![[Pewne prawa zastrzeżone]](by-nc-nd.eu.png "Pewne prawa zastrzeżone")
Wbrew entuzjastycznym stwierdzeniom części prasy codziennej wydaje się, iż w rzeczywistości - przynajmniej na razie - zmieni się niewiele. Elektroniczny podpis już od jakiegoś czasu funkcjonuje w mniejszym czy większym zakresie w naszej gospodarce; stosują go np. firmy przy składaniu zamówień w relacjach business-to-business, stosują go banki i inne instytucje finansowe świadczące usługi elektroniczne. Używa go ZUS w swoim niesławnym "Programie Płatnika" - zresztą to właśnie dla jego potrzeb stworzone zostało pierwsze polskie centrum certyfikacyjne. Bywa wreszcie używany także w prywatnej korespondencji - nierzadko zdarza mi się otrzymywać od różnych osób e-maile podpisane elektronicznie, chociażby z wykorzystaniem popularnego programu PGP (o którym pisaliśmy w MI już w 1997 r.!).
Nie wydaje się, aby wejście w życie ustawy miało coś w tym zakresie zmienić. Co prawda do tej pory np. elektroniczna komunikacja pomiędzy dwiema firmami czy między klientem a bankiem była z prawnego punktu widzenia możliwa dopiero po podpisaniu tradycyjnej, papierowej umowy akceptującej taką formę przekazu informacji. Teraz nie będzie już konieczne jawne umieszczanie takich klauzul w umowach, a samą umowę będzie można - przynajmniej w teorii - zawrzeć całkowicie elektronicznie. Mimo wszystko trudno jednak wyobrazić sobie firmę, która zda się całkowicie na elektroniczne środki komunikacji i zechce robić interesy z partnerem, z którym ani razu nie spotka się "oko w oko" przy negocjacyjnym stole. Papierowe umowy zatem zapewne długo jeszcze pozostaną w łaskach. Prędzej można spodziewać się całkowicie elektronicznego zawierania umów w relacjach firma-konsument, chociażby w bankach elektronicznych czy internetowych sklepach. Te ostatnie w Polsce do tej pory stosowały zazwyczaj jakąś dodatkową, pozainternetową formę potwierdzania złożonego zamówienia - np. drogą telefoniczną. Pod rządami nowej ustawy powinien wystarczyć im do tego celu - przynajmniej teoretycznie - elektroniczny podpis.
Najwięcej do zdziałania wydaje się mieć podpis elektroniczny - i zresztą w tej dziedzinie najwięcej się po nim spodziewano - w relacjach między obywatelem a urzędem państwowym czy samorządowym. Abyśmy jednak mogli podania do urzędów wysyłać e-mailem (co, nawiasem mówiąc, dopuszcza - choć wciąż tylko w teorii - Kodeks Postępowania Administracyjnego), potrzeba zmian w prawie głębszych niż sama tylko ustawa o elektronicznym podpisie. Choćby taka pozornie drobna kwestia, podnoszona od lat m.in. przez uczestników konferencji "Miasta w Internecie", jak opłaty skarbowe. Większość wniosków kierowanych do urzędów takich opłat wymaga. Niezbędna jest zatem zmiana rozporządzenia określającego sposób ich uiszczania, gdyż do tej pory istnieje tylko jedna akceptowana przez prawo forma: naklejenie znaczków opłaty skarbowej na dokument. Nie można np. dokonać przelewu ze swojego konta w banku internetowym na wskazane, specjalnie wydzielone w tym celu konto urzędu... Ustawa przewiduje, że odpowiednie dostosowanie przepisów w tym zakresie ma się dokonać w przeciągu roku od jej wejścia w życie (co nastąpi 16 sierpnia 2002 r.). Najważniejsza zaś w istocie jest modyfikacja tzw. instrukcji kancelaryjnej, czyli rozporządzenia Rady Ministrów szczegółowo regulującego zasady funkcjonowania urzędów, gdyż to od niej de facto zależy, na jakich zasadach i w jakiej postaci - i czy w ogóle - dokumenty elektroniczne będą przez urzędy przyjmowane. Tu ustawa daje administracji publicznej aż cztery lata od momentu jej wejścia w życie na umożliwienie składania podań i wniosków drogą elektroniczną.
