Kościelny Tomasz, Szaniawski Krzysztof, Ustawa o podpisie elektronicznym. Komentarz
Ustawa o podpisie elektronicznym. Komentarz
Wprowadzenie
1.Uwagi ogólne
Niniejsza publikacja, dotycząca tematyki związanej z podpisem elektronicznym, ma na celu wyjaśnienie czytelnikowi w możliwie zrozumiały sposób, czym jest podpis elektroniczny i to zarówno w sensie technicznym, jak i prawnym.
Książka jest komentarzem do ustawy o podpisie elektronicznym, jednak ze względu na dużą liczbę regulacji technicznych zawartych w ustawie o podpisie elektronicznym oraz rozporządzeniach wykonawczych do tej ustawy, dodane zostały podrozdziały wprowadzające czytelnika w zagadnienia techniczne. Handel elektroniczny realizowany za pomocą podpisu elektronicznego będzie w przekonaniu autorów odgrywał coraz większą rolę w obrocie gospodarczym, zarówno na świecie, jak i w naszym kraju. Nie jest wcale wykluczone, że ciągu najbliższych lat ukształtuje się praktyka zawierania umów głównie drogą elektroniczną.
Pojęcie podpisu elektronicznego nierozerwalnie łączy się z siecią Internet. Oczywiście samo pojęcie i techniki podpisu są uniwersalne, jednak wszystkie standardy będące podstawą technologiczną podpisu związane są bezpośrednio z technologią internetową.
Przesyłanie informacji w sieci Internet odbywa się najczęściej przy pomocy protokółu TCP/IP. Zasada działania protokółu polega na podziale informacji na niewielkie fragmenty zwane pakietami, opatrzeniu każdego z tak powstałych pakietów adresem odbiorcy i przesłaniu kolejno do najbliższego węzła sieci. Kolejne węzły sieci przekazują pakiety pomiędzy sobą przesyłając je w odpowiednim kierunku na podstawie adresu, jakim jest opatrzony każdy z pakietów. Po stronie odbiorcy komputer składa odebrane pakiety tworząc z nich wiadomość. Tak zdefiniowany i działający protokół pozwala przesyłać dowolną wiadomość pomiędzy dowolnymi komputerami dołączonymi do sieci. Przykładem takiej wiadomości może być poczta elektroniczna przesyłana pomiędzy dwoma osobami. Przesyłaną wiadomość można jednak w dowolnym węźle sieci "podsłuchać", a dysponując odpowiednio zaawansowanymi środkami technicznymi - zmodyfikować. Problem ten nie był istotny w czasach, kiedy Internet był wykorzystywany głównie jako sieć niekomercyjna. Zastosowania sieci ograniczały się do łączenia ośrodków akademickich pomiędzy sobą oraz dostarczania informacji i rozrywki. Następujący w ostatnich latach szybki rozwój Internetu - pod względem ilości użytkowników i spektrum zastosowań - spowodował rozwój usług komercyjnych dostępnych w sieci. Coraz powszechniej sieci otwarte, do jakich zalicza się Internet, wykorzystywane są do przesyłania dokumentów wymagających gwarancji zachowania poufności oraz identyfikacji nadawcy. Zastosowania takie zwiększyły wymagania dotyczące bezpieczeństwa komunikacji w Internecie oraz bezpieczeństwa dokumentów przechowywanych na komputerach w sieciach korporacyjnych. Odpowiedzią na zgłaszane wymagania związane z bezpieczeństwem informacji przesyłanych w Internecie był szybki rozwój technik kryptograficznych i urządzeń pozwalających na zagwarantowanie odpowiednio wysokiego poziomu poufności tzw. wrażliwych danych. Obecny poziom rozwoju technik kryptograficznych pozwala na zrównanie oświadczenia woli złożonego w postaci elektronicznej - podpisu elektronicznego - z podpisem odręcznym.
1.1.Podstawy kryptografii
Podstawą, bez której nie byłoby ani bezpiecznych połączeń, ani podpisu elektronicznego jest kryptografia. Kryptografia pozwala zdefiniować dwie podstawowe usługi: szyfrowania i podpisywania wiadomości. W ramach usługi szyfrowania definiowane są dwie operacje: zaszyfrowania i odszyfrowania. W przypadku podpisywania wyróżnić można operacje składania i weryfikacji podpisu. Wymienione operacje można realizować za pomocą różnych technik kryptograficznych.
Zaszyfrowanie polega na przekształceniu wiadomości, nazywanej tekstem jawnym, do postaci niezrozumiałej, nazywanej tekstem zaszyfrowanym. Istotnym elementem takiego przekształcenia jest charakterystyczny parametr zwany kluczem. Operacja zamiany wiadomości na postać zaszyfrowaną odbywa się zgodnie z ustalonym algorytmem szyfrującym, który jest matematycznym opisem przekształceń dokonywanych na wiadomości w celu uzyskania jej postaci zaszyfrowanej. Operacja odwrotna, odszyfrowanie tekstu zaszyfrowanego, polega na przekształceniu wiadomości zaszyfrowanej do postaci jawnej. Algorytm szyfrujący musi spełniać warunek, zgodnie z którym przekształcenie wiadomości jawnej na postać zaszyfrowaną oraz przekształcenie odwrotne muszą być łatwe do wykonania, jeżeli znamy klucz szyfrujący oraz bardzo złożone obliczeniowo, jeżeli nie dysponujemy odpowiednim kluczem szyfrującym i deszyfrującym. Jednym z najprostszych przykładów kryptosystemów jest szyfr Cezara, którym Juliusz Cezar szyfrował swoje listy. Zasada działania tego szyfru polega na zamianie wszystkich liter tworzących wiadomość na litery "przesunięte" o określoną liczbę zgodnie z kolejnością występowania w alfabecie. Liczba określająca to przesunięcie jest w tym przypadku kluczem szyfru. Dla zilustrowania zasady działania algorytmu posłużymy się przykładem polegającym na zaszyfrowaniu wiadomości "Ala ma kota" z kluczem równym 3. Klucz o wartości 3 oznacza zastąpienie litery a literą d, litery b literą e, litery c literą f itd. (przykład odnosi się do alfabetu łacińskiego). W tym przypadku tekst jawny "Ala ma kota" po zaszyfrowaniu ma postać "Doe pd nsxd". Podany algorytm jest przykładem szyfru z pojedynczym kluczem, określanym również terminem algorytmu symetrycznego. Oznacza to, że ten sam klucz, w tym przypadku reprezentowany przez liczbę 3, pozwala wiadomość zaszyfrować przez nadawcę wiadomości oraz odszyfrować przez odbiorcę wiadomości. Odszyfrowanie w analizowanym przykładzie polega na wykonaniu operacji odwrotnej, "przesunięciu" liter w odwrotną stronę niż przy szyfrowaniu, czyli zastąpieniu litery d literą a, litery e literą b, litery f literą c itd. Po zamianie zgodnie z tą regułą tekstu zaszyfrowanego "Doe pd nsxd" otrzymujemy tekst jawny "Ala ma kota".
