LIBRARY

✅ Экспертиза цифровой подписи

Настоящая монография посвящена комплексному анализу экспертизы цифровой подписи как самостоятельного направления судебной компьютерно-технической экспертизы. Рассматриваются ключевые проблемы, возникающие при установлении факта подписания электронного документа: разграничение проверяемых (криптографических) и непроверяемых (волевых) обстоятельств, сценарии оспаривания подписи, связанные с отзывом сертификата, компрометацией ключа, техническими ошибками и подменой документа после подписания. Особое внимание уделяется инструментальным средствам проверки, требованиям к документированию экспертных действий и типичным ошибкам, снижающим доказательственную ценность заключения. На основе анализа пяти экспертных кейсов из банковской, корпоративной и наследственной практики обосновывается положение о том, что экспертиза цифровой подписи не сводится к математической верификации криптографических соотношений, а требует анализа всей инфраструктуры, в которой создавалась и использовалась подпись. Монография предназначена для судебных экспертов, юристов, специалистов по информационной безопасности и участников электронного документооборота.

Введение

Электронный документооборот стал нормой для коммерческих сделок, государственных услуг и судебного производства. Вместе с тем цифровая подпись, призванная обеспечить целостность и авторство электронного документа, сама по себе не является гарантией его юридической силы. Споры о подлинности подписанных документов, об ответственности за операции, совершённые с использованием скомпрометированных ключей, и о действительности сертификатов, выданных с нарушениями, требуют специальных познаний на стыке криптографии, информационных технологий и права.

Экспертиза цифровой подписи возникает в ситуациях, когда необходимо установить, была ли подпись создана с использованием конкретного ключа, соответствует ли она содержимому документа, действовал ли сертификат на момент подписания, не была ли подпись перенесена с другого документа или сфабрикована. Ответы на эти вопросы не могут быть получены путём простого визуального осмотра или проверки через стандартное программное обеспечение, поскольку требуют анализа структуры подписи, цепочки сертификатов, меток времени и сопутствующих журналов.

Специфика экспертизы цифровой подписи состоит в принципиальном разграничении двух категорий обстоятельств. Первая категория — криптографические факты, которые могут быть установлены математически и допускают однозначный ответ: соответствует ли подпись документу, каким ключом она создана, действителен ли сертификат. Вторая категория — обстоятельства, связанные с волей подписанта, условиями использования ключа, добросовестностью владельца сертификата. Эти обстоятельства не могут быть установлены средствами криптографии и требуют иных подходов, часто вероятностных . Смешение этих категорий является одной из наиболее распространённых методологических ошибок.

Актуальность настоящего исследования определяется ростом числа споров, в которых цифровая подпись выступает центральным доказательством. Банковские операции, государственные услуги, корпоративные сделки, наследственные правоотношения — во всех этих сферах подпись может быть оспорена, а её подлинность поставлена под сомнение. Эксперт, работающий с цифровой подписью, должен не только владеть техническими средствами проверки, но и понимать правовой контекст, в котором его выводы будут оцениваться.

Монография состоит из пяти глав. Первая глава посвящена правовой природе и предмету экспертизы цифровой подписи. Вторая глава систематизирует типовые сценарии оспаривания и соответствующие экспертные задачи. Третья глава описывает инструментальные средства и методику исследования. Четвёртая глава содержит анализ пяти экспертных кейсов из реальной практики. Пятая глава посвящена типичным ошибкам и ограничениям экспертизы. Заключение формулирует основные выводы и направления развития экспертной практики.

Глава 1. Правовая природа и предмет экспертизы цифровой подписи

1.1. Место экспертизы цифровой подписи в системе доказательств

Заключение по экспертизе цифровой подписи представляет собой самостоятельный вид доказательственной информации, формируемой в результате применения специальных знаний в области криптографии и электронного документооборота. Его процессуальное значение определяется связью с предметом доказывания: если выводы относятся к обстоятельствам, входящим в предмет доказывания, они приобретают непосредственное значение для дела; если касаются обстоятельств, не имеющих значения, заключение утрачивает процессуальную ценность независимо от технического качества.

