Vyšlo na Lupě, 22.8.2003
Vytištěno z adresy: http://www.earchiv.cz/b03/b0822001.php3

Elektronický podpis, verze 2.0

Připravovaná novela zákona o elektronickém podpisu chystá poměrně hluboké změny. Kromě souladu s požadavky EU usiluje o zavedení časových razítek, a vedle dosavadního elektronického podpisu zavádí ještě jednu variantu s poněkud odlišným statutem, která vychází vstříc potřebám "automatizovaného podepisování". Například různými on-line službami, servery apod.

Zákon o elektronickém podpisu u nás platí již od roku 2000, a za tu dobu byl jen jednou drobně novelizován. Aplikací samotného elektronického podpisu v praxi je sice stále jako šafránu (čest výjimkám), ale přesto se již ukázaly některé věci, které je zapotřebí novelizovat. Systematicky se jimi zabývala tzv. Bílá kniha elektronického obchodu, která identifikovala následující problémové oblasti:

  • absenci tzv. časových razítek. Bez nich nemusí být zřejmé, zda zpráva existovala v určitém čase, zda byla podepsána v době platnosti certifikátu atd.
  • možnost používat v ČR i zahraniční certifikáty. To mj. znamená eliminovat požadavek, aby kvalifikovaný certifikát byl vydán v ČR.
  • potřebu vyjít vstříc "automatizovanému podepisování", bez přímé účasti člověka.

Vládní usnesení č. 474 z května t.r., které schválilo Bílou knihu, pak vyřešení těchto tří oblastí zadalo jako úkol ministru informatiky, když mu uložilo

zpracovat a předložit vládě do 31. prosince 2003
a) návrh zákona novelizující zákon č. 227/2000 Sb., o elektronickém podpisu, ve znění pozdějších předpisů, tak, aby bylo navrženo opatření odstraňující v § 12 jako náležitost kvalifikovaného certifikátu vydaného podle tohoto zákona to, že byl vydán v České republice a aby bylo navrženo opatření směřující k implementaci institutu "autorizované datové zprávy vytvořené elektronickým agentem autorizující osoby" a institutu "časového razítka",

Návrh takovéto novely je již na světě, a právě vstupuje do mezirezortního připomínkového řízení. Plné znění návrhu najdete na webu MI ČR (zde), a pokud se k němu chcete také vyjádřit, můžete své připomínky zadat zde. Termín je ovšem tradičně šibeniční, do 1.9.2003.

Autentizační data

Zastavme se u nejprve u poslední z oblastí, identifikovaných v Bílé knize, a pokusme si rozebrat, o co se jedná a co bylo cílem. Co má být "autorizovanou datovou zprávou, vytvořenou elektronickým agentem autorizující osoby", jak po tom volá vládní usnesení?

Rozhodně nejde o zavedení nějakého "vlastnoručního podpisu programu". Jde o řešení situací typu: existuje veřejná databáze (představujme si třeba Obchodní rejstřík, Katastr nemovitostí apod.), které uživatelé kladou on-line způsobem své dotazy a ona generuje odpovědi. Aby tyto odpovědi nezůstávaly pouze nezávaznou informací, musí získat nějaký formální statut. Ten by jim mohl dát elektronický podpis, ale podle současné úpravy by to znamenalo, že každý dotaz by musel podepsat svým elektronickým podpisem konkrétní člověk. To samozřejmě není únosné, a tak se hledá jiná cesta. Tou by měl být právě onen "elektronický agent" (program), pracující pro "autorizující osobu" (provozovatele databáze, resp. registru, serveru atd.). A k tomu je samozřejmě nutné upravit zákon ….

Novela řeší výše uvedenou potřebu tím, že vedle dosavadního konceptu "elektronického podpisu" zavádí souběžně ještě jeden koncept, pro který zvolila (podle mého názoru ne moc šťastně) označení "autentizační data". Po technické stránce jde vlastně o to samé, jako v případě dosavadního elektronického podpisu. Velmi zjednodušeně: vezme se zpráva a privátní klíč, a vše se "semele". Výsledkem je "kus dat", který se připojí k původní zprávě, v roli jejího zabezpečení.

