В программе рядом с электронной подписью отображаются имя владельца, номер, срок действия и данные удостоверяющего центра. Эти сведения берутся из «квалифицированного сертификата электронной подписи».
При этом сертификат не является самой подписью и не заменяет закрытый ключ. Его задача другая: связать ключ проверки с конкретным владельцем и дать сведения, которые нужны для проверки КЭП.
Квалифицированный сертификат — официальный документ, который подтверждает принадлежность ключа проверки владельцу и соответствует специальным требованиям Закона № 63-ФЗ.
Сегодня же разберем, что находится внутри квалифицированного сертификата и чем он отличается от КЭП, ключа и токена. Кроме того, посмотрим, кто выдает такие сертификаты, сколько они действуют и что проверить перед использованием.
О понятии
Итак, полное название из закона — квалифицированный сертификат ключа проверки электронной подписи. В разговоре его нередко сокращают до «квалифицированного сертификата», «сертификата КЭП» или КСКПЭП.
По сути, сертификат подтверждает, кому принадлежит открытый ключ, с помощью которого проверяют электронную подпись. Поэтому получателю документа не нужно верить одному имени, которое показывает программа.
Обращаясь к первоисточнику, определение содержится в статье 2 Федерального закона № 63-ФЗ. Квалифицированным признается сертификат ключа проверки, который соответствует установленным требованиям, создан аккредитованным удостоверяющим центром либо уполномоченным федеральным органом и в связи с этим является официальным документом.
Иными словами, слово «квалифицированный» относится не просто к формату файла. За таким сертификатом стоит установленный законом порядок создания и выдачи.
Пример ситуации
Допустим, контрагент прислал договор с КЭП директора. При проверке система показывает квалифицированный сертификат с его данными, сроком действия и ключом проверки. Благодаря этому получатель может связать проверяемую подпись с конкретным владельцем сертификата.
Что указано в квалифицированном сертификате
Сертификат содержит не только фамилию владельца. В частности, обязательные сведения определяют статьи 14 и 17 Закона № 63-ФЗ.
Основные данные можно представить так:
| Сведения | Для чего нужны |
|---|---|
| Номер и срок действия | Позволяют идентифицировать сертификат и проверить период его действия. |
| Данные владельца | Показывают, кому выдан сертификат. |
| ИНН и СНИЛС | Используются для идентификации владельца в предусмотренных законом случаях. |
| Ключ проверки | Нужен для криптографической проверки электронной подписи. |
| Сведения об удостоверяющем центре | Показывают, кто создал и выдал квалифицированный сертификат. |
| Срок действия ключа КЭП | Позволяет проверить, действовал ли связанный ключ электронной подписи в нужный момент. |
Кроме того, сертификат содержит технические сведения о средствах электронной подписи и удостоверяющего центра. Если установлены ограничения использования сертификата, их также нужно учитывать.
Кстати, сам открытый элемент этой схемы мы подробно разобрали у нас на сайте в статье о ключе проверки электронной подписи. Он входит в сведения сертификата, но сертификат и ключ проверки — не одно и то же.
Чем сертификат отличается от КЭП и ключа
В повседневной речи токен, сертификат и электронную подпись иногда называют одним словом «ЭЦП». Однако это разные элементы.
| Элемент | Что делает |
|---|---|
| Ключ электронной подписи | Используется для создания электронной подписи и должен оставаться под контролем владельца. |
| Ключ проверки | Позволяет проверить подпись, созданную связанным закрытым ключом. |
| Квалифицированный сертификат | Связывает ключ проверки с владельцем и содержит сведения для проверки. |
| КЭП | Электронная подпись, созданная для конкретной электронной информации. |
| Токен | Может служить защищенным носителем ключа, но сам подписью или сертификатом не является. |
Например, сертификат можно показать другой стороне при проверке. А вот закрытый ключ передавать контрагенту нельзя, потому что с его помощью создают подпись владельца.
В свою очередь, наличие сертификата еще не означает, что конкретный договор действительно подписали этим человеком. Для этого нужно проверить саму электронную подпись на исходном документе.
Для сравнения, всю систему целиком мы разобрали у нас на сайте в статье про квалифицированную электронную подпись. Там показано, как связаны КЭП, ключи, сертификат и полномочия подписанта.
Кто выдает квалифицированный сертификат
Ответ зависит от статуса владельца. Поэтому нельзя отправить любого заявителя в один универсальный удостоверяющий центр.
Для основных случаев порядок выглядит так:
- обычное физическое лицо — обращается за квалифицированным сертификатом в аккредитованный удостоверяющий центр;
- руководитель организации — получает сертификат юридического лица по правилам статьи 17.2 Закона № 63-ФЗ через Удостоверяющий центр ФНС России;
- индивидуальный предприниматель — использует сертификат ИП, который также выдает Удостоверяющий центр ФНС России;
- участник финансового рынка — в предусмотренных законом случаях получает сертификат через Удостоверяющий центр Банка России;
- должностное лицо госоргана — для установленных категорий сертификат создает Удостоверяющий центр Федерального казначейства.
Например, ФНС прямо указывает, что ее удостоверяющий центр выдает сертификаты руководителям юридических лиц, которые вправе действовать без доверенности, индивидуальным предпринимателям и нотариусам.
