Что это такое компрометация ключа электронной подписи

Элек­трон­ная под­пись — это тех­но­ло­гия, кото­рая помо­га­ет под­твер­дить под­лин­ность элек­трон­но­го доку­мен­та: дого­во­ра, справ­ки, выпис­ки или чего-то ещё.

Если упро­щён­но, рабо­та­ет так:

Есть некий доку­мент, под­пи­сан­ный ЭП

С помо­щью спе­ци­аль­ной про­грам­мы мож­но про­ве­рить под­лин­ность этой под­пи­си и доку­мен­та

✅ Если про­грам­ма гово­рит, что всё окей, то мы можем быть уве­ре­ны: доку­мент под­пи­сал имен­но тот, кто в нём ука­зан; и с момен­та под­пи­са­ния в доку­мен­те ниче­го не изме­ни­лось.

❌ Или про­грам­ма может ска­зать, что под­пись не сов­па­ла. Это зна­чит, что либо доку­мент под­пи­сал дру­гой чело­век, либо после под­пи­са­ния кто-то изме­нил этот доку­мент (напри­мер, допи­сал ноль в сто­и­мость кон­трак­та). Так мы пой­мём, что это­му доку­мен­ту нель­зя дове­рять.

С тех­ни­че­ской точ­ки зре­ния ЭП — неболь­шой фай­лик, кото­рый при­ла­га­ет­ся к иско­мо­му доку­мен­ту. Фай­лик пере­сы­ла­ет­ся вме­сте с основ­ным доку­мен­том, его мож­но пере­да­вать по откры­тым кана­лам свя­зи, в нём нет ниче­го сек­рет­но­го.

Элек­трон­ная под­пись нуж­на, что­бы защи­щать дого­во­ры, выда­вать офи­ци­аль­ные справ­ки, заклю­чать сдел­ки и участ­во­вать в тор­гах по гос­за­куп­кам.

Условия исполнения закона о ЭЦП

Необходимость принятия федерального закона была обусловлена тем, что ЭЦП предоставляет новые права и обязанности субъектам правоотношений, а для удостоверения подлинности подписи сформирована целая система специализированных организаций. Все подзаконные акты, принятые вслед за ФЗ, лишь конкретизируют правовые механизмы и дополняют законодательную базу об ЭЦП.

ФЗ определяет условия использования ЭЦП, соблюдение которых не только признает средства ЭЦП надежными, но и позволяет обеспечить сохранность персональной информации и безопасную передачу данных даже по открытым каналам связи.

Закон прописывает также и ответственность владельца сертификата ключа. По ФЗ владелец ЭП обязан:

• хранить закрытый ключ ЭЦП втайне;
• не использовать ключи ЭЦП, если известно, что их конфиденциальность нарушена;
• требовать приостановления действия сертификата ЭЦП при подозрении на нарушение тайны закрытого ключа.

Если требования соблюдены не были, то вся ответственность и возмещение возможных убытков ложится на владельца сертификата ЭЦП.

Компрометация ключа электронной подписи

Закрытый, или секретный ключ, должен храниться только у владельца. Он выполняет две функции:

• формирует электронную подпись;
• расшифровывает полученный файл.

При его утере, или краже, невозможно прочитать присланные документы. Если подобное все же случилось, или появилось подозрение, что ключ взломан (обнаруживается при запуске программы проверки подписи при получении документа), то ключ использовать больше нельзя.

Таким образом, компрометация ключа электронной подписи это факт доступа к ключу посторонних лиц, либо подозрение на возможность такого события. При его наступлении владелец ЭП должен уведомить Удостоверяющий центр, который внесет его в специальный список и отзовет сертификат. Подпись, созданная после этого момента, считается юридически недействительной.

4. Операции с сертификатом электронной подписи в Контур.Крипто

Создание подписи

Электронная подпись гарантирует авторство и целостность данных, а значит, обеспечивает доверие к информации, содержащейся в электронном документе.

Каждая подпись создается с помощью закрытого ключа сертификата электронной подписи, который хранится на специальном носителе токене.

При создании файла подписи в него автоматически вкладывается сертификат электронной подписи, который содержит открытый ключ подписи для проверки ее подлинности получателем.

Проверка подписи

Электронная подпись, созданная с использованием сертификата, проверяется с помощью открытого ключа электронной подписи, который содержится в файле подписи.

