Компрометация электронной подписи — это ситуация, когда к закрытому ключу подписи получил доступ кто-то посторонний, либо появилось обоснованное подозрение, что такой доступ возможен. Дальше я разберу, по каким признакам это понять, что грозит владельцу и компании, и как действовать в первые часы, чтобы чужой подписью не подписали договор или налоговую декларацию от вашего имени. Тема примыкает к большому материалу про проверку электронной подписи, где разобрано, как вообще убедиться в действительности подписи на документе.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что такое компрометация электронной подписи
Под компрометацией понимают любое событие, после которого нельзя гарантировать, что закрытым ключом подписи распоряжаетесь только вы. Украли токен. Потеряли флешку с ключом в такси. ПИН-код знает половина бухгалтерии, потому что директор однажды продиктовал его по телефону. Сотрудник уволился, а его подпись осталась записана в реестре рабочей машины. Всё это — компрометация или подозрение на неё, а для закона разница тут небольшая.
И вот что важно понять сразу. Закон не требует от вас доказывать, что подписью уже кто-то воспользовался. Достаточно самого подозрения, что закрытка могла попасть в чужие руки. Это логика 63-ФЗ, той самой «тройки» — закона «Об электронной подписи». Статья 10 прямо обязывает участника электронного взаимодействия обеспечивать конфиденциальность ключа и не допускать его использования без согласия владельца. А если конфиденциальность нарушена — уведомить удостоверяющий центр и других участников.
Сама подпись состоит из трёх частей: сертификат, открытый ключ и закрытый ключ. Скомпрометировать можно именно закрытую часть — ту, которой формируется подпись. Открытый ключ публичен по своей природе, он и должен быть доступен всем для проверки. Сертификат тоже не секрет. А вот закрытка — это и есть та «электронная ручка», которой ставится подпись, и доступ к ней должен быть только у владельца.
Мария Ж, специалист по цифровой подписи и КЭДО:
«У людей отношение к подписи часто халатное, чего уж там. Выпустили серт на физлицо, записали в реестр на рабочем компьютере, повесили на него МЧД — и забыли. Человек уволился, а закрытка осталась лежать. И ничего технически не мешает использовать эту подпись дальше. Вот это и есть компрометация, хотя формально ничего «не украли».»
Степень тяжести зависит от вида подписи. Если скомпрометирована УКЭП руководителя, выпущенная в удостоверяющем центре ФНС, — это серьёзно, такой подписью можно подать декларацию, заключить сделку, сменить директора в ЕГРЮЛ. Если речь про ПЭП, которой сотрудник подписывает заявление на отпуск внутри КЭДО, — последствия скромнее, но процедуру реагирования это не отменяет.
Как происходит компрометация: типичные сценарии
Большинство случаев — это не хакерский взлом криптографии. Алгоритмы ГОСТ устроены так, что подобрать закрытый ключ по открытому за разумное время нельзя. Ломается не математика, ломается организация процесса. Перечислю, как это случается на практике.
Передача токена другому человеку. Классика. Директор отдаёт флешку с подписью главбуху «чтобы отчётность сдавала». С момента передачи подпись скомпрометирована — подписать ею можно что угодно, и доказать потом, что это была не воля директора, почти невозможно.
Хранение в незащищённом месте без ПИН-кода. Токен лежит в общем ящике стола, ПИН не установлен или записан на бумажке рядом. Любой, кто проходит мимо, технически может подписать документ.
Кража или потеря носителя. USB-токен маленький, теряется легко. Нам в практике присылали историю, как сертификат с ключами нашли где-то в кафе — человек просто оставил флешку на столе. Если носитель пропал, ключ надо считать скомпрометированным, даже если «наверное, никто не успел».
Утечка через удалённый доступ. Тут тоньше. Когда токен пробрасывают в RDP-сессию на удалённую машину, а канал не защищён, появляется риск перехвата. Проброс токена наружу через открытые порты ставит под угрозу не только подпись, но и всю терминальную станцию.
Незакрытый доступ после увольнения. Сотрудник ушёл, а подпись на физлицо осталась в реестре, и на ней висит машиночитаемая доверенность — эмчедэшка. Должность человека уже неактуальна, но сама закрытка-то лежит. Если МЧД выпущена без привязки к конкретной должности, бывший работник или тот, у кого остался доступ к машине, формально может ещё что-то подписать.