Widząc już, że ustawa nie spowoduje rewolucji, niewątpliwie jednak warto się zapoznać z wprowadzanymi przez nią regulacjami, gdyż ten akt prawny bez wątpienia jest ważnym i niezbędnym krokiem na drodze do owego trochę już mitycznego społeczeństwa informacyjnego.
Tego rodzaju podpisy elektroniczne mają jednak w ustawie marginalne znaczenie; istotnym przedmiotem jej zainteresowania jest tzw. bezpieczny podpis elektroniczny, czyli taki podpis, który zapewnia potwierdzenie autentyczności oraz integralności dokumentu - czyli tego, że faktycznie podpisała go wymieniona w nim osoba oraz że po podpisaniu nie dokonano w nim żadnej zmiany. Zazwyczaj taki właśnie podpis mamy też na myśli używając pojęcia "podpis elektroniczny" w informatyce.
Zauważmy, że tej ostatniej cechy - tzn. potwierdzenia integralności - nie zapewnia tradycyjny podpis odręczny na papierowym dokumencie. Treść podpisanego dokumentu można przecież już po jego podpisaniu zmienić w sposób trudny bądź nawet niemożliwy do wykrycia dla kogoś, kto będzie ten dokument oglądał. Pod tym względem podpis elektroniczny jest zatem znacznie bezpieczniejszy od tradycyjnego.
Do praktycznej realizacji podpisu elektronicznego wykorzystuje się zazwyczaj tzw. szyfrowanie asymetryczne, zwane też inaczej szyfrowaniem z kluczem publicznym. W przeciwieństwie do tradycyjnego szyfrowania, tzw. symetrycznego (znanego chociażby z filmów szpiegowskich), w którym używany jest jeden, wspólny dla obydwu komunikujących się ze sobą stron tajny klucz do szyfru, szyfrowanie z kluczem publicznym wykorzystuje dwa osobne klucze (a przy dwukierunkowym przekazie informacji nawet cztery, gdyż każda ze stron musi mieć swoją własną parę kluczy). Jeden z kluczy, używany do szyfrowania wiadomości, nazywa się kluczem publicznym. Nazwa ta pochodzi stąd, że klucz ten musi znać każdy, kto chce wysłać posiadaczowi klucza zaszyfrowaną wiadomość. Drugi z kluczy to klucz prywatny - ten służy do rozszyfrowywania i należy strzec go jak oka w głowie; nie może go znać nikt poza jego właścicielem. Znając klucz publiczny nie można poznać klucza prywatnego - tzn. jest to teoretycznie możliwe, ale przy współczesnym stanie wiedzy niewykonalne obliczeniowo. W najczęściej używanym do szyfrowania asymetrycznego algorytmie RSA klucz prywatny składa się z dwu dużych (rzędu 100 cyfr) liczb pierwszych, zaś klucz publiczny jest ich iloczynem. Metoda złamania szyfru - czyli odtworzenia klucza prywatnego, mając dany klucz publiczny - jest zatem teoretycznie oczywista: należy tę liczbę rozłożyć na czynniki pierwsze. Bezpieczeństwo szyfru płynie stąd, że przy użyciu wszystkich aktualnie znanych metod matematycznych operacja rozkładu tak dużej liczby na czynniki trwa niezwykle długo - szacuje się, że dla klucza 1024-bitowego, powszechnie stosowanego obecnie w programach szyfrujących, przy wykorzystaniu najsilniejszych dostępnych komputerów trwałaby ona około 6,5 miliona lat (szacunki z 1996 r.).
Algorytm szyfrowania z kluczem publicznym skonstruowany jest tak, że to, co zostanie zaszyfrowane kluczem publicznym, może być odszyfrowane jedynie kluczem prywatnym z tej samej pary. Działa to jednak również w odwrotną stronę: to, co zostanie zaszyfrowane moim kluczem prywatnym, może być odszyfrowane przez każdego, kto zna mój klucz publiczny. Oczywiście taki szyfr, który każdy może odczytać, jest zupełnie nieskuteczny jako szyfr - sprawdza się natomiast znakomicie właśnie jako podpis elektroniczny. Otóż fakt, że wiadomość daje się odszyfrować moim kluczem publicznym, stanowi dowód, że w istocie musi ona pochodzić ode mnie - gdyż tylko ja posiadam klucz prywatny, niezbędny do jej zaszyfrowania (zakładając, że nikt mi go nie wykradł, o czym nieco dalej...). Wyklucza to więc możliwość podszycia się pode mnie kogokolwiek.