Успешное прохождение проверки подтверждает, что данная электронная подпись была создана для полученного документа, и документ после этого не был изменен. Авторство документа получатель может проверить, ознакомившись со сведениями об авторе, которые содержатся в сертификате электронной подписи.

Шифрование документа обеспечивает конфиденциальность информации, содержащейся в документе любого формата.

Автор зашифровывает документ с помощью сертификата электронной подписи получателя, содержащего открытый ключ. Это открытая информация, которую автор документа может запросить у самого получателя. После завершения процедуры шифрования прочитать файл может только владелец того сертификата электронной подписи, с помощью которого был зашифрован документ.

Расшифрование документа происходит с помощью сертификата электронный подписи (с помощью закрытого ключа данного сертификата), на который был зашифрован документ.

Данный сертификат должен быть установлен на компьютере получателя документа.

Как оценить надёжность удостоверяющего центра

Несмотря на то, что мошеннические схемы нацелены на все возможные уязвимые места в законодательстве, которые не ограничиваются сферой электронной подписи, выбор удостоверяющего центра остается одним из важнейших слагаемых безопасного использования ЭП. Поэтому вернёмся к удостоверяющим центрам и рассмотрим подробнее критерии их надёжности.

Законодательство, в рамках которого работают аккредитованные удостоверяющие центры, применяет к ним жёсткие требования, соответствие которым необходимо подтверждать раз в пять лет. Правила аккредитации удостоверяющего центра определяются статьей 16 Федерального закона №63 «Об электронной подписи». Среди главных условий для получения удостоверяющим центром аккредитации Минкомсвязи:

• организация должна обладать чистыми активами стоимостью не менее 7 млн рублей;
• у организации должно быть финансовое обеспечение ответственности за убытки, причинённые третьим лицам вследствие их доверия к информации, указанной в сертификате ключа проверки электронной подписи, выданном УЦ, или информации, содержащейся в реестре сертификатов, который ведет этот УЦ. Сумма — не менее 30 млн рублей и 500 тысяч рублей за каждое место осуществления лицензируемого вида деятельности;
• средства электронной подписи удостоверяющего центра должны быть сертифицированы ФСБ Российской Федерации;
• удостоверяющий центр должен иметь порядок реализаций функций и исполнения обязанностей в виде регламента, правил и прочих нормативных документов, установленный в соответствии с требованиями, утверждёнными федеральным органом исполнительной власти.

Кроме этого, есть не прописанные в законодательстве критерии, по которым можно определить надёжность удостоверяющего центра:

1. Срок работы организации, количество её региональных представительств. Если компания крупная, давно на рынке и имеет множество клиентов, включая крупные организации, вероятность непредвиденных ситуаций снижается.
2. Наличие лицензии ФСТЭК. Сертификат доказывает соответствие законодательству в плане технической защиты конфиденциальных данных.
3. Статус доверенного центра ФНС, ПФР и Росстата. Если организация, помимо выдачи электронной подписи, предоставляет услуги электронной отчётности в контролирующие органы, это свидетельствует о высоком уровне доверия государства к этому удостоверяющему центру.

Фактором, снижающим доверие к удостоверяющему центру, является возможность проведения удалённого установления личности клиентов. Удалённое установление личности может подразумевать передачу отсканированных документов, необходимых для удостоверения личности клиента, через интернет и выпуск сертификата только на основании переданных документов. В таком случае вероятность предъявления поддельных документов значительно возрастает, потому что подделать фотографию или скан документа значительно проще, чем бумажный экземпляр. Кроме того, в такой ситуации невозможна непосредственная проверка соответствия личности заявителя личности владельца предъявляемых документов.

Удостоверяющий центр, проводящий удалённое установление личности, серьёзно нарушает закон, такая процедура не предусмотрена действующим законодательством.

В настоящий момент (до принятия поправок к 63-ФЗ) единственным легальным механизмом удалённой верификации личности при выдаче квалифицированного сертификата ЭП является механизм, связанный с использованием биометрического загранпаспорта. Этот вид дистанционного установления личности используется в рамках эксперимента, проводимого в соответствии с постановлением Правительства РФ от 29.10.2016 №1104.

Облачная и дистанционная электронная подпись

Технологии дистанционной и облачной электронной подписи существуют наряду с «классическими» технологиями электронной подписи, при которых для формирования ЭП используются ключи, хранящиеся на USB-токене или жёстком диске владельца сертификата, а также локальные средства электронной подписи, работающие на его компьютере.

