Електронен подпис: какво представлява и как работи

Електронният подпис е много широко понятие, което често се бърка и заменя свободно с термина "цифров подпис". За разликата между тези два вида подписи сме писали отделно.

Тук ще коментираме електронния подпис така, както е дефиниран в нормативна рамка, приложима в България.

Според закона за електронния документ и електронните удостоверителни услуги (ЗЕДЕУУ) има 3 вида подписи:

• Обикновен
• Усъвършенстван
• Квалифициран

Този закон транспонира (прехвърля) понятията и рамките, наложени от Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета от 23 юли 2014 година относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО (Регламента).

Трите типа електронни подписи се различават по степента, до която може да се провери кой ги е положил.

При квалифицираните подписи, официално акредитиран издател (доставчик на удостоверителни услуги) потвърждава тяхната автентичност. Според Регламента и според ЗЕДЕУУ, и трите вида подписи имат правна стойност, като квалифицираният електронен подпис е равностоен на ръкописен подпис. Законът също така постановява, че електронният подпис и усъвършенстваният електронен подпис имат същата правна сила като ръкописния подпис, когато страните са се споразумели за това, както е посочено в член 13, алинея 4.

Обикновеният електронен подпис е най-простата форма на електронно подписване. Той не изисква някакви специални технологии. Също така не спазва никакви стандарти за сигурност.

Обикновеният подпис може да бъде името ви в края на и-мейла. Може да бъде картинка със снимано или сканирано изображение на реалния ви саморъчно изписан на хартия подпис. Вижте защо не е добре да ползваме подписване с картинка.

Но този вид подпис по никакъв начин не гарантират идентичността на подписващия и не предпазват документа от промени след подписването.

Обикновеният електронен подпис е подходящ най-вече за ситуации, където удобството и бързината на електронното подписване са по-важни от сигурността и удостоверяването на идентичността. Затова за важни документи, например договори, анекси, протоколи и други, се препоръчва използването на следващите две по-сигурните форми на електронен подпис.

За този вид подписи сме писали по-подробно в статията “Начини за подписване с усъвършенстван електронен подпис (УЕП)”. Но съвсем накратко, това е подпис, който предлага много по-високо ниво на сигурност и гаранции за идентичността на подписващия в сравнение с обикновения електронен подпис. УЕП отговаря на следните критерии:

• Да е уникален и лично свързан с подписващия;
• Да може да идентифицира подписващия и да удостовери неговата идентичност с висока степен на сигурност.
• Да гарантира, че всяка промяна в документа след подписването му може да бъде проследена. Или с други думи, подписът е свързан с документа по такъв начин, че всяка последваща модификация е откриваема.

Усъвършенстваните електронни подписи най-често изискват използването на квалифицирани сертификати за електронен подпис. Какво значи това, можете да прочетете малко по-надолу в секцията, описваща технологията на подписване.

Това е най-високото ниво на електронно подписване, защото предлага максимална сигурност и най-вече юридическа стойност. Този вид подпис е строго регулиран и признат в много юрисдикции, особено в страните от Европейския съюз, където е определен и стандартизиран съгласно общоевропейски регламент: Регламент за електронната идентификация и удостоверителните услуги за електронни трансакции във вътрешния пазар (eIDAS).

КЕП предоставя следните ключови характеристики и предимства:

• КЕП изисква използването на квалифициран сертификат за електронен подпис, който се издава от т. нар. квалифициран доставчик на удостоверителни услуги (ДУУ). Повече за тези доставчици сме написал в статията ни “Доставчиците на удостоверителни услуги - гарант в процесите, свързани с електронното подписване на документи”, но съвсем накратко - ДУУ са официални и акредитирани от държавата издатели на електронни подписи.
• При КЕП задължително се използват криптографски технологии за защита на подписа и документа от неоторизирано изменение.
• На много места по света, и най-вече в ЕС, квалифицираният електронен подпис има същата юридическа стойност като традиционния ръкописен подпис. Това означава, че документи, подписани с КЕП, са допустими в съдебни процеси и за официални цели.

