Действительность сертификата и действительность подписи: в чём разница и как проверять правильно

Электронная подпись считается корректной только тогда, когда одновременно выполняются два независимых условия: сама подпись математически соответствует документу, а сертификат, на котором она создана, был действителен в момент подписания. Это разные проверки с разными инструментами, и путаница между ними — одна из самых частых причин ошибочных выводов о подлинности документа. Подпись может быть криптографически верной при отозванном сертификате, а действующий сертификат не спасает документ, содержимое которого изменили после подписания.

Главный ориентир такой: проверка подписи отвечает на вопрос «изменился ли документ после подписания», а проверка сертификата — на вопрос «можно ли было доверять этому владельцу в момент подписания». Ни одна из проверок по отдельности не даёт полного ответа.

Суть простыми словами

Электронная подпись — это не «картинка» или реквизит в документе, а результат криптографического преобразования: программа берёт содержимое файла и закрытый ключ владельца и вычисляет уникальное значение. Если после подписания в файле изменится хотя бы один символ, повторный расчёт даст другой результат, и подпись перестанет соответствовать документу. Именно это выявляет первая проверка — проверка целостности и корректности самой подписи.

Но корректная подпись доказывает лишь одно: документ подписал владелец закрытого ключа, и документ с тех пор не менялся. Она ничего не говорит о том, кто этот владелец и имеет ли он право подписывать такие документы. Эту роль выполняет сертификат — электронный документ, который связывает открытый ключ с конкретным лицом или организацией и выдаётся удостоверяющим центром. Сертификат имеет срок действия и может быть отозван досрочно, например если закрытый ключ скомпрометирован или сотрудник уволился. Поэтому нужна вторая проверка — статуса сертификата.

Что именно проверяется на каждом этапе

Проверка подписи

Когда программа-криптопровайдер или сервис проверки проверяет подпись, она фактически делает следующее:

• пересчитывает хеш-значение документа и сравнивает его со значением, зашифрованным в подписи открытым ключом из сертификата;
• убеждается, что структура подписи корректна и соответствует заявленному алгоритму;
• при наличии штампа времени (метки доверенного времени) сверяет момент подписания с ним.

Результат этой проверки — бинарный вывод: подпись соответствует документу или нет. Промежуточных состояний здесь практически не бывает. Если файл открывали, пересохраняли, конвертировали формат или даже меняли невидимые метаданные, подпись «слетает». Это нормальное поведение, а не сбой программы.

Проверка сертификата

Проверка сертификата сложнее, потому что у неё несколько измерений:

• срок действия. У сертификата есть дата начала и окончания действия. Подпись, сделанная вне этого периода, вызывает вопросы;
• статус отзыва. Удостоверяющий центр может досрочно отозвать сертификат — при компрометации ключа, смене данных владельца, увольнении сотрудника. Отзыв публикуется в списках отзыва (CRL) или проверяется онлайн через протокол OCSP;
• цепочка доверия. Сертификат выпущен другим сертификатом — сертификатом удостоверяющего центра, а тот, в свою очередь, опирается на корневой сертификат. Вся цепочка должна быть действительна;
• назначение ключа. В сертификате указано, для каких операций пригоден ключ. Ключ для шифрования формально не предназначен для подписи документов.

Почему обе проверки обязательны

Разберём типовые комбинации результатов, чтобы стало понятно, почему нельзя ограничиваться чем-то одним.

Подпись	Сертификат	Что это означает
Корректна	Действителен	Документ не изменён, владелец ключа подтверждён, оснований сомневаться нет
Корректна	Отозван	Документ действительно подписан этим человеком и не менялся, но доверие к ключу утрачено. Требует выяснения причины отзыва
Не соответствует	Действителен	Документ изменён после подписания либо подпись сформирована некорректно. Доверять документу нельзя
Не соответствует	Отозван	Максимальный уровень риска: возможны и подмена документа, и компрометация ключа

Особого внимания заслуживает вторая строка таблицы. Отзыв сертификата не всегда означает мошенничество. Частая рабочая ситуация: сотрудник подписал договор, затем уволился, и компания отозвала его сертификат. Подпись остаётся корректной, документ — неизменным, но формальная проверка покажет «сертификат недействителен». Поэтому при обнаружении отзыва важно смотреть причину и дату отзыва, а не автоматически браковать документ.