Мария Ж, судебный эксперт по трудовому праву:
«Был показательный спор: сотрудника уволили по соглашению сторон, подписанному его УНЭП на токене. Тот пошёл в суд — мол, не я подписывал, серт хранился в общем сейфе, который иногда открыт. Суд поднял всю обвязку: документы о введении КЭДО, действовала ли подпись на момент, был ли документ реально передан в УЦ. И в итоге увольнение признали незаконным, восстановили человека и взыскали средний заработок. Вот вам цена халатного хранения — для работодателя это прямой минус.»
Как понять, что подпись скомпрометирована: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Проверьте физическое наличие носителя. Токен или флешка на месте? Если пропал — считайте ключ скомпрометированным.
- Шаг 2. Вспомните, кому был известен ПИН-код и кто имел доступ к рабочей машине, где установлена подпись.
- Шаг 3. Проверьте через личный кабинет ФНС, на портале Госуслуг или в банке, не появились ли операции и документы, которые вы не совершали.
- Шаг 4. Уточните статус сертификата в удостоверяющем центре — не отозван ли он, не приостановлен ли без вашего ведома.
- Шаг 5. Если есть хоть одно подозрение — не используйте ключ дальше и переходите к отзыву сертификата.
Последствия компрометации электронной подписи
Теперь про то, ради чего всё это. Что реально может случиться, если чужая рука дотянулась до вашей закрытки.
Финансовые потери напрямую. Скомпрометированной УКЭП можно подписать платёжку, кредитный договор, договор займа. Деньги уходят, а формально — вы же подписали. Доказывать обратное придётся в суде.
Подача поддельной отчётности. Чужой подписью руководителя сдают налоговые декларации, искажают показатели. Был случай, когда налоговый орган внёс запись о компрометации сертификата и отказался принимать декларацию по НДС, признав руководителя номинальным. Разгребать такое — месяцы.
Изменения в реестрах. Подписью директора можно инициировать смену участников, директора, внести правки в ЕГРЮЛ. Компанию буквально уводят из-под носа, и потом доказывай, что заявление подал не ты.
Заключение сделок от вашего имени. Договоры, обязательства, поручительства. Всё, что обычно требует подписи, теперь может быть подписано без вашего участия.
Репутационный и юридический шлейф. Даже когда вы отбились в суде, остаётся осадок: контрагенты нервничают, банк просит объяснений, а вы тратите время на разбирательства вместо работы.
Важный момент про обратимость. Заключённые мошенниками сделки и поданные от вашего имени документы можно оспорить — но только через суд и обычно с технической экспертизой. Закон не требует доказывать факт мошенничества для отзыва сертификата, достаточно подозрения. А вот для отмены уже совершённого действия доказывать компрометацию придётся. Поэтому скорость реакции решает почти всё.
Здесь обычно и возникает мысль: «а может, не самим разгребать?». Отзыв сертификата, уведомление банков и контрагентов, фиксация момента компрометации, выпуск новой подписи — всё это надо сделать быстро и без ошибок, потому что каждый час работает против вас. В сервисе Добыто мы ведём процессы подписания так, что вся цепочка подписей фиксируется с отметками времени, и при спорной ситуации видно, какой подписью, когда и какой документ был подписан. Это сильно упрощает разбор, если до него дойдёт.
Что делать при компрометации электронной подписи: порядок действий
Алгоритм простой, но важна последовательность и скорость. Логику тут искать бессмысленно — её нужно просто выполнить, и чем быстрее, тем лучше.
Первое — немедленно прекратите использовать ключ. Ни одного нового документа этой подписью. Второе — обратитесь в удостоверяющий центр, который выдал сертификат, и подайте заявление на отзыв (аннулирование) по причине компрометации. Основания для этого прямо прописаны в пункте 6 статьи 14 «тройки». Третье — уведомите всех заинтересованных: банк, ключевых контрагентов, налоговую инспекцию. Четвёртое — если есть признаки неправомерного использования, подайте заявление в полицию, это потом подтвердит вашу добросовестность. Пятое — выпустите новую подпись для дальнейшей работы.
