Расшифровать электронную подпись и прочитать содержимое файла подписи нужно тогда, когда вам пришёл документ с приложенным файлом .sig, .sgn или .p7s, а вы хотите понять, кто подписал, чем подписал и что именно лежит внутри этого файла. Здесь вы узнаете, как открыть файл подписи без специальных навыков, какими инструментами вытащить из него данные о подписанте и срок действия сертификата, чем присоединённая подпись отличается от отсоединённой и почему слово «расшифровать» в обиходе означает совсем не то, что в криптографии. Это часть большого материала про проверку электронной подписи, где разобран весь цикл работы с подписанными документами — от формирования до архивного хранения.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что значит «расшифровать электронную подпись» на самом деле
Слово «расшифровать» применительно к подписи сбивает с толку почти всех, кто впервые открывает файл .sig. Люди ждут, что внутри лежит зашифрованный текст документа, который надо как-то превратить обратно в читаемый вид. Это не так. Шифрование и подпись — две разные операции, хотя обе опираются на одну и ту же пару ключей.
Разберёмся по-простому. У владельца подписи есть два ключа — закрытый и открытый. Закрытый ключ (на сленге «закрытка») хранится у владельца и никому не передаётся. Открытый ключ («открытка») публичен, он лежит прямо в сертификате и доступен всем. Когда вам надо засекретить документ перед отправкой — вы шифруете его открытым ключом получателя, а расшифровать сможет только сам получатель своей закрыткой. Это шифрование. А подпись работает в обратную сторону: подписант берёт хэш документа (короткое уникальное число, вычисленное из содержимого) и обрабатывает его своим закрытым ключом. Проверяющая сторона открытым ключом из сертификата убеждается, что хэш сходится и документ не меняли.
Поэтому когда вам говорят «расшифруй подпись и прочитай, кто подписал», речь почти всегда про чтение содержимого контейнера подписи: данные о подписанте, серийный номер сертификата, удостоверяющий центр, дату и время подписания. Сам исходный документ при этом не зашифрован — его можно открыть обычной программой, если это отсоединённая подпись. А вот если подпись присоединённая, тут уже исходный файл «завёрнут» внутрь контейнера, и без специальной программы вы его не достанете.
Мария Ж, специалист по цифровой подписи и КЭДО:
«Половина обращений к нам начинается с фразы — пришёл какой-то sig-файл, как его расшифровать. А расшифровывать там нечего, крипта так не работает. Открываешь контейнер — и внутри уже видишь и серт, и снилс владельца, и кем выдан. Просто люди по привычке зовут это расшифровкой, хотя технически это чтение метаданных подписи.»
Какие бывают файлы подписи: SIG, SGN, P7S и встроенная подпись
Прежде чем что-то открывать, надо понять, с каким форматом вы имеете дело. От этого зависит, нужен ли вам отдельный исходный документ или всё лежит в одном файле.
Подпись бывает двух основных видов — присоединённая и отсоединённая. Присоединённая (она же совмещённая, встроенная) включает документ внутрь себя: открываешь один файл — и там и данные, и подпись. Минус в том, что исходный документ без вспомогательной программы вы не прочитаете. Отсоединённая (откреплённая, отделённая) лежит рядом с документом отдельным файликом. Плюс — исходный PDF или Word открывается как обычно. Минус — файлы легко потерять или перепутать, и при проверке надо грузить оба: и документ, и файл подписи.
Теперь про расширения. Чаще всего встречаются такие:
- .sig — самый массовый формат отсоединённой подписи. Лежит рядом с документом: например, договор.pdf и договор.pdf.sig.
- .sgn — тот же контейнер подписи, просто другое расширение. Технически внутри обычно тот же CMS/PKCS#7. Встречается у ряда ведомственных систем.
- .p7s — стандартное расширение для отсоединённой подписи формата PKCS#7 (он же CMS), часто прилетает из систем электронной почты и от зарубежных контрагентов.
- .p7m — присоединённая подпись PKCS#7, где документ упакован внутрь.