W praktyce przy tworzeniu elektronicznego podpisu szyfrowaniu kluczem prywatnym nie podlega cała wiadomość, lecz jej tzw. skrót kryptograficzny - kilkunasto- bądź kilkudziesięciobajtowa wartość, obliczona na podstawie treści wiadomości za pomocą specjalnej tzw. funkcji mieszającej (hash function). Funkcje takie mają tę właściwość, że praktycznie niemożliwe jest skonstruowanie dwóch wiadomości, które dawałyby identyczny wynik funkcji mieszającej - stąd najdrobniejsza nawet zmiana w treści dokumentu daje inną wartość skrótu, a zatem i inny elektroniczny podpis. Mamy zatem weryfikację integralności.
Jedną z prostych metod weryfikacji autentyczności klucza jest sprawdzenie tzw. odcisku klucza. Dysponując czyimś kluczem publicznym możemy nakazać programowi szyfrującemu wyświetlenie jego odcisku (fingerprint) - kilkunastu cyfr będących w istocie skrótem kryptograficznym klucza. Możemy następnie skontaktować się z osobą będącą przypuszczalnym posiadaczem klucza np. telefonicznie, poprosić o podyktowanie odcisku jej klucza i sprawdzić, czy odciski te się zgadzają. Metoda ta także jednak wymaga dodatkowego kontaktu odbiorcy wiadomości z jej nadawcą.
Optymalnym rozwiązaniem problemu weryfikacji autentyczności kluczy jest ich certyfikowanie. Certyfikowanie klucza polega na dołączeniu do niego informacji o tożsamości właściciela klucza i elektronicznym podpisaniu tak utworzonego dokumentu (certyfikatu) własnym kluczem prywatnym przez tzw. zaufaną trzecią stronę (trusted third party, TTP), która tym samym potwierdza tożsamość osoby, do której należy klucz.
Tą zaufaną trzecią stroną wystawiającą certyfikat jest zazwyczaj specjalny tzw. urząd certyfikacyjny (certification authority, CA). Może to być "prawdziwy" urząd państwowy bądź komercyjna firma, której wiarygodność została w odpowiedni sposób potwierdzona (najbardziej znanym urzędem certyfikacyjnym na świecie jest amerykańska firma VeriSign, wystawiająca certyfikaty dla "bezpiecznych" serwerów WWW, stosowanych np. w handlu internetowym - zaufanie do niej opiera się m.in. na fakcie, że klucze publiczne służące do weryfikacji wystawionych przez nią certyfikatów wbudowane są w przeglądarki WWW). Urzędy certyfikacyjne zorganizowane są w pewną hierarchię, zwaną infrastrukturą klucza publicznego (public key infrastructure, PKI). Na jej szczycie stoi główny urząd certyfikacyjny (root CA), stanowiący podstawę całego systemu. Główny urząd certyfikacyjny nie wystawia bezpośrednio certyfikatów żadnym użytkownikom końcowym, lecz jedynie certyfikuje klucze urzędów niższego szczebla, a dopiero te obsługują użytkowników. Hierarchia ta może być jeszcze bardziej rozbudowana: pomiędzy głównym CA a końcowym użytkownikiem może znajdować się kilka szczebli urzędów certyfikacyjnych, które kolejno certyfikują swoje klucze. Rozproszenie funkcji certyfikacyjnych ma na celu ograniczenie skutków ewentualnego ujawnienia klucza prywatnego któregoś z CA, tak czy owak jednak bezpieczeństwo całego systemu zależy de facto od bezpieczeństwa klucza prywatnego głównego CA - jego ujawnienie podaje bowiem w wątpliwość wiarygodność wszystkich elektronicznych podpisów! Dlatego powinien on być chroniony w najlepszy możliwy sposób, zaś odpowiadający mu klucz publiczny - podany do wiadomości w sposób nie budzący wątpliwości co do jego autentyczności (np. poprzez wydrukowanie jego odcisku w Dzienniku Ustaw lub podobnym organie urzędowym).