Экспертиза цифровой подписи не заменяет иных доказательств, но в ряде случаев оказывается единственным средством установления факта подписания, целостности документа или принадлежности ключа. Вместе с тем заключение не имеет заранее установленной силы и оценивается судом наряду с другими доказательствами. Стороны вправе заявлять ходатайства о назначении дополнительной или повторной экспертизы, представлять альтернативные заключения.

Процессуальная природа экспертизы цифровой подписи имеет двойственный характер. С одной стороны, она является разновидностью компьютерно-технической экспертизы, поскольку объектом исследования выступают цифровые данные и программно-аппаратные средства. С другой стороны, она тесно соприкасается с экспертизой документов, поскольку предметом исследования является документ, снабжённый реквизитом, призванным обеспечить его юридическую силу. Это определяет необходимость комплексного подхода, учитывающего как технические, так и правовые аспекты.

1.2. Предмет и объекты экспертизы

Предмет экспертизы цифровой подписи охватывает несколько групп вопросов. Первая группа связана с установлением технических характеристик подписи: каким алгоритмом она создана, соответствует ли структура заявленному формату, какие атрибуты содержит. Вторая группа касается связи подписи с документом: не был ли документ изменён после подписания, соответствует ли хеш-значение подписи текущему содержимому файла. Третья группа относится к сертификату: кем выдан, действовал ли на момент подписания, не был ли отозван. Четвёртая группа — инфраструктурные данные: с какого устройства и IP-адреса производилось подписание, какие журналы это фиксируют.

Объектами экспертизы являются электронные документы со встроенной или отделённой подписью, сертификаты ключей проверки подписи, списки отзыва сертификатов, метки времени, журналы информационных систем, программное обеспечение, использовавшееся для формирования и проверки подписи, а также аппаратные средства — токены, смарт-карты, аппаратные модули безопасности.

Отдельного упоминания заслуживает вопрос о допустимости исследования копий и распечаток. Распечатка электронного документа с визуальным отображением подписи не содержит всех данных, необходимых для криптографической проверки. Для полноценного исследования требуется исходный электронный файл со встроенной подписью либо файл документа вместе с файлом отделённой подписи. Эксперт должен указывать в заключении, какой именно объект исследовался и достаточен ли он для формулирования выводов.

1.3. Разграничение проверяемых и непроверяемых обстоятельств

Ключевым методологическим принципом экспертизы цифровой подписи является разграничение проверяемых и непроверяемых обстоятельств. Проверяемые обстоятельства устанавливаются математическими и инструментальными средствами и допускают однозначный ответ. К ним относятся: факт создания подписи конкретным ключом, соответствие подписи содержимому документа, действительность сертификата на определённый момент, наличие или отсутствие изменений в документе после подписания.

Непроверяемые обстоятельства связаны с волей подписанта и условиями использования ключа. К ним относятся: кто именно нажимал кнопку подписания, осознавал ли владелец сертификата содержание документа, был ли ключ скомпрометирован до или после подписания, действовал ли владелец добросовестно. Эти обстоятельства не могут быть установлены средствами криптографии и требуют анализа всей совокупности данных: журналов доступа, сетевых записей, показаний свидетелей, данных о месте нахождения устройств.

Эксперт обязан чётко обозначать, к какой категории относится каждый его вывод. Смешение проверяемых и непроверяемых обстоятельств является методологической ошибкой, снижающей доказательственную ценность заключения. Если эксперт формулирует вывод о том, что «подпись создана клиентом», он выходит за пределы своих специальных познаний, поскольку не может установить, кто физически взаимодействовал с устройством в момент подписания. Корректная формулировка: «подпись создана с использованием ключа, принадлежащего клиенту; инфраструктурные данные указывают на то, что подписание, вероятно, производилось с устройства, не находившегося под личным контролем клиента».

Глава 2. Типовые сценарии оспаривания и экспертные задачи

2.1. Отзыв сертификата

Сертификат может быть аннулирован по заявлению владельца, по решению удостоверяющего центра или уполномоченного органа. Ключевое значение имеет время отзыва. Если сертификат был отозван после подписания документа, но на момент подписания действовал, документ сохраняет юридическую силу. Если отзыв произведён до подписания, подпись считается недействительной.