Rozdíl je pak v tom, že zmíněný "kus dat", připojovaný k samotné zprávě v roli jejího elektronického podpisu, již není označován jako "elektronický podpis", ale právě jako "autentizační data". Jelikož ale "elektronický podpis" i "autentizační data" jsou po věcné stránce jedno a totéž, poskytují také obdobné zabezpečení zprávy. Tedy:

  • identifikaci: určení identity osoby, která zprávu podepsala, resp. připojila k ní autentizační data
  • autentizaci (v užším slova smyslu): ověření identity osoby, která zprávu podepsala/opatřila autentizačními daty
  • integritu: detekci, zda se zpráva od podpisu/opatření autentizačními daty změnila či nezměnila

Rozdíl je naopak v tom, kdo a jak smí vytvářet elektronický podpis, resp. autentizovat zprávy (opatřovat je autentizačními daty). V případě elektronického podpisu může být podepisující osobou pouze fyzická osoba, v případě autentizace může být autentizující osobou jak osoba fyzická, tak také osoba právnická nebo státní orgán.

Odlišný je samozřejmě i statut "elektronicky podepsané" a "autentizované" (autentizačními daty opatřené) zprávy - přesnější popis rozdílu bych ale raději ponechal právníkům, stejně jako otázku toho, zda pro autentizovanou zprávu (zprávu opatřenou autentizačními údaji) platí také tzv. nepopiratelnost (neodmítnutelnost, anglicky: non-repudiation).

Časová razítka

Novela také zavádí do praxe koncept časových razítek. O co se jedná a jak to zhruba funguje, naznačuje následující pasáž z důvodové zprávy:

Zavádí se pojem "kvalifikované časové razítko". Při elektronické komunikaci je poměrně často nezbytné určit, zda datová zpráva existovala v určitém čase. V souvislosti s elektronickým podpisem může být důležité zjištění, zda byla datová zpráva elektronicky podepsána v době platnosti certifikátu, na kterém je elektronický podpis založen, resp. zda byla podepsána dříve, než byl certifikát zneplatněn.

V praxi se označování časovým razítkem děje tak, že osoba, která chce mít datovou zprávu časovým razítkem označenou, ji zašle poskytovateli, ten ji náležitě a důvěryhodným způsobem označí časovým razítkem a zašle zpět. Datová zpráva se neposílá ve tvaru, ve kterém vznikla, ale posílá se její jednoznačná reprezentace (hash). Předpokladem náležitého fungování tohoto systému je používání vhodných prostředků a postupů na straně poskytovatele (synchronizace, důvěryhodný zdroj času, technické vybavení apod.) ….

Novela proto definuje potřebné náležitosti pro zavedení a používání časových razítek, včetně náležitostí na straně poskytovatelů. Rozšiřuje mj. repertoár služeb, poskytovaných poskytovateli certifikačních služeb, právě o poskytování "kvalifikovaných časových razítek" (a mj. také o poskytování kvalifikovaných systémových certifikátů, které jsou používány v souvislosti s opatřováním zpráv autentizačními daty, a o vydávání prostředků pro bezpečné vytváření elektronických podpisů).

Evropský rozměr

Novela plní zadání vlády i v oblasti "rozšíření" elektronického podpisu přes národní hranice, a to

  • směrem "ven", odstraněním požadavku aby kvalifikovaný certifikát byl vydán v ČR
  • směrem "dovnitř", konstatováním že "certifikát vydaný v jiném členském státu EU jako kvalifikovaný je kvalifikovaným certifikátem ve smyslu navrhovaného zákona", a dále zavedením možnosti získat akreditaci poskytovatele certifikačních služeb i pro poskytovatelské subjekty, které nemají sídlo v ČR.

Držitel certifikátu

Novela zavádí "nad plán", uložený Bílou knihou a příslušným vládním usnesením, ještě jednu významnou novinku, a sice rozlišení mezi tím, kdo je držitelem certifikátu (komu je vydáván a kdo je ve smluvním vztahu k poskytovateli certifikačních služeb) a kdo podepisuje, resp. vytváří autentizační data. Důvodová zpráva to popisuje takto:

Zavádí se pojem "držitel certifikátu", kterým může být fyzická osoba, právnická osoba i státní orgán. Vždy se jedná o subjekt, který je pro poskytovatele smluvním partnerem. Budoucí držitel certifikátu může žádat o jeho vydání nejen pro sebe, ale také pro jinou podepisující nebo autentizující osoby.

Příkladem je situace, kdy státní orgán žádá o vydání certifikátu pro svého zaměstnance.

Důvodem zavedení je oddělení práv a povinností subjektů v případech, kdy žadatel a subjekt, kterému se certifikát vydává, je odlišný od osoby, která má data pro vytváření elektronických podpisů či autentizačních dat. V mnoha případech bude ale držitel certifikátu shodný s podepisující nebo autentizující osobou.

V návaznosti na to novela samostatně definuje povinnosti držitele kvalifikovaného certifikátu (pro elektronické podpisy), resp. držitele kvalifikovaného systémového certifikátu (pro opatřování autentizačními daty), a samostatně povinnosti podepisující a autentizující osoby.