ݺߣ

ݺߣShare a Scribd company logo

Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronického a digitálního podpisu?

•
•
Jiří Peterka
Jiří Peterka

Moje přednáška na semináři společnosti Adobe k představení nového Acrobatu DC (v pátek 17.4.2015). Snažil jsem se v ní udělat trochu pořádek ve změti termínů, které se kolem elektronických (či digitálních) podpisů vyskytují, a ukázat co ten který druh podpisu přináší - na co se u něj můžeme spoléhat, a na co naopak ne. Originál této prezentace, stejně jako další mé příspěvky z různých konferencí, najdete v mém archivu, na adrese http://www.earchiv.cz/i_paper.php3

1 of 25
1 Jiří Peterka 17.4.2015 Není podpis jako podpis aneb: jak se vyznat v různých variantách elektronického a digitálního podpisu?
2 s jakými pojmy se můžeme setkat? • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) • ověřený podpis • vlastnoruční podpis • (podpis) „svět papíru“ • dynamický biometrický podpis (DBP) • ....….. „komerční praxe“ (nejenom v ČR) • schvalující el. podpis • certifikační el. podpis SW produkty (Adobe) • viditelné el. podpisy • neviditelné el. podpisy SW produkty • interní el. podpisy • externí el. podpisy SW produkty • digital signature • electronic signature USA • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.)
3 co nás může zajímat? • u dokumentu: • je pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • kdo ho vytvořil? • je jeho obsah pravdivý? • jsme schopni se seznámit s jeho obsahem • dokážeme ho přečíst? • v případě písemného dokumentu • dokážeme ho přehrát/zobrazit? • u dok. zvukového, obrazového … • u podpisu: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • čí projev vůle to je? • je pravý? • skutečně ho vytvořila podepsaná osoba? • nebo ho prohlásila za svůj? • kdy byl podpis vytvořen? • o jaký projev vůle jde • jaký byl důvod podepsání? identifikace je zachována jeho integrita? neodmítnutelnost, nepopiratelnost
4 co dokáže zajistit vlastnoruční podpis? • vlastnoruční podpis na (listinném) dokumentu: • je dokument pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • je zachována jeho integrita? • samotný podpis: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • čí projev vůle to je? „klikyhák“přítomnost podpisu nebrání dodatečným změnám (ani neusnadňuje jejich detekci) ano dokážeme poznat, že „nějaký podpis“ je přítomen ne z „klikyháku“ nemusíme nic poznat (podoba vlastnoručního podpisu není předepsána) ne ověřování provádí znalec (drahé, dělá se jen při sporu)
5 co dokáže zajistit ověřený podpis? • ověřený podpis na (listinném) dokumentu: • je dokument pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • je zachována jeho integrita? • samotný podpis: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • je pravý? • skutečně ho vytvořila podepsaná osoba? • nebo ho prohlásila za svůj? přítomnost podpisu/doložky nebrání dodatečným změnám ano ano ne pan Josef Novák ověřující (např. notář) zjistil identitu podepisující osoby ano za to ručí ověřující (např. notář)
6 jak zajistit integritu dokumentu? • institucionálně • svěřit ho „někomu oprávněnému“ do úschovy …. • kdo zajistí, že nebude změněn, a dá k tomu i své dobrozdání • pomocí matematických (kryptografických) metod • dnes: s využitím asymetrické kryptografie PRI PUB podepisovaný dokument data pro vytváření el. podpisů prostředek pro vytváření el. podpisů (program) výpočet PRI podepsaný dokument data pro ověřování el. podpisů prostředek pro ověřování el. podpisů (program) výpočet PUB jen pro elektronické dokumenty při ověřování se pozná (ne)porušená integrita certifikát
7 jaký druh el. podpisu zajistí integritu? • po technické stránce: • pouze podpis, založený na kryptografických metodách • „kryptografický podpis“ • po právní stránce: • zahrnuje požadavek ve smyslu: • dnes (227/2000 Sb.) … je k datové zprávě, ke které se vztahuje, připojen takovým způsobem, že je možno zjistit jakoukoliv následnou změnu dat …. • od 1.7.2016 (eIDAS)…. je k datům, která jsou tímto podpisem podepsána, připojen takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat …… • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) • digital signature • electronic signature USA • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.)
