Качественная проверка ЭП — важный элемент надёжности экосистемы электронной подписи

Проверка электронной подписи требует не только формального соответствия закону, но и учёта регуляторных пробелов, статусов УЦ и особенностей МЧД. Ошибки валидации способны обесценить юридически значимые действия.

1. Введение
2. Правовые основы и логика проверки электронной подписи
3. Аккредитация УЦ и скрытые риски проверки
4. Нормативные пробелы и противоречия в требованиях к сертификатам
5. Доверенная третья сторона и долгосрочная валидность ЭП
6. Машиночитаемые доверенности как отдельный уровень сложности
7. Почему проблему проверки ЭП по-прежнему недооценивают
8. Выводы

Введение

Часто проверке электронной подписи уделяется недостаточное внимание: об этом мы можем говорить, основываясь на нашем обширном опыте в области разработки, внедрения, эксплуатации и техническом сопровождении информационных систем, включающих работу с электронной подписью (ЭП). Такое положение дел влечёт за собой риски компрометации электронных документов и признания ЭП недействительной. Сама проверка представляет собой нетривиальную задачу, состоит из проверки различных условий и при детальном рассмотрении таит в себе немало «подводных камней».

Правовые основы и логика проверки электронной подписи

Проверка ЭП в России регулируется национальным законодательством и техническими стандартами. Согласно положениям статьи 11 Федерального закона от 6.04.2011 №63-ФЗ «Об электронной подписи» (далее — 63-ФЗ), «квалифицированная электронная подпись признаётся действительной до тех пор, пока решением суда не установлено иное...». Там же описаны условия, которые нужно проверить, чтобы подтвердить действительность и квалифицированность ЭП. Оба эти качества влияют на юридическую значимость электронного документа (ЭД), подписанного ЭП.

Логично сначала проверять условия, описанные пунктами 2 и 3 этой статьи, простыми словами — убедиться в действительности ЭП. Сертификат должен быть действительным, а срок действия ключа ЭП — не истекшим на момент подписания электронного документа (при наличии достоверной информации о моменте подписания ЭД) или на день проверки. Недействительная подпись не может быть квалифицированной или неквалифицированной. Признак квалифицированности содержится в сертификате, принадлежность которого подписанту нет возможности доказать в случае недействительности подписи. Рассматривать такой сертификат нет оснований.

Аккредитация УЦ и скрытые риски проверки

Далее необходимо определить статус аккредитации удостоверяющего центра (УЦ) на момент выдачи сертификата. Информацию об аккредитации можно получить из TSL-списка, который публикует регулятор (Министерство цифрового развития). Перед работой с таким списком нужно проверить его ЭП, установить, что подпись принадлежит именно регулятору, а не кому-то другому.

Согласно положениям 63-ФЗ, аккредитация УЦ может быть приостановлена или прекращена в любой момент, и такое случалось на практике. Из-за чего можно столкнуться со следующей негативной ситуацией (ниже).

Если аккредитация УЦ прекращена или срок её действия истёк, то квалифицированные сертификаты, выданные этим УЦ, прекращают действие. Пока список аккредитованных УЦ не актуализован (возможна задержка 1–2 дня), проверка ЭП может давать ложноположительный результат: УЦ перестал быть аккредитованным, но юридически значимой информации об этом, нужной для проверки, пока нет. Это станет известно постфактум, когда обновится TSL-список. К этому моменту юридически значимые действия на основании такой подписи (ложноквалифицированной) могут быть уже совершены, например, проведён платёж, заключён договор, исполнена заявка на портале госуслуг и т. д. Полностью устранить такой риск техническими средствами на сегодняшний день невозможно, однако учитывать его необходимо.

Нормативные пробелы и противоречия в требованиях к сертификатам

Есть распространённое мнение о том, что нормативное регулирование в области ЭП в РФ достаточно чёткое, а по некоторым вопросам даже слишком конкретное. Но существуют и «белые пятна», которые приводят к разночтениям и зачастую невозможности выполнить автоматическую проверку ЭП, для которой и нужна такая определённость.

Например, в требованиях к форме квалифицированного сертификата ключа проверки электронной подписи, определённых Приказом ФСБ России №795 от 27 декабря 2011 года, возможны различные форматы указания наименования региона stateOrProvinceName, хотя есть первоисточник наименований регионов — Конституция РФ. И несоответствие содержимого полей OrganizationName и CommonName (некоторые УЦ их указывают одновременно в сертификатах для юридических лиц, что противоречит Приложению №2 к приказу 795).

Последнее условие напрямую в 795-м приказе не указано, однако может встречаться в требованиях к отдельным СКЗИ, что создаёт противоречия в результатах проверки средствами ЭП, которые чётко следуют требованиям приказа 795. В самом деле, если для владельца сертификата – юридического лица в обоих полях должно быть указано наименование юридического лица, то почему его написание вдруг отличается? К сожалению, разъяснений по этому вопросу от регуляторов на сегодня нет.