В какой момент оценивается действительность

Ключевой нюанс, который часто упускают: сертификат нужно оценивать на момент подписания, а не на момент сегодняшней проверки. Человек мог подписать документ в первый день действия сертификата, а проверить вы его решили через год, когда срок уже истёк. Формально «сертификат просрочен», но на дату подписания он был действителен, и подпись юридически состоятельна.

Именно поэтому в развитых процессах используется штамп времени (метка доверенного времени): доверенная третья сторона фиксирует, что подпись существовала в конкретный момент. Со штампом времени документ сохраняет доказательную силу даже после истечения срока сертификата. Без него приходится доказывать момент подписания другими способами — перепиской, журналирами систем, показаниями сторон.

Здесь же появляется понятие долгосрочной проверки (long-term validation): архивирование всех необходимых данных — цепочки сертификатов, списков отзыва, ответов OCSP, штампов времени — вместе с документом. Это позволяет подтвердить подпись спустя годы, когда исходные сервисы уже недоступны или данные удалены.

Порядок правильной проверки

1. Определите тип подписи и формат. Отсоединённая подпись хранится отдельным файлом, присоединённая — внутри документа. Для отсоединённой убедитесь, что используете именно тот исходный файл, а не копию, прошедшую через редактор.
2. Проверьте саму подпись. Используйте штатные средства: плагин криптопровайдера для офисных программ, отдельную утилиту проверки, встроенные механизмы форматов PDF. Результат должен быть однозначным: подпись соответствует документу.
3. Изучите сертификат подписанта. Посмотрите владельца, издателя, срок действия, назначение ключа. Убедитесь, что это то лицо, которое по документам должно было подписать.
4. Проверьте статус сертификата на дату подписания. Через сервисы проверки статуса или списки отзыва издателя уточните, не был ли сертификат отозван. Если отзыв есть — выясните причину и дату.
5. Проверьте цепочку доверия. Корневой сертификат удостоверяющего центра должен быть установлен и признан в вашей системе; промежуточные сертификаты цепочки должны быть доступны и действительны.
6. Зафиксируйте результаты. Скриншоты или отчёты проверки, дата и время проверки, использованные инструменты — всё это пригодится при споре.

Типичные ошибки

• Оценка сертификата только на текущую дату. Просроченный сегодня сертификат мог быть действителен в момент подписания. Всегда сопоставляйте дату подписания и период действия сертификата.
• Игнорирование причины отзыва. Отзыв из-за компрометации ключа и отзыв из-за увольнения сотрудника — принципиально разные ситуации с разными последствиями для документа.
• Пересохранение файла перед проверкой. Открытие документа в редакторе и повторное сохранение почти гарантированно ломают подпись. Проверяйте оригинал в том виде, в каком он получен.
• Доверие сообщению «подпись верна» без деталей. Некоторые упрощённые средства проверяют только математическую корректность и молча пропускают статус сертификата. Смотрите полный отчёт проверки.
• Проверка без учёта часовых поясов и точного времени. На границе срока действия сертификата расхождение в часах может изменить вывод. Штамп времени снимает эту неопределённость.
• Отсутствие фиксации результатов. Статусы отзыва и ответы сервисов со временем меняются или исчезают. Если документ важен, сохраните доказательства проверки сразу.

Какие инструменты использовать

Набор инструментов зависит от формата документа и юрисдикции, но логика общая:

• для документов с подписью по российским стандартам — средства, совместимые с используемым криптопровайдером, и сервисы проверки, предоставляемые удостоверяющими центрами и государственными порталами;
• для PDF — функции проверки подписей в профессиональных PDF-редакторах, которые обычно показывают и целостность документа, и статус сертификата, и состояние цепочки доверия;
• для офисных форматов — плагины криптопровайдеров, интегрированные в текстовый редактор;
• для массовой или автоматизированной проверки — библиотеки и серверные решения, которые умеют строить цепочку, запрашивать OCSP/CRL и работать со штампами времени.