8 co zaručuje zaručený el. podpis? • pouze integritu !!!!! • u tohoto druhu elektronického podpisu lze identitu podepsané osoby libovolně zfalšovat protože není kladen žádný požadavek na kvalitu (důvěryhodnost) certifikátu lze si ho vyrobit „na koleně“ (jako testovací certifikát) a napsat si do něj cokoli formou zaručeného el. podpisu se lze podepsat „za“ kohokoli jiného !!! dle CZ legislativy
9 identifikace a neodmítnutelnost • zaručený el. podpis • nezaručuje kdo podepsal, ani že skutečně podepsal …… • důkazní břemeno má ten, kdo by to tvrdil • také by musel prokázat identitu toho, kdo měl podepsat • co znamená neodmítnutelnost? • jde o presumpci, že podepsaný skutečně podepsal • důsledek: • ten, kdo podepsal, nemůže „jen tak snadno“ popřít (odmítnout) svůj podpis • pokud popírá (odmítá) , má důkazní břemeno on • protistrana nemusí prokazovat, že podepsal (že podpis vytvořil) • on by musel prokázat, že nepodepsal (že podpis nevytvořil on) • důsledek: • musí být možné jednoznačně určit, kdo je (má být) podepsanou osobou • musí být možná (a správná) jednoznačná identifikace podepsané osoby • nesmí být možné identitu zfalšovat (viz příklad s podpisem Josefa Švejka)
10 na jaký druh el. podpisu se lze spoléhat? • „ze zákona“: • na takový el. podpis, který zajišťuje neodmítnutelnost • strany se nemusí domlouvat na tom, jakému el. podpisu budou důvěřovat • „domluvu“ za ně řeší zákon: definuje, jaký druh podpisu zajišťuje neodmítnutelnost • dnes: § 3 odst. 2 ZoEP • ... zaručený el. podpis, založený na kvalifikovaném certifikátu .... • vytvořený pomocí bezpečného prostředku • .. umožňuje ověřit, že datovou zprávu podepsala osoba uvedená na tomto kvalifikovaném certifikátu • „na základě domluvy“ • soukromoprávní subjekty se mohou dohodnout, jakému druhu el. podpisu budou důvěřovat a spoléhat se na něj • mohou se domluvit, že budou důvěřovat i zaručenému el. podpisu • nebo ještě jinému (ještě „slabšímu“) druhu el. podpisu • fakticky: samy si stanoví míru důvěry, kterou budou klást v jednotlivé druhy podpisu • má to ale určité limity • … v USA popsáno v eSign Act …
11 pohled zákona • jaké el. podpisy jsou považovány za „právně relevantní“ • a je třeba je používat ve veřejnoprávním styku • pro podání vůči úřadům, pro úkony orgánů veřejné moci atd. • legislativa EU: jde o kvalifikovaný el. podpis (QES) • dle stávající směrnice (1999/93/EC) i nového nařízení (910/2014) • opírá se o kvalifikovaný certifikát • je vytvořen pomocí bezpečného • Slovensko: jde o zaručený el. podpis • pozor: zaručený el. podpis dle legislativy v SK není totožný se zaručeným el. podpisem dle legislativy v CZ !!! • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) (kvalifikovaného) prostředku • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.) je vyžadováno využití bezpečných prostředků (v praxi: certifikované čipové karty, USB tokeny)
12 pohled zákona (dnes, v ČR) • naše současná právní úprava el. podpisu (zákon č. 227/2000 Sb.) se významně liší od unijní směrnice 1999/93/EC • pro „právně relevantní“ el. podpisy není vyžadován bezpečný prostředek • ani pro vytváření podpisů, ani pro jejich ověřování • místo toho je požadována akreditace (kvalifikované) certifikační autority • která vydává kvalifikovaný certifikát • důsledek: • ve veřejnoprávní styku je u nás požadován tzv. uznávaný el. podpis • zaručený el. podpis, založený na kvalifikovaném certifikátu od akreditované certifikační autority …. • bez požadavku na použití bezpečného prostředku • výhoda: lidé si mohou sami vybrat, čím se budou elektronicky podepisovat (ale také sami odpovídají za správné fungování ….) • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) toto skončí k 1.7.2016, s účinností nařízení eIDAS (910/2014) pravost/neodmítnutelnost se odvozuje z §69a/5 zákona č. 499/2004 Sb.
