Как подписать документ с JaCarta

Подписать документ с JaCarta — это операция, в которой токен Аладдин Р.Д. отдаёт закрытый ключ криптопровайдеру, а тот формирует электронную подпись по ГОСТ. Звучит коротко, на деле же между «вставил флешку» и «получил подписанный файл» стоит цепочка: драйвер, криптопровайдер, плагин и выбор формата подписи. Здесь вы получите рабочую последовательность для Windows и Linux, разберётесь, чем присоединённая подпись отличается от отсоединённой, и поймёте, почему токен не виден в RDP. Это часть большого материала про программы для подписания документов ЭЦП, где собраны все инструменты от КриптоАРМ до облачных сервисов.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое JaCarta и где он применяется для подписи

JaCarta — семейство защищённых носителей электронной подписи производства российской компании «Аладдин Р.Д.». Линейка включает USB-токены, microUSB-токены и смарт-карты. Программный комплекс для работы с ними — «Единый Клиент JaCarta», он внесён в реестр российского ПО под № 4284. Внутри чипа лежит закрытый ключ, и наружу он не извлекается. Это и есть смысл аппаратного носителя: подпись формируется «на борту», ключ физически не покидает «юсби-токен».

Моделей много, и для подписи по ГОСТ важно различать как минимум несколько: JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ, JaCarta SF/ГОСТ, JaCarta PKI, JaCarta LT и JaCarta PRO. ГОСТ-модели несут российскую криптографию, PKI-варианты чаще используют под RSA и аутентификацию. Когда вам выдали «флешку» в удостоверяющем центре, первое, что стоит сделать, — посмотреть точную маркировку. От неё зависит, какой криптопровайдер и какой режим интерфейса вы будете использовать.

Где это всё применяется на практике. Отчётность в ФНС, торговые площадки, госпорталы, обмен документами через операторов ЭДО, подписание внутренних документов компании. Для большинства задач JaCarta равноценен Рутокену — разница в драйвере и нюансах настройки, а не в результате. В практике Добыто мы подключаем токены обоих вендоров под кадровый документооборот, и для сотрудника процесс на выходе один: вставил носитель, ввёл ПИН, документ подписан.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Первый вопрос, который я задаю, когда у клиента «не подписывается»: какая именно модель токена? Половина «грабель» лезет из того, что человек ставит драйвер не от той линейки. JaCarta ГОСТ и JaCarta PKI — это две разные истории, и «серт» с одной не заведётся через интерфейс другой.»

Что нужно установить перед подписанием документа

Без программной обвязки сам по себе токен бесполезен. Аппаратная реализация криптоалгоритмов в чипе есть, но приложению нужна программная прослойка через интерфейс CryptoAPI или PKCS#11. Поэтому собираем стек целиком.

Минимальный набор для Windows выглядит так. Драйвер носителя — «Единый Клиент JaCarta», актуальная на текущий момент версия 2.13.1. Криптопровайдер — «КриптоПро CSP» версии 5.0 R2 (сборка 12000 или выше). Браузерный плагин — «КриптоПро ЭЦП Browser Plug-in», если подписывать собираетесь на госпорталах или торгах. Корневые сертификаты Минцифры России и вашего удостоверяющего центра. И, собственно, личный сертификат — тот, что в контейнере на токене.

Порядок установки имеет значение. Для ГОСТ-моделей JaCarta-2 сначала ставится КриптоПро CSP, и только потом «Единый Клиент JaCarta» 2.13.1 — тогда КриптоПро работает с приложением ГОСТ через PKCS#11-интерфейс Единой библиотеки. Сделаете наоборот — получите ситуацию, когда токен в «Едином Клиенте» виден, а криптопровайдер сертификат в контейнере не находит. Классический «затык», на котором зависают даже опытные айтишники.

Ещё одна ловушка — стандартный драйвер Microsoft Usbccid (WUDF). Windows иногда ставит его автоматически поверх токена, и тогда «Единый Клиент» устройство не видит. Лечится удалением драйвера Microsoft и установкой родного драйвера JaCarta. У нас в проектах это всплывает не каждый раз, но достаточно регулярно, чтобы внести в чек-лист первичной настройки рабочего места.

Как установить драйверы и проверить токен: пошаговая инструкция

Как подписать документ с JaCarta в КриптоАРМ ГОСТ

КриптоАРМ ГОСТ 3 от «Цифровых Технологий» — универсальное приложение для работы с электронными документами. Со встроенным почтовым клиентом, что выделяет его на фоне остальных средств подписи. Сертифицировано ФСБ России в составе КриптоПро CSP уровней КС1 и КС2, сертификат действует до мая 2027 года. Работает на Windows, Linux, macOS и российских операционных системах вроде Astra Linux.