Oprócz szyfrów z jednym kluczem istnieją też szyfry z dwoma kluczami, nazywane szyframi (algorytmami) asymetrycznymi.
1.2.Symetryczne i asymetryczne techniki kryptograficzne - szyfrowanie
Treść niniejszego podrozdziału nie zawiera szczegółowego omówienia poszczególnych technik wraz z wyjaśnieniem podstaw matematycznych ich działania oraz dowodów na poprawność działania, a jedynie ogólną teorię, która jest niezbędna jako podstawa do wyjaśnienia kwestii związanych z podpisem elektronicznym.
Stosowane techniki kryptograficzne, pozwalające na realizację usług szyfrowania i podpisywania, można podzielić na dwie grupy:
techniki symetryczne - z pojedynczym kluczem,
techniki asymetryczne - z parą komplementarnych kluczy.
Jeden z najprostszych algorytmów z pojedynczym kluczem został opisany w poprzednim rozdziale. W systemach z pojedynczym kluczem zarówno nadawca, jak i odbiorca wiadomości używają tego samego klucza do zaszyfrowania i odszyfrowania wiadomości. Techniki symetryczne praktycznie nie są wykorzystywane do realizacji usługi podpisywania.
Główną zaletą technik symetrycznych jest duża szybkość działania algorytmów na nich opartych. Podstawową wadą systemu z pojedynczym kluczem jest konieczność przesłania w bezpieczny sposób klucza od nadawcy do odbiorcy. Jeżeli przesyłany klucz zostanie w jakikolwiek sposób przechwycony, to dowolna nieuprawniona osoba dysponująca tym kluczem i mogąca "podsłuchiwać" transmisję będzie mogła odszyfrować przesyłaną informację do postaci jawnej. Jest więc oczywiste, że podstawową kwestią jest w tym przypadku ochrona klucza. Drugą wadą systemów z pojedynczym kluczem jest konieczność posiadania wielu kluczy w przypadku komunikacji z różnymi użytkownikami. Aby zapewnić poufność przesyłanych danych, trzeba dysponować tyloma odrębnymi kluczami, z iloma użytkownikami (osoby lub instytucje) wymieniane są informacje wymagające zaszyfrowania.
Wymienionych niedogodności nie mają systemy asymetryczne z parą komplementarnych kluczy, zwane często systemami z kluczem publicznym. Cechą charakterystyczną technik asymetrycznych jest to, że przekształcenie odwrotne w stosunku do przekształcenia wykonanego z użyciem jednego z pary kluczy może być zrealizowane wyłącznie za pomocą drugiego klucza z pary. Przykładowo, wiadomość zaszyfrowana przy pomocy jednego z pary kluczy może być odszyfrowana tylko przy pomocy drugiego klucza z pary. Jeden z kluczy z pary nazywamy kluczem prywatnym, drugi kluczem publicznym. Bezpieczeństwo systemów z kluczem publicznym opiera się na założeniu, że dostęp do klucza prywatnego ma tylko jeden użytkownik. Klucz publiczny jest udostępniany wszystkim, którzy chcą w bezpieczny sposób komunikować się z danym użytkownikiem.
W operacjach szyfrowania z wykorzystaniem przekształcenia asymetrycznego:
klucz publiczny odbiorcy opublikowany jest w bezpieczny i wiarygodny sposób w sieci, służy do zaszyfrowania wiadomości wysyłanej do odbiorcy;
chroniony klucz prywatny odbiorcy pozwalający odszyfrować odebraną wiadomość zaszyfrowaną kluczem publicznym dostępny jest jedynie dla odbiorcy wiadomości, co przedstawiono na rysunku 2.
W systemach z kluczem publicznym należy zwrócić uwagę na sposób wykorzystania klucza publicznego. Do zaszyfrowania wiadomości używa się klucza publicznego odbiorcy. Gwarantuje to, że wiadomość może być odszyfrowana i odczytana tylko przed adresata, ponieważ jedynie on dysponuje kluczem prywatnym pozwalającym na odszyfrowanie wiadomości. Systemy z kluczem publicznym wymagają dodatkowego podmiotu w postaci neutralnego urzędu, który jest odpowiedzialny za wiarygodne publikowanie kluczy publicznych użytkowników systemu.
Do słabych stron systemów z kluczem publicznym zaliczyć można większą złożoność obliczeniową w porównaniu z systemami z jednym kluczem oraz konieczność zapewnienia odpowiedniej jakości generowanych kluczy.
Obecnie w zastosowaniach komercyjnych najczęściej wykorzystywanym algorytmem symetrycznym (z jednym kluczem) jest DES (ang. Data Encryption Standard), a w ostatnich latach potrójny DES, oznaczany często jako 3DES. Operacje asymetryczne realizowane są najczęściej zgodnie z algorytmem RSA opracowanym i opatentowanym w 1978 roku przez matematyków z Massachusetts Institute of Technology (skrót pochodzi od nazwisk autorów: R. Rivesta, A. Shamira i L. Adlemana).
1.3.Podpis elektroniczny
Na wstępie należy zaznaczyć, że w literaturze technicznej najczęściej używane jest pojęcie podpisu cyfrowego. Pojecie "podpisu elektronicznego" zostało wykreowane przez Dyrektywę Parlamentu Europejskiego i Rady z 13 grudnia 1999 r. i jest szersze niż pojęcie "podpisu cyfrowego". Uogólniając, można powiedzieć, że pojęcie podpisu elektronicznego reprezentuje dowolną formę podpisu utworzonego przy pomocy komputera, natomiast podpis cyfrowy zakłada korzystanie z określonych technik kryptograficznych służących do tworzenia tego podpisu. W dalszej części książki, dla zachowania przejrzystości tekstu kosztem poprawności technicznej, we wszystkich opisach stosowane jest pojęcie podpisu elektronicznego.
Podpis elektroniczny tworzony jest najczęściej przy wykorzystaniu technik asymetrycznych, opisanych w poprzednim podrozdziale. Utworzenie podpisu elektronicznego pod dokumentem polega na obliczeniu, na podstawie tekstu jawnego (dokumentu) oraz parametru znanego tylko danemu użytkownikowi (najczęściej jest to klucz prywatny przekształcenia asymetrycznego) określonego ciągu znaków. Tak tworzony podpis ma pewną cechę, która odróżnia go od podpisu odręcznego. W przypadku podpisu odręcznego zakłada się, że powinien on za każdym razem, kiedy jest składany, mieć możliwie zbliżoną formę graficzną. Na tej podstawie można określić, czy podpis został złożony przez daną osobę. Przy podpisie elektronicznym sytuacja wygląda zupełnie inaczej. Podpis elektroniczny danej osoby składany pod różnymi dokumentami jest za każdym razem inny. Gdyby było inaczej, nie można by mówić o bezpieczeństwie podpisu elektronicznego, ponieważ dowolna osoba mogłaby skopiować taki podpis i umieścić go pod innym dokumentem. Przy tworzeniu podpisu elektronicznego za każdym razem obliczany jest on na podstawie podpisywanego dokumentu (który jest parametrem zmiennym) i klucza prywatnego (parametr stały, związany z osobą składającą podpis).
