Elektronický podpis, verze 2.0

Zákon o elektronickém podpisu u nás platí již od roku 2000, a za tu dobu byl jen jednou drobně novelizován. Aplikací samotného elektronického podpisu v praxi je sice stále jako šafránu (čest výjimkám), ale přesto se již ukázaly některé věci, které je zapotřebí novelizovat. Systematicky se jimi zabývala tzv. Bílá kniha elektronického obchodu, která identifikovala následující problémové oblasti:

• absenci tzv. časových razítek. Bez nich nemusí být zřejmé, zda zpráva existovala v určitém čase, zda byla podepsána v době platnosti certifikátu atd.
• možnost používat v ČR i zahraniční certifikáty. To mj. znamená eliminovat požadavek, aby kvalifikovaný certifikát byl vydán v ČR.
• potřebu vyjít vstříc "automatizovanému podepisování", bez přímé účasti člověka.

Vládní usnesení č. 474 z května t.r., které schválilo Bílou knihu, pak vyřešení těchto tří oblastí zadalo jako úkol ministru informatiky, když mu uložilo

Návrh takovéto novely je již na světě, a právě vstupuje do mezirezortního připomínkového řízení. Plné znění návrhu najdete na webu MI ČR (zde), a pokud se k němu chcete také vyjádřit, můžete své připomínky zadat zde. Termín je ovšem tradičně šibeniční, do 1.9.2003.

Autentizační data

Zastavme se u nejprve u poslední z oblastí, identifikovaných v Bílé knize, a pokusme si rozebrat, o co se jedná a co bylo cílem. Co má být "autorizovanou datovou zprávou, vytvořenou elektronickým agentem autorizující osoby", jak po tom volá vládní usnesení?

Rozhodně nejde o zavedení nějakého "vlastnoručního podpisu programu". Jde o řešení situací typu: existuje veřejná databáze (představujme si třeba Obchodní rejstřík, Katastr nemovitostí apod.), které uživatelé kladou on-line způsobem své dotazy a ona generuje odpovědi. Aby tyto odpovědi nezůstávaly pouze nezávaznou informací, musí získat nějaký formální statut. Ten by jim mohl dát elektronický podpis, ale podle současné úpravy by to znamenalo, že každý dotaz by musel podepsat svým elektronickým podpisem konkrétní člověk. To samozřejmě není únosné, a tak se hledá jiná cesta. Tou by měl být právě onen "elektronický agent" (program), pracující pro "autorizující osobu" (provozovatele databáze, resp. registru, serveru atd.). A k tomu je samozřejmě nutné upravit zákon ….

Novela řeší výše uvedenou potřebu tím, že vedle dosavadního konceptu "elektronického podpisu" zavádí souběžně ještě jeden koncept, pro který zvolila (podle mého názoru ne moc šťastně) označení "autentizační data". Po technické stránce jde vlastně o to samé, jako v případě dosavadního elektronického podpisu. Velmi zjednodušeně: vezme se zpráva a privátní klíč, a vše se "semele". Výsledkem je "kus dat", který se připojí k původní zprávě, v roli jejího zabezpečení.

Rozdíl je pak v tom, že zmíněný "kus dat", připojovaný k samotné zprávě v roli jejího elektronického podpisu, již není označován jako "elektronický podpis", ale právě jako "autentizační data". Jelikož ale "elektronický podpis" i "autentizační data" jsou po věcné stránce jedno a totéž, poskytují také obdobné zabezpečení zprávy. Tedy:

• identifikaci: určení identity osoby, která zprávu podepsala, resp. připojila k ní autentizační data
• autentizaci (v užším slova smyslu): ověření identity osoby, která zprávu podepsala/opatřila autentizačními daty
• integritu: detekci, zda se zpráva od podpisu/opatření autentizačními daty změnila či nezměnila

Rozdíl je naopak v tom, kdo a jak smí vytvářet elektronický podpis, resp. autentizovat zprávy (opatřovat je autentizačními daty). V případě elektronického podpisu může být podepisující osobou pouze fyzická osoba, v případě autentizace může být autentizující osobou jak osoba fyzická, tak také osoba právnická nebo státní orgán.

Odlišný je samozřejmě i statut "elektronicky podepsané" a "autentizované" (autentizačními daty opatřené) zprávy - přesnější popis rozdílu bych ale raději ponechal právníkům, stejně jako otázku toho, zda pro autentizovanou zprávu (zprávu opatřenou autentizačními údaji) platí také tzv. nepopiratelnost (neodmítnutelnost, anglicky: non-repudiation).

Časová razítka

Novela také zavádí do praxe koncept časových razítek. O co se jedná a jak to zhruba funguje, naznačuje následující pasáž z důvodové zprávy:

Novela proto definuje potřebné náležitosti pro zavedení a používání časových razítek, včetně náležitostí na straně poskytovatelů. Rozšiřuje mj. repertoár služeb, poskytovaných poskytovateli certifikačních služeb, právě o poskytování "kvalifikovaných časových razítek" (a mj. také o poskytování kvalifikovaných systémových certifikátů, které jsou používány v souvislosti s opatřováním zpráv autentizačními daty, a o vydávání prostředků pro bezpečné vytváření elektronických podpisů).

Evropský rozměr

Novela plní zadání vlády i v oblasti "rozšíření" elektronického podpisu přes národní hranice, a to

• směrem "ven", odstraněním požadavku aby kvalifikovaný certifikát byl vydán v ČR
• směrem "dovnitř", konstatováním že "certifikát vydaný v jiném členském státu EU jako kvalifikovaný je kvalifikovaným certifikátem ve smyslu navrhovaného zákona", a dále zavedením možnosti získat akreditaci poskytovatele certifikačních služeb i pro poskytovatelské subjekty, které nemají sídlo v ČR.

Držitel certifikátu

Novela zavádí "nad plán", uložený Bílou knihou a příslušným vládním usnesením, ještě jednu významnou novinku, a sice rozlišení mezi tím, kdo je držitelem certifikátu (komu je vydáván a kdo je ve smluvním vztahu k poskytovateli certifikačních služeb) a kdo podepisuje, resp. vytváří autentizační data. Důvodová zpráva to popisuje takto:

V návaznosti na to novela samostatně definuje povinnosti držitele kvalifikovaného certifikátu (pro elektronické podpisy), resp. držitele kvalifikovaného systémového certifikátu (pro opatřování autentizačními daty), a samostatně povinnosti podepisující a autentizující osoby.