Вижте сравнение на цените на електронни подписи в България.

За детайлни указания как да си издадете мобилен квалифициран електронен подпис, можете да погледнете инструкциите на двата доставчика, които издават такива подписи:

• Създаване на електронен подпис с Evrotrust
• Създаване на електронен подпис с B-trust

Не. Електронният сертификат, на база на който е издаден електронният подпис, подлежи на срок на валидност, посочен в самия сертификат. След изтичането на срока на валидност, сертификатът става нищожен.

Възможно е валидността на сертификата да бъде оттеглена преди неговата дата на изтичане. Можете да поискате валидността на вашия сертификат да бъде прекратена, ако например сте загубили смарткартата, на която се съхранява или ако вашият ключ е компрометиран.

Доставчиците на удостоверителни услуги публикуват статуса на валидност на всички издадени сертификати, така че трети страни могат да проверят дали сертификатът е валиден, изтекъл или оттеглен.

Процесът на електронно подписване обикновено включва следните стъпки:

1. Взима се един електронен документ и се създава неговия т. нар. хеш (криптографски еквивалент). Хешът е уникален за всеки документ и всяка промяна в документа ще доведе до различен хеш.
2. Криптиране на хеша с частния ключ на подписващия. Това е самият електронен подпис.
3. Прикрепяне на електронния подпис към документа или изпращане на подписа заедно с документа.
4. За да провери подписа, получателят използва публичния ключ на подписващия за дешифриране на електронния подпис и получаване на хеша. След това получателят генерира нов хеш на получения документ и го сравнява с хеша, получен от дешифрирането на електронния подпис. Ако двата хеша съвпадат, това означава, че документът не е бил променян след подписването и че подписът е валиден.

Не можем да обясним технологията без да влезем в малко технически детайли. В основата стои така нареченото асиметричното криптиране. Това включва използването на два ключа - публичен и частен.

Частният ключ се използва за генериране на подписа и е под управлението само на подписващия. Този ключ се пази в тайна.

Публичният ключ се използва за верификация на подписа, като може и трябва да бъде достъпен за всеки, който иска да провери подписа.

Накратко: частният ключ се използва за генериране на подписа, а публичният ключ - за неговата верификация.

Много често, когато се говори за електронни подписи се говори и за цифрови сертификати. А самите цифрови сертификати понякога се наричат удостоверение за квалифициран електронен подпис. Т.е. имаме три термина, но два от тях описват едно и също нещо.

Каква е разликата между цифровия сертификат и електронен подпис?

Цифровият сертификат удостоверява идентичността на човека, асоцииран с публичния ключ, и осигурява средства за шифроване и безопасен обмен на информация. На базата на цифровия сертификат се осъществява електронната идентификация. Сертификатът:

• Съдържа публичния ключ, който споменахме в предишната точка, както и информация за собственика;
• Свързва даден публичен ключ с определено лице - физическо или юридическо;
• Може да бъде подписан от друг сертификат, а може да бъде и подписан самостоятелно (това са т. нар. self-signed сертификати).

А електронният подпис удостоверява, че конкретен документ е бил подписан от определено лице, и гарантира неговата цялост и автентичност.

Без цифров сертификат, не може да има електронен подпис.

На практика, доставчиците на удостоверителни услуги генерират цифровия ви сертификат, след като се уверят в самоличността ви.

На практика има един стандарт, който се прилага в контекста на цифровите сертификати и това е X.509 стандарта. Той определя съдържанието на публичните сертификати. Както вече казахме, тези сертификати се използват за установяване на самоличността на лица, организации, системи или устройства във виртуалното пространство. Стандартът X.509 включва:

• Структура на сертификата - Определя каква информация трябва да съдържа сертификатът, включително:
  • версията
  • серийния номер
  • алгоритъма за криптиране
  • издател
  • валидност
  • субект или притежателя (личността, организацията, системата или устройството, за което е издаден сертификатът)
  • публичния ключ
  • допълнителни полета
• Алгоритъм за подписване - Описва с какъв криптографски алгоритъм е подписан сертификатът от издателя. Например RSA.
• Управление на сертификати - Описва процедурите за издаване, подновяване, отмяна и проверка на статуса на сертификати. Това управление се извършва чрез Центрове за сертификация (Certification Authorities, CAs) и регистрационни центрове.
• Верига на доверие (Chain of trust) - Описва как сертификатите са свързани един с друг чрез йерархия на доверие, като най-отгоре в тази йерархия е коренният сертификат (root certificate) на доверен Център за сертификация. Това позволява на потребителите да верифицират валидността на даден сертификат чрез проверка на всички подписи по веригата до коренния сертификат.

Можем да направим аналогия на цифровия сертификат с документ за самоличност: паспорт или лична карта.

Представете си, че вие сте граничен полицай и искате да сте сигурни, че всички хора, които влизат в страната, наистина са граждани на съответната държава. За това всеки носи лична карта или паспорт, който показва кой е тя или той.

• Кой издава документа? Има специални държавни органи (нарекохме ги Центрове за сертификация), които издават тези документи (сертификати). В България, това са поделенията на Министерството на вътрешните работи, които издават паспорти на хората. По същия начин, във виртуалното пространство, има доверени организации, на които е поверено издаването на цифровите сертификати.
• Как се проверява? При паспортите и личните карти, се прави визуална проверка и се изчита т. нар. машинно-четима част от документа. Ако граничният полицай иска да провери дали картата е истинска, той може да се свърже с регистрите на организацията, която я е издала (ако документът е български, значи трябва да се свърже със системите на МВР), за да потвърди и да свери данните, които се виждат на самата пластика с данните в системата:

Тези документи (сертификати) помагат да се гарантира, че когато общуваме или правим нещо важно във физическия свят или във виртуалното пространство, наистина комуникираме с правилния човек, уебсайт или услуга, а не с някой, който се опитва да ни измами.

Накратко, X.509 е система, която помага на хората и организациите да докажат своята идентичност.

Става все по-сложно, но всъщност зад този термин от програмирането, стои просто един алгоритъм, които може да преобразува произволен набор от входни данни (например, документ за подписване) в кратък фиксиран код (хеш). Хешът служи като уникален "отпечатък" на данните. И най-малката промяна в оригиналните данни води до генерирането на различен хеш. При електронното подписване, хешът на документа се създава и след това се подписва с частния ключ на подписващия, и в това на практика се състои самото електронно подписване.

Нещо специфично за хеширането: то работи еднопосочно. Т.е. от един документ може да се създаде неговия хеш еквивалент. Но от хеша не може да се пресъздаде съдържанието на документа.

За да се провери даден електронен подпис, се използва публичния ключ на подписващия, който, както вече знаем, е достъпен за всеки. С публичния ключ се се дешифрира подписания вече хеш. След това се генерира нов хеш на същия документ и се сравнява с вече дешифрирания хеш. Ако двата хеша съвпадат, това потвърждава, че документът не е бил променян след подписването.

Ако отворите един подписан документ в Adobe Acrobat, последния ще се погрижи да направи проверката за вас и да ви каже дали подписът е валиден. Можете също така да проверите за валидността на подписването и в някой от сайтовете на доставчиците.

Квалифицираните електронни подписи се регулират от местни закони и международни регулации, като Регламента eIDAS и ЗЕДЕУУ, за които писахме по-горе.

Тези регулации определят строги изисквания за процесите на издаване на квалифицирани цифрови сертификати, управление на ключове, архивиране на подписи и други аспекти на електронното подписване, за да се гарантира надеждността и юридическата валидност на подписите.

Комбинацията от тези технологии и регулаторни изисквания осигурява изключително висока степен на сигурност и доверие в усъвършенстваните и квалифицираните електронни подписи, правейки ги подходящи за много широк спектър от приложения, включително финансови трансакции, юридически документи, договори, споразумения, протоколи, сертификати и много други.