Rastislav Machel, CISSP, META Group CESE
Zákon o elektronickom podpise je realitou už aj na Slovensku. NR SR tento veľmi potrebný zákon schválila v piatok 7. marca 2002 pár minút pred dvanástou hodinou. Prijatím zákona o elektronickom podpise sme však len začali cestu jeho praktického využitia v elektronickom obchode.
Zákon o elektronickom podpise je prvým zo zákonov, ktoré vytvárajú podmienky pre rozvoj elektronického obchodu. Práve elektronický obchod je najmarkantnejším príkladom revolučných zmien, ktoré prinášajú informačné technológie. Prístup malých podnikateľov na celosvetový trh, výrazné zníženie vlastných nákladov na transakcie, podstatné skrátenie času obchodných transakcií, nové druhy tovarov a služieb sú hybným faktorom rozvoja ekonomiky informačného veku.
Úspešné obchodovanie však nie je možné bez vzájomnej dôvery zainteresovaných strán. Dôvera, ktorá sa v prípade obchodovania v "kamennom" svete opiera o papierové dokumenty, pečiatky, podpisy a notárske overenia, sa pri použití elektronickej komunikácie musí zakladať na niečom inom. Nechránený dokument v elektronickej forme možno totiž veľmi jednoducho a bez akýchkoľvek pozorovateľných stôp zmeniť. Príjemca dokumentu doručeného prostredníctvom počítačovej siete nemá istotu od koho bol poslaný, odosielateľ môže poprieť zaslanie dokumentu, rovnako ako príjemca jeho prijatie.
DIGITÁLNY PODPIS
Riešenie týchto problémov ponúkajú pokročilé matematické metódy kryptológie (veda o šifrovaní) vo forme tzv. digitálnych podpisov. Elektronický podpis, ktorý je zovšeobecnením digitálneho podpisu, je založený na zložitých matematických transformáciách a jeho korektné používanie si vyžaduje presné definovanie postupov vytvárania a overovania elektronického podpisu. Tieto základné pravidlá sú upravené Zákonom o elektronickom podpise.
Elektronický (digitálny) podpis využíva postupy asymetrickej kryptografie, je založený na princípe tzv. rozdeleného tajomstva. Podpisovateľ (Peter) má dve čísla -- podpisovací (súkromný) kľúč a overovací (verejný) kľúč. Podpisovací a overovací kľúč sú v jednoznačnom vzťahu (jeden určuje druhý), ale jeden sa z druhého nedá v rozumnom čase vyrátať. Podpisovací kľúč si Peter dobre schová a uchová ho v tajnosti, overovací kľúč zverejní napr. v nejakom zozname verejných (overovacích) kľúčov.
MODELOVÝ PRÍKLAD
Predstavme si, že Peter chce Oskarovi poslať elektronický dokument. Aby zabezpečil jeho autentickosť (pravosť a neporušenosť) a presvedčil Oskara, že on, Peter, je jeho skutočným autorom, vytvorí elektronický podpis tohto dokumentu (Obr. 1). Najskôr dokument zakóduje do číselnej podoby, potom pomocou funkcie pre vytvorenie odtlačku elektronického dokumentu (tzv. HASH funkcie) z dokumentu vyráta číslo ("odtlačok", alebo hašovaciu hodnotu dokumentu) a napokon toto číslo zašifruje pomocou svojho podpisovacieho (súkromného) kľúča. Táto hodnota sa stáva elektronickým podpisom dokumentu. Peter pošle Oskarovi elektronický dokument s pripojeným elektronickým podpisom.
Obr. 1: Vytvorenie elektronického podpisu
Oskar po doručení elektronického dokumentu s pripojeným elektronickým podpisom najskôr pomocou HASH funkcie vyráta odtlačok elektronického dokumentu. Následne pomocou Petrovho overovacieho (verejného) kľúča odšifruje k dokumentu pripojený elektronický podpis a porovná obe hodnoty odtlačkov (tú, čo sám vyrátal s tou, ktorú dešifroval). Ak sa obidve hodnoty rovnajú, Oskar overil Petrov podpis (obr. 2). Ak nie, došlo k chybe alebo pokusu o podvod (zmenil sa buď elektronický dokument alebo jeho elektronický podpis).
Oskarova dôvera v Petrov elektronický podpis je založená na skutočnostiach, že Oskar pozná Petrov overovací kľúč, medzi Petrovým podpisovacím a overovacím kľúčom je jednoznačný vzťah a len Peter pozná svoj podpisovací (súkromný) kľúč. Akákoľvek zmena elektronického dokumentu alebo jeho elektronického podpisu sa prejaví v rozdielnych hodnotách odtlačku elektronického dokumentu (hašovacej hodnoty) vypočítanej Petrom a Oskarom.
CERTIFIKAČNÉ AUTORITY
Týmto jednoduchým spôsobom to môže fungovať iba medzi známymi, ktorí si môžu osobne doručiť overovacie kľúče. Elektronický obchod však predpokladá, že zmluvy budú uzatvárať ľudia, ktorí sa nikdy nestretli a teda nemajú záruky, že overovací kľúč prislúcha naozaj osobe, ktorá sa za jeho držiteľa vydáva. Tento problém sa rieši pomocou potvrdenia (certifikátu), ktoré na overovací (verejný) kľúč vydáva dôveryhodná tretia strana (taká, ktorej dôveruje aj Peter aj Oskar).
