Lekarstwo na anonimowość sieci
Za pomocą Internetu miliony ludzi codziennie wymieniają niezliczoną ilość wiadomości pocztowych, dokumentów, zdjęć. Gdy przesyłana informacja jest błaha, nie dbamy zbytnio o jej poufność i sprawdzenie autentyczności pochodzenia, lecz gdy w grę zaczynają wchodzić cenne dane globalna sieć ujawnia jedną ze swoich wad - anonimowość.Jak głosił rysunkowy dowcip zamieszczony w początkach internetowej gorączki w czasopiśmie "New Yorker" - "w Internecie nikt nie wie, że jesteś psem" - aby mieć pewność, że komunikujemy się z właściwą osobą, musimy skorzystać z dodatkowych mechanizmów. Sposobów rozwiązania problemu anonimowości jest wiele - przykładem może być wielość form uwierzytelnienia użytkownika stosowanych w bankowości internetowej, odwołujących się zarówno do posiadanej przez klienta poufnej informacji (hasła), znajdujących się w jego posiadaniu przedmiotów (listy haseł jednorazowych, tokeny), jak również niepowtarzalnych cech ludzkiego ciała (testowane tu i ówdzie metody biometryczne bazujące np. na obrazie odcisku palca, czy wzorze tęczówki oka).
Podpis elektroniczny ma być remedium na anonimowość Internetu - pozwalać na jednoznaczne i niezaprzeczalne określenie kto jest nadawcą informacji. Nie jest to jego jedyna zaleta, gdyż oprócz uwierzytelnienia osoby posługującej się e-podpisem, zapewnia on również integralność przesyłanego dokumentu. W odróżnieniu od podpisu własnoręcznego, podpis elektroniczny jest nierozerwalnie związany z podpisywaną informacją, można zatem ustalić czy podpisany dokument dotarł do odbiorcy w niezmienionej formie.
Wymienione cechy podpisu elektronicznego sprawiły, że w ustawodawstwie wielu krajów przyznano mu moc taką samą, jak podpisowi własnoręcznemu. Wszędzie tam gdzie, konieczne jest oświadczenie woli w formie pisemnej, podpisanie umowy, złożenie podania można użyć również e-podpisu. W czasach, gdy coraz większą częścią naszego życia osobistego i zawodowego zarządzamy za pomocą Internetu, rozwiązanie to wydaje się być naturalne i wygodne. Stosując dokumenty elektroniczne zamiast papierowych można znacznie ułatwić i przyspieszyć kontakty z partnerami biznesowymi, czy administracją.
Trochę techniki, czyli jak działa e-podpis
Podpis elektroniczny w swym dzisiejszym kształcie opiera się na szyfrowaniu asymetrycznym. Schemat szyfrowania asymetrycznego wykorzystuje parę kluczy szyfrujących: klucz publiczny, jawny i dostępny do pobrania dla wszystkich zainteresowanych oraz klucz prywatny - dostępny tylko dla jego właściciela. Dane zaszyfrowane jednym z kluczem z pary mogą zostać odczytane wyłącznie przy użyciu drugiego klucza z pary. Jednocześnie znając jeden z kluczy, nie można odtworzyć klucza drugiego.Szyfrowanie asymetryczne pozwala na bezpieczne przesyłanie informacji za pośrednictwem anonimowego medium jakim jest Internet. Wymieniając dane nie musimy wcześniej "umawiać się" z odbiorcą jakiego szyfru (klucza szyfrującego) użyjemy. Jeśli chcemy, by wiadomość dotarła bezpiecznie do adresata i nikt po drodze nie mógł jej odczytać, to wystarczy że użyjemy klucza publicznego odbiorcy. W ten sposób mamy pewność, że dokument odczyta wyłącznie posiadacz odpowiedniego klucza prywatnego, czyli adresat informacji.