Эксперт обязан установить точное время отзыва и сопоставить его со временем подписания. Источниками информации служат списки отзыва (CRL), протокол OCSP, журналы удостоверяющего центра, а также метки времени, если они имеются. Ошибка состоит в том, что эксперт принимает во внимание только факт отзыва, не устанавливая его время, либо использует устаревший кэш статусов вместо актуального источника.

Особую сложность представляют случаи, когда сертификат был отозван по инициативе самого владельца после возникновения спора. Такие действия могут свидетельствовать о попытке уйти от ответственности, но могут быть и добросовестной реакцией на подозрение в компрометации. Эксперт не вправе делать выводы о мотивах отзыва; его задача — установить хронологию событий и предоставить её суду.

2.2. Компрометация ключа

Компрометация закрытого ключа может произойти вследствие утери защищённого носителя, заражения компьютера вредоносным программным обеспечением или неправомерного доступа. Если компрометация имела место до подписания, подпись может быть признана недействительной, поскольку нет уверенности в том, что она создана владельцем сертификата. Если компрометация произошла после подписания, документ сохраняет силу.

Установление момента компрометации часто требует исследования журналов доступа к носителю, данных антивирусных средств, сетевых записей и иных свидетельств. Эксперт должен воздерживаться от выводов о компрометации на основании предположений, не подтверждённых доказательствами. Наличие вредоносного программного обеспечения на компьютере само по себе не означает, что ключ был похищен; оно создаёт лишь возможность компрометации, которая должна быть подтверждена или опровергнута анализом конкретных данных.

Показательным является сценарий, при котором закрытый ключ хранился на компьютере, доступ к которому имели несколько сотрудников. В этом случае эксперт не может установить, кто именно воспользовался ключом, но может установить, что доступ к ключу не был исключительным. Такой вывод имеет существенное значение для оценки добросовестности владельца сертификата и распределения ответственности.

2.3. Технические ошибки при формировании или проверке

Несовместимость программного обеспечения, сбои в каналах связи, неправильная настройка криптографических средств могут привести к тому, что корректно созданная подпись будет признана ошибочной. Эксперт должен воспроизвести процесс формирования и проверки подписи в контролируемых условиях с использованием эталонных средств.

Если воспроизведение даёт положительный результат, исходная ошибка была технической, а не содержательной. Эксперт должен установить причину ошибки: различие в версиях криптопровайдеров, несовпадение настроек, повреждение файла при передаче. Ошибка эксперта — ограничение констатацией некорректности подписи без выяснения причин, что оставляет открытым вопрос о том, была ли подпись создана надлежащим образом.

Технические сбои на платформе электронного документооборота могут привести к повреждению файловой структуры подписи, некорректной привязке сертификатов или ошибкам при регистрации времени подписания . В таких случаях эксперты изучают не только сам подписанный файл, но и системные журналы, логи работы программного обеспечения, а также конфигурационные файлы, чтобы выявить первопричину сбоя.

2.4. Подмена документа после подписания

Злоумышленник может изменить содержание документа после подписания, сохранив саму подпись. Проверка подписи даст отрицательный результат, поскольку хеш-функция изменённого документа не соответствует хеш-значению, зашифрованному в подписи. Эксперт должен установить, был ли документ изменён, и если да, то какие именно изменения внесены.

Для этого сравниваются хеш-функции на различных этапах жизненного цикла, исследуются метаданные файла и журналы информационной системы. Ошибка — проверка только самой подписи без проверки целостности документа.

В отношении PDF-документов существуют специфические методы выявления модификаций. Инструменты вроде Adobe Acrobat Pro позволяют увидеть, что после подписания были внесены изменения, и получить доступ к предыдущей версии документа через панель цифровой подписи. Специализированные утилиты восстанавливают предыдущие версии PDF и извлекают объекты, добавленные после подписания: например, белые прямоугольники, наложенные поверх исходного текста для сокрытия содержимого. Однако метаданные файла (время модификации) не являются надёжным индикатором: простое скачивание PDF обновляет временную метку независимо от того, вносились ли изменения.

