Download
1 / 28
280 likes | 354 Views
A DIGITÁLIS ALÁÍRÁS MAGYARORSZÁGON. TÖRTÉNETE.
E N D
TÖRTÉNETE • Az elektronikus aláírás szükségessége politikai szinten a 20. század utolsó évtizedében merült fel. Az Európai Unió 1997-ben fogadta el az elektronikus aláírással kapcsolatos irányelvet, de döntő fontosságú volt 2000-ben, hogy Clinton elnök aláírta az erre vonatkozó amerikai törvényt, s nem sokkal ez után, 2001-ben Magyarországon is létrejött a szükséges szabályozás, majd 2004-ben megalakult nálunk a technológiát támogató és elterjesztését célul kitűző a Magyar Elektronikus Aláírás Szövetség.
FOGALMA • az elektronikus aláírás egy egyedi kódsorozat, melyet egy speciális technológia segítségével helyeznek el a dokumentum szerkezetében. • elektronikus dokumentumnak számít bármilyen elektronikus formában létező adat, amit aláírással láttak el. • elektronikus okirat, amely nyilatkozattételt, illetőleg nyilatkozat elfogadását, vagy nyilatkozat kötelezőnek való elismerését tartalmazza, azaz szerződésnek vagy jogi nyilatkozatnak tekinthető.
FOGALMA • Célja nem magának az információnak a titkosítása, hanem az, hogy a címzett meggyőződhessen arról, a neki küldött üzenet valóban a feladótól származik, és azt más nem módosíthatta. • Az elektronikus aláírás létrehozásához a küldő a saját titkos kulcsát használja, hitelességét pedig a címzett ellenőrzi le a küldő nyilvános kulcsával. • Az elektronikus aláírás a közigazgatásban is egyre inkább elterjed, adóbevallások készítése és elküldése, bizonyos iratok megküldése, az okmányirodai szolgáltatások másik oldalán a központi adatbázissal is digitális aláírás útján kommunikálnak.
JOGI SZABÁLYOZÁS • Az Európai Parlament és a Tanács 1999/93/EK irányelve az elektronikus aláírással kapcsolatos közösségi keretrendszerről • 2001. évi XXXV. törvény az elektronikus aláírásról • Európai Közösségek Bizottsága, Határozat az eljárásoknak a belső piaci • szolgáltatásokról szóló 2006/123/EK európai parlamenti és tanácsi irányelv szerinti • egyablakos ügyintézési pontokon keresztül elektronikus eszközökkel történő • teljesítését lehetővé tevő rendelkezések meghatározásáról, C(2009)7806, 2009. 10. 16. • 78/2010. (III. 25.) Korm. rendelet az elektronikus aláírás közigazgatási használatához • kapcsolódó követelményekről és az elektronikus kapcsolattartás egyes szabályairól • 13/2005. (X. 27.) IHM rendelet a papíralapú dokumentumról elektronikus úton történő másolat készítésének szabályairól • 114/2007. (XII. 29.) GKM rendelet a digitális archiválás szabályairól
SZEREPLŐI • Aláíró: Az a fél, aki elektronikus aláírással lát el egy okiratot. • Benyújtó: Az a fél, aki az Aláíró által elektronikus aláírással ellátott okiratot eljuttatja a befogadónak, azaz felhasználja az aláírást a Befogadó által meghatározott felhasználási területen • Befogadó: Az a fél, aki elektronikus aláírással ellátott aláírt okiratot fogad be. • A Befogadó meghatározza,hogy mely felhasználási területeken fogadja el a jelen szabályzatnak megfelelő az elektronikus aláírásokat.
