Standardowo, choć bez kabla

Z uzyskanych przez nas informacji wynika, że proponowany przez ww. firmy system ma być oparty na otwartych standardach, a całość komunikacji będzie realizowana w postaci komunikatów zgodnych ze standardem podpisu elektronicznego XML. Dostęp do platformy transakcyjnej ma być oparty na technologii Web Services, a dokładniej ma być zgodny z Mobile Signature - standardem opracowanym przez organizację ETSI. Specyfikacja ma być dostępna dla każdego zainteresowanego, który chciałby stworzyć własny interfejs do podpisywania dokumentów. Dzięki temu byłoby możliwe stworzenie modułów podpisu elektronicznego do popularnych aplikacji biurowych, finansowych itd. Teoretycznie nic nie stoi na przeszkodzie, by napisać takie moduły do OpenOffice czy Mozilli.

Jeśli chodzi o kryptografię, system ma korzystać z kluczy RSA o długości 1024 bity, co biorąc pod uwagę współczesne możliwości ataku, jest absolutnym minimum dla kluczy RSA. Jako funkcja skrótu ma być wykorzystany algorytm SHA-1 dający wynik o długości 160 bitów. Wybrane algorytmy są na dzień dzisiejszy bezpieczne, ale biorąc pod uwagę niedawne dowody na możliwości przeprowadzenia ataków na SHA-1 oraz postęp w dziedzinie faktoryzacji kluczy RSA można by pomyśleć o zastosowaniu dłuższych kluczy i silniejszej funkcji skrótu, np. SHA-256 rekomendowanej przez NIST jako zamiennik SHA-1. Ograniczeniem technicznym jest jednak zapewne nośnik, czyli karta SIM - na rynku kart kryptograficznych standardem jest nadal 1024 bity RSA i SHA-1.

Dla użytkownika podpisu elektronicznego koszt będzie niewielki - karta SIM z możliwością składania podpisu elektronicznego jest tylko kilkanaście procent droższa od standardowych kart umieszczanych w telefonach. Dopłata do wydania takiej karty SIM dla abonentów zainteresowanych podpisem elektronicznym nie powinna przekraczać kilkudziesięciu złotych. Chyba że operatorzy postanowią zarobić na tym jako na gadżecie, ale to raczej skutecznie obniży zainteresowanie.

System bezpieczny na papierze niekoniecznie musi być bezpieczny po wdrożeniu, zwłaszcza jeśli ma działać przez Internet. Możliwość fałszowania podpisu elektronicznego, zwłaszcza masowo, jest atrakcyjnym kąskiem dla złodziei. Tym bardziej, im poważniejsze operacje będą podpisywane. Jeśli prześledzimy całą drogę od aplikacji generującej skrót, przez system transakcyjny, do telefonu komórkowego, od razu widać, że system transakcyjny i telefon są najmniej narażone na ataki. Telefon jest zbyt hermetycznym środowiskiem (chociaż znane są wirusy działające w tym środowisku), a po systemie transakcyjnym można oczekiwać, że będzie spełniał wysokie standardy bezpieczeństwa.

Punktem narażonym na największe zagrożenie jest aplikacja, która generuje skrót dokumentu i przesyła go do systemu transakcyjnego. Jeśli będzie to aplikacja działająca na serwerze firmy oferującej elektroniczne dokumenty lub formularze (a wskazuje na to zaangażowanie SignForm), to również można oczekiwać wysokiego standardu bezpieczeństwa po stronie serwera.

Zagrożenia i wyzwania

Jednak Web Services to przeglądarka WWW, która na końcu całego procesu wyświetli użytkownikowi skrót do podpisania. Ten element systemu nie jest odporny na ataki homofoniczne z wykorzystaniem Unicode, ataki cross-site-scripting i inne rozwijane ostatnio techniki oszukiwania ludzkich oczu, tak by ich właściciel, mówiąc obrazowo, widział jedno, a podpisywał drugie. Polskie firmy nie są jedynymi na świecie, które eksperymentują z mobilnym podpisem elektronicznym. Podobne informacje publikował trzy lata temu brytyjski Vodafone i całkiem niedawno fińska Sonera.

Jest bardzo prawdopodobne, że odpowiednie wnioski patentowe są już złożone w Europejskim Urzędzie Patentowym i czekają na zatwierdzenie przez Parlament Europejski nowej ustawy, dopuszczającej patentowanie algorytmów i rozwiązań biznesowych. Patenty na mobilny podpis elektroniczny są już od czterech lat zarejestrowane w USA, m.in. przez firmę eSignX. Jest to więc atrakcyjny kąsek dla firm prawniczych specjalizujących się w zbieraniu patentowych portfolio i szantażowaniu podmiotów wdrażających nowe technologie. Ich orężem są pisane mętnym językiem patenty "na wszystko" wyciągane, gdy dany produkt już się zakorzeni na rynku (tzw. submarine patents). Oprócz patentów na firmy promujące mobilny podpis elektroniczny czyha jeszcze wiele innych zagrożeń, które będą od nich wymagały dużej ostrożności przy wdrażaniu i promowaniu nowej technologii. Jednak sam pomysł należy do klasy prostych i genialnych. Szkoda byłoby tę szansę na upowszechnienie e-podpisu zmarnować. Zaangażowanie PIIT i PWPW może tu wiele pomóc, trzeba jednak pamiętać, że rynek podpisu elektronicznego jest pełen sprzecznych interesów. Ciekawe, czy uda się uzyskać wsparcie od instytucji rządowych, albo przynajmniej tyle, żeby w rozwoju nowej formuły funkcjonowania podpisu nie przeszkadzały?