Podpisy elektroniczne złożone pod różnymi wiadomościami będą miały rózną postać.
Bez znajomości klucza prywatnego nie jest możliwe obliczenie podpisu wiadomości.
W podpisie elektronicznym wielkością niezmienną jest klucz prywatny, przy pomocy którego składany jest podpis elektroniczny. Do przedstawienia pełnego schematu składania podpisu elektronicznego konieczne jest wprowadzenie pojęcia funkcji skrótu. Funkcja skrótu ma za zadanie obliczyć na podstawie dowolnie długiej wiadomości (tekstu jawnego) ciąg znaków o ustalonej długości. Funkcja skrótu musi spełniać dwa podstawowe założenia:
wynikowy ciąg znaków obliczany na podstawie funkcji skrótu powinien zależeć od wszystkich znaków wiadomości, tzn. dowolna zmiana wiadomości powinna powodować zmianę jej skrótu;
odtworzenie na podstawie skrótu wiadomości tekstu oryginalnego (wiadomości oryginalnej) jest obliczeniowo niewykonalne.
Przykładem prostej funkcji skrótu może być funkcja dająca w wyniku pierwsze litery wyrazów wiadomości oryginalnej, np. wiadomość "Ala ma kota" -> skrót "Amk". Jest to funkcja przykładowa, niespełniająca przedstawionych wcześniej założeń (zależność od wszystkich znaków wiadomości oraz ustalona długość skrótu), jednak obrazuje ideę stosowania funkcji skrótu.
Dlaczego funkcja skrótu jest potrzebna przy składaniu podpisu elektronicznego? Za stosowaniem funkcji skrótu przemawia co najmniej kilka argumentów, z których czysto praktyczne to kwestie przyspieszenia podpisywania i ograniczenia nadmiarowości danych. Bardzo często operacja podpisywania dokumentów, ze względu na bezpieczeństwo klucza prywatnego, wykonywana jest w urządzeniach zewnętrznych - kartach kryptograficznych. W razie konieczności wysłania całego dokumentu w celu jego podpisania (kilkaset stron dokumentu) mogłoby to trwać nawet kilka/kilkanaście minut, co w przypadku podpisywania przed wysłaniem np. poczty elektronicznej z załącznikiem jest nie do zaakceptowania. Cała operacja podpisywania nie powinna trwać dłużej niż kilka sekund. Nie bez znaczenia jest też wpływ podpisu na wielkość dokumentu. W przypadku wykorzystania funkcji skrótu, nadmiarowość przesyłanych danych w stosunku do całego ruchu przesyłanego w sieci jest do pominięcia.
Obecnie w zastosowaniach komercyjnych najczęściej wykorzystywanym algorytmem funkcji skrótu jest MD5 (ang. message-digest algorithm) [lit. RFC1321] oraz SHA-1 (ang. Secure Hash Algorithm). MD5 oblicza skrót o długości 128 bitów, SHA-1 o długości 160 bitów.
Podpis elektroniczny złożony pod dokumentem pozwala na jednoznaczną identyfikację osoby składającej ten podpis (na podstawie danych zawartych w certyfikacie) oraz na stwierdzenie, czy nie została naruszona integralność tych danych. Weryfikacja integralności pozwala na określenie, czy dokument nie został zmodyfikowany po momencie jego podpisania. Podpis elektroniczny jest praktycznie nie do podrobienia. Należy zauważyć, że podpis elektroniczny składany pod różnymi dokumentami jest za każdym razem inny (jest innym ciągiem znaków, ponieważ jest każdorazowo obliczany na podstawie skrótu dokumentu podpisywanego). Aby po wprowadzonych zmianach podpis elektroniczny pod dokumentem był ważny, należy jeszcze raz podpisać cały dokument, zastępując w ten sposób stary podpis nowym. Podpis elektroniczny w stosunku do podpisu odręcznego ma tę przewagę, że oprócz identyfikacji osoby podpisującej umożliwia również weryfikację integralności podpisanego dokumentu, czego nie umożliwia, w takim stopniu jak podpis elektroniczny, podpis odręczny. W przypadku podpisu elektronicznego każdy znak wprowadzony w dokumencie, nawet znak spacji i nowej linii są znaczące. Dlatego nawet zmiany edytorskie, niezmieniające treści dokumentu, a jedynie jego układ graficzny wymagają ponownego jego podpisania po wprowadzeniu tych zmian (w szczególności zależy to od konkretnej aplikacji do podpisu elektronicznego). Podpis elektroniczny złożony pod dokumentem pozwala jednoznacznie określić, czy zostały w tym dokumencie wprowadzone jakiekolwiek zmiany od momentu podpisania tego dokumentu, nie pozwala natomiast na wskazanie, jakie to były zmiany.
Podpisy elektroniczne złożone pod róznymi wiadomościami będą miały różną postać.
Bez znajomości klucza prywatnego nie jest możliwe obliczenie podpisu wiadomości.
Aby utworzyć podpis elektroniczny pod dokumentem, należy być w posiadaniu tego dokumentu oraz klucza prywatnego. Podpisanie dokumentu przebiega dwuetapowo: w pierwszym kroku procedury obliczany jest skrót dokumentu, następnie skrót ten jest szyfrowany algorytmem asymetrycznym z wykorzystaniem klucza prywatnego osoby podpisującej. Cała operacja jest wykonywana przez komputer najczęściej po wybraniu odpowiedniej opcji programu i nie wymaga od użytkownika znajomości algorytmów. W przypadku korzystania z kart kryptograficznych do podpisu elektronicznego, operacja podpisania (zaszyfrowania) skrótu dokumentu wykonywana jest bezpośrednio na karcie, co w wyraźny sposób podnosi bezpieczeństwo podpisu elektronicznego. Podpis złożony pod dokumentem jest ciągiem znaków nieczytelnym dla ludzi. Dla zweryfikowania podpisu elektronicznego należy wykorzystać komputer z odpowiednim oprogramowaniem. Proces weryfikacji podpisu został przedstawiony na rysunku.
- Podpisy elektroniczne złożone pod różnymi wiadomościami będą miały różną postać.
- Bez znajomości klucza prywatnego nie jest możliwe obliczenie podpisu wiadomości.
Osoba weryfikująca podpis elektroniczny powinna być w posiadaniu trzech elementów, które pozwalają na jednoznaczną weryfikację podpisu. Aby zweryfikować podpis należy dysponować: dokumentem, plikiem podpisu oraz kluczem publicznym osoby, która złożyła podpis elektroniczny pod dokumentem. Weryfikacja podpisu elektronicznego sprowadza się do porównania dwóch skrótów dokumentu. Pierwszy skrót uzyskujemy przez obliczenie skrótu otrzymanej (weryfikowanej) wiadomości zgodnie z ogólnie znanym algorytmem obliczania skrótu. Drugi skrót otrzymujemy poprzez przekształcenie odwrotne (odszyfrowanie) podpisu dołączonego do pliku, który w rzeczywistości jest skrótem oryginalnego dokumentu utworzonym przez osobę podpisującą i przekształconym (zaszyfrowanym) za pomocą jej klucza prywatnego. Jeżeli obydwa skróty, obliczony na podstawie otrzymanego dokumentu oraz odtworzony (odszyfrowany) z podpisu są jednakowe, to można stwierdzić, że dokument nie został zmieniony od momentu podpisania. Jeżeli skróty różnią się między sobą, to z całą pewnością dokument został zmodyfikowany.
