Шифрование и ЭЦП работают на одной паре ключей и одной инфраструктуре сертификатов, но решают противоположные задачи: подпись подтверждает авторство и целостность и не скрывает содержимое, шифрование скрывает содержимое и ничего не говорит об авторе. При подписании закрытым ключом обрабатывается не сам документ, а его хеш по ГОСТ Р 34.11-2012, а проверка идёт открытым ключом из сертификата. При шифровании порядок обратный: данные закрываются на открытом ключе получателя, а вскрыть их может только владелец парного закрытого ключа. Отсюда главное различие, которое определяет архитектуру решения: подписанный файл открывается у всех, зашифрованный — только у адресата, и одно другим не заменяется.
Разберём, что физически происходит с байтами в момент подписания, почему файл .p7s весит килобайты, а не мегабайты, и где в маршруте документа шифрование всё-таки участвует: канал TLS по ГОСТ, письма по S/MIME, контейнер закрытого ключа на токене. Покажем, чем УНЭП отличается от УКЭП на уровне криптографии, а не юридики, и какие форматы подписи переживают истечение сертификата. Разбор типовых сбоев, чек-лист диагностики, порядок ведения журнала ЭЦП, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Одна пара ключей, две противоположные операции
Асимметричная криптография даёт две независимые операции на одном ключевом материале. Подпись: закрытый ключ применяется к хешу документа, результат кладётся рядом с данными, а любой обладатель открытого ключа пересчитывает хеш и сверяет его. Шифрование: открытый ключ доступен всем, поэтому им закрывают данные, а раскрывает их только держатель закрытого ключа. Открытый ключ лежит в сертификате и публичен по определению — это набор символов, который видит любой участник обмена.
Из этого следует практическое правило, которое чаще всего нарушают при проектировании обмена: подписью нельзя обеспечить конфиденциальность. Подписанный файл читается любым, кто его получил, включая промежуточные почтовые серверы. И наоборот: зашифрованный файл без подписи не доказывает, кто его отправил.
| Параметр | Электронная подпись | Шифрование |
|---|---|---|
| Чьим ключом выполняется операция | Закрытым ключом подписанта | Открытым ключом получателя |
| Что защищает | Авторство и неизменность после подписания | Конфиденциальность содержимого |
| Российские алгоритмы | ГОСТ Р 34.10-2012 (подпись), ГОСТ Р 34.11-2012 (хеш) | ГОСТ Р 34.12-2015: Магма и Кузнечик |
| Кто может выполнить обратную операцию | Проверить может любой, у кого есть сертификат подписанта | Расшифровать может только владелец закрытого ключа |
| Что происходит с исходным файлом | Читается как раньше, содержимое не меняется | Превращается в контейнер, нечитаемый без ключа |
| Юридическая значимость по 63-ФЗ | Есть, при соблюдении условий признания подписи | Не возникает, это мера защиты информации |
Практический вывод из таблицы: для кадрового или договорного обмена нужны обе операции, но на разных участках маршрута. Подпись закрывает вопрос доказательства, шифрование — вопрос утечки при передаче.
Проверить, какая математика стоит за конкретным сертификатом, можно без сторонних утилит: откройте сертификат, вкладка состава показывает алгоритм подписи и хеш-алгоритм, серийный номер, издателя и срок действия.
Мария Ж, специалист по цифровой подписи и КЭДО: «Открытый ключ из сертификата решает две разные задачи, и путать их дорого. Когда вы отправляете документ конкретному лицу и хотите закрыть содержимое, вы шифруете его открытым ключом получателя, и расшифровать сможет только владелец парного закрытого ключа. Когда вы проверяете полученный документ, тот же открытый ключ подтверждает, что после подписания файл не изменяли. Прежде чем спорить о видах подписи, ответьте себе на один вопрос: что вы защищаете — авторство или тайну содержимого.»
