Klient dowolnego centrum certyfikacji nie kupuje swojego podpisu elektronicznego, a jedynie narzędzia, dzięki którym będzie mógł go tworzyć, a jego partnerzy odczytywać.
Osoba chcąca korzystać z podpisu elektronicznego najpierw udaje się do punktu obsługi klienta jednej z firm reklamujących swoje usługi w zakresie udostępniania takiej możliwości. Podpisuje umowę, wnosi opłatę i otrzymuje plastikową kartę podobną do płatniczej, tyle że z zamontowanym w niej mikroprocesorem. Nie ma na niej jednak podpisu elektronicznego. Tak jak w przypadku klasycznego podpisu powstaje on dopiero w momencie, gdy użytkownik zdecyduje się sygnować nim jakiś dokument.
Sama karta zawiera tylko narzędzia pozwalające na generowanie e-podpisu. Znajdują się na niej dwa zasadnicze elementy: klucz prywatny i certyfikat klucza publicznego, zwany najczęściej po prostu certyfikatem. W skład tego ostatniego wchodzą sam klucz publiczny i dane pozwalające na identyfikację osoby, do której należy cały zakodowany w karcie zestaw.
— Choć certyfikat może być wydany do użytku służbowego, to zawsze jest wystawiany na konkretnego, znanego z imienia i nazwiska użytkownika. Co za tym idzie, nawet w przypadku podpisu elektronicznego, dokumenty podpisuje zawsze osoba fizyczna, a nie firma —podkreśla Wiesław Paluszyński, dyrektor pionu technologii i bezpieczeństwa TP Internet, nadzorujący pracę centrum certyfikacji Signet.
Wystarczy jednak choćby pobieżne przejrzenie ofert firm wydających certyfikaty, zwanych fachowo centrami certyfikacji, aby zorientować się, że proponują zazwyczaj kilka rodzajów certyfikatów. Różnią się one głównie zakresem odpowiedzialności finansowej wydawcy certyfikatu wobec podmiotów, które zaufały e-podpisowi, powiązanemu z wystawionym przez niego certyfikatem i poniosły z tego tytułu straty finansowe, wynikające z błędów w procesie autoryzacji.
— Pole opisowe, zawierające dane o ważności certyfikatu odnosi się m.in. do okresu jego ważności i wartości transakcji gwarantowanych przez centrum certyfikacji. Jeżeli wystawca certyfikatu gwarantuje w odniesieniu do danego certyfikatu transakcje o wartości do 2 tys. zł, a ktoś zawrze z właścicielem tego certyfikatu umowę opiewającą na 10 tys. zł, to nie może z tytułu ewentualnych strat przewyźszających 2 tys. zł wysuwać żadnych roszczeń wobec centrum certyfikacji — wyjaśnia Wiesław Paluszyński.
Jak łatwo się domyślić, im poważniejszych operacji ktoś chce dokonywać, wykorzystując podpis elektroniczny, tym większe powinno być ubezpieczenie, którym objęty jest jego certyfikat. Większa odpowiedzialność centrum certyfikacji wiąże się oczywiście z wyższą ceną samego certyfikatu. Trzeba się też liczyć z koniecznością przedstawienia nie jednego, ale dwóch czy trzech dokumentów tożsamości przy jego wydawaniu i możliwością uzyskania go tylko w wybranych punktach wydawania certyfikatów. Względy bezpieczeństwa mogą bowiem skłonić centra certyfikacji do wydawania „lepszych” certyfikatów jedynie w wybranych miejscach.
— Obecnie wiele firm przeprowadza proces rejestracji klienta w celu wydania certyfikatu klucza publicznego za pośrednictwem Internetu, wierząc w prawdziwość danych, wpisywanych przez klientów do formularzy rejestracyjnych. Dotyczy to jednak tylko tzw. certyfikatów niekwalifikowanych. Ich wykorzystanie nie pociąga za sobą skutków prawnych. Ustawa nie wyklucza co prawda stosowania takich certyfikatów, jednak to strony wymieniające ze sobą podpisane wiadomości powinny się umówić co do stosowania właśnie takich certyfikatów. Certyfikaty kwalifikowane, a więc takie, które z mocy prawa będą pozwalały na zaciąganie wiążących zobowiązań, będą wymagały osobistego stawiennictwa klienta w punkcie rejestracji — podkreśla Elżbieta Włodarczyk, kierownik ośrodka zarządzania kluczami Krajowej Izby Rozliczeniowej.
Ciągle jednak mówimy głównie o certyfikacie. Czym więc jest i gdzie się znajduje sam podpis elektroniczny? Podpis elektroniczny jest zakodowanym za pomocą klucza prywatnego skrótem dokumentu, pod którym właściciel certyfikatu chciał się podpisać. Ukryty jest przy tym w strukturze dokumentu, tak jak inne znaki niedrukowalne, które sprawiają jednak, że list stworzony w edytorze tekstu wygląda dla użytkownika jak napisany na maszynie, a strona WWW jawi się jako zbiór racjonalnie powiązanych tekstów i grafik, a nie niezrozumiałych dla przeciętnego internauty zapisów języka html. O fakcie podpisania dokumentu e-podpisem informuje specjalny znak graficzny pojawiający się w programie, który odczytuje tak podpisany dokument. Po kliknięciu na tę ikonę można obejrzeć szczegółowe informacje o podpisach dołączonych do dokumentu. Warto przy tym podkreślić, że gdyby e-podpisy należące do jednej osoby próbować odczytywać jako ciągi zer i jedynek, którymi w rzeczywistości są, to praktycznie za każdym razem otrzymalibyśmy inny zestaw cyfr.
