Как работает электронная подпись?

Как работает электронная подпись

Электронная подпись - это криптографический механизм для подтверждения подлинности и целостности электронных документов.

Основная идея

Задача: подтвердить, что документ подписан конкретным человеком и не был изменён после подписания.

Решение: использование асимметричной криптографии с парой ключей.

Как это работает

Шаг 1: Генерация пары ключей

• Пользователь создаёт два ключа: открытый и закрытый
• Они связаны математически
• Открытый ключ позволяет проверить подпись, но не создать
• Закрытый ключ хранится в безопасности

Шаг 2: Хеширование документа

• Документ преобразуется в короткий уникальный хеш
• Используются функции: SHA-256, SHA-512
• Любое изменение документа меняет хеш

Шаг 3: Шифрование хеша закрытым ключом

• Хеш шифруется закрытым ключом
• Получается электронная подпись
• Создать подпись может только владелец закрытого ключа

Шаг 4: Проверка подписи (получатель)

• Расшифровывает подпись открытым ключом отправителя
• Получает исходный хеш
• Хеширует полученный документ
• Сравнивает хеши
• Если равны - подпись валидна и документ не изменён

Свойства электронной подписи

Аутентификация:

• Подтверждает, что документ подписан конкретным человеком
• Используется открытый ключ для проверки

Целостность:

• Гарантирует, что документ не был изменён
• Если изменить хотя бы один символ, подпись станет невалидной

Неотказуемость:

• Подписавший не может отрицать, что он подписал документ
• Только у него есть закрытый ключ
• Важно в юридическом контексте

Основные алгоритмы

RSA:

• Наиболее распространённый
• Длина ключа: 2048, 4096 бит
• Надёжный и проверенный
• Используется в X.509 сертификатах

ECDSA:

• Алгоритм эллиптических кривых
• Ключи меньше по размеру
• Быстрее чем RSA
• Используется в SSL/TLS

EdDSA:

• Современный алгоритм
• Очень быстрый и безопасный
• Используется в новых системах

Квалифицированная электронная подпись

В России и ЕС существует законодательство:

Виды подписей:

• Простая: смс код, пин-код (низкий уровень)
• Усиленная неквалифицированная: сертификат от центра сертификации
• Усиленная квалифицированная: сертификат от аккредитованного ЦС (высший уровень)

Требования к квалифицированной подписи:

• Выпущена уполномоченным центром сертификации
• Сертификат содержит открытый ключ
• Ключ привязан к конкретному лицу
• Создана с использованием средств удостоверения личности

Практические примеры использования

1. Email подписание (S/MIME, PGP):

• Отправитель подписывает письмо своим ключом
• Получатель проверяет подпись и видит, что письмо не изменено

2. PDF документы:

• Встроенная поддержка подписей
• Юридически значимо в разных странах

3. Блокчейн и криптовалюты:

• Каждая транзакция подписывается приватным ключом
• Обеспечивает подлинность и неотказуемость

4. JWT токены:

• Серверная подпись токена доступа
• Клиент может проверить подпись без обращения к серверу

5. Git коммиты:

• Разработчик подписывает свои коммиты GPG ключом
• Гарантирует, что изменения сделал именно он

6. Банковские операции:

• Клиент подписывает платежные инструкции
• Банк проверяет подпись перед выполнением

Безопасность электронной подписи

Основные угрозы:

• Компрометация закрытого ключа (кража)
• Слабый пароль для защиты ключа
• Перехват при передаче
• Фишинг и социальная инженерия

Защита:

• Хранить ключ в защищённом месте (HSM - Hardware Security Module)
• Использовать сильные пароли и двухфакторную аутентификацию
• Использовать HTTPS при передаче
• Регулярно менять ключи
• Отозвать скомпрометированный сертификат немедленно

Временная метка (Timestamping)

Проблема: как доказать, что документ был подписан в конкретный момент времени?

Решение: третья сторона - TSA (Time Stamping Authority):

• Ставит свою подпись с точной временной меткой
• Хранит доказательство в своих архивах
• Позволяет доказать момент подписания документа

Заключение

Электронная подпись - это надёжный криптографический инструмент для:

• Подтверждения подлинности в электронном виде
• Гарантии целостности документов
• Юридического признания в рамках закона
• Построения доверия в электронных системах

Правильное использование критично для безопасности в цифровой экономике.