Доверенная третья сторона и долгосрочная валидность ЭП

Универсальным решением задачи подтверждения соответствия сертификата ЭП требованиям нормативных документов может стать использование сервиса проверки электронной подписи, называемого в 63-ФЗ «доверенная третья сторона» (ДТС). ДТС проверяет все параметры подписи каноническим образом, фиксирует их в квитанции с результатами проверки и несёт за полученный результат ответственность перед проверяющей подпись стороной. При этом действительность ЭП квитанции обеспечивается самим сервисом на протяжении всего его периода функционирования, что обеспечивает юридическую значимость результатов проверки на очень продолжительном по меркам современного ЭДО интервале времени.

Практика внедрения комплексных решений с ЭП показывает существенную долю подписей в неусовершенствованном формате (усовершенствованные форматы описаны в стандартах ETSI семейства *AdES — Advanced Electronic Signature, и в настоящее время описываются в российском предстандарте). Здесь мы наблюдаем противоречие между выпуском «длинных» сертификатов, направленное на создание возможности проверки ЭП на более длительном промежутке времени, и невниманием к тому, что работает это, только если подписант использует усовершенствованный формат ЭП. То есть при подписании поставит метку доверенного времени и «сложит» в метаданные подписи доказательства статуса цепочки сертификатов на этот момент (все CRL или OCSP-ответы).

Машиночитаемые доверенности как отдельный уровень сложности

В соответствии со статьями 17.2 и 17.3 закона №63-ФЗ в случае, когда при электронном взаимодействии действует представитель по доверенности, то электронный документ подписывается квалифицированной электронной подписью физического лица, являющегося таким представителем, и одновременно предоставляется машиночитаемая доверенность (МЧД). При проверке ЭП с использованием МЧД требуется:

• проверка ЭП самой доверенности;
• сопоставление сведений о подписанте доверенности и подписанте документа;
• запрос сведений о статусе действия доверенности в распределённом реестре МЧД, оператором которого является ФНС России (ЦПРР, Цифровая платформа распределённого реестра), или другой информационной системе, где она хранится;
• сопоставление времени действия МЧД со временем подписи ЭД;
• проверка полномочий.

Возможен случай передоверия. В самом ЭД может присутствовать несколько ЭП, каждая из которых совершалась по определённой МЧД.

На практике видно, что подавляющее число МЧД в составе своей ЭП не содержат метку времени. В случае отзыва таких МЧД доказать, что ЭП ЭД была сделана в период действия доверенности, не получится. Согласно Приказу Минцифры РФ от 18.08.2021 N 857, «…в случае создания метки доверенного времени в момент подписания машиночитаемой доверенности датой совершения доверенности считается дата создания метки доверенного времени». Попытка самостоятельного продления ЭП МЧД с добавлением метки и доказательств действительности, как это сделано в сервисах архива, может повлечь за собой нарушение проверки ЭП уже самого электронного документа, так как сместится время начала действия МЧД.

В таких ситуациях наши клиенты, работающие с МЧД, приходят к пониманию необходимости фиксации не только общего результата проверки ЭП ЭД, но и текущих статусов МЧД. Эти задачи успешно решает продукт Litoria DVCS. При этом результаты проверки (квитанции) хранятся независимо от ЭД, что позволяет минимизировать доработки целевой системы и снизить затраты на внедрение.

Почему проблему проверки ЭП по-прежнему недооценивают

Качественная проверка электронной подписи прежде всего нужна, чтобы избежать серьёзных и негативных юридических последствий. В одних случаях потенциальные риски открыто игнорируются (порой это встречается даже у крупных банков), многие просто не знакомы с существующими решениями и подходами к этому вопросу. Однако чаще всего сама проблема не осознаётся в принципе (в основном из-за слабой информированности, низкой квалификации пользователей и даже представителей ИБ-подразделений).

Если риски от ошибок при проверке подписи таковы, что их невозможно игнорировать, то нужно уделять этому внимание: внедрять средства проверки, которые дадут гарантированно правильный результат, контролировать встраивание, либо можно отдать процедуру проверки подписи в сервис валидации (в различных стандартах он называется Validation Authority или даже Notary Authority, ведь, по сути, выполняет функцию заверения электронной подписи), который возьмёт на себя ответственность за результат.

Независимо от выбранного пути — использования усовершенствованных ЭП, использования сервиса валидации аккредитованного УЦ или их комбинации — продукты линейки Litoria и услуги на их основе от компании «Газинформсервис» смогут предоставить весь набор инструментов для надёжной проверки электронной подписи, включая уникальные технологические возможности на рынке РФ.

Выводы

Качественная проверка электронной подписи — не формальность, а критически важный элемент юридической надёжности электронного документооборота. Ошибки на любом этапе, от проверки сертификата до анализа МЧД, могут привести к серьёзным правовым последствиям.

Нормативная база задаёт общий каркас, но содержит пробелы и противоречия, которые делают автоматическую проверку сложной задачей. Без учёта этих нюансов даже корректно подписанный документ может оказаться уязвимым при разборе спорных ситуаций.

Снижение рисков возможно только при использовании специализированных средств проверки, фиксации результатов и привлечении доверенных сервисов валидации, способных нести ответственность за корректность итогового решения.

Статья подготовлена при участии Богдана Мишко — менеджера линейки продуктов Litoria ГК «Газинформсервис».

Реклама, 18+. ООО «Газинформсервис» ИНН 7838017968
ERID: 2VfnxyCjTbf