Обе технологии предполагают в процессе формирования электронной подписи взаимодействие пользователя со специальной информационной системой. Разница между этими двумя технологиями в том, что в случае дистанционной подписи система контролирует действия пользователя и защищает его ключи ЭП, хранящиеся в мобильном устройстве. В варианте облачной подписи ключи ЭП пользователя хранятся в специальной информационной системе, а на мобильном устройстве пользователя хранятся специальные ключи для управления.

Действующая редакция Федерального закона «Об электронной подписи» не содержит прямого запрета на использование участниками электронного взаимодействия квалифицированных электронных подписей, созданных с использованием ключей электронных подписей, хранящихся в централизованном хранилище, и облачных средств электронной подписи. Однако все сертифицированные средства криптографической защиты информации, включая средства электронной подписи, должны применяться в строгом соответствии с требованиями эксплуатационной документации и в соответствии с правилами их использования, которые в обязательном порядке учитывают нормативные требования, в частности:

1. При создании электронной подписи средства электронной подписи должны (п. 8 Требований):
   • показывать лицу, подписывающему электронный документ, содержание информации, которую он подписывает;
   • создавать ЭП только после подтверждения лицом, подписывающим электронный документ, операции по созданию ЭП;
   • однозначно показывать, что ЭП создана.
2. Средство ЭП должно проводить аутентификацию субъектов доступа (лиц, процессов) к этому средству.

Планируемые изменения в Федеральный закон «Об электронной подписи» содержат дополнительные требования к использованию участниками электронного взаимодействия квалифицированных электронных подписей, созданных с использованием ключей электронных подписей, хранящихся в централизованном хранилище, и облачных средств электронной подписи.

Технология дистанционной подписи не предполагает делегирование хранения ключей третьим лицам, поэтому все связанные с этой процедурой сложности и планируемые к вводу дополнительные ограничения на использование облачных средств электронной подписи не могут применяться к ней. Подробнее с технологией дистанционной подписи IDPoint можно ознакомиться на официальном сайте приложения.

Как отозвать сертификат

В зависимости от вида ЭП (личной, связанной с работой в компании), действуют разные методики ее блокировки.

Отзыв ЭП в Сбербанке

Как отозвать ЭЦП ее владельцу:

• перейти на вкладку «Пользователи» в персональном кабинете;
• выбрать «Сертификаты»;
• выделить требуемый;
• написать причину;
• кликнуть на «Аннулировать»;
• нажать «Завершить».

Отказ от ЭП в Сбербанке через Личный кабинет.

Отзыв ЭП в казначействе

Чтобы отозвать сертификат ЭЦП казначейства, требуется личное присутствие:

• составить заявление по форме, соответствующей Приказу ФК № 261 от 14.09.2018;
• заверить подписью;
• лично передать в УЦ казначейства.

Там же, но в электронном виде:

• войти в раздел «Изменить статус сертификата» на сайте ФК;
• отметить «Прекратить действие ЭЦП»;
• заполнить поле «Причина»;
• кликнуть «Создать заявление»;
• заполнить поля;
• нажать «Завершить».

Отзыв ЭП физическим лицом

Человек может оформить услугу:

• лично прийти в УЦ или обратиться в МФЦ;
• взять форму заявления и заполнить ее;
• подписать, отдать сотруднику УЦ.

В каждом УЦ имеется информация об особенностях заполнения тех или иных документов, поэтому следует ознакомиться с ней или уточнить у работника организации. Владельца ЭП обязательно нужно проинформировать об аннуляции ЭП.

Отзыв ЭЦП при увольнении

При увольнении сотрудник может сам написать просьбу в УЦ с просьбой об отмене ЭП.

Содержание его должно соответствовать примеру текста:

Заявление на отзыв сертификата ЭП

Прошу отозвать ключ ЭЦП, (указывается его серийный номер), выданный на ФИО в связи с увольнением.

Дата составления, подпись Отметка УЦ, дата приема, подпись ФИО сотрудника УЦ.

Образец заявления на отзыв сертификата, в связи с увольнением.

По завершении данной операции на сайте УЦ будет указано, что сертификат данной ЭП отозван.

Если уволенный не желает ничего делать, то руководитель может обратиться в УЦ с той же просьбой.

