JAK A KDY ZAČÍT POUŽÍVAT E-PODPIS

Přečtěte si o současném stavu jeho zavádění do praxe. Jak funguje elektronický podpis? Znáte pojmy jako certifikačn...


Přečtěte si o současném stavu jeho zavádění do praxe. Jak funguje elektronický
podpis? Znáte pojmy jako certifikační autorita, certifikát a další? Víte, jak
co nejrychleji začít elektronický podpis využívat?
Je všeobecně známo, že zákon o elektronickém podpisu byl u nás schválen poměrně
dávno. Slovy právníků zákon 227/2000 Sb. vstoupil v platnost 1. října 2000. I
přesto se však tzv. zaručený elektronický podpis nijak zvlášť nerozšířil. Čím
to je?
Předně je třeba uvést, že elektronický podpis mohou zcela bez problémů využívat
nestátní subjekty mezi sebou, pokud oba najdou certifikační autoritu, které
důvěřují. Ti ostatní musejí prostě počkat, až stát vybere a označí za
důvěryhodné několik certifikačních autorit, jimiž ověřený podpis bude
rovnocenný s "papírovým" notářsky ověřeným podpisem.
Dlouho se čekalo, až Úřad pro ochranu osobních údajů (www.uoou.cz), který je
mimo jiné pověřen patronátem nad elektronickým podpisem, akreditací
certifikačních autorit a dohledem nad jejich činností, vydá příslušnou vyhlášku
s požadavky kladenými na certifikační autority a prostředky pro elektronický
podpis jako takový. Vyhláška byla vydána 10. října 2001, od té doby se však
navenek nic neděje. Na stránkách ÚOOU jsou sice připraveny odkazy na stránky se
seznamem všech akreditovaných certifikačních autorit, dosud jsou ovšem seznamy
prázdné. Že něco jde i bez certifikačních autorit, dokázal městský úřad Prahy
15, který už před časem spustil projekt Podatelny. Na internetových stránkách
Podatelny.cz můžete podat několik jednoduchých formulářů (ohlášení drobné
stavby, příspěvek pro děti ve školce, žádost o informaci, žádost o povolení ke
kácení dřevin). Celým procesem vás provede inteligentní průvodce, který
nevyžaduje žádné certifikáty. Prostě podáte formulář a čekáte, jak se k němu
úřad vyjádří. Jak jednoduché. Bohužel nepoužitelné pro některé "vážnější"
případy.

Jak to celé funguje
Elektronický podpis jako takový není závislý na žádných legislativních
úpravách. Ve své podstatě se totiž jedná "pouze" o zajištění integrity (zpráva
přišla tak, jak ji odesílatel odeslal) a nepopiratelnosti (odeslal ji ten, kdo
je pod ní podepsaný) zprávy. V praxi to vypadá tak, že uživatel vygeneruje pár
klíčů pro asymetrickou kryptografii, veřejný dá k dispozici a soukromý pečlivě
uschová. Zprávu podepíše tím, že ji (nebo ve většině případů pouze její
elektronický otisk hash) zašifruje svým soukromým klíčem (může ji tedy
zašifrovat jen on sám, za předpokladu, že nebyl jeho klíč kompromitován),
přiloží k ní svůj veřejný klíč a odešle. Příjemce pak otisk dešifruje
přiloženým veřejným klíčem a ověří, zda se shoduje s otiskem, který si vytvořil
ze zprávy stejným způsobem. Pokud ano, zpráva je autentická, pokud ne, někdo ji
změnil.
Problém nastává v situaci, kdy potřebujeme ověřit, zda majitel klíče
registrovaného na jméno "Bill Gates" je opravdu šéfem největší softwarové
firmy. Právě k tomu byly vytvořeny certifikační autority (CA). CA je instituce,
která musí splňovat jistá pravidla podobná požadavkům kladeným na notáře. Pokud
ji navštívíte se svým veřejným klíčem na disketě (všimněte si, že se soukromým
klíčem CA nikdy nepřijde do styku) a příslušnými průkazy totožnosti, CA vaši
totožnost ověří a vytvoří "certifikát". Certifikát obsahuje většinou
identifikaci CA, identifikaci majitele (IČO/jméno atd.), veřejný klíč a
platnost certifikátu (z důvodu zneužití většinou omezena). Veškeré tyto údaje
jsou podepsány soukromým klíčem CA. Příjemce tedy nejprve ověří platnost
certifikátu a poté teprve zkoumá integritu zprávy.

