об архитектуре обработки электронной подписи в сервисе Cert4U и об отсутствии деятельности, подлежащей лицензированию ФСБ России
Настоящая справка подготовлена индивидуальным предпринимателем Бутуниным Климом Юрьевичем (ИНН 772452887850, ОГРНИП 320774600117303, далее — Оператор сервиса), являющимся правообладателем сервиса электронного подписания документов Cert4U (https://cert4u.ru), и описывает техническую архитектуру обработки электронной подписи в указанном сервисе в целях фиксации правовой позиции об отсутствии деятельности, подлежащей лицензированию в области шифровальных (криптографических) средств.
1.1. Лицензированию подлежат разработка, производство, распространение шифровальных (криптографических) средств, выполнение работ и оказание услуг в области шифрования информации, техническое обслуживание шифровальных средств (за исключением случая, когда обслуживание осуществляется для собственных нужд юридического лица или индивидуального предпринимателя), в соответствии с пунктом 1 части 1 статьи 12 Федерального закона от 04.05.2011 № 99-ФЗ и Положением о лицензировании, утверждённым Постановлением Правительства РФ от 16.04.2012 № 313.
1.2. Использование сертифицированных средств криптографической защиты информации (СКЗИ) самим лицом для собственных нужд, а также верификация (проверка) электронной подписи лицензированию не подлежат.
2.1. Формирование УКЭП в сервисе Cert4U осуществляется исключительно на устройстве подписанта (в его веб-браузере) средствами программного обеспечения КриптоПро CSP и КриптоПро ЭЦП Browser plug-in, установленного и функционирующего на стороне клиента. Закрытый (личный) ключ электронной подписи находится на устройстве подписанта (в защищённом носителе, реестре или ином ключевом носителе подписанта) и не передаётся на серверы сервиса.
2.2. Криптографическое преобразование (вычисление значения электронной подписи по ГОСТ Р 34.10-2012) выполняется СКЗИ, установленным у подписанта, под его контролем и с использованием его сертификата, выданного аккредитованным удостоверяющим центром. Оператор сервиса не выдаёт сертификаты, не является удостоверяющим центром и не участвует в создании ключевой пары.
2.3. На серверную сторону сервиса передаётся уже сформированная электронная подпись (файл подписи формата CAdES-BES) вместе с подписанным документом либо его хеш-значением.
3.1. Серверная часть сервиса Cert4U выполняет исключительно следующие операции: а) приём от подписанта готовой электронной подписи и подписанного документа; б) хранение документов, файлов электронной подписи и протоколов подписания; в) верификацию (проверку) электронной подписи — проверку математической корректности подписи, действительности и цепочки сертификата, статуса отзыва, соответствия реквизитов, — выполняемую средствами КриптоПро CSP в режиме проверки (команда верификации cryptcp -verify), что является использованием СКЗИ для собственных нужд Оператора сервиса при оказании информационных услуг.
3.2. Серверная часть не осуществляет: генерацию закрытых ключей подписантов, хранение закрытых ключей подписантов, операций по управлению ключами подписантов, формирование (вычисление) электронной подписи за подписанта, шифрование/расшифрование информации в интересах третьих лиц, передачу (распространение) шифровальных средств третьим лицам.
3.3. Простая электронная подпись (ПЭП) реализуется без применения шифровальных (криптографических) средств — посредством одноразового кода, направляемого по SMS или электронной почте, и фиксации факта его ввода. Применяемое хеширование (SHA-256) служит для контроля целостности журнала аудита и не является услугой шифрования.
3.4. Оператор сервиса не осуществляет монтаж, установку (инсталляцию), наладку шифровальных (криптографических) средств в интересах третьих лиц и не оказывает услуг по их техническому обслуживанию. Установка и настройка КриптоПро CSP и КриптоПро ЭЦП Browser plug-in выполняются подписантом самостоятельно на его устройстве. Используемое Оператором на серверной стороне СКЗИ КриптоПро CSP обслуживается Оператором исключительно для собственных нужд в режиме проверки электронной подписи, что в силу пункта 1 части 1 статьи 12 Федерального закона № 99-ФЗ не относится к лицензируемой деятельности.
4.1. Оператор сервиса не осуществляет распространение шифровальных (криптографических) средств: программное обеспечение КриптоПро устанавливается подписантами самостоятельно и используется на их устройствах; сервис его не передаёт и не распространяет.
4.2. Оператор сервиса не оказывает услуг по шифрованию информации третьим лицам: криптографическое формирование подписи производится самим подписантом на его устройстве; на серверной стороне выполняется только проверка готовой подписи и хранение.
4.3. Используемое Оператором сервиса СКЗИ (КриптоПро CSP, имеющее сертификат соответствия ФСБ России) применяется в режиме проверки электронной подписи для собственных нужд Оператора при оказании информационных услуг, что не относится к лицензируемым видам деятельности.
4.4. На основании изложенного деятельность Оператора сервиса Cert4U по эксплуатации сервиса электронного подписания не образует состава лицензируемой деятельности в области шифровальных (криптографических) средств, предусмотренной Постановлением Правительства РФ от 16.04.2012 № 313, в части распространения СКЗИ и оказания услуг шифрования третьим лицам.
4.5. Деятельность Оператора сервиса не охватывает ни один из видов работ и услуг, перечисленных в приложении к Положению о лицензировании, утверждённому постановлением Правительства РФ от 16.04.2012 № 313, в части распространения шифровальных (криптографических) средств и оказания услуг по шифрованию информации третьим лицам: Оператор не передаёт и не реализует СКЗИ, не предоставляет третьим лицам услуг по шифрованию и расшифрованию, не изготавливает и не распространяет ключевые документы, не осуществляет монтаж и обслуживание СКЗИ для третьих лиц.
ИП Бутунин К.Ю. ________________ / подпись /