Он пишет просьбу примерного содержания (на фирменном бланке):

Заявление на отзыв сертификата ключа ЭП

Место составления, дата

Компания в лице директора ФИО, действующего на основании Устава, просит отозвать сертификат ЭЦП работника ФИО в связи с его увольнением.

Данные сертификата: номер, ФИО владельца, должность лица, СНИЛС, электронная почта обладателя ЭП, ИНН компании.

Должность заявителя, ФИО, подпись, печать компании.

Образец заявления руководителя фирмы об отзыве сертификата.

Отзыв ЭП налоговой

• обратиться в УЦ и оформить заявку по телефону;
• получить документы на e-mail;
• отправить в УЦ заполненный и подписанный документ;
• дождаться ответного сообщения с подтверждением.

Что нужно знать о закрытом ключе сертификата

Если стороннему лицу открыт доступ к закрытому ключу вашей электронной подписи, последний может использовать её от вашего имени, что аналогично подделке подписи на бумажном документе. Поэтому необходимо обеспечить высокий уровень защиты закрытого ключа.

Наиболее распространенный вариант хранения закрытого ключа – на стационарном компьютере. В некоторых системах электронного документооборота реализована возможность использования хранилищ, например Рутокен, еТокен, Джакарта.

Это защищенное хранилище ключей в виде USB-брелоков и smart-карт, доступ к которому предоставляется только по pin-коду. При вводе неверного pin-кода более 3 раз хранилище блокируется, предотвращая попытки доступа к ключу путем подбора значения pin-кода. Все операции с ключом производятся в памяти хранилища, таким образом, исключается перехват ключа из оперативной памяти.

Использование специализированных хранилищ предполагает дополнительные расходы, но при этом значительно увеличивается уровень безопасности вашего ключа и электронного документооборота в целом. Поэтому эксперты рекомендуют использовать подобные устройства в работе, но окончательный выбор, конечно, всегда остается за вами.

Как работает электронная цифровая подпись

Даже те бухгалтеры, которые давно сдают отчетность через интернет, не всегда представляют, как работает один из главных элементов системы сдачи отчетности — электронная цифровая подпись (ЭЦП). Между тем такие знания позволяют предотвратить некоторые элементарные ошибки, которые могут привести к конфликтам с инспекцией. Кроме того, бухгалтер, получивший представление об основах технологии ЭЦП, будет тратить на общение с операторами call-центров гораздо меньше времени.

Создание ЭЦП

Существуют разные способы сформировать электронную цифровую подпись. На практике самым удобным и распространенным способом является создание ЭЦП с помощью двух ключей — открытого и закрытого. Оба этих ключа создаются с помощью специальной шифровальной программы (например, «Крипто-про»). Для создания закрытого ключа необходимо либо хаотично двигать мышку, либо бессистемно нажимать клавиши на клавиатуре. Программа преобразует эти движения в очень длинный набор символов (его размер 512 бит; о том, много это или мало — ниже, в разделе «Дополнительная информация»). Так создается закрытый ключ.

Затем та же программа на основании закрытого ключа создает открытый ключ (сразу отметим, что обратный процесс — подобрать закрытый ключ по открытому ключу — невозможен). Открытый ключ публикуется на сайтах удостоверяющих центров и спецоператора связи, чьими услугами пользуется владелец ключа, а вот закрытый ключ следует хранить со всеми возможными мерами предосторожности.

Зачем нужны удостоверяющие центры

Удостоверяющие центры (УЦ) решают важнейшую задачу: они подтверждают подлинность информации о владельце ключа и его полномочиях. Если бы УЦ не существовало, любой, кто купил бы программу для шифрования, мог объявить свой открытый ключ ключом главного бухгалтера «Газпрома» или начальника инспекции по крупнейшим налогоплательщикам.

Поэтому бухгалтер (руководитель), для оформления электронной цифровой подписи должен предоставить в УЦ документы, удостоверяющие его личность, доверенность от компании и написать запрос на выдачу сертификата открытого ключа подписи. Центр выдает электронный и бумажный сертификаты открытого ключа подписи. Электронный сертификат — это файл, который представляет из себя открытый ключ клиента, подписанный ЭЦП удостоверяющего центра. Бумажный сертификат содержит следующие данные: открытый ключ ЭЦП, ФИО его владельца, срок действия сертификата (обычно один год), область применения ключа (перечень документов, которые можно подписывать с помощью ключа, на который выдан сертификат), информация об организации, представителем которой является владелец ключа.

