Untitled - Vitajte na stránkach www.einsty.hostujem.sk

Od praktických skúsenostík návrhu zákonaO ELEKTRONICKOM PODPISEI N F O W A R EAj keï na Slovensku ešte nie je prijatý zákon o elektronickompodpise (ïalej ZoEP), v praxi sa elektronický podpis (ïalej EP) užnieko¾ko rokov používa. V elektronickom bankovníctve sa dnesnapríklad používajú rôzne druhy EP – statické kódy, jednorazovékódy na báze symetrických k¾úèov a digitálny podpisna báze asymetrických k¾úèov. Zachyti obsah právneho úkonua urèi osobu, ktorá právny úkon elektronickými prostriedkamiurobila, dnes technicky umožòuje digitálny podpis za predpokladuvhodnej metodiky a právneho rámca. V súvislosti s návrhmiZoEP sa v nasledujúcom príspevku zamyslíme nad praktickýmiaspektmi elektronického podpisu.Elektronický podpis je k¾úèovým prvkom seriózneho elektronickéhoobchodu a ïalších elektronických služieb s prívlastkome-. Aby takýto podpis mal právnu váhu porovnate¾nús vlastnoruèným podpisom, musí v súlade s § 40 ods. 4Obèianskeho zákonníka umožnova „zachyti obsah právnehoúkonu a urèi osobu, ktorá právny úkon elektronickými prostriedkamiurobila“.Pri elektronickej výmene informácií splneniu podobnýchprávnych požiadaviek ve¾mi úèinne napomáha moderná kryptografia.Na splnenie požiadavky „zachytenia obsahu právnehoúkonu“ krytografia umožòuje „overenie integrity elektronickéhodokumentu“, t. j. odhalenie akejko¾vek modifikácie elektronickéhodokumentu po jeho podpísaní. Rovnako kryptografiaumožòuje overi podpisovate¾a elektronického dokumentu. Slúžijej na to tzv. digitálny podpis s asymetrickou dvojicou k¾úèov.V nasledujúcej èasti sa pozrieme na praktické použitietakéhoto podpisu na príklade z elektronického bankovníctva.Zameriame sa na 5 hlavných okruhov súvisiacich s digitálnympodpisom:1. Generovanie k¾úèovIde o generovanie dvojice k¾úèov – tajného (TK – tzv. informáciana vytváranie digitálneho podpisu) a verejného (VK – tzv. informáciana overovanie digitálneho podpisu). Táto dvojica k¾úèovspolu vzájomne súvisí (platnos podpisu vytvoreného TK jemožné overi iba zodpovedajúcim VK), prièom jeden nie jemožné v reálnom èase a pri súèasne dostupných poèítaèovýchkapacitách odvodi zo znalosti druhého (platí to za predpokladuurèitej dåžky k¾úèa – dnes to je minimálne 768 bitov). Už sámnázov tajný k¾úè napovedá, že by malo ís o informáciu, ktorá jetajomstvom jej maji e¾a-podpisovate¾a, aby nemohlo dôjsk zneužitiu tejto informácie druhou osobou.Spoèiatku bol generátor k¾úèov väèšinou na bankovej strane,kde na poèítaèi banky boli príslušným pracovníkom banky generovanék¾úèe pre jednotlivých klientov. TK na diskete, resp. èipovejkarte RSA, v zapeèatenej obálke odovzdala banka klientovi.Zodpovedajúci verejný k¾úè ostával na príslušnom serveriv banke.Aby bolo možné vylúèi , že kópia takto vygenerovaného TKklienta ostala k dispozícii v banke, presunulo sa generovaniek¾úèov klienta z banky na stranu klienta. Klientovi na to slúžijednoduchý nástroj – generátor k¾úèov – umožòujúci vygenerovaa uloži TK na disketu, resp. èipovú kartu RSA pre potrebyklienta, a VK s príslušným protokolom (certifikátom) uloži naïalšiu disketu pre potreby banky.2. Certifikácia verejného k¾úèaAby bolo možné priradi VK ku konkrétnej osobe, je potrebné,aby sa majite¾ TK (tzv. podpisovate¾) prihlásil k zodpovedajúcemuVK. Robí sa to väèšinou na papierovom protokole s opisomVK. Podpisom takéhoto protokolu, obrazne povedané, majite¾príslušného TK dáva súhlas na rozšírenie svojej autentifikácie(overenie pravosti osoby) pomocou klasického podpisu o elektronickúautentifikáciu prostredníctvom digitálneho podpisu,ktorého platnos je overite¾ná príslušným VK. Podpis druhejstrany (banky, resp. nezávislej a uznávanej tretej strany – tzv.certifikaènej autority) je prejavom akceptácie a zároveò urèitejgarancie tohto VK. Pokia¾ neexistuje nezávislá certifikaèná autorita,tento protokol s podpisom druhej strany (banky) chrániklienta pred podvrhnutím nepravého VK zo strany banky. Jezároveò jedným z dôkazových materiálov pri prípadnom súdnomspore, v ktorom by sa malo dokáza , èi napríklad príkaz naúhradu z úètu klienta obsahuje platný podpis klienta. V záujmezvýšenia bezpeènosti digitálneho podpisu sa odporúèa pravidelnávýmena k¾úèov klienta (1 × za 6 mesiacov, resp. 1 × za rok),preto sa na protokole èasto udáva platnos verejného k¾úèa, prípadneobmedzenie platnosti na urèitú maximálnu sumu.Elektronická forma takéhoto protokolu s príslušným VK sanazýva certifikát a slúži na automatizované overovanie pravostipodpisu. Je zrejmé, že do prijatia potrebných usmernení a vybudovaniainfraštruktúry nezávislých a uznávaných certifikaènýchautorít dobre poslúži popri elektronickej forme certifikátu na10/2001 PC REVUE 99