Proste pyta­nie ale odpo­wiedz­my sobie na nie bo od tej odpo­wie­dzi zale­ży nasze rozu­mie­nie elek­tro­nicz­nej wer­sji pod­pi­su. Podpisem odręcz­nym potwier­dza­my na papie­rze swo­ją toż­sa­mość. I tyle. Celem tego potwier­dze­nia może być poświad­cze­nie zapo­zna­nia się z tre­ścią doku­men­tu, potwier­dze­nie, że jeste­śmy jego auto­rem lub nadaw­cą itp. Powodów skła­da­nia pod­pi­su może być tyle ile pod­pi­sy­wa­nych doku­men­tów. A czym jest pod­pis elek­tro­nicz­ny? Zanim powie­my sobie czym jest powie­my sobie do cze­go słu­ży: do tego same­go co i ręczny.

Ustawa o pod­pi­sie elektronicznym

wcho­dzi w życie w poło­wie Sierpnia bie­żą­ce­go roku jed­nak nie zawie­ra ona żad­nych zapi­sów pozwa­la­ją­cych na funk­cjo­no­wa­nie insty­tu­cji e‑podpisu. Do tego koniecz­ne są prze­pi­sy wyko­naw­cze, któ­rych jesz­cze nie ma. Ustawa w swej obec­nej posta­ci okre­śla jedy­nie ogól­ne zasa­dy wyda­wa­nia tak zwa­nych cer­ty­fi­ka­tów oraz zrów­nu­je w pra­wie pod­pis odręcz­ny z elek­tro­nicz­nym. Tak więc pierw­sze prak­tycz­ne uży­cie pod­pi­su elek­tro­nicz­ne­go jesz­cze jest przed nami a czas ocze­ki­wa­nia nie jest znany.

W celu łatwiej­sze­go zro­zu­mie­nia zasad i moż­li­wo­ści uży­wa­nia elek­tro­nicz­ne­go pod­pi­su przed­sta­wię defi­ni­cje kil­ku wybra­nych pojęć zwią­za­nych z tech­no­lo­gią i orga­ni­za­cją tego procesu.

Podstawowe i przy­dat­ne terminy

Kryptografia klu­cza publicz­ne­go (asy­me­trycz­na tech­ni­ka kryptograficzna)

Rodzaj kryp­to­gra­fii, któ­ra wyko­rzy­stu­je parę mate­ma­tycz­nie powią­za­nych ze sobą klu­czy, zwa­nych klu­czem publicz­nym i klu­czem prywatnym.

Klucz publicz­ny

Parametr prze­kształ­ce­nia mate­ma­tycz­ne­go, któ­ry może zostać poda­ny do publicz­nej wia­do­mo­ści, uży­wa­ny do wery­fi­ka­cji pod­pi­sów cyfro­wych utwo­rzo­nych z uży­ciem odpo­wia­da­ją­ce­go mu klu­cza pry­wat­ne­go. W zależ­no­ści od algo­ryt­mu, klu­cze publicz­ne są rów­nież uży­wa­ne do szy­fro­wa­nia wia­do­mo­ści lub pli­ków, któ­re mogą zostać póź­niej odszy­fro­wa­ne z uży­ciem odpo­wia­da­ją­cych im klu­czy prywatnych.

Klucz pry­wat­ny

Parametr prze­kształ­ce­nia mate­ma­tycz­ne­go utrzy­my­wa­ny przez posia­da­cza w tajem­ni­cy, uży­wa­ny do two­rze­nia pod­pi­su cyfro­we­go i, w zależ­no­ści od algo­ryt­mu, odszy­fro­wy­wa­nia wia­do­mo­ści lub pli­ków zaszy­fro­wa­nych z uży­ciem odpo­wia­da­ją­ce­go mu klu­cza publicznego.

Ośrodek Certyfikacji

Ośrodek Certyfikacji Operatora, któ­ry wyda­je, zawie­sza lub unie­waż­nia certyfikaty.

Punkt Rejestracji

Kontrahent wyzna­czo­ny przez Operatora, doko­nu­ją­cy wery­fi­ka­cji toż­sa­mo­ści sub­skry­ben­ta oraz prze­ka­zu­ją­cy odpo­wied­nie infor­ma­cje do ośrod­ka cer­ty­fi­ka­cji zgod­nie z pro­ce­du­rą reje­stra­cji sto­so­wa­ną w celu wysta­wie­nia certyfikatu.

