SlideShare a Scribd company logo
1 of 22
Jiří Peterka
17.1.2018
Praktický pohled na elektronické
podpisy a jejich fungování
není (el.) podpis jako (el.) podpis
• lidé dnes chtějí/mohou/musí projevovat svou vůli různými způsoby
úkon
poskytnutí/
/předání
informace
poskytnutí
vzorku
výpočet
(kryptografie)
Zadejte PIN: 1234
Souhlasím
(prostý) el. podpis
zaručený ….
uznávaný ….
prostý el. podpis
kvalifikovaný … kvalifikovaný …
zaručený …
uznávaný ….
prostý el. podpis
nejnižší míra robustnosti /důvěryhodnosti
/ možnosti spoléhat se
nejvyšší míra …
Jan Novák +++
příklad zaručeného el. podpisu
• pozor: zaručený el. podpis nezaručuje identitu podepsané osoby !!!
– formou zaručeného elektronického podpisu se lze (velmi snadno) podepsat za
kohokoli jiného
– zaručený podpis může „patřit“ i někomu, kdo vůbec neexistuje (jako fyzická osoba)
• zaručuje pouze neměnnost (integritu) toho, co je podepsáno ….
je to špatný překlad
• „zdokonalený“ (či: „pokročilý“, „vylepšený“) el. podpis není od toho,
aby zaručoval identitu podepsané osoby
– od toho jsou „vyšší“ varianty el. podpisu – uznávaný a kvalifikovaný el. podpis
• je od toho, aby zajišťoval neměnnost (integritu) toho, co bylo podepsáno
zaručený el. podpis dlouhodobě mate
• mnoho lidí si stále myslí, že zaručený el. podpis zaručuje identitu
podepsané osoby
– a požadují tento druh podpisu tam, kde by měli požadovat „vyšší“ variantu el. podpisu
• příklady z legislativy:
– zákon č. 99/1963 Sb., Občanský soudní řád
• § 174a: Elektronický platební rozkaz
– (1) Je-li návrh podán na elektronickém formuláři podepsaném zaručeným elektronickým
podpisem žalobce a nepřevyšuje-li peněžité plnění požadované žalobcem částku 1 000 000
Kč, soud může vydat na návrh žalobce elektronický platební rozkaz
– zákon č. 269/1994 Sb., Zákon o Rejstříku trestů
• § 16a
– (1) Žádost o vydání výpisu a o nahlédnutí do opisu může osoba, jíž se údaje týkají, zaslat
v elektronické podobě opatřené zaručeným elektronickým podpisem.
– vyhláška č. 62/2015 Sb., o provedení některých ustanovení zákona o zdravotnických
prostředcích
– (3) Výsledek šetření nežádoucí příhody oznamuje výrobce nebo zplnomocněný zástupce
Ústavu elektronicky vyplněným a zaručeným elektronickým podpisem podepsaným
formulářem pro hlášení nežádoucí příhody
teprve od 1.7.2012: uznávaným
od 1.7.2012: podepsané uznávaným
požadavek na „zaručený“: celkem 6x
• představa:
– zaručený el. podpis vzniká „semletím“ dvou ingredienci
1. podepisovaného dokumentu
– tím se podpis stává závislým na tom, co je podepsáno
• díky tomu dokáže chránit proti změně
– díky tomu je zaručený el. podpis pokaždé jiný
• a nelze ho připravit dopředu !!!
2. soukromého klíče
– soukromý klíč je tím, co nemá nikdo jiný, co je specifické pro konkrétní podepisující osobu
– soukromý klíč je „tím, co činí můj podpis mým podpisem“
• realita:
– nevíme, kdo (třeba někde v soukromí) skutečně použil soukromý klíč (kliknul myší ...)
proč zaručený podpis nezaručuje?
• nastupuje právní fikce:
– podpis patří tomu (za podepsanou osobou považujeme toho), kdo
prohlašuje soukromý klíče za svůj
• certifikát = osvědčení o tom, komu soukromý klíč patří
– kdo ho prohlašuje za svůj
u zaručeného el. podpisu není kladen žádný požadavek na důvěryhodnost certifikátu !!!
• shrnutí:
– u zaručeného el. podpisu nám nezáleží na
tom, od koho pochází osvědčení o vlastnictví
soukromého klíče – v podobě certifikátu
• akceptujeme jakýkoli certifikát, který mohl
vydat kdokoli
– i někdo, kdo nám lže a tvrdí něco, co není
pravdou
• může se jednat třeba i o testovací certifikát
– jaký si může kdokoli vyrobit „na koleně“ a
napsat si do něj, cokoli jen chce
• viz příklad s literární postavou Josefa Švejka
proč zaručený podpis nezaručuje?
• pokud chceme mít jistotu (ohledně toho, komu podpis patří):
– musíme požadovat „dostatečně kvalitní“ (důvěryhodný) certifikát
• takový, u kterého se můžeme spoléhat na správnost jeho obsahu
