Elektronische en digitale handtekening

1. Elektronische en digitale handtekening Stand van zaken en gebruik 28-2-2005 LCDM René van den Assem

2. Zou het niet mooi zijn …. • Digitale document dezelfde status als ‘papier’. • Rechtszekerheid bij elektronische transacties • Sterke bewijsrechtelijke positie voor elektronische documenten • Het digitale document als ‘origineel’ in documentair informatie systeem 2

3. Elektronische handtekeningen, een breed begrip • Een elektronische hantekening wordt gevormd door gegevens, logisch geassocieerd met andere gegevens (bijvoorbeeld een document) en die dienen ter authenticatie Voorbeelden • Ingescande handtekening • TAN-codes • Digitale handtekening (PKI handtekening) 3

4. Een ‘goede’ elektronische handtekening • Op unieke wijze aan ondertekenaar verbonden • Maakt het mogelijk ondertekenaar te identificeren • Komt tot stand met middelen die onder uitsluitende controle staan van ondertekenaar • Maakt wijzigingen achteraf (eenvoudig) op te sporen Te beschouwen als kwaliteitscriteria. 4

5. Richtlijn Elektronische Handtekening (1999) 5

6. Wat regelt de Richtlijn niet? • De Richtlijn treedt niet in de contractvrijheid. • De richtlijn gaat over handtekeningen, niet over ondertekende documenten / bewijsrecht etc • De Richtlijn vertelt niets over het gebruik van de elektronische handtekening in het elektronische verkeer. • Voor Nederland bijvoorbeeld aangrenzende wetgeving in de Wet elektronisch bestuurlijk verkeer. • De rechter blijft (uiteraard) de ultieme toets. 6

7. Qualified signatures Qualified signature: advanced electronic signature + qualified certificate + secure signature creation device Richtlijn EHT, rechtsgeldigheid • General principle (art. 5.2): Legal effect for all electronic signatures • Second principle (art.5.1): certain electronic signatures get the same legal effect ashand-writtensignature Electronic signatures Advanced electronic signatures 7

8. Wet elektronische handtekeningen (2003) • Burgerlijk Wetboek • Boek 3: rechtsgevolgen, internationale aspecten • Boek 6: aansprakelijkheid • Telecommunicatiewet • Definities, identificatieplicht, toezicht, verwerking van persoonsgegevens • Besluit elektronische handtekeningen • Eisen voor gekwalificeerde handtekeningen (gekwalificeerd certificaat, CSPs, veilige middelen) • Regeling elektronische handtekeningen • Standaarden. Gebruikt u die, dan voldoet u aan bijbehorende eisen uit besluit. 8

9. Equivalentie bij ‘voldoende betrouwbaarheid’ • Artikel 3:15a BW Lid 1 algemene norm: methode van authentificatie voldoende betrouwbaar Indien voor enig rechtsgevolg de handtekening van een persoon is vereist, is daaraan, op gelijke wijze als daaraan door een handgeschreven handtekening zou zijn voldaan, tevens voldaan door een elektronische handtekening, indien de methode die daarbij is gebruikt voor authentificatie voldoende betrouwbaar is, gelet op het doel waarvoor de elektronische gegevens werden gebruikt en op alle overige omstandigheden van het geval. • Voldoende betrouwbaarheid vermoed als voldaan aan eisen voor gekwalificeerde handtekening 9

10. Toezicht en TTP.NL certificatie ZELFVERKLARING GECERTIFICEERD ONDER TTP.NL, ... OPTA RvA TTP BSI PWC CCvD CI TTP TTP PinkRoccade DigiNotar CIBG TTP 10

11. Wet elektronisch bestuurlijk verkeer (2004) • Regelt communicatie tussen overheid (bestuursorganen) en burger • Nevenschikking elektronisch naast papier, niet uitsluitend elektronische kanaal (tenzij wettelijk anders geregeld) • Elektronisch kanaal gebruikt na instemming van beide partijen • Ruime interpretatie schriftelijk = met schrifttekens, niet noodzakelijk papier • Voldoende betrouwbaarheid • Behoudens • Expliciete uitzonderingen • Vormvoorschriften 11

