Warto jest skomentować spór na temat luk w zabezpieczeniach oprogramowania do składania podpisu elektronicznego wywołany przez firmę G Data (Paweł Krawczyk, Podpis teoretycznie bezpieczny, CW nr 39/2005). Nie wszystkie bowiem argumenty i kontrargumenty docierają do sedna zagadnienia.

Rzeczą oczywistą jest, że nie jest możliwe pełne zabezpieczenie aplikacji działającej w systemie operacyjnym przed "oszukaniem jej" przez system operacyjny (przy obecnym stanie wiedzy i architekturze systemów operacyjnych). Można lepiej lub gorzej ją uodpornić na takie działania i - jak słusznie wskazuje firma G Data - w przypadku aplikacji do składania podpisu elektronicznego lepiej jest to zrobić.

To jednak nie koniec problemów. Myli się G Data i część komentatorów wskazując, że pod względem prawnym wszystko jest w porządku. Jakkolwiek kwestionowane oprogramowanie spełnia wymagania rozporządzenia Rady Ministrów nr 1094, dzięki ograniczeniu części wymagań do oprogramowania publicznego, to jednak należy również zwrócić uwagę na Ustawę o podpisie elektronicznym - jako na akt prawny wyższego rzędu. Jakkolwiek o ustawie tej pisze się zazwyczaj źle, w tym miejscu należy oddać sprawiedliwość ustawodawcy. Art. 18.1.4 stanowi iż [bezpieczne urządzenie do składania podpisu elektronicznego powinno] zapewniać łatwe rozpoznawanie istotnych dla bezpieczeństwa zmian w urządzeniu do składania podpisu lub poświadczenia elektronicznego. Jest to zresztą reguła przeniesiona z dyrektywy UE. Zatem, jeśli "łatka" napisana przez G Data nie jest łatwa do rozpoznania i działa tak jak jej autorzy twierdzą, to w świetle obowiązującego prawa oferowane urządzenia nie są "bezpiecznymi urządzeniami do składania podpisu elektronicznego". I zamyka to dyskusję merytoryczną. Co gorsza, raczej trudno sobie wyobrazić, aby takie oprogramowanie mogło w ogóle powstać.

Czy w takiej sytuacji użytkownik, który niefrasobliwie posługiwał się podpisem elektronicznym, może spać spokojnie? Nie całkiem. Nawet gdyby się okazało, że po Polsce buszował wirus, który dyskretnie zmieniał podpisywane dokumenty (lub podpisywał dodatkowe), to wyparcie się podpisu będzie sprawiało pewną trudność ze względu na brzmienie art. 6.3 Ustawy o podpisie elektronicznym. Najlepiej przytoczmy dosłowne brzmienie tego artykułu: Nie można powoływać się, że podpis elektroniczny weryfikowany przy pomocy ważnego kwalifikowanego certyfikatu nie został złożony za pomocą bezpiecznych urządzeń i danych, podlegających wyłącznej kontroli osoby składającej podpis elektroniczny.

Czyżby więc należało zaniechać stosowania zaawansowanego podpisu elektronicznego i certyfikatów cyfrowych? Z pewnością nie. To tak, jakby nie używać samochodów z pasami bezpieczeństwa (bo ulegają wypadkom), a używać tych, które pasów nie mają.

Problemem jest natomiast niefrasobliwość w stanowieniu prawa w Polsce. Pragmatyczna koncepcja unijna stanowi, iż bezpieczne urządzenie do składania podpisu elektronicznego to urządzenie, które "implementuje" dane do składania podpisu elektronicznego (czyli, po ludzku mówiąc, klucze prywatne). Ponieważ słowo "implementuje" traktowane jest jako "żargon techniczny", to zdanie z dyrektywy przetłumaczono na język polski nieco inaczej. Unijna koncepcja polega na tym, że należy chronić klucz prywatny. Tym samym wszystkie operacje z udziałem tego klucza (generowanie, przechowywanie, podpisywanie) muszą być wykonywane w szczególnie bezpiecznym środowisku. W trakcie prac nad wspominanym już wyżej rozporządzeniem dorzucono wymaganie stanowiące, że bezpieczne urządzenie składa się nie tylko z "komponentu technicznego", ale i "oprogramowania podpisującego". Wskazywaliśmy wówczas (jako eksperci samorządu gospodarczego), że prowadzi to do takich sytuacji prawnych, jak ta opisana powyżej.

Najbardziej niepokojące w całej historii jest to, że w wielu miejscach celowo wprowadza się użytkownika w błąd. Zaczyna się to od samego nazewnictwa: "bezpieczny podpis elektroniczny" to w terminologii unijnej "zaawansowany podpis elektroniczny". Dlaczego w Polsce nazywa się to inaczej? Czyżby po to, by uśpić ostrożność użytkownika? Tak samo użycie nazwy "bezpieczne urządzenie do składania podpisu elektronicznego" w przypadku oprogramowania ładowanego do systemu operacyjnego PC jest nadużywaniem skojarzeń. Do tego dokładają się doniesienia prasowe o wypowiedziach zainteresowanych osób (być może przekręcone) - przykładem jest recepta jednego z przedstawicieli podmiotów świadczących usługi certyfikacyjne, aby dla zabezpieczenia przed oszustwem do pliku z podpisem dołączać opis, co jest w podpisanym dokumencie. Po usłyszeniu takiej recepty trudno w istocie zaufać technologii oferowanej przez ów podmiot. Nerwowość, brak merytorycznej dyskusji i epitety, jakimi obrzuca się przeciwników (a nawet użytkowników), z pewnością nie podnoszą poziomu tego zaufania.

<hr width="50%" size="1" noshade>

Co w tej sytuacji powinniśmy zrobić? Firmy świadczące usługi certyfikacyjne powinny przede wszystkim zaprzestać niszczenia rynku podpisu elektronicznego. Dotychczasowy lobbing skierowany był na przymusowe stosowanie ich produktów bez względu na przesłanki ekonomiczne. Problem jest poważny, bo o ile faktur elektronicznych można po prostu nie stosować (co niestety jest dzisiaj racjonalną odpowiedzią rynku), to inne regulacje ustanawiają przymus prawny (elektroniczna legitymacja studencka, deklaracje ZUS podpisywane za pomocą kwalifikowanego podpisu). Podmioty świadczące usługi nie powinny się tym cieszyć - zwycięstwo może okazać się pyrrusowe, a podatnicy obarczeni podatkiem certyfikacyjnym podniosą bunt, gdy się zorientują w sytuacji.

Pewnym optymizmem napawają wypowiedzi przedstawicieli Ministerstwa Gospodarki. Wydaje się, że to właśnie organ nadzorujący realizację ustawy o podpisie może okazać się motorem dla jej racjonalizacji.

Użytkownicy podpisu elektronicznego na pewno powinni nie dać się zastraszyć. Tytuły prasowe "podpis elektroniczny złamany" należą do podobnej kategorii, co odkrycie potwora w Loch Ness. Rzadko w istocie chodzi o złamanie podpisu, który przy wszystkich problemach jest najlepszym narzędziem do uwierzytelniania danych, pod wieloma względami dużo bezpieczniejszym niż podpis własnoręczny. Ale nie zwalnia to z obowiązku zachowania ostrożności - nawet gdy sprzedawca wmawia nam, że produkt jest w 100% bezpieczny. Tak samo jak homologacja pojazdu mechanicznego i zainstalowanie poduszek powietrznych nie zwalnia z obowiązku ostrożnej jazdy.

Prof. Mirosław Kutyłowski

Politechnika Wrocławska