2.5. Недействительный сертификат

Сертификат может внешне выглядеть действительным, но не иметь юридической силы, если удостоверяющий центр не был аккредитован на момент выдачи, процедуры выдачи нарушены или сертификат не соответствует установленным форматам. Эксперт проверяет статус удостоверяющего центра, соблюдение процедур выдачи, соответствие сертификата требованиям.

Особую категорию составляют сертификаты, выданные на основании подложных документов или с использованием скомпрометированных учётных данных. В таких случаях экспертиза выходит за рамки криптографической проверки и требует анализа административных данных удостоверяющего центра: журналов выдачи, записей в реестре, метаданных заявлений. Ошибка — ограничение проверкой формальных признаков без исследования порядка выдачи.

2.6. Оспаривание подписи, созданной на умершего или недееспособного гражданина

Редкий, но юридически сложный сценарий связан с выдачей сертификата на имя умершего гражданина или лица, не способного выразить волю. Наследники или опекуны обнаруживают, что от имени такого лица совершены сделки, подписанные электронной подписью. Экспертиза в этом случае направлена на установление даты фактической выдачи сертификата и обстоятельств его получения.

Эксперт анализирует данные удостоверяющего центра, метаданные заявлений, журналы порталов государственных услуг, IP-адреса и сведения об устройствах, с которых подавались заявления. Сопоставление этих данных с датой смерти или датой признания гражданина недееспособным позволяет установить, мог ли он лично обратиться за сертификатом. Если заявление было подано после смерти, сертификат недействителен, а сделки, подписанные им, ничтожны.

Глава 3. Инструментальные средства и методика исследования

3.1. Классы инструментов

Программные средства включают криптографические библиотеки, средства проверки подписи, анализаторы форматов, инструменты работы с сертификатами. Используемое программное обеспечение должно быть проверенным и, по возможности, открытым для аудита: закрытые средства могут содержать ошибки или намеренные искажения. Эксперт обязан понимать, какие именно операции выполняет инструмент и какие допущения при этом используются .

Аппаратные средства применяются для фиксации носителей, защиты от модификации и обеспечения неизменности данных. К ним относятся устройства хранения с контролем доступа, средства хэширования на аппаратном уровне, системы фиксации времени. Аппаратная поддержка особенно важна при исследовании объектов, которые могут быть изменены в процессе работы.

Программно-аппаратные комплексы объединяют возможности программных и аппаратных средств. Они позволяют проводить комплексный анализ, сочетая проверку криптографических соотношений с анализом среды порождения подписи. Такие комплексы могут включать средства эмуляции программной среды, что даёт возможность воспроизвести условия создания подписи и оценить их влияние на результат.

Средства операционной системы обеспечивают работу с хранилищами сертификатов и ключей: получение сведений о сертификатах, проверку цепочек доверия, установление статуса отзыва. Эксперт должен учитывать, что хранилище конкретной системы может отличаться от хранилища, использовавшегося при формировании подписи, что влияет на выводы о доверии к сертификату.

Средства фиксации меток времени образуют отдельный класс. Метка времени подтверждает момент существования данных. При проверке подлинности эксперт исследует метку как самостоятельный объект: проверяет её подпись, соответствие данным, источник. Некорректная метка времени не подтверждает момент подписания и не может служить основанием для вывода о времени создания подписи.

Средства проверки статуса сертификатов включают локальные компоненты, использующие кэшированные списки отзыва (которые могут быть устаревшими), и сетевые компоненты, обращающиеся к актуальным источникам. Эксперт должен указать, какой источник использовался, и оценить его актуальность на момент проверки.

3.2. Требования к документированию

Документирование применения средств является обязательным элементом экспертизы. В заключении указываются: наименование средства, версия, разработчик, применённые параметры, последовательность действий, полученные результаты. Такое описание позволяет проверить выводы и воспроизвести исследование. Отсутствие описания снижает доказательственную ценность заключения.

Работа с файлами должна вестись на копиях, оригиналы остаются неизменными. Эксперт обязан фиксировать хеши оригиналов до и после исследования для подтверждения их неизменности. Перекрёстная проверка с использованием нескольких средств повышает достоверность: если разные средства дают совпадающие результаты, вероятность ошибки снижается; если результаты различаются, эксперт обязан выяснить причину расхождения. Выявление причины расхождения само по себе является ценным результатом.