1.4.Znakowanie czasem
Usługa znakowania czasem pozwala na dołączenie do podpisywanego dokumentu wyniku kryptograficznego przekształcenia dokładnej daty, zwanego znacznikiem czasu. Dołączony znacznik pozwala na stwierdzenie, że dokument został podpisany nie później niż data w nim wskazana. Znakowanie czasem wykonywane jest dwuetapowo. W pierwszej fazie obliczany jest skrót dokumentu. Następnie obliczony skrót wysyłany jest do podmiotu świadczącego usługę znakowania czasem. W drugim etapie do odebranego skrótu dokumentu podmiot świadczący usługę znakowania czasem dodaje pola zawierające informacje o dokładnym czasie wykonania usługi znakowania czasem oraz pola dodatkowe, pozwalające zidentyfikować operację podpisywania. Utworzona struktura danych jest poświadczana elektronicznie (podpisywana) przez podmiot świadczący usługę znakowania czasem, a następnie odsyłana do nadawcy. Schemat operacji znakowania czasem przedstawiony został na rysunku 6.
1.5.Infrastruktura klucza publicznego
W poprzednim rozdziale przedstawione zostały techniki kryptograficzne, które w połączeniu z funkcją skrótu umożliwiają składanie oraz weryfikację podpisu elektronicznego. Aby móc wykorzystać omówione techniki do identyfikacji osób składających podpis elektroniczny, należy wprowadzić pojęcie certyfikatu oraz Infrastruktury Klucza Publicznego, w ramach której zarządza się certyfikatami wydawanymi podmiotom i osobom fizycznym. Do tej pory mówiliśmy o komplementarnej parze kluczy: prywatnym i publicznym przyporządkowanym danej osobie. Jednak same klucze są tylko pewnymi wartościami liczbowymi i jako takie nie są powiązane z osobą fizyczną w sposób pozwalający na jej identyfikację. Aby mówić o identyfikacji osób, należy do klucza publicznego, który jest wykorzystywany do weryfikacji podpisu elektronicznego, dodać informacje pozwalające na identyfikację osoby posługującej się tym kluczem (a dokładnie dysponującą drugim z pary kluczy - kluczem prywatnym, który służy do składania podpisu elektronicznego). Strukturą, która pozwala na powiązanie danych osobowych z kluczem publicznym jest certyfikat. Certyfikat można zaprezentować jako tabelę, w której z lewej strony znajdują się określone rubryki, z prawej wstawiane są wartości charakteryzujące daną osobę oraz certyfikat.
W ten sposób w lewej kolumnie określono strukturę certyfikatu, natomiast w prawej - przykład zawartości konkretnego certyfikatu.
Podstawową funkcją certyfikatu jest powiązanie klucza publicznego z danymi osobowymi powalającymi na identyfikację danej osoby. Przykładowy certyfikat zainstalowany w systemie Microsoft Windows 2000 przedstawiony został na kolejnych rysunkach. Ilustracje przedstawiają kolejno: informacje o certyfikacie, szczegółowy wykaz pól i ich zawartość oraz ścieżkę certyfikacji.
Ostatnim brakującym elementem infrastruktury PKI jest podmiot, który bierze odpowiedzialność za poprawność i prawidłowość danych umieszczanych w certyfikacie. Podmiot taki nazywany jest Ośrodkiem (urzędem) certyfikacji (ang. CA - Certificate Authority). Aby zapewnić integralność danych opublikowanych w certyfikacie ośrodek certyfikacji wydając certyfikat, w sensie technicznym podpisuje go (tak jak zwykły dokument) własnym kluczem prywatnym. W ten sposób jakiekolwiek zmiany wprowadzone w certyfikacie są wykrywalne oraz możliwa jest identyfikacja ośrodka wydającego certyfikat.
1.6.Bezpieczeństwo podpisu elektronicznego
Jak zostało już powiedziane wcześniej, podpis elektroniczny przy spełnieniu określonych wymogów organizacyjnych i technicznych jest praktycznie nie do podrobienia. Podstawowe zagrożenia dla bezpieczeństwa podpisu elektronicznego można podzielić na dwie kategorie: zagrożenia związane z techniczną realizacją podpisu elektronicznego oraz procedury organizacyjne pozwalające w wiarygodny sposób przypisać określony klucz publiczny do osoby posługującej się podpisem elektronicznym.
Podstawowe kwestie techniczne związane z bezpieczeństwem podpisu elektronicznego to konieczność zapewnienia poufności klucza prywatnego oraz stosowanie odpowiednio długich kluczy szyfrujących. Klucz prywatny stanowi dane służące do składania podpisu elektronicznego. Ujawnienie klucza prywatnego pozwala dowolnej osobie, która wejdzie w posiadanie tego klucza, na podpisywanie się w imieniu innej osoby (prawowitego właściciela klucza prywatnego). Zagrożenie jest tym większe, że osoba poszkodowana może przez długi okres nie mieć świadomości, że osoba trzecia składa podpis elektroniczny w jej imieniu. Aby zapobiec takim sytuacjom, jednym z podstawowych wymogów bezpieczeństwa podpisu elektronicznego jest przechowywanie klucza prywatnego w urządzeniu, które zapewnia poufność tego klucza. Urządzeniem takim na pewno nie jest dysk twardy komputera lub dyskietka komputerowa. Przechowywanie klucza prywatnego w pliku zapisanym na dysku jest rozwiązaniem najprostszym (i prawdopodobnie najtańszym), nie zapewnia jednak poufności tego klucza. Polecanym nośnikiem klucza prywatnego są obecnie mikroprocesorowe karty kryptograficzne. Wyglądem przypominają one zwykłe karty płatnicze. Karty te posiadają własny procesor i pamięć. Klucz prywatny przechowywany jest w pamięci nieulotnej karty i nigdy jej nie opuszcza, nie może też być skopiowany na zewnątrz. Wszystkie operacje kryptograficzne wykonywane są przez procesor karty.
Aby móc korzystać z karty kryptograficznej, należy wyposażyć komputer w specjalny czytnik do tych kart. Obecnie standardem są czytniki PS/SC oferowane przez wielu dostawców. Mogą to być czytniki w wykonaniu zewnętrznym, wewnętrznym instalowane w miejscu stacji dyskietek, czytniki wbudowane w klawiaturę. Na rynku dostępnych jest wiele typów czytników. Ich standaryzacja pozwala na wybór praktycznie dowolnego modelu w zależności od upodobań i wymagań. Wybrany czytnik powinien współpracować z dowolną kartą kryptograficzną.
