Od połowy lat dziewięćdziesiątych europejskie instytucje standardyzacyjne i ustawodawcze prowadzą wytężone prace nad stworzeniem prawo-technicznego otocznia dla elektronicznego uwierzytelnienia o poziomie zaufania porównywalnym jak podpis odręczny. Te ciekawe z naukowego punktu widzenia wysiłki mają jednak niewielkie przełożenie na zwykłych obywateli, a w niektórych przypadkach wręcz hamują dostępność usług elektronicznych.

Logika europejskiego ustawodawcy opisana w Dyrektywie 1999/93/WE o podpisie elektronicznym przewidywała, że podstawowym narzędziem potwierdzania tożsamości osób fizycznych w usługach elektronicznych stanie się kwalifikowany podpis elektroniczny. Dzisiaj jest to nadal rynek niszowy, a jego głównymi beneficjentami są firmy konsultingowe, które od kilkunastu lat za publiczne pieniądze pracowicie analizują teoretyczne aspekty tego, jak mógłby działać podpis elektroniczny gdyby go stosowano w praktyce.

Od strony technicznej organizacje standardyzacyjne (CEN i ETSI) wykonały sporo rzetelnej pracy z zakresu analizy ryzyka, tłumacząc funkcjonalno-prawniczy język Dyrektywy 1999/93/EC na konkretne rozwiązania techniczne. Aby pokazać złożoność przekładu języka prawniczego na techniczny warto przywołać jedno ze zdań Dyrektywy, które mówi, że podpis elektroniczny jest "stworzony jest za pomocą środków, które podpisujący może mieć pod swoją wyłączną kontrolą" (art. 2, pkt 1c).

Do spełnienia tego warunku prowadzi łańcuch środków technicznych, który zaczyna się od klucza prywatnego używanego do składania podpisu - aby było możliwe zapewnienie niezaprzeczalności, musi on istnieć w jednej i tylko jednej kopii. W tym celu przechowuje się go w elektronicznej karcie kryptograficznej, która - stanowiąc autonomiczny i certyfikowany moduł bezpieczeństwa - nie pozwoli na jego skopiowanie. Jedyna dopuszczalna operacja to podpisanie tym kluczem skrótu kryptograficznego przysłanego do karty z zewnątrz, czyli z aplikacji podpisującej. Jej zadaniem jest kryptograficznego skrótu podpisywanego dokumentu i przesłanie go do karty.

Żeby jednak nie było możliwe złożenie podpisu bez wiedzy posiadacza, dostęp do operacji podpisywania jest chroniony tajnym hasłem (PIN), które powinien znać jedynie dysponent klucza. No i wreszcie, by utrudnić zaprzeczenie argumentowane dobrowolnym przekazaniem komuś innemu karty i hasła, "wyłączną kontrolę" wymusza się karalnością korzystania z cudzego klucza.

Tyle teoria. W praktyce jednak taki model mógłby działać tylko wtedy, gdyby wszystkie wymienione elementy działały w ramach jednego, spójnego i zaufanego modułu, który powinien mieć wyświetlacz, czytnik kart, klawiaturę i możliwość wczytywania dokumentów do podpisania z zewnątrz.

Jaki konsument kupi jednak wyspecjalizowane urządzenie przypominające współczesne terminale kasowe czy małe bankomaty w celu zasilenia telefonu komórkowego czy wysłania do urzędu prostego pisma? W radosnym pędzie po autostradzie urzędowej innowacji pojęcia takie jak "użytkownik końcowy" czy "rynek" pomijano tak starannie, że na końcu czekało tylko bolesne zetknięcie z rzeczywistością. Po co najmniej połowie dekady wytężonych prac konsultingowo-legislacyjnych autorzy nagle zorientowali się, że to nie ma szans na akceptację przez masowego użytkownika.

Polskie rozporządzenie definiuje misterną konstrukcję bezpiecznych kanałów i ścieżek pomiędzy kartą kryptograficzną, a aplikacją podpisującą. Służy to oczywiście zapobieżeniu sytuacji, w której koń trojański modyfikuje dane podpisywane przez użytkownika lub pokazuje mu co innego, niż przesyła do karty.

