ПЭП — подписи электронных документов¶
ПЭП (персональный электронный ключ, персональный электронный пароль) — средство криптографической защиты информации, используемое для подписания электронных документов и подтверждения личности владельца в информационных системах. В России термин «ПЭП» чаще всего ассоциируется с подписью, которую клиент банка ставит при подтверждении платежей и операций в мобильном или интернет-банке, а также с ключами электронной подписи, применяемыми в государственных и корпоративных системах.
¶ПЭП в банковской сфере
В банковской практике под ПЭП обычно понимают пароль или код, который клиент вводит для подтверждения операции — перевода денег, изменения лимитов, подключения услуг. ПЭП может состоять из цифровой комбинации (обычно 4–6 цифр) или пароля, заданного пользователем. В некоторых банках для подтверждения используется комбинация ПЭП и одноразового кода, отправляемого по SMS.
Функции ПЭП в банке:
- подтверждение входа в мобильное или интернет-банк;
- авторизация платежей и переводов;
- подтверждение изменений в настройках профиля;
- подтверждение заявок на кредиты и другие продукты.
Банки называют ПЭП по-разному: «код подтверждения», «пароль для входа», «ПИН-код», «код авторизации». Несмотря на разные названия, суть остаётся одной — это второй фактор аутентификации, который должен знать только владелец счёта.
¶ПЭП и электронная подпись
В юридическом и техническом смысле ПЭП тесно связан с электронной подписью (ЭП) — реквизитом электронного документа, предназначенным для подтверждения его подлинности и принадлежности автора. В России электронная подпись регулируется Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи».
Закон разделяет три вида электронной подписи:
| Вид подписи | Описание | Применение |
|---|---|---|
| Простая электронная подпись | Подтверждает факт формирования подписи определённым лицом | Внутренний документооборот, подтверждение операций в банке |
| Усиленная неквалифицированная подпись | Создаётся с использованием средств криптографии, позволяет выявить изменение документа | Договоры между организациями, госуслуги |
| Усиленная квалифицированная подпись | Имеет юридическую силу, равную собственноручной подписи | Госзакупки, отчётность в ФНС, электронный документооборот с контрагентами |
ПЭП, как правило, относится к простой электронной подписи: она подтверждает, что операцию выполнил владелец, но не гарантирует неизменность документа после подписания. Для юридически значимых операций используются сертифицированные средства криптографической защиты (СКЗИ), например криптопровайдеры «КриптоПро CSP».
¶Как создаётся ПЭП
При выпуске электронной подписи формируется ключевая пара: закрытый ключ (секретная часть, известная только владельцу) и открытый ключ (передаётся контрагенту или в удостоверяющий центр). ПЭП в этом контексте — это способ аутентификации владельца закрытого ключа: пароль, код или биометрические данные, которые разрешают использовать ключ для подписания документов.
В банковских системах ПЭП хранится в защищённом виде на серверах банка (в виде хеша или соли), а при проверке сравнивается с введённым значением. В системах с электронной подписью закрытый ключ обычно хранится на защищённом носителе (USB-токен, смарт-карта) или в защищённом хранилище (облачное подписание).
¶Способы защиты ПЭП
Банки и информационные системы применяют несколько уровней защиты:
- Двухфакторная аутентификация — ПЭП сочетается с SMS-кодом, push-уведомлением или биометрией.
- Хеширование — пароль не хранится в открытом виде, а преобразуется в хеш с солью.
- Ограничение попыток — после нескольких неверных вводов ПЭП блокируется.
- Защита от фишинга — клиенту запрещается сообщать ПЭП третьим лицам, в том числе сотрудникам банка.
¶Правила безопасности
Финансовые регуляторы и сами банки рекомендуют:
- не сообщать ПЭП и одноразовые коды никому, включая сотрудников банка;
- не использовать один и тот же ПЭП для разных сервисов;
- при подозрении на компрометацию немедленно обратиться в банк для блокировки и перевыпуска кода;
- включать двухфакторную аутентификацию там, где она доступна.
Нарушение этих правил — основная причина финансовых потерь при мошенничестве: злоумышленники, получив ПЭП и доступ к телефону, могут совершать операции от имени клиента.
¶Регулирование в России
Деятельность банков в части защиты клиентских средств регулируется Банком России, в частности Указанием ЦБ РФ о порядке осуществления перевода денежных средств. Требования к средствам криптографической защиты и электронной подписи установлены федеральным законом «Об электронной подписи» и профильными стандартами ФСТЭК и ФСБ.
Источники:
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»
- Указания Банка России о порядке осуществления перевода денежных средств
- Материалы Банка России по защите прав потребителей финансовых услуг
- Стандарты ФСТЭК России по средствам криптографической защиты информации