– konkrétně tzv. kvalifikovaný certifikát
• který může vydávat jen kvalifikovaná certifikační autorita, splňující požadavky zákona
– dnes: kvalifikovaný poskytovatel služeb vytvářející důvěru
– dnes v ČR: I.CA, PostSignum, eIdentity
pak už se jedná o kvalifikovaný (či uznávaný)
elektronický podpis
kvalifikovaný statut
• přívlastkem „kvalifikovaný“ se označuje to, čemu můžeme (musíme)
důvěřovat / na co se můžeme spoléhat …. ze zákona (nařízení)
– svou důvěru odvozujeme ze zákona
– máme:
• kvalifikované služby (vytvářející důvěru)
– např. kvalifikované služby elektronického doporučeného doručování
– kvalifikované služby ověřování platnosti …. podpisů, pečetí
– ……
• kvalifikované poskytovatele (služeb vytvářejících důvěru)
– dnes v ČR: I.CA, PostSignum., eIdentity, Software602
• kvalifikované elektronické podpisy, kvalifikované elektronické pečeti
• kvalifikované certifikáty
• kvalifikovaná časová razítka
• kvalifikované prostředky (pro vytváření el. podpisů)
• ………
• to, co není kvalifikované, nemusí být nedůvěryhodné
– ale: pokud tomu chceme důvěřovat, musíme svou důvěru odvozovat z něčeho jiného
• obvykle: z toho, kdo je poskytovatelem služby / vydavatelem certifikátu
– například: důvěřujeme bance, u které máme peníze
to, co je
kvalifikované,
má právo být
označeno touto
značkou
kvalifikovaný vs. uznávaný el. podpis
• kvalifikovaný el. podpis
– používá se a uznává v celé EU
– vyžaduje kvalifikovaný certifikát
– vyžaduje použití certifikované
čipové karty nebo USB tokenu
• tzv. kvalifikovaného prostředku pro
vytvářejí el. podpisů
– reálně: jde o bezpečné uložení
soukromého klíče
• uznávaný el. podpis
– je naší národní specialitou, jinde neznají
– vyžaduje kvalifikovaný certifikát
– nevyžaduje použití certifikované čipové
karty nebo USB tokenu
– reálně: jde o peníze – „přeci nebudeme
nutit lidi pořizovat si čipovou
kartu/token“
• dnes za cca 700 Kč
• analogie s platebními kartami:
– kvalifikovaný el. podpis je jako platba u obchodníka / výběr z bankomatu:
• je nutné mít kartu (fyzicky) - pokud vám ji neukradnou, je riziko zneužití malé ……
– uznávaný el. podpis je jako on-line platba po Internetu
• není nutné mít kartu (fyzicky), stačí znát údaje o kartě. Riziko zneužití je větší ……
kvalifikovaný vs. uznávaný el. podpis
zaručený elektronický podpis
ne-kvalifikovaný
certifikát
kvalifikovaný
certifikát
kvalifikovaný elektronický podpis
uznávaný elektronický podpis
kvalifikovaný
certifikát
lze se spoléhat na identitu ..
nelze se spoléhat na identitu …
(prostý) elektronický podpis
• rezignuje na jakékoli požadavky
– podpisem může to být cokoli elektronického (data)
– nemluví se o žádném ověřování (či jen možnosti ověření) čehokoli !!!
– vazba mezi podpisem a podepsanými daty není specifikována (může být libovolná)
• nová definice (nařízení, 2016):
– data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě
nebo jsou s nimi logicky spojena a která podepisující osoba používá k podepsání
• původní definice (CZ zákon):
– údaje v elektronické podobě, které jsou
připojené k datové zprávě nebo jsou
s ní logicky spojené a které slouží jako
metoda k jednoznačnému ověření
identity podepsané osoby ve vztahu
k datové zprávě
• původní definice v AJ (směrnice):
– data in electronic form which are
attached to or logically associated with
other electronic data and which serve
as a method of authentication
1100101010 01100110100101
data se použijí k podepsání dat
el. podpis data
příklad prostého el. podpisu
Jsem zapřisáhlý abstinent
tzv. obrázkový podpis
v praxi se používá,
máme tendenci mu
věřit a akceptovat ho
analogie v listinném světě
věřil by tomu někdo?
obrázkový podpis: příklad z praxe
• … posílám návrh smlouvy ve Wordu …. prosím podepište,
naskenujte a pošlete zpět mailem …..
– lze udělat různými způsoby:
a) skutečně vytisknout, vlastnoručně podepsat, naskenovat (obvykle do PDF) a poslat mailem