Regulamin

Regulamin świad­cze­nia usług cer­ty­fi­ka­cyj­nych przez Operatora, zawie­ra­ją­cy opis zasad, pro­ce­dur i warun­ków wyda­wa­nia, zawie­sza­nia, unie­waż­nia­nia i odna­wia­nia cer­ty­fi­ka­tów przez Ośrodek Certyfikacji, oraz zasad ich uży­wa­nia, dostęp­ny na witry­nie pod adre­sem oraz na portalu.

Umowa sub­skry­benc­ka

Umowa zawar­ta mię­dzy sub­skry­ben­tem a Operatorem doty­czą­ca świad­cze­nia usług cer­ty­fi­ka­cyj­nych, zgod­nie z Regulaminem.

Subskrybent

Osoba, któ­ra jest pod­mio­tem cer­ty­fi­ka­tu, został dla niej wyda­ny cer­ty­fi­kat i jest upraw­nio­na do uży­wa­nia klu­cza pry­wat­ne­go odpo­wia­da­ją­ce­go klu­czo­wi publicz­ne­mu zawar­te­mu w certyfikacie.

Hierarchia zaufa­nia

Domena cer­ty­fi­ka­cji Ośrodka Certyfikacji, w któ­rej wszyst­kie stro­ny (tzn. Ośrodek Certyfikacji, Punkty Rejestracji, sub­skry­ben­ci i oso­by ufa­ją­ce) dzia­ła­ją zgod­nie z Regulaminem.

Certyfikat

Certyfikat klu­cza publicz­ne­go – sekwen­cja danych, opa­trzo­na przez ośro­dek cer­ty­fi­ka­cji pod­pi­sem cyfro­wym, któ­ra zawie­ra co naj­mniej: nazwę ośrod­ka cer­ty­fi­ka­cji (lub iden­ty­fi­ku­je ośro­dek cer­ty­fi­ka­cji w inny spo­sób), iden­ty­fi­ka­tor sub­skry­ben­ta, klucz publicz­ny sub­skry­ben­ta, okre­śle­nie okre­su waż­no­ści oraz numer seryjny.

Podpis cyfro­wy

Przekształcenie wia­do­mo­ści z wyko­rzy­sta­niem takie­go asy­me­trycz­ne­go sys­te­mu kryp­to­gra­ficz­ne­go, że oso­ba dys­po­nu­ją­ca wia­do­mo­ścią począt­ko­wą i klu­czem publicz­nym pod­pi­su­ją­ce­go jest w sta­nie pre­cy­zyj­nie okre­ślić, czy prze­kształ­ce­nie zosta­ło wyko­na­ne z uży­ciem klu­cza pry­wat­ne­go odpo­wia­da­ją­ce­go klu­czo­wi publicz­ne­mu pod­pi­su­ją­ce­go oraz czy po wyko­na­niu prze­kształ­ce­nia wia­do­mość nie ule­gła zmianie.

Co to jest PKI?

PKI to skrót od ang. Public Key Infrastructure czy­li Infrastruktura Kluczy Publicznych.

Co to za technologia?

Technologie kryp­to­gra­ficz­ne korzy­sta­ją­ce z pary klu­czy liczą sobie już ponad dwa­dzie­ścia lat, mimo to nie są jesz­cze powszech­nie sto­so­wa­ne. Sama potrze­ba kodo­wa­nia infor­ma­cji sta­no­wi dodat­ko­we obcią­że­nie dla użyt­kow­ni­ka gdyz do pro­ce­su two­rze­nia doku­men­tu docho­dzi jesz­cze jed­no zada­nie – kodo­wa­nie. Może to spo­wo­do­wać dodat­ko­we kom­pli­ka­cje głów­nie zwią­za­nie z pra­cą nad doku­men­tem z wie­lo­ma popraw­ka­mi. Łatwo jest stra­cić kon­tro­lę nad ostat­nią wer­sją pli­ku zako­do­wa­ne­go. Bardzo waż­ną rolę odgry­wa tutaj natu­ra ludz­ka. Chodzi tutaj o zaufa­nie. Skąd mogę wie­dzieć, że doku­ment, któ­ry wła­śnie otrzy­ma­łem, rze­ko­mo z pod­pi­sem Pana X jest rze­czy­wi­ście doku­men­tem jego autor­stwa? Tak, praw­da, posia­dam jego klucz publicz­ny, ale czy to nie jest misty­fi­ka­cja ? Klucz pobra­łem z Internetu, ze stro­ny Pana X, ale skąd mam pew­ność, że nie pod­ło­żył go tam jakich hac­ker, albo że jest to fał­szy­wa stro­na Pana X?