13 jaká je „síla“ uznávaného el. podpisu? • po věcné/technické stránce: • uznávaný el. podpis má stejnou „sílu“ jako ověřený (vlastnoruční) podpis !!!!! • pohled (stávajícího CZ) zákona: • explicitně to neřeší, nepřímo jej staví na roveň vlastnoručnímu podpisu • když říká, že agendy, vyžadující vlastnoruční podpis, lze činit s uznávaným el. podpisem • neexistuje možnost „legalizace“ uznávaného el. podpisu • agendy vyžadující použití ověřeného podpisu nelze dělat v el. formě !!! • EU nařízení eIDAS (910/2014): • kvalifikovaný el. podpis (explicitně) staví na roveň vlastnoručnímu podpisu Vlastnoruční Ověřený (vlastnoruční) Uznávaný (kvalifikovaný) el. podpis Existence podpisu ANO ANO ANO Identifikace podepsané osoby NE ANO (znovu při každém podpisu) ANO (jednorázově, při vydání certifikátu) Pravost / neodmítnutelnost NE ANO (ručí za to ověřující) ANO (dáno technicky/asymetr. kryptogr.) v SK: s časovým razítkem = jako ověřený podpis
14 jiný pohled na podepisování • vlastnoruční podpis • můžete se podepsat sami (není nutná „účast“ další strany) • ověřený (vlastnoruční) podpis • je nutné zapojení další strany (pro každý jednotlivý podpis) • účast ověřovatele s formálním pověřením – notáře, advokáta, úředníka • uznávaný (kvalifikovaný) elektronický podpis • můžete se podepsat sami (není nutná „účast“ další strany) • účast další strany je nutná jen jednorázově – při vydávání certifikátu • existují i takové varianty (elektronických) podpisů, které vyžadují aktivní „účast“ další strany • dynamický biometrický podpis (DBP) • „elektronicky dosvědčený podpis“ • …….
15 co jsou dynamické biometrické podpisy? • řešení pro dvoustranné smlouvy v el. podobě • využívají ho privátní subjekty s velkým počtem smluv se zákazníky • banky, utility (voda, plyn, elektřina), telekomunikační operátoři, ….. • díky tomu přechází z listinné podoby smluvní dokumentace k elektronické • názor: v ČR (EU) toto řešení nemá (přímou) oporu v zákoně • ale není zákonem zakázáno – proto jej mohou privátní subjekty používat • veřejnoprávní subjekty jej používat nemohou • musely by pro něj mít oporu v zákoně • princip DBP: • smluvní dokument podepíše svým el. podpisem jen jedna strana • druhá strana přidá k dokumentu „něco, co je unikátní jen pro ni“ • a přidává to jako „projev své vůle“ (místo svého podpisu) • jde o jakýsi unikátní „vzorek“ fyzické osoby, který je (měl by být) neopakovatelný a nenahraditelný DBP existují právní posudky, které tvrdí opak
16 • „vzorek“ by měl být unikátní pro svého držitele • aby takovýto „vzorek“ nemohl poskytnout nikdo jiný • možnosti (biometrické): • kapka krve (DNA) • nepraktické (jak odebírat?) • slina (DNA) • ve slušné společnosti se neplive • otisk prstu • vzorek sítnice • způsob chůze • vzorek řeči • …… • nebo také: způsob podepisování • nejen „křivka“ podpisu, ale také dynamika tahu perem, tlak, …… co může být oním „vzorkem“? proto „…dynamický …“
17 způsob podepisování jako „vzorek“ • použít způsob podepisování jako „vzorek“ má výhodu: • vytváří to iluzi něčeho, co klient dobře zná • iluzi toho, že podepisuje nějaký konkrétní dokument • ve skutečnosti: • jde pouze o „odběr vzorku“ • na znamení souhlasu • a jeho následně připojení k dokumentu, který podepisuje druhá strana • klíčové otázky: • kdo má pod kontrolou odběr a vkládání „vzorku“ do podepisovaného dokumentu? • nikoli „podepisující“, ale druhá strana • lze věřit, že odebraný vzorek použije pouze 1x ? • a pouze pro účel, který deklaruje druhá strana podpis podpis druhé strany?? dynamický biometrický podpis je pouze „vzorkem“
18 jak dnes skutečně fungují DBP? • s dynamickými biometrickými podpisy dnes rutinně pracují subjekty typu operátorů, bank, utilit, přepravců atd. • pro smlouvy s jejich zákazníky a další obdobné dokumenty • el. dokumenty jsou podepisovány „jednou smluvní stranou“ • a to klasickým (kryptografickým) elektronickým podpisem/značkou příklad: účastnická smlouva s O2, podepsaná pomocí DBP pouze uznávaná el. značka společnosti Telefonica
19 • termín EDP je novotvar (pouze pracovní návrh) !!! • je to další varianta podepisování dokumentů v el. formě, která vyžaduje zapojení další strany • zde: další strana je v roli svědka, který není přímým účastníkem smluvního vztahu • je v roli toho, kdo dosvědčuje, že došlo k projevu vůle jiné osoby …… • dokument je opatřen (kryptografickým) el. podpisem svědka • dokáže zajistit integritu podepsaného dokumentu • obsahuje určitou identifikaci „podepisující osoby“ • té osoby, které projevila svou vůli vůči dokumentu • na čem záleží? • kdo je oním svědkem? jak moc mu důvěřujeme? • jak dobře (přesně, správně, …) zná svědek identitu podepisující osoby? podepisující osoba „elektronicky dosvědčený podpis“ (EDP) svědek
20 příklad EDP: Adobe EchoSign • dokument je opatřen (kryptografickým) el. podpisem služby Adobe EchoSign – v roli „svědka“ • z pohledu CZ/EU legislativy: jde pouze o zaručený el. podpis není opatřen časovým razítkem zajišťuje integritu
21 příklad EDP: Adobe EchoSign • jak dobře (přesně, správně, …) zná svědek (služba Adobe EchoSign) identitu podepisující osoby? • záleží na tom, jakým způsobem se podepisující osoba identifikuje a autentizuje (přihlašuje) vůči službě • možnosti: • email: lze se spoléhat pouze na emailovou adresu • předchozí příklad: svědek/služba ručí jen za emailovou adresu (nemam@volejte.cz), nikoli za jméno podepisující osoby (Josef Švejk) !!! • jednorázové heslo (zasílané např. na mobil, předávané osobně apod.) • záleží na způsobu distribuce jednorázového hesla • přidání „vzorku“ (v podobě biometrického podpisu - křivky) • podepisující osoba musí připojit „křivku“ svého podpisu • jiná on-line identita • podepisující osoba se přihlašuje pomocí své identity u jiné on-line služby, například: Google, LinkedIn, Facebook, Yahoo, Microsoft Live či Twitter • kde může existovat volba různé „síly“ přihlašování
22 protokol (audit) • služba EchoSign vystavuje protokol o podepsání • kde uvádí (a dosvědčuje) relevantní skutečnosti • je dostupný on-line/ke stažení, na základě ID transakce (pro kohokoli) kdy bylo podepsáno z jaké emailové adresy bylo podepsáno z jaké IP adresy bylo podepsáno a dalších úkonech s dokumentem komu bylo odesláno
23 jiný druh (elektronického) podpisu • „obrázkový“ podpis na elektronickém dokumentu • prosté připojení obrázku s křivkou vlastnoručního podpisu • bez jakéhokoli „dosvědčení“ svědkem • nemůžeme se spoléhat vůbec na nic • zejména: nevíme, kdo obrázek připojil (čí projev vůle by to měl být) • není zajištěna (neporušená) integrita dokumentu
24 jiný druh (elektronického) podpisu • emailová patička • text na konci emailu, vkládaný automaticky poštovním programem • bez jakéhokoli „dosvědčení“ svědkem • věcně jde o obdobu „obrázkového“ podpisu • nezajišťuje integritu dokumentu/zprávy • nevíme, kdo jej připojil • může obsahovat cokoli ... • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) přesto by obrázkový podpis i emailová patička mohly vyhovět definici (prostého) elektronického podpisu v zákoně
25 děkuji za pozornost Jiří Peterka http://jiri.peterka.cz http://www.earchiv.cz http://www.bajecnysvet.cz http://www.muzeuminternetu.cz

More Related Content

Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronického a digitálního podpisu?

  • 1. 1 Jiří Peterka 17.4.2015 Není podpis jako podpis aneb: jak se vyznat v různých variantách elektronického a digitálního podpisu?