3.3. Методическая последовательность исследования

Методика экспертного исследования при проверке подлинности цифровой подписи определяет последовательность действий эксперта, совокупность применяемых методов и формулирование выводов. Она обеспечивает системность исследования, его воспроизводимость и доказательную ценность.

Первый этап — фиксация исходного состояния объектов. Эксперт описывает поступившие материалы, фиксирует их хеш-значения, создаёт рабочие копии. Оригиналы не должны подвергаться воздействию, способному изменить их содержимое или метаданные.

Второй этап — извлечение и анализ атрибутов подписи. Эксперт устанавливает формат подписи, алгоритм, использованный для её создания, идентификатор сертификата, наличие метки времени. Эти сведения могут быть получены как из самого файла подписи, так и из сопутствующих документов.

Третий этап — проверка криптографических соотношений. Эксперт вычисляет хеш-функцию документа и проверяет, соответствует ли она значению, содержащемуся в подписи. Для этого используются криптографические библиотеки, совместимые с алгоритмом подписи.

Четвёртый этап — проверка статуса сертификата. Эксперт устанавливает, кем выдан сертификат, действовал ли он на момент подписания, не был ли отозван. При необходимости запрашиваются данные удостоверяющего центра.

Пятый этап — анализ инфраструктурных данных. Эксперт исследует журналы информационных систем, сетевые записи, метаданные файлов, данные о устройствах, использовавшихся для подписания. Этот этап позволяет установить обстоятельства, выходящие за рамки криптографической проверки.

Шестой этап — формулирование выводов. Эксперт разделяет выводы на категории: установленные (проверяемые) и вероятностные (непроверяемые), указывает ограничения исследования.

3.4. Ограничения экспертизы

Эксперт должен осознавать и указывать в заключении ограничения исследования. К типичным ограничениям относятся: невозможность проверки усиленной подписи по распечатке или скриншоту (надпись о подписании не содержит всех данных для криптографической проверки; необходим исходный электронный документ со встроенной подписью либо файл вместе с отделённой подписью); недоступность аппаратного средства формирования подписи; недоступность сертификата или данных удостоверяющего центра; противоречивость инфраструктурных данных.

Указание ограничений не является признаком некачественной экспертизы; напротив, оно свидетельствует о профессиональной добросовестности и позволяет суду или заказчику адекватно оценить доказательственное значение выводов.

Глава 4. Анализ экспертных кейсов

4.1. Кейс 1: Оспаривание банковских платежей, подписанных электронной подписью

Обстоятельства дела. Банк утверждал, что платёжные поручения были подписаны электронной подписью клиента — индивидуального предпринимателя. Предприниматель заявил, что ключ подписи хранился на компьютере, к которому имели доступ сотрудники, и что он не давал распоряжений о переводе средств. Спор касался значительной суммы, переведённой на счёт контрагента, с которым клиент отрицал какие-либо отношения.

Ход исследования. Эксперт проанализировал логи системы дистанционного банковского обслуживания. Выяснилось, что платёжные поручения были подписаны с IP-адреса, который ранее не использовался клиентом. Более того, вход в систему был осуществлён с устройства, которое не было зарегистрировано как доверенное. В момент подписания на компьютере клиента, согласно данным операционной системы, была активна сессия удалённого доступа, инициированная извне.

Эксперт также проверил, не была ли скомпрометирована сама подпись. Анализ показал, что закрытый ключ не покидал пределы компьютера клиента, однако доступ к нему мог быть получен через вредоносное программное обеспечение, которое, вероятно, было установлено на компьютере. Вредоносная программа могла перехватывать нажатия клавиш и получать пароль к контейнеру ключа.

Выводы эксперта. Подпись была создана с использованием ключа клиента. Однако технические данные указывают на то, что клиент, вероятно, не инициировал подписание лично. Суд, оценив заключение, обязал банк возместить ущерб, поскольку банк не обеспечил должный уровень безопасности при проведении операций .

Значение для практики. Кейс демонстрирует, что экспертиза цифровой подписи в банковской сфере требует анализа не только самой подписи, но и всей инфраструктуры, в которой она использовалась. Криптографическая корректность подписи не означает, что операция была инициирована владельцем ключа. Журналы удалённого доступа, IP-адреса и данные о зарегистрированных устройствах приобретают решающее значение.

