Отзыв сертификата: списки отозванных и зачем их обновлять

Коротко о главном

Отзыв сертификата — это операция, при которой удостоверяющий центр аннулирует сертификат и добавляет его в список отозванных. Отозваны сертификаты больше не могут использоваться для подписания новых документов и не проходят проверку в госсистемах. Причины отзыва разные: компрометация ключа, утрата носителя, увольнение сотрудника, смена ФИО или должности, просто захотели. Документы, которые были подписаны до отзыва, остаются действительными — отзыв касается только новых операций. Программы вроде КриптоПро скачивают списки отозванных сертификатов (CRL — Certificate Revocation List) и проверяют их при открытии документа. Если интернета нет или список устарел, вы увидите ошибку «не удалось проверить статус сертификата» — это не означает, что документ поддельный, просто система не смогла связаться с сервером.

В этой статье

Что такое отзыв сертификата и когда его применяют
Причины отзыва: компрометация, утрата, смена данных, увольнение
Как отозвать сертификат: кто может подать заявление
Список отозванных сертификатов (CRL) и как он работает
Почему программы скачивают CRL и как часто его обновлять
Ошибка «не удалось проверить статус сертификата» — что это и как исправить
Что происходит с документами после отзыва сертификата
Отзыв против истечения: когда сертификат отзывают, не дождавшись конца срока

Что такое отзыв сертификата и почему он нужен

Сертификат — это не просто документ, это пара криптографических ключей: открытый ключ для проверки подписи и закрытый ключ для её создания. Пока у вас есть закрытый ключ, вы можете им подписывать документы. Но что если ключ скомпрометирован, потерян или вам больше не нужна подпись? Тогда в дело вступает отзыв.

Отзыв сертификата — это объявление удостоверяющим центром о том, что сертификат больше не действителен. Информация об отзыве публикуется в списке отозванных сертификатов (CRL). Когда кто-то проверяет вашу подпись в документе, система запрашивает этот список и смотрит: если сертификат там есть, подпись признаётся недействительной. Но важный момент: это касается только новых операций и проверок. Документы, уже подписанные до отзыва, остаются в полной силе.

На практике отзыв — это защита. Если вы потеряли токен или заметили странную активность, отзыв гарантирует, что никто больше не сможет подписать документ именно вашей подписью. Система перестанет её принимать.

Основные причины отзыва сертификата

Удостоверяющий центр и владелец сертификата могут инициировать отзыв из разных соображений. Вот самые частые причины:

Компрометация закрытого ключа

Самая серьёзная причина. Если вы заметили, что кто-то совершал операции вашей подписью — подписал документ, который вы не подписывали, или использовал вашу подпись без разрешения — это знак, что закрытый ключ утёк. Надо немедленно обратиться в удостоверяющий центр с заявлением об отзыве. После отзыва компрометированный сертификат больше не будет приниматься ни одной системой.

Утрата или кража защищённого носителя

Вы потеряли токен, на котором хранился ваш сертификат, или его украли. Пока токен у кого-то ещё, они могут попытаться использовать подпись. Отзыв блокирует эту возможность. Центр попросит у вас заявление, иногда письменное свидетельство о потере, и добавит сертификат в CRL.

Смена личных данных

Вы сменили фамилию после замужества, изменили место жительства, поменялась должность в организации. Если эти данные выбили на сертификат, он становится неактуальным. Обычно в этом случае не требуется срочный отзыв — можно просто получить новый сертификат с новыми данными. Но УЦ может потребовать отзыва старого, чтобы не было путаницы.

Увольнение сотрудника

Сотруднику выпустили подпись от имени компании или для работы в системах компании. Когда он уходит, компания просит удостоверяющий центр отозвать его сертификат. Это гарантирует, что бывший сотрудник не сможет подписать документ от имени компании через месяц после увольнения.

Решение владельца

Проще говоря, вы просто захотели. Вам больше не нужна подпись, вы переходите на другую схему, рабочий процесс изменился. Вы можете отозвать сертификат в любой момент, даже если до конца срока действия ещё год. Удостоверяющий центр выполнит просьбу.

По факту: многие думают, что отозвать сертификат больно и сложно. На деле это две-три минуты разговора с центром. Я видел кейсы, когда люди берегли потерянный токен с подписью потому что «ну может ещё найду» и в итоге два года не могли использовать эту подпись. Если потеряли, потеряли. Звоните в УЦ, диктуете номер сертификата, через час-два он уже в списке отозванных. И можно спать спокойно.

Как отозвать сертификат: процедура и требования

Отозвать сертификат может только его владелец или законный представитель. Вот типовая процедура:

1. Подготовьте необходимые документы

Что точно потребуется:

Заявление на отзыв. В бланк нужно вписать номер сертификата (он указан в его свойствах), причину отзыва и вашу подпись. УЦ обычно предоставляет готовый бланк или шаблон по почте.
Паспорт или удостоверение личности. Если вы физлицо, потребуется копия паспорта.
Документы на организацию. Если сертификат от ООО или ИП, потребуется свидетельство о регистрации, приказ об уполномочивании (если отзыв подаёт не директор).

Если причина — утрата или компрометация — УЦ может потребовать справку из полиции о краже, особенно если сумма по контрактам была существенной.

2. Обратитесь в удостоверяющий центр

Способы подачи заявления:

Лично в офис центра. Вы приходите, предъявляете документы, подписываете заявление.
По почте. Отправляете скан-копии документов или заказное письмо с описью.
Через личный кабинет. Некоторые центры предоставляют кабинет клиентов, где можно оставить запрос на отзыв.
Удалённо по подписи. Если у вас уже есть другой действующий сертификат, можно подписать заявление им и отправить электронно.

3. Дождитесь подтверждения

УЦ обрабатывает заявления обычно от нескольких часов до двух рабочих дней. После этого сертификат попадает в список отозванных. Вам должны прислать письмо с подтверждением отзыва, в котором указана дата и причина.

Список отозванных сертификатов (CRL): как он работает

Список отозванных сертификатов (Certificate Revocation List, CRL) — это публичный реестр, который ведёт каждый удостоверяющий центр. В нём перечислены все сертификаты, которые были отозваны, с датой отзыва и причиной (в зашифрованном виде).

Устройство простое: UNC выкладывает CRL на свой сервер в интернете, и любой может его скачать. Когда вы проверяете подпись в документе, программа (КриптоПро, Контур.Крипто, браузер) скачивает этот список и сравнивает номер сертификата из подписи с номерами в списке. Если совпадение найдено — подпись признаётся отозванной и недействительной.

Параметр	Описание
Обновление CRL	Центр обновляет список несколько раз в день. Новый отзыв появляется в списке в течение часов
Публичный доступ	Да, CRL открыт и доступен всем. Адреса списков обычно указаны на сайте УЦ
Форматы	Стандартный формат X.509 CRL или PKCS#7. КриптоПро и браузеры понимают оба
Размер	У крупных центров может быть несколько мегабайт (десятки тысяч отозванных сертификатов)
Хранение	После удаления из активного списка сертификаты могут оставаться в архиве для исторических проверок

Почему программы скачивают CRL и как часто это происходит

Каждый раз, когда вы открываете подписанный документ или выполняете операцию, требующую проверки подписи, программа обращается к CRL. Зачем?

Потому что статус сертификата может измениться в любой момент. Документ был подписан год назад, сертификат был действителен. Но потом его отозвали. Если бы система не проверяла CRL, она приняла бы документ как действительный, хотя на самом деле подпись больше не доверяется.

Вот типичный процесс:

Вы открываете документ с подписью в КриптоПро или браузере.
Программа извлекает из подписи номер сертификата и адрес CRL (эта информация встроена в сертификат).
Программа скачивает CRL с сервера удостоверяющего центра (это может быть несколько секунд).
Программа сравнивает номер сертификата с числами в списке.
Если совпадения нет — сертификат не отозван, можно продолжать проверку. Если совпадение найдено — подпись объявляется отозванной.

Предупреждение от бывалого: сотруднику выпустили подпись в январе. В июне он уходит, мы просим отозвать. Но вот ты проверяешь его апрельский документ в августе, получаешь ошибку сертификата отозван. Клиент волнуется: может, подпись поддельная? Нет, просто сертификат отозван в июле, а документ подписан в апреле, когда сертификат был живой. Документ актуален, отозвали позже. Главное — объяснить клиенту, что это означает.

Ошибка «не удалось проверить статус сертификата»: что это значит и как исправить

Вы открываете документ с подписью, и вместо результата проверки видите ошибку: «Ошибка проверки подписи», «Не удалось проверить статус сертификата», «CRL недоступен» или подобное.

Это не означает, что документ поддельный или подпись скомпрометирована. Это означает, что программа не смогла свързаться с сервером удостоверяющего центра для скачивания списка отозванных сертификатов. Причины могут быть:

Нет интернета

Вы работаете без подключения. КриптоПро и браузер пытаются скачать CRL, но не могут. Решение простое: подключитесь к интернету и откройте документ снова.

Сервер UЦ недоступен

Сервер удостоверяющего центра временно не отвечает или находится на техническом обслуживании. Это редко, но бывает. Решение: подождите несколько минут и попробуйте ещё раз.

Адрес CRL в сертификате неправильный

Некоторые старые сертификаты содержат ссылку на закрытый или перемещённый сервер. Решение: обновите корневые сертификаты удостоверяющих центров (процедура в разделе ниже).

КриптоПро не обновлял CRL долго

КриптоПро может кэшировать скачанный CRL в течение времени (обычно несколько часов). Если вы проверяете документ очень часто, программа может использовать старый кэш. Решение: очистите кэш КриптоПро или переустановите программу.

Корневые сертификаты не установлены

Если на вашем компьютере не установлены корневые сертификаты удостоверяющих центров, система может не доверять их CRL-серверам. Решение: установите корневые сертификаты (они обычно предоставляются при установке КриптоПро или можно скачать с сайта Минцифры).

Как исправить ошибку

Порядок действий:

Убедитесь, что у вас есть интернет.
Откройте КриптоПро → Сервис → Обновить списки отозванных сертификатов (название может отличаться в зависимости от версии).
Дождитесь завершения обновления.
Попробуйте открыть документ ещё раз.

Если это не помогло, проверьте в свойствах сертификата, какой удостоверяющий центр его выпустил, и посетите сайт этого центра. Там обычно есть инструкции по скачиванию CRL вручную.

Что происходит с документами после отзыва сертификата

Это самый важный момент, который вызывает путаницу. После отзыва сертификата его судьба зависит от того, когда документ был подписан:

Документ подписан до отзыва — остаётся действительным

Вы подписали договор 1 февраля, сертификат действительно работал. 15 августа сертификат отозвали. Договор от 1 февраля остаётся в полной силе. Налоговая его признает. Суд его признает. При проверке система увидит: подпись создана, когда сертификат был живой, значит актуально.

Документ не подписан, а сертификат отозван — подписать нельзя

После отзыва сертификат больше не используется для создания новых подписей. Система выдаст ошибку. Решение: получить новый сертификат.

Попытка переподписать или загрузить документ снова — не работает

Если вы пытаетесь переподписать документ или загрузить его в систему новой подписью, старая отозванная подпись на нём больше не будет приниматься. Документ придётся пересоздать с новой подписью.

Главное правило: отозыв сертификата блокирует только его использование для новых операций. Все уже подписанные документы остаются в силе, потому что проверка проводится по состоянию сертификата на момент подписания, а не на момент проверки.

Исключение — если при подписании был добавлен штамп времени. Штамп фиксирует точный момент создания подписи, и даже если сертификат потом отозвали, система сможет проверить, что подпись была создана, когда сертификат был действителен.

Отзыв против истечения: в чём разница

Часто люди путают отзыв сертификата и истечение его срока действия. Это разные вещи:

Параметр	Истечение срока	Отзыв
Кто инициирует	Автоматически, когда проходит время	Владелец или УЦ по просьбе
Можно ли предотвратить	Нет, можно только продлить заранее	Да, отозвать в любой момент
Появляется ли в CRL	Нет, истекший сертификат просто перестаёт работать	Да, отозванный сертификат добавляется в список
Документы до истечения/отзыва	Остаются действительными, если есть штамп времени	Остаются действительными
Использование после	Невозможно до продления	Невозможно

На практике разница такая: если сертификат просто истёк, его можно продлить и снова использовать. Если сертификат отозван, вы не можете его восстановить — нужно получить совершенно новый.

Как проверить, отозван ли сертификат

Если вы подозреваете, что сертификат отозван, или хотите убедиться в его статусе:

Способ 1: через сервис проверки подписи

Загрузите документ, подписанный этим сертификатом, на Контур.Крипто или другой сервис проверки. Система скачает CRL и покажет статус: действителен, отозван или истёк.

Способ 2: через КриптоПро

Откройте КриптоПро, найдите нужный сертификат в хранилище, откройте его свойства. На вкладке должна быть информация о статусе и дате отзыва (если отозван).

Способ 3: обратитесь в удостоверяющий центр

Позвоните в УЦ и попросите проверить статус вашего сертификата по номеру. Они дадут полную информацию о том, действителен ли он, отозван или истёк.

Частые ошибки и как их избежать

«Я потерял токен неделю назад, но не отозвал сертификат — может, ещё найдётся.» Ошибка: каждый день без отзыва — это риск. Кто-то может попытаться использовать подпись. Звоните в УЦ в день обнаружения потери.
«Ошибка проверки подписи — значит, документ поддельный.» Неправда: часто это просто сеть не работает или CRL недоступен. Проверьте соединение и попробуйте ещё раз.
«Я отозвал сертификат, теперь все мои старые документы недействительны.» Неправда: старые документы остаются в силе. Отозыв касается только новых операций.
«Сертификат истёк, я его отозвал, теперь нужно получить новый.» Отчасти верно, но не совсем: если сертификат просто истёк, отзыв не нужен. Просто получите новый. Отзыв нужен при компрометации или потере.
«CRL скачивается слишком долго, я откажусь от проверки.» Опасно: проверка подписи по CRL — это основной способ убедиться, что документ актуален. Дождитесь, даже если медленно.

Часто задаваемые вопросы

Почему я не вижу свой отозванный сертификат в списке на сайте UЦ?

Потому что UЦ не выкладывает отозванные сертификаты в открытый доступ на своём сайте. Список отозванных (CRL) выкладывается на защищённый сервер, откуда его скачивают программы. Сами УЦ не публикуют человекочитаемый список — это требование безопасности.

Если я отозвал сертификат, смогу ли я восстановить его позже?

Нет. Отзыв необратим. Сертификат остаётся в списке отозванных навсегда (даже после окончания срока действия). Если нужна подпись, нужно получить совершенно новый сертификат.

Какой срок действия у CRL на сервере UЦ?

CRL обновляется несколько раз в день (обычно раз в 6–12 часов). Новый отзыв сертификата появляется в списке в течение часов, максимум суток. Программы скачивают CRL с периодичностью, которую можно настроить (по умолчанию раз в несколько часов).

Если сертификат отозван, можно ли проверить документы, подписанные до отзыва?

Да, если при подписании был добавлен штамп времени. Штамп доказывает, что подпись была создана, когда сертификат был действителен. Без штампа проверка может быть затруднена — система может потребовать архивную копию CRL от момента подписания.

Я потерял токен и сразу отозвал. Но документ уже подписан — теряет ли он силу?

Нет, документ остаётся в силе. Отозыв касается только новых операций. Документ, подписанный до отзыва, система признает действительным, потому что на момент подписания сертификат был живой.

Может ли UЦ отозвать мой сертификат без моей просьбы?

В редких случаях может. Например, если центр обнаружил компрометацию их собственного сервера или уличил вас в нарушении договора. Но в большинстве случаев отзыв требует вашего письменного заявления.

Сколько времени берёт отзыв сертификата?

От нескольких часов до двух рабочих дней. Зависит от UЦ и причины отзыва. Если срочно (компрометация, кража), центр может ускорить процесс до часов. Вам должны отправить письмо с подтверждением отзыва и датой, когда сертификат попал в CRL.

Потеряли токен или заметили странную активность? Не ждите, отозывайте сертификат сейчас же. Выберите свой город, и наши специалисты помогут скоординировать отзыв с удостоверяющим центром.

Итог

Отзыв сертификата — это нормальный и необходимый процесс защиты. Если вы потеряли токен, заметили компрометацию или просто больше не используете подпись, отозыв блокирует дальнейшее использование сертификата. Это происходит через список отозванных сертификатов (CRL), который программы скачивают при проверке подписи. Важный момент: отзыв касается только новых операций, а не уже подписанных документов. Те остаются в полной силе, потому что на момент подписания сертификат был действителен.

Если вы видите ошибку «не удалось проверить статус сертификата», не спешите беспокоиться. Это обычно означает, что программа не смогла скачать CRL из интернета, а не что документ поддельный. Подключитесь к сети, обновите список и попробуйте ещё раз. А если вы самостоятельно решили отозвать сертификат, помните: это необратимо, но зато вы можете быть уверены, что сертификат больше не будет использоваться для новых операций.