  • 2. 2 s jakými pojmy se můžeme setkat? • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) • ověřený podpis • vlastnoruční podpis • (podpis) „svět papíru“ • dynamický biometrický podpis (DBP) • ....….. „komerční praxe“ (nejenom v ČR) • schvalující el. podpis • certifikační el. podpis SW produkty (Adobe) • viditelné el. podpisy • neviditelné el. podpisy SW produkty • interní el. podpisy • externí el. podpisy SW produkty • digital signature • electronic signature USA • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.)
  • 3. 3 co nás může zajímat? • u dokumentu: • je pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • kdo ho vytvořil? • je jeho obsah pravdivý? • jsme schopni se seznámit s jeho obsahem • dokážeme ho přečíst? • v případě písemného dokumentu • dokážeme ho přehrát/zobrazit? • u dok. zvukového, obrazového … • u podpisu: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • čí projev vůle to je? • je pravý? • skutečně ho vytvořila podepsaná osoba? • nebo ho prohlásila za svůj? • kdy byl podpis vytvořen? • o jaký projev vůle jde • jaký byl důvod podepsání? identifikace je zachována jeho integrita? neodmítnutelnost, nepopiratelnost
  • 4. 4 co dokáže zajistit vlastnoruční podpis? • vlastnoruční podpis na (listinném) dokumentu: • je dokument pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • je zachována jeho integrita? • samotný podpis: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • čí projev vůle to je? „klikyhák“přítomnost podpisu nebrání dodatečným změnám (ani neusnadňuje jejich detekci) ano dokážeme poznat, že „nějaký podpis“ je přítomen ne z „klikyháku“ nemusíme nic poznat (podoba vlastnoručního podpisu není předepsána) ne ověřování provádí znalec (drahé, dělá se jen při sporu)
  • 5. 5 co dokáže zajistit ověřený podpis? • ověřený podpis na (listinném) dokumentu: • je dokument pravý / autentický? • je to „ten původní“? • nebyl nějak (po)změněn? • je neporušený? • je zachována jeho integrita? • samotný podpis: • existuje? je přítomný? • je dokument podepsaný? • komu patří? • kdo konkrétně je podepsanou osobou? • kým je dokument podepsaný? • je pravý? • skutečně ho vytvořila podepsaná osoba? • nebo ho prohlásila za svůj? přítomnost podpisu/doložky nebrání dodatečným změnám ano ano ne pan Josef Novák ověřující (např. notář) zjistil identitu podepisující osoby ano za to ručí ověřující (např. notář)
  • 6. 6 jak zajistit integritu dokumentu? • institucionálně • svěřit ho „někomu oprávněnému“ do úschovy …. • kdo zajistí, že nebude změněn, a dá k tomu i své dobrozdání • pomocí matematických (kryptografických) metod • dnes: s využitím asymetrické kryptografie PRI PUB podepisovaný dokument data pro vytváření el. podpisů prostředek pro vytváření el. podpisů (program) výpočet PRI podepsaný dokument data pro ověřování el. podpisů prostředek pro ověřování el. podpisů (program) výpočet PUB jen pro elektronické dokumenty při ověřování se pozná (ne)porušená integrita certifikát
  • 7. 7 jaký druh el. podpisu zajistí integritu? • po technické stránce: • pouze podpis, založený na kryptografických metodách • „kryptografický podpis“ • po právní stránce: • zahrnuje požadavek ve smyslu: • dnes (227/2000 Sb.) … je k datové zprávě, ke které se vztahuje, připojen takovým způsobem, že je možno zjistit jakoukoliv následnou změnu dat …. • od 1.7.2016 (eIDAS)…. je k datům, která jsou tímto podpisem podepsána, připojen takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat …… • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) • digital signature • electronic signature USA • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.)