Az elektronikus aláírás technológia jellegzetessége, hogy az aláírt dokumentum hitelessége a dokumentum kódolásából, szerkezetéből adódik, ha az elektronikusan aláírt dokumentumról másolatot készítünk, a másolat is hiteles lesz. Az elektronikusan aláírt dokumentum hitelességét nem befolyásolja, hogy az hol, kinél van, vagy hogyan továbbítjuk, hiszen a dokumentum hitelességét a dokumentum szerkezete hordozza. Ha az aláírást követően a dokumentum akár a legkisebb mértékben is megváltozik; már egészen más aláírás kellene, hogy hozzá tartozzon. Egy aláírás elkészítéséhez az aláírandó dokumentum mellett saját ún. aláírás-létrehozó adatra (azaz magánkulcsra) van szükségünk. Az aláírás-létrehozó adat úgy képzelhető el, mint egy nagyon hosszú szám. Amikor aláírunk egy dokumentumot, akkor a saját aláírás-létrehozó adatunk alapján kódoljuk azt. Nagyon fontos, hogy mindenkinek különböző aláírás-létrehozó adattal kell rendelkeznie és mindenkinek titokban kell tartania a saját aláírás-létrehozó adatát. Ha egy bűnöző megszerzi az aláírás-létrehozó adatunkat, pontosan olyan aláírásokat hozhat létre mint mi. Azért, hogy ez ne fordulhasson elő, az aláírás létrehozó adatot különösen gondosan szokás tárolni, kezelni. Gyakori megoldás, hogy az aláírás-létrehozó adatot intelligens kártyán (vagy más eszközön) tartják. Intelligens kártya - egy ehhez hasonló eszköz védi az elektronikus aláírás létrehozásához szükséges magánkulcsunkat
Ha valaki aláírt dokumentumot kap, ellenőrzi az aláírást. Ha azt szeretnénk, hogy az aláírásainkat más is felismerje, elfogadja tanúsítványt kell beszereznünk az aláírás-létrehozó adatunkhoz. Tehát érvényes aláírás létrehozásához tanúsítvány és aláírás-létrehozó adat szükséges. • Ezek mellett már csak elektronikus aláírás létrehozására (vagy ellenőrzésére) szolgáló szoftverre – például az e-Szignó programra – van szükség, amely elvégzi az aláírás létrehozásához vagy ellenőrzéséhez szükséges bonyolult kódolási lépéseket.
MÉRTÉKADÓ SZABVÁNYOK MŰSZAKI SPECIFIKÁCIÓK • Mértékadó szabványok, műszaki specifikációk • Aláírás-formátum és konténer-formátum specifikációk: • · ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES) • · ETSI TS 101 733: CMS Advanced Electronic Signatures (CAdES) • · ETSI TS 102 778: PDF Advanced Electronic Signatures (PAdES)
ELEKTRONIKUS ALÁÍRÁSSAL KAPCSOLATOS SZOLLGÁLTATÁSOK • elektronikus aláírás hitelesítés-szolgáltatás (hitelesítés-szolgáltatás): A szolgáltató az előfizetői szerződés alapján egy aláíró tanúsítványt bocsát az aláíró rendelkezésére, amelynek segítségével az aláíró által elektronikusan aláírt dokumentumokon az aláírás ellenőrizhető. A szolgáltató gondoskodik arról is, hogy amennyiben az előfizető, vagy az aláíró ezt kéri, akkor a tanúsítványt felfüggessze, vagy visszavonja, ezzel akadályozva meg az elveszett, ellopott, vagy más módon illetéktelen kézbe került aláíró eszközzel a visszaélést. • időbélyegzés: A szolgáltató az előfizető által megjelölt dokumentumhoz időbélyegbe foglalva hozzákapcsolja az időbélyegzés hiteles időpontját. Később ezzel igazolható, hogy a dokumentum ebben az időpontban már létezett, és azóta nem változott. • aláírás-létrehozó eszközön az aláírás-létrehozó adat elhelyezése: A szolgáltató a vele szerződő fél számára az elektronikus aláírás készítéséhez szükséges adatot (magánkulcs) helyezi el az aláíráshoz használható hardver eszközön • elektronikus archiválás szolgáltatás: A szolgáltató vállalja, hogy a hozzá benyújtott, legalább fokozott biztonságú elektronikus aláírással ellátott dokumentumokat (vagy az azokról készült, a dokumentumra jellemző elektronikus adatot) hitelesen megőrzi, és erről igény esetén igazolást is kiállít. A szolgáltató vállalhatja azt is, hogy a megőrzési idő alatt a dokumentum megjeleníthetőségéről (olvashatóságáról) is gondoskodik.