Ale każdy, kto już wtedy rozejrzałby się wokół musiał zdać sobie sprawę, że to fizycznie niemożliwe. Jak można bowiem mówić o "bezpiecznej ścieżce" w popularnych systach, w których użytkownik pracuje z prawami administratora, a pierwsza lepsza dziura w przeglądarce skutkuje tym, że złośliwa strona WWW może uruchomić swój kod z uprawnieniami systemowymi?

I tu ustawodawca dokonał niesamowitej wręcz wolty. Zamiast zastanowić się od początku, czy to co robi w ogóle ma jakikolwiek sens praktyczny, do przepisów wprowadził pojęcie "oprogramowania niepublicznego". Polskie rozporządzenie mówi, że tym ostatnim jest każde oprogramowanie stosowane w "domu, biurze i telefonie komórkowym" - i nie musi ono stosować ścieżek czy kanałów. Czytaj: "w domu i w biurze" można składać "bezpieczny podpis elektroniczny" nawet pod Windows 98 na koncie administratora i będzie on nadal podpisem "bezpiecznym". Dom i biuro najwyraźniej stały się dla ustawodawcy archetypem matczynego ciepła i bezpieczeństwa.

Chaos semantyczny pogłębiły oferty firm, które zaczęły przystępnie wyjaśniać klientom, że "bezpieczne urządzenie to środowisko", które składa się z "karty mikroprocesorowej z dedykowaną aplikacją" albo racząc go oksymoronami, że "aplikacja jest bezpiecznym urządzeniem". Ostatecznie okazuje się więc, że tak zwane "bezpieczne urządzenie" to składanka do samodzielnego montażu, gdzie użytkownik końcowy ma być sobie sam integratorem i administratorem.

Na forsowanie chaotycznej i niespójnej regulacji zwracało już w momencie prac nad polską ustawą wiele osób (patrz: Wacław Iszkowski, "E-podpis może się opóźnić", Rzeczpospolita 2002). Jednak zgodnie z logiką legislacji szemrano-antyszambrowej żadne głosy krytyki nie przeszkodziły w przepchnięciu obecnej formy ustawy wraz z towarzyszącymi jej rozporządzeniami.

Absurdalna dialektyka sięgnęło szczytu w 2005 roku, kiedy mała szczecińska firma poinformowała o udanym fałszerstwie "bezpiecznego podpisu" przez zainstalowanie w Windows konia trojańskiego modyfikującego w tle podpisywane dane ("Kłótnia o dziury w e-podpisie", CW, 2005). Była to rzecz jasna konsekwencja założonego w rozporządzeniu braku bezpiecznego kanału i ścieżki.

W odpowiedzi jedno z centrów certyfikacji "uspokajało" opinię publiczną deklaracjami, że to samo potrafi zrobić "przeciętnie zdolny student informatyki", więc "bezpieczne urządzenie" i tak jest bezpieczne, ponieważ "w instrukcji użytkownika" uprzedza się go, iż jego system operacyjny ma być "wolny od wszelkiego rodzaju wirusów". A do tego przymiotnika "bezpieczne" nie należy rozumieć jak w słowniku języka polskiego ("taki, któremu nic nie grozi") tylko "bezpieczny w rozumieniu rozporządzenia". Biorąc pod uwagę, że drugi człon tej nazwy ("urządzenie") również odnosił się do czegoś, co ma z urządzeniami niewiele wspólnego, całość z podobnym efektem można było nazwać "bajkowym sejfem czarodzieja".

Dzięki dogmatycznemu i oderwanemu od rzeczywistości podejściu grupki ekspertów i firm chcących zabetonować wszystko swoim "bezpiecznym podpisem" liczba jego użytkowników w latach 2002-2008 nie przekraczała połowy promila. Po nałożeniu na 200 tys. płatników ZUS obowiązku zakupu certyfikatów kwalifikowanych roku liczba ta wspięła się do około 1%, na którym to poziomie pozostaje po dziś dzień. I taka też liczba obywateli ma w Polsce dostęp do elektronicznych usług administracji publicznej.