Alternatywne podejście do kwestii wystawiania certyfikatów przyjęto w popularnym programie do szyfrowania poczty elektronicznej PGP. Program ten realizuje koncepcję tzw. sieci zaufania (web of trust), w której użytkownicy certyfikują sobie nawzajem klucze. Każdy może certyfikować klucz publiczny każdego, a nasze zaufanie do prawdziwości danego klucza zależeć będzie od liczby posiadanych przez niego certyfikatów, jak również zaufania do osób, które te certyfikaty wystawiły. Taki model certyfikacji może być odpowiedni dla korespondencji prywatnej, ale nie zapewnia on możliwości jednoznacznego, formalnego potwierdzenia lub zaprzeczenia autentyczności podpisu - nie nadaje się zatem do zastosowań "urzędowych", w których podpis elektroniczny miałby wywoływać skutki prawne. Stąd też w ustawie o podpisie elektronicznym przyjęto oczywiście model certyfikacji opierający się na urzędach certyfikacyjnych.
Klucze użytkownik może wygenerować sobie sam, korzystając z odpowiedniej opcji w programie szyfrującym, lub może to zrobić za niego urząd certyfikacyjny. Ten drugi wariant wydaje się być nieco mniej bezpieczny, gdyż wówczas przynajmniej teoretycznie istnieje możliwość, że nasz klucz prywatny może znać jeszcze ktoś poza nami. Urzędy certyfikacyjne powinny co prawda dbać o maksymalne bezpieczeństwo przechowywanych danych i całego procesu certyfikacji - ale w tym przypadku nadmiar ostrożności nie zaszkodzi... Niemniej jednak polska ustawa o podpisie elektronicznym dopuszcza zarówno jeden, jak i drugi sposób generowania kluczy, wprowadzając zarazem absolutny zakaz ujawniania kluczy prywatnych komukolwiek przez urzędy certyfikacyjne i ich pracowników (art. 10, 12, 38). Formułuje też pod adresem CA wyraźne zalecenie, aby proces generowania kluczy zorganizowały tak, by klucz prywatny tworzony był tylko w jednym egzemplarzu. Ta ochrona kluczy prywatnych wydaje się być oczywista, warto jednak ją podkreślić w świetle wcześniejszego rządowego projektu ustawy, który wręcz zakładał możliwość ujawnienia wszystkich kluczy prywatnych służbom specjalnym!
O ochronę naszego klucza prywatnego musimy jednak zadbać przede wszystkim sami. Ochrona ta może wyglądać różnie w zależności od formy, w jakiej klucz jest zapisany. W stosowanych dotychczas rozwiązaniach wykorzystujących podpis elektroniczny (choćby wspomnianym już kilkakrotnie PGP) stosowany jest najprostszy sposób zapisu klucza - w postaci pliku na dysku lub dyskietce. W takiej postaci klucz nie jest zbyt bezpieczny; łatwo można go skopiować. Dlatego przy zapisywaniu klucza w postaci pliku jest on dodatkowo zabezpieczany poprzez zaszyfrowanie szyfrem symetrycznym, do którego kluczem jest hasło znane tylko użytkownikowi (tzw. passphrase). Podpisując dokument takim kluczem musimy owo hasło każdorazowo podać. Podanie błędnego hasła spowoduje nieprawidłowe rozszyfrowanie klucza prywatnego i w efekcie niemożliwość jego użycia.
Warto jednak zauważyć, iż jest to zabezpieczenie niedoskonałe. Jeżeli użytkownik wymyśli sobie krótkie hasło, atakujący chcący wejść w posiadanie jego klucza może spróbować - po skopiowaniu pliku z kluczem - złamać je metodą "brute force" (brutalnej siły), czyli wypróbowywania po kolei wszystkich możliwych kombinacji. Dla dłuższych i bardziej skomplikowanych haseł metoda ta jest nieskuteczna, tu atakujący może jednak spróbować zainstalowania na komputerze ofiary programu typu koń trojański, przechwytującego wszystkie znaki wprowadzane z klawiatury - i w ten sposób pozna hasło.
