W końcu uruchomiony zostanie profil zaufany na ePUAP

Od 9 czerwca br. będziemy mogli przesyłać do urzędów dokumenty elektroniczne bez kwalifikowanego podpisu elektronicznego.

W ten sposób większość obywateli będzie mogła w końcu uzyskać dostęp do elektronicznych usług administracji publicznej znacznie łatwiej niż dotychczas. Profil zaufany wymaga jednorazowej wizyty w urzędzie, w celu potwierdzenia tożsamości. Będzie to usługa bezpłatna, świadczona początkowo przez 400, a docelowo 800 urzędów w całej Polsce. Posiadacze ważnego certyfikatu kwalifikowanego nie będą musieli odwiedzać urzędów, bo ePUAP umożliwia im samodzielne poświadczenie profilu zaufanego certyfikatem.

Sposób autoryzacji

Z punktu widzenia użytkownika korzystanie z profilu zaufanego (PZ) przypomina metody uwierzytelniania stosowane powszechnie w bankach czy serwisach aukcyjnych. Operacja podpisu odbywa się w przeglądarce. Nie są wymagane zewnętrzne urządzenia (karta, czytnik) ani specjalne sterowniki i zewnętrzne aplikacje. Profil powinien działać tak samo pod dowolnym systemem operacyjnym i w każdej - w miarę nowej - przeglądarce.

Korzystanie z PZ jest dodatkowo autoryzowane za pomocą kodu jednorazowego przesyłanego mailem. Poczta elektroniczna jest obecnie jedyną metodą autoryzacji profilu zaufanego wymienioną wprost w rozporządzeniu, ale w przyszłości mogą to być dowolne inne środki komunikacji elektronicznej - np. SMS. Po stronie systemu podpis PZ jest dodatkowo poświadczany certyfikatem systemowym ePUAP. Profil zaufany można potwierdzić samemu mając certyfikat kwalifikowany. Ale przedłużyć go o kolejne 3 lata można już za pomocą samego profilu zanim wygaśnie.

Podpis profilem zaufanym nie musi być realizowany wyłącznie z poziomu strony ePUAP. System udostępnia podpis jako usługę sieciową (Web Service), która może być wywoływana z zewnętrznych aplikacji za pomocą standardowych rozwiązań (SOAP, WS-Security). Oczywiście ePUAP udostępnia też w analogiczny sposób usługę weryfikacji podpisu złożonego przy pomocy profilu zaufanego. Od strony technicznej usługi są zgodne ze standardem OASIS Digital Signature Service, a na stronie ePUAP można znaleźć specyfikacje interfejsowe WSDL.

Elektroniczna korespondencja

Poza profilem zaufanym nowa wersja ePUAP udostępnia także szereg usług towarzyszących elektronicznemu obiegowi dokumentów. Przesłanie dokumentu do urzędu może wymagać wniesienia opłaty - jest to możliwe bezpośrednio z poziomu ePUAP, a wnioskodawca otrzyma w takim przypadku Elektroniczne Poświadczenie Opłaty.

System wystawia też inne rodzaje potwierdzeń, przeznaczone dla poszczególnych stron, i zapewniające każdej z nich niezaprzeczalność wykonania określonych czynności, np. złożenia dokumentu i udzielenia nań odpowiedzi. Potwierdzenia te noszą zbiorczą nazwę Urzędowych Poświadczeń Odbioru. Gdy dokument składa klient, otrzymuje Urzędowe Poświadczenie Przedłożenia. Gdy urząd na to pismo odpowie, klient otrzyma informację, że odpowiedź oczekuje na niego w systemie ePUAP. W celu jej odebrania klient musi złożyć podpis (np. profilem zaufanym), który stanowi dla urzędu Urzędowe Poświadczenie Doręczenia. Całość funkcjonuje więc, jak znane z korespondencji sądowej "żółte karteczki" (pocztowe poświadczenia odbioru), zapewniając obu stronom komunikacji ochronę przed tłumaczeniami, że "nie doszło" lub "nie dostałem". Tyle, że szybciej i bez papieru.

Single Sign-On na ePUAP

System ePUAP może również występować jako dostawca usług tożsamości (identity provider) w protokole federacji tożsamości. W braku spójnej terminologii jest to określane jako Single Sign-On (SSO) i w praktyce jest prostsze niż to wynika z opisu. Z punktu widzenia użytkownika SSO polega na tym, że może się on zalogować do serwisu dowolnego urzędu (np. ZUS) za pomocą konta ePUAP. W praktyce wygląda to w ten sposób, że na stronie ZUS wyświetlany będzie przycisk logowania do ePUAP. Po kliknięciu na niego użytkownik zostanie na chwilę przekierowany na stronę ePUAP, gdzie wpisze login i hasło, a po poprawnym zalogowaniu zostanie przekierowany z powrotem na stronę ZUS, tym razem już jako zalogowany użytkownik. Wiele osób zna ten mechanizm np. z Facebooka. Zaletą SSO - z punktu widzenia administracji publicznej - jest brak konieczności przechowywania lokalnych rejestrów osobowych, weryfikacji ich poprawności, obsługi haseł itd. Wszystkie obowiązki związane z zarządzaniem tożsamością spadają w tym przypadku na ePUAP. Użytkownik posługuje się zawsze tym samym mechanizmem uwierzytelnienia i nie musi wciąż wprowadzać tych samych danych osobowych w różnych serwisach urzędów. Od strony technicznej system SSO jest oparty o standard Security Assertions Markup Language, a konkretne struktury danych są udokumentowane na stronie ePUAP. Równocześnie użycie otwartych interfejsów opartych o SAML i SOAP umożliwia praktycznie nieograniczone rozbudowywanie funkcjonalności aplikacji zewnętrznych w zakresie usług udostępnianych przez ePUAP. A nie ograniczają się one tylko do uwierzytelniania i autoryzacji.