Certifikát Petrovho podpisovacieho (verejného) kľúča obsahuje Petrove meno, Petrov overovací kľúč, potrebné technické informácie, dobu platnosti certifikátu. Táto informácia je podpísaná elektronickým podpisom dôveryhodnej tretej strany, tzv. certifikačnej autority. Peter a Oskar môžu teraz komunikovať bez toho, aby sa niekedy stretli, stačí, aby poznali overovací (verejný) kľúč certifikačnej autority a boli pomocou neho schopní overiť jej elektronický podpis na certifikáte. Keďže certifikačných autorít nebude veľa, bude jednoduchšie si pamätať verejné kľúče niekoľkých certifikačných autorít ako overovacie kľúče všetkých potenciálnych záujemcov o komunikáciu.
Z vyššie uvedeného vyplýva, že každý, kto by sa dostal k Petrovmu podpisovaciemu kľúču, bude môcť vytvárať elektronické podpisy (a teda prijímať záväzky) v jeho mene. Preto akékoľvek podozrenie, že došlo k prezradeniu súkromného (podpisovacieho) kľúča, bude Peter okamžite hlásiť certifikačnej autorite, ktorá mu na jeho overovací kľúč vydala certifikát a požiada ju o zrušenie platnosti príslušného certifikátu.
Ten, kto overuje Petrov podpis, sa musí u certifikačnej autority presvedčiť, či je certifikát Petrovho overovacieho kľúča platný. Z tohto dôvodu vydáva certifikačná autorita zoznam zrušených certifikátov; ak sa na ňom certifikát Petrovho overovacieho kľúča nenachádza, môže daný overovací kľúč použiť Oskar na overenie Petrovho elektronického podpisu.
Obr. 2: Overenie elektronického podpisu.
PODSTATA ZÁKONA
Zákon o elektronickom podpise je špecifikáciou zložitého informačno-komunikačného systému, nazývaného PKI (public key infrastructure - infraštruktúra verejných kľúčov), ktorý zabezpečuje automatický manažment certifikátov, overovania elektronických podpisov a ďalších činností na takej technologickej a bezpečnostnej úrovni aká je potrebná na spoľahlivé používanie elektronického podpisu. Musí jednoznačne definovať jednotlivé časti PKI, vzťahy medzi nimi a popísať kľúčové činnosti, ktoré v PKI prebiehajú tak, aby nevznikali pochybnosti pri technologickej implementácii.
Zákon o elektronickom podpise má viacero aspektov. V prvom rade je to aspekt právny: zákon zavádza elektronický podpis do právneho poriadku Slovenskej republiky, stanovuje podmienky, za ktorých má elektronický podpis právne účinky vlastnoručného podpisu a umožňuje tak zrovnoprávnenie elektronických dokumentov s papierovými dokumentmi.
KĽÚČOVÉ POJMY
Kľúčovými pojmami Slovenského zákona o elektronickom podpise (ZoEP) sú zaručený elektronický podpis a kvalifikovaný certifikát. Elektronický podpis sa realizuje pomocou digitálneho podpisu. ZoEP predpokladá dve úrovne elektronického podpisu, ktoré sa líšia spôsobom vytvárania a overovania (o. i. bezpečnostnými požiadavkami, použitými technickými zariadeniami); "obyčajný" elektronický podpis a zaručený elektronický podpis.
Zaručený elektronický podpis má právnu účinnosť vlastnoručného podpisu. "Obyčajnému" elektronickému podpisu nemožno síce tiež uprieť právnu účinnosť, ale ten, kto by ho chcel použiť na právne úkony, by musel dokazovať, že sú splnené náležitosti v zmysle § 40 ods. 3 a 4 Občianskeho Zákonníka.
Účelom ZoEP je zlepšiť kvalitu nášho života, zrýchliť, zjednodušiť a zvýšiť bezpečnosť rutinných činností pri každodennej elektronickej komunikácii. Podstatou zaručeného elektronického podpisu je skutočnosť, že je vytváraný pomocou bezpečného zariadenia na vytváranie elektronického podpisu a na verejný (overovací) kľúč prislúchajúci k súkromnému (podpisovaciemu) kľúču je vydaný kvalifikovaný certifikát.
Dôležitým prvkom zákona je tiež definícia pojmu tzv. časovej pečiatky. Časová pečiatky má v mechanizme vytvorenia dôvery pri používaní elektronického podpisu kľúčový význam -- aby sme dokázali zabrániť možným pokusom o podvod a zneužitie elektronického podpisu je mimoriadne dôležité, mať možnosť presne určiť čas, kedy došlo k podpísaniu zmluvy a kedy k zrušeniu certifikátu.