Что происходит в момент подписания и почему файл подписи такой маленький
Криптопровайдер не преобразует документ целиком. Он считает хеш — короткую свёртку фиксированной длины, а затем применяет к ней закрытый ключ. Поэтому подпись договора на 200 страниц и подпись однострочного приказа занимают сопоставимый объём: в контейнер попадают значение подписи, сертификат подписанта и служебные атрибуты, а не сам документ. Именно хеш передаётся во внешние службы, когда нужен штамп времени: точное время фиксируется вместе со свёрткой документа, а не с его текстом.
Дальше результат упаковывается в контейнер CMS. Вариантов упаковки два, и выбор между ними влияет на весь дальнейший маршрут:
- Присоединённая подпись. Документ и подпись лежат в одном файле. Потерять половину комплекта невозможно, но открыть исходный документ без специального программного обеспечения не получится, и каждый следующий подписант накладывает подпись уже на файл, сформированный предыдущим.
- Откреплённая подпись. Рядом с документом появляется отдельный файл подписи. Исходный PDF или XLSX открывается штатно, но для проверки нужно передать оба файла: без парного файла подписи проверить нечего.
Расширение файла подписи — вопрос настройки, а не формата. В инструментах КриптоПро расширение выбирается из списка p7s, sig, sgn, при этом внутри остаётся один и тот же CMS-контейнер, чаще всего в профиле CAdES-BES. Из-за этого приёмная сторона иногда отклоняет корректную подпись просто потому, что её парсер ждёт .sig, а получил .sgn.
Посмотрите, что лежит внутри вашего файла p7s
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Важный нюанс из практики: у квалифицированного сертификата цепочка до корневого удостоверяющего центра ставится вместе с сертификатом, а у неквалифицированного корневые сертификаты в системное хранилище автоматически не попадают. Разрыв цепочки выглядит как отказ криптопровайдера при подписании, хотя ключ исправен. Лечится установкой корневого сертификата как доверенного, и предупреждение системы при этом стоит прочитать: после установки операционная система будет доверять всему, что выпущено этим центром.
Где в маршруте документа шифрование действительно работает
Шифрование в электронном документообороте почти никогда не применяется к подписанному файлу целиком. Оно распределено по нескольким участкам, и на каждом решается своя задача.
| Участок маршрута | Что применяется | Что произойдёт, если этого нет |
|---|---|---|
| Канал до веб-сервиса или портала | TLS, в отечественном контуре — ГОСТ TLS, в КриптоПро CSP 5.0 R3 поддержан TLS 1.3 с российской криптографией | Персональные данные и содержимое документов идут по сети в открытом виде |
| Файл, передаваемый через почту или мессенджер | Шифрование на открытом ключе получателя, для писем — S/MIME с ГОСТ Р 34.12-2015 | Вложение доступно всем, кто получил доступ к переписке или почтовому ящику |
| Контейнер закрытого ключа на носителе | Пин-код, а для функционального ключевого носителя — защита канала между провайдером и токеном по протоколу SESPAKE | Пин-код и хеш передаются в открытом виде, появляется возможность навязать данные на подпись |
| Электронный архив документов | Шифрование на сертификат организации или ответственного лица | Копия архива, вынесенная наружу, читается без ограничений |
Обратите внимание на третью строку: она объясняет, почему один и тот же токен может работать в двух режимах и почему это не формальность. Пассивный режим означает, что закрытый ключ на время операции извлекается в оперативную память рабочей станции. Режим с невыводом ключа означает, что на токен уходит хеш, а обратно возвращается готовое значение подписи.
Лайфхак: перед отправкой файла через мессенджер или обычную почту зашифруйте его открытым ключом получателя. Для писем целиком тот же результат даёт стандарт S/MIME: подпись по ГОСТ 2012, шифрование по ГОСТ 2015.
Виды ЭЦП: что меняется в криптографии, а что только в юридике
Различие между усиленной неквалифицированной и усиленной квалифицированной подписью проходит не по математике. Механизм формирования подписи у УНЭП и УКЭП одинаковый, разница в том, кто выпустил сертификат: УНЭП может выпустить сам работодатель или обычный удостоверяющий центр, УКЭП — только удостоверяющий центр, прошедший аккредитацию. У квалифицированного сертификата в вершине цепочки всегда стоит головной центр Минцифры, у неквалифицированного — тот центр, который его выдал.
