کلید خصوصی سامانه مودیان؛ ساخت کلید، CSR و دریافت شناسه یکتای حافظه مالیاتی

کلید خصوصی سامانه مودیان را از کجا می‌گیرند؟

پاسخ مستقیم این است که کلید خصوصی را از هیچ‌جا «دریافت» نمی‌کنید؛ آن را خودتان می‌سازید. در امضای صورتحساب الکترونیکی یک جفت‌کلید به کار می‌رود: کلید خصوصی صورتحساب را امضا می‌کند و کلید عمومی، که در اختیار سامانه قرار می‌گیرد، درستی امضا را می‌سنجد. فایل CSR یا درخواست امضای گواهی، کلید عمومی و مشخصات هویتی مؤدی را در خود دارد و برای گرفتن گواهی و شناسه یکتا استفاده می‌شود. راهنماهای فنی تأکید می‌کنند که کلید خصوصی و کلید عمومی باید از یک درخواست ساخته شوند؛ اگر کلید عمومی بارگذاری‌شده با کلید امضاکننده جفت نباشد، امضای صورتحساب‌ها در سامانه تأیید نمی‌شود. ^{[۲] [۴]}

این سازوکار پشتوانه قانونی دارد. قانون تجارت الکترونیکی مصوب ۱۳۸۲ در بند ی ماده ۲ امضای الکترونیکی را هر نوع علامت منضم یا به نحو منطقی متصل به داده‌پیام می‌داند که برای شناسایی امضاکننده به کار می‌رود، و طبق ماده ۷ هرگاه قانون وجود امضا را لازم بداند، امضای الکترونیکی کافی است. ماده ۱۰ چهار شرط امضای مطمئن را می‌شمارد: نسبت به امضاکننده منحصربه‌فرد باشد، هویت او را معلوم کند، به وسیله او یا تحت اراده انحصاری او صادر شده باشد و طوری به داده‌پیام متصل شود که هر تغییری در آن قابل تشخیص باشد. شرط سوم همان دلیلی است که کلید خصوصی نباید از کنترل انحصاری مؤدی خارج شود. ^[۵]

قانون پایانه‌های فروشگاهی و سامانه مؤدیان هم زنجیره را کامل می‌کند. طبق تعاریف ماده ۱ آن، حافظه مالیاتی حافظه‌ای الکترونیکی برای ثبت و انتقال داده‌های صورتحساب به سامانه است و هر حافظه مالیاتی باید شماره شناسه یکتایی داشته باشد که سازمان تخصیص می‌دهد؛ صورتحساب الکترونیکی هم صورتحسابی است با شماره منحصربه‌فرد مالیاتی که اطلاعاتش در حافظه مالیاتی ذخیره می‌شود. ماده ۲ مؤدیان را مکلف می‌کند صورتحساب‌هایشان را از طریق سامانه و به ترتیبی که سازمان تعیین می‌کند صادر کنند. شناسه یکتا و کلید خصوصی دو قطعه‌ای هستند که هر ارسال مستقیم به آن‌ها نیاز دارد. ^[۶]

ساخت جفت‌کلید و فایل CSR؛ گام فنی روی رایانه خودتان

رایج‌ترین ابزار برای این کار OpenSSL است. طبق مستندات رسمی آن، فرمان req با گزینه -newkey یک کلید خصوصی تازه همراه درخواست گواهی می‌سازد، گزینه -keyout نام فایلی را تعیین می‌کند که کلید خصوصی تازه در آن نوشته می‌شود، گزینه -noenc که از نسخه ۳ جای -nodes را گرفته کلید را بدون رمزگذاری ذخیره می‌کند، و گزینه -pubkey کلید عمومی را چاپ می‌کند. راهنمای فنی منتشرشده برای سامانه مؤدیان در مرداد ۱۴۰۵ کلید RSA با طول ۲۰۴۸ بیت را به کار می‌برد، CSR را با یک فایل پیکربندی می‌سازد و سپس کلید عمومی را از همان CSR در یک فایل متنی جدا استخراج می‌کند تا در کارپوشه بارگذاری شود. ^{[۴] [۲]}

فایل پیکربندی همان جایی است که هویت مؤدی وارد درخواست می‌شود. در همان راهنما، برای اشخاص حقوقی نام انگلیسی و نام فارسی شرکت، شناسه ملی ۱۱ رقمی، دولتی یا غیردولتی بودن و کد کشور IR وارد می‌شود و اشخاص حقیقی در فرم مرکز صدور گواهی نوع «متقاضی مستقل» را انتخاب می‌کنند. اشتباه در شناسه ملی یا نام، بعداً به شکل ناهمخوانی گواهی با پرونده مالیاتی خودش را نشان می‌دهد؛ پس پیش از ساخت CSR، شناسه ملی را با مدارک ثبتی شرکت تطبیق دهید. ^[۲]

دو نکته فنی سرنوشت کلید را تعیین می‌کند. اول اینکه کلید خصوصی از روی CSR یا گواهی بازسازی نمی‌شود؛ اگر فایل اصلی یا نسخه پشتیبان امن آن را نداشته باشید، باید جفت‌کلید و در صورت نیاز گواهی تازه بسازید. دوم اینکه اگر از توکن سخت‌افزاری استفاده کنید، کلید خصوصی داخل تراشه می‌ماند و قابل استخراج نیست؛ این امنیت را بالا می‌برد، ولی نرم‌افزار امضاکننده هم باید بتواند با همان توکن کار کند. هر دو نکته را پیش از انتخاب روش ثبت کنید، چون تغییر آن بعداً یعنی شناسه و گواهی تازه. ^[۲]

• فایل کلید خصوصی: فقط در نرم‌افزار امضاکننده و یک نسخه پشتیبان رمزگذاری‌شده نگه داشته می‌شود.
• فایل CSR: برای درخواست گواهی در مرکز صدور گواهی میانی عام به کار می‌رود.
• فایل کلید عمومی: در کارپوشه برای گرفتن شناسه یکتای حافظه مالیاتی بارگذاری می‌شود.
• گواهی صادرشده: پس از تحویل از دفتر ثبت‌نام، طبق اطلاعیه مرکز در سامانه مؤدیان بارگذاری می‌شود.

گواهی الکترونیکی و شناسه یکتای حافظه مالیاتی در کارپوشه

مرکز صدور گواهی الکترونیکی میانی عام در اطلاعیه ۱۴ بهمن ۱۴۰۱ با عنوان دریافت گواهی الکترونیکی برای سامانه مؤدیان، مراحل را چنین اعلام کرده است: ثبت‌نام در سامانه درخواست صدور گواهی الکترونیکی در gica.ir، ورود به پنل کاربری و ثبت درخواست گواهی از طریق CSR و دریافت کد رهگیری، مراجعه به دفتر ثبت‌نام گواهی و دریافت گواهی با همان کد، و در پایان مراجعه به سامانه مؤدیان و بارگذاری گواهی. همان اطلاعیه توصیه می‌کند پیش از اقدام، اطلاعات لازم را از شرکت‌های معتمد اعلام‌شده در پایگاه سازمان امور مالیاتی بگیرید. ^[۱]

شناسه یکتا در کارپوشه صادر می‌شود. طبق راهنماهای به‌روز ۱۴۰۵، پس از ورود به my.tax.gov.ir و باز کردن کارپوشه و پرونده، از منوی کناری «عضویت» و سپس «شناسه‌های یکتای حافظه مالیاتی» را انتخاب می‌کنید و درخواست «دریافت شناسه یکتای حافظه مالیاتی» را ثبت می‌کنید. در این درخواست روش ارسال صورتحساب، که گزینه اول آن ارسال توسط خود مؤدی است، انتخاب و فایل کلید عمومی پیوست می‌شود؛ سامانه سپس کد پستی و نشانی‌های ثبت‌شده را برای تأیید نشان می‌دهد و پس از تأیید مشخصات، شناسه یکتا صادر می‌شود. ^{[۲] [۳]}

کلید خصوصی در این مسیر هیچ‌جا بارگذاری نمی‌شود. جای آن در بخش فروشنده نرم‌افزاری است که صورتحساب فروش را صادر و امضا می‌کند تا امضا با کلید عمومی ثبت‌شده در کارپوشه تطبیق داده شود. راهنماها صریح می‌گویند این فایل را با هیچ‌کس به اشتراک نگذارید. اگر کار ارسال را به شرکت معتمد می‌سپارید، یادتان باشد قانون این شرکت‌ها را اشخاص حقوقی دارای پروانه تعریف کرده که به مؤدیان مشاوره و آموزش می‌دهند و تجهیزات لازم را نصب و پشتیبانی می‌کنند؛ قرارداد باید روشن کند کلید و دسترسی‌ها نزد چه کسی است. ^{[۳] [۲] [۶]}

مثال عددی؛ هزینه گم شدن کلید بدون نسخه پشتیبان

فرض کنید شرکتی پخش روزانه به‌طور میانگین ۳۵۰٬۰۰۰٬۰۰۰ ریال فروش مشمول دارد و کلید خصوصی‌اش فقط روی رایانه حسابدار بوده که از کار افتاده است. ساختن جفت‌کلید تازه، گرفتن گواهی از دفتر ثبت‌نام و ثبت شناسه یکتای جدید ده روز کاری طول می‌کشد و در این مدت ۳٬۵۰۰٬۰۰۰٬۰۰۰ ریال فروش انجام می‌شود. اگر این فروش‌ها تا پایان مهلت در سامانه صادر نشوند، بند الف ماده ۲۲ قانون پایانه‌ها جریمه را ده درصد مجموع مبلغ فروش بدون صورتحساب الکترونیکی یا ۲۰٬۰۰۰٬۰۰۰ ریال، هر کدام بیشتر، تعیین کرده است؛ یعنی ۳۵۰٬۰۰۰٬۰۰۰ ریال. ^[۶]

هزینه به فروشنده محدود نمی‌ماند. خریداری که این کالا را برای فعالیت مشمول خود خریده، از دی ۱۴۰۴ با فاکتور کاغذی اعتبار مالیاتی نمی‌گیرد. با نرخ عمومی ۱۰ درصدی ۱۴۰۵، مالیات و عوارض این ده روز ۳۵۰٬۰۰۰٬۰۰۰ ریال است که اعتبار آن تا صدور صورتحساب الکترونیکی برای مشتریان معطل می‌ماند. در برابر این دو رقم، هزینه پیشگیری ناچیز است: نسخه پشتیبان رمزگذاری‌شده کلید در دو محل جدا، فهرست مسئولان دسترسی و ثبت تاریخ انقضای گواهی. ^{[۷] [۸]}

• فروش دوره توقف: ۳۵۰٬۰۰۰٬۰۰۰ ریال در روز × ۱۰ روز = ۳٬۵۰۰٬۰۰۰٬۰۰۰ ریال.
• جریمه بند الف ماده ۲۲: بیشترِ ۱۰ درصد فروش (۳۵۰٬۰۰۰٬۰۰۰ ریال) و ۲۰٬۰۰۰٬۰۰۰ ریال، یعنی ۳۵۰٬۰۰۰٬۰۰۰ ریال.
• اعتبار معطل‌مانده مشتریان: ۱۰ درصد × ۳٬۵۰۰٬۰۰۰٬۰۰۰ ریال = ۳۵۰٬۰۰۰٬۰۰۰ ریال.
• در صورت قطعی شدن جریمه، ثبت آن هزینه دوره است و به حساب مالیات ارزش افزوده یا بهای کالا نمی‌رود.

خطاهای رایج در نگهداری کلید و گواهی

رایج‌ترین خطا فرستادن فایل کلید خصوصی در پیام‌رسان برای پشتیبان نرم‌افزار یا همکار است؛ با این کار شرط «تحت اراده انحصاری امضاکننده» در ماده ۱۰ قانون تجارت الکترونیکی عملاً از بین می‌رود. خطای دوم ساختن CSR در سرویس برخطی است که معلوم نیست کلید را کجا می‌سازد؛ راهنماهای فنی ساخت محلی با OpenSSL را برای امنیت کلید ترجیح می‌دهند. خطای سوم بارگذاری کلید عمومی‌ای است که از درخواست دیگری آمده و با کلید امضاکننده جفت نیست. خطای چهارم فراموش کردن انقضای گواهی است؛ مرکز صدور گواهی میانی عام امکان تمدید غیرحضوری را از یک ماه پیش از انقضا فراهم کرده است و همین بازه باید در تقویم واحد مالی ثبت شود. ^{[۵] [۲] [۱]}

چک‌لیست راه‌اندازی امضای صورتحساب

این فهرست را پیش از نخستین ارسال و دوباره هر بار که نرم‌افزار، رایانه یا مسئول ارسال عوض می‌شود اجرا کنید. هر سطر به یکی از منابع این راهنما برمی‌گردد: شرایط امضای مطمئن در قانون تجارت الکترونیکی، مراحل اطلاعیه مرکز صدور گواهی، مسیر شناسه یکتا در کارپوشه و جریمه فروش بدون صورتحساب در قانون پایانه‌ها. ^{[۵] [۱] [۳] [۶]}

• جفت‌کلید و CSR روی رایانه خود شرکت ساخته شده و شناسه ملی و نام در فایل پیکربندی با مدارک ثبتی یکی است؟
• کلید عمومی بارگذاری‌شده در کارپوشه از همان درخواستی آمده که کلید خصوصی نرم‌افزار امضاکننده از آن ساخته شده؟
• شناسه یکتای حافظه مالیاتی و روش ارسال انتخاب‌شده در پرونده مالیاتی درست ثبت شده‌اند؟
• نسخه پشتیبان رمزگذاری‌شده کلید خصوصی در دو محل جدا نگه داشته می‌شود و رمز آن نزد دو نفر مجاز است؟
• تاریخ انقضای گواهی و مسئول تمدید آن در تقویم واحد مالی ثبت شده است؟
• هیچ نسخه‌ای از کلید در ایمیل، پیام‌رسان یا پوشه اشتراکی باقی نمانده است؟