Kto potwier­dza auten­tycz­ność czy­li bank wzo­rów podpisów

W celu uwie­rzy­tel­nie­nia pod­pi­su powo­łu­je się spe­cjal­ne insty­tu­cje sta­no­wią­ce swo­isty bank klu­czy” publicz­nych. Celem tych insty­tu­cji jest poświad­cza­nie zgod­no­ści klu­czy z ich wła­ści­cie­la­mi. Instytucje te nazy­wa­ją się Ośrodkami Certyfikacji (CA – ang. Certification Authority) i zaj­mu­ją się one wyda­wa­niem cer­ty­fi­ka­tów cyfro­wych. Certyfikat taki jest elek­tro­nicz­nym doku­men­tem, w któ­rym zawar­te są dane oso­by i dane te są sko­ja­rzo­ne z jego klu­czem publicz­nym. Taki doku­ment dodat­ko­wo pod­pi­sa­ny jest przez Ośrodek Certyfikacji. Do wery­fi­ka­cji oso­ba zain­te­re­so­wa­na musi dodat­ko­wo pozy­skać klucz publicz­ny CA cer­ty­fi­ku­ją­cej np. Pana X. Przy uży­ciu tego klu­cza moż­li­we jest odczy­ta­nie danych doty­czą­cych inte­re­su­ją­cej nas oso­by, w szcze­gól­no­ści stwier­dze­nie praw­dzi­wo­ści jej klu­cza publicz­ne­go. Oczywiście CA wyda­ją­ce cer­ty­fi­kat Panu X powin­no mieć rów­nież swój wła­sny cer­ty­fi­kat. Jeśli kolej­ne CA będą współ­pra­co­wa­ły ze sobą, to poprzez swo­je Centrum Certyfikacji użyt­kow­nik jest w sta­nie kon­tak­to­wać się z każ­dym sko­ja­rzo­nym ze sobą CA. Taka sieć CA two­rzy Infrastrukturę Kluczy Publicznych. Aby uzy­skać cer­ty­fi­kat użyt­kow­nik powi­nien odwie­dzić punkt reje­stra­cyj­ny, któ­ry wery­fi­ku­je jego toż­sa­mość i pro­si punkt cer­ty­fi­ku­ją­cy o wyda­nie cer­ty­fi­ka­tu. CA przy­go­to­wu­je cer­ty­fi­kat, jed­ną kopię umiesz­cza w swo­jej bazie danych, zaś dru­gą wysy­ła oso­bie zain­te­re­so­wa­nej. Punkt wyda­wa­nia cer­ty­fi­ka­tów wery­fi­ku­je auten­tycz­ność cer­ty­fi­ka­tu dla odbior­cy. Wydawane cer­ty­fi­ka­ty powin­ny, ze wzglę­dów bez­pie­czeń­stwa mieć okres ważności.

e‑Podpis: zasto­so­wa­nia i ograniczenia 

Podpis odręcz­ny jest uni­kal­nym zna­kiem wyko­na­nym ręką pod­pi­su­ją­ce­go. Jego pod­ro­bie­nie jest trud­ne ale nie nie­moż­li­we. Podrabianie pod­pi­sów jest wbrew pozo­rom dość powszech­nym pro­ce­de­rem. Robią to już dzie­ci w dzien­nicz­kach szkol­nych pod­ra­bia­jąc pod­pi­sy rodzi­ców. Role pod­pi­su elek­tro­nicz­ne­go speł­nia sys­tem kodo­wa­nia będą­cy tak napraw­dę pew­ną mate­ma­tycz­ną ope­ra­cją na cią­gu zna­ków (zapi­sy­wa­nych tak na praw­dę w pamię­ci kom­pu­te­rów w posta­ci liczb). Podrobienie pod­pi­su elek­tro­nicz­ne­go jest dale­ko trud­niej­sze niż pod­pi­su odręcz­ne­go dla­cze­go więc wpro­wa­dza się go z takim trudem?