  • 8. 8 co zaručuje zaručený el. podpis? • pouze integritu !!!!! • u tohoto druhu elektronického podpisu lze identitu podepsané osoby libovolně zfalšovat protože není kladen žádný požadavek na kvalitu (důvěryhodnost) certifikátu lze si ho vyrobit „na koleně“ (jako testovací certifikát) a napsat si do něj cokoli formou zaručeného el. podpisu se lze podepsat „za“ kohokoli jiného !!! dle CZ legislativy
  • 9. 9 identifikace a neodmítnutelnost • zaručený el. podpis • nezaručuje kdo podepsal, ani že skutečně podepsal …… • důkazní břemeno má ten, kdo by to tvrdil • také by musel prokázat identitu toho, kdo měl podepsat • co znamená neodmítnutelnost? • jde o presumpci, že podepsaný skutečně podepsal • důsledek: • ten, kdo podepsal, nemůže „jen tak snadno“ popřít (odmítnout) svůj podpis • pokud popírá (odmítá) , má důkazní břemeno on • protistrana nemusí prokazovat, že podepsal (že podpis vytvořil) • on by musel prokázat, že nepodepsal (že podpis nevytvořil on) • důsledek: • musí být možné jednoznačně určit, kdo je (má být) podepsanou osobou • musí být možná (a správná) jednoznačná identifikace podepsané osoby • nesmí být možné identitu zfalšovat (viz příklad s podpisem Josefa Švejka)
  • 10. 10 na jaký druh el. podpisu se lze spoléhat? • „ze zákona“: • na takový el. podpis, který zajišťuje neodmítnutelnost • strany se nemusí domlouvat na tom, jakému el. podpisu budou důvěřovat • „domluvu“ za ně řeší zákon: definuje, jaký druh podpisu zajišťuje neodmítnutelnost • dnes: § 3 odst. 2 ZoEP • ... zaručený el. podpis, založený na kvalifikovaném certifikátu .... • vytvořený pomocí bezpečného prostředku • .. umožňuje ověřit, že datovou zprávu podepsala osoba uvedená na tomto kvalifikovaném certifikátu • „na základě domluvy“ • soukromoprávní subjekty se mohou dohodnout, jakému druhu el. podpisu budou důvěřovat a spoléhat se na něj • mohou se domluvit, že budou důvěřovat i zaručenému el. podpisu • nebo ještě jinému (ještě „slabšímu“) druhu el. podpisu • fakticky: samy si stanoví míru důvěry, kterou budou klást v jednotlivé druhy podpisu • má to ale určité limity • … v USA popsáno v eSign Act …
  • 11. 11 pohled zákona • jaké el. podpisy jsou považovány za „právně relevantní“ • a je třeba je používat ve veřejnoprávním styku • pro podání vůči úřadům, pro úkony orgánů veřejné moci atd. • legislativa EU: jde o kvalifikovaný el. podpis (QES) • dle stávající směrnice (1999/93/EC) i nového nařízení (910/2014) • opírá se o kvalifikovaný certifikát • je vytvořen pomocí bezpečného • Slovensko: jde o zaručený el. podpis • pozor: zaručený el. podpis dle legislativy v SK není totožný se zaručeným el. podpisem dle legislativy v CZ !!! • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (nařízení 910/2014) • qualified el. signature (QES) • advanced el. signature (AdES) • (electronic signature) EU (směrnice 1999/93/EC) (kvalifikovaného) prostředku • zaručený el. podpis • elektronický podpis ZoEP(215/2002 Sb.) je vyžadováno využití bezpečných prostředků (v praxi: certifikované čipové karty, USB tokeny)
  • 12. 12 pohled zákona (dnes, v ČR) • naše současná právní úprava el. podpisu (zákon č. 227/2000 Sb.) se významně liší od unijní směrnice 1999/93/EC • pro „právně relevantní“ el. podpisy není vyžadován bezpečný prostředek • ani pro vytváření podpisů, ani pro jejich ověřování • místo toho je požadována akreditace (kvalifikované) certifikační autority • která vydává kvalifikovaný certifikát • důsledek: • ve veřejnoprávní styku je u nás požadován tzv. uznávaný el. podpis • zaručený el. podpis, založený na kvalifikovaném certifikátu od akreditované certifikační autority …. • bez požadavku na použití bezpečného prostředku • výhoda: lidé si mohou sami vybrat, čím se budou elektronicky podepisovat (ale také sami odpovídají za správné fungování ….) • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) toto skončí k 1.7.2016, s účinností nařízení eIDAS (910/2014) pravost/neodmítnutelnost se odvozuje z §69a/5 zákona č. 499/2004 Sb.