По срокам. Удостоверяющий центр обычно отзывает сертификат в день обращения, запись в реестр и список отозванных сертификатов (CRL) вносится в течение примерно 12 часов, у многих УЦ — в пределах одного рабочего дня. С момента включения сертификата в список отзыва подпись на любых документах, созданных после этой отметки, проверку уже не пройдёт — система покажет, что подпись недействительна.
Мария Ж, юрист со стажем более 20 лет:
«Частый вопрос: можно ли просто стереть подпись из реестра на компьютере и успокоиться? Нет. Снести её с машины — не то же самое, что отозвать. Пока серт не аннулирован в удостоверяющем центре, он живёт. С точки зрения УКЭП подпись нужно именно отзывать, и делается это не в организации, а заявлением в тот УЦ или ФНС, где она выпущена.»
Отдельно про директоров и ИП. Чтобы отозвать подпись руководителя, обычно нужно лично посетить точку выдачи доверенного лица ФНС или офис УЦ. Физлица могут отозвать КЭП или НЭП в любом подразделении своего удостоверяющего центра, а при наличии действующей квалифицированной подписи — иногда и без визита в офис. Уточняйте регламент конкретного УЦ, у каждого аккредитованного центра он опубликован.
В нашей практике в Добыто при подключении компании мы сразу закладываем регламент действий на случай компрометации и увольнения — кто, куда и в какие сроки обращается. Это та обвязка, про которую обычно вспоминают поздно.
Образцы документов для работы с электронной подписью
Открыть список документов
Как проверить, действует ли подпись на документе
Если вы получили документ и сомневаетесь, не скомпрометирована ли подпись отправителя, проверка показывает главное: действовал ли сертификат на момент подписания и не попал ли он в список отозванных. При проверке строится цепочка сертификатов — от сертификата конкретного лица к удостоверяющему центру и выше, к головному УЦ. Если хоть одно звено отозвано или цепочка разорвана, подпись валидной не будет.
Отозванный сертификат — это и есть тот случай, когда система при проверке выдаёт, что ключ включён в список отозванных. Для отсоединённой подписи понадобится и сам документ, и файл подписи — тот самый сиг-файл, который лежит рядом. Удобно, что многим пригодится умение проверять файл с откреплённой УКЭП — механика проверки там та же.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Документ
Файл подписи
Базовый источник истины по статусу сертификатов — реестры удостоверяющих центров и официальные ресурсы. Списки отозванных сертификатов публикуются самими УЦ, ссылки на них зашиты в каждый сертификат. Проверить действительность подписи можно и на портале Госуслуг через соответствующий сервис подтверждения, информация о нём есть на портале Госуслуг.
Как защититься от компрометации электронной подписи
Профилактика дешевле любого суда. Меры известны, вопрос в дисциплине.
Неизвлекаемые ключи. Самый надёжный формат — когда закрытый ключ генерируется внутри чипа токена и никогда его не покидает. Скопировать такой ключ нельзя физически: он рождается, живёт и умирает внутри устройства. Это формат ФКН на современных моделях рутокенов. Подпись формируется «на борту», наружу ключ не выходит.
ПИН-код и двухфакторная защита. Банально, но половина проблем закрывается установленным ПИН-кодом, который не записан на бумажке рядом с токеном. Для мобильной подписи через Госключ доступ защищён паролем приложения, и закрытка хранится на самом телефоне — ни у Минцифры, ни у госслужб доступа к ней нет.
Метка доверенного времени. Штамп времени в подписанном документе фиксирует момент подписания. Это защищает от задних чисел и помогает при разборе: видно, что документ подписан тогда, когда сертификат ещё действовал.
Регламент на увольнение. При уходе сотрудника его подпись надо отзывать, а не просто удалять из реестра. И эмчедэшку — тоже закрывать. Это организационная мера, и её проще встроить в процесс заранее, чем вспоминать постфактум.
Не передавать токен. Никому. Ни главбуху, ни заму, ни «на пять минут». Передал — скомпрометировал.
Мария Ж, соучредитель сервиса КЭДО Добыто:
«Когда мы подключаем компанию к КЭДО, для внутренних кадровых документов в большинстве случаев хватает ПЭП или УНЭП — и это совсем другие денюжки и другие риски, чем УКЭП руководителя на токене. Чем меньше «тяжёлых» подписей гуляет по рукам, тем меньше поверхность для компрометации. Это базовая гигиена, а не паранойя.»