Логика подписания строится через профили. Вы заранее настраиваете профиль подписи — указываете сертификат, формат, добавлять метку времени или нет — и дальше каждый раз применяете готовый профиль. Удобно, когда документов много и каждый раз перенастраивать неохота. В разделе «Документы» загружаете файл, нажимаете подписать, КриптоАРМ показывает подтверждение — какой именно сертификат идёт в работу, — выполняете операцию. В результатах сразу видны свойства документа, цепочка сертификации и кнопка проверки подписи.

Отдельная история — подпись PDF с визуализацией. В сертифицированную версию КриптоАРМ ГОСТ функция не попала, она доступна в релизе шестой версии и в КриптоАРМ 6. Там есть Мастер подписи и защиты PDF: загружаете документ, нажимаете «подписать и защитить», и сначала подпись невидимая. Чтобы появился «штампик» на странице, размещаете графический штамп, настраиваете его ширину, высоту, ориентацию, страницы и внешний вид. Можно добавить логотип. И есть сертификация документа — после неё в файл уже невозможно внести изменения. Тут важный нюанс, о котором забывают: визуализация рисует «плашку» на копии документа, а не на оригинале. Сам факт юридической значимости несёт криптографическая подпись, а не картинка.

Мария Ж, судебный эксперт по трудовому праву:
«Меня часто спрашивают, законна ли распечатка PDF со «штампиком» о подписи. Отвечаю прямо: бумага со «штампиком» юридической значимости сама по себе не несёт. Значимость — в электронном оригинале с присоединённой подписью, которую можно проверить. «Плашка» нужна для человека, а не для суда. В суде смотрят на сам файл подписи.»

Присоединённая и отсоединённая подпись: какой формат выбрать

Прежде чем нажать «подписать», решите, в каком формате вам нужна подпись. Их два основных. Присоединённая подпись включается внутрь документа — на выходе один файл, в котором лежат и данные, и подпись. Отсоединённая лежит рядом отдельным файликом — обычно с расширением .sig. Если потеряете .sig-файл или переименуете исходник, проверить такую подпись будет нечем.

Технически это контейнеры стандарта PKCS#7 (он же CMS) либо усовершенствованные форматы CAdES со штампами времени для долгого хранения. Рутокен и JaCarta через свой API умеют формировать CMS-подпись. Что выбрать на практике: для отправки через ЭДО и торговые площадки формат обычно задаёт сама система, вам остаётся следовать её требованиям. Для внутреннего хранения и обмена по почте чаще берут отсоединённую .sig, потому что исходный документ остаётся читаемым в привычной программе. Если вам нужно разобраться, как из обычного файла получить такой контейнер, мы подробно разбирали процесс создания отсоединённой подписи в КриптоПро — там пошагово по интерфейсу.

Ещё про метку времени. По 63-ФЗ прямого требования ставить штамп времени на каждую подпись нет. Но без него вы потом не докажете, в какой момент документ был подписан, а это создаёт риски при спорах. Поэтому метку времени я рекомендую закладывать сразу, особенно для документов с длинным сроком хранения. Это та самая профилактика «конфузных ситуаций», когда срок действия сертификата истёк, а подтвердить момент подписания нечем.

Как подписать PDF и Office-документы с токеном JaCarta

Если задача — подписать конкретный PDF с видимым штампом, кроме КриптоАРМ есть штатные пути. Adobe Reader умеет работать с сертификатом на токене: выбираете инструмент подписания, указываете сертификат из контейнера JaCarta, вводите ПИН, размещаете поле подписи на странице. КриптоПро ставит для этого свой обработчик, чтобы Adobe увидел российский сертификат.

Для Word и Excel есть «КриптоПро Office Signature» — надстройка, которая добавляет в офисные приложения функцию подписания через сертификат на токене. Документ подписывается без выгрузки в отдельный файл, подпись встраивается в сам формат документа. На выходе — привычный .docx или .xlsx, внутри которого лежит присоединённая подпись. Удобно для тех, кто не хочет уходить из офисного редактора.

Когда документов несколько десятков, поштучное подписание превращается в рутину. Тут выручает пакетный режим — в КриптоАРМ это называется пакетной подписью, когда вы выбираете пачку файлов и подписываете их одной операцией. Мы отдельно разбирали, как устроено массовое подписание документов ЭЦП, когда нужно «закрыть» сразу большой объём. Логика та же: токен один, ПИН вводится один раз на сессию, файлы уходят «скопом».

Образцы документов и памятки по работе с электронной подписью

Проверка электронной подписи после подписания

Подписали — проверьте. Это не паранойя, а нормальная гигиена: подпись недействительным ключом или просроченным сертификатом проверку не пройдёт, и лучше узнать об этом сразу, а не когда документ уже улетел контрагенту. Проверить можно в той же программе, где подписывали, через портал Госуслуг или онлайн-сервисом. На портале Госуслуг есть сервис подтверждения подлинности электронной подписи — туда загружается файл и файл подписи, система выдаёт заключение.