– nebo: nepodepisovat, ale přiložit lístek s podpisem, naskenovat a poslat mailem
b) ve Wordu připojit obrázek s podpisem, převést do PDF a poslat mailem poznáte
rozdíl?
poznáte
rozdíl?
otázka: proč to vůbec posílat? Postup dle b) si může udělat druhá strana sama (stačí „vzít“ podpis z jiné smlouvy)
příklady prostých el. podpisů
• jak by vypadaly v tradičním papírovém (listinném) světě …….
• je zde stále zachována písemná forma?
– která vyžaduje podpis, nikoli jen nějaké znamení, "razítko", ústní odsouhlasení apod.
• lze určit podepsanou osobu?
– kdo je Pepa? Kdo je  ? Kdo je 1?
• může to být více osob – a jak poznáme – či dokonce ověříme, v případě sporu – o kterou
konkrétní osobu jde
• extrém: všichni jsme jedničky, a proto se podepisujeme stejně, jako
• co se bude zkoumat v případě sporu? Jak se bude dokazovat pravost?
Dlužní úpis
Tímto stvrzuji převzetí částky
10 000 Kč jako půjčky od xxxx
Dlužní úpis
Tímto stvrzuji převzetí
částky 10 000 Kč jako
půjčky od xxxx
Dlužní úpis
Tímto stvrzuji převzetí částky
10 000 Kč jako půjčky od xxxx
Dlužní úpis
Tímto stvrzuji převzetí částky
10 000 Kč jako půjčky od xxxx
srovnání: vlastnoruční vs. prostý
• vlastnoruční podpis
– není v zákonech definován
– ale počítáme s tím, že:
• každý se podepisuje +/- stejně
– že různé podpisy téže osoby jsou
(víceméně) stejné
• aby se daly porovnávat na shodu
• různé osoby se podepisují různě
– vlastnoruční podpis je (nějak)
charakteristický a individuální
• aby se daly rozlišovat různé
podepsané osoby
• podpis je pevně spojen se substrátem
(papírem) a nedá se od něj oddělit
– „vpití inkoustu do papíru“ je nevratné
– nejde „extrahovat“ podpis z jednoho
listu papíru a přenést jej na jiný list
papíru
• nejde se podepsat dopředu (do zásoby)
a pak podpis „aplikovat“ (nanést na papír)
– ale dá se podepsat bianco šek
• prostý elektronický podpis
– je definován v zákoně (nařízení eIDAS)
• stejná osoba se může podepisovat různě
– není požadováno, abych
používal vždy stejný podpis
• mohu měnit podpis například podle nálady
• prosté podpisy různých osob mohou být
stejné
– není požadována žádná různorodost
– extrém: všichni používají stejný podpis
• viz „všichni jsme 1“
• vazba mezi podpisem a „tím, co je
podepsáno“ nemusí být pevná
– může být i jen „logická“
• (stejný) prostý podpis k podepsání více
dokumentů/zpráv
• podpis coby „jakákoli elektronická data“
lze replikovat (v libovolném počtu)
• logická vazba může „vést“ od jednoho
prostého podpisu k více dokumentům
• lze se podepsat do zásoby (a pak aplikovat)
co říká nařízení a co náš zákon?
adaptační zákon
(zákon č. 297/2016 Sb.)
• účinky rovnocenné vlastnoručnímu
podpisu mají (v soukromoprávních
vztazích) všechny druhy elektronických
podpisů
– tj. včetně prostého el. podpisu i zaručeného
el. podpisu
nařízení eIDAS
(nařízení 910/2014 EU)
• účinky rovnocenné vlastnoručnímu
podpisu má kvalifikovaný elektronický
podpis
– a „cizí“ kvalifikovaný podpis z EU se bere
stejně jako „domácí“
Článek 25
Právní účinky elektronických
podpisů
2. Kvalifikovaný elektronický podpis
má právní účinek rovnocenný
vlastnoručnímu podpisu.
3. Kvalifikovaný elektronický podpis
založený na kvalifikovaném
certifikátu vydaném v jednom
členském státě se uznává jako
kvalifikovaný elektronický podpis ve
všech ostatních členských státech.
Podepisování dokumentu
§ 7
K podepisování elektronickým podpisem
lze použít zaručený elektronický podpis,
uznávaný elektronický podpis, případně
jiný typ elektronického podpisu,
podepisuje-li se elektronický dokument,
kterým se právně jedná jiným způsobem
než způsobem uvedeným v § 5 nebo § 6
odst. 1. Zákon č. 297/2016 Sb.
další příklad – emailové patičky
• emailová patička je „kus textu“, který vkládá sám poštovní program
– podle nastavení od uživatele
– jde o informaci
• která může/nemusí být pravdivá
na pravdivost údajů o odesilateli se nelze vůbec spoléhat
(zfalšování – odeslání z libovolné adresy – je triviální)
