Открепленная подпись — чем отличается от встроенной и как проверить

Определение

Открепленная (detached) подпись лежит отдельным файлом рядом с документом: akt.pdf и akt.pdf.sig. Сам документ при этом не меняется — его открывает обычная программа, криптосредство не нужно. Встроенная (присоединённая, attached) подпись, наоборот, упаковывает документ внутрь контейнера: файл целиком получает расширение .sig или .p7s, и чтобы прочитать содержимое, его сначала извлекают.

Расширения различаются по традиции разработчиков: .sig, .p7s из стандарта CMS, .sgn в отдельных госсистемах. По расширению нельзя понять, откреплена подпись или нет, — это определяет структура контейнера.

Как работает

Программа считает хеш файла, преобразует его закрытым ключом и складывает результат вместе с сертификатом подписанта в контейнер CMS. Для произвольных файлов такие контейнеры описывает семейство CAdES, для XML — XAdES. У PDF есть собственный вариант PAdES, где подпись всегда встроена внутрь документа и отдельного .sig не бывает.

Проверка требует обоих файлов сразу и того самого документа, который подписывали, — байт в байт. Переименовать файл можно, имя в хеш не входит. А вот открыть и пересохранить достаточно, чтобы подпись перестала сходиться: Word перепакует docx, «печать в PDF» пересоберёт PDF, архиватор изменит порядок данных.

Где открепленный вариант удобнее:

• несколько подписантов: директор и главбух кладут рядом два независимых файла подписи, порядок не важен;
• обмен с госорганами и приёмными шлюзами, которые ждут пару «документ плюс подпись»;
• документ читают люди без криптосредств — PDF открывается как обычно;
• архив: к подписи докладывают метку доверенного времени, не трогая сам документ.

Бытовой риск один, зато постоянный: файлы легко разлучить. Пересылать их нужно вместе, лучше архивом, и не переименовывать по отдельности — иначе получатель не поймёт, какая подпись к какому документу относится. Если документ печатают, на бумаге остаётся только штамп визуализации, а проверяемая пара живёт лишь в электронном виде — об этом же материал про QR-код для документа.

Частые вопросы