  • 13. 13 jaká je „síla“ uznávaného el. podpisu? • po věcné/technické stránce: • uznávaný el. podpis má stejnou „sílu“ jako ověřený (vlastnoruční) podpis !!!!! • pohled (stávajícího CZ) zákona: • explicitně to neřeší, nepřímo jej staví na roveň vlastnoručnímu podpisu • když říká, že agendy, vyžadující vlastnoruční podpis, lze činit s uznávaným el. podpisem • neexistuje možnost „legalizace“ uznávaného el. podpisu • agendy vyžadující použití ověřeného podpisu nelze dělat v el. formě !!! • EU nařízení eIDAS (910/2014): • kvalifikovaný el. podpis (explicitně) staví na roveň vlastnoručnímu podpisu Vlastnoruční Ověřený (vlastnoruční) Uznávaný (kvalifikovaný) el. podpis Existence podpisu ANO ANO ANO Identifikace podepsané osoby NE ANO (znovu při každém podpisu) ANO (jednorázově, při vydání certifikátu) Pravost / neodmítnutelnost NE ANO (ručí za to ověřující) ANO (dáno technicky/asymetr. kryptogr.) v SK: s časovým razítkem = jako ověřený podpis
  • 14. 14 jiný pohled na podepisování • vlastnoruční podpis • můžete se podepsat sami (není nutná „účast“ další strany) • ověřený (vlastnoruční) podpis • je nutné zapojení další strany (pro každý jednotlivý podpis) • účast ověřovatele s formálním pověřením – notáře, advokáta, úředníka • uznávaný (kvalifikovaný) elektronický podpis • můžete se podepsat sami (není nutná „účast“ další strany) • účast další strany je nutná jen jednorázově – při vydávání certifikátu • existují i takové varianty (elektronických) podpisů, které vyžadují aktivní „účast“ další strany • dynamický biometrický podpis (DBP) • „elektronicky dosvědčený podpis“ • …….
  • 15. 15 co jsou dynamické biometrické podpisy? • řešení pro dvoustranné smlouvy v el. podobě • využívají ho privátní subjekty s velkým počtem smluv se zákazníky • banky, utility (voda, plyn, elektřina), telekomunikační operátoři, ….. • díky tomu přechází z listinné podoby smluvní dokumentace k elektronické • názor: v ČR (EU) toto řešení nemá (přímou) oporu v zákoně • ale není zákonem zakázáno – proto jej mohou privátní subjekty používat • veřejnoprávní subjekty jej používat nemohou • musely by pro něj mít oporu v zákoně • princip DBP: • smluvní dokument podepíše svým el. podpisem jen jedna strana • druhá strana přidá k dokumentu „něco, co je unikátní jen pro ni“ • a přidává to jako „projev své vůle“ (místo svého podpisu) • jde o jakýsi unikátní „vzorek“ fyzické osoby, který je (měl by být) neopakovatelný a nenahraditelný DBP existují právní posudky, které tvrdí opak
  • 16. 16 • „vzorek“ by měl být unikátní pro svého držitele • aby takovýto „vzorek“ nemohl poskytnout nikdo jiný • možnosti (biometrické): • kapka krve (DNA) • nepraktické (jak odebírat?) • slina (DNA) • ve slušné společnosti se neplive • otisk prstu • vzorek sítnice • způsob chůze • vzorek řeči • …… • nebo také: způsob podepisování • nejen „křivka“ podpisu, ale také dynamika tahu perem, tlak, …… co může být oním „vzorkem“? proto „…dynamický …“
  • 17. 17 způsob podepisování jako „vzorek“ • použít způsob podepisování jako „vzorek“ má výhodu: • vytváří to iluzi něčeho, co klient dobře zná • iluzi toho, že podepisuje nějaký konkrétní dokument • ve skutečnosti: • jde pouze o „odběr vzorku“ • na znamení souhlasu • a jeho následně připojení k dokumentu, který podepisuje druhá strana • klíčové otázky: • kdo má pod kontrolou odběr a vkládání „vzorku“ do podepisovaného dokumentu? • nikoli „podepisující“, ale druhá strana • lze věřit, že odebraný vzorek použije pouze 1x ? • a pouze pro účel, který deklaruje druhá strana podpis podpis druhé strany?? dynamický biometrický podpis je pouze „vzorkem“