Dlatego najbezpieczniejszą metodą przechowywania klucza jest korzystanie ze sprzętowego elementu szyfrującego w postaci specjalnej karty mikroprocesorowej. Karta taka, wkładana do specjalnego czytnika przyłączonego do komputera, przechowuje klucze prywatny i publiczny w swojej pamięci i udostępnia je na żądanie programu. Tu jednak uwaga! Jeżeli mamy do czynienia z prostą kartą, działającą na zasadzie nieco ulepszonej dyskietki - tzn. przesyłającą ze swojej pamięci do komputera cały klucz prywatny - to zawartość takiej karty można skopiować niemal równie łatwo, jak pliku na dysku. Karta mikroprocesorowa używana do zastosowań kryptograficznych powinna działać w taki sposób, aby klucz prywatny znajdował się przez cały czas wewnątrz karty i nigdy stamtąd się nie wydostawał. Karta taka zatem na początku jej użytkowania sama generuje parę kluczy, udostępniając na zewnątrz wyłącznie klucz publiczny, a prywatny zapisując w obszarze swojej pamięci niemożliwym do odczytania z zewnątrz. Sama też szyfruje (podpisuje) tym kluczem dane - komputer przesyła do karty dane przeznaczone do zaszyfrowania, po czym odbiera z niej dane zaszyfrowane, nie mając możliwości poznania samego klucza. Skopiowanie zawartości takiej karty jest w zasadzie niemożliwe bez jej zniszczenia (a i w przypadku zniszczenia niepewne), tak więc intruz musiałby taką kartę fizycznie ukraść. Nawet jednak i w takim wypadku będzie mu trudno jej użyć, gdyż karta jest zazwyczaj zabezpieczona kodem PIN, którego podanie jest niezbędne do wygenerowania przez kartę podpisu, zaś kilkukrotne błędne podanie PIN-u powoduje zablokowanie karty. Oprócz kradzieży karty intruz musi zatem poznać nasz PIN (uwaga - tu także skutecznym narzędziem może się okazać koń trojański!).
Na temat ustawy o podpisie elektronicznym przez wiele miesięcy przed jej przyjęciem intensywnie dyskutowano, podkreślając zarówno dobre, jak i złe strony zaproponowanych rozwiązań. Spróbujmy je pokrótce zestawić.
Najważniejszym stwierdzeniem ustawy jest niewątpliwie zrównanie pod względem prawnym podpisu elektronicznego z podpisem odręcznym (art. 5), "chyba że przepisy odrębne stanowią inaczej" (zatem w ściśle określonych przypadkach dla pewnych typów dokumentów może być nadal wymagany wyłącznie podpis odręczny). Zarazem ustawa dokonuje (art. 54) odpowiednich zmian w Kodeksie Cywilnym, uznając formę elektroniczną dokonania czynności prawnej (np. zawarcia umowy) z wykorzystaniem podpisu elektronicznego za równoważną formie pisemnej. To w istocie najważniejsze zapisy ustawy, otwierające drogę do korzystania z dokumentów elektronicznych wszędzie tam, gdzie dotychczas wymagany był "papier".
Nie każdy podpis elektroniczny jednak będzie mieć taką moc prawną, a jedynie "bezpieczny podpis elektroniczny weryfikowany przy pomocy ważnego kwalifikowanego certyfikatu", jak nazywa to ustawa. O pojęciu bezpiecznego podpisu wspominaliśmy już wcześniej; warto jednak zauważyć, że ustawa wymaga od bezpiecznego podpisu nie tylko tego, aby zapewniał autentyczność i integralność dokumentu, ale także tego, iż musi on być złożony za pomocą urządzeń spełniających warunki techniczne, które ma określić Rada Ministrów w stosownym rozporządzeniu. Wiele zatem w praktyce będzie zależeć od tego rozporządzenia - czy wymagane będą karty mikroprocesorowe, czy też dopuszczalne będą również rozwiązania czysto programowe? Czy nie zostaniemy aby przypadkiem znowu - jak w przypadku nieszczęsnego ZUS-owskiego "Płatnika" - uszczęśliwieni "jedynie słusznym" rozwiązaniem, przeznaczonym dla jednego tylko systemu operacyjnego? Dość niepokojąco brzmi w tym kontekście wypowiedź przedstawiciela jednej z polskich firm zajmujących się obecnie wystawianiem certyfikatów, że dla skorzystania z podpisu elektronicznego "nie trzeba instalować dodatkowych programów - zarówno Microsoft Explorer, jak i Windows 2000 oraz Office 2000 mają wbudowane moduły certyfikacyjne" (cyt. za "Chip" 12/2001).