- встроенная подпись в PDF — отдельного файла нет, подпись зашита прямо в PDF, и читается она плагином или встроенным просмотрщиком.
Под капотом у всех этих файлов лежит один из двух форматов: классический CMS (Cryptographic Message Syntax, он же PKCS#7) или усовершенствованный CAdES (на сленге «кадис»). CAdES отличается тем, что в него можно добавить штамп времени и доказательства действительности сертификата на момент подписания — это нужно для долгого хранения. В кадровом ЭДО и в архивах с длительными сроками хранения как раз используют усовершенствованные форматы, чтобы подпись оставалась проверяемой через 10-15 лет.
Мария Ж, судебный эксперт по трудовому праву:
«Когда спор доходит до суда, мы первым делом смотрим формат подписи. Если это голый CMS без штампа времени — доказать, что серт был действителен именно в момент подписания, бывает тяжело. А кадис со штампом времени закрывает этот вопрос сразу. Поэтому для кадровых документов я всегда топлю за усовершенствованные форматы, тут лучше переплатить вниманием, чем потом ловить грабли в заседании.»
Как прочитать содержимое файла подписи: пошаговый разбор
Дальше — конкретика. Способ чтения зависит от того, что у вас под рукой: установлено ли СКЗИ, есть ли доступ в интернет, нужен ли вам официальный протокол проверки.
Способ 1. Через программу КриптоАРМ или аналог
Это рабочий вариант, если на компьютере уже стоит КриптоПро CSP и одна из программ для подписи — КриптоАРМ ГОСТ 3, КриптоАРМ 6, Litoria Desktop или Crypto Expert. Открываете программу, добавляете файл подписи (а для отсоединённой — ещё и исходный документ), и она показывает полную карточку: кто подписал, серийный номер сертификата, кем выдан, срок действия, дату подписания, статус проверки. Программа сама строит цепочку сертификатов до головного удостоверяющего центра и сверяется со списком отозванных сертификатов.
У каждой из этих программ свой нюанс. КриптоАРМ ГОСТ 3 умеет работать с CMS и кадис-форматами, есть встроенный почтовый клиент. КриптоАРМ 6 добавил мастер подписи и встроенный просмотрщик PDF — можно читать документ как в Acrobat Reader. Litoria Desktop заточена под трансграничный документооборот. Crypto Expert поддерживает чтение и проверку подписи PDF и работу с МЧД. Для простого «открыть и прочитать, кто подписал» подойдёт любая из них.
Способ 2. Через свойства сертификата в КриптоПро
Если вам надо посмотреть не сам факт подписи, а данные сертификата подписанта, открываете сертификат двойным кликом. Система покажет три вкладки: «Общие» (кому выдан, кем выдан, срок действия с и по), «Состав» (детальные поля — снилс, инн, серийный номер) и «Путь сертификации» (та самая цепочка от вашего сертификата вверх до Минцифры). Для квалифицированной подписи цепочка длинная и многоуровневая, для неквалифицированной — короткая, наверху стоит сам удостоверяющий центр, который выдал серт.
Способ 3. Прочитать подпись без установки СКЗИ — онлайн
Самый частый запрос: документ пришёл, а ставить КриптоПро ради одного файла не хочется. И не надо. Прочитать содержимое файла подписи и проверить её можно через онлайн-сервисы прямо в браузере. На портале Госуслуг есть бесплатный сервис проверки электронной подписи — загружаете документ и файл подписи, получаете данные подписанта и статус. Сервис Контур Крипто читает и проверяет подпись онлайн. Похожие сервисы есть у других вендоров.
Логика везет одинаковая: если подпись присоединённая — грузите один sig-файл, сервис сам достанет документ и подпись. Если отсоединённая — грузите и исходный документ, и файл подписи. Многие сервисы принимают zip-архив, внутри которого лежат оба файла. После проверки выдаётся статус подписи, данные о подписанте и предложение скачать протокол проверки в PDF — это уже документ, который можно распечатать и приложить к делу. В практике Добыто мы советуем сотрудникам именно онлайн-проверку, когда нужно быстро прочитать чужую подпись на присланном документе, не разворачивая криптографию на рабочей машине.