Простая электронная подпись стоит отдельно: криптографии в привычном смысле там нет. Это подтверждение через учётные данные, код из SMS или подтверждённую запись на Госуслугах. Такая подпись идентифицирует пользователя, но не доказывает, что документ не меняли после подписания. Именно поэтому на портале «Работа в России» документ, подписанный работником простой подписью, дополнительно заверяется усиленной подписью ведомства, и в выгрузке появляется отдельный файл подтверждения.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельная ветка — УНЭП, выданная с использованием инфраструктуры электронного правительства. Такая подпись не требует отдельного соглашения сторон о признании: доверие к ней следует из способа выпуска. Выпускается она в мобильном приложении, и закрытая часть ключа хранится на телефоне владельца, а не в удостоверяющем центре. Скачать корневые сертификаты и разобраться с порядком получения сертификатов можно в разделе сертификатов Национального удостоверяющего центра Минцифры на Госуслугах.
Внимание: если закрытая часть ключа хранится в мобильном приложении, удаление приложения или забытый пароль означают потерю доступа к подписи. Восстановить прежний ключ нельзя, выпускается новая подпись с новым сроком действия, а прежняя остаётся отдельной сущностью.
Носитель закрытого ключа: извлекаемый, неизвлекаемый, функциональный
Глобально ключи делятся на две категории. Программные генерируются криптопровайдером, и токен в этом случае работает как хранилище, защищённое пин-кодом. Такие ключи называют извлекаемыми: во время операции закрытый ключ ненадолго попадает в оперативную память компьютера. Аппаратные генерируются криптоядром внутри микроконтроллера токена и не покидают его память, поэтому скопировать их невозможно.
Извлекаемые ключи бывают экспортируемыми и неэкспортируемыми, флаг ставится при генерации или копировании контейнера. Для сертификатов, выданных удостоверяющим центром ФНС, по регламенту доступен только неэкспортируемый контейнер. Неизвлекаемые ключи, в свою очередь, бывают в формате PKCS#11 и в формате функционального ключевого носителя, где дополнительно шифруется канал между криптопровайдером и токеном.
Мария Ж, юрист со стажем более 20 лет: «Токен — вещь мобильная, и вероятность того, что ключ всю жизнь проживёт на одной рабочей станции, невелика. Если ключ будут использовать на машинах с разными версиями криптопровайдера, вам нужен пассивный извлекаемый контейнер: с версиями ниже пятой другие режимы просто не заработают. Если весь парк уже на КриптоПро CSP 5.0 и выше, выбирайте неизвлекаемый ключ. Решение принимается один раз, при генерации, переиграть его потом нельзя.»
Практическое ограничение, о котором вспоминают уже при раскатке на подразделение: память носителя конечна. На токенах линейки ЭЦП 3.0 доступно 128 килобайт защищённой памяти, при программных ключах в формате CSP это порядка 31 контейнера. Один тяжёлый контейнер с длинными цепочками и расширениями занимает до 12 килобайт, и тогда на носитель поместится около десяти.
Факт: все релизы линейки КриптоПро CSP 5.0 — R1, R2 и R3 — сертифицированы по классам КС1, КС2 и КС3, сертификаты действуют до 1 мая 2027 года. На четвёртую версию сертификат действовал до 15 января 2026 года.
Ещё одно распространённое заблуждение: криптоядро на токене не заменяет криптопровайдер. Если информационная система требует КриптоПро CSP, его нужно установить на рабочее место и активировать лицензию. При выдаче сертификата удостоверяющим центром лицензия может быть вшита в сам сертификат и действовать столько же, сколько сертификат. Для гостовых токенов с аппаратной криптографией, будь то линейка Рутокен ЭЦП 3.0, ESMART Token ГОСТ или аналоги, правило одинаковое.