E-aláírás felhasználási területei • Elektronikus cégeljárás • Az elektronikus cégeljárásban résztvevő felek elektronikus aláírást használva kommunikálnak egymással úgy, hogy a bizonyító erejű iratok, dokumentumok elektronikus formában léteznek. Az ügyvéd elektronikusan írja alá a kérelmeket, elektronikusan fizeti az eljárási illetéket, és e-mailen továbbítja az aktát a cégbíróság felé. Az elektronikusan aláírt akták beküldéséről az adott szervezet egy elektronikus tértivevényt küld, mely bizonyítja azt, hogy átvette az aktát. • A cégbíróság belső folyamataiban az APEH, a KSH, a MÁK és a kereskedelmi bankok elektronikus aláírással ellátott adatokat szolgáltatnak a cégbíró felé, aki végzését szintén elektronikusan aláírva hozza meg. Az elektronikus cégeljárás folyamatába bármely ügyvéd vagy vállalati jogász szabadon bekapcsolódhat. Napjainkban számos szervezet jogi képviselője elektronikus úton bonyolítja a cégügyeit, és a résztvevők köre folyamatosan bővül. • Elektronikus számlázás:A jelenleg érvényben levő jogi szabályozás a számviteli törvénnyel összhangban megengedi az elektronikus számviteli bizonylatok létrehozását és azok hosszú távú megőrzését. Ilyen módon mind kibocsátói, mind befogadói oldalon lehetőség van a számviteli bizonylatok elektronikus kezelésére, jelentős összegeket megtakarítva a papír alapú számlakezeléssel szemben. Jelenleg már több nagy és közepes vállalat alkalmazza ezt az eljárást.
E-aláírás felhasználási területei • Archiválás • Minősített Archiválás Szolgáltatásunkat törvényi szabályozás szerint a Nemzeti Hírközlési Hatóság által felügyelt módon nyújtjuk. A minősített archívum elektronikusan aláírt dokumentumokat tárol hosszú távra, akár évtizedekre úgy, hogy azok megőrizzék joghatásukat, azaz bizonyító erejüket.. A minősített archívum használata minden olyan esetben célszerű, ahol a 7/2005 IHM rendeletben meghatározott tárolási feltételeknek kell megfelelni. Így használható pl. számlák, orvosi akták, kutatási dokumentumok, titkos akták, bizalmas dokumentumok tárolására vagy a törvény által előírt hosszú távú megőrzési kötelezettség teljesítésére. • Megbízható információcsere • Jelen információtechnológiai fejlettség mellett a PKI technológia biztosítja a legmagasabb információbiztonsági szintet. Ez vonatkozik a dokumentumok eredetének bizonyíthatóságára, az aláírt dokumentumok megfelelő titkosítására, valamint a felek megbízható azonosítására bármilyen tranzakcióban (pl. levélváltás, megrendelés, jelentéstétel, stb.). A titkosító kulcs 1024 bites kulcsot használ, melynek feltörése a jelenleg rendelkezésre álló informatikai eszközökkel gyakorlatilag lehetetlen.
E-aláírás felhasználási területei • Dokumentum- és iratkezelés • A dokumentumkezelés bármely életciklusában alkalmazható a dokumentumok keletkezésétől azok archiválásáig, minden olyan esetben, ahol egyébként aláírt dokumentumokat használunk. Az elektronikusan aláírt dokumentumok tartalma nem változtatható az aláírás érvényessége mellett, az aláíró személye és az aláírás megbízható időpontja kétséget kizáróan megállapítható. • Iratfeldolgozás • Jellemzően már az iratok érkeztetésekor megtörténik azok digitalizálása és aláírása. Papíralapú dokumentumok jogszabályi módon (13/2005 IHM rendelet) átalakíthatóak úgy, hogy a digitális változat joghatásában megegyezzen a papíralapú eredetivel. A digitalizálást követően már csak elektronikusan áramlanak tovább az aláírt dokumentumok, eredetük bizonyítható, tartalmuk titkosítható.
