Lekce 1 - Elektronické podpisy - Účel a využití

Vítejte v tutoriálu zaměřeném na problematiku elektronických podpisů. V průběhu kurzu se dozvíme, co vše je potřeba splnit, abychom takové podpisy mohli ve své elektronické komunikaci využívat. Popíšeme si právní normy, představíme certifikační autority i konkrétní vybavení, které k tomu budeme potřebovat. Nejprve si ale vysvětlíme, k čemu elektronické podpisy slouží a proč je dobré je používat.

Minimální požadavky kurzu

Na tento kurz nepotřebujeme žádné speciální znalosti, stačí běžná práce s počítačem

Autorizace podpisem

Obyčejný papír měl oproti elektronickým dokumentům dlouho jednu zcela rozhodující výhodu. Tou byla možno snadno jej autorizovat, neboli - zjednodušeně řečeno - podepsat. I když toto řešení nebylo úplně ideální, protože podpis rukou lze napodobit, notářsky ověřený podpis poskytoval jistotu. Notář potvrzoval, že podpis provedla skutečně ta osoba, která se na dokument podepsala. Díky tomu bylo možné uzavírat obchodní smlouvy, provádět převody peněz bez fyzického předání, vyjadřovat závazky a pohledávky a provádět další důležité činnosti. Avšak v digitálním světě je možné informace snadno kopírovat a měnit, a proto je těžké důvěřovat digitálním dokumentům, které jsou podepsány pouze textovým podpisem, obrázkem nebo videem.

Problém autorizace digitálních dokumentů

Digitální informaci lze samozřejmě zkopírovat či změnit docela snadno a nikdo nepozná, zda se tak stalo nebo kdo to učinil. Digitální dokument včetně jeho podpisu tvoří pouze čísla. Pod běžný e-mail nebo dokument je tedy možné vložit jako podpis prakticky cokoliv včetně obrázku podpisu, jen to v žádném případě nelze považovat za důvěryhodné.

Obrázek nebo dokonce video přece není nic jiného, než sekvence čísel.

Autorizace elektronickým podpisem

Elektronické podpisy tento problém řeší. Umožňují nezvratně prokázat, že daný text nebo jakoukoli jinou digitální informaci podepsal jen ten, kdo znal příslušný (tajný) klíč. Elektronické podpisy také fungují mnohem rychleji, spolehlivěji a levněji, než podpisy klasické.

Ukažme si, jak takový elektronický podpis poté v dokumentu vypadá:

Jakmile je dokument elektronicky podepsán, nelze už v něm provádět změny. I kdyby se změnil i jen jediný znak, podpis by okamžitě ztratil platnost. Pomocí veřejné části klíče si pak každý může snadno ověřit, zda je podpis pod danou informací stále platný. To je rozhodně snadnější, než s příslušným dokumentem běžet ke grafologovi a ušetří nám to i další náklady. Stačí k tomu důvěryhodný počítač vybavený příslušným softwarem.

Princip elektronického podpisu

Už jsme si řekli, že každý elektronický dokument je reprezentován binárními daty. Pro zajištění integrity a autenticity dokumentu se využívá matematická hashovací funkce, která převede daný dokument na jedno konkrétní číslo nazývané otisk (hash). Otisk je unikátní pro každý dokument a i malá změna v dokumentu způsobí výraznou změnu otisku.

Elektronický podpis využívá asymetrické kryptografie, což znamená, že se používá pár klíčů - soukromý a veřejný klíč. Problematice šifrování elektronických dokumentů jsme se věnovali v kurzu Kybernetická bezpečnost, takže téma shrneme stručně. Při vytváření elektronického podpisu se dokument nejprve zahashuje, tedy převede na otisk. Poté se tento otisk šifruje soukromým klíčem vlastníka podpisu. Výsledkem je elektronický podpis, který obsahuje zašifrovaný otisk. Až ten se pak připojí k původnímu dokumentu, který tedy sám šifrovaný být nemusí.

Veřejný klíč se pak používá pro ověření elektronického podpisu. Dokument se opět zahashuje a následně se pomocí veřejného klíče dešifruje elektronický podpis. Pokud se dešifrovaný otisk podpisu shoduje s nově vypočítaným otiskem dokumentu, pak je podpis považován za platný. Jinými slovy elektronický podpis slouží k prokázání identity a zachování integrity podepsaného dokumentu.

Veřejný a soukromý klíč

Veřejný klíč je označován jako certifikát a vydává ho certifikační autorita (CA). Certifikát garantuje, že informace v něm uvedené jsou pravdivé a umožňuje ověřit, že konkrétní klíč patří osobě, která je pod dokumentem podepsána. Je dostupný všem.

Soukromý klíč je pak vlastněn pouze uživatelem elektronického podpisu. A ten s ním musí zacházet obezřetně. Pokud jej totiž nebude správně chránit, může dojít k jeho zneužití a k podpisu dokumentů bez uživatelova vědomí a souhlasu.

Proto je důležité také zajistit bezpečnost zařízení, na kterém se elektronický podpis používá.

Je třeba si také uvědomit, že elektronický podpis zajišťuje důvěryhodnost a autenticitu informace, ale nezajišťuje šifrování. Šifrování slouží k tomu, aby informaci mohl přečíst pouze její určený příjemce. Elektronický podpis ovšem pouze garantuje, že podepsaná informace nebyla změněna nebo podvržena po cestě od odesílatele k příjemci:

Certifikační autorita

Certifikační autority (CA) jsou organizace, které vydávají certifikáty pro veřejné klíče uživatelů elektronických podpisů. Certifikát obsahuje informace o majiteli veřejného klíče, identifikaci certifikační autority, platnost certifikátu a další relevantní údaje. Certifikační autority provádějí ověřování totožnosti uživatelů a zajišťují, že veřejné klíče jsou přiřazeny správným subjektům. Mezi nejznámější patří:

• PostSignum - certifikační autorita provozovaná Českou poštou. Poskytuje certifikáty pro elektronické podpisy, pečetě a časová razítka.
• I.CA - certifikační autorita provozovaná společností I.CA, a.s. Nabízí různé typy certifikátů, včetně kvalifikovaných certifikátů pro elektronické podpisy, pečetě a časová razítka.
• První certifikační autorita - certifikační autorita patřící pod skupinu MONETA Money Bank. Poskytuje certifikáty pro elektronické podpisy, pečetě, šifrování a další bezpečnostní služby.
• E-Identity - certifikační autorita provozovaná společností CZ.NIC. Specializuje se na certifikáty pro elektronické podpisy a identifikaci na internetu.
• Accredium - certifikační autorita poskytující certifikáty pro elektronické podpisy, pečetě a další služby v oblasti kybernetické bezpečnosti.

Právní rámec

Právní normy týkající se elektronických podpisů jsou v různých zemích různé, ale obecně platí, že elektronický podpis má právní platnost a je ekvivalentní s ručním podpisem na papíře. Existují mezinárodní standardy a směrnice, které stanovují požadavky na technickou proveditelnost a právní aspekty elektronických podpisů. Konkrétně v České republice je od roku 2000 implementována evropská směrnice o elektronickém podpisu.

V příští lekci, Elektronické podpisy - Kvalifikovaný podpis a norma eIDAS, si uvedeme základní typy elektronických podpisů a zaměříme se na kvalifikované podpisy, které jsou uznávané v rámci celé EU.