Po pierw­sze elek­tro­nicz­ny pod­pis musi być co naj­mniej tak łatwy w uży­ciu jak odręcz­ny co wbrew pozo­rom nie jest łatwe do osią­gnię­cia (posia­da­nie kom­pu­te­ra, dostęp do Internetu). Problem ten jest nie­ba­ga­tel­ny, doty­czy to tak­że dostrze­ga­nia zasto­so­wa­nia u sie­bie. Widać to w wyni­kach ankie­ty (źr. TELEINFO 24/2002). 100 infor­ma­ty­ków z firm nie infor­ma­tycz­nych zapy­ta­no: ” Czy od Sierpnia b.r. fir­ma będzie korzy­stać z e‑podpisu?”. Tylko jede­na­stu odpo­wie­dzia­ło TAK, pozo­sta­li odpo­wie­dzie­li NIE (72) i NIE WIADOMO (17).

Podpis odręcz­ny jest w pew­nym sen­sie cechą oso­bo­wą czło­wie­ka podob­nie jak np. odcisk pal­ca. Trudno jest go zmie­nić nawet jego wła­ści­cie­lo­wi. Grafologia poczy­ni­ła postę­py nie gor­sze od mate­ma­ty­ki i spe­cja­li­ści potra­fią z dużym praw­do­po­do­bień­stwem potwier­dzić toż­sa­mość na bazie prób­ki pisma odręcz­ne­go. Nie trze­ba nicze­go ze sobą nosić, pod­pi­su nie da się ukraść. W przy­pad­ku pod­pi­su elek­tro­nicz­ne­go pod­sta­wo­wy pro­blem pole­ga na tym, że trze­ba mieć przy sobie swój klucz pry­wat­ny oraz pamię­tać PIN pozwa­la­ją­cy z nie­go sko­rzy­stać. W efek­cie tak na praw­dę war­tość pod­pi­su elek­tro­nicz­ne­go jaki i jego sku­tecz­ność jest porów­ny­wal­na z elek­tro­nicz­ną kar­tą kre­dy­to­wą. Dla wie­lu z Państwa pew­nie zabrzmi to dziw­nie ale tak na praw­dę samo korzy­sta­nie z pod­pi­su elek­tro­nicz­ne­go w niczym nie odbie­ga od posłu­gi­wa­nia się elek­tro­nicz­ną kar­ta kre­dy­to­wą. Oczywiście od stro­ny mecha­ni­zmu jaki został uży­ty (skom­pli­ko­wa­ne ope­ra­cje mate­ma­tycz­ne) są to dwa róż­ne sys­te­my ale od stro­ny tego co widać” wiel­kiej róż­ni­cy nie ma. Gdyby ktoś nam skradł nośnik z klu­czem pry­wat­nym (lub sam klucz) i poznał PIN jest w sta­nie pod­pi­sy­wać się za nas.

Klucz pry­wat­ny i publicz­ny: cóż to jest?

Klucze pry­wat­ny i publicz­ny to dwa róż­ne cią­gi liczb. Pierwszy słu­ży do kodo­wa­nia dru­gi do kon­tro­li kodo­wa­nia lub roz­ko­do­wy­wa­nia. Klucz pry­wat­ny moż­na przy­rów­nać do naszych zdol­no­ści wyko­na­nia uni­kal­ne­go odręcz­ne­go pod­pi­su nato­miast klucz publicz­ny do ogól­no­do­stęp­nej bazy wzo­rów podpisów.

Troszkę o kodowaniu.

Systemy kodo­wa­nia dzie­lą się ogól­nie na dwa rodza­je: syme­trycz­ne i asy­me­trycz­ne. W pierw­szym sys­te­mie do kodo­wa­nia i roz­ko­do­wa­nia słu­ży ten sam klucz zwa­ny tak­że klu­czem taj­nym (powi­nien go znać tyl­ko nadaw­ca i odbior­ca infor­ma­cji). Drugi sys­tem pole­ga na tym, że uży­wa­ne są dwa róż­ne klu­cze: taj­ny do kodo­wa­nia i publicz­ny do roz­ko­do­wy­wa­nia. Nie będę tu roz­wi­jał warian­tów ich uży­cia (np. do prze­sy­ła­nia taj­nych infor­ma­cji pomię­dzy stro­na­mi) a opi­sze tyl­ko zasto­so­wa­nia zwią­za­ne z uwie­rzy­tel­nia­niem transmisji.

