Nástroje zvyšující důvěryhodnost dokumentu podle eIDAS
Jak na elektronické podpisy, pečetě a časová razítka? Aneb, nástroje zvyšující důvěryhodnost dokumentu podle eIDAS.
Tyto nástroje připojujeme k dokumentům jako důkaz jejich pravosti. Právě na těchto prvcích závisí platnost většiny smluv a dokumentů. Asi těžko by při soudním sporu obstál nepodepsaný dokument, a stejně tak soud nemůže vydat nepodepsané rozhodnutí. Pojďme si nyní představit jednotlivé nástroje zvyšující důvěryhodnost dokumentu podle eIDAS.
PODPIS
Prvním a pravděpodobně nejpoužívanějším nástrojem je kvalifikovaný elektronický podpis. Někdo si myslí, že samotný elektronický podpis dokládá identitu podepisujícího, ale tak tomu není. Jedná se o vyjádření vůle podepisující osoby nebo například o to, že se osoba ztotožňuje s obsahem dokumentu. Je to v podstatě stejné jako podpis psaný rukou, který používáme při podpisu smluv.
Identita je něco úplně jiného! Nikdy si nemůžeme být jisti, kdo použil daný podpis a zdali osoba jejímž jménem je dokument podepsán ho vůbec spatřila. V naší moci je alespoň ověřit platnost elektronického podpisu a to, zda byl vydán kvalifikovaným poskytovatelem certifikačních služeb (certifikační autoritou). Skutečnost, že daná autorita, která podpis vydala, nepatří mezi kvalifikované poskytovatele, nám může napovědět, že se jedná o nedůvěryhodný dokument/informaci. To stejné je v případě vypršení platnosti podpisu.
Při ověření el. podpisu vlastně ověřujeme autoritu, která jej vydala. Tato autorita totiž musela získat certifikát (aby mohla vydávat el. podpisy) od nějaké vyšší autority než byla ona sama. Je prakticky jedno u koho si podpis zakoupíme a na jaké bude úrovni v této hierarchii. Důležité je, že tento poskytovatel bude certifikovaný a jím vydaný podpis bude platný podle eIDAS. Nejvyšší autoritou je potom Ministerstvo vnitra, kterému „prostě věříme“ (nemá nad sebou nikoho, kým by mohlo být ověřeno). Mezi nejznámější certifikační autority, u kterých lze el. podpis zakoupit patří PostiSignum, eIdentity a I.CA. V souvislosti s nařízením eIDAS je možné zakoupit a používat elektronické nástroje zvyšující důvěru i z jiných členských států EU, například z důvodu nižší ceny.
Nyní si řekneme, jaká existují pro používání el. podpisu pravidla, aby jím podepsané dokumenty či smlouvy byly z právního hlediska platné a uznatelné. Pokud odesíláme dokument z ČR do nějaké jiné z členských zemí EU, jsou pravidla přísnější. Takovýto dokument musí obsahovat kvalifikovaný elektronický podpis, tj. podpis, který byl vydán na základě kvalifikovaného certifikátu a je pevně uložen na hardwarovém mediu (USB zařízení), ze kterého nemůže být odebrán. Pokud podepisujeme dokument, který nevycestuje za naše hranice, postačí nám takzvaný zaručený podpis, což je také kvalifikovaný podpis, ale již nemusí být pevně uložen (není tak bezpečně chráněn proti zcizení jako ten kvalifikovaný).
ZNAČKA/PEČEŤ
Ve spojení s eIDAS je třeba se zmínit o jednom z nástrojů, který byl tímto nařízením zrušen. Jedná se o elektronické značky. Tyto značky se používaly u dokumentů fyzických a právnických osob a dokládaly integritu těchto dokumentů (to že daný dokument nebyl nikým pozměněn např. během datového přenosu). Stávající značky, kterými mohou stále ještě někteří disponovat, jsou platné po dobu jejich platnosti. Nové již ale vydány nebudou. Zajímavostí je, že tato elektronická značka byla ryze český instrument, a tak mohla být integrita dokumentu dokládána značkou pouze na našem území. Jakmile dokument vycestoval za hranice, ztratil svoji důvěryhodnost.
Elektronickou značku nám nyní nahrazuje kvalifikovaná elektronická pečeť. Elektronická pečeť opět dokládá integritu dokumentu. Je tu ale rozdíl v tom, že dokument opatřený pečetí je možné odesílat po celé Evropské unii, bez toho aniž by došlo k jakékoliv ztrátě důvěryhodnosti. Fyzické osoby již používat pečeť nemohou, a ta tak zůstává výsadou pouze právnických osob. Kvalifikovanou elektronickou pečeť je možné zakoupit u stejných prodejců jako el. podpis. Pozor, pokud je vyžadován el. podpis nemůže být nahrazen elektronickou pečetí.
ČASOVÉ RAZÍTKO
Posledním nástrojem, který může zvýšit důvěryhodnost našeho dokumentu, je časové razítko. Časové razítko jednoduše dokládá existenci dokumentu v čase. Můžeme pomocí něj doložit časovou spojitost s událostmi, které u dokumentu nastali, např. to, že byl dokument přijat, podepsán, odeslán atd. Nejčastěji připojujeme časové razítko právě k podpisu. Jedná se potom o projev vůle k danému okamžiku což posiluje důvěryhodnost podpisu i celého dokumentu. Zde bych ještě zmínil pojem přerazítkování. V případě, že jsme příjemci dokumentu, který je označen razítkem a v budoucnu by mohl opustit náš úřad, můžeme jej přerazítkovat (i vícekrát, dokud náš úřad neopustí). Docílíme tak spojitosti událostí na časové ose života dokumentu a příjemce tohoto dokumentu si může být jist jeho důvěryhodností. Časové razítko lze běžně zakoupit u poskytovatelů certifikačních služeb.
Závěrem je nutné říci, že nástroje zvyšující důvěru dokumentu mají vždy omezenou platnost. Je to z toho důvodu, že nikdo není schopen dlouhodobě zaručit, že nebude prolomeno jejich šifrování a nezačnou být falšovány. Pokud by se to stalo, muselo by dojít obratem ke změně šifrování a ke vzniku nových a bezpečných nástrojů. Je to již odvěký boj mezi kryptografií (šifrováním) a kryptoanalýzou (dešifrováním). V současnosti je ve vedení (pro nás lepší varianta) šifrování…
