Lekce 2 - Elektronické podpisy - Kvalifikovaný podpis a norma eIDAS

V předchozí lekci, Elektronické podpisy - Účel a využití, jsme se dozvěděli, k čemu slouží elektronické podpisy a proč je pro nás výhodné je používat.

Vítejte v tutoriálu zaměřeném na problematiku elektronických kvalifikovaných podpisů. V průběhu kurzu se dozvíme, co vše je potřeba splnit, abychom takové podpisy mohli ve své elektronické komunikaci využívat. Popíšeme si právní normy, představíme certifikační autority i konkrétní vybavení, které k tomu budeme potřebovat.

Co musí kvalifikované podpisy splňovat

V kurzu o kybernetické bezpečnosti jsme se seznámili s tím, jak digitální podpisy fungují spíše z technického hlediska. V tomto kurzu se podíváme na to, jak kvalifikované podpisy v praxi využít v souladu s požadavky českého a evropského práva. Půjde nám tedy o to, aby tyto podpisy byly právně uznatelné a závazné. V případě potřeby musí být také závazky plynoucí z jejich použití i právně vymahatelné. A samozřejmě musíme dbát také o to, abychom pomocí nich mohli i právně uznávaným způsobem komunikovat s úřady.

Komerční vs. kvalifikované certifikáty

Nutno předem říci, že i když technicky vzato fungují elektronické podpisy všechny stejně, v jejich označování, potažmo pak v nabídce certifikačních autorit (CA) panuje poměrně značný zmatek. Není úplně jednoduché zejména zorientovat se v tom, který z podpisů pak lze nebo nelze z právního hlediska k danému úkonu použít.

V zásadě existují v nabídce certifikačních autorit dva základní typy certifikátů:

• Komerční certifikáty
• a kvalifikované, případně zaručené certifikáty.

Řekněme si rovnou, že pokud budeme chtít komunikovat s úřady, budeme potřebovat podpisy kvalifikované. Abychom si téma hned na začátku příliš nekomplikovali, zaměříme se tedy na ně a komerční podpisy nebudeme zatím rozebírat.

Další dělení kvalifikovaných podpisů

Aby to nebylo tak jednoduché, kvalifikované podpisy se ještě dále dělí – zjednodušeně řečeno – podle toho, jak moc jsou kvalifikované. Těm "méně kvalifikovaným" se také někdy v češtině říká "zaručené". Podle toho je pak lze pro některé účely dle práva ČR použít a pro jiné zase ne. Další věcí je otázka, zda je také budou uznávat i další státy mimo ČR – alespoň tedy státy v EU.

Abychom si to tedy ještě ulehčili, budeme se rovnou věnovat podpisům, které splňují evropskou bezpečností normu – tzv. eIDAS (nařízení Evropského Parlamentu a Rady (EU) č. 910/2014).

Vězme, že z hlediska nákladů na jejich pořízení mezi uvedenými druhy podpisů už není nijak zásadní rozdíl, proto se nám vyplatí do kvalifikovaných podpisů splňujících normu eIDAS investovat.

Požadavky normy eIDAS

Na stránkách Czech POINTu najdeme následující definici kvalifikovaných elektronických podpisů a přehled požadavků, které musíme pro jejich získání splnit:

Kvalifikovaný elektronický podpis – QES (qualified electronic signature), je zaručený elektronický podpis, který je vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů a který je založen na kvalifikovaném certifikátu pro elektronické podpisy vydaným kvalifikovaným poskytovatelem služeb vytvářejících důvěru (dále jen "certifikační autorita"). Co to znamená? Pro vytvoření tohoto druhu elektronického podpisu je nejen nutné, aby fyzická osoba měla vydaný kvalifikovaný certifikát pro elektronický podpis, ale rovněž i to, aby související soukromý klíč, který osoba používá pro podepisování, byl vytvořen a uložen na certifikovaném prostředku. Pro tyto certifikované prostředky nařízení eIDAS zavádí pojem kvalifikovaný prostředek pro vytváření elektronických podpisů a mohou to být např. čipové karty a USB tokeny, které prošly potřebnou certifikací (seznam těchto prostředků  zveřejňuje na svých stránkách Evropské komise). Certifikovaný prostředek vydává certifikační autorita.

Jak z toho vyplývá, budeme k tomu potřebovat zvlášť schválený (kvalifikovaný) hardwarový prostředek. Jejich seznam nalezneme například na stránkách MVČR. V našem případě využijeme uvedený USB token. Dále budeme muset kontaktovat státem schválenou (kvalifikovanou) certifikační autoritu, která nám poté certifikát vydá. Certifikační autoritě předtím budeme muset nějakým schváleným způsobem autentizovat, tj. prokázat i svoji totožnost.

Využití eObčanky

Možná nás napadne, že tento problém už máme vyřešený. Tedy pokud vlastníme občanský průkaz s čipem, tzv. eObčanku. Taková eObčanka přeci jistě tohle všechno už umí, ne? A co už by mělo být kvalifikovanější nebo "schválenější" než průkaz vydaný samotným státem?

No, tak to vás teď musím trochu zklamat. Státní eObčanka (respektive její čip) to sice po technické stránce víceméně opravdu umí, jenže není dostatečně kvalifikovaným prostředkem podle normy eIDAS. Původně byla totiž zamýšlena jako prostředek pro autentizaci občana při přihlašování do státních portálů. Měla tak vlastně fungovat jako taková bezpečnější náhrada za kombinaci jméno a heslo.

Ukázka ověření totožnosti u certifikované autority pomocí eObčanky:

Dobrou zprávou ale je, že ji můžeme alespoň využít pro prokázání totožnosti certifikační autoritě při žádosti o kvalifikovaný certifikát on-line.

Certifikační autorita PostSignum a Czech POINT

V opačném případě bychom totiž museli na příslušnou instituci osobně dojít a vyřídit vše postaru "papírově". Jak si uvedeme dále, pro účely tohoto kurzu jsme vybrali jako certifikační autoritu PostSignum. V našem případě bychom tedy nejspíš museli navštívit alespoň naši nejbližší poštu, respektive nejbližší kontaktní místo Czech POINTu.

Nicméně, pokud eObčanku ještě nemáme, případně na ní ještě nemáme aktivovaný čip (o tom se zmíníme opět také dále v kurzu), pak je samozřejmě ke zvážení, zda pro nás není jednodušší zaběhnout na tu poštu. Protože někam fyzicky dojít budeme muset tak jako tak.

Je totiž možné, že eObčanku opravdu k ničemu jinému nevyužijeme, tedy pokud dále neplánujeme ji v budoucnu používat k něčemu dalšímu jako např. k tomu již zmíněnému přihlašování do portálů eGovernmentu.

V další lekci, Vybavení pro získání kvalifikovaného elektronického podpisu, se dozvíme, co vše budeme ke kvalifikovaným podpisům potřebovat a popíšeme si stručný postup pro získání hotového certifikátu.