čo ďalej
Pre reálne využívanie elektronického podpisu je potrebné urobiť podstatne viac ako iba prijať základnú zákonnú normu. ZoEP je iba nutným prvým krokom na ceste k masovému využívaniu elektronického podpisu. Schválený text ZoEP predpokladá delenú účinnosť. Časti zákona, ktoré umožňujú vytvoriť základné organizačné štruktúry systému elektronického podpisu -- sekciu Národného bezpečnostného úradu SR (NBÚ SR) pre elektronický podpis -- sú účinné od 1. mája 2002, časti zákona umožňujúce praktické používanie zaručeného elektronického podpisu sú účinné od 1. septembra 2002.
Časový interval od 1. mája 2002 do 1. septembra 2002 je kritickým obdobím, ktoré určí osud elektronického podpisu na Slovensku. Týchto 123 dní má NBÚ SR -- jeho sekcia pre elektronický podpis -- na to, aby vytvorila potrebné vykonávacie predpisy, na základe ktorých bude možné v septembri 2002 začať proces akreditácie dôveryhodných tretích strán pre vydávanie kvalifikovaných certifikátov -- budúcich akreditovaných certifikačných autorít.
Obr. 3: Základné časti systému elektronického podpisu
Čo teda potrebujeme pre využívanie elektronického podpisu na Slovensku? Okrem existencie a záujmu podpisovateľa a overovateľa (náš fiktívny Peter a Oskar), potrebujeme garanta spoľahlivosti, bezpečnosti a dôveryhodnosti elektronického podpisu. Týmto garantom bol prostredníctvom ZoEP definovaný NBÚ SR jeho (budúca) sekcia pre elektronický podpis.
INFRAŠTRUKTÚRA VEREJNÝCH KĽÚČOV
Ďalším nutným krokom je vytvorenie Infraštruktúry verejných kľúčov (PKI). Úlohou PKI je umožniť efektívnu výmenu certifikátov verejných kľúčov, zabezpečiť ich dostupnosť a najmä zabezpečiť možnosť overenia platnosti certifikátu verejného kľúča, ktorý použijeme pri overení elektronického podpisu. Dôležitým prvkom PKI je certifikačná autorita -- dôveryhodná tretia strana vydávajúca certifikáty k verejným (overovacím) kľúčom.
Podstata elektronického podpisu je založená na dôvere vychádzajúcej zo skutočnosti, že tento je dostatočne bezpečný a prakticky sa nedá sfalšovať. Táto bezpečnosť sa však spolieha na vlastnosti okolia -- prostriedkov na vytváranie elektronického podpisu. Zákon o elektronickom podpise bol prijatý najmä preto, aby bolo možné používať zaručený elektronický podpis v situáciách, keď je možné použiť podpis vlastnoručný.
Dôvera potenciálnych používateľov v bezpečnosť elektronického podpisu je vec unikátna a veľmi krehká. Budujeme ju dlhodobo, s vynaložením značného množstva finančných prostriedkov a ľudskej energie. Dá sa však zničiť veľmi rýchlo a jednoducho. Zaručenému elektronickému podpisu bez dostatočných bezpečnostných záruk používatelia nebudú dôverovať, a teda ho jednoducho nebudú používať. Informačné technológie sú pre väčšinu našich obyvateľov niečím novým, čomu z vlastnej prirodzenosti človeka podvedome nedôverujú.
Rozdiel medzi certifikačnou autoritou a akreditovanou certifikačnou autoritou je v tom, že akreditovaná certifikačná autorita získala od NBÚ SR akreditáciu na vykonávanie certifikačných služieb a má oprávnenie na vydávanie kvalifikovaných certifikátov na verejné (podpisovacie) kľúče. Udelením akreditácie NBÚ SR poskytuje používateľom elektronického podpisu záruku, že kvalifikované certifikáty verejných kľúčov spĺňajú definované bezpečnostné požiadavky.
Táto skutočnosť však neznamená, že tzv. "obyčajné" certifikačné autority nebudú existovať, práve naopak. Vybudovanie a prevádzka akreditovanej certifikačnej autority v súlade s podmienkami akreditácie, pri dodržaní vysokých bezpečnostných požiadaviek, nie je vec jednoduchá a rozhodne nie je lacnou záležitosťou. Dá sa preto predpokladať, že na Slovensku budú dlhodobo prevádzkované 2 až 3 akreditované certifikačné autority.
Využívanie elektronického podpisu však nie je len o PKI a (akreditovaných) certifikačných autoritách. Pre široké využívanie elektronického podpisu je potrebné vytvoriť aplikácie pre spoľahlivú a dôveryhodnú elektronickú komunikáciu. V tomto procese majú nezastupiteľné miesto práve "obyčajné" certifikačné autority, ktoré svojou činnosťou môžu výraznou mierou prispieť k búraniu falošných mýtov a pomôcť vytvárať reálny obraz o vlastnostiach, schopnostiach a samozrejme tiež skutočných rizikách elektronickej komunikácie. Toto je však dlhodobý a nie jednoduchý proces. Úspech a rozsah využívania elektronického podpisu totiž závisí nie len od dôveryhodnosti certifikačných autorít (a teda systému certifikátov ako celku), ale tiež od zreálnenia očakávaní samotných používateľov.
StoryEditor