— Podpis jest zaszyfrowanym skrótem dokumentu. Jako skrót zależy więc od treści całego dokumentu. Ponieważ dokument za każdym razem jest inny, to i podpis również — tłumaczy Elżbieta Andrukiewicz, członkini zarządu spółki E-Telbank.
Warto przy tym podkreślić, że samo sygnowanie dokumentu podpisem elektronicznym nie zabezpiecza go przed przeczytaniem przez osoby trzecie ani nawet przed wprowadzaniem przez nie zmian w jego treści. Jeśli więc osoba A stworzy pismo do osoby B i sygnuje je podpisem elektronicznym, to osoba C ciągle może zmienić jego treść, np. poprzez dopisanie kilku zdań lub wpisanie innych wartości liczbowych. Jeśli autor dokumentu nie zauważy i nie zaakceptuje tych zmian, to adresat odczyta właśnie taki zmieniony dokument. Jaki jest więc sens korzystania z e-podpisu? Ano taki, że choć odbiorca otrzyma zmieniony dokument to od razu się o tym dowie.
— W przeciwieństwie do klasycznego, podpis elektroniczny jest nierozerwalnie związany z dokumentem. Nie da się go oddzielić od treści samego dokumentu. Po jego otrzymaniu sprawdza się zarówno autentyczność podpisu jak i treści dokumentu. Robi się to poprzez porównanie skrótu zwartego w dokumencie ze skrótem wygenerowanym przez adresata dokumentu na podstawie klucza publicznego osoby podpisanej pod tym dokumentem. Jeśli skróty będą różne, to oznacza to, że dokument lub podpis nie są autentyczne, a więc przesyłka dla odbiorcy jest niewiarygodna — twierdzi Andrzej Bendig-Wielowiejski, prezes szczecińskiego Unizeto.
Skąd jednak odbiorca dokumentu ma wziąć narzędzie pozwalające na weryfikację jego autentyczności? Nie każdy musi przecież być klientem centrum certyfikacji. Żeby zrozumieć to zagadnienie, trzeba zapoznać się z podstawami kryptografii asymetrycznej. Opiera się ona na dwóch tzw. kluczach: prywatnym i publicznym. Do pewnego stopnia stanowią one nierozerwalną parę, unikalną dla każdego użytkownika. O ile jednak klucz prywatny, służący do tworzenia e-podpisów, nigdy nie opuszcza zabezpieczonej PIN-em karty mikroprocesorowej właściciela certyfikatu, o tyle klucz publiczny jest ogólnie dostępny i służy nie do podpisywania dokumentów, lecz do weryfikacji ich autentyczności.
— Cały system podpisu elektronicznego można przyrównać do kłódki, która ma dwa zamki. Jeden służy tylko do jej zamykania, a drugi do otwierania — wyjaśnia Franciszek Wołowski, kierownik projektu Sigillum w Polskiej Wytwórni Papierów Wartościowych.
Wróćmy jednak do odpowiedzi na postawione już pytanie. Skąd odbiorca dokumentu ma narzędzie pozwalające na weryfikację jego autentyczności? Standardowo klucz publiczny, a właściwie cały certyfikat klucza publicznego załączany jest do przekazywanego mu np. e-mailem dokumentu.
— Certyfikat dołącza się do podpisywanego dokumentu po to, aby jego odbiorca miał klucz publiczny pozwalający na weryfikację autentyczności e-podpisu i mógł jednocześnie sprawdzić do kogo ten klucz publiczny należy, a co za tym idzie, kto się podpisał pod dokumentem — zaznacza Elżbieta Włodarczyk.
Kwestia dostarczania certyfikatu nadawcy nie musi być jednak załatwiana zawsze w ten sposób.
— Twierdzenie, że należy załączać certyfikat do wiadomości podpisywanej jest zbytnim uproszczeniem. Każde centrum certyfikacji prowadzi tzw. repozytorium, czyli swoistą książkę telefoniczną, z której przez Internet można ściągnąć certyfikat dowolnej osoby. Nie ma tam tylko certyfikatów osób, które nie zgodziły się na ich publikację. Takie zastrzeżenie certyfikatu nie ma jednak większego sensu. Jeżeli bowiem ktoś prowadzi biznes, to powinno my zależeć na poszerzaniu, a nie zawężaniu możliwości kontaktu. Nawet jeśli ktoś nie wyraził zgody na publikację swojego certyfikatu w repozytorium, to też musi go dołączać do podpisywanych wiadomości. Może to zrobić np. wysyłając osobny e-mail — dodaje Franciszek Wołowski.