Стоимость подключения защищённого подписания в КЭДО Добыто
Прямой цены «за компрометацию» не существует — это процесс, а не товар. Но затраты на безопасное подписание и хранение документов считаются понятно: они зависят от численности персонала, выбранного тарифа и набора видов подписи, которые нужны компании.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — для небольших компаний, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | До 25 сотрудников |
| Бизнес — ПЭП, УНЭП и УКЭП, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес | Минимальная оплата 50 сотрудников за 30 000 ₽ в год |
| Корпорация — всё из Бизнеса, выделенный сервер, SLA 99.9%, API | По запросу | Персональный менеджер |
Итоговая сумма зависит от того, сколько сотрудников подключается, какие виды подписи нужны и нужен ли электронный архив с длительным хранением. Чтобы прикинуть бюджет под свою численность, посмотрите актуальные тарифы сервиса Добыто — там разложено, что входит в каждый тариф.
Выводы: компрометация электронной подписи и защита от неё
Компрометация — это утрата контроля над закрытым ключом или обоснованное подозрение на неё, и закон по 63-ФЗ не требует доказывать факт мошенничества, чтобы начать действовать: достаточно подозрения. Владелец обязан обеспечивать конфиденциальность ключа и при первом же признаке проблемы немедленно прекратить его использование, обратиться в удостоверяющий центр за отзывом сертификата, уведомить банк, контрагентов и налоговую. Сертификат обычно отзывают в день обращения, запись в список отозванных вносится в пределах одного рабочего дня, после чего подпись на новых документах перестаёт проходить проверку.
На практике почти все случаи компрометации — это не взлом криптографии, а организационные дыры: переданный токен, известный посторонним ПИН, незакрытый доступ после увольнения. Поэтому защита строится на дисциплине: неизвлекаемые ключи на токене, установленный ПИН-код, метка доверенного времени, отзыв подписи при увольнении и запрет на передачу токена кому бы то ни было. Удалить подпись из реестра компьютера — не значит её отозвать, и это различие стоит запомнить твёрдо.
Скорость реакции определяет, удастся ли откатить последствия. Заключённые от вашего имени сделки оспоримы через суд при доказанной компрометации, но это месяцы разбирательств и техническая экспертиза. Чем раньше отозван сертификат и зафиксирован момент, тем проще доказать свою добросовестность и тем меньше документов мошенник успеет подписать.
Часто задаваемые вопросы
Что считается компрометацией электронной подписи?
Что делать в первую очередь, если подпись скомпрометирована?
Сколько времени занимает отзыв сертификата?
Достаточно ли удалить подпись из реестра компьютера?
Можно ли оспорить документы, подписанные скомпрометированной подписью?
Чем грозит компрометация подписи руководителя?
Нужно ли отзывать подпись сотрудника при увольнении?
Можно ли скомпрометировать подпись, не теряя токен?
Что такое неизвлекаемый ключ и как он защищает от компрометации?
Кто отвечает за компрометацию при облачном хранении ключа?
Как метка доверенного времени помогает при споре о подписи?
Компрометация подписи — это всегда гонка со временем, и выигрывает тот, у кого процесс выстроен заранее. В сервисе Добыто мы выстраиваем подписание так, чтобы у компании было меньше «тяжёлых» подписей на руках, а каждый документ имел прозрачную и фиксируемую историю подписания. За время работы мы подключили сотни компаний к КЭДО, и почти в каждом проекте отдельным блоком шла именно гигиена работы с подписями — кто чем подписывает, где хранятся ключи, что происходит при увольнении.
Если вы переводите кадровые и иные документы в электронный вид, имеет смысл сразу заложить правильную модель подписания и хранения — это снижает и риск компрометации, и трудозатраты кадровой службы.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — под любой документ и уровень риска
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках и в суде
- Мобильное приложение для подписания с телефона — без передачи токена кому бы то ни было
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора с провайдером
- Защищённые каналы связи, шифрование данных, соответствие 152-ФЗ, лицензии ФСТЭК и ФСБ
- Юридическая обвязка из коробки: регламенты на отзыв подписи и действия при увольнении