Proč a jak používáme elektronické podpisy a časová razítka

Robert Gogela, 24. únor 2009 06:10 2 komentářů

Asseco
Letos uplyne deset let od doby, kdy se v České republice začalo ve větší míře používat elektronické podepisování, založené na tzv. certifikátech veřejných šifrovacích klíčů. Průkopníkem se stala jedna z českých bank, která zavedla elektronické podepisování příkazů provedených prostřednictvím internetového bankovnictví. Pomocí zmíněných certifikátů veřejných klíčů, které jsou založeny na tzv. asymetrickém šifrování, lze zajistit i jiné bezpečnostní kvality elektronické komunikace, např. autentizaci uživatelů internetových aplikací nebo šifrování internetové komunikace.

Asseco-gogela
Robert Gogela, Information Security Senior Consultant,
Asseco Czech Republic

Počátky v elektronickém bankovnictví

Využití bezpečnostních služeb založených na certifikátech v internetovém bankovnictví znamenalo světlý okamžik pro šifrovací bezpečnostní technologie. O rok později byl přijat zákon o elektronickém podpisu, který měl zavést tzv. zaručené elektronické podepisování při komunikaci s orgány veřejné moci. Přínosem zákona měl být fakt, že elektronický podpis bude představovat plnohodnotnou náhradu vlastnoručního podpisu osob. Účel elektronického podpisu se však od toho vlastnoručního určitým způsobem liší. Rozdíl spočívá v tom, že elektronický podpis není po uplynutí určité doby, i následující den, možné ověřit. Časté nepochopení časového omezení platnosti elektronického podpisu je také jednou z příčin jeho pomalejšího zavádění v internetové komunikaci s orgány veřejné moci.

Proč elektronický podpis není a nemůže být věčný? Hlavním důvodem je časové omezení platnosti certifikátu veřejného šifrovacího klíče, pomocí kterého se ověřuje platnost podpisu. Platnost certifikátů pro ověřování podpisů se v praxi omezuje zpravidla na 1 až 3 roky, v některých speciálních aplikacích však musí být platnost podstatně delší (např. v cestovních pasech s biometrickými prvky je to deset let). Samotný podpis se vytváří pomocí tzv. soukromého klíče podepisující osoby. Soukromý a veřejný klíč tvoří dvojici klíčů asymetrického šifrování, zákon o elektronickém podpisu tuto dvojici klíčů nazývá párová data. Soukromý podepisovací klíč je nezbytné velmi pečlivě chránit, protože v případě jeho kompromitace by pak mohla jiná osoba vytvářet elektronické podpisy za jeho vlastníka. Důvodem omezení platnosti použití párových dat a certifikátu je, že jedním z možných způsobů kompromitace soukromého klíče je útok tzv. hrubou silou, tj. zkoušením všech možných variant pomocí pokročilých matematických metod. Riziko tohoto typu útoku v čase značně roste, mimo jiné i z důvodu neustále se zvyšující výpočetní kapacity dostupných počítačů.

Dalším důvodem omezení platnosti elektronického podpisu jsou kolize tzv. hash algoritmů, pomocí nichž se vytváří „elektronický otisk“ dokumentu, který se ve skutečnosti podepisuje místo samotného dokumentu. Tento otisk tvoří základ elektronického podpisu a jeho délka, omezená na maximálně desítky bajtů, je vždy stejná, ať se vytváří z velmi malého nebo naopak velkého dokumentu. Elektronický otisk by proto měl být vždy jedinečný a nemělo by dojít ke kolizi, kdy se ze dvou různých dokumentů vytvoří stejný otisk. Realita je bohužel jiná a u některých běžně používaných hash algoritmů již ke kolizím došlo. Proto jsou neustále vyvíjeny a zaváděny pokročilejší šifrovací algoritmy pro vytváření elektronických podpisů a současně dochází k prodlužování délky používaných klíčů a elektronických otisků. V neposlední řadě může platnost elektronického podpisu omezit sám vlastník certifikátu, a to tak, že jej zneplatní.

