DSM 2010/2 - PR ICZ
Úskalí při nasazování elektronického podpisu
V současné době se v souvislosti s datovými schránkami a elektronickou konverzí opět začínají mezi odbornou veřejností ve vyšší míře používat slova jako zaručený elektronický podpis, kvalifikované certifikáty a akreditovaní poskytovatelé certifikačních služeb. Právě nasazení elektronického podpisu však může kromě nesporných výhod přinést i určitá úskalí.
Samotné datové schránky používání zaručeného elektronického podpisu nevyžadují, dokonce ho v některých oblastech nahrazují. Podání přes datové schránky bez elektronického podpisu je totiž ekvivalentní k úkonu učiněnému písemně a podepsanému, což bylo v elektronickém světě před zprovozněním datových schránek zajišťováno právě pomocí zaručeného elektronického podpisu. Z toho vyplývající jeho případný úbytek používání byl však více než vyrovnán značným nárůstem elektronicky podepsaných dokumentů, který byl zapříčiněn kombinací zrovnoprávnění elektronické a fyzické formy dokumentu, vybudováním konverzních mechanizmů (autorizovaná konverze) a vytvořením nového distribučního kanálu (datové schránky).
Proto se v dalším textu pokusíme popsat nejvýznamnější změny v oblasti elektronického podpisu, co tyto změny znamenají nebo mohou znamenat pro koncové uživatele a na jaké aspekty je potřebné při implementaci pamatovat.
V oblasti elektronického podpisu, resp. zákona č. 227/2000 Sb. a návazných předpisů, můžeme v současné době potkat dvě základní skupiny služeb, které jsou postavené na stejných matematických základech a z pohledu uživatele se navzájem doplňují:
■ Služby vytváření zaručeného elektronického podpisu, resp. elektronické značky (dále bude použito souhrnné označení elektronický podpis), a s tím související služby vydávání kvalifikovaných certifikátů, resp. kvalifikovaných systémových certifikátů, a jejich následné správy. Tyto služby slouží pro zajištění integrity, autentičnosti a zejména nepopiratelnosti zpráv s připojeným zaručeným elektronickým podpisem nebo elektronickou značkou. Tato skupina služeb je nám všem dobře známá.
■ Služby vydávání kvalifikovaných časových razítek, které slouží pro „ukotvení“ dokumentu, resp. libovolných dat, v čase. Tato skupina služeb byla zákonem zavedena v roce 2004, první služba se v České republice objevila v roce 2006.
Využití a nasazení
Ačkoli jsou možnosti využití zaručeného elektronického podpisu v podstatě omezené pouze fantazií architekta systému, oblasti reálného nasazení elektronického podpisu je možné opět rozdělit do dvou skupin:
První skupinu můžeme označit jako oblast, kde je elektronický podpis použit pro zabezpečení „transakcí“ při přenosu přes nedůvěryhodné prostředí, např. Internet. Charakteristickou vlastností je vysoký požadavek na zajištění integrity a autenticity dat a poměrně omezená potřeba zajistit platnost podepsaných dat po delší dobu. Mezi typické zástupce této oblasti je možné zařadit jak zasílání elektronicky podepsaných emailů na podatelny úřadů (předávání nestrukturovaných dat), i předávání dat do interních systémů vybraných úřadů. Příkladem může být Česká správa sociálního zabezpečení, Ministerstvo financí ČR a další (předávání strukturovaných dat). Prvnípraktické implementace elektronického podpisu spadají právě do této oblasti. Omezená potřeba ověřování elektronického podpisu po delší době nevyžadovala řešení problematiky střednědobé platnosti elektronického podpisu, což zde mělo za následek omezené využití kvalifikovaného časového razítka. Rozdíl mezi časem vytvoření elektronického podpisu a jeho ověřením je přitom natolik malý, že komplikace spojené s vypršením platnosti certifikátu před přijetím dat příjemcem téměř nenastávají.