máme považovat
patičku za podpis?
takový podpis, který
zachovává písemnou
formu?
dynamické biometrické podpisy
Smlouva
Tímto se zavazuji k
odběru vašich služeb na
24 měsíců
uznávaný el.
podpis (značka,
pečeť) druhé
smluvní strany -
poskytovatele
odebraný „vzorek“ jedné
smluvní strany - zákazníka
konkrétně tzv.
dynamický
biometrický podpis
účastnická smlouva spol. Telefónica
odebraný vzorek (dynamický biometrický
podpis) druhá smluvní strana přiloží k
dokumentu a sama podepíše svým
kvalifikovaným či uznávaným el.
podpisem (značkou, pečetí)
uznávaný el.
podpis (značka,
pečeť) druhé
smluvní strany -
poskytovatele
praxe dynamických biometrických podpisů
• jsou využívány pro sjednávání dvoustranných smluvních vztahů
– typicky: pro uzavírání zákaznických smluv (zákazník – poskytovatel)
• kde nevadí, že zákazník nemůže jednat sám (potřebuje na to druhou stranu)
• zákazník nepodepisuje smlouvu, ale poskytuje vzorek „sebe sama“
– konkrétně vzorek svého podpisu
• včetně „dynamické biometriky“ – rychlosti vedení pera, tlaku, ……
– obdobně by mohl poskytovat jiné vzorky „sebe sama“, které reprezentují jeho
individualitu
• například (statická biometrika): otisk prstu, vzorek DNA (z krve, slin, ….), vzorek sítnice, …..
• nebo (dynamická biometrika): vzorek své řeči, vzorek své chůze, …….
– odběr vzorku v podobě dynamického biometrického podpisu má velkou přednost:
vytváří zákazníkovi iluzi, že podepisuje konkrétní dokument
• ve skutečnosti jen poskytuje vzorek sebe sama
• nevýhoda / slabé místo / nebezpečí:
– manipulace s odebraným vzorkem není v moci jeho držitele (zákazníka)
• záleží na korektnosti druhé strany, zda vzorek použije jen dohodnutým způsobem
– že přiloží odebraný vzorek jen k jednomu dokumentu
– jen k tomu dokumentu, který byl zákazníkovi předložen a se kterým zákazník souhlasí
Smlouva
Tímto se zavazuji k
odběru vašich služeb na
24 měsíců
Smlouva
Tímto se zavazuji k
odběru vašich služeb na
věčné časy
problém škálování složitosti
• realita světa IT:
– schopnosti výpočetní technicky (velmi) rychle rostou, užitek z toho mají obě strany
• „hodná strana“: ti, kteří se chtějí chovat korektně, řádně podepisovat ….
• „zlá strana“: ti, kteří chtějí podvádět, falšovat, prolamovat, chovat se nekorektně ……
– je pouze otázkou času, kdy „zlá strana“ dokáže prolomit/zneužít/dešifrovat/napodobit
řešení, aktuálně používané „hodnou stranou“
• včetně takového napodobení, aby bylo nerozhodnutelné, zda jde o originál či padělek
– týká se mj. i vlastnoručních podpisů
• je pouze otázkou času, kdy umělá inteligence dokáže napodobit vlastnoruční podpis tak, že to
nepozná ani sebelepší písmoznalec (a nebude to jeho vinou)
– týká se i lidské řeči (viz pokroky v počítačové syntéze řeči)
• důsledek:
– „hodná strana“ musí předbíhat „zlou stranu“ …. včas „přitvrzovat“
• používat čím dál tím „silnější“ řešení, které je obtížnější
(výpočetně složitější) prolomit/zneužít/dešifrovat ……
– řešení, založená na výpočtu, lze
„přitvrzovat“ tak, jak je třeba
• kryptografie (zaručené el. podpisy) může
používat stále větší klíče a stále
sofistikovanější kryptografické algoritmy
– řešení, která nejsou založena na
výpočtu, nelze „přitvrzovat“
• vlastnoruční podpisy ani lidskou řeč nejde
„dělat složitějšími“
• obecně jde o všechny prosté el. podpisy
problém vzájemné komunikace
• Motto:
– elektronické podpisy mají mnoho úžasných vlastností, ale také
jeden velký handicap: jsou značně mezioborovou záležitostí
• vyžadují spolupráci lidí z různých oborů
– přinejmenším (v abecedním pořadí):
• informatiky
• kryptografie
• práva
• realita je taková, že dialog mezi lidmi z různých oborů „není ideální“
– řada aspektů kolem elektronických podpisů není kvůli
tomu stále dořešena
• problém je i s osvětou
– a celkovou vzdělaností nejširší populace
děkuji za pozornost
Jiří Peterka
jiri@peterka.cz
www.earchiv.cz
Tuto prezentaci najdete na
www.earchiv.cz/papers/p81