Почему подпись перестаёт проверяться и что с этим делают форматы
Базовый CMS-контейнер фиксирует авторство и целостность, но не отвечает на два вопроса: когда именно подписан документ и был ли сертификат действителен в этот момент. Пока сертификат действует, это не мешает. После истечения срока действия проверка превращается в спор, а срок хранения кадровых и финансовых документов измеряется десятилетиями.
| Формат подписи | Что добавляется в контейнер | Когда нужен |
|---|---|---|
| CMS, CAdES-BES | Значение подписи и сертификат подписанта | Оперативный обмен внутри срока действия сертификата |
| Подпись со штампом времени | Метка доверенной службы штампа времени с точным временем и хешем документа | Когда момент подписания может стать предметом спора |
| CAdES-X Long Type 1 | Штамп времени, ссылки на сертификаты и ответы службы проверки статуса сертификата | Долгосрочное хранение, подтверждение, что сертификат не был отозван к моменту подписания |
| CAdES-A | Архивная метка, заверяющая ранее добавленные доказательства | Электронные архивы со сроком хранения в десятки лет |
| PAdES, встроенная подпись PDF | Подпись внутри самого PDF, с настраиваемым графическим штампом | Когда документ должен оставаться читаемым и проверяемым в одном файле |
Существующую подпись можно усовершенствовать позднее: из CAdES-BES получить CAdES-X Long Type 1 или CAdES-A, обратившись к службе штампа времени. Собственные службы штампа времени есть у удостоверяющих центров и у налоговой службы, и это как раз тот случай, когда решение принимается на этапе проектирования архива, а не после первого спора.
Мария Ж, судебный эксперт по трудовому праву: «Без метки доверенного времени вы не докажете, в какой момент документ был подписан, и вид подписи здесь не спасает. Штамп времени фиксирует точное время вместе с хешем документа, а ответ службы проверки статуса подтверждает, что сертификат не был отозван заранее. Если документы хранятся дольше срока действия сертификата, закладывайте усовершенствованный формат сразу, переподписывать архив задним числом не получится.»
Кейс из практики: в трудовых спорах, где работник заявлял, что документ подписывал не он, суд запрашивал не распечатку со штампом, а исходный документ и файлы подписи и проверял, что именно этот документ передавался на подписание. Визуальный штамп на копии документа юридической силы не несёт: это удобная для человека визуализация, доказательство лежит в контейнере подписи.
Подпись, шифрование и машиночитаемая доверенность
МЧД не является ни подписью, ни шифрованием. Это XML-файл с данными доверителя, данными представителя и перечнем полномочий, который подписывается электронной подписью и передаётся вместе с подписанным документом. В данных МЧД указываются сведения, идентифицирующие физическое лицо, в том числе СНИЛС и ИНН, и набор полномочий, под которые она выпущена.
Отсюда следует ограничение, о которое спотыкаются при работе с распределённой структурой: доверенность выдаётся конкретному физическому лицу, а не подразделению. Доверенности «на филиал» не существует, полномочия получает конкретный сотрудник филиала, и подписывать документ он должен той подписью, которой подписан выпущенный на него МЧД. Иначе связь между документом, доверенностью и лицом не выстраивается.
Технически комплект собирается в один архив: подписанные файлы и файл доверенности складываются вместе, чтобы принимающая сторона могла проверить и подпись, и полномочия. Отдельная сложность возникает при увольнении: доверенность, выпущенная на физическое лицо без указания должности, продолжает существовать, пока её не отзовут, а сам сертификат отзывается заявлением в тот удостоверяющий центр, который его выдал, а не решением работодателя.
Шаблоны и регламенты для работы с электронной подписью
Комплект закрывает рутину вокруг подписи: начните с протокола проверки, он понадобится первым при любом споре о валидности.
| Документ | Скачать |
|---|---|
| Протокол проверки электронной подписи (образец) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
Типовые сбои: что проверять, когда подпись не проходит
Большая часть обращений в поддержку по электронной подписи не связана с криптографией. Ломается окружение: цепочка сертификатов, версия провайдера, права на рабочем месте, расширение файла. Порядок проверки экономит время, потому что отсекает причины по одной.