Перед запуском онлайн-проверки полезно понимать, как файл с откреплённой УКЭП заявителя устроен и проверяется — это снимает половину вопросов о том, какие файлы куда загружать.
Способ 4. Открыть файл подписи через Блокнот — что вы там увидите
Технически файл .sig можно открыть обычным текстовым редактором. Но читаемого текста вы там не увидите. Контейнер подписи закодирован в формате DER (бинарный) либо PEM (текстовый base64 с обрамлением вида BEGIN/END). В первом случае Блокнот покажет кашу из символов, во втором — длинную строку из букв и цифр. Достать оттуда вручную данные подписанта реально только криптографическими утилитами, которые декодируют структуру. Так что Блокнот годится разве что чтобы понять, бинарный формат или текстовый, — для чтения он не инструмент.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Если файл подписи пришёл в незнакомом формате, исходный документ не открывается, а онлайн-сервис выдаёт ошибку «не удалось построить цепочку сертификатов» — тут легко закопаться на полдня. Это как раз тот момент, где имеет смысл не воевать с криптографией в одиночку, а отдать задачу тем, кто разбирает такие контейнеры ежедневно.
Специалисты Добыто помогают прочитать содержимое файла подписи, определить подписанта и подготовить корректный протокол проверки — в том числе для спорных кадровых документов и для предъявления в ГИТ или суд.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Документ
Файл подписи
Какие данные можно прочитать в файле подписи
Когда контейнер открыт, вы получаете доступ к набору полей. Не выдумывайте, что подпись — это просто галочка «подписано». Внутри лежит структурированная информация, и каждое поле имеет смысл.
Главное, что вытаскивается из сертификата подписанта: кому выдана подпись (физлицу, должностному лицу или это обезличенный сертификат на юрлицо для автоматического подписания в информационных системах), кем выдана (удостоверяющий центр — Госуслуги для неквалифицированной, либо аккредитованный УЦ типа Контура или Калуги, либо ФНС), срок действия с и по, серийный номер сертификата, снилс и инн владельца. Для квалифицированной подписи состав сертификата строго регламентирован приказом, поэтому набор полей предсказуем.
Помимо данных сертификата, в контейнере есть служебная часть: сам хэш документа, значение подписи, иногда штамп времени и ответ службы актуальных статусов (OCSP) о том, что сертификат не был отозван на момент подписания. Открытый ключ владельца тоже лежит прямо в сертификате — это публичная часть, доступная всем, именно ею проверяется подпись.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Мария Ж, юрист со стажем более 20 лет:
«Самая частая ошибка — человек смотрит на pdf со штампиком «документ подписан» и думает, что это и есть подпись. Нет. Эта плашка нарисована, сама по себе юридической значимости она не несёт. Значимость несёт электронный оригинал с файлом подписи, который можно проверить. Поэтому когда госорган присылает распечатку со штампиком вместо электронного оригинала — проверить подпись по такой бумажке невозможно, и я всегда требую именно оригинал с sig-файлом.»
Образцы документов и памятки по работе с электронной подписью
Открыть список документов
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Руководство пользователя по сервису Добыто КЭДО | Скачать |
В подборку включены только практические памятки и инструкции по работе с ЭЦП. Законы и нормативные акты в блок скачиваемых документов не входят.
Как расшифровать и прочитать подпись: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Определите формат файла по расширению: .sig, .sgn, .p7s, .p7m или встроенная подпись в PDF. Так вы поймёте, нужен ли отдельно исходный документ.
- Шаг 2. Проверьте, присоединённая подпись или отсоединённая. Если рядом с файлом подписи лежит одноимённый документ — подпись отсоединённая, понадобятся оба файла.
- Шаг 3. Выберите инструмент: программу с установленным СКЗИ (КриптоАРМ, Crypto Expert) либо онлайн-сервис (Госуслуги, Контур Крипто), если ставить криптографию не хотите.