More Related Content

What's hot

How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...
How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...
How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...Torsten Lodderstedt
 
OpenID Connect 4 SSI (DIFCon F2F)
OpenID Connect 4 SSI (DIFCon F2F)OpenID Connect 4 SSI (DIFCon F2F)
OpenID Connect 4 SSI (DIFCon F2F)Torsten Lodderstedt
 
Idcon25 FIDO2 の概要と YubiKey の実装
Idcon25 FIDO2 の概要と YubiKey の実装Idcon25 FIDO2 の概要と YubiKey の実装
Idcon25 FIDO2 の概要と YubiKey の実装Haniyama Wataru
 
Securing a Web App with Security Keys
Securing a Web App with Security KeysSecuring a Web App with Security Keys
Securing a Web App with Security KeysFIDO Alliance
 
Web Authn & Security Keys: Unlocking the Key to Authentication
Web Authn & Security Keys: Unlocking the Key to AuthenticationWeb Authn & Security Keys: Unlocking the Key to Authentication
Web Authn & Security Keys: Unlocking the Key to AuthenticationFIDO Alliance
 
Web Authentication API
Web Authentication APIWeb Authentication API
Web Authentication APIFIDO Alliance
 
Banking Cards And Emv
Banking Cards And EmvBanking Cards And Emv
Banking Cards And EmvKingshuk1
 
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdf
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdfVerifiable Credentials_Kristina_Identiverse2022_vFIN.pdf
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdfKristina Yasuda
 
