S rozvojem informací a jejich sdílení prostřednictvím internetu potřebou jejich rychlého předávání a sdílení a také rostoucím množstvím případů jejich zneužití, falsifikace, podvržení a dalšími vlivy snižují jejich důvěryhodnost. Proto vznikla potřeba taková data spolehlivě autorizovat zajistit jejich autenticitu, integritu, nepopiratelnost a časové ukotvení. Tyto požadavky vedou ke vzniku oblasti zabývají se elektronickými podpisy, elektronickými certifikáty. elektronickými pečetěmi, časovými razítky a dalšími bezpečnostními prvky, které na základě vztahů vzájemné důvěry umožňují zvýšit věrohodnost komunikace a předávaných informací.
Tato oblast je poměrně složitá, prochází soustavným vývojem a může mít podstatný vliv na naše posuzování informací a rozhodování. Proto je důležité mít o této oblasti povědomí a porozumět jí. Rádi bychom zde obecně a v kategorii naše služby i konkrétně přispěli k tomuto porozumění a k tomu jaké prostředky této oblasti využíváme na ČVUT.
Certifikáty, jejich popis a rozdělení
Serverové certifikáty
Používají se pro ověření identity stránek. Stránky zajištěné certifikátem využívají šifrovaného přístupu klientů. To znamená, že veškerá komunikace mezi serverem a Vaším klientem – internetovým prohlížečem (Internet explorer, Google Chrome, Safari, Mozzila Firefox, atd…) je šifrovaná a používá protokol https. V případě kdy přistupujete na takto zajištěné stránky, tak prohlížeč automaticky ověřuje platnost certifikátu poskytovatele a jeho platnost signalizuje obvykle ikonou uzamčeného zámku v adresním řádku. Kliknutím na tento zámek máte možnost zobrazit detaily o certifikátu. Kdo je jeho držitel, kdo jej vystavil a další. Pokud se na nějakých stránkách přihlašujete, případně provádíte platby vždy by komunikace měla probíhat protokolem https a stránky by měly být zajištěny důvěryhodným certifikátem. Certifikát pak představuje opatření, které uživateli dokazuje, že stránky šifrující svou komunikaci jsou skuečně takové, za které se vydávají. Tedy, šifrování je garancí soukromí, certifikát dává jistotu, že v soukromí neodevzdáváte důležité infomace podvodníkovi.
Osobní certifikáty
Slouží k ověření identity držitele. Jeho „kvalita“ souvisí s tím jak důvěryhodná byla certifikační autorita, která jej vystavila a také s tím jakým způsobem je uchována jeho neveřejná část. Osobní certifikát nachází uplatnění zejména jako tzv. elektronický podpis.
Komerční certifikát
Jedná se o nejrozšířenější druh certifikátu. Jsou to takové certifikáty, které nejsou spjaty se zákonem o elektronickém podpisu. Vystavuje jej certifikační autorita, která ověří žadatele dle svých vlastních směrnic. Tento druh certifikátů nemusí striktně splňovat náležitosti zákona o elektronickém podpisu a je jen na dané certifikační autoritě jaké si stanoví podmínky. Komerční certifikáty mají velmi široké uplatnění. Tím, že není ze strany zákona na tento druh certifikátu kladen žádný požadavek, je dána volnost v jejich využití. Ať už se jedná o šifrování e-mailů, zajištění autentizace či k elektronickému podepisování zpráv. Komunikující strany musí však být za jedno s důvěrou danému certifikátu dané certifikační autority. Tento certifikát je totiž vydáván bez jakýchkoliv legislativních záruk.
Kvalifikovaný certifikát
Kvalifikovaný certifikát je takový, který má náležitosti podle §12 zákona č. 227/2000 Sb., o elektronickém podpisu. Tyto certifikáty jsou určeny výhradně pro elektronické podepisování (nikoliv například pro šifrování). Lépe řečeno kvalifikovaný elektronický podpis zajišťuje integritu a autenticitu dat. Pro oficiální komunikaci se subjekty státní správy, pojišťoven apod. je zapotřebí právě certifikát, který byl vydán kvalifikovanou certifikační autoritou. Bezpečnost a důvěryhodnost těchto certifikačních autorit je kontrolována a standardizována příslušnými úřady.
Elektronické podpisy
Zaručený elektronický podpis
Zaručený elektronický podpis lze chápat jako jakousi vyšší formu podpisu elektronického. Náležitosti zaručeného elektronického podpisu upravuje především zákon č. 227/2000 Sb. o elektronickém podpisu v platném znění. Zaručený elektronický podpis jsou tedy digitální data, která podepisující osoba vytváří pomocí svého privátního klíče a zajišťuje jimi integritu a nepopiratelnost původu podepsaných dat.
