 ч.1 ст.10 63-ФЗ). Именно из-за того, что владельцы передают закрытый ключ другим людям, возникают злоупотребления электронной подписью. У Артема было несколько продуктовых магазинов. Он не нарушал закон и вовремя закрывал кредиты. Однажды бизнесмену позвонили из банка, а потом звонок продублировали коллекторы. Они утверждали, что у компании миллионный долг. Артем не поверил и пошел проверять кредитные истории: свою и компании. Выяснилось, что долг существует. Два месяца назад бывший бухгалтер Артема оформил на компанию микрозайм на 1,2 миллиона рублей, перевел деньги себе и уволился. Оформить займ бухгалтер смог с помощью электронной подписи директора — Артем сам отдал ЭП, чтобы избавиться от рутинного подписания бумаг.
Как происходит мошенничество с электронной подписью
Злоумышленники могут завладеть ЭП по-разному. Первый вариант — умышленно получить подпись другого лица. Мошенники могут украсть закрытый ключ, который хранится на токене. Или владелец может оставить подпись в общественном месте или потерять. Бывает и так, что компания забывает отозвать ЭП у уволенного сотрудника: он покупает товар от имени фирмы и скрывается, оставив долг. Нужно знать, как отозвать подпись и делать это сразу после увольнения, даже если работник пользовался полным доверием. Есть и другой вариант. Владелец может сам отдать подпись постороннему лицу, чтобы снять с себя часть нагрузки. Так было с Артемом из нашего примера: он не знал, как обезопасить себя от мошенничества, поэтому передал ЭП бухгалтеру, а потом получил миллионный долг.
Продажа квартиры, подача декларации в ФНС и другие риски использования сертификата ЭП
- оформить кредит на компанию;
- вывести деньги из фирмы, а потом ликвидировать ее;
- подать в налоговую поддельные декларации с баснословными суммами, чтобы получить возмещение НДС в размере нескольких миллионов;
- продать чужую квартиру или офис. Сейчас этот сценарий невозможен для физических лиц — в августе 2019 года Росреестр ужесточил правила онлайн-сделок с физлицами, поэтому перед сделкой нужно получить согласие собственника на сделки с недвижимостью с использованием ЭП.
Как обеспечить безопасность электронной подписи
Подделать саму ЭП нельзя. В ее основе лежат криптографические технологии, которые не поддаются взлому. Переживать о том, как защитить свою подпись от подделки, не нужно, потому что мошенники действуют примитивнее — они подделывают документы, чтобы незаконно получить ЭП, или крадут подпись.
Рекомендуем соблюдать правила безопасности, которые помогут избежать мошенничества с цифровой подписью:
- Нельзя передавать ЭП другим людям. Бухгалтер, заместитель и другие сотрудники не должны иметь доступа к закрытому ключу подписи, потому что могут подписать документ самовольно. Тогда доказать, что подпись поставил не владелец, а постороннее лицо, будет почти невозможно.
- Если увольняется сотрудник, у которого есть ЭП, сертификат подписи надо сразу отозвать. Иначе уволенный работник может списать деньги со счета компании или вообще ликвидировать организацию, если раньше у него были такие полномочия. Отлично, если кадровая служба ведет учет сертификатов сотрудников — так проще следить, кому и когда выдана ЭП.
- Токен с подписью и компьютер, где она используется, должны быть защищены паролем. Иначе злоумышленник сможет воспользоваться чужой ЭП, если украдет токен или получит доступ к компьютеру.
- Если ЭП хранится на компьютере, он должен быть защищен от вирусов. Подозрительный файл, который пришел на почту, лучше не открывать: он может оказаться шпионской программой, которая скопирует все файлы, в том числе электронную подпись.
- Если нужно отойти от компьютера, его лучше блокировать. Это гарантирует, что никто не воспользуется подписью в отсутствие владельца.
- Нельзя передавать сканы и реквизиты паспорта ненадежным фирмам или оставлять их на подозрительных сайтах. Если сканы попадут в руки мошенников, они могут получить по ним электронную подпись от чужого имени. Скорее всего, сотрудники удостоверяющего центра увидят подделку и сертификат не выдадут, но лучше не рисковать. Если паспорт пропадет, об этом нужно сразу сообщить в полицию — заявление станет аргументом, если потребуется доказать, что ЭП на документ поставили мошенники.
Электронная подпись не гарантирует защиту компании от мошенников и воров. Но она создает для них серьезное препятствие — завладеть чужой ЭП намного сложнее, чем подделать подпись и печать на бумаге. Кроме того, с электронной подписью шансы остановить преступников и вычислить их намного выше:
- Если у вас пропала подпись, то ее можно и нужно сразу же отозвать — тогда злоумышленники не смогут ей воспользоваться.
- Проверить, что никто не выпустил на ваше имя электронную подпись, можно на портале Госуслуг — в личном кабинете в разделе «Настройки и безопасность» найдите вкладку «Электронная подпись». Госуслуги покажут, какие подписи были выпущены на вас, когда и каким удостоверяющим центром. Если увидите электронную подпись, которую не получали, обратитесь в техподдержку портала и в УЦ, который указан в этой подписи. УЦ по вашему заявлению отзовет сертификат подписи, и тогда ей больше никто не сможет воспользоваться.
- Если мошенник все-таки смог без вашего ведома получить электронную подпись на ваше имя, то найти его будет проще, чем того, кто подделывает рукописные подписи. Ведь из сертификата электронной подписи можно узнать, кто, когда и в каком УЦ его получил. Также все удостоверяющие центры хранят копии документов, по которым выдавалась подпись, а некоторые — при выдаче сертификата делают фото будущего владельца ЭП с паспортом. Благодаря таким зацепкам, правоохранителям будет проще поймать мошенников.
Получите подпись в УЦ Контура — это надежно и безопасно. Мы работаем на рынке больше 17 лет и выдаем сертификаты подписей, соблюдая все меры безопасности, имеем аккредитацию Минкомсвязи и необходимые лицензии ФСБ России.
Если вы еще не получили электронную подпись, оформите ее в удостоверяющем центре, который прошел аккредитацию. В УЦ Контура есть подписи для сотрудников, торгов, отчетности и личных дел. Поможем оформить сертификат ФНС для руководителя.