Vhodnost při ověření autenticity

Aplikace elektronického podpisu je tedy možná a výhodná v případech, kdy příjemce elektronicky podepsaného dokumentu potřebuje ověřit autenticitu a původ dokumentu v momentě jeho přijetí, ne tedy opakovaně nebo později. Typickým příkladem správného použití je právě elektronicky podepsaný příkaz k úhradě, kdy banka v momentě přijetí podpis jednou ověří a podle výsledku ověření příkaz buď provede, nebo neprovede. Samotný příkaz pak „skladuje“ maximálně rok z důvodu možnosti reklamace ročního zůstatku účtu. Navíc, elektronické podpisy bankovních příkazů se ověřují pomocí tzv. komerčních certifikátů, které nespadají do působnosti zákona o elektronickém podpisu, přičemž na způsobu jejich akceptace se dvoustranně dohodli klient a banka. V případě používání tzv. zaručených elektronických podpisů založených na kvalifikovaných certifikátech podle zákona o elektronickém podpisu, tedy při komunikaci s orgány veřejné moci, je možnost ověření podpisů striktně omezena pouze na dobu platnosti certifikátu. Úřady ovšem potřebují elektronické dokumenty archivovat delší dobu, ověřovat jejich autenticitu opakovaně a navíc ověřovat i dobu jejich vzniku nebo přijetí. K tomu však jeden elektronický podpis dokumentu nestačí.

Příkladem nedostatečných schopností elektronického podpisu zajistit uvedené požadavky se stala elektronicky podávaná daňová přiznání a jiná úřední podání. Jejich původce je sice před jejich odesláním opatří elektronickým podpisem a příslušný úřad v momentě přijetí podpis ověří, ale je zřejmé, co se stane při ověřování takového podání třeba za 2 roky. Elektronický podpis sice lze ověřit technickými prostředky, ale nemá to žádný smysl, protože podle zákona je už podpis neplatný. A je to tak správně. Proč, to jsme si už vysvětlili. Efekt je stejný, jako kdyby z papírového podání po určité době zmizel vlastnoruční podpis podávající osoby.

Navíc, elektronický podpis neobsahuje žádný ověřený časový údaj a lze proto kdykoliv zpochybnit čas vzniku dokumentu. V momentě přijetí a po ověření elektronického podpisu dokumentu, potřebují orgány veřejné moci tento dokument uložit do nějakého „důvěryhodného elektronického úložiště“. Takovým úložištěm může být např. elektronická spisová služba, která bude splňovat zákonem stanovená kritéria důvěryhodnosti, tj. bude mít schopnost dlouhodobě prokazovat autenticitu a časový původ uložených elektronických dokumentů. Dosud však nejsou stanoveny zákonné podmínky pro zajištění dlouhodobé schopnosti ověřování autenticity elektronických dokumentů. K tomu bude zapotřebí novelizovat i zákon o archivnictví a spisové službě. Technicky lze tuto schopnost tedy zajistit např. pomocí časových razítek.

Rozdíl mezi razítkem a elektronickým podpisem

Razitka
Proces možného zapojení časových razítek do elektronických podání

Časové razítko poskytuje časovou záruku třetí důvěryhodné strany. Ve skutečnosti se jedná o principiální obdobu elektronického podpisu s tím rozdílem, že obsahuje údaj o době jeho vzniku a nevytváří jej původce dokumentu, ale tzv. autorita časových razítek. Tato autorita je vydává na jakékoliv elektronické dokumenty (soubory), přičemž autoritě se neposílají celé soubory, ale pouze jejich výše zmíněné elektronické otisky. Čas uvedený v časovém razítku je pokládán za nezpochybnitelný. Vydáním časového razítka k dokumentu je tedy zajištěno, že nemůže být později upraven a vydáván za původní. Časová razítka mají také omezenou dobu platnosti, jež je dána platností certifikátu autority časových značek. Navíc je možné je dále řetězit, čili „přerazítkovávat“, a zajistit tak dlouhodobou schopnost ověření autenticity a časového původu dokumentu. V praxi pak předpokládáme zavedení „pokročilejších“ elektronických podpisů, obsahujících i časová razítka.

