Bezpieczny podpis elektroniczny, czyli dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służy do identyfikacji osoby składającej podpis elektroniczny. Bezpieczny podpis elektroniczny jest przyporządkowany wyłącznie do osoby fizycznej, która go składa. Do złożenia bezpiecznego podpisu elektronicznego służy klucz prywatny zapisany na karcie kryptograficznej (tylko jej posiadacz może składać podpis przy jej użyciu). Karta jest chroniona hasłem lub danymi biometrycznymi, a liczba nieudanych prób dostępu jest ograniczona. Skutecznie uniemożliwia to fałszowanie podpisów pod dokumentami elektronicznymi, co w przypadku dokumentów tradycyjnych jest dość proste.
Łatwa identyfikacja
Weryfikacja bezpiecznego podpisu elektronicznego pozwala na jednoznaczną identyfikację osoby składającej podpis elektroniczny oraz pozwala stwierdzić, czy dane opatrzone podpisem nie zostały zmienione po złożeniu podpisu elektronicznego. Dodatkowo, oprogramowanie weryfikujące sprawdza, czy dany certyfikat nie został umieszczony na tzw. liście zawieszonych lub unieważnionych certyfikatów, która jest na bieżąco uaktualniana i publikowana przez kwalifikowane centra certyfikacji.
Szczególne wymagania
Dodatkowym zabezpieczeniem są szczególne wymagania, jakie musi spełniać kwalifikowany podmiot świadczący usługi certyfikacyjne. Przepisy prawa precyzyjnie określają zasady wydawania certyfikatów kwalifikowanych oraz wymagania techniczne i prawne użycia podpisu elektronicznego. Określają między innymi:
- algorytmy kryptograficzne stosowane do generowania certyfikatów kwalifikowanych oraz bezpiecznych podpisów elektronicznych,
- długości kluczy stosowanych w celu uniemożliwienia odtworzenia klucza prywatnego odpowiadającego certyfikatowi kwalifikowanemu w czasie jego ważności,
- parametry bezpiecznego urządzenia do składania oraz weryfikacji podpisów elektronicznych.
JAK TO ZROBIĆ...
Jak uzyskać bezpieczny podpis elektroniczny i się nim posługiwać?
PROBLEM: Czytelnik chce posługiwać się e-podpisem, ale nie wie, jak i gdzie go zdobyć. Co trzeba zrobić?
ROZWIĄZANIE: Zgodnie z ustawą, korzystanie z bezpiecznego podpisu elektronicznego wymaga uzyskania kwalifikowanego certyfikatu, co wiąże się z zawarciem umowy z podmiotem świadczącym usługi certyfikacyjne. Kwalifikowany certyfikat stanowi część e-podpisu i jest elektronicznym zaświadczeniem zawierającym dane niezbędne do weryfikacji podpisu. Kwalifikowany certyfikat może być wydany osobie fizycznej, osobie prawnej lub jednostce organizacyjnej nieposiadającej osobowości prawnej. Na polskim rynku funkcjonują trzy podmioty, które świadczą usługi certyfikacyjne:
• Krajowa Izba Rozliczeniowa (www.kir.com.pl);
• Polskie Centrum Certyfikacji Elektronicznej Sigillum (www.sigillum.pl);
• Powszechne Centrum Certyfikacji CERTUM (www.certum.pl);
Czynności niezbędne do uzyskania certyfikatu:
1. Zapoznanie się z regulaminem/informacją świadczenia usług certyfikacyjnych.
2. Podpisanie umowy na świadczenie usług certyfikacyjnych.
3. Wypełnienie wykazu subskrybentów.
4. Odebranie certyfikatu.
5. Dokonanie płatności z tytułu świadczonych usług.
Wcześniejsze zapoznanie się z ofertą (dostępną na stronach internetowych każdego centrum certyfikacji) oraz podjęcie decyzji o wyborze rodzaju certyfikatu może oszczędzić nasz czas. Warunkiem niezbędnym jest zapoznanie się z regulaminem, który dokładne określa warunki korzystania z certyfikatu, zakres i ograniczenia jego stosowania, oraz odpowiedzialność stron. Możliwe jest wysłanie danych do umowy drogą elektroniczną lub pocztową. Podpisanie umowy wraz z załącznikami następuje zwykle w siedzibie podmiotu świadczącego usługi certyfikacyjne.
Dla potwierdzenia tożsamości osoby fizycznej konieczny jest dokument tożsamości ze zdjęciem (dowód osobisty lub paszport). W przypadku osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej, konieczne jest potwierdzenie prawa do reprezentacji jednostki. Po sprawdzeniu formalnym zostaje przygotowany certyfikat, który należy odebrać osobiście. Przy odbiorze certyfikatu, odbieramy inne elementy urządzeń do składania podpisów: kartę kryptograficzną z czytnikiem, oprogramowanie umożliwiające współpracę karty z komputerem poprzez czytnik lub token oraz oprogramowanie umożliwiające współpracę komputera z tokenem.
Otrzymanie karty (lub tokena) zawierającej klucz prywatny i certyfikatu kończy procedurę wydania certyfikatu. Należy pamiętać, że oświadczenie woli złożone w postaci elektronicznej opatrzone bezpiecznym podpisem elektronicznym weryfikowanym za pomocą ważnego kwalifikowanego certyfikatu jest równoważne formie pisemnej i wywołuje skutki prawne tożsame z oświadczeniem woli opatrzonym własnoręcznym podpisem.
IZABELA ADAMSKA
Instytut Rozwoju Społeczeństwa Informacyjnego
Podstawa prawna
• Ustawa o podpisie elektronicznym z 18 września 2001 r. (Dz.U. nr 130, poz. 1450 z późn. zm.).