Соответственно, после оформления документов в УЦ у клиента на руках оказывается бумажный сертификат и носитель информации (ру-токен, флэшка, дискета) на котором записаны следующие файлы: открытый ключ, закрытый ключ, сертификат открытого ключа.

Получить сертификат усиленной квалифицированной электронной подписи через час

Открытым шифруем, закрытым расшифровываем

Допустим, бухгалтер хочет отправить в инспекцию декларацию. Он формирует файл с отчетностью (вносит данные организации в электронный формат декларации). Затем он подписывает файл с отчетностью своим закрытым ключом. Подписание образует новый, оригинальный файл. В подписанном ЭЦП документе ни получатель, ни отправитель уже не могут изменить ни одного символа — подобное нарушение целостности документа легко выявляется при проверке с помощью сертификата открытого ключа.

Далее программа, с помощью которой бухгалтер отправляет отчетность, шифрует декларацию открытым ключом инспекции. Зашифрованный файл отправляется в инспекцию. Налоговики получают файл и расшифровывают его своим закрытым ключом. Затем проверяют ЭЦП плательщика с помощью реестра сертификатов открытых ключей (такая проверка при приеме отчетности осуществляется автоматически). Проверка дает ответ на два вопроса: была ли после подписания ЭЦП плательщика нарушена целостность документа и действительно ли данная ЭЦП принадлежит плательщику, сдавшему отчетность.

После проверки инспекция отправляет организации протокол входного контроля. Инспектор подписывает протокол своим закрытым ключом. Затем шифрует протокол открытым ключом компании и направляет файл с зашифрованной информацией в адрес компании. Бухгалтер открывает зашифрованную в файле информацию своим закрытым ключом.

Теоретически перехватить зашифрованный файл может кто угодно. Однако расшифровать файл, направленный в адрес инспекции, можно только имея закрытый ключ инспекции. Соответственно, зашифрованный файл, направленный в компанию, может открыть только тот, у кого есть закрытый ключ компании.

Что будет, если небрежно хранить закрытый ключ

Самая главная проблема, которой может обернуться для компании небрежное хранение закрытого ключа — это так называемая компрометация ключа. То есть доступ к закрытому ключу посторонних. Если ключ хранится на дискете, которая лежит на столе бухгалтера или ключ записан на жесткий диск бухгалтерского компьютера, то компания рискует нарваться на серьезные неприятности. Имея закрытый ключ, какой-нибудь недоброжелатель может отправить за компанию заведомо ложную отчетность. Например, задолго до срока, в который бухгалтер планирует сдать отчетность, послать в инспекцию декларацию по НДС с огромными суммами к возмещению. В этом случае компании как минимум грозит утомительное разбирательство с налоговиками, которые уже приняли «ложную» отчетность и занесли ее в свою базу. А как максимум (если бухгалтер вовремя не обнаружит факт «ложной» отправки) — истребование документов в ходе углубленной камеральной проверки, доначисления, пени, штрафы и судебный процесс.

Еще одно следствие небрежного хранения — возможная утрата закрытого ключа. Ключ могут украсть. Его можно потерять. Если закрытый ключ записан на ненадежном носителе — дискете, есть опасность ее механического повреждения. Кроме того, дискета может затеряться среди других дискет, информацию с нее можно стереть по ошибке.

Утрата действующего ключа накануне сдачи отчетности приводит к тому, что вовремя отправить декларацию через интернет не удастся. Дело в том, что никто не сможет выдать организации «дубликат» закрытого ключа — у удостоверяющего центра его просто-напросто нет, а воссоздать закрытый ключ по открытому невозможно. Без закрытого ключа компания не сможет подписать отчетность и расшифровать протоколы из инспекции, где сообщается о том, принята ли отчетность или не принята из-за каких-то ошибок. Единственный выход — получать новые ключи. Если эта процедура затянется, и информацию о новых ключах инспекция примет к сведению с опозданием, декларации придется сдавать лично или отправлять обыкновенной почтой.

Закрытые ключи, у которых истек срок действия, тоже следует хранить бережно. Этот тезис особенно актуален для бухгалтеров, которые хранят все сданные отчеты не на своем компьютере, а в зашифрованном виде на сервере спецоператора связи. Если они лишатся закрытого ключа, действовавшего, скажем, в 2006 году, то они не смогут расшифровать собственную налоговую отчетность за этот год.