4.2. Кейс 2: Оспаривание сертификата, выданного на умершего гражданина

Обстоятельства дела. Наследники обнаружили, что после смерти наследодателя от его имени были совершены сделки с недвижимостью, подписанные электронной подписью. Они обратились в суд с иском о признании сделок недействительными. Удостоверяющий центр, выдавший сертификат, утверждал, что сертификат был выдан при жизни гражданина и действовал на момент совершения сделок. Наследники настаивали, что сертификат был оформлен после смерти, когда гражданин уже не мог выразить свою волю.

Ход исследования. Экспертиза была назначена для установления даты фактической выдачи сертификата. Эксперт проанализировал данные удостоверяющего центра: журналы выдачи сертификатов, записи в реестре, метаданные заявления на выдачу. Выяснилось, что заявление на выдачу сертификата было подано в электронном виде через портал государственных услуг. Однако данные из системы портала показали, что учётная запись гражданина не была активна на дату подачи заявления: последний вход в учётную запись был совершён за несколько месяцев до смерти.

Более того, анализ метаданных заявления показал, что файл был создан на компьютере, который не принадлежал гражданину. IP-адрес, с которого было подано заявление, не совпадал с обычными адресами, использовавшимися гражданином. Эксперт пришёл к выводу, что заявление на выдачу сертификата было подано третьими лицами с использованием скомпрометированных учётных данных.

Выводы эксперта. Сертификат был выдан на основании заявления, поданного после смерти гражданина, с использованием скомпрометированной учётной записи. Подпись, созданная с использованием этого сертификата, не может считаться исходящей от гражданина. Суд признал сертификат недействительным, а сделки — ничтожными .

Значение для практики. Кейс демонстрирует, что экспертиза цифровой подписи может требовать анализа не только технических, но и административных данных, связанных с выдачей сертификата. Удостоверяющие центры обязаны проводить идентификацию заявителя, и нарушение этой процедуры создаёт основания для оспаривания сертификата. Эксперт должен уметь работать с журналами порталов, метаданными заявлений и сведениями об учётных записях.

4.3. Кейс 3: Подтверждение целостности документа при отсутствии сертификата

Обстоятельства дела. Заказчик располагал только электронным документом со встроенной подписью, но не имел сертификата и не знал, в каком удостоверяющем центре он был выдан. Контрагент, подписавший документ, отказывался предоставлять сертификат, ссылаясь на конфиденциальность. Документ подтверждал договорённость о поставке товара, и заказчик нуждался в установлении его целостности и подлинности подписи.

Ход исследования. Эксперт начал с извлечения данных о подписи из самого файла. В структуре подписи содержались сведения об удостоверяющем центре, серийный номер сертификата и другие идентификаторы. Используя эти данные, эксперт смог найти сертификат в открытом реестре удостоверяющего центра. Сертификат был действителен на момент подписания и не отозван.

Далее эксперт проверил целостность документа. Подпись соответствовала содержимому файла, изменений после подписания не обнаружено. Однако эксперт отметил, что документ содержит встроенные метаданные, которые могли быть изменены без нарушения подписи, и указал это в ограничениях исследования.

Выводы эксперта. Подпись является криптографически корректной и соответствует содержимому документа. Сертификат, использованный для подписания, действителен на момент подписания. Документ не претерпел изменений после подписания в той части, которая защищена подписью .

Значение для практики. Кейс показывает, что отсутствие сертификата у заказчика не делает экспертизу невозможной. Данные о сертификате могут быть извлечены из структуры подписи и проверены через открытые реестры. Однако эксперт должен учитывать, что не все части файла защищены подписью, и указывать это в ограничениях.

4.4. Кейс 4: Компрометация ключа, зафиксированная налоговым органом

Обстоятельства дела. Налоговый орган внёс в информационный ресурс запись о компрометации ключа электронной подписи организации. Организация обратилась в суд с заявлением о признании действий налогового органа незаконными, утверждая, что компрометация не подтверждена, а отказ в приёме налоговой декларации, подписанной этим ключом, нарушает её права. Организация настаивала, что ключ не был скомпрометирован и продолжал использоваться правомерно.

Ход исследования. Суд исследовал основания, по которым налоговый орган внёс запись о компрометации. Выяснилось, что запись была внесена на основании сведений о недостоверности данных о руководителе организации в ЕГРЮЛ. Однако на момент внесения записи недостоверность не была подтверждена в установленном порядке. Налоговый орган действовал на основании предположения, а не установленного факта.

Эксперт, привлечённый к делу, проанализировал журналы использования ключа и не обнаружил признаков несанкционированного доступа. Ключ использовался с теми же IP-адресов и устройств, что и ранее. Однако эксперт отметил, что отсутствие признаков компрометации не доказывает её отсутствия: компрометация может быть скрытой.

Выводы суда. Суд признал действия налогового органа по внесению записи о компрометации преждевременными, поскольку на момент внесения записи недостоверность сведений не была установлена. Отказ в приёме декларации был признан незаконным .

Значение для практики. Кейс демонстрирует, что компрометация ключа — это юридический факт, который должен быть установлен, а не предположен. Эксперт может указать на отсутствие признаков компрометации, но не может достоверно утверждать, что компрометации не было. Для суда решающее значение имеет процедура установления компрометации: если она нарушена, последствия в виде блокировки ключа неправомерны.

4.5. Кейс 5: Подделка цифровой подписи в PDF-документе

Обстоятельства дела. В судебном споре между коммерческими организациями истец представил PDF-документ, purportedly подписанный руководителем ответчика, подтверждающий обязанность ответчика выплатить значительную сумму. Ответчик заявил, что документ не подписывался и является подделкой. Документ содержал визуальное отображение подписи и печати, а также встроенную цифровую подпись, которая при проверке стандартными средствами отображалась как действительная.

Ход исследования. Эксперт провёл анализ структуры PDF-файла, включая слои, метаданные и историю изменений. Было обнаружено, что документ содержит несколько версий, причём последняя версия была создана после подписания. Визуальное отображение подписи и печати было добавлено в виде графических объектов поверх текста, который не был защищён подписью. Цифровая подпись относилась к более ранней версии документа, содержание которой отличалось от представленной.

Анализ метаданных показал, что файл был создан на устройстве, не принадлежавшем ответчику, а временные метки внутренних объектов не соответствовали заявленной дате подписания. Форматирование подписи и печати отличалось от известных аутентичных документов ответчика.

Выводы эксперта. Представленный документ содержит цифровую подпись, которая криптографически корректна, но относится к иной версии документа. Визуальное отображение подписи и печати было добавлено после подписания и не защищено криптографически. Документ был модифицирован после создания подписи. Суд расценил документ как подделку и применил санкции к представившей его стороне.

Значение для практики. Кейс иллюстрирует различие между криптографической корректностью подписи и подлинностью документа. Наличие действительной цифровой подписи в файле не означает, что весь файл был подписан. Эксперт должен анализировать структуру файла, историю версий и метаданные, а не ограничиваться проверкой подписи через стандартное программное обеспечение.

Глава 5. Типичные ошибки и ограничения экспертизы

5.1. Технические ошибки

Технические ошибки связаны с неверным применением криптографических средств, неточным считыванием параметров сертификата, искажением значений хеш-функции. Они могут возникать из-за неисправности программного обеспечения, невнимательности эксперта или использования устаревших инструментов. Обнаруживаются путём повторных вычислений и сопоставления с эталонными значениями.

К типичным техническим ошибкам относятся: использование криптопровайдера, не поддерживающего алгоритм подписи; неверная интерпретация формата подписи; игнорирование различий между кодировками; проверка подписи на изменённой копии файла без сличения с оригиналом.

5.2. Методические ошибки

Методические ошибки выражаются в нарушении последовательности исследования, пропуске необходимых этапов, применении методики, не соответствующей объекту. Например, исследование подписи, созданной одним алгоритмом, с помощью методики, разработанной для другого алгоритма, ведёт к искажённым выводам. Заключение должно содержать указание на пригодность применённой методики для данного объекта.

К методическим ошибкам относится также игнорирование инфраструктурных данных. Эксперт, ограничившийся проверкой криптографических соотношений, может пропустить признаки того, что подпись была создана в необычных условиях: с нехарактерного IP-адреса, с незарегистрированного устройства, в нерабочее время. Такие данные не влияют на криптографическую корректность, но имеют существенное значение для оценки обстоятельств подписания.

5.3. Логические ошибки

Логические ошибки проявляются в противоречии между исследовательской частью и выводами, в необоснованных переходах от частного к общему, в подмене тезиса. Наиболее распространённая логическая ошибка — вывод, не вытекающий из описанных признаков. Такое заключение утрачивает убедительность даже при отсутствии технических погрешностей.

Пример логической ошибки: эксперт устанавливает, что подпись создана с использованием ключа, принадлежащего определённому лицу, и делает вывод о том, что документ подписан этим лицом. Второй вывод не следует из первого, поскольку ключ мог быть использован другим лицом, получившим доступ к носителю.

5.4. Процессуальные ошибки

Процессуальные ошибки связаны с нарушением формы: отсутствие предупреждения об ответственности, ненадлежащее оформление приложений, выход за пределы компетенции. Эти ошибки могут повлечь признание заключения недопустимым.

К процессуальным ошибкам относится также смешение технической и юридической сторон экспертизы. Эксперт, владеющий техническими средствами проверки подписи, может сделать вывод о юридической действительности документа, не обладая познаниями в области права. И наоборот, юрист, оценивающий юридическую силу документа, может не заметить технических особенностей, влияющих на результат проверки.

5.5. Ограничения, обусловленные объектом исследования

Эксперт должен осознавать ограничения, связанные с самим объектом. Если представлена только распечатка или скриншот, криптографическая проверка невозможна. Если сертификат недоступен, проверка статуса может быть неполной. Если журналы системы не сохранены, восстановление обстоятельств подписания может быть невозможным.

Указание этих ограничений в заключении обязательно. Оно позволяет суду понять, какие выводы могут быть сделаны с уверенностью, а какие являются вероятностными. Эксперт, скрывающий ограничения, подрывает доверие к своему заключению.

Заключение

Экспертиза цифровой подписи представляет собой область, в которой техническая верификация криптографических соотношений составляет лишь один из этапов исследования. Установление факта подписания требует анализа всей инфраструктуры: сертификатов и их статуса, меток времени, журналов доступа, метаданных файлов, сетевых записей. Ключевым методологическим принципом является разграничение проверяемых (криптографических) и непроверяемых (волевых) обстоятельств, каждая из которых требует собственного подхода и собственной оценки достоверности.

Анализ пяти экспертных кейсов показывает, что наибольшие риски связаны не с математической сложностью криптографических алгоритмов, а с инфраструктурными и процессуальными факторами. В банковском кейсе решающее значение имели журналы удалённого доступа и IP-адреса. В наследственном кейсе — метаданные заявлений и данные учётных записей. В кейсе с отсутствующим сертификатом — умение извлечь идентификаторы из структуры подписи и найти сертификат в открытом реестре. В кейсе с компрометацией — различение факта компрометации и предположения о ней. В кейсе с подделкой PDF — анализ структуры файла и истории версий, а не только проверка подписи.

Эксперт, способный работать с этими факторами и корректно обозначать пределы своих выводов, обеспечивает доказательственную ценность заключения, которая не может быть достигнута простой проверкой подписи через стандартное программное обеспечение. Развитие экспертизы цифровой подписи связано с совершенствованием инструментов анализа инфраструктурных данных, разработкой методик работы с облачными и распределёнными средами, а также с формированием единых стандартов описания цифровых доказательств в процессуальных документах.

Список источников

Экспертиза цифровой подписи // Федерация Судебных Экспертов.
Экспертиза ЭЦП: исследования электронной цифровой подписи // Федерация Судебных Экспертов.
Постановление Арбитражного суда Волго-Вятского округа от 20.03.2025 по делу N А43-5762/2024.
Может ли независимая экспертиза ЭЦП выявить проблемы с действительностью электронной подписи // АНО «Судебный Эксперт».
Экспертиза ЭЦП // Федерация Судебных Экспертов.