Applications secure by default
Applications secure by defaultApplications secure by default
Applications secure by defaultSecuRing
 
OpenID Connect 4 SSI (at EIC 2021)
OpenID Connect 4 SSI (at EIC 2021)OpenID Connect 4 SSI (at EIC 2021)
OpenID Connect 4 SSI (at EIC 2021)Torsten Lodderstedt
 
Masterclass on the DID Universal Resolver
Masterclass on the DID Universal ResolverMasterclass on the DID Universal Resolver
Masterclass on the DID Universal ResolverMarkus Sabadello
 
Verifiable Credentials for Travel & Hospitality
Verifiable Credentials for Travel & HospitalityVerifiable Credentials for Travel & Hospitality
Verifiable Credentials for Travel & HospitalityEvernym
 
FIDO2 Specifications Overview
FIDO2 Specifications OverviewFIDO2 Specifications Overview
FIDO2 Specifications OverviewFIDO Alliance
 

What's hot (20)

How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...
How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...
How to Build Interoperable Decentralized Identity Systems with OpenID for Ver...
 
Belgian mobile ID presents itsme
Belgian mobile ID presents itsmeBelgian mobile ID presents itsme
Belgian mobile ID presents itsme
 
OpenID Connect 4 SSI (DIFCon F2F)
OpenID Connect 4 SSI (DIFCon F2F)OpenID Connect 4 SSI (DIFCon F2F)
OpenID Connect 4 SSI (DIFCon F2F)
 
Idcon25 FIDO2 の概要と YubiKey の実装
Idcon25 FIDO2 の概要と YubiKey の実装Idcon25 FIDO2 の概要と YubiKey の実装
Idcon25 FIDO2 の概要と YubiKey の実装
 
Digital signature
Digital signatureDigital signature
Digital signature
 
OpenID for SSI
OpenID for SSIOpenID for SSI
OpenID for SSI
 
Securing a Web App with Security Keys
Securing a Web App with Security KeysSecuring a Web App with Security Keys
Securing a Web App with Security Keys
 
Web Authn & Security Keys: Unlocking the Key to Authentication
Web Authn & Security Keys: Unlocking the Key to AuthenticationWeb Authn & Security Keys: Unlocking the Key to Authentication
Web Authn & Security Keys: Unlocking the Key to Authentication
 
Web Authentication API
Web Authentication APIWeb Authentication API
Web Authentication API
 
SSL/TLS
SSL/TLSSSL/TLS
SSL/TLS
 
Pki for dummies
Pki for dummiesPki for dummies
Pki for dummies
 
SSL/TLS 101
SSL/TLS 101SSL/TLS 101
SSL/TLS 101
 
Banking Cards And Emv
Banking Cards And EmvBanking Cards And Emv
Banking Cards And Emv
 
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdf
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdfVerifiable Credentials_Kristina_Identiverse2022_vFIN.pdf
Verifiable Credentials_Kristina_Identiverse2022_vFIN.pdf
 
Applications secure by default
Applications secure by defaultApplications secure by default
Applications secure by default
 
OpenID Connect 4 SSI (at EIC 2021)
OpenID Connect 4 SSI (at EIC 2021)OpenID Connect 4 SSI (at EIC 2021)
OpenID Connect 4 SSI (at EIC 2021)
 
Masterclass on the DID Universal Resolver
Masterclass on the DID Universal ResolverMasterclass on the DID Universal Resolver
Masterclass on the DID Universal Resolver
 
Digital Signature
Digital SignatureDigital Signature
Digital Signature
 
Verifiable Credentials for Travel & Hospitality
Verifiable Credentials for Travel & HospitalityVerifiable Credentials for Travel & Hospitality
Verifiable Credentials for Travel & Hospitality
 
FIDO2 Specifications Overview
FIDO2 Specifications OverviewFIDO2 Specifications Overview
FIDO2 Specifications Overview
 

Similar to Praktický pohled na elektronické podpisy a jejich fungování

Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...
Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...
Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...Jiří Peterka
 