Kolejnym elementem wymaganym od ważnego prawnie elektronicznego podpisu jest posiadanie "kwalifikowanego certyfikatu". Certyfikaty, według ustawy, wystawiać może każdy - każda firma może zarejestrować działalność gospodarczą w tym zakresie, mogą to robić także banki oraz urzędy państwowe i samorządowe. Jednak aby podpis elektroniczny miał skutki prawne określone w ustawie, certyfikat musi być "kwalifikowany", tzn. musi być wystawiony przez CA znajdujący się na specjalnej liście prowadzonej przez ministra gospodarki. Teoretycznie na listę tę powinien być wpisany każdy CA, który złoży odpowiedni wniosek i spełni określone w ustawie warunki. Ustawa zawiera jednak dość ogólny zapis mówiący, iż minister może odmówić wpisania na listę, gdy w dokumentach złożonych przez CA "są zamieszczone postanowienia mogące zagrażać bezpieczeństwu lub w inny sposób naruszać interes odbiorców usług certyfikacyjnych". Trudno z góry powiedzieć, jak ów zapis będzie interpretowany - tu znów wiele zależeć będzie od szczegółowych rozporządzeń oraz od zwykłej urzędniczej praktyki...
Nie bardzo też wiadomo, jak rozumieć art. 8 ustawy, mówiący iż "nie można odmówić ważności i skuteczności" podpisowi elektronicznemu, który nie ma "kwalifikowanego" certyfikatu. Z jednej strony - co podkreśla się w całej ustawie - nie pociąga on za sobą takich skutków prawnych jak podpis "kwalifikowany", a z drugiej - "nie można odmówić mu skuteczności". Co to właściwie znaczy? Prawnicy będą mieli zapewne pole do popisu w sądach...
Ustawa wprowadza dwustopniową hierarchię urzędów certyfikacyjnych dla "kwalifikowanych" CA (o innych w ustawie właściwie się nie wspomina). Rolę głównego urzędu certyfikacyjnego powierza ministrowi gospodarki, który ma wystawiać certyfikaty (w ustawie nazywane "zaświadczeniami certyfikacyjnymi" dla odróżnienia od certyfikatów wystawianych użytkownikom końcowym) urzędom certyfikacyjnym znajdującym się na wspomnianej wcześniej liście. Istnieje jednak możliwość przekazania przez ministra tej funkcji wybranej w drodze przetargu firmie spełniającej warunki wymagane dla "kwalifikowanych" CA. (Firma ta nie będzie mogła wówczas wystawiać certyfikatów końcowym użytkownikom). I tu ustawa zawiera mocno kontrowersyjny zapis, krytykowany przez znaczną część środowiska teleinformatycznego - rezerwuje bowiem prawo pierwszeństwa w tym zakresie dla Narodowego Banku Polskiego lub firmy zależnej od niego. Innymi słowy - jeżeli prezes NBP zażyczy sobie, aby NBP lub zależna od niego firma pełniły funkcję głównego CA, to minister musi mu tę funkcję powierzyć. Zapis ten (art. 23.5) pozostaje w niejakiej sprzeczności z poprzednim przepisem, mówiącym o wyłonieniu firmy pełniącej funkcję głównego CA w trybie przetargu (art. 23.4).