Skąd jednak mamy mieć pewność, że klucz publiczny należy faktycznie do osoby, z którą chcemy się komunikować? Odpowiedzią na to pytanie jest certyfikat. Certyfikat to zbiór danych jednoznacznie identyfikujących użytkownika posługującego się danym kluczem. Zawierać on może informację o tożsamości użytkownika, jego adresie e-mail, dacie ważności certyfikatu oraz o podmiocie wystawiającym certyfikat (centrum certyfikacji). Certyfikat jest podpisany elektronicznie przez jego wystawcę. Centra certyfikacji pełnią zatem istotną rolę, pozwalając m.in. na jednoznaczne stwierdzenie tożsamości użytkowników korzystających z kluczy szyfrujących.
Złożenie podpisu elektronicznego pod cyfrowym dokumentem odbywa się w dwóch krokach:
- Z podpisywanego dokumentu obliczany jest skrót z użyciem jednokierunkowej funkcji skrótu. Skrót wiadomości ma zawsze taką samą długość, niezależnie od objętości dokumentu. Co więcej - zmiana chociażby jednego znaku w dokumencie spowoduje, że wynik funkcji skrótu będzie zupełnie inny. Można zatem powiedzieć, że skrót wiadomości jest jej "odciskiem palca".
- Skrót wiadomości szyfrowany jest przy użyciu klucza prywatnego nadawcy i dołączany do przesyłanego dokumentu. Do przesyłanych danych dołącza się również certyfikat nadawcy wraz z jego kluczem publicznym.
Odbiorca podpisanej wiadomości, aby dowiedzieć się czy informacja dotarła do niego niezmieniona i czy nadawca jest faktycznie tym, za kogo się podaje musi dokonać weryfikacji podpisu elektronicznego. Odbywa się to następująco:
- Z otrzymanej wiadomości obliczany jest skrót.
- Dołączony do wiadomości zaszyfrowany skrót jest odczytywany przy użyciu klucza publicznego nadawcy.
- Następuje porównanie obydwu skrótów - jeśli są identyczne, to weryfikacja przebiegła pomyślnie. Możemy mieć pewność, że wiadomość rzeczywiście pochodzi od nadawcy oraz że nie została w drodze zmodyfikowana.
"Zwykły" i "bezpieczny" - polski dualizm
Źródłem inspiracji polskiego ustawodawcy były rozwiązania przyjęte w Unii Europejskiej. Dyrektywa Parlamentu Europejskiego i Rady Wspólnoty w sprawie ramowych warunków dla podpisu elektronicznego zakreśliła podstawowe wymogi wobec ustawodawstwa krajów członkowskich w sferze e-podpisu. Polska ustawa o podpisie elektronicznym określa m.in.:- skutki prawne podpisu elektronicznego, zrównując bezpieczny podpis elektroniczny poświadczony kwalifikowanym certyfikatem z podpisem odręcznym,
- zasady działania podmiotów świadczących usługi certyfikacyjne,
- budowę certyfikatów identyfikujących podmiot używający podpisu elektronicznego,
- wymogi stawiane podmiotom chcącym wydawać kwalifikowane certyfikaty,
- zobowiązanie organów władzy publicznej do przyjmowania wniosków, podań i dokonywania innych czynności w postaci elektronicznej.
Wprowadzone w ustawie zapisy opierają się na dokonaniu podziału na dwa rodzaje certyfikatów poświadczających tożsamość osoby składającej podpis elektroniczny. Z mocy ustawy skutki prawne równoważne z podpisem odręcznym powoduje wyłącznie bezpieczny podpis elektroniczny poświadczony ważnym certyfikatem kwalifikowanym, tzn. wydanym przez podmiot wpisany do odpowiedniego rejestru.
Podpis elektroniczny poświadczony niekwalifikowanym certyfikatem może również być stosowany, lecz obszar jego zastosowań zależy wówczas od umowy pomiędzy stronami i ustaleń zawartych w tzw. polityce certyfikacji, czyli dokumencie ustalającym m.in. zakres zastosowań wydawanego certyfikatu.
