Jak podpisywać i przesyłać wiadomości przy użyciu podpisu elektronicznego

Dawniej dokument podpisywało się zwykłym długopisem kreśląc określone znaki na papierze. Najczęściej znakami tymi są imię i nazwisko osoby podpisującej. Ustalenie autentyczności dokumentu polega na porównaniu złożonego pod nim podpisu z wzorcem podpisu danej osoby. W przypadkach wątpliwych rozstrzygająca jest opinia biegłego grafologa. Podpis odręczny wywołuje skutki prawne. Taki system podpisywania był dobry parędziesiąt lat temu. Lecz dziś, w dobie internetu pojawiła się potrzeba dokonywania transakcji na odległość. Jak zatem podpisać dokument i przesłać go na odległość w ten sposób, aby podpis widniejący pod otrzymanym dokumentem rodził skutki prawne ?. Pomysł z przesyłaniem podpisanego dokumentu faxem lub mailem nie jest dobry. Nie mamy bowiem tutaj pewności czy podpis tak złożony jest autentyczny. Adresat dokumentu chciałby mieć pewność, że przesłana mu wiadomość rzeczywiście pochodzi od nadawcy podpisanego pod jej treścią. Ale takiej pewności nie ma – dysponujemy bowiem już doskonałymi programami graficznymi, dzięki którym jest możliwość zeskanowania podpisu z jednego dokumentu i umieszczenia go na innym w sposób niezauważalny dla odbiorcy. Pojawia się jeszcze jeden problem – obecnie większość dokumentów jest w postaci elektronicznej – plików z edytora tekstów np. z WORD-a. Jak podpisać taki dokument, nie mający przecież cechy fizycznej odręcznym podpisem ? Zaszła więc potrzeba stworzenia podpisu, który byłby charakterystyczny dla danej osoby i niepowtarzalny w zbiorze wszystkich podpisów. Tak powstał pomysł podpisu elektronicznego.

Podpis elektroniczny (podpis cyfrowym, e-podpis)

Podpis elektroniczny nie ma nic wspólnego z wyglądem podpisy odręcznego. Nie jest to cyfrowy obraz znaku graficznego będącego podpisem tradycyjnym. Podpis elektroniczny jest to ciąg cyfr. Ten ciąg powstaje w wyniku zaszyfrowania podpisywanego dokumentu. Podpis jest tak wymyślony aby gwarantował:

• autentyczność dokumentu – potwierdzenie tożsamości nadawcy wiadomości,
• niezaprzeczalność podpisu – brak możliwości wyparcia się podpisania dokumentu,
• integralność dokumentu – dokument wysłany dotarł niezmieniony do odbiorcy.

Istnieje wiele rozwiązań technicznych podpisów cyfrowych. Obecnie jednak najpopularniejszym jest system szyfrowania asymetrycznego z kluczem publicznym i jednokierunkową funkcją skrótu. Jak to w praktyce działa i czy rzeczywiście taki system zapewnia wymagany poziom bezpieczeństwa ?

Wysyłanie wiadomości

Prześledźmy proces wysyłania dokumentu opatrzonego podpisem elektronicznym. Mamy więc jakąś wiadomość (np. w postaci dokument WORD-a). Dysponujemy ponadto podpisem elektronicznym – czyli mamy klucz prywatny (dla bezpieczeństwa zapisanym na karcie kryptograficznej).  W pierwszej kolejności z dokumentu tworzy się skrót (ekstrakt) wiadomości. Nie jest to jednak spis treści dokumenty lecz „skrót elektroniczny”.  Ten skrót ma stałą długość niezależnie od długości dokumentu (wiadomości). Takim skrótem wiadomości nie może być prosta n-bitowa suma kontrola CRC, powstająca przez sumowanie kodów wszystkich znaków wiadomości. Suma CRC jest łatwa do złamania. W praktyce jako skrót wiadomości tworzy się w oparciu o jednokierunkowe funkcje skrótu wykorzystujące algorytmy SHA lub RSA-MD5. Funkcje skrótu posiadają następujące, bardzo ważne dla podpisu elektronicznego właściwości:

• jednokierunkowość –  dysponując skrótem nie można odtworzyć oryginalnej wiadomości,
•  integralność – najmniejsza nawet zmiana treści wiadomości (np. zmiana jednej litery – z małej na dużą) powoduje nieprzewidywalną zmianę skrótu – łatwo jest rozpoznać ingerencje w treść wiadomości,
• bezkolizyjność – żadne dwie różna wiadomości nie dają takiego samego skrótu – nie jest możliwe wymyślenie innej wiadomości, która dawałaby ten sam skrót.

Skrót wiadomości jest następnie szyfrowany przy wykorzystaniu klucza prywatnego osoby podpisującej wiadomość. W praktyce odbywa się to w programie do obsługi poczty elektronicznej. W tym celu wkładamy do czytnik swoją kartę z podpisem elektronicznym, następnie naciskamy odpowiedni przycisku w programie, wybieramy z listy dostępnych podpisów nasz, wpisujemy PIN do karty i już skrót wiadomości jest zaszyfrowany – tworzy się podpis cyfrowym danej wiadomości. Kolejnym etapem jest przesłanie przez nadawcę dwóch plików:

• oryginalnej wiadomości (możliwe jest też dodatkowe jej zaszyfrowanie),
• zaszyfrowanego skrótu tej wiadomości

Dla poprawy bezpieczeństwa niekiedy te dwa pliki przesyła się w innym czasie lub różnymi kanałami.

Odbiór wiadomości

Odbiorca wiadomości najpierw musi otrzymać od nadawcy jego klucz publiczny. Sposób dystrybucji tego klucza nie jest ważną sprawą dla bezpieczeństwa, może być on udostępniany poprzez stronę internetową lub przesyłany pocztą elektroniczną.  W pierwszym kroku, przy pomocy tego klucza publicznego odbiorca rozszyfrowuje zaszyfrowany (przez nadawcę) skrót wiadomości. W drugim kroku odbiorca tworzy skrót wiadomości (dostał bowiem w przesyłce oryginalną wiadomość) wykorzystując ten sam algorytm szyfrujący do nadawca. I teraz zostaje mu ostatnia czynność – porównuje rozszyfrowany w pierwszym kroku skrót z tym, który otrzymał w drugim kroku. Jeśli te skróty są identyczne to mamy pewność, że nikt nie ingerował w treść przesyłanej wiadomości, a ponadto wiadomość pochodzi od osoby, która się pod nią podpisała.

Podsumowanie

Podpisywanie dokumentów, przesyłanie ich pocztą elektroniczna ich odbiór i weryfikacja opisane tutaj przebiega w praktyce automatycznie po naciśnięciu odpowiednich przycisków w programie pocztowym – robi to za użytkownika komputer. Nie trzeba znać dokładnie sposobów szyfrowania i deszyfrowania stosowanych w implementacjach podpisu elektronicznego, jednakże taka znajomość umożliwia świadome i bezpieczne korzystanie z tej nowości jaka jest podpis elektroniczny.