При выборе сервиса проверки обращайте внимание на то, показывает ли он раздельные результаты: целостность документа, статус каждого сертификата в цепочке, наличие и результат проверки отзыва, время подписания. Если инструмент выдаёт одно обобщённое «подпись действительна» без деталей, для значимых документов лучше перепроверить более подробным средством.

Сценарии: что делать в спорных ситуациях

Сертификат истёк, но подпись корректна

Если есть штамп времени, подтверждающий подписание внутри срока действия сертификата, документ, как правило, сохраняет силу. Без штампа придётся доказывать момент подписания косвенно. В спорах это слабая позиция, поэтому для долгоживущих документов штамп времени стоит закладывать заранее.

Сертификат отозван после подписания

Уточните дату и причину отзыва. Если документ подписан до отзыва и причина не связана с компрометацией ключа, подпись обычно признаётся совершённой надлежащим лицом. Если причина — компрометация, потребуется дополнительная оценка: возможно ли, что документ подписан злоумышленником от имени владельца.

Подпись не проходит проверку целостности

Прежде чем делать выводы о подделке, исключите технические причины: проверяется ли тот самый исходный файл, поддерживает ли ваш инструмент формат и алгоритм подписи, установлены ли нужные сертификаты. Только после исключения технических факторов рассматривайте версию изменения документа.

Цепочка доверия не строится

Частая бытовая причина — на компьютере не установлен корневой сертификат удостоверяющего центра. Обновите состав сертификатов через официальные источники вашего удостоверяющего центра и повторите проверку, прежде чем считать подпись недействительной.

Вопросы, которые стоит задавать при получении подписанного документа

• Каким сертификатом подписан документ и кто его выдал?
• Есть ли штамп времени и кем он проставлен?
• Каким средством можно независимо проверить эту подпись?
• Сохранены ли исходные данные для долгосрочной проверки — цепочка, ответы о статусе, штампы?

Ответы на эти вопросы экономят часы при любом последующем споре или аудите.

Частые вопросы

Можно ли ограничиться одной проверкой, если вторая недоступна?

Для черновых и внутренних задач — иногда да, осознавая риск. Для документов с юридическими последствиями — нет. Непроверенный статус сертификата означает, что вы не знаете, кому реально принадлежал ключ на момент подписания.

Почему две разные программы дают разные результаты?

Наиболее вероятные причины: разные наборы установленных корневых сертификатов, разная глубина проверки (одна проверяет только подпись, другая ещё и статус), разные версии списков отзыва. Сравните детальные отчёты обеих программ — расхождение почти всегда объясняется одним из этих факторов.

Нужно ли перепроверять старые документы?

Если документ уже принят и исполнен, повторная проверка редко требуется. Но если он может понадобиться как доказательство в будущем, убедитесь, что материалы долгосрочной проверки сохранены: со временем доступ к спискам отзыва и сервисам издателя может исчезнуть.

Что важнее — срок сертификата или отсутствие отзыва?

Это не конкурирующие критерии, а части одной оценки на дату подписания. Действующий на момент подписания, но отозванный позже сертификат — нормальная ситуация. Истёкший до подписания — серьёзный сигнал проблемы.

С чего начать прямо сейчас

Если перед вами подписанный документ, начните с двух вопросов: не менялся ли файл после подписания и был ли сертификат действителен именно в момент подписания. Проверьте подпись штатным средством на оригинальном файле, затем изучите сертификат: владельца, срок, статус на дату подписания и цепочку доверия. Любое расхождение фиксируйте с датой и инструментом проверки. А для документов, которые должны оставаться доказуемыми годами, заранее закладывайте штамп времени и хранение материалов долгосрочной проверки — восстановить их задним числом обычно невозможно.