Podstawowym atutem kart kryptograficznych jest bezpieczne przechowywanie klucza prywatnego w pamięci karty. Para kluczy prywatny/publiczny może być generowana bezpośrednio na karcie. Innym rozwiązaniem jest wygenerowanie pary kluczy na zewnętrznym urządzeniu i zapisanie ich na karcie. W przypadku kart do podpisu elektronicznego odczyt klucza prywatnego z takiej karty jest niemożliwy. Rozwiązanie takie zapewnia poufność klucza przechowywanego na karcie. Operacja podpisywania dokumentu wykonywana jest bezpośrednio na karcie, dlatego nie ma potrzeby kopiowania, nawet na krótką chwilę, klucza prywatnego do urządzenia zewnętrznego, jakim jest najczęściej komputer osobisty. Dodatkowym zabezpieczeniem jest kod PIN, który należy podać przed operacją podpisywania dowolnego dokumentu (dokładnie w momencie żądania dostępu do klucza prywatnego zapisanego na karcie). Kod PIN zapewnia, że nawet w przypadku zagubienia karty osoba trzecia nie będzie mogła złożyć podpisu w nieswoim imieniu. Produkowane obecnie karty kryptograficzne pozwalają na przechowywanie na jednej karcie co najmniej kilku kluczy prywatnych i publicznych oraz związanych z nimi certyfikatów.
Drugim z podstawowych wymogów technicznych dla zapewnienia bezpieczeństwa podpisu elektronicznego jest wybór odpowiedniej długości kluczy algorytmu asymetrycznego. Bezpieczeństwo systemów kryptograficznych, na podstawie których realizowany jest podpis elektroniczny, opiera się na założeniu, że przy obecnej mocy obliczeniowej komputerów i przy zastosowaniu znanych algorytmów nie jest możliwe odtworzenie klucza prywatnego, jeżeli mamy do dyspozycji klucz publiczny oraz dowolną liczbę podpisanych wiadomości. Istnieją dwie podstawowe metody pozyskiwania kluczy. Pierwsza z nich, zwana atakiem wyczerpującym, polega na przeszukaniu całej przestrzeni wszystkich możliwych kluczy. Taka metoda zawsze kończy się sukcesem. Klucz jest określoną liczbą, sprawdzenie kolejno wszystkich liczb z danego klucza pozwala zawsze na znalezienie tej będącej w danym przypadku kluczem. Zabezpieczenie przed atakiem wyczerpującym polega na stosowaniu coraz dłuższych kluczy, tak aby sprawdzenie wszystkich możliwych kombinacji trwało odpowiednio długo (ogólnie rzecz ujmując, co najmniej dłużej niż ważność podpisanych lub zaszyfrowanych danych). Obecnie w zastosowaniach komercyjnych w szyfrach asymetrycznych praktycznym rozwiązaniem są klucze o długości 1024 bitów (w przypadku algorytmu RSA). Sprawdzenie wszystkich możliwych kluczy o takiej długości jest przy obecnym stanie komputerów niewykonalne w krótkim czasie. Zwiększanie mocy obliczeniowej komputerów może spowodować w przyszłości konieczność stosowania dłuższych kluczy. Zakłada się, że klucze o długości 1024 bitów będą bezpieczne przez okres co najmniej 20-25 lat. Drugi sposób ataku polega na znalezieniu "drogi na skróty", czyli efektywnego algorytmu pozwalającego na obliczenie na podstawie klucza publicznego odpowiadającego mu klucza prywatnego. Obecnie nie są znane algorytmy pozwalające na praktyczną realizację takiego przekształcenia w rozsądnym czasie. Nie można jednak wykluczyć, że algorytmy takie istnieją. Przy obecnym stanie wiedzy można stwierdzić, że znane obecnie algorytmy kryptograficzne, korzystające z kluczy o odpowiedniej długości, są bezpieczne. Do podpisu elektronicznego stosuje się obecnie najczęściej algorytm RSA z kluczami o długości 1024 bity. Większość kart kryptograficznych dostępnych obecnie na rynku komercyjnym ma możliwość stosowania kluczy o takiej właśnie długości. Klucze o mniejszej długości, np. 512 bitów, mogą być przy obecnym rozwoju techniki łamane w krótkim czasie przy zastosowaniu szybkich komputerów połączonych w sieć i nie gwarantują bezpieczeństwa podpisu elektronicznego. Do zastosowań specjalnych wykorzystywane są klucze o długości 2048 lub nawet 4096 bitów.
Poza kwestiami technicznymi bezpieczeństwo podpisu elektronicznego uzależnione jest od uwarunkowań organizacyjnych i prawnych zarówno ośrodków zajmujących się certyfikacją, jak też regulacji i standardów przyjętych po stronie użytkownika podpisu elektronicznego.
Jednym z podstawowych wymagań organizacyjnych związanych z wydawaniem certyfikatów jest wiarygodna weryfikacja tożsamości osoby lub instytucji, dla której wydawany jest certyfikat. W tym celu ośrodki certyfikacji organizują sieć lokalnych punktów rejestracji (ang. LRA - Local Registration Authority), które odpowiadają za weryfikację tożsamości osób na podstawie dostarczonych dokumentów (np. dowód osobisty, paszport).
Usługi certyfikacyjne dostępne są komercyjnie na rynku polskim. Podmioty świadczące usługi certyfikacyjne to między innymi:
Centrum Certyfikacji Signet - TP Internet Sp. z o.o.,
Ośrodek Certyfikacji PolCert - E-Telbank Sp. z o.o.,
SIGILLUM Polskie Centrum Certyfikacji Elektronicznej - Polska Wytwórnia Papierów Wartościowych,
SZAFIR - Krajowa Izba Rozliczeniowa SA,
Centrum Certyfikacji Unizeto CERTUM - Unizeto Sp. z o.o.
Spółka Centrast SA została wyznaczona do wydawania zaświadczeń certyfikacyjnych dla podmiotów kwalifikowanych i pełni rolę podmiotu nadrzędnego w tej hierarchii zaufania.
2.Dyrektywa Parlamentu Europejskiego i Rady z dnia 13 grudnia 1999 r.
W dniu 13 grudnia 1999 r. Unia Europejska wydała akt prawny - Dyrektywę Parlamentu Europejskiego i Rady w sprawie ramowych warunków Wspólnoty dla podpisu elektronicznego (99/93/WE). Dyrektywa powstała w celu zharmonizowania prawodawstwa dotyczącego dziedziny podpisu elektronicznego. Pod koniec lat dziewięćdziesiątych w wielu krajach Unii Europejskiej trwały prace nad wewnętrznymi aktami prawnymi dotyczącymi podpisu elektronicznego (w Niemczech oraz we Włoszech odpowiednie akty prawne weszły w życie). Zaproponowane rozwiązania nie były jednak ze sobą zgodne, co twórcy dyrektywy uważali za istotny czynnik hamujący rozwój gospodarki elektronicznej.
Dyrektywa ma kluczowe znaczenie dla rozwoju podpisu elektronicznego w krajach Unii Europejskiej, jak również w krajach ubiegających się o członkostwo w Unii Europejskiej. Przedmiotowa dyrektywa stanowiła podstawę do opracowania polskiej ustawy o podpisie elektronicznym.