Chci podpis už dnes
Zcela legálně můžete využívat elektronický podpis už dnes. Musíte se ovšem
spokojit s tím, že váš certifikát nebude kvalifikovaný ve smyslu příslušného
zákona, tudíž ho nebudete moci využívat ve styku se státní správou.
Své vlastní certifikační autority zřídila například celá řada bank (eBanka,
Komerční banka a jiné), které využívají certifikáty pro prokázání identity
klienta při elektronickém bankovnictví. Váš certifikát je tedy podepsán
kořenovým certifikátem banky.
Existují samozřejmě i další, poněkud veřejnější certifikační autority
(například TrustCert firmy AEC, 1. certifikační autorita od PVT atd.), které v
současné době usilují o příslušnou akreditaci. Do té doby můžete za podmínek
stanovených každou certifikační autoritou požádat o vlastní certifikát. Žádost
vygenerujete pomocí běžného internetového prohlížeče. Po jejím zpracování
certifikační autoritou v závislosti na typu certifikátu a certifikační politice
(kontrola správnosti údajů, vaší totožnosti, a podobně) jsou vám vytvořeny
příslušné certifikáty.
Certifikáty (ať už podepsané či nepodepsané jinou certifikační autoritou)
využívá také každý webový server, který komunikuje s klienty zabezpečeně pomocí
HTTPS SSL protokolu apod.
Podepisování pomocí všeobecně oblíbené aplikace PGP je sice také možné, ale
tento program nikdy nebude použitelný pro zaručený elektronický podpis. Navíc
jím nejsou vytvářeny certifikáty v pravém slova smyslu, pouze jakási síť
důvěry, ve které jednotliví uživatelé podepisují veřejné klíče uživatelů, o
jejichž identitě jsou přesvědčeni.

A co jinde ve světě?
Česká republika byla jedním z prvních států na světě, který měl schválený zákon
o elektronickém podpisu. Naši sousedé Slováci jsou na tom podstatně hůře. Podle
neoficiálních informací (www.e-podpis.sk) jsou za Českou republikou v zavádění
podpisu přesně o 589 dní. V současné době je aktuální pouze vládní a poslanecký
návrh příslušného zákona, ovšem dosud neschválený. Náš západní soused Německo
je samozřejmě před námi. Ostatně v oblasti počítačové bezpečnosti obecně je na
tom Německo po legislativní stránce velmi dobře. Na rozdíl od Česka má
například stanoveny podmínky, které musí splňovat bezpečný informační systém.
Přesto, že zákon o elektronickém podpisu byl schválen až téměř rok po nás (16.
dubna 2001), je elektronický podpis v Německu funkční.
Samozřejmě zcela nejdále jsou v tomto směru Spojené státy (známé v oblasti
bezpečnosti svými kritérii Oranžovou knihou), kde funguje podpis zcela bez
problémů. Zákon zde byl schválen jako v první zemi na světě. Co se týče
Evropské unie, existují dvě směrnice ukládající členům EU přijmout všechna
příslušná zákonná opatření. Všichni členové ovšem nejsou stejně daleko.

Elektronický podpis na internetu
www.mvcr.cz/sbirka/2001/sb138-01.pdf příslušná vyhláška ÚOOÚ
www.uoou.cz/227_2000.php3 zákon o elektronickém podpisu
www.uoou.cz/epodpis.php3 hlavní stránka ÚOOÚ pro elektronický podpis
www.trustcert.cz certifikační autorita AEC
www.e-podpis.cz český informační server o elektronickém podpisu
www.e-podpis.sk slovenský informační server o elektronickém podpisu
www.podatelny.cz úřad městské části Praha 15
www.ica.cz certifikační autorita PVT









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.