Podpis elektroniczny w praktyce
-
- Józef Muszyński,
- 07.06.2002
Zastosowania w biznesie to główny czynnik napędowy rozwoju idei podpisu elektronicznego. Obszary zastosowań to: handel elektroniczny, zdalna praca - rodząca konieczność częstej wymiany dokumentów elektronicznych między pracownikiem a siedzibą firmy, bankowość elektroniczna, usługi ubezpieczeniowe, turystyczne i wiele innych.
Pierwszą praktyczną realizacją takiej formy usługi w Polsce jest elektroniczny przekaz dokumentów do ZUS. Inną, zapowiadaną, są zeznania podatkowe.
Wykorzystanie podpisu elektronicznego w czynnościach notarialnych pozwoli na zdalne podpisywanie dokumentów, które przechowywane w postaci elektronicznej mogą być zweryfikowane na podstawie stwierdzenia ważności certyfikatu klucza publicznego w momencie ich podpisania.
Miejmy nadzieję, że już wkrótce powszechne stanie się w Polsce stosowanie podpisu elektronicznego, choć sposób wprowadzania budzi kontrowersje (zob. ramka "Uchwała Nr 5/2002 PIIT").
Podpisy cyfrowe i certyfikaty
Cechy bezpieczeństwa określone w definicji podpisu elektronicznego spełnia technika kryptografii asymetrycznej zastosowana do tworzenia podpisu cyfrowego, będącego jedną z - teoretycznie wielu - możliwych form podpisu elektronicznego, a w praktyce jedyną braną obecnie pod uwagę.
Podpis cyfrowy polega na dodawaniu unikatowych danych cyfrowych do dokumentu elektronicznego w taki sposób, że może je generować jedynie właściciel klucza prywatnego, ale każdy, kto posiada odpowiedni klucz publiczny, może weryfikować autentyczność takiego podpisu.
Dane potwierdzające ważność podpisu można publikować w postaci certyfikatów. Certyfikaty wiążą dane weryfikujące podpis z tożsamością osoby, która go utworzyła, zgodnie z definicją zawartą w ustawie o podpisie elektronicznym:
"Certyfikat - elektroniczne zaświadczenie, za pomocą którego dane służące do weryfikacji podpisu elektronicznego są przyporządkowane do osoby składającej podpis elektroniczny i które umożliwiają identyfikację tej osoby" (Art. 3, ust. 8).
Podpis elektroniczny i certyfikat tworzą nierozłączną parę. Techniki umożliwiające tworzenie bezpiecznego podpisu elektronicznego muszą więc zapewniać wiarygodne potwierdzenie jego ważności.
Ustawa reguluje zasady wystawiania certyfikatów oraz wymagania stawiane podmiotom prowadzącym usługi certyfikacji - prowadzenie takiej działalności ma być nie koncesjonowane. W ustawie o podpisie elektronicznym wymaga się jednak od wystawcy tzw. certyfikatu kwalifikowanego uzyskania odpowiedniej akredytacji. Ustawa nie reguluje sposobu przyznawania takiej akredytacji, wspomina się tylko o rejestrowaniu takich wydawców przez ministra gospodarki. Podobnie ma się sprawa z urządzeniami do składania bezpiecznych podpisów - szczegółowe warunki techniczne ma określić stosowne rozporządzenie Rady Ministrów.
Zgodnie z ustawą za związek tożsamości osoby fizycznej z danymi służącymi do weryfikacji podpisu elektronicznego oraz za dostępność i integralność certyfikatów odpowiada podmiot świadczący usługi certyfikacyjne, którym może być przedsiębiorca (w rozumieniu przepisów prawa o działalności gospodarczej), Narodowy Bank Polski lub organ władzy publicznej. Podmiot ten musi zapewnić bezpieczeństwo i wiarygodność tych usług.
Pierwsze z funkcjonujących w Polsce publicznych centrów certyfikacji to PolCert (obsługujące komunikację między bankami), SigNet (związane z TP SA) oraz Unizeto (obsługuje ZUS).
Rady Polskiej Izby Informatyki i Telekomunikacji w sprawie konieczności poprawienia ustawy o podpisie elektronicznym
Rada Polskiej Izby Informatyki i Telekomunikacji, zdając sobie w pełni sprawę z konsekwencji tego postulatu, zwraca się do Rządu Rzeczpospolitej Polskiej o pilne podjęcie prac nad poprawieniem Ustawy o podpisie elektronicznym - szczególnie - w zakresie zwiększenia rygorów bezpieczeństwa korzenia Infrastruktury Klucza Publicznego.
Równocześnie pożądane jest poprawienie innych istotnych aspektów techniczno-prawnych zawartych w ustawie, jak na przykład:
Rada Izby deklaruje aktywny udział ekspertów w przygotowaniu poprawek do ustawy oraz objaśnienia zagadnień technicznych.
Rada Izby wyraża również sprzeciw wobec faktu objęcia funkcji prezesa w spółce, mającej z mocy obecnie obowiązującej ustawy szczególne prawa do świadczenia usług korzenia Infrastruktury Klucza Publicznego, przez osobę, która w czasie prac nad ustawą była odpowiedzialna za jej kształt z ramienia Rządu RP oraz znacząco przyczyniła się do modyfikacji tej ustawy przez Senat RP właśnie na rzecz nadania takich praw. Takie postępowanie byłego urzędnika państwowego oraz osób powołujących go na tego rodzaju funkcję, jak w opisanej sytuacji, uważamy za wysoce niemoralne i naganne.
Przyjęto na Posiedzeniu Rady PIIT w dniu 25 kwietnia 2002 r.
