Bezpieczny podpis elektroniczny jest jak podpis własnoręczny

W komunikacji elektronicznej do identyfikacji osoby składającej podpis oraz do potwierdzenia autentyczności dokumentu stosowany jest podpis elektroniczny. Daje on gwarancje odbiorcy wiadomości, że przesłany dokument rzeczywiście pochodzi od nadawcy oraz pewność, że w dokumencie już podpisanym nic nie zostało zmienione. Podpis elektroniczny nie ma jednak nic wspólnego z cechą własnoręczności czy pisemności. To po prostu dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny.

Wymiana dokumentów elektronicznych wymaga wiarygodnego potwierdzenia tożsamości nadawcy. Idea podpisu elektronicznego oparta jest na metodzie kryptografii asymetrycznej z wykorzystaniem pary kluczy - klucza prywatnego i klucza publicznego (oba są ściśle ze sobą powiązane). Klucze są ciągami bitowymi o określonej długości - im długość klucza jest większa, tym klucz jest bezpieczniejszy. Klucz prywatny służy do stworzenia podpisu elektronicznego dla dokumentu elektronicznego. Klucz ten znany jest tylko nadawcy, powinien być właściwie chroniony przed utratą wiarygodności (nie może być nikomu udostępniany). Dokument opatrzony podpisem elektronicznym zostaje przesłany do odbiorcy wiadomości, który używa powszechnie dostępnego klucza publicznego. Używając go, adresat jest w stanie stwierdzić, czy wiadomość pochodzi od dysponenta klucza prywatnego.

Posługiwanie się podpisem elektronicznym wymaga uzyskania certyfikatu (trzeba podpisać umowę z podmiotem świadczącym usługi certyfikacyjne). Certyfikat stanowi część podpisu elektronicznego i jest elektronicznym zaświadczeniem, które zawiera dane niezbędne do weryfikacji e-podpisu. Przepisy prawa dokładnie określają zasady wydawania certyfikatów oraz wymagania techniczne, jakie muszą one spełniać. Kwalifikowane centra certyfikacji świadczące usługi certyfikacyjne wpisane są (na mocy decyzji Ministra Gospodarki) do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne i wydają:

• certyfikaty niekwalifikowane (służą do podpisywania, szyfrowania informacji, autoryzacji urządzeń sieciowych, zestawienia bezpiecznych połączeń),

• certyfikaty kwalifikowane (umożliwiają weryfikację bezpiecznego podpisu elektronicznego).

Bezpieczny podpis elektroniczny jest przyporządkowany wyłącznie do osoby fizycznej. Może go więc składać osoba fizyczna, działając w imieniu własnym, w imieniu innych osób fizycznych, osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej jako ich przedstawiciel. Bezpieczny podpis elektroniczny jest sporządzany za pomocą bezpiecznych urządzeń służących do składania podpisu elektronicznego (za pomocą karty kryptograficznej z czytnikiem lub tokenem oraz oprogramowania służącego do współpracy karty z komputerem poprzez czytnik/token). Dodatkowym zabezpieczeniem jest powiązanie bezpiecznego podpisu elektronicznego z danymi, do których został dołączony - w taki sposób, że jakakolwiek późniejsza zmiana tych danych jest rozpoznawalna. Weryfikacja bezpiecznego podpisu elektronicznego możliwa jest przy pomocy odpowiedniej aplikacji i pozwala na jednoznaczną identyfikację osoby składającej podpis elektroniczny. Pozwala również stwierdzić, czy dane opatrzone tym podpisem nie zmieniły się po złożeniu podpisu elektronicznego. Oprogramowanie weryfikujące sprawdza, czy dany certyfikat nie został umieszczony na liście zawieszonych lub unieważnionych certyfikatów. Lista ta publikowana jest przez kwalifikowane centra certyfikacji oraz dostępna pod adresem www.nccert.pl/arl/nccert.crl.