V roce 2005 vydal Evropský institut pro normalizaci v telekomunikacích (ETSI) technickou specifikaci ETSI TS 101 733 verze 1.6.3, která zavádí nové formáty pokročilých elektronických podpisů (CMS Advanced Electronic Signatures). V některých zemích EU, např. i na Slovensku, už byly formáty podle uvedené specifikace ETSI přijaty do národních zákonů o elektronickém podpisu jako základ zaručených elektronických podpisů. Jedná se o následující formáty:

-- Zaručený elektronický podpis bez časové značky
-- Zaručený elektronický podpis s časovou značkou
-- Zaručený elektronický podpis s úplnou informací na ověření platnosti
-- Archivní zaručený elektronický podpis

Musíme doufat, že pokročilé ETSI formáty elektronických podpisů se v dohledné době stanou základem zaručených elektronických podpisů i podle českých právních norem. Je to jedna z podmínek zavedení skutečně efektivní elektronizace služeb veřejné správy poskytovaných občanům a firmám, tedy tzv. eGovernmentu.

Profil

Robert Gogela pracuje na pozici Information Security Senior Consultant ve společnosti Asseco Czech Republic. Zabývá se problematikou bezpečnosti informačních systémů více než 10 let. Podílel se na realizaci projektu První certifikační autority (I.CA) a na bezpečnostních projektech informačních systémů ministerstva obrany a ministerstva vnitra. Specializuje se na analýzy rizik, vytváření architektur bezpečnosti informačních systémů a zajištění ochrany osobních údajů. Svůj volný čas věnuje cestování, jízdě na kole s přáteli a plavání.


Komentáře

Náhodný kolemjdoucí #1
Náhodný kolemjdoucí 29. říjen 2010 16:14

tady umoznuji overeni platnosti podpisu a casoveho razitka na PDF dokumentu nastrojem zdarma.. http://www.bezpapiru.cz/overovani/jak_na_to

Náhodný kolemjdoucí #2
Náhodný kolemjdoucí 14. prosinec 2010 16:07

Škoda že platnost časových razítek není shodná s dobou po kterou je nutné dokumenty uchovávat. Takto je nutné každý dokumenty každých pár let "přerazítkovat", což je nejenom technická komplikace ale taky zlatý důl pro Českou poštu...
A přitom by stačilo tak málo...


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář


RSS 

Zprávičky

Telefony Nokia se příští rok vrátí na trh

ČTK , 02. prosinec 2016 10:30

Chytré telefony se značkou Nokia se objeví zpátky na trhu v příštím roce. Finská společnost Nokia dn...

Více 2 komentářů

CETIN nabídne příští rok operátorům připojení až 250 Mbit/s

ČTK , 01. prosinec 2016 17:00

Společnost Česká telekomunikační infrastruktura (CETIN) zvýší od května příštího roku rychlost inter...

Více 0 komentářů

Akcie Samsungu stouply na nový rekord

ČTK , 01. prosinec 2016 12:00

Akcie jihokorejské společnosti Samsung Electronics dnes stouply o více než čtyři procenta na nový re...

Více 0 komentářů

Starší zprávičky

FBI bude moci s povolením soudu pronikat do jakýchkoli počítačů

ČTK , 01. prosinec 2016 10:30

V americkém Senátu dnes selhal poslední pokus o zablokování rozšířených policejních pravomocí, které...

Více 2 komentářů

Gartner:Prodej tabletů v ČR letos klesne o osm procent na 1,1 mil

ČTK , 30. listopad 2016 14:00

Zájem o tablety letos dále klesá. Prodej tabletů a hybridních notebooků na českém trhu se letos sníž...

Více 0 komentářů

Grafen opracovaný laserem

Pavel Houser , 30. listopad 2016 11:00

Na Iowa State University přišli s další metodou pro tištění grafenových součástek. V tomto případě j...

Více 0 komentářů

GFI Software přichází s beta verzí pokročilé cloudové ochrany e-mailu

Petr Velecký , 29. listopad 2016 18:00

Beta verzi své nejnovější cloudové platformy pro zajištění bezpečnosti a kontinuity provozu podnikov...

Více 0 komentářů