Podle zákona je zaručeným elektronickým podpisem ten elektronický podpis, který splňuje tyto požadavky:
- je jednoznačně spojen s podepisující osobou,
- umožňuje identifikaci podepisující osoby ve vztahu k datové zprávě,
- byl vytvořen a připojen k datové zprávě pomocí prostředků, které podepisující osoba může udržet pod svou výhradní kontrolou.
Uznávaný elektronický podpis
Uznávaným elektronickým podpisem se podle zákona č. 227/2000 Sb., o elektronickém podpisu rozumí:
- zaručený elektronický podpis založený na kvalifikovaném certifikátu vydaném akreditovaným poskytovatelem certifikačních služeb a obsahujícím údaje, které umožňuji jednoznačnou identifikaci podepisující osoby,
- zaručený elektronický podpis založený na kvalifikovaném certifikátu vydaném poskytovatelem certifikačních služeb, který je usazen mimo území České republiky, byl-li kvalifikovaný certifikát vydán v rámci služby vedené v seznamu důvěryhodných certifikačních služeb jako služba, pro jejíž poskytování je poskytovatel certifikačních služeb akreditován, nebo jako služba, nad jejímž poskytováním je vykonáván dohled podle předpisu Evropské unie.
Elektronická pečeť
Pojem elektronická pečeť (též elektronická značka, e-značka) je definován v evropském nařízení eIDAS jako „data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena s cílem zaručit jejich původ a integritu„. Elektronické pečetě by tedy měly sloužit jako důkaz toho, že elektronický dokument vydala určitá právnická osoba, a poskytovat jistotu o původu a integritě tohoto dokumentu.
Vedle ověření pravosti dokumentu lze elektronické pečetě použít k autentizaci jakéhokoli digitálního předmětu dotyčné právnické osoby, například softwarového kódu nebo virtuálního serveru. Elektronickou pečetí je možno podepisovat i elektronická časová razítka. Vytváření, uchovávání, ověřování shody a platnosti elektronických pečetí patří mezi takzvané služby vytvářející důvěru, součást E-governmentu.
Elektronické časové razítko
Časové razítko je služba poskytovaná certifikační autoritou, která umožňuje prokázat čas vytvoření dokumentu. Časové razítko je vhodné použít u elektronických dokumentů, kde je nutné prokázat čas jejich vzniku, jako jsou například účetní doklady.
Samotný elektronický podpis prokazuje identitu tvůrce, ale neumožňuje dokázat, že je čas vytvoření dokumentu správný. Pro odstranění tohoto nedostatku bylo vytvořeno časové razítko. To však nezastupuje roli elektronického podpisu, jedinou jeho funkcí je prokázat čas vzniku dokumentu. Rovněž se nijak neovlivňuje s případným použitím elektronického podpisu na jednom jediném dokumentu. Kdo chce zajistit u dokumentu prokazatelnost jak osoby, která ho vytvořila, tak času, kdy vznikl, aplikuje na daný dokument zároveň elektronický podpis, který prokáže identitu tvůrce, tak i časové razítko, které prokáže čas vzniku.
Laicky by se vznik časového razítka dal popsat tak, že z dokumentu, do kterého chceme vložit časové razítko, spočítáme hash (otisk), tento hash pošleme certifikační autoritě. Certifikační autorita pak zkombinuje námi dodaný hash se svými interním generátorem času (čas se nezjišťuje u odesílatele, ale u certifikační autority, čas díky tomu nejde zfalšovat tvůrcem dokumentu) a nazpět pošle vygenerované časové razítko, které uložíme spolu s původním dokumentem. Proces může být plně automatizovaný – bez nutnosti lidského zásahu jak na straně odesilatele, tak i certifikační autority.
Národní bod pro identifikaci a autentizaci
Národní bod slouží jako nástroj pro bezpečné a zaručené ověření totožnosti uživatele online služeb veřejné správy. Poskytovatelé online služeb potřebují zaručenou informaci o tom, kdo se jako klient přihlašuje k jimi poskytovaným službám.
K prokazování totožnosti online slouží různé identifikační prostředky, jejichž poskytovatelé získali akreditaci a jsou napojeni na národní bod. Mezi ně patří například nový občanský průkaz s čipem, který je vydáván od 1. 7. 2018, nebo přihlášení pomocí uživatelského účtu národní identitní autority.
Veškeré údaje jsou poskytovatelům služeb předávány pouze v případě, že k tomu v procesu přihlašování udělíte souhlas.
Národní bod je zřízen zákonem č. 250/2017 Sb., o elektronické identifikaci, který zároveň stanovuje pravidla pro účastníky procesu elektronické identifikace.
Další pojmy
Autenticita
Autenticita znamená, že lze ověřit identitu subjektu, kterému patří elektronický podpis. Autenticita je realizována pomocí přenosu důvěry
Integrita
Pomocí integrity lze prokázat, že od vytvoření elektronického podpisu nedošlo k žádné změně v podepsaném dokumentu, tj. že dokument (podepsaný soubor) není úmyslně či neúmyslně poškozen.