Дополнительная информация
Насколько надежна ЭЦП

Как мы уже упоминали, размер закрытого ключа ЭЦП, используемой при сдаче отчетности, составляет 512 бит. Для того, чтобы понять, какую степень надежности обеспечивает такой размер ключа, приведем пример. На подбор ключа размером 72 бита у группы исследователей, использовавших сотни компьютеров, ушло три года. Размер нашего ключа — 512 бит. Условия проведенного эксперимента позволяют вычислить количество лет, которое потребуется на его подбор. Этот срок выражается числом со 130-ю нулями. Для сравнения: возраст Земли оценивается в 4,5 миллиарда лет, а миллиард — число с 9 нулями.

Чем ЭЦП отличается от старых шифровок

Одним из первых шифрование информации (криптографию) на практике применил император Гай Юлий Цезарь. Он отправлял в удаленные провинции послания, где вместо буквы A ставил букву D, вместо буквы B — букву E и т д. То есть использовал алфавитный сдвиг на три буквы. Этого было достаточно, чтобы враги, перехватившие послание, не могли его расшифровать. Зато адресаты в провинциях, которым секрет шифра был известен, легко читали распоряжения из столицы.
С тех пор прошло больше двух тысяч лет. За это время было придумано огромное множество шифров (у Цезаря это был простейший алфавитный сдвиг на 3 буквы, а в аппаратах-шифраторах второй мировой войны уже применялись жуткие тысячезначные числа). Однако вплоть до недавнего времени ничего принципиально нового наука о шифровании не изобретала. Суть оставалась прежней: до сеанса документооборота отправитель сообщения и его получатель должны были разделить секрет шифра (для чего требовалась либо личная встреча, либо использование каких-то сверхнадежных каналов связи). Такое шифрование, при котором участникам документооборота необходимо передать друг другу секрет шифра, называется симметричная криптография.

Однако в семидесятые годы прошлого века был изобретен принципиально новый способ криптографической защиты информации. Он не требует предварительного обмена секретом шифра, поэтому и был назван ассиметричной криптографией. Именно такой способ шифрования используется в работе ЭЦП. Чтобы послать кому-либо зашифрованную информацию, достаточно самому иметь ключи ЭЦП и знать открытый ключ адресата.

Принцип работы электронной подписи

Элек­трон­ная под­пись — это асим­мет­рич­ное шиф­ро­ва­ние наобо­рот: вы зашиф­ро­вы­ва­е­те закры­тым клю­чом, а рас­шиф­ро­вать может кто угод­но с помо­щью откры­то­го клю­ча, кото­рый досту­пен всем.

👉 Если откры­тый ключ под­хо­дит к сооб­ще­нию и рас­шиф­ро­вы­ва­ет его, зна­чит, оно было зашиф­ро­ва­но имен­но этим закры­тым клю­чом — то есть имен­но вами.

Раз­бе­рём по шагам:

1. В удо­сто­ве­ря­ю­щем цен­тре вы полу­ча­е­те сер­ти­фи­кат и ключ элек­трон­ной под­пи­си. Это закры­тый ключ, кото­рый пере­да­вать нико­му нель­зя. Откры­тый же ключ хра­нит­ся в самом сер­ти­фи­ка­те, кото­рый при­кла­ды­ва­ет­ся к каж­до­му доку­мен­ту и досту­пен всем.
2. Берё­те нуж­ный доку­мент и полу­ча­е­те его крип­то­гра­фи­че­ский хеш. Хеш — это неболь­шая стро­ка, кото­рая пред­став­ля­ет собой «циф­ро­вой отпе­ча­ток» фай­ла. У каж­до­го фай­ла с уни­каль­ным набо­ром битов будет уни­каль­ный хеш, при­чём он все­гда оди­на­ко­вой дли­ны. Подроб­нее о хешах мы писа­ли, когда раз­би­ра­ли скан­дал с паро­ля­ми Фейс­бу­ка.
3. Шиф­ру­е­те этот хеш сво­им закры­тым клю­чом. Полу­чен­ный резуль­тат шиф­ро­ва­ния добав­ля­е­те к исход­но­му доку­мен­ту.
4. Туда же добав­ля­е­те сер­ти­фи­кат, что­бы все мог­ли про­ве­рить и убе­дить­ся, что доку­мент под­пи­са­ли вы.