При этом сотруднику организации нельзя просто оформить «сертификат компании» на свое имя вместо директора. Если представитель действует по доверенности, закон использует другую модель.
Представитель организации подписывает электронный документ своей КЭП. Одновременно с ней представляют доверенность от юридического лица, если полномочия не следуют из закона или иного основания.
Такое правило закреплено в статье 17.2 Закона № 63-ФЗ. Поэтому действующий сертификат работника сам по себе не дает ему права подписывать любой документ от имени работодателя.
Как получают квалифицированный сертификат
Конкретная процедура зависит от удостоверяющего центра и статуса заявителя. Однако общая логика остается похожей.
Прежде всего центр должен установить личность заявителя. Кроме того, он проверяет сведения и подтверждает владение ключом электронной подписи, который соответствует указанному ключу проверки.
Порядок можно представить так:
- Определите, какой сертификат нужен и кто будет его владельцем.
- Выберите удостоверяющий центр, который вправе обслуживать эту категорию заявителей.
- Подайте заявление и необходимые сведения.
- Пройдите предусмотренную идентификацию.
- Создайте ключ либо выполните процедуру, установленную выбранным удостоверяющим центром.
- Получите сертификат и сразу проверьте данные владельца и сроки.
При этом статья 18 Закона № 63-ФЗ допускает несколько способов идентификации. Например, в установленных случаях она может проходить лично, с помощью уже действующей КЭП либо дистанционно с применением предусмотренных законом технологий.
Для УЦ ФНС действуют собственные практические правила. В частности, при первичном получении ФНС требует идентификацию заявителя в точке выдачи и подходящий ключевой носитель.
Важно понимать, сертификат не хранит внутри секретный ключ как обычный файл с паролем. Что представляет собой закрытый ключ и почему его нельзя передавать другим людям, мы объяснили у нас на сайте в статье о ключе электронной подписи.
Сколько действует сертификат
У квалифицированного сертификата есть дата начала и дата окончания действия. Эти сведения обязательно указывают внутри самого сертификата.
По общему правилу сертификат начинает действовать с момента выдачи. Однако в нем может быть указана другая дата начала.
При этом окончание срока — не единственная причина прекращения действия. Например, владелец вправе подать заявление о прекращении сертификата.
Кроме того, закон предусматривает и аннулирование. В частности, это возможно, если не подтверждено владение соответствующим ключом, один и тот же ключ проверки обнаружен в другом ранее созданном сертификате либо суд установил недостоверность содержащихся сведений.
Обращаясь к правилам прекращения, основания и порядок закреплены в статье 14 Закона № 63-ФЗ. Информацию о прекращении или аннулировании удостоверяющий центр вносит в реестр сертификатов. Именно с внесением записи связано прекращение действия сертификата.
Поэтому при потере токена или подозрении на доступ постороннего недостаточно просто перестать пользоваться устройством. Нужно принять меры по ключу и обратиться за прекращением соответствующего сертификата.
Что будет после окончания срока сертификата
Истекший сертификат не означает, что все документы, подписанные раньше, автоматически потеряли силу. Для КЭП важен момент подписания.
Если достоверно известно время подписания, статья 11 Закона № 63-ФЗ требует проверить, действовали ли в этот момент сертификат и соответствующий ключ электронной подписи. Поэтому последующее окончание их срока само по себе не обнуляет прежнюю подпись.
Пример ситуации
Представим, что директор подписал договор 10 июня, а сертификат действовал до 30 июня. В июле срок сертификата закончился. Однако если достоверно известно время подписания и остальные условия статьи 11 соблюдены, июньская КЭП не становится недействительной только из-за наступления 1 июля.
Если же достоверный момент подписания определить нельзя, закон использует дату проверки. Поэтому сохранение исходных электронных файлов и сведений об обмене может иметь практическое значение.
Как проверить квалифицированный сертификат
Открыть файл сертификата и посмотреть срок недостаточно. Прежде всего нужно убедиться, что данные относятся к нужному владельцу и сертификат не прекратил действие.
В частности, проверить стоит следующее:
- владельца — совпадают ли идентифицирующие сведения с ожидаемым подписантом;
- удостоверяющий центр — имел ли он право создать и выдать такой сертификат;
- сроки — действовали ли сертификат и связанный ключ в юридически значимый момент;
- статус — не прекращено и не аннулировано ли действие сертификата;
- полномочия — вправе ли владелец подписывать конкретный документ от имени другого лица или организации.
Однако проверка сертификата и проверка КЭП остаются разными действиями. Действующий сертификат связывает владельца с ключом проверки, но не подтверждает сам по себе неизменность конкретного файла.
Кстати, пошаговый порядок мы вынесли в отдельную статью о проверке электронной подписи. Там разобрано, какие файлы нужны, как читать результат и почему после технической проверки отдельно оценивают полномочия подписанта.
В итоге квалифицированный сертификат нужен не для создания красивой отметки «подписано». Он связывает открытый ключ с владельцем и дает данные для юридической проверки КЭП. Поэтому при работе с электронным документом важно смотреть не только на наличие сертификата, но и на его статус, момент подписания и полномочия человека, который использовал подпись.