System kodo­wa­nia z taj­nym klu­czem sto­so­wa­ne jest np. w woj­sku czy służ­bach dyplo­ma­tycz­nych. Podstawowym pro­ble­mem jest zapew­nie­nie taj­no­ści klu­cza sto­so­wa­ne­go do kodo­wa­nia gdyż wymia­na infor­ma­cji na odle­głość wyma­ga tak­że bez­piecz­ne­go prze­sła­nia adre­sa­to­wi taj­ne­go klu­cza. Dystrybucja klu­czy jest pro­ble­mem samym w sobie ale nie będę tu opi­sy­wać tych pro­ble­mów gdyż nie jest to przed­mio­tem arty­ku­łu. Najpopularniejszym stan­dar­dem kodo­wa­nia z klu­czem taj­nym jest obec­nie DES.

System kodo­wa­nia z klu­czem publicz­nym pole­ga na tym, że cześć klu­cza taj­ne­go może zostać poda­na jako jaw­na. Do zako­do­wa­nia infor­ma­cji koniecz­na jest zna­jo­mość algo­ryt­mu oraz klucz pry­wat­ny nato­miast zako­do­wa­nej infor­ma­cji nie da sie (jest to bar­dzo trud­ne) roz­ko­do­wać posia­da­jąc zna­ją tyl­ko taj­ny klucz i infor­ma­cję zako­do­wa­ną. Do roz­ko­do­wa­nia potrzeb­ne są zako­do­wa­na wia­do­mość oraz dru­gi klucz. Taka para klu­czy speł­nia nastę­pu­ją­cą zasadę:

jeśli wia­do­mość zosta­ła zako­do­wa­na jed­nym z klu­czy może zostać roz­ko­do­wa­na za pomo­cą drugiego.

zna­jąc tyl­ko klucz publicz­ny nie­moż­li­we jest odgad­nię­cie klu­cza prywatnego.

Najpopularniejszym sys­te­mem kodo­wa­nia z klu­czem publicz­nym jest obec­nie stan­dard RSA (algo­rytm Rivesta, Shamira, Adlemana).

Każdy z tych sys­te­mów ma swo­je wady i zale­ty. Do pod­sta­wo­wych zalet sys­te­mu DES jest jego szyb­kość wadą nato­miast koniecz­ność zarzą­dza­nia klu­cza­mi. Zaletą sys­te­mu RSA jest łatwe zarzą­dza­nie klu­cza­mi nato­miast wadą sto­pień skom­pli­ko­wa­nia co wyma­ga dużej wydaj­no­ści w kodo­wa­niu dużych ilo­ści infor­ma­cji. Dlatego algo­ryt­my DES naj­czę­ściej sto­su­je się do szy­fro­wa­nia infor­ma­cji a RSA do uwierzytelniania.

Czym jest więc pod­pis cyfrowy?

Celem pod­pi­sy­wa­nia doku­men­tu jest udo­wod­nie­nie, ze pocho­dzi on od kon­kret­ne­go nadaw­cy. Funkcję pod­pi­su może więc speł­nić sys­tem szy­fro­wa­nia o nastę­pu­ją­cych cechach:

odbior­ca doku­men­tu musi mieć moż­li­wość spraw­dze­nia pod­pi­su nadawcy,

pod­pi­su nie da się podrobić,

nadaw­ca doku­men­tu nie ma moż­li­wo­ści zakwe­stio­no­wa­nia jego autorstwa

Tylko speł­nie­nie wszyst­kich trzech warun­ków stwa­rza moż­li­wość zastą­pie­nia (rów­no­praw­ne­go uży­cia) pod­pi­su odręcz­ne­go cyfro­wym. Jak już wspo­mnia­łem wcze­śniej ostat­ni waru­nek jest trud­ny do zacho­wa­nia z uwa­gi na to, że klucz pry­wat­ny (publicz­ny tak­że) ma swą mate­rial­ną repre­zen­ta­cję w posta­ci nośni­ka, na któ­rym jest zapi­sa­ny i nie jest on nie­roz­łącz­ny z jego właścicielem.