Dyrektywa ustala zbieżne reguły dla komunikacji elektronicznej, handlu elektronicznego z wykorzystaniem podpisu elektronicznego na terenie Wspólnoty. Rozbieżne reguły w poszczególnych krajach członkowskich mogłyby bowiem zahamować rozwój handlu elektronicznego. Twórcy dyrektywy założyli, iż szybki rozwój technologiczny i globalny charakter Internetu wymaga stworzenia koncepcji otwartej na różne technologie i usługi w dziedzinie autoryzacji elektronicznej.
Rynek wewnętrzny wspólnoty zapewnia swobodny przepływ osób. Obywatele państw Unii Europejskiej muszą coraz częściej komunikować się z władzami państw członkowskich innych niż państwo macierzyste. Komunikacja elektroniczna z użyciem podpisu elektronicznego mogłaby w tych przypadkach okazać się bardzo użyteczna.
Dyrektywa nakłada na państwa członkowskie obowiązek stworzenia systemu nadzoru nad podmiotami świadczącymi usługi certyfikacyjne, przewiduje tzw. system dobrowolnej akredytacji. System ten ma na celu podniesienie poziomu świadczonych usług. Jednocześnie dyrektywa mówi o swobodzie świadczenia usług certyfikacyjnych, zgodnie bowiem z przyjętymi w dyrektywie założeniami, system akredytacji nie powinien ograniczać konkurencyjności w dziedzinie usług certyfikacyjnych.
Dyrektywa dąży, poprzez zharmonizowane kryteria, do stworzenia i utrzymania konkretnych ram prawnych dla podpisu elektronicznego w całej Wspólnocie.
Zgodnie z art. 1 dyrektywy jej celem jest ułatwienie stosowania podpisu elektronicznego oraz przyczynienie się do jego uznania prawnego. Ustanawia ona prawne warunki ramowe dla podpisu elektronicznego i określonych usług certyfikacyjnych, w celu zapewnienia właściwego funkcjonowania rynku wewnętrznego. Nie obejmuje aspektów związanych z zawieraniem i obowiązywaniem umów czy innych zobowiązań prawnych, dla których należy wypełnić przepisy formalne prawa krajowego lub wspólnotowego, nie narusza również reguł i ograniczeń prawa krajowego czy wspólnotowego odnośnie do zastosowania dokumentów.
Artykuł 2 ust. 1 i 2 dyrektywy definiuje podpis elektroniczny i tak zwany zaawansowany podpis elektroniczny.
Zgodnie z tą definicją podpis elektroniczny oznacza dane w formie elektronicznej, które dodane są do innych danych elektronicznych lub są z nimi logicznie powiązane i służą do identyfikacji.
Zaawansowany podpis elektroniczny oznacza natomiast podpis elektroniczny spełniający następujące wymagania:
przyporządkowany jest wyłącznie podpisującemu;
umożliwia identyfikację podpisującego;
stworzony jest za pomocą środków, które podpisujący może mieć pod swoją wyłączną kontrolą;
jest tak powiązany z danymi, do których się odnosi, że każda późniejsza zmiana tych danych może zostać wykryta.
Podpisujący, zgodnie z art. 2 ust. 3 dyrektywy, jest osobą posiadającą urządzenie do generowania podpisów, która działa w imieniu własnym lub w imieniu osób prawnych lub fizycznych, lub stron, których jest przedstawicielem. Dyrektywa nie przesądza, czy podpisującym jest osoba fizyczna, pozostawia uregulowanie tej kwestii ustawodawcy krajowemu. W ustawodawstwie większości krajów Unii Europejskiej określono podpisującego jako wyłącznie osobę fizyczną. Odmienne uregulowania w tym zakresie przyjęto np. w Wielkiej Brytanii (gdzie istnieje pojęcie podpisu osoby prawnej).
Artykuł 2 definiuje takie pojęcia jak: dane do generowania podpisu, urządzenia generujące podpisy, bezpieczne urządzenia generujące podpisy, urządzenie weryfikujące podpisy. Definicje stanowią podstawę dla pojęć używanych w polskiej ustawie. Dane do generowania podpisu oraz dane do sprawdzania podpisu są zdefiniowane w sposób uniwersalny, jakkolwiek przy obecnym stanie wiedzy technicznej te pierwsze mogą być utożsamiane z kluczem prywatnym, te drugie z kluczem publicznym. Pojęcie urządzeń i tak zwanych bezpiecznych urządzeń, sprawdzających podpisy to jedno z najważniejszych pojęć w dyrektywie.
Urządzenie generujące podpisy oznacza skonfigurowane oprogramowanie lub sprzęt używane do zaimplementowania danych do sprawdzania podpisu.
Bezpieczne urządzenia do składania podpisu elektronicznego oznacza urządzenie generujące podpisy, które spełnia wymagania załącznika nr 3 do dyrektywy.
Wymogi dotyczące bezpiecznych urządzeń służących do składania podpisów są następujące:
Bezpieczne urządzenia służące do składania podpisów muszą, przez właściwe środki techniczne i proceduralne, zapewnić co najmniej, że:
dane służące do składania podpisu użyte do złożenia podpisu praktycznie pojawiają się tylko raz oraz zapewniona jest ich poufność;
dane służące do składania podpisu użyte do złożenia podpisu nie mogą, przy zachowaniu rozsądnego zabezpieczenia, być pozyskane oraz podpisy są chronione przed fałszowaniem przy użyciu dostępnej technologii;
dane służące do składania podpisu użyte do złożenia podpisu chronione są przez uprawnionego podpisującego się w sposób godny zaufania przed użyciem przez innych.
Bezpieczne urządzenia służące do składania podpisów nie zmieniają danych służących do składania podpisu i nie uniemożliwiają, by dane te zostały przedstawione podpisującemu przed złożeniem podpisu.
Urządzenie do weryfikacji podpisu elektronicznego oznacza skonfigurowane oprogramowanie i sprzęt używane w celu wprowadzenia i użycia danych do sprawdzania podpisu.
Dyrektywa definiuje pojęcie certyfikatu, certyfikatu kwalifikowanego, dostawcy usług certyfikacyjnych.
Zgodnie art. 2 ust. 9 dyrektywy certyfikat to zaświadczenie elektroniczne, za pomocą którego dane do weryfikacji podpisu są przyporządkowane osobie i potwierdzają tożsamość tej osoby.
Pojęcie certyfikatu kwalifikowanego zdefiniowane jest w art. 2 ust. 10 dyrektywy oznacza certyfikat spełniający wymogi załącznika nr 1 i wystawiana jest przez dostawcę usług certyfikacyjnych, który spełnia wymogi załącznika nr 2.