Nepopiratelnost
Nepopiratelnost znamená, že autor nemůže tvrdit, že elektronický podpis příslušný k dokumentu nevytvořil. Důvodem je fakt, že pro vytvoření elektronického podpisu je potřeba privátní klíč, který je těsně svázán s veřejným klíčem, pomocí kterého dochází k matematickému ověření elektronického podpisu. Bez přístupu k privátnímu klíči nelze elektronický podpis vytvořit a ověření elektronického podpisu může být provedeno jen veřejným klíčem, který k němu patří.
Časové ukotvení
Elektronický podpis může obsahovat časové razítko, které prokazuje datum a čas podepsání dokumentu. Časové razítko vydává důvěryhodná třetí strana, a protože je součástí elektronického podpisu, lze ji ověřit stejným postupem, jako elektronický podepsaný dokument.
Certifikační autorita
Certifikační autorita (zkratka CA) je v asymetrické kryptografii subjekt, který vydává digitální certifikáty (elektronicky podepsané veřejné šifrovací klíče), čímž usnadňuje využívání PKI (Public Key Infrastructure) tak, že svojí autoritou potvrzuje pravdivost údajů, které jsou ve volně dostupném veřejném klíči uvedeny. Na základě principu přenosu důvěry (viz níže) tak můžeme důvěřovat údajům uvedeným v digitálním certifikátu za předpokladu, že důvěřujeme samotné certifikační autoritě.
Na Internetu působí mnoho komerčních certifikačních autorit, které obvykle mají své veřejné klíče umístěny přímo ve webových prohlížečích a dalších programech, čímž mohou uživateli zjednodušit rozhodování o míře důvěry webových serverů, ke kterým se připojuje (ale též digitálně podepsaných e-mailů i jiných dat). Existují též bezplatné certifikační autority nebo takové, které se řídí zákony daného státu, vnitřními předpisy organizace a podobně.
Přenos důvěry
Přenos důvěry se běžně využívá v reálném světě. Čteme časopisy, noviny, hovoříme s lidmi, sledujeme televizi. Pokud se dozvíme něco nového, přikládáme informaci váhu podle důvěryhodnosti zdroje informací. Přenášíme tak důvěryhodnost zdroje informací na jím poskytovanou informaci. Věříme více svým blízkým přátelům nebo autoritám (seriózní noviny, učitel ve škole, kvalitní kniha, odborný pořad v televizi). Naopak s rezervou obvykle přistupujeme k informacím „jedna paní povídala“ nebo k reklamě. Nevěříme řádně odsouzenému člověku nebo prokázanému falzifikátu (např. Rukopis zelenohorský).
Stejným způsobem se uplatňuje přenos důvěry u certifikační autority. Je-li certifikační autorita důvěryhodná, můžeme věřit informacím uvedených v digitálních certifikátech, které vydala (resp. digitálně podepsala). Věříme, že by certifikační autorita nevytvořila digitální certifikát s nepravdivými údaji.
V počítači jsou šifrovací klíče uloženy v úložišti certifikátů nebo v klíčence. Při ověřování autentičnosti veřejného klíče můžeme využít toho, že klíč je digitálně podepsán důvěryhodnou certifikační autoritou (jinou osobou atp.). Pokud je digitální podpis certifikátu platný a důvěřujeme certifikační autoritě, která klíč podepsala, přeneseme důvěru a věříme v důvěryhodnost neznámého veřejného klíče.
Pro usnadnění přenosu důvěry jsou v počítači obvykle předem přítomny kořenové klíče certifikačních autorit, které jsou distribuovány buď přímo s operačním systémem (Microsoft Windows) nebo s příslušnou aplikací (Firefox, Opera, Thunderbird atd.). Do úložiště je možné přidávat další certifikáty a následně důvěřovat certifikátům, které jsou jimi ověřitelné.
Související legislativa
Základním stavením kamenem v oblasti elektronických podpisů, certifikátů a dalších obdobných nástrojů je nyní v Evroské unii
eIDAS
eIDAS je zkratka pro nařízení Evropské unie č. 910/2014 o elektronické identifikaci a důvěryhodných službách pro elektronické transakce na vnitřním evropském trhu. Toto nařízení ruší směrnici Evropské unie 1999/93/EC. Aktuální a platná verze eIDAS byla publikována Evropským parlamentem a Evropskou radou dne 23. července 2014.
v české legislativě na něj navazuje
Zákon č. 297/2016 Sb. Zákon o službách vytvářejících důvěru pro elektronické transakce ze dne 19.09.2016 v aktuálním znění
s problematikou také dále souvisí
Zákon č.250/2017 Sb. Zákon o elektronické identifikaci účínný od 1.8.2018 v aktuálním znění