Jednak obec­nie (podob­nie jak to ma miej­sce w przy­pad­ku kart kre­dy­to­wych) przyj­mu­je się z domnie­ma­nia, że klucz pry­wat­ny jest popraw­nie strze­żo­ny i nie­do­stęp­ny oraz ist­nie­je moż­li­wość zastrze­że­nia klu­cza (np. zgło­sze­nie kradzieży).

Ja to się dzie­je, że się podpisuje?

Wiemy już na czym pole­ga asy­me­trycz­na meto­da kodo­wa­nia. A jak wyglą­da pod­pis? Podpis cyfro­wy jest dodat­ko­wą infor­ma­cją dołą­cza do pod­pi­sy­wa­ne­go pli­ku. Ta dołą­cza­na Informacja (tzw. sygna­tu­ra) powsta­je poprzez wyko­na­nie wyżej opi­sa­nych ope­ra­cji kodo­wa­nia na spe­cjal­nie wyko­na­nym stresz­cze­niu pli­ku (jego skrócie).

Taka nie­roz­łącz­na para (doku­ment oraz sygna­tu­ra) sta­no­wi sobą wła­śnie pod­pi­sa­ny cyfro­wo doku­ment. Jak spraw­dzić auten­tycz­ność pod­pi­su? Mając dostęp do klu­cza publicz­ne­go jeste­śmy w sta­nie stwier­dzić auten­tycz­ność doku­men­tu poprzez porów­na­nie dwóch stresz­czeń: wyko­na­ne­go na pod­sta­wie otrzy­ma­ne­go doku­men­tu oraz oraz roz­ko­do­wa­ne­go na pod­sta­wie sygna­tu­ry i klu­cza publicznego.

Klucz publicz­ny moż­na pobrać z ban­ku klu­czy na pod­sta­wie infor­ma­cji zawar­tej w sygna­tu­rze. Sygnatura oprócz infor­ma­cji i posia­da­czu cer­ty­fi­ka­tu (oso­bie pod­pi­su­ją­cej) zawie­ra dodat­ko­wo takie infor­ma­cje jak dane pod­mio­tu, któ­ry wydał cer­ty­fi­kat, typ cer­ty­fi­ka­tu, jego datę waż­no­ści oraz datę i godzi­nę wyko­na­nia sygna­tu­ry (znacz­nik cza­su pod­pi­su cyfrowego).

Jak zdo­być certyfikat

Aby mieć moż­li­wość cyfro­we­go pod­pi­sy­wa­nia doku­men­tów nale­ży uzy­skać cer­ty­fi­kat. W tym celu nale­ży zło­żyć wnio­sek w Ośrodku Certyfikacji lub jego agen­dzie (Punkcie Rejestracji). Po spraw­dze­niu danych Urząd wyda­je cer­ty­fi­kat. Informacje o cer­ty­fi­ka­cie i kopie klu­cza publicz­ne­go sta­ją się od tego momen­tu dostęp­ne w spe­cjal­nych kata­lo­gach (bazach danych) np. poprzez sieć Internet.

Otrzymany cer­ty­fi­kat sta­no­wi sobą potwier­dze­nie otrzy­ma­nia pary klu­czy pry­wat­ne­go i publicz­ne­go, zawie­ra infor­ma­cję o dacie waż­no­ści, posia­da­czu, oraz Centrum Certyfikacji, któ­re go wyda­ło a tak­że miej­scu gdzie moż­na spraw­dzić jego autentyczność.

Klucze

Klucze to opi­sa­ne powy­żej taj­ny i publicz­ny ciąg kodu­ją­cy. Szczególnej ochro­ny wyma­ga Klucz Prywatny (Private Key) gdyż to ten klucz sta­no­wi źró­dło zna­ko­wa­nia doku­men­tów. Jest wie­le metod prze­cho­wy­wa­nia danych moż­li­wych do sto­so­wa­nia jako nośni­ki klu­cza pry­wat­ne­go. Do naj­prost­szych nale­ży dys­kiet­ka. Mogą to kar­ty smart­card np. takie jak kar­ty SIM do tele­fo­nów komór­ko­wych, modu­ły pamię­cio­we zabu­do­wa­ne z złą­czu USB i inne. Certyfikat moż­na oczy­wi­ście prze­cho­wy­wać na twar­dym dys­ku posia­da­ne­go komputera.