Podmioty świadczące usługi certyfikacyjne, wydające certyfikaty kwalifikowane są zobowiązane:
udowodnić wiarygodność niezbędną do świadczenia usług certyfikacyjnych;
zapewnić świadczenie usług szybkiego i bezpiecznego zarządzania oraz pewnego i natychmiastowego unieważniania;
zapewnić dokładne określenie daty i godziny wydania lub unieważnienia certyfikatu;
sprawdzić, za pomocą stosownych środków zgodnych z prawem krajowym, tożsamość i, gdzie stosowne, cechy szczególne osoby, dla której wydają kwalifikowany certyfikat;
zatrudnić personel posiadający wiedzę fachową, doświadczenie i kwalifikacje niezbędne dla świadczenia określonych usług, w szczególności kompetencje na poziomie zarządzania, znajomość technologii podpisu elektronicznego i znajomość stosownych procedur bezpieczeństwa; muszą również stosować właściwe procedury administracyjne i zarządzania, które odpowiadają uznanym normom;
stosować godne zaufania systemy i produkty, zawierające zabezpieczenia przed zmianami, zapewniające techniczne i kryptograficzne bezpieczeństwo wspieranych procesów;
podejmować środki przeciwko fałszowaniu certyfikatów oraz w przypadkach, gdy tworzą dane służące do składania podpisu, zapewniać poufność podczas tworzenia tych danych;
dysponować wystarczającymi środkami finansowymi, aby działać zgodnie z wymogami niniejszej dyrektywy, w szczególności aby ponosić ryzyko odpowiedzialności za szkody, na przykład przez wykupienie odpowiedniego ubezpieczenia;
w odpowiednim okresie przechowywać wszystkie istotne informacje dotyczące certyfikatu kwalifikowanego, w szczególności w celu udowodnienia certyfikacji w postępowaniu sądowym; informacje mogą być przechowywane w formie elektronicznej;
nie gromadzić ani nie kopiować danych służących do składania podpisu osób, którym podmiot świadczący usługi certyfikacyjne świadczy usługę zarządzania kluczami;
przed powstaniem stosunku zobowiązaniowego z osobą ubiegającą się o certyfikat dla wspierania swojego podpisu elektronicznego, poinformować tę osobę za pomocą trwałego środka komunikacyjnego o dokładnych warunkach stosowania certyfikatu, do których należą, między innymi, informacje o ograniczeniach użycia certyfikatu, istnieniu systemu dobrowolnej akredytacji i postępowaniu w przypadku skarg i rozstrzygania sporów. Informacje, które mogą być przekazywane elektronicznie, muszą być sformułowane w formie pisemnej w przystępnym języku; odpowiednie części tych informacji udostępnia się na wniosek stronom trzecim polegającym na certyfikacie;
stosować godne zaufania systemy do przechowywania certyfikatów w formie umożliwiającej weryfikację, aby:
tylko osoby uprawnione mogły wprowadzać i zmieniać dane,
można było sprawdzić prawdziwość informacji,
certyfikaty można było publicznie cofnąć tylko w wypadkach, dla których wyraził zgodę właściciel certyfikatu,
zmiany techniczne, które naruszają wymogi bezpieczeństwa, były dla operatora oczywiste.
Pojęcie dostawcy usług certyfikacyjnych jest zdefiniowane w art. 2 ust. 11 dyrektywy i oznacza jednostkę lub osobę prawną bądź fizyczną, która wystawia certyfikat lub udostępnia inne usługi związane z podpisem elektronicznym.
Dyrektywa definiuje pojęcie produktu dla podpisu elektronicznego oraz pojęcie dobrowolnej akredytacji.
Zgodnie z art. 2 ust. 12 dyrektywy produkt dla podpisu elektronicznego oznacza oprogramowanie lub sprzęt względnie inne specyficzne komponenty, które mają być użyte przez dostawcę usług certyfikacyjnych do udostępnienia usług dla podpisu elektronicznego.
Państwa członkowskie nie uzależniają udostępniania usług certyfikacyjnych od wcześniejszego zezwolenia. Państwa członkowskie mogą wprowadzać system dobrowolnej akredytacji. Artykuł 3 ust. 2 dyrektywy potwierdza, że wymagania związane z tym systemem muszą być obiektywne, transparentne, proporcjonalne i niedyskryminujące.
Państwa członkowskie zgodnie z art. 3 dyrektywy zapewniają stworzenie właściwego systemu do nadzoru dostawców usług certyfikacyjnych.
Artykuł 4 ust. 1 dyrektywy przewiduje, że każde państwo członkowskie stosuje postanowienia krajowe, wydane na podstawie niniejszej dyrektywy, do zarejestrowanych na ich terenie dostawców usług certyfikacyjnych i ich usług. Państwa członkowskie nie mogą ograniczać udostępniania usług certyfikacyjnych pochodzących z innych państw członkowskich w dziedzinach objętych tą dyrektywą.
Artykuł 5 określa skutki prawne podpisu elektronicznego. Zgodnie z art. 5 ust. 1 państwa członkowskie zapewnią, że zaawansowany podpis elektroniczny, opierający się na kwalifikowanym certyfikacie i utworzony za pomocą bezpiecznego urządzenie do składania podpisu:
spełnia wymogi prawne co do podpisu w odniesieniu do danych w formie elektronicznej w ten sam sposób, co podpis odręczny w odniesieniu do danych znajdujących się na papierze, oraz
dopuszczalny jest jako dowód w postępowaniu sądowym.
Zgodnie z art. 5 ust. 2 państwa członkowskie zapewnią, aby nie odmawiano podpisowi skuteczności prawnej i dopuszczalności jako dowód w postępowaniu sądowym jedynie dlatego, że:
jest w formie elektronicznej, lub
nie opiera się na kwalifikowanym certyfikacie, lub
nie opiera się na kwalifikowanym certyfikacie pochodzącym od akredytowanego dostawcy usług certyfikacyjnych, lub
nie został stworzony za pomocą bezpiecznego urządzenia do składania podpisu.
Artykuł 6 dyrektywy kształtuje odpowiedzialność dostawców usług certyfikacyjnych.
Zgodnie z art. 6 ust. 1 dyrektywy, dostawca usług cer-tyfikacyjnych wystawiający certyfikat będący certyfikatem kwalifikowanym lub udzielający gwarancji za certyfikat kwalifikowany odpowiada za szkody wobec organu, osoby prawnej, osoby fizycznej, które w rozsądny sposób zaufały certyfikatowi. W szczególności odpowiada za to, że:
wszelkie informacje zawarte w certyfikacie kwalifikowanym w momencie jego wydania są prawidłowe, a certyfikat zawiera wszelkie dane wymagane przy certyfikacie kwalifikowanym;
podpisujący podany w certyfikacie kwalifikowanym w momencie jej wydania posiadał dane do generowania podpisu, które odpowiadają podanym w certyfikacie względnie zidentyfikowanym danym do sprawdzania podpisu;
w przypadkach, gdy dostawca usług certyfikacyjnych tworzy zarówno dane potrzebne do tworzenia podpisu, jak i też dane do sprawdzania podpisu, muszą być użyte te dwa komponenty w sposób komplementarny, chyba że dostawca usług certyfikacyjnych udowodni, że nie działał niedbale.