Przyjęty w ustawie dwustopniowy podział certyfikatów ma istotne znaczenie praktyczne. Wydanie kwalifikowanego certyfikatu wiąże się ze sporymi kosztami (uzależnionymi m.in. od górnej granicy kwoty potwierdzanej nim transakcji oraz kosztów ubezpieczenia OC podmiotu wydającego certyfikat), ale daje wysoki poziom bezpieczeństwa prawnego. Bezpieczny podpis elektroniczny może być stosowany we wszystkich sytuacjach wymagających do tej pory podpisu własnoręcznego (z niewielkimi wyjątkami), a więc w kontaktach z administracją, przy podpisywaniu umów, składaniu oświadczeń woli.
Z kolei "zwykły" podpis elektroniczny, wykorzystujący niekwalifikowany certyfikat daje równie wysoki poziom bezpieczeństwa technicznego, nie wymagając jednocześnie dość kosztownej certyfikacji, lecz jego skutki prawne nie są równe skutkom podpisu własnoręcznego co naturalnie znacznie ogranicza potencjalny zakres zastosowań.
Na polskim rynku działa obecnie czterech wystawców certyfikatów kwalifikowanych: PCCE Sigillum (Polska Wytwórnia Papierów Wartościowych SA), Signet (TP SA), Certum (Unizeto Technologies SA) oraz Krajowa Izba Rozliczeniowa SA. Oferowane przez nich usługi cieszą się jak dotąd umiarkowanym wzięciem.
Po certyfikat do banku
Praktyczne wykorzystanie bezpiecznego podpisu elektronicznego wymaga posiadania nie tylko ważnego kwalifikowanego certyfikatu, ale również narzędzi, które pozwolą się nim posługiwać. Chcąc podpisywać dokumenty elektronicznie musimy zaopatrzyć się w czytnik kart chipowych (pozwalający korzystać z karty kryptograficznej, na której znajduje się nasz klucz prywatny) oraz oprogramowanie do składania i weryfikacji e-podpisu. Dostawcy usług certyfikacyjnych oferują odpowiednie zestawy wraz z wydawanymi certyfikatami. Ich cena, w przypadku podstawowych pakietów waha się w okolicach 400 zł netto.- Ceny podstawowych pakietów do składania bezpiecznego podpisu elektronicznego
| Dostawca |
|
Cena netto |
| Sigillum (http://www.sigillum.pl) |
Zestaw kwalifikowany Sign:
|
349 zł odnowienie - 115 zł |
| Certum (http://www.certum.pl) |
|
329 zł |
| KIR (http://www.kir.com.pl) |
Zestaw z certyfikatem kwalifikowanym + SafeDevice:
|
449 zł, odnowienie certyfikatu na 1 rok - 95 zł |
Źródło: Serwisy internetowe centrów certyfikacji
Zestaw do składania podpisu elektronicznego można jednak kupić taniej... korzystając z usług banku. Pod koniec marca Nordea Bank Polska S.A. wprowadził możliwość zatwierdzania dyspozycji składanych w serwisie transakcyjnym bankowości internetowej za pomocą bezpiecznego e-podpisu. Jednocześnie klientom banku zaoferowano możliwość nabycia pakietu składającego się z wydawanych przez PCCE Sigillum certyfikatów (kwalifikowanego i niekwalifikowanego służącego także do szyfrowania dokumentów) oraz karty, czytnika i oprogramowania. Wysokość opłaty za korzystanie z możliwości stosowania e-podpisu uzależniona jest od okresu posiadania rachunku w banku. Klient ma możliwość wybrania rocznej lub miesięcznej formuły naliczania opłat.
Nordea Bank Polska SA - usługi dla klientów indywidualnych i firm posiadających rachunek od co najmniej 3 miesięcy (dostawca certyfikatów: Sigillum)
Zestaw kwalifikowany Sign:
|
Opłata roczna 267 zł lub miesięczna 23 zł Odnowienie na 1 rok - 49 zł |
Źródło: http://nordea.pl/pl/article/10853.html
Podobną ofertę przygotował dla swoich klientów korporacyjnych Bank Ochrony Środowiska S.A. Od grudnia 2005 r. nabyć można za jego pośrednictwem certyfikaty kwalifikowane wydawane przez Krajową Izbę Rozliczeniową oraz urządzenia niezbędne do składania podpisu elektronicznego.