Certyfikaty

Certyfikaty są wysta­wia­ne do róż­nych celów i dzie­lą się na róż­ne kla­sy. Podział na kla­sy wyni­ka z pozio­mu wia­ry­god­no­ści, im numer kla­sy niż­szy tym cer­ty­fi­kat wiarygodniejszy.

a zale­ży od przy­ję­tych kry­te­riów, naj­czę­ściej jest to poziom bez­pie­czeń­stwa. Certyfikat może zostać wyda­ny do celów Tu zwró­cę uwa­gę na jeden z typów cer­ty­fi­ka­tów tj, cer­ty­fi­kat kwalifikowany.

Klasa 1: cer­ty­fi­ka­ty te sto­so­wa­ne są do celow testo­wych i mają naj­niż­szy poziom wia­ry­god­no­ści poświad­cze­nia tożsamości,

Klasa 2: cer­ty­fi­ka­ty sto­so­wa­ne do uwie­rzy­tel­nia­nie pocz­ty elek­tro­nicz­nej oraz prze­glą­da­rek inter­ne­to­wych; mogą być uży­wa­ne do szy­fro­wa­nia trans­mi­sji danych (SSL/TLS), cer­ty­fi­kat ten nie daje jed­nak żad­nych gwa­ran­cji jed­no­znacz­ne­go okre­śłe­nia toż­sa­mo­ści, sto­so­wa­ne są tam, gdzie w grę wcho­dzi pro­ste spraw­dze­nie uni­kal­no­ści nazwy pod­mio­tu lub wery­fi­ka­cja adre­su pocz­ty elektronicznej,

Klasa 3: cer­ty­fi­ka­ty te mogą być sto­so­wa­ne do ochro­ny pocz­ty elek­tro­nicz­nej, reali­za­cji trans­ak­cji o niskim pozio­mie ryzy­ka, uwie­rzy­tel­nia­nia ser­we­rów dostaw­ców usług, takich jak witry­ny skle­po­we, usłu­gi nie­za­prze­czal­no­ści oraz zabez­pie­cze­nie opro­gra­mo­wa­nia przed fał­szo­wa­niem, mogą być tak­że wyko­rzy­sty­wa­ne do zabez­pie­cza­nia trans­mi­sji urzą­dzeń bez­prze­wo­do­wych (pro­to­kół WTLS) i cyfro­we­go pod­pi­sy­wa­nia obiek­tów infor­ma­cyj­nych, cer­ty­fi­kat tej kla­sy potwier­dza, że zawar­ta w nich nazwa sub­skry­ben­ta jest pra­wie (ale nie cał­ko­wi­cie) pew­na; stro­na ufa­ją­ca powin­na wziąć ten fakt pod uwagę.

Klasa 4: cer­ty­fi­ka­ty te mają sta­tus cer­ty­fi­ka­tów o naj­wyż­szym pozio­mie wia­ry­god­no­ści poświad­cze­nia toż­sa­mo­ści, wyda­wa­ne są oso­bom oraz insty­tu­cjom i fir­mom, indy­wi­du­al­ne cer­ty­fi­ka­ty tej kla­sy dają cał­ko­wi­tą pew­ność, że dane oso­by zawar­te w cer­ty­fi­ka­cie są auten­tycz­ne, wyda­nie cer­ty­fi­ka­tu tej kla­sy wyma­ga oso­bi­ste­go sta­wien­nic­twa w punk­cie reje­stra­cji w celu przed­sta­wie­nia odpo­wied­nich doku­men­tów, któ­re w spo­sób nie budzą­cy wąt­pli­wo­ści potwier­dzą toż­sa­mość oso­by ubie­ga­ją­cej się o cer­ty­fi­kat, jest to tak zwa­ny cer­ty­fi­kat kwa­li­fi­ko­wa­ny. Certyfikaty tej kla­sy są tak­że wyda­ne insty­tu­cjom lub fir­mom i są z kolei gwa­ran­cją dla stron ufa­ją­cych, że dana insty­tu­cja lub fir­ma ist­nie­je napraw­dę i posłu­gu­je się nazwą zawar­tą w certyfikacie.