Zgodnie z art. 6 ust. 2 państwa członkowskie zapewnią, że w odniesieniu do szkód względem organu, osoby prawnej lub fizycznej, która w sposób uzasadniony ma zaufanie do tego certyfikatu, dostawca usług certyfikacyjnych odpowiada za przypadek, że unieważnienie certyfikatu nie zostało zarejestrowane, chyba że dostawca usług certyfikacyjnych udowodni, że nie działał niedbale.
Artykuł 6 ust. 3 stanowi, iż państwa członkowskie troszczą się o to, żeby dostawcy usług certyfikacyjnych mogli podawać w certyfikacie kwalifikowanym ograniczenia co do użycia certyfikatu. Ograniczenia te muszą być rozpoznawalne dla stron trzecich. Dostawca usług certyfikacyjnych nie odpowiada za szkody wynikające z użycia wykraczającego poza te ograniczenia.
Zgodnie z art. 6 ust. 4 państwa członkowskie troszczą się o to, żeby dostawcy usług certyfikacyjnych mogli podawać w certyfikacie kwalifikowanym granicę dla wartości transakcji, do której może być użyty dany certyfikat; granica ta musi być rozpoznawalna dla stron trzecich. Dostawca usług certyfikacyjnych nie odpowiada za szkody wynikające z przekroczenia górnej granicy.
Artykuł 7 dyrektywy przewiduje uznawanie certyfikatu wystawianego publicznie przez dostawcę usług certyfikacyjnych państwa trzeciego jako certyfikatu kwalifikowanego. Certyfikat taki byłaby równoważny prawnie z certyfikatami wystawianymi przez dostawców usług certyfikacyjnych osiadłych na terenie wspólnoty jeśli:
dostawca usług certyfikacyjnych spełnia wymagania dyrektywy i jest akredytowany w dowolnym systemie akredytacji jednego państwa członkowskiego, lub
dostawca usług certyfikacyjnych osiadły we Wspólnocie spełnia wymagania niniejszej dyrektywy, gwarantuje certyfikat, lub
certyfikat lub dostawca usług certyfikacyjnych uznawane są w ramach umowy dwustronnej lub wielostronnej między Wspólnotą i krajami trzecimi lub organizacją międzynarodową.
Artykuł 8 dyrektywy odnosi się do problematyki ochrony danych osobowych. Zgodnie z art. 8 ust. 2 państwa członkowskie troszczą się o to, żeby dostawcy usług certyfikacyjnych, wystawiający publiczne certyfikaty, mogli gromadzić dane osobowe tylko bezpośrednio od danej osoby, lub po wyraźnej zgodzie danej osoby i tylko, o ile jest to konieczne do wystawiania i utrzymania certyfikatu.
Dyrektywa w swoich założeniach odnosi się również do tematyki ochrony praw konsumenta i stworzenia właściwych relacji pomiędzy konsumentami a przedsiębiorcami.
Zgodnie z art. 12 dyrektywy Komisja sprawdza wdrażanie dyrektywy i sporządzi raport dla Parlamentu Europejskiego i Rady najpóźniej do dnia 19 czerwca 2003 r. Kontrola ma między innymi stwierdzić, czy zakres zastosowania dyrektywy powinien zostać zmieniony w obliczu technologicznego i prawnego rozwoju rynku. Raport obejmuje w szczególności ocenę aspektów harmonizacji na podstawie zebranych doświadczeń. Do raportu będą dołączone propozycje zmian przepisów prawnych.
Jak już wspomniano, polska ustawa o podpisie elektronicznym wzorowała się na przedmiotowej dyrektywie. Jest to zrozumiałe, jeżeli weźmiemy pod uwagę nasze przyszłe członkostwo w Unii Europejskiej i konieczność dostosowania polskiego prawa do unijnych standardów.
3.Polska ustawa o podpisie elektronicznym
Polska ustawa o podpisie elektronicznym jest efektem kompromisu pomiędzy dwoma projektami skierowanymi do sejmu - projektem poselskim oraz projektem rządowym. Podstawą do opracowania obu projektów była Dyrektywa Parlamentu Europejskiego i Rady w sprawie ramowych warunków Wspólnoty dla podpisu elektronicznego z dnia 13 grudnia 1999 r.
Przedstawiony przez stronę rządową projekt nakładał na podmioty świadczące usługi certyfikacyjne szereg obowiązków wykraczających w sposób znaczący poza wymogi stawiane przez Unię Europejską. Szczególnie mocną pozycję miał mieć organ nadzoru nad podmiotami świadczącymi usługi certyfikacyjne. Projekt poselski nie przewidywał tak wielu wymogów formalnych, które musiałyby spełnić podmioty mające świadczyć usługi certyfikacyjne. Projekt ten zyskał poparcie Polskiej Izby Informatyki i Telekomunikacji.
W pracach nad projektem ustawy o podpisie elektronicznym brała udział szeroka reprezentacja wybitnych polskich naukowców, zarówno prawników, jak i informatyków. Byli między nimi prof. Marian Srebrny, prof. Zbigniew Radwański.
W ustawie z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. Nr 130, poz. 1450) przewidziano 9-miesięczne vacatio legis. Ustawa weszła w życie z dniem 16 sierpnia 2002 r.
Ustawa składa się z ośmiu rozdziałów, zawiera 11 delegacji (w tym trzy dla Rady Ministrów, siedem dla Ministra Gospodarki, 1 dla Ministra Finansów) do wydania rozporządzeń wykonawczych. Do dnia dzisiejszego zostało wydanych 7 rozporządzeń: rozporządzenie Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych i organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń służących do składania i weryfikacji podpisu elektronicznego (Dz. U. Nr 128, poz. 1094), rozporządzenie Ministra Finansów z dnia 6 sierpnia 2002 r. w sprawie sposobu i szczegółowych warunków spełnienia obowiązku ubezpieczenia odpowiedzialności cywilnej przez kwalifikowany podmiot (Dz. U. Nr 128, poz. 1096), rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie wzoru i szczegółowego zakresu wniosku o dokonanie wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, związane z podpisem elektronicznym (Dz. U. Nr 128, poz. 1097), rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie wysokości opłaty za rozpatrzenie wniosku o wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, związane z podpisem elektronicznym (Dz. U. Nr 128, poz. 1098), rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie sposobu prowadzenia rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne związane z podpisem elektronicznym, wzoru tego rejestru oraz szczegółowego trybu postępowania w sprawach o wpis do rejestru (Dz. U. Nr 128, poz. 1099), rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie określenia zasad wynagradzania za przeprowadzenie kontroli podmiotów świadczących usługi certyfikacyjne, związane z podpisem elektronicznym (Dz. U. Nr 128, poz. 1100), rozporządzenie Ministra Gospodarki z dnia 9 sierpnia 2002 r. w sprawie określenia szczegółowego trybu tworzenia i wydawania zaświadczenia certyfikacyjnego związanego z podpisem elektronicznym (Dz. U. Nr 128, poz. 1101).
Przepis ten określa zakres regulacji ustawy o podpisie elektronicznym. Przepis ten informuje o "zawartości" ustawy. Nie zawiera on tzw. treści normatywnej.
Pełna treść dostępna po zalogowaniu do LEX