E-aláírás felhasználási területei • Portál és egyéb web alapú alkalmazás • Az elektronikus aláírás használható webszerverek azonosítására is, így egy adott webhelyről megállapítható annak "személyazonossága", vagyis megbízhatósága. Portálokon az elektronikus aláírással megbízható bejelentkezés és azonosítás eszközölhető, az online tranzakciók biztonságos környezetben történnek, a letöltött dokumentumok forrása hiteles. Jellemzően önkormányzatok használják elektronikus ügyintézésre, de használják elektronikus számlakibocsátó cégek, valamint olyan társaságok is, amelyek web alapú kereskedelmet, beszerzést bonyolítanak, illetve jelentéstételi kötelezettséget teljesítenek. • Elektronikus üzenetek • Sokszor problémát jelent az elektronikus üzenetek esetében az, hogy a továbbított dokumentum a továbbítás során megváltozik, azt valaki jó vagy rosszhiszeműen megváltoztatja, felhasználja. Az elektronikus üzenetek tartalma erős védelmet kap az elektronikus aláírás felhasználásával. Egyrészt biztosítható, hogy az aláírt dokumentum a továbbítás során nem változik meg, így teljesen mindegy, hogy az elektronikus levelezés milyen csatornán történik (levelezőprogram, portál, stb.). Másrészt biztosított a továbbított tartalom védelme titkosítás által.
E-aláírás felhasználási területei • Adatszolgáltatás és jelentéstételi kötelezettség teljesítése • Egyre elterjedtebb gyakorlat, hogy államigazgatási, illetve magán cégek bizonyos jelentéstételi, vagy adatszolgáltatási kötelezettségeiket elektronikus úton teljesítik úgy, hogy azok tartalmát elektronikusan aláírva továbbítják. Néhány példa lehet a cégbíróságok felé az éves beszámoló letéti kötelezettség teljesítése, bankok számára az MNB és PSZÁF felé történő jelentéstételi kötelezettsége, stb. • Azonosítás • A PKI technológia lehetőséget ad egy adott tranzakcióban résztvevő szereplők megbízható azonosítására. Ilyen például a kormányzati portál, ahol csak azonosítás után kezdeményezhető tranzakció. Számos helyen használják az authentikációs tanúsítványokat a helyi számítógépes rendszerbe való belépéshez is. Az authentikációs technológia minden olyan esetben indokolt, ahol egy személy, szervezet, vagy egy szervezet nevében eljáró egyén megbízható azonosítása szükséges. • PDF aláírás - dokumentumok egységesítése, nemzetközi szabvány • Lehetőség van arra, hogy a szabványként elfogadott PDF formátumú elektronikus aláírások készüljenek. Ez olyan esetben használatos, ahol a dokumentumok egységesítése egy formátum platformra szükséges. Így az elektronikusan aláírt és időpecsételt dokumentum PDF formátumú marad. Nagy előnye, hogy a PDF aláírás ellenőrzéséhez nem szükséges egyéb alkalmazás, elég az Adobe Acrobat Reader. Miután a PDF nemzetközileg is elfogadott formátum, ezért ez a típusú aláírás igen jól használható nemzetközi viszonylatban is. Egyes területeken, mint pl. az elektronikus számlázás, szintén elterjedt a PDF formátum használata.
E-aláírás felhasználási területei • Szerződéskötés • Általános érvénnyel elfogadott bármely szerződés (két vagy többoldalú) aláírása elektronikus módon. Ebben az esetben a feleknek nem szükséges személyesen találkozniuk, illetve nem szükséges a papíralapú másolatok logisztikai kezelése, a szerződések e-mailen is továbbíthatóak. Lehetőség van ún. ellenjegyző aláírás készítésére is. Az aláírt dokumentum minden másolata eredetinek tekintendő. • Mobil munkatársak • Az elektronikus aláírás használata igen hasznos olyan esetekben, amikor egymástól fizikailag elkülönült egységek, vagy munkatársak dolgoznak úgy, hogy adatokat, szerződéseket, megrendelőket továbbítanak egy központi számítógépes hálózat felé. Ilyen lehet egy kereskedelmi ügynök, vagy egy területi képviselő, aki jellemzően nem irodában tölti az idejét, de fontos számára a hiteles kommunikáció egy adott központtal. • Logisztika - fuvarlevelek, egyéb okmányok • Általános érvényű felhasználási terület lehet a logisztikai terület, ahol áruk, termékek, esetleg szolgáltatások mozognak jelentős dokumentációt hordozva magukkal. Amennyiben ezek a dokumentációk elektronikusan aláírva közlekednek, úgy nem csak az ügyintézési idő rövidül le (nem kell várni egy adott dokumentum fizikai megérkezésére), hanem biztosítható a dokumentációk bizalmassága is.