12. First priority EESSI, samenhangende standaarden, meerdere niveaus 12

13. Certification service provider Requirements for CSPs ETSI TS 101 456 Trustworthy Systems CWA 14167,1-3 Time stamping ETSI TS 101 861 Qualified certificate ETSI 101 862 Signature creation device CWA 14168 CWA 14169 Signature creation process and environment CWA 14170 Signature format and syntax ETSI TS 101 733 Signature validation process and environment CWA 14171 Relying party / verifier User / signer Conformity assessment Guidance, CWA 14172 Parts1-5 13

14. EESSI, wat is bereikt • Samenhangend pakket van standaarden • Erkenning door EC / lidstaten van relevante stnds • Policy standaarden, m.n. TS 101 456 breder opgepakt, o.a. Frankrijk, Nederland, Italië • Internationale speler. samenwerking met W3C, IETF PKIX, APEC, Asia PKI Forum, USA Federal PKI • Signature format (o.a. XML: Xades; ETSI TS 101 903 ) wordt geïmplementeerd (ja, ook Microsoft); geregeld interoperablity events Meer over EESSI: http://www.ict.etsi.org/eessi_home.htm 14

15. PKIoverheid • Betrouwbare communicatie met en binnen de overheid • Identificatie / authenticatie • Vertrouwelijkheid • Elektronische handtekening • Voor personen • Uniform betrouwbaarheidsniveau, gekwalificeerde certificaat • Smartcard als drager • Paraplu voor aanbieders • PinkRoccade • Diginotar • CIBG • High-end, komt rustig op gang 15

16. De authenticatie ‘broker’ voor authenticatie authenticatie / elektronische handtekeningen, diverse niveaus, • Van gebruikersnaam / wachtwoord … • Tot PKIoverheid • Nummervertaling om nummering van een ‘externe identiteit’ te vertalen in een voor de overheidspartij hanteerbaar nummer. • Met één wachtwoord naar alle websites van de overheid • Gemeenten aangesloten; straks grote uitvoerders (Belastingdienst, SVB etc) 16

17. Elektronische en digitale handtekening in RMA • Welke vorm wanneer voldoende betrouwbaar? • Algemene elektronische handtekening, b.v. de ingescande handtekening • Digitale handtekening • Digitale handtekening als interne paraaf? • Integriteit in DMS/RMA gehandhaafd met digitale handtekening • Wat op te slaan bij een digitale handtekening? • De handtekening zelf? • De context van het proces waarin deze is gebruikt? 17

18. Wat opslaan, geen uitgemaakte zaak (nog steeds niet) Voor • Dichtste bij ‘origineel’ • Overtuigende reconstructie op basis van een enkel document, niet een totaal archief • Complexiteit beperkt ten opzichte van andere technische uitdagingen (migratie, emulatie, universeel document formaat) en te isoleren Tegen • Technische complexiteit (alle algoritmes moeten ‘aan boord’ zijn) • Digitale handtekeningen snel verouderd als bewijs. Veroudering cryptografie. Vraagt actief onderhoud. • Digitale handtekening  alleen kloppend bij bit-exacte documenten. Alleen emulatie ondersteund. 18

19. Mogelijke lijn • Bij mogelijke juridische conflicten • Kunnen reconstrueren ten overstaan van rechter. 10, 20 jaar of meer? • Digitale handtekening + certificaat (hiërarchie) + bewijs van status van certificaat op moment van ondertekening • Vraagt reeds lange termijn mechanismen • Voor historische verantwoording. • Terugval mogelijk naar opslaan van contextuele info waaruit de controle op de elektronische handtekening blijkt. 19

20. Lange termijn archivering • EESSI: vormen van elektronische handtekening. • ETSI TS 101 733 enXML variant ETSI TS 101 903 • XML-variant basis voor diverse implementaties en initiatieven, o.m. OpenXAdES • Rijkdom aan opties voor time-stamping en archivering. Korte termijn handtekening: 20

21. Lange termijn archivering • Middellange termijn • Lange termijn 21

22. Meer informatie? rene.vandenassem@vka.nl Verdonck, Klooster & Associates Baron de Coubertinlaan 1 2719 EN Zoetermeer Tel: 079-368 1000 Fax: 079-368 1001 http://www.vka.nl 22