Электронная подпись (ЭП) обеспечивает юридическую значимость цифровых документов‚ подтверждая их целостность и подлинность. Подписывая архив‚ содержащий несколько файлов‚ вы защищаете весь набор данных как единое целое. Ниже – пошаговое руководство‚ которое поможет вам правильно оформить подпись архива документов.

Содержание

1. Зачем подписывать архив?
2. Подготовка архива
3. Инструменты для создания ЭП
4. Отдельная (detached) подпись
5. Встроенная (embedded) подпись
6. Проверка подписи
7. Юридические аспекты
8. Полезные советы и лучшие практики

Зачем подписывать архив?

Подпись архива даёт следующие преимущества:

• Целостность – любое изменение хотя бы одного файла внутри архива приведёт к несоответствию подписи.
• Подлинность – подтверждается авторство отправителя.
• Удобство – одна подпись покрывает весь набор файлов‚ не нужно подписывать каждый документ отдельно.
• Соответствие требованиям – многие государственные и коммерческие процедуры требуют подписи именно архива (например‚ подача отчётности в электронном виде).

Подготовка архива

Перед подписанием необходимо правильно сформировать сам архив:

1. Выберите формат архива. Наиболее распространённые – ZIP‚ RAR‚ 7z. Для государственных систем часто требуется ZIP без пароля.
2. Соберите все необходимые файлы в одну папку‚ проверьте их актуальность и отсутствие вирусов.
3. Создайте архив:
   • В Windows: правой кнопкой мыши → «Отправить» → «Сжатая (zipped) папка».
   • В Linux/macOS: zip -r archive.zip folder/ или tar -czf archive.tar.gz folder/.
4. Проверьте размер – некоторые системы ограничивают максимальный размер подписываемого файла (например‚ 100 МБ). При необходимости разбейте архив на части.

Инструменты для создания электронной подписи

В России наиболее востребованы решения‚ поддерживающие ГОСТ Р 34.10‑2012 и ГОСТ Р 34.11‑2012:

• CryptoPro CSP – коммерческий криптопровайдер‚ широко используется в госсеторе.
• VipNet CSP – альтернативный провайдер‚ также поддерживает ГОСТ.
• КриптоПро Browser Plug-in – для подписи непосредственно в веб‑интерфейсах.
• OpenSSL с плагином GOST – бесплатное решение для тех‚ кто умеет работать с командной строкой;
• КСК (КриптоСК) – отечественный открытый криптопровайдер.

Для обычных пользователей удобнее воспользоваться графическими оболочками:

• CryptoPro PDF (для PDF‑файлов‚ но может подписывать любые файлы через «Подписать файл»).
• КриптоПро ARM (средство для создания и проверки подписей).
• КриптоПро CSP + утилита csptest.

Отдельная (detached) подпись

Отдельная подпись хранится в отдельном файле с расширением .sig‚ .sign или .p7s. Архив остаётся unchanged‚ что удобно‚ если нужно сохранить исходный вид данных.

Шаги создания detached подписи в CryptoPro CSP

1. Откройте КриптоПро CSP → Сертификаты → выберите свой личный сертификат с закрытым ключом.
2. Нажмите Подписать файл → укажите путь к архиву (archive.zip).
3. Выберите тип подписи: Отдельная (CMS).
4. Укажите место сохранения подписи‚ например archive.zip.sig.
5. Подтвердите действие PIN‑кодом токена или паролем к закрытому ключу.

Пример командной строки (OpenSSL + GOST)

openssl cms -sign -in archive.zip -binary -out archive.zip.sig 
 -signer signer.pem -inkey key.pem -certfile ca.pem -nosmimecap

Где:

• signer.pem – сертификат подписанта.
• key.pem – закрытый ключ.
• ca.pem – корневой сертификат УЦ (для построения цепочки доверия).

Встроенная (embedded) подпись

Встроенная подпись помещается непосредственно внутрь архива (например‚ как дополнительный файл signature.xml внутри ZIP). Такой формат удобно использовать‚ когда требуется передать один файл‚ содержащий и данные‚ и подпись.

Создание встроенной подписи в CryptoPro ARM

1. Откройте КриптоПро ARM → Создать подпись.
2. Выберите режим Встроенная подпись в архив.
3. Укажите исходный архив и путь к результирующему файлу (например‚ archive_signed.zip).
4. Выберите сертификат и подтвердите действие PIN‑кодом.
5. Программа добавит в архив файл META-INF/signature.xml (или аналогичный) с данными подписи.

Проверка подписи

Проверка необходима как перед отправкой‚ так и после получения архива.

Проверка detached подписи

1. В CryptoPro CSP выберите Проверить подпись.
2. Укажите файл архива (archive.zip) и файл подписи (archive.zip.sig).
3. Система сравнит хеш архива с хешем‚ закодированным в подписи‚ и проверит цепочку сертификатов.
4. Результат: «Подпись верна» или сообщение об ошибке (изменённый файл‚ недействительный сертификат и т.д.).

Проверка встроенной подписи

1. Откройте архив в любом архиваторе (например‚ 7-Zip).
2. Найдите файл подписи (обычно в папке META-INF).
3. Извлеките его и проверьте через CryptoPro CSP или утилиту csptest -keys -verify -in archive.zip.

Юридические аспекты

В Российской Федерации электронная подпись регулируется Федеральным законом № 63‑ФЗ «Об электронной подписи». Ключевые моменты:

• Подпись‚ созданная с использованием сертифицированного криптопровайдера и квалифицированного сертификата‚ имеет равную силу с рукописной подписью.
• Для подписи архива документов достаточно одной квалифицированной ЭП‚ если архив не изменяется после подписи.
• При подаче документов в государственные органы (ФНС‚ ПФР‚ суды и т.п.) часто требуется именно detached подпись в формате CMS/PKCS#7.
• Храните закрытый ключ на защищённом носителе (USB‑токен‚ смарт‑карта) и никогда не передавайте его по незащищённым каналам.

Полезные советы и лучшие практики

• Проверяйте целостность архива до подписи – вычислите контрольную сумму (SHA‑256) и сохраните её; после подписи сверьте‚ чтобы убедиться‚ что архив не был изменён случайно.
• Используйте временные метки (timestamp) – многие УЦ предлагают услугу добавления временной метки к подписи‚ что подтверждает время подписания и защищает от отзыва сертификата.
• Делайте резервные копии подписи и ключа – потеря закрытого ключа делает невозможной проверку уже подписанных документов.
• Следите за сроком действия сертификата – при истечении сертификата подпись становится недействительной; обновляйте сертификат заранее.
• Для массовой подписи автоматизируйте процесс – скрипты на базе csptest или openssl cms позволяют подписывать сотни архивов за считанные минуты.
• Проверяйте совместимость с получателем – уточните‚ какой формат подписи (detached‚ embedded‚ CAdES-BES‚ CAdES-T и т.д.) требуется в системе контрагента.

Следуя этим рекомендациям‚ вы сможете надёжно подписывать архивы документов электронной подписью‚ обеспечивая их юридическую значимость и защиту от несанкционированных изменений.