Szczegóły na temat pro­ce­dur wyda­wa­nia cer­ty­fi­ka­tów moż­na zna­leźć na stro­nach ośrod­ków certyfikujących.

Największe w Polsce Ośrodki Certyfikacji

NAZWA WŁAŚCICIEL Certum Unizeto Signet TP.Internet PolCert BPT Telbank KIR (Krajowa Izba Rozliczeniowa) Spółka akcyj­na 16. ban­ków zało­ży­cie­li i ZBP Centrast NBP, ZBP, Telbank, TP.Internet Inne Głównie ISP, usłu­ga ofe­ro­wa­na jako uzu­peł­nie­nie pod­sta­wo­wej działalności

Na zakoń­cze­nie

Podpis cyfro­wy to pro­blem bar­dziej orga­ni­za­cyj­ny. Samo wyda­wa­nie cer­ty­fi­ka­tów jest bar­dzo zło­żo­nym przed­się­wzię­ciem, do tego docho­dzi nie mniej skom­pli­ko­wa­ne zarzą­dza­nie nimi. Ich zasto­so­wa­nie jest ogra­ni­czo­ne do infor­ma­cji w posta­ci elek­tro­nicz­nej. Dokument w posta­ci elek­tro­nicz­nej po wydru­ko­wa­niu bez dodat­ko­wych zabie­gów (np. poświad­cze­nia nota­rial­ne­go) tra­ci swą ważność.

Jednym z przy­szłych zasto­so­wań ma być moż­li­wość elek­tro­nicz­ne­go gło­so­wa­nia. Tu czę­sto pada­ją pyta­nia czy moż­na oddać podwój­ny głos. Otóż do udzia­łu w gło­so­wa­niu wyma­ga­ny jest cer­ty­fi­kat kwa­li­fi­ko­wa­ny. Teoretycznie moż­na mieć wię­cej niż jeden taki cer­ty­fi­kat (jeden Ośrodek Certyfikacji może wydać jeden cer­ty­fi­kat kwa­li­fi­ko­wa­ny moż­na więc mieć tyle cer­ty­fi­ka­tów ile Ośrodków jed­nak zobo­wią­za­ne są one do wza­jem­nej wymia­ny infor­ma­cji o wyda­nych cer­ty­fi­ka­tach i pró­ba powtór­ne­go odda­nia gło­su jest wychwy­ty­wa­na. Oczywiście szcze­gó­ły będą okre­ślo­ne prze­pi­sy wyko­naw­cze do usta­wy o pod­pi­sie cyfro­wym, któ­rych jesz­cze nie ma.

Najważniejsze korzy­ści to moż­li­wość pro­wa­dze­nia legal­nych (bez potrze­by potwier­dza­nia w for­mie papie­ro­wej) trans­ak­cji han­dlo­wych pomię­dzy pod­mio­ta­mi gospo­dar­czy­mi oraz moż­li­wość pro­wa­dze­nia elek­tro­nicz­nej kore­spon­den­cji z urzę­da­mi państwowymi.

Notatka: J.Ż. Czerwiec 2002
Ostatnia mody­fi­ka­cja: 2002-11-04

Jarosław Żeliński

BIO: Od roku 1991 roku, nieprzerwanie, realizuję projekty z zakresu analiz i projektowania systemów, dla urzędów, firm i organizacji. Od 1998 roku prowadzę także samodzielne studia i prace badawcze z obszaru analizy systemowej i modelowania (modele jako przedmiot badań: ORCID). Od 2005 roku, jako nieetatowy wykładowca akademicki, prowadzę wykłady i laboratoria (ontologie i modelowanie systemów informacyjnych, aktualnie w Wyższej Szkole Informatyki Stosowanej i Zarządzania pod auspicjami Polskiej Akademii Nauk w Warszawie. Oświadczenia: moje badania i publikacje nie mają finansowania z zewnątrz, jako ich autor deklaruję brak konfliktu interesów.

Dodaj komentarz

Witryna wykorzystuje Akismet, aby ograniczyć spam. Dowiedz się więcej jak przetwarzane są dane komentarzy.