261107_agents_x509

Трёхстраничное резюме содержания чата (05.11.26 – 07.11.26)

Контекст. В ходе обсуждения рассматривались вопросы юридической силы электронной подписи (ЭП), формируемой без сертифицированных средств, применимости обезличенных сертификатов УКЭП для заверения объектов PKI, а также управления жизненным циклом сертификатов для технических учетных записей (ТУЗ) — активных приборов и ИИ-агентов. Ниже приведены ключевые выводы по трём акцентам.

А. Законность формирования ЭП без сертифицированных средств: приоритет проверки

1. Постановка вопроса. Пользователь указал, что формирует подпись локально через OpenSSL, используя действующий сертификат УКЭП, и спросил, является ли такая подпись юридически действительной. При этом было отмечено, что ФЗ-63 говорит о проверке с использованием сертифицированных средств, а не о формировании.

2. Уточнение правовой нормы. Статья 11 Федерального закона № 63-ФЗ «Об электронной подписи» устанавливает, что квалифицированная электронная подпись признаётся действительной при одновременном соблюдении ряда условий. Среди них — положительный результат проверки с использованием средств ЭП, имеющих подтверждение соответствия требованиям законодательства РФ. Прямого требования о том, что формирование подписи обязательно должно осуществляться сертифицированным средством, в тексте статьи 11 нет. Однако на практике использование несертифицированного средства для формирования создаёт риск оспаривания юридической силы подписи, поскольку проверяющая сторона может отказать в признании.

3. Математическая корректность vs юридическая действительность. Если подпись сформирована с помощью OpenSSL математически корректно и в соответствии с ГОСТ Р 34.10-2012 (или иным алгоритмом, указанным в сертификате), сертифицированное средство (например, КриптоПро CSP) сможет успешно проверить такую подпись с криптографической точки зрения. Однако одной успешной математической проверки недостаточно для признания подписи юридически действительной квалифицированной ЭП. Юридическая действительность требует соблюдения всех условий статьи 11, включая использование сертифицированных средств при проверке, а также действительность сертификата на момент подписания и отсутствие отзыва.

4. Практический вывод. Для внутреннего тестирования или неформального обмена, где стороны явно согласны принимать подпись, сформированную несертифицированным средством, риск ниже. Для внешнего юридически значимого оборота рекомендуется использовать сертифицированные средства как для формирования, так и для проверки ЭП. Если же задача состоит в обеспечении проверяемости подписи (а не в придании ей статуса УКЭП), достаточно, чтобы проверяющая сторона признала способ проверки в рамках соглашения.

Б. Применимость обезличенного сертификата УКЭП для генерации объектов PKI

1. Назначение обезличенного сертификата. Обезличенный сертификат УКЭП, выдаваемый УЦ ФНС, предназначен для автоматического создания и проверки электронной подписи в информационных системах без участия человека. Он содержит информацию только о юридическом лице (операторе ИС) и не содержит данных о физическом лице-владельце. Согласно разъяснениям ФНС, такой сертификат применяется исключительно для автоматического подписания документов в рамках самой ИС.

2. Возможность заверения объектов PKI. Прямых прецедентов, где ИС заверяла бы сторонние объекты PKI (например, X.509-сертификаты) обезличенным УКЭП, в открытых источниках не обнаружено. Однако теоретически такая практика возможна: ИС, действуя как удостоверяющий центр (или его функция), может выпускать X.509-сертификаты для подчинённых устройств и подписывать эти сертификаты своим обезличенным УКЭП. Это создаёт цепочку доверия: УЦ ФНС → обезличенный УКЭП ИС → X.509-сертификат устройства.

3. Юридическая сила — через соглашение. Поскольку обезличенный УКЭП не предназначен для подписания «внешних» документов от имени физического лица, его использование для заверения сертификатов будет иметь силу только в рамках соглашения между оператором ИС и сторонами, принимающими такие сертификаты. В соглашении следует зафиксировать, что подпись обезличенным УКЭП на X.509-сертификате является достаточным доказательством его происхождения и целостности. Судебной практики по таким спорам пока нет, поэтому доказательная база будет опираться на общие нормы 63-ФЗ и договорные конструкции.

4. Рекомендация. Если планируется использовать обезличенный УКЭП для заверения объектов PKI, необходимо:

  • явно указать это в регламентах ИС и договорах с контрагентами;

  • обеспечить техническую возможность проверки такой подписи всеми заинтересованными сторонами;

  • быть готовыми к возможному появлению судебной практики в будущем.

Общий итог. Обсуждение показало, что ключевым для юридической значимости ЭП является не столько способ формирования, сколько способ проверки и признание со стороны контрагента. Обезличенные сертификаты УКЭП могут использоваться для заверения объектов PKI в рамках соглашений, но требуют явной договорной фиксации. Для технических учетных записей (приборов, ИИ-агентов) необходимо выстраивать автоматизированное управление жизненным циклом сертификатов желательно с аппаратной защитой ключей и процедурами отзыва.