Что именно проверяется: действительность сертификата на момент подписания, целостность документа (не менялся ли он после подписи) и цепочка доверия до корневого центра. Если документ после подписания хоть на байт изменили, проверка покажет нарушение целостности. Это базовое свойство криптографии, и обойти его нельзя — в этом и смысл.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Совет из практики: проверяйте подпись на чужой машине хотя бы выборочно. Бывает, что на вашем компьютере «зелёная галочка» горит из-за локально установленных корневых сертификатов, а у получателя их нет, и он видит другую картину. Лучше один раз «прокинуть» файл коллеге на проверку, чем потом доказывать, что подпись валидная.»

Подписание JaCarta в удалёнке и на Linux: типичные проблемы

Самая частая жалоба айтишников — токен не виден в RDP-сессии. И это не баг. Архитектурой RDP, разработанной Microsoft, не предусмотрено использование ключевых носителей, подключённых к удалённому компьютеру. В RDP-сессии удалённая машина использует службу смарт-карт локального компьютера. То есть токен надо «пробрасывать» в сессию настройками клиента RDP (проброс смарт-карт), и при этом локальная служба смарт-карт должна быть запущена. Если «пробросить токен» не получается — подпись с удалённого сервера вы не сделаете, как ни старайтесь.

На Linux история живее, чем кажется. «Единый Клиент JaCarta» поддерживает GNU/Linux, КриптоПро CSP тоже. Для подписи на Astra Linux подойдёт КриптоАРМ ГОСТ 3 — он мультиплатформенный. Из альтернатив для российских ОС есть Litoria Desktop от «Джинн Сервис» (фокус на трансграничный документооборот, установка в один клик, совместимость с Astra Linux) и «Джин Клиент» от «Кода Безопасности» с доверенной визуализацией документа перед подписанием и защитой от подмены данных при просмотре. Выбор зависит от того, что у вас за инфраструктура и какие требования по информационной безопасности.

Про смену ПИН-кода. По умолчанию на токенах JaCarta стоят стандартные ПИН-коды, и их желательно менять. Делается это через «Единый Клиент JaCarta» в режиме администратора — там же можно провести диагностику, инициализацию и форматирование носителя. Осторожно с форматированием ГОСТ-моделей: при форматировании токена JaCarta-2 ГОСТ удаляются все объекты на токене. То есть снесёте свой «серт» вместе с «закрыткой», и придётся идти в удостоверяющий центр за перевыпуском. Логику в этом поведении искать не нужно, его нужно просто учитывать.

Стоимость подписания документов и тарифы сервиса Добыто

Сам по себе токен JaCarta вы покупаете у вендора или удостоверяющего центра, а вот стоимость организации подписания в компании зависит от другого — от численности сотрудников, выбранного тарифа и набора подключаемых модулей. Когда подписывает один человек для отчётности, хватает связки токен плюс КриптоПро. Когда подписывают сотни сотрудников в кадровом документообороте, разумнее единый сервис, где подписание встроено в процесс.

Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться точнее. Тариф Корпорация рассчитывается индивидуально под требования по информационной безопасности и SLA.

Подписать документ электронной подписью онлайн

1 Загрузите необходимые файлы:

Перетащите или выберите файл

2 Выберите электронную подпись:

Отправить

Отправить

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Выводы: подписание документов с токеном JaCarta

Подписать документ с JaCarta получится только при собранном стеке: драйвер «Единый Клиент JaCarta», криптопровайдер КриптоПро CSP 5.0 R2 и личный сертификат в контейнере. Для ГОСТ-моделей JaCarta-2 порядок установки строгий — сначала КриптоПро, потом драйвер токена, иначе криптопровайдер не увидит сертификат. Закрытый ключ из чипа не извлекается, подпись формируется на самом носителе, и в этом главное преимущество аппаратного токена перед файловым ключом.

Перед подписанием определитесь с форматом: присоединённая подпись лежит внутри документа, отсоединённая — отдельным .sig-файлом, а стандарты PKCS#7 и CAdES задают, как именно упакована подпись. Метку времени стоит ставить сразу, особенно на документы с длинным сроком хранения. После подписания проверяйте результат — на портале Госуслуг, в программе подписания или онлайн-сервисом, и хотя бы выборочно на чужой машине. Графический штамп на PDF — это визуализация для человека, а юридическую значимость несёт сам файл подписи.

В удалённой работе держите в голове ограничение RDP: токен надо пробрасывать в сессию, иначе подпись с сервера не пойдёт. На Linux и российских ОС подпись возможна через КриптоАРМ ГОСТ 3, Litoria Desktop или Джин Клиент. И не забывайте менять стандартный ПИН-код через режим администратора, аккуратно обращаясь с форматированием — на ГОСТ-моделях оно стирает все объекты на токене.

Часто задаваемые вопросы