Электронная подпись: все, что нужно знать
Электронная подпись — это метод проверки подлинности цифровых сообщений или документов с использованием математического алгоритма.
Это полезно для 3-х основных функций:
- Аутентификация. Для подтверждения, что сообщение было отправлено заявленным отправителем
- Безотказность. Отправитель не может отрицать, что сообщение было отправлено не им
- Целостность. Это доказывает, что данные не были изменены после отправки
Электронная цифровая подпись часто используется для проверки цифровых контрактов, финансовых транзакций, подтверждающих получателю, что данные не были подделаны в процессе. Такие подписи имеют юридическое значение при осуществлении отношений, указанных в сертификате ключа подписи. По сравнению с собственноручными подписями, это безопаснее и экологичнее, что позволяет компаниям экономить тонны бумаги.
Как работает электронная подпись?
Цифровые подписи проверяются с помощью асимметричных криптографических ключей в сочетании с математическими функциями. Это делается путем передачи данных документа математической функции, которая генерирует строку чисел, известную как хеш. Если указанные номера совпадают на стороне получателя, документ может быть проверен на подлинность. Вот пошаговый процесс создания цифровой подписи:
- Отправитель генерирует два набора ключей: открытый ключ (используемый другими для проверки подлинности документа) и закрытый ключ (который является секретным и известен только отправителю). Обычно это делается путем выбора поставщика цифровой подписи.
- Если отправитель хочет подписать документ цифровой подписью, он загружает его в программное обеспечение для цифровой подписи. В котором он проходит через хэш-алгоритм. Это создает хеш-значение, которое шифруется с помощью закрытого ключа отправителя. Это делает документ цифровой подписью.
- Затем отправитель отправляет получателю и документ, и цифровую подпись (нет необходимости в шифровании документа).
- Когда получатель получает цифровую подпись, он расшифровывает асимметричную криптографию, используя открытый ключ отправителя, и получает хеш-значение, сгенерированное отправителем.
- Затем получатель передаст файл тому же алгоритму и также получит хеш-значение.
- Если сгенерированные хеш-значения отправителя и получателя совпадают, подлинность документа может быть подтверждена. Если они не совпадают, скорее всего, документ был изменен.
Важно отметить, что на практике процесс проверки хеш-значений автоматизирован и встроен во многие программные средства цифровой подписи. Программное обеспечение автоматически отобразит ошибки сопоставления на экране. Это скорее объяснение того, как процесс работает на бэкенде.
Еще одним важным моментом является то, что цифровая подпись не шифрует сам документ. Некоторые программные решения предлагают эту функцию, но шифрование и дешифрование документов требует слишком много времени и вычислительной мощности. Гораздо эффективнее зашифровать только хеш-значение.
Типы цифровых подписей
Цифровые подписи делятся на три класса в зависимости от уровня защиты, который они добавляют.
Простая электронная подпись
Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.
Усиленная электронная подпись
Различаются усиленная неквалифицированная электронная подпись и усиленная квалифицированная электронная подпись.
Неквалифицированной электронной подписью является электронная подпись, которая:
- получена в результате криптографического преобразования информации с использованием ключа электронной подписи;
- позволяет определить лицо, подписавшее электронный документ;
- позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;
- создастся с использованием средств электронной подписи.
Квалифицированной электронной подписью является электронная подпись, которая соответствует всем признакам неквалифицированной электронной подписи и следующим дополнительным признакам:
- ключ проверки электронной подписи указан в квалифицированном сертификате;
- для создания и проверки электронной подписи используются средства электронной подписи, имеющие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.
Как создать электронную подпись?
Чтобы использовать цифровую подпись, вам сначала необходимо получить сертификат цифровой подписи от удостоверяющего центра сертификации (ЦС).
В зависимости от выбранного ЦС вам может потребоваться предоставить конкретную информацию. Также могут применяться некоторые ограничения. Эти ограничения и требования называются инфраструктурой открытых ключей, которая также позволяет создавать цифровые подписи. Это то, что назначает открытые и закрытые ключи.
В большинстве случаев процесс значительно упрощается за счет выбора поставщиков цифровых подписей, которые выступают в качестве посредников.
Пример сервиса
СБИС Электронный документооборот — это сервис, предоставляющий электронную подпись и возможность обмена документами как между компаний, так и внутри самих компаний, а так же и с физическими лицами. Есть возможность создать электронную подпись на вашем сайте. Вы можете выложить документы для клиентов на своем сайте, а СБИС поможет их заполнить, подписать электронной подписью и отправить вам.
Документы, которые вы отправляете контрагентам, автоматически подписываются электронной подписью. Другие файлы также можно подписать личной ЭП: в личном кабинете ONLINE.SBIS.RU или в мобильном приложении.
Безопасна ли цифровая подпись?
Пока вы храните свой закрытый ключ в безопасности, ваша цифровая подпись будет так же в безопасности. Инфраструктура открытого ключа генерирует две пары ключей, закрытый ключ должен храниться в секрете. Его раскрытие может поставить под угрозу подлинность ваших цифровых подписей, что может быть предшественником атаки с использованием социальной инженерии.
Часто задаваемые вопросы
Что такое Центр сертификации (ЦС)?
Центр сертификации (ЦС) — это организация, которая проверяет удостоверения и присваивает им криптографические ключи в рамках инфраструктуры открытых ключей.
Зачем мне использовать цифровую подпись?
Технология цифровой подписи широко применяется в организациях. Существуют разные сертификаты для определенных видов документов, а инфраструктура открытых ключей обеспечивает их принудительное исполнение и признание даже на региональных рынках. Это намного эффективнее предотвращает подделку, экономя ваши деньги и ресурсы в долгосрочной перспективе.
Что такое цифровой сертификат?
Цифровой сертификат — это электронный документ, выданный центром сертификации. Он содержит открытый ключ со связанным идентификатором. Он гарантирует легитимность транзакции, поскольку каждый сертификат должен быть выдан определенным органом и действителен в течение определенного времени. Невозможно создать цифровую подпись без цифрового сертификата.
Что такое квалифицированная электронная цифровая подпись (КЭП)?
Квалифицированная ЭЦП представляет собой набор символов, который создан программой для шифрования, одобренной ФСБ. Этот набор символов хранится на защищенном носителе, внешне похожем на флеш-накопитель — токене.
КЭП работает только вместе со средством криптографической защиты информации (СКЗИ), которое устанавливается на компьютер отдельно.
Когда мы подписываем документ, СКЗИ в паре с КЭП с помощью математических алгоритмов шифрует документ, создает и прикрепляет к документу файл подписи. Файл подписи содержит в себе информацию о содержании документа и о том, кто и когда подписал документ.
Когда адресат получает документ, он с помощью своей подписи расшифровывает его. СКЗИ сверяет информацию о содержании пришедшего документа с информацией в файле подписи. Если они совпадают, подпись считается действительной — это значит, документ не был изменен после подписания.