O ile ów punkt ustawy zostanie utrzymany w mocy (w szeregu publikacji sugeruje się bowiem, iż powinien zostać zaskarżony do Trybunału Konstytucyjnego jako niezgodny zarówno z konstytucją, jak i traktatem stowarzyszeniowym z Unią Europejską), funkcja głównego urzędu certyfikacyjnego wedle wszelkiego prawdopodobieństwa przypadnie utworzonej przez NBP firmie Centrast, która rozpoczęła działalność pod koniec 2001 r. To najprawdopodobniej właśnie wskutek nacisków osób związanych z tą firmą wspomniany zapis został "tylnymi drzwiami" wprowadzony do ustawy przez komisję senacką (wersja uchwalona pierwotnie przez Sejm tego punktu nie zawierała). Mamy zatem do czynienia z kolejnym przypadkiem tworzenia ustawowego monopolu, podobnie jak ma to miejsce w przypadku TPSA, i z tego względu istotnie pożyteczne byłoby doprowadzenie do uchylenia tego przepisu jeszcze przed wejściem ustawy w życie.
Poza omówionymi najważniejszymi regulacjami resztę ustawy wypełniają właściwie przepisy o charakterze porządkowo-organizacyjnym, określające zasady funkcjonowania całej infrastruktury klucza publicznego (a także przepisy karne, przewidujące m.in. do 3 lat więzienia za posługiwanie się fałszywym lub cudzym certyfikatem). Wyjąwszy ów niefortunny zapis dotyczący głównego CA, w sumie ustawę należy uznać za dobrą i dość rozsądnie regulującą kwestię elektronicznego podpisu. Teraz pozostaje tylko czekać na to, jak w praktyce będzie wyglądała jej realizacja...
Absolutnie niezbędne wydaje się też ścisłe określenie standardów i formatów dokumentów, które będziemy podpisywać elektronicznie. Inaczej prawie na pewno narażeni będziemy na "radosną twórczość" różnych urzędów, z których każdy wprowadzał będzie własne "standardy". Również prawie z całkowitą pewnością można przewidzieć, że "standardy" te będą przeznaczone tylko dla jednej platformy (Bill Gates powinien się bardzo cieszyć z tego, że polska administracja tak mocno popiera stosowanie wyłącznie jego produktów...), czego efektem będzie wykluczenie z góry pewnej grupy obywateli z możliwości posługiwania się podpisem elektronicznym. Niebezpieczeństwo to możemy zaobserwować już na przykładzie samej ustawy o podpisie elektronicznym, która oprócz formy tradycyjnej została podpisana przez prezydenta Aleksandra Kwaśniewskiego również właśnie elektronicznie. (Oczywiście podpis ten ma charakter czysto pokazowy, bez żadnej mocy prawnej, gdyż ustawa nie weszła przecież jeszcze w życie!) Tekst ustawy jest wprawdzie zapisany w teoretycznie niezależnym od platformy formacie PDF - ale z wykorzystaniem najnowszej jego wersji, dla której programy odczytujące dostępne są wyłącznie pod Windows 95 lub nowsze... Nie udało mi się odczytać pliku z ustawą za pomocą wersji Acrobat Readera dostępnej aktualnie dla systemów unixowych, ani nawet wersji dla starych, 16-bitowych systemów Windows. Zaś program E-lock, przy użyciu którego podpisany został dokument, i który, jako "wtyczka" do Acrobat Readera, umożliwia weryfikację podpisu (por. rys.), dostępny jest - bez żadnych niejasności - już tylko dla Windows. Nawet sam opis sposobu weryfikacji podpisu umieszczony został na stronie WWW w postaci dokumentu Worda... Jeżeli zatem kwestia formatu elektronicznych dokumentów nie zostanie jakoś uregulowana, to najprawdopodobniej grozić nam będzie powtórka z "Płatnika", tym razem jednak na znacznie większą i poważniejszą skalę.