Druhou oblastí nasazení je používání elektronického podpisu zejména na samostatně existujících elektronických dokumentech. Ačkoli by se dalo předpokládat, že nasazení elektronického podpisu v této oblasti musí být bezproblémové, opak je bohužel pravdou. Komplikace však nepřináší vlastní technické řešení elektronického podpisu, ale právě charakter těchto dat. Na rozdíl od předchozí skupiny, kde potřeba ověření elektronického podpisu byla pouze po omezenou dobu (od vytvoření dat do jejich přijetí na podatelně nebo zpracování informačním systémem; tedy minuty nebo hodiny), v této druhé oblasti je nutnost jeho ověření řádově měsíce a roky.
Časový aspekt platnostielektronického podpisu
Právě extenzivní rozvoj elektronicky podepsaných zpráv spadajících do druhé skupiny vytahuje na světlo zatím neřešené problémy, mezi které patří ověření platnosti podepsaného dokumentu po delším časovém intervalu. Z technického pohledu je situace poměrně jednoznačná a omezuje se na dvě otázky:
■ Dává použitý algoritmus dostatečné záruky, že s jeho pomocí vytvořený elektronický podpis nelze podvrhnout? Jsme technicky schopni ověřit, zda byl použitý klíč, resp. s ním spojený certifikát, v době podpisu platný a pravdivý?
■ Důležitým vodítkem nám v tomto směru mohou být informace, založené na aktuálním stavu kryptoanalýzy (NIST, ETSI, BSI), poskytované standardizačními úřady. Přehledným způsobem jsou prezentovány např. na serveru www.keylength.com. Pro ilustraci v tabulce 1 uvádíme současný stav odolnosti nejdůležitějších algoritmů. Protože jsou v rámci různých doporučeních uváděny odlišné hodnoty, uvádíme je jako interval.
Komplikovanost získání odpovědi na otázku, zda byl klíč použitý k vytvoření elektronického podpisu v době podpisu platný, je značně závislá na skutečnosti, zda je dokument kromě elektronického podpisu ještě opatřen časovým razítkem. Pokud ano, je známa doba vytvoření podpisu. V případě dostupnosti archivu CRL je odpověď na otázku jednoznačná.
Pokud dokument časovým razítkem označen nebyl, lze jej ověřit pouze po dobu platnosti certifikátu. Nemůžeme se zde spolehnout ani na informaci o čase vytvoření v podpisu. Ten, kdo jej vytvořil, mohl uvést libovolný časový údaj. Základním problémem je přitom skutečnost, že pokud po čase ukončení platnosti certifikátu dojde ke kompromitaci klíče nebo jeho revokaci z jiných důvodů (podepisující přestane být zaměstnancem společnosti, jejíž údaje jsou v certifikátu uvedeny), neexistuje standardní cesta, jak tuto informaci předat osobě ověřující podpis. Takto zneplatněné certifikáty nejsou uváděné na CRL.
Tato záležitost by měla být do budoucnosti vyřešena aktuálním výkladem § 69a odst. 8 zákona č. 499/2004 Sb., ze strany MV ČR. Ten vyžaduje pro aplikaci domněnky pravosti opatřovat elektronický dokument kromě elektronického podpisu i kvalifikovaným časovým razítkem.
Závěr
Po přečtení tohoto textu bychom mohli předpokládat, že elektronický podpis přináší pouze neřešitelné problémy a komplikace. Není to však pravda – řešení existují a je možné je nasadit. Vždy je však nutné mít na paměti, že nasazení elektronického podpisu má několik aspektů, jejichž řešení nespočívá výhradně v technické rovině, ale má přesah do jiných oblastí (legislativní, střednědobé archivace). Zkušenosti společnosti ICZ se v této oblasti neomezují pouze na budování certifikačních autorit a autorit časového razítka, ale i na implementaci systémů pro bezpečné a důvěryhodné uložení dokumentů od jejich vzniku až po předání do skartačního procesu. Mezi tyto systémy patří např. řešení Spisové služby e-spis, řešení Důvěryhodné elektronické spisovny a Důvěryhodného digitálního archivu.
Ondřej Steiner
ondrej.steiner(zavinac)i.cz
Publikováno: 17. 06. 2010