Электронная и цифровая подпись: в чём разница?

Эти два выражения используют как синонимы. Они не синонимы, и разница здесь не в степени: они принадлежат к разным категориям. Одно — это правовой статус. Другое — криптография. Как только это ясно, большая часть путаницы вокруг темы исчезает.

Коротко

• Электронная подпись — категория правовая. Что считать подписью, говорит закон. И в американском, и в европейском праве критерий — намерение, а не внешний вид: набранное имя, нарисованный росчерк или клик могут ему отвечать.
• Цифровая подпись — метод технический. Она использует криптографию с открытым ключом: закрытый ключ, соответствующий ему сертификат и хеш документа — так что любое последующее изменение файла обнаруживается, а подпись возводится к ключу, которым она сделана.
• Они не соперники. Цифровая подпись — один из способов создать электронную подпись. Всякая цифровая подпись под договором является и электронной подписью; большинство электронных подписей цифровыми не являются.

Что законы определяют на самом деле

ESIGN Act определяет электронную подпись в 15 U.S.C. § 7006(5) как:

«электронный звук, символ или процесс, присоединённый к договору или иному документу либо логически с ним связанный, исполненный или принятый лицом с намерением подписать документ».

Регламент eIDAS определяет её в статье 3(10) как:

«данные в электронной форме, которые присоединены к другим данным в электронной форме или логически связаны с ними и которые используются подписантом для подписания».

Перечитайте оба определения и обратите внимание на то, чего в них нет: никакой технологии. Ни сертификата, ни ключа, ни алгоритма. Это сделано намеренно. Оба текста написаны технологически нейтральными, чтобы не устареть, когда сегодняшнюю криптографию сменит другая.

Ни один из этих актов нигде не определяет термин «цифровая подпись».

Откуда берётся путаница

Часто пишут, что eIDAS определяет «два вида цифровой подписи»: усиленную и квалифицированную. Регламент этого не говорит, и ошибку стоит разобрать, потому что она повторяется повсеместно.

eIDAS определяет три уровня электронной подписи, тремя подряд идущими пунктами:

Уровень	Определён в	Что добавляет
Электронная подпись (обычно «SES»)	Статья 3(10)	Базовый уровень. Допустима в силу статьи 25(1).
Усиленная (AdES)	Статья 3(11), через отсылку к статье 26	Однозначно связана с подписантом и позволяет его идентифицировать, находится под его единоличным контролем, последующие изменения обнаружимы.
Квалифицированная (QES)	Статья 3(12)	AdES, созданная на сертифицированном устройстве (QSCD) с квалифицированным сертификатом.

Отсюда следуют три вещи:

1. Это уровни электронной подписи, а не виды цифровой. Слово «цифровая» в Регламенте не несёт никакой нагрузки: среди определяемых терминов его нет.
2. Их три, а не два. Именно отбрасывание базового уровня из статьи 3(10) и порождает утверждение о «двух видах» — а на этот базовый уровень опирается большинство коммерческих договоров.
3. «Простая электронная подпись» и «SES» — отраслевые сокращения, а не термины закона. Регламент говорит просто «электронная подпись». Сокращение удобно, и мы им тоже пользуемся, но стоит понимать, что оно наше, а не законодателя.

На практике AdES и QES почти всегда реализуют с помощью криптографии цифровой подписи. В этом и состоит зерно истины, на котором держится утверждение о «двух видах». Но уровни определены через то, чего подпись должна достичь, а не через технику, которой этого достигают.

Делает ли цифровая подпись документ «более законным»?

Нет — и именно этот вопрос на самом деле прячется за терминологической путаницей.

Юридическая сила исходит из закона: намерение подписать, отнесение подписи к подписанту, согласие там, где оно требуется, и хранение документа. Документ либо отвечает этим условиям, либо нет. Криптография в их число не входит.

Криптография меняет другое — доказательство. Если подпись оспаривают, вопрос перестаёт быть «действителен ли такой вид подписи?» и становится «можете ли вы показать, кто подписал, что этот человек видел и что файл с тех пор не менялся?». Это доказательственная задача, и решают её надёжный журнал аудита и обнаружение изменений.

Единственное место, где уровень действительно меняет правовой результат, — это eIDAS: там QES, и только QES, автоматически приравнивается к собственноручной подписи во всех 27 государствах-членах. По ESIGN Act и UETA уровней нет вовсе: подпись либо отвечает законному определению, либо нет.

Что нужно обычному договору?

Для подавляющего большинства коммерческих договоров — соглашений о неразглашении, договоров поставки, технических заданий, предложений о работе — закон требует, а контрагент ожидает электронную подпись с полным журналом аудита. Ни ESIGN Act, ни UETA, ни базовый уровень eIDAS не требуют цифровой подписи в криптографическом смысле.

К AdES или QES стоит обращаться тогда, когда право государства-члена требует их именно для этого вида документа. Это вопрос о документе, а не о программе для подписания. Наше руководство о том, что придаёт электронной подписи юридическую силу, разбирает эти требования полностью.

Signatura выпускает простые электронные подписи с полным журналом аудита и печатью целостности SHA-256 на каждом завершённом документе. AdES и QES она не выпускает.

Частые вопросы

Цифровая подпись — это то же самое, что электронная?

Нет. «Электронная подпись» — правовая категория, определённая законом; «цифровая подпись» — криптографический приём. Цифровая подпись — один из способов создать электронную подпись, поэтому всякая цифровая подпись под договором является и электронной, но обратное неверно.

Требует ли ESIGN Act цифровой подписи?

Нет. ESIGN Act определяет электронную подпись в 15 U.S.C. § 7006(5) как символ или процесс, принятый «с намерением подписать документ». Он не предписывает никакой технологии и не использует термин «цифровая подпись».

Определяет ли eIDAS «цифровую подпись»?

Нет. eIDAS определяет «электронную подпись» (статья 3(10)), «усиленную электронную подпись» (статья 3(11)) и «квалифицированную электронную подпись» (статья 3(12)). «Цифровая подпись» в Регламенте не определяется.

Набранное имя — это цифровая подпись?

Нет: при наборе имени никакой криптографии не задействовано. Оно всё же может быть действительной электронной подписью, если удастся доказать намерение и принадлежность; когда это работает, мы разбираем в статье Имеет ли набранная подпись юридическую силу?

Одна безопаснее другой?

Они лежат в разных плоскостях. Безопасность зависит от того, что система делает на деле: как она подтверждает личность подписантов, что фиксирует и обнаруживаются ли изменения в готовом файле. Криптографическое подписание — сильный инструмент для этого, но подпись стоит ровно столько, сколько стоят доказательства за ней.

---

На этой странице право объясняется в общих чертах. Это не юридическая консультация, и страница не может сказать, чего требует именно ваш документ. Для этого обратитесь к юристу в вашей юрисдикции.

Источники: ESIGN Act, 15 U.S.C. § 7006, определения · 15 U.S.C. § 7001 · Регламент (ЕС) № 910/2014 (eIDAS), EUR-Lex — см. статьи 3, 25 и 26.