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?Jiří Peterka
 
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...Jiří Peterka
 
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentů
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentůProblém digitální kontinuity, alias dlouhověkost elektronických dokumentů
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentůJiří Peterka
 
Ujasněme si základní pojmy
Ujasněme si základní pojmyUjasněme si základní pojmy
Ujasněme si základní pojmyJiří Peterka
 
Bankovní identita - zkušenosti z pilotních projektů
Bankovní identita - zkušenosti z pilotních projektůBankovní identita - zkušenosti z pilotních projektů
Bankovní identita - zkušenosti z pilotních projektůJakub Hamerník
 
Jak rozumět dynamickým biometrickým podpisům?
Jak rozumět dynamickým biometrickým podpisům?Jak rozumět dynamickým biometrickým podpisům?
Jak rozumět dynamickým biometrickým podpisům?Jiří Peterka
 
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)Michal ZOBEC
 
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legalJakub Hamerník
 

Similar to Praktický pohled na elektronické podpisy a jejich fungování (12)

Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...
Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...
Není podpis jako podpis, aneb: jak se vyznat v různých variantách elektronick...
 
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?
Má elektronický podpis identifikovat podepsanou osobu? A pokud ano: jak?
 
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...
Naučíme se používat elektronický podpis? Nebo se za nás bude podepisovat někd...
 
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentů
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentůProblém digitální kontinuity, alias dlouhověkost elektronických dokumentů
Problém digitální kontinuity, alias dlouhověkost elektronických dokumentů
 
Ujasněme si základní pojmy
Ujasněme si základní pojmyUjasněme si základní pojmy
Ujasněme si základní pojmy
 
Bankovní identita - zkušenosti z pilotních projektů
Bankovní identita - zkušenosti z pilotních projektůBankovní identita - zkušenosti z pilotních projektů
Bankovní identita - zkušenosti z pilotních projektů
 
Jak rozumět dynamickým biometrickým podpisům?
Jak rozumět dynamickým biometrickým podpisům?Jak rozumět dynamickým biometrickým podpisům?
Jak rozumět dynamickým biometrickým podpisům?
 
Martina Macek: Digitální dokumenty a elektronické transakce v EU
Martina Macek: Digitální dokumenty a elektronické transakce v EUMartina Macek: Digitální dokumenty a elektronické transakce v EU
Martina Macek: Digitální dokumenty a elektronické transakce v EU
 
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)
Podepisování dokumentů digitálním podpisem v praxi (čtvrtek, 27.10.2022)
 
Praktické dopady eIDAS na spisovou službu
Praktické dopady eIDAS na spisovou službuPraktické dopady eIDAS na spisovou službu
Praktické dopady eIDAS na spisovou službu
 
eIDAS kontra Spisová služba
eIDAS kontra Spisová službaeIDAS kontra Spisová služba
eIDAS kontra Spisová služba
 
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal
2020-12 BankID Lundegaard Digital Cafe - Jan Prochazka changing legal
 

More from Jiří Peterka

Internetová archeologie: jak Internet vypadal kdysi dávno
Internetová archeologie: jak Internet vypadal kdysi dávnoInternetová archeologie: jak Internet vypadal kdysi dávno
Internetová archeologie: jak Internet vypadal kdysi dávnoJiří Peterka
 
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?Jiří Peterka
 
Potřebujeme síťovou neutralitu?
Potřebujeme síťovou neutralitu?Potřebujeme síťovou neutralitu?
Potřebujeme síťovou neutralitu?Jiří Peterka
 
Počítačové sítě II, lekce 11: Broadband a síťová neutralita
Počítačové sítě II, lekce 11: Broadband a síťová neutralitaPočítačové sítě II, lekce 11: Broadband a síťová neutralita
Počítačové sítě II, lekce 11: Broadband a síťová neutralitaJiří Peterka
 
Počítačové sítě II, lekce 10: Mobilní komunikace
Počítačové sítě II, lekce 10: Mobilní komunikacePočítačové sítě II, lekce 10: Mobilní komunikace
Počítačové sítě II, lekce 10: Mobilní komunikaceJiří Peterka
 
Počítačové sítě II, lekce 9: xDSL, FTTx, PON
Počítačové sítě II, lekce 9: xDSL, FTTx, PONPočítačové sítě II, lekce 9: xDSL, FTTx, PON
Počítačové sítě II, lekce 9: xDSL, FTTx, PONJiří Peterka
 
Počítačové sítě II, lekce 8: POTS, ISDN a xDSL
Počítačové sítě II, lekce 8: POTS, ISDN a xDSLPočítačové sítě II, lekce 8: POTS, ISDN a xDSL
Počítačové sítě II, lekce 8: POTS, ISDN a xDSLJiří Peterka
 
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologie
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologiePočítačové sítě II, lekce 7: Telekomunikační přenosové technologie
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologieJiří Peterka
 
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)Jiří Peterka
 
Co je kybernetická bezpečnost?
Co je kybernetická bezpečnost?Co je kybernetická bezpečnost?
Co je kybernetická bezpečnost?Jiří Peterka
 
O čem je síťová neutralita?
O čem je síťová neutralita?O čem je síťová neutralita?
O čem je síťová neutralita?Jiří Peterka
 
Počítačové sítě II, lekce 6: sítě WLAN II
Počítačové sítě II, lekce 6: sítě WLAN IIPočítačové sítě II, lekce 6: sítě WLAN II
Počítačové sítě II, lekce 6: sítě WLAN IIJiří Peterka
 
Počítačové sítě II, lekce 2: Internetworking II
Počítačové sítě II, lekce 2: Internetworking IIPočítačové sítě II, lekce 2: Internetworking II
Počítačové sítě II, lekce 2: Internetworking IIJiří Peterka
 
Počítačové sítě II, lekce 1: Internetworking
Počítačové sítě II, lekce 1: InternetworkingPočítačové sítě II, lekce 1: Internetworking
Počítačové sítě II, lekce 1: InternetworkingJiří Peterka
 
Historie a současný stav české mobilní telefonie
Historie a současný stav české mobilní telefonieHistorie a současný stav české mobilní telefonie
Historie a současný stav české mobilní telefonieJiří Peterka
 
Rodina protokolů TCP/IP, téma 9: Transportní protokoly
Rodina protokolů TCP/IP, téma 9: Transportní protokoly Rodina protokolů TCP/IP, téma 9: Transportní protokoly
Rodina protokolů TCP/IP, téma 9: Transportní protokoly Jiří Peterka
 
Rodina protokolů TCP/IP, téma 8: Protokol IPv6
Rodina protokolů TCP/IP, téma 8: Protokol IPv6Rodina protokolů TCP/IP, téma 8: Protokol IPv6
Rodina protokolů TCP/IP, téma 8: Protokol IPv6Jiří Peterka
 
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6Rodina protokolů TCP/IP, téma 7: IP adresy verze 6
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6Jiří Peterka
 
Rodina protokolů TCP/IP, téma 5: Protokol IPv4
Rodina protokolů TCP/IP, téma 5: Protokol IPv4Rodina protokolů TCP/IP, téma 5: Protokol IPv4
Rodina protokolů TCP/IP, téma 5: Protokol IPv4Jiří Peterka
 
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4Jiří Peterka
 

More from Jiří Peterka (20)

Internetová archeologie: jak Internet vypadal kdysi dávno
Internetová archeologie: jak Internet vypadal kdysi dávnoInternetová archeologie: jak Internet vypadal kdysi dávno
Internetová archeologie: jak Internet vypadal kdysi dávno
 
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?
Přístup vs. připojení, aneb mají se zákony vyjadřovat přesně?
 
Potřebujeme síťovou neutralitu?
Potřebujeme síťovou neutralitu?Potřebujeme síťovou neutralitu?
Potřebujeme síťovou neutralitu?
 
Počítačové sítě II, lekce 11: Broadband a síťová neutralita
Počítačové sítě II, lekce 11: Broadband a síťová neutralitaPočítačové sítě II, lekce 11: Broadband a síťová neutralita
Počítačové sítě II, lekce 11: Broadband a síťová neutralita
 
Počítačové sítě II, lekce 10: Mobilní komunikace
Počítačové sítě II, lekce 10: Mobilní komunikacePočítačové sítě II, lekce 10