Warto też zdawać sobie sprawę, że budowa uniwersalnego, powszechnie akceptowanego na skalę kraju systemu podpisów elektronicznych jest zadaniem bardzo żmudnym i obliczonym na wiele lat. Nie udało się tego jak dotąd jeszcze dokonać żadnemu z krajów mających już wcześniej ustawy o podpisie elektronicznym - nigdzie na świecie nie doprowadzono do takiej sytuacji, aby obywatel miał jeden, uniwersalny certyfikowany klucz, którego używałby do elektronicznego podpisywania wszystkich dokumentów we wszelkich zastosowaniach, tak jak zwykłego odręcznego podpisu. Zazwyczaj osoba korzystająca z podpisu elektronicznego musi mieć wiele różnych kluczy (a często i wiele różnych programów używających tych kluczy), z których każdy służy do innego celu - jeden do banku, drugi do drugiego banku, inny do zeznań podatkowych, a jeszcze inny do ubezpieczeń... To tak, jakbyśmy na każdym dokumencie - w zależności od jego rodzaju - musieli podpisywać się inaczej. Z jednej strony jest to korzystniejsze ze względów bezpieczeństwa (mniejsze ryzyko związane z ewentualną utratą któregoś z kluczy), ale czy jesteśmy w stanie zaakceptować taki elektroniczny podpis? Czy nie uznamy go raczej za utrudnienie w stosunku do "zwykłego" podpisu, który przynajmniej mamy zawsze jeden i ten sam?
Póki co, możemy poćwiczyć korzystanie z elektronicznego podpisu używając próbnych certyfikatów, które wydają trzy funkcjonujące już w Polsce centra certyfikacyjne. Są to: Certum (http://www.certum.pl/), prowadzone przez szczecińską firmę Unizeto, Signet (http://www.signet.pl/), należące do grupy kapitałowej TP S.A. oraz Polcert (http://www.polcert.pl/), którego założycielem jest Telbank. Pierwsza z tych firm ma już bardzo poważną pozycję na rynku usług certyfikacyjnych, gdyż to ona właśnie jest jedynym wystawcą certyfikatów wykorzystywanych w ZUS-owskim "Programie Płatnika". Centrum certyfikacyjne Signet dało się poznać szerszej publiczności przy okazji podpisania ustawy - to ono bowiem właśnie wydało certyfikat, którego prezydent użył do jej elektronicznego podpisania. Poza tym Signet nie świadczy obecnie jeszcze żadnych usług komercyjnych, ograniczając się do oferowania testowych certyfikatów do elektronicznego podpisywania e-maili. Najmłodszy w tym gronie Polcert w przeciwieństwie do swoich konkurentów niczym się jeszcze nie "wsławił", ale za to oferuje już komercyjne wystawianie certyfikatów przeznaczonych do zastosowania w transakcjach elektronicznych.
Kilka lat temu funkcjonowało w Polsce przedstawicielstwo firmy Thawte, drugiego najbardziej znanego po VeriSign na świecie urzędu certyfikacyjnego. Po wykupieniu Thawte przez VeriSign przedstawicielstwo to zaprzestało działalności, natomiast obecnie właśnie VeriSign przymierza się do rozpoczęcia świadczenia usług certyfikacyjnych w Polsce. Biorąc pod uwagę wspomniany już wcześniej ogromny atut tej firmy, jakim jest wbudowanie jej kluczy publicznych w przeglądarki WWW, a nawet sam system Windows, można wróżyć jej polskiemu oddziałowi wielkie powodzenie.
Jak na razie jednak każda z tych firm jest "sama sobie sterem, żeglarzem, okrętem", czyli posiada zarówno własny główny CA, jak i CA wystawiający certyfikaty użytkownikom (certyfikowany przez główny CA). Sytuacja ta będzie oczywiście musiała ulec zmianie po wejściu w życie ustawy, jeżeli firmy te będą chciały (co raczej nie ulega wątpliwości) zostać "kwalifikowanymi" CA. Wówczas będą musiały otrzymać certyfikat od głównego CA i nim posługiwać się przy wystawianiu certyfikatów swoim klientom.
Więcej informacji:
Jarosław Rafa 2001.
Tekst udostępniony na licencji Creative Commons (uznanie autorstwa -
użycie niekomercyjne - bez utworów zależnych). Kliknij tutaj, aby dowiedzieć się, co to oznacza i co
możesz z tym tekstem zrobić. W razie jakichkolwiek wątpliwości
licencyjnych bądź w celu uzyskania zgody na rozpowszechnianie wykraczające
poza warunki licencji proszę o kontakt e-mailem: raj@ap.krakow.pl.
Wersja HTML opracowana 11.01.2002, ostatnia aktualizacja adresów 15.06.2002.
 Powrót do wykazu artykułów o Internecie
|
Statystyka 
|