- Шаг 4. Загрузите файлы. Для присоединённой подписи — один контейнер, для отсоединённой — документ и файл подписи (или zip-архив с обоими).
- Шаг 5. Прочитайте карточку результата: владелец сертификата, удостоверяющий центр, срок действия, серийный номер, дата подписания и статус проверки.
- Шаг 6. При необходимости скачайте протокол проверки в PDF — он пригодится для архива, для ГИТ или суда.
Частные случаи: Госуслуги, Росреестр, кадровые документы
Расшифровка подписи на документах с разных порталов имеет нюансы. На Госуслугах документ подписывается через Госключ (приложение от Минцифры с неквалифицированной или квалифицированной подписью), и вы можете отправить документ сам себе в интерфейсе портала, подписать и тут же проверить — на Госуслугах есть и страница, где скачать, где проверить подпись и сертификат.
В кадровом ЭДО отдельная история. Тут важно не только прочитать подпись, но и доказать, что конкретный работник подписал конкретный документ. В одном известном споре сотрудник заявил, что не подписывал соглашение об увольнении своей неквалифицированной подписью. Суд проверил весь комплект: документы, вводящие КЭДО в компании, действительность подписи на момент подписания и то, что подписанный документ был передан на сторону удостоверяющего центра. По итогам суд признал увольнение незаконным и восстановил сотрудника. Вывод простой — корректно прочитанная и сохранённая подпись с полным комплектом подтверждающих документов решает спор в пользу того, у кого этот комплект в порядке.
В сервисе Добыто вся цепочка подписей фиксируется с отметками времени, и при проверке или в суде мы выгружаем юридически значимый архив, где лежат и документ, и файлы подписи. Это снимает большую часть вопросов о том, кто, когда и чем подписал. Подробности процедуры для удалённых работников разобраны в материале про подписание документа УКЭП онлайн.
Мария Ж, HR-эксперт с 13-летним стажем:
«При увольнении или приёме дистанционщика я всегда проверяю, что в архиве лежит не плашка с подписью, а нормальный электронный оригинал с sig-файлом. Один раз сотрудник на удалёнке через полгода заявил, что ничего не подписывал. Открыли архив, прочитали подпись — там его серт, дата, время, всё бьётся. Вопрос закрылся за пять минут. Денюжки на нормальное хранение подписей экономить не стоит, это потом окупается одним выигранным спором.»
Стоимость работы с электронной подписью в сервисе КЭДО Добыто
Чтение и проверка отдельной подписи — бесплатные операции через онлайн-сервисы. А вот если речь о системном подписании, проверке и хранении кадровых документов с подписями, стоимость зависит от численности персонала, выбранного тарифа и набора подключаемых модулей.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — для небольших компаний, начинающих переход на КЭДО (ПЭП и УНЭП, базовые шаблоны, email-поддержка) | от 30 ₽ за сотрудника / мес | До 25 сотрудников |
| Бизнес — оптимальный выбор для среднего бизнеса (ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив) | от 50 ₽ за сотрудника / мес | Неограниченно сотрудников* |
| Корпорация — для крупного бизнеса с расширенными требованиями (всё из Бизнеса, выделенный сервер, SLA 99.9%, API и кастомные интеграции) | По запросу | Персональный менеджер |
По тарифу Бизнес действует минимальная оплата — 50 сотрудников за 30 000 ₽ в год. Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться точнее перед запуском проекта.
Типичные ошибки при чтении файла подписи
На практике люди наступают на одни и те же грабли. Разберу три самых частых.
Первая ошибка — пытаться открыть отсоединённую подпись без исходного документа. Человек получил один файл .sig, открывает его и удивляется, что внутри нет текста договора. А текста там и не должно быть: отсоединённая подпись только подтверждает документ, который лежит отдельно. Делают так из-за невнимательности при пересылке — отправитель забыл приложить второй файл. Цена ошибки — потерянное время на поиски и повторные запросы, а если документ так и не нашёлся, подпись вообще нечем проверить.
Вторая ошибка — доверять плашке «документ подписан ЭП» на распечатке. Так делают, потому что визуально штампик выглядит убедительно и кажется достаточным. Но эта плашка нарисована, она не несёт юридической значимости. Цена ошибки серьёзная: при проверке ГИТ или в суде такой документ не подтвердит подпись, и компания фактически окажется с неподтверждённым кадровым документом — со штрафами по статье 5.27 КоАП.
Третья ошибка — игнорировать разрыв цепочки сертификатов. При чтении неквалифицированной подписи система ругается, что не найден корневой сертификат, и человек просто закрывает окно. Делают так, чтобы не разбираться. Но без установленного корневого сертификата подпись не проверится, и вы не сможете доказать её действительность. Цена — та же неподтверждённая подпись и потенциальный проигрыш в споре.
Выводы: чтение и расшифровка файла электронной подписи
Расшифровка электронной подписи в бытовом смысле — это чтение содержимого контейнера, а не превращение зашифрованного текста в читаемый. Сам документ при отсоединённой подписи не зашифрован и открывается обычной программой, а внутри файла подписи лежат данные подписанта, серийный номер сертификата, удостоверяющий центр, срок действия и дата подписания. Главное — правильно определить формат (.sig, .sgn, .p7s, встроенная в PDF) и понять, присоединённая подпись или отсоединённая, потому что от этого зависит, сколько файлов нужно загружать для проверки.
Прочитать подпись можно четырьмя путями: через программу с установленным СКЗИ, через свойства сертификата, через бесплатные онлайн-сервисы без установки криптографии или, для понимания формата, через текстовый редактор. Для разовой задачи проще онлайн-сервис на Госуслугах или у вендоров — он выдаёт и данные подписанта, и протокол проверки в PDF. Для кадровых документов критично хранить электронный оригинал с файлом подписи, а не распечатку со штампиком: только оригинал подтверждает подпись при проверке и в суде. Для долгого хранения выбирайте усовершенствованные форматы CAdES со штампом времени.
В ближайшее время доля документов с присоединённой и усовершенствованной подписью будет расти, особенно в кадровом ЭДО и архивах с длительными сроками хранения. Поэтому навык быстро прочитать чужой файл подписи и понять, кто и чем подписал, становится рабочей рутиной для кадровика и юриста, а не редкой задачей.
Часто задаваемые вопросы
Можно ли прочитать содержимое файла подписи без установки КриптоПро?
Чем отличается файл .sig от .sgn и .p7s?
Почему при открытии файла .sig в Блокноте видна непонятная каша из символов?
Что нужно загрузить для проверки отсоединённой подписи?
Можно ли по файлу подписи узнать, кто именно подписал документ?
Является ли распечатка со штампиком «документ подписан ЭП» подтверждением подписи?
Что значит ошибка «не удалось построить цепочку сертификатов»?
Можно ли прочитать подпись, если истёк срок действия сертификата?
Чем отличается расшифровка подписи на документах Госуслуг и Росреестра?
Какие программы открывают присоединённую подпись с документом внутри?
Как сохранить результат проверки подписи для суда или ГИТ?
Прочитать одну подпись — дело пяти минут. А вот наладить процесс, где сотни кадровых документов подписываются, проверяются и хранятся так, чтобы любую подпись можно было поднять из архива и предъявить в ГИТ или суде — это уже системная задача. Сервис КЭДО Добыто закрывает её целиком: от выпуска подписей сотрудникам до выгрузки юридически значимого архива с файлами подписи и отметками времени.
Мы подключили к КЭДО компании разного масштаба — от стартапов до организаций с тысячами сотрудников, в том числе с распределёнными командами и удалёнщиками. Вся цепочка подписей фиксируется, чтение и проверка любого документа выполняется в пару кликов.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — для любого кадрового процесса
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках ГИТ и в суде
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора с провайдером
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Мобильное приложение для подписания документов с телефона — без похода в отдел кадров
- Защищённые каналы связи, шифрование данных, соответствие 152-ФЗ, лицензии ФСТЭК и ФСБ