Как диагностировать нерабочую подпись: пошаговая инструкция
- Шаг 1. Определите тип подписи. Если файла подписи рядом нет, подпись присоединённая и документ нужно открывать средством проверки, а не просмотрщиком. Если файл подписи есть, для проверки нужны оба файла в исходном виде.
- Шаг 2. Сверьте имена и содержимое. Пересохранение, конвертация или редактирование документа после подписания меняют хеш, и подпись перестаёт сходиться. Восстановить её пересохранением обратно невозможно.
- Шаг 3. Откройте сертификат и проверьте цепочку до корневого центра. Отсутствующий корневой сертификат — самая частая причина отказа при работе с неквалифицированной подписью.
- Шаг 4. Проверьте статус сертификата на момент подписания, а не на сегодня. Отозванный сертификат делает подпись недействительной, и без штампа времени доказать, что подписание было раньше отзыва, нечем.
- Шаг 5. Сверьте версию криптопровайдера с типом ключа. Неизвлекаемые ключи и защита канала работают начиная с пятой версии, на четвёртой такой контейнер просто не откроется.
- Шаг 6. Если ничего не помогло, зафиксируйте результат проверки протоколом и запросите у второй стороны переподписание. Спор о валидности решается документом, а не перепиской.
Отдельный сценарий — забытый пароль контейнера. Если ключ хранится на токене, пин-код восстанавливается администратором носителя. Если закрытая часть лежит в мобильном приложении, восстановления нет: выпускается новая подпись, и все маршруты, где был указан прежний сертификат, придётся обновить. В практике Добыто это самая частая причина, по которой сотрудник выпадает из процесса подписания на несколько дней.
Когда шифрование документа избыточно
Шифровать всё подряд не нужно, и это не экономия, а управление рисками. Если документ передаётся внутри системы КЭДО по защищённому каналу и хранится в контуре организации, дополнительное шифрование файла добавит операцию расшифрования при каждом обращении и создаст риск потерять доступ вместе с ключом. Шифрование оправдано там, где документ покидает защищённый контур: почта, мессенджер, съёмный носитель, передача контрагенту по незащищённому каналу.
Цена ошибки в выборе считается не стоимостью лицензии. Подпись без штампа времени в архиве со сроком хранения 50 лет через год после истечения сертификата превращается в файл, валидность которого нужно доказывать отдельно. Зашифрованный на утраченный ключ архив не восстанавливается вовсе: расшифровать его может только владелец закрытого ключа, и если ключ потерян, восстановить содержимое не сможет ни разработчик, ни удостоверяющий центр.
Важный нюанс из практики: у поставщиков средств автоматизации подписи около 80% запросов приходится на операции с подписью — проверку, формирование, усовершенствование, и лишь около 20% на шифрование и расшифрование. Перекос показывает, где в компаниях реально болит: доказательство, а не конфиденциальность.
Журнал ЭЦП и учёт сертификатов сотрудников
Инфраструктура подписи разваливается не в момент внедрения, а через год, когда никто не помнит, у кого какой сертификат, где лежит носитель и что делать при увольнении. Журнал ЭЦП решает три задачи: связывает сотрудника, сертификат и носитель, фиксирует выдачу и возврат, показывает сроки истечения заранее.
Минимальный набор полей: владелец сертификата, издатель, серийный номер и отпечаток, срок действия, тип ключа и носителя, назначение сертификата, отметка о выдаче МЧД, дата и основание отзыва. Отпечаток здесь важнее фамилии: именно он однозначно связывает запись журнала с подписью на документе.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Отзыв сертификата при увольнении — это заявление в тот удостоверяющий центр, который его выдал, а не удаление контейнера из реестра рабочей станции. Удалили локально — в реестре центра сертификат продолжает действовать. Поставьте отзыв в чек-лист увольнения рядом с возвратом пропуска, и держите в журнале ЭЦП поле с датой отзыва: без него вы не докажете, что после конкретной даты подпись сотрудника использовать было нельзя.»
Если вы отвечаете за инфраструктуру и читаете этот раздел с мыслью, что вести такой журнал в таблице неудобно, учёт сертификатов и маршруты подписания закрываются на стороне системы КЭДО: в Добыто подпись, маршрут согласования и статус документа хранятся в одной записи. Мы закладываем пилотную группу до раскатки на всю компанию: на ней вылезают несовпадения версий провайдера и типов ключей, которые в масштабе всей организации разбирать дороже.
Стоимость подключения КЭДО и электронных подписей
Стоимость зависит от численности сотрудников и набора функций: интеграции с учётной системой, электронного архива, требований к SLA и инфраструктуре.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за один день |
Итоговая сумма складывается из численности, выбранного набора функций и требований к инфраструктуре, поэтому корректнее считать её от конкретного штата, а не от количества документов. Актуальные условия и состав каждого тарифа опубликованы на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а переход между тарифами возможен в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Подпись и шифрование опираются на общую математику и общую инфраструктуру сертификатов, но закрывают разные риски: одна отвечает за доказательство авторства и неизменности, второе — за конфиденциальность при передаче и хранении. Практические решения принимаются на трёх развилках: где хранится закрытый ключ, какой формат подписи выбран для срока хранения документа и на каких участках маршрута включено шифрование. Ошибка на любой из них проявляется не сразу, а через год или в момент спора, когда переиграть уже нельзя.
В Добыто эти развилки закрываются на уровне платформы: подписание, маршруты согласования, хранение документов и учёт сертификатов работают в одном контуре, а виды подписи для сотрудников подбираются под тип документа и требования к доказательству.
Частые вопросы
Можно ли зашифровать документ своим сертификатом, чтобы его открыл только получатель
Нет. Шифруют всегда на открытом ключе того, кто должен прочитать документ, поэтому вам нужен сертификат получателя, а не свой. Если зашифровать файл своим сертификатом, расшифровать его сможете только вы. Для обмена в обе стороны стороны обмениваются сертификатами заранее, а в почтовых клиентах с поддержкой S/MIME это делается автоматически при первом подписанном письме.
Чем .p7s отличается от .sig и .sgn
Расширением, а не содержимым. В инструментах КриптоПро расширение подписанного файла выбирается из списка p7s, sig или sgn, внутри в обоих случаях лежит CMS-контейнер, чаще всего в профиле CAdES-BES. Проблема возникает на приёмной стороне: если её парсер ждёт конкретное расширение, файл придётся переименовать, содержимое подписи от этого не меняется.
Почему подпись перестала проверяться после того, как файл открыли и сохранили
Подпись считается от хеша документа. Любое пересохранение, конвертация или добавление комментария меняют байты файла, а значит и хеш, поэтому проверка даёт расхождение. Вернуть подпись в рабочее состояние повторным сохранением нельзя: нужен исходный файл в том виде, в котором его подписывали, либо переподписание.
Что происходит с подписанным документом, когда срок действия сертификата закончился
Документ остаётся подписанным, но проверка усложняется: без штампа времени нельзя однозначно установить, что подписание произошло в период действия сертификата. Именно для этого в контейнер добавляют метку доверенной службы штампа времени и ответы службы проверки статуса сертификата, а для архивного хранения используют формат с архивной меткой.
Нужен ли КриптоПро CSP, если ключ аппаратный и криптография выполняется на токене
Да, если этого требует информационная система. Встроенное криптоядро токена не заменяет программный криптопровайдер: провайдер устанавливается на рабочее место и требует лицензии. При выдаче сертификата удостоверяющим центром лицензия может быть встроена в сам сертификат и действовать ровно столько же, сколько сертификат.
Можно ли одному человеку иметь несколько действующих подписей одновременно
Да, это не запрещено. Сертификат на токене и сертификат, установленный в реестр рабочей станции, существуют параллельно и не отменяют друг друга. Важно другое: документ, для которого выпущена машиночитаемая доверенность, нужно подписывать той же подписью, на которую эта доверенность оформлена, иначе связь между полномочиями и подписантом не подтверждается.