  • 18. 18 jak dnes skutečně fungují DBP? • s dynamickými biometrickými podpisy dnes rutinně pracují subjekty typu operátorů, bank, utilit, přepravců atd. • pro smlouvy s jejich zákazníky a další obdobné dokumenty • el. dokumenty jsou podepisovány „jednou smluvní stranou“ • a to klasickým (kryptografickým) elektronickým podpisem/značkou příklad: účastnická smlouva s O2, podepsaná pomocí DBP pouze uznávaná el. značka společnosti Telefonica
  • 19. 19 • termín EDP je novotvar (pouze pracovní návrh) !!! • je to další varianta podepisování dokumentů v el. formě, která vyžaduje zapojení další strany • zde: další strana je v roli svědka, který není přímým účastníkem smluvního vztahu • je v roli toho, kdo dosvědčuje, že došlo k projevu vůle jiné osoby …… • dokument je opatřen (kryptografickým) el. podpisem svědka • dokáže zajistit integritu podepsaného dokumentu • obsahuje určitou identifikaci „podepisující osoby“ • té osoby, které projevila svou vůli vůči dokumentu • na čem záleží? • kdo je oním svědkem? jak moc mu důvěřujeme? • jak dobře (přesně, správně, …) zná svědek identitu podepisující osoby? podepisující osoba „elektronicky dosvědčený podpis“ (EDP) svědek
  • 20. 20 příklad EDP: Adobe EchoSign • dokument je opatřen (kryptografickým) el. podpisem služby Adobe EchoSign – v roli „svědka“ • z pohledu CZ/EU legislativy: jde pouze o zaručený el. podpis není opatřen časovým razítkem zajišťuje integritu
  • 21. 21 příklad EDP: Adobe EchoSign • jak dobře (přesně, správně, …) zná svědek (služba Adobe EchoSign) identitu podepisující osoby? • záleží na tom, jakým způsobem se podepisující osoba identifikuje a autentizuje (přihlašuje) vůči službě • možnosti: • email: lze se spoléhat pouze na emailovou adresu • předchozí příklad: svědek/služba ručí jen za emailovou adresu (nemam@volejte.cz), nikoli za jméno podepisující osoby (Josef Švejk) !!! • jednorázové heslo (zasílané např. na mobil, předávané osobně apod.) • záleží na způsobu distribuce jednorázového hesla • přidání „vzorku“ (v podobě biometrického podpisu - křivky) • podepisující osoba musí připojit „křivku“ svého podpisu • jiná on-line identita • podepisující osoba se přihlašuje pomocí své identity u jiné on-line služby, například: Google, LinkedIn, Facebook, Yahoo, Microsoft Live či Twitter • kde může existovat volba různé „síly“ přihlašování
  • 22. 22 protokol (audit) • služba EchoSign vystavuje protokol o podepsání • kde uvádí (a dosvědčuje) relevantní skutečnosti • je dostupný on-line/ke stažení, na základě ID transakce (pro kohokoli) kdy bylo podepsáno z jaké emailové adresy bylo podepsáno z jaké IP adresy bylo podepsáno a dalších úkonech s dokumentem komu bylo odesláno
  • 23. 23 jiný druh (elektronického) podpisu • „obrázkový“ podpis na elektronickém dokumentu • prosté připojení obrázku s křivkou vlastnoručního podpisu • bez jakéhokoli „dosvědčení“ svědkem • nemůžeme se spoléhat vůbec na nic • zejména: nevíme, kdo obrázek připojil (čí projev vůle by to měl být) • není zajištěna (neporušená) integrita dokumentu
  • 24. 24 jiný druh (elektronického) podpisu • emailová patička • text na konci emailu, vkládaný automaticky poštovním programem • bez jakéhokoli „dosvědčení“ svědkem • věcně jde o obdobu „obrázkového“ podpisu • nezajišťuje integritu dokumentu/zprávy • nevíme, kdo jej připojil • může obsahovat cokoli ... • uznávaný el. podpis • zaručený el. podpis • (elektronický podpis) ZoEP (227/2000 Sb.) přesto by obrázkový podpis i emailová patička mohly vyhovět definici (prostého) elektronického podpisu v zákoně
  • 25. 25 děkuji za pozornost Jiří Peterka http://jiri.peterka.cz http://www.earchiv.cz http://www.bajecnysvet.cz http://www.muzeuminternetu.cz