Minősített és nem minősített szolgáltatás tanúsítása • Tanúsított elektronikus aláírási termékek • Elektronikus aláírási termék: olyan szoftver vagy hardver, illetve más elektronikus aláírás alkalmazáshoz kapcsolódó összetevő, amely elektronikus aláírással kapcsolatos szolgáltatások nyújtásához, valamint elektronikus aláírások, illetőleg időbélyegző készítéséhez vagy ellenőrzéséhez használható. Tanúsítvány és időbélyegző előállításához, valamint minősített elektronikus aláírás létrehozásához kizárólag olyan aláíró eszköz és egyéb elektronikus aláírási termék használható, amely rendelkezik a Hatóság által nyilvántartásba vett, tanúsításra jogosult szervezetek által erre a célra kiadott igazolással, vagy amelynek megfelelőségét az Európai Unió valamely más tagállamában erre kijelölt tanúsító szervezet tanúsította.. • E-aláírási termék tanúsító szervezetek • Tanúsító szervezet: olyan magyarországi, vagy az Európai Unió valamely más tagállamában működő személy vagy szervezet, aki, vagy amely az elektronikus aláírási termék megfelelőségének tanúsítására a kijelölésében, vagy a számára kiadott akkreditációban foglaltak szerint jogosult. A Hatóság nyilvántartást vezet és tesz közzé a fokozott biztonságú, illetve minősített elektronikus aláírás előállításához felhasználható aláírás-létrehozó eszköz és egyéb elektronikus aláírási termék tanúsítására Magyarországon kijelölt, illetve akkreditált szervezetekről.
A kulcs fogalma • A kriptográfiai kódolások segítségével illetéktelen személyek támadásaival szemben védhetjük • információink bizalmasságát vagy hitelességét. • Eloször Auguste Kerckhoffs1 mondta ki a fenti gondolatokat, és azt javasolta, hogy a kódoló • algoritmusoknak legyen egy olyan paramétere, amelyet könnyen és gyorsan lehet cserélni, • nevezzük ezt kulcsnak, és a kódolás akkor is maradjon biztonságos, ha a kódoló/dekódoló • algoritmus minden egyes részlete – a kulcsot kivéve – nyilvános, így a támadó által is ismert.
Szimmetrikus kulcsú és nyilvános kulcsú kriptográfia • A szimmetrikus kulcsú titkosítás során a dokumentumot ugyanazzal a kulccsal kódoljuk, • amivel majd dekódolni is lehet; a kódolásra és dekódolásra használt kulcsot ekkor titokban • kell tartanunk, ezért titkos kulcsnak is nevezzük. E módszer hátránya, hogy a titkos kulcsot biztonságos módon kell eljuttatni a fogadó fél számára, hogy illetéktelen fél ne ismerhesse • meg. (Lásd: 2.4. ábra.) Ez bizonyos esetekben nagyon nehéz problémát jelenthet.
Elliptikus görbék a titkosításhoz • Az alábbi egyenlet definiál egy F test feletti elliptikus görbét: • y2+axy+by = x3+cx2+dx+e • A fenti egyenletben mind az a, b, c, d, e együtthatók, mind az x és y változók az F test elemei. • A görbét azon (x, y) 2 F2 pontok alkotják, amelyek kielégítik a fenti egyenletet. További • követelmény, hogy a görbe „sima” legyen, azaz ha a fenti egyenletet f(x, y)=0 alakra hozzuk, • akkor az f függvény akárhányszor differenciálható legyen.