Bank Ochrony Środowiska - usługi dla przedsiębiorstw i jednostek samorządu terytorialnego (dostawca certyfikatów: KIR)
| Wydanie pierwszego czytnika | 120 zł |
| Wydanie kolejnego czytnika | 180 zł |
| Wydanie karty kryptograficznej | 120 zł |
| Wydanie kolejnej karty | 180 zł |
| Wydanie pierwszego certyfikatu kwalifikowanego (za 1 rok) | 185 zł |
| Wydanie kolejnego certyfikatu kwalifikowanego (za 1 rok) | 105 zł |
| Wydanie pierwszego certyfikatu kwalifikowanego (za 2 lata) | 245 zł |
| Wydanie kolejnego certyfikatu kwalifikowanego (za 2 lata) | 220 zł |
Źródło: Infolinia BOŚ S.A., http://www.bosbank.pl/pub/Tar_Kor_03_06.htm
Pozostałe banki również coraz częściej zerkają w stronę bezpiecznego podpisu elektronicznego jako formy zabezpieczenia usług bankowości internetowej (możliwość taką oferuje BPH S.A.), czy też narzędzia ułatwiającego elektroniczną wymianę danych z klientami (np. Bank Millenium wykorzystuje e-podpis w świadczeniu usług faktoringowych). Można mieć nadzieję, że naśladowców będzie przybywać - niewielka popularność podpisu elektronicznego w Polsce to w dużej mierze wynik braku jego praktycznych zastosowań. Potencjalni użytkownicy nie widzą korzyści, jakie przynieść może użycie "cyfrowej parafki". Brak zainteresowania ze strony użytkowników zniechęca z kolei do poszukiwania nowych zastosowań... i koło się zamyka. Nie bez znaczenia jest również stosunkowo wysoka cena certyfikatów kwalifikowanych. Szersze wykorzystanie podpisu elektronicznego mogłoby przyciągnąć nowe podmioty pragnące świadczyć tego typu usługi i przyczynić się do spadku cen.
Do czego może się przydać podpis elektroniczny?
Impulsem do szybkiego wzrostu popularności podpisu elektronicznego mogłaby być możliwość użycia go w kontaktach z administracją. Zapisy ustawy o podpisie elektronicznym zobowiązują administrację publiczną do gotowości na przyjęcie podań i wniosków w formie elektronicznej z dniem 16 sierpnia 2006 r. Termin ten zbliża się nieuchronnie, lecz można mieć poważne wątpliwości czy zostanie on dotrzymany. W prasie pojawiają się doniesienia o możliwości przesunięcia terminu, jak również wprowadzeniu rozwiązań zastępczych (także wykorzystujących bezpieczny podpis elektroniczny, lecz nie w pełnym zakresie - Domaszewicz Z., Zasuń R., E-podatki w lesie, "Gazeta Wyborcza" 15.05.2006).W przyszłości e-podpis będzie także wykorzystywany do elektronicznego składania deklaracji podatkowych (m.in. CIT, PIT i VAT). Niestety na zakończenie wdrożenia programu "e-Podatki" będzie trzeba poczekać jeszcze kilka lat - w pierwszej kolejności z tej formy obsługi korzystać będą mogli przedsiębiorcy, a w ostatniej kolejności osoby fizyczne.
Niezależnie od losów informatyzacji sektora publicznego, e-podpis może być używany do elektronicznego składania oświadczeń woli i zawierania umów pomiędzy przedsiębiorcami, zawierania transakcji przez Internet, wystawiania elektronicznych faktur. Być może zaangażowanie banków w rozpowszechnienie podpisu elektronicznego zaowocuje rozwojem tego typu zastosowań. Należy mieć nadzieję, że tak się stanie, bo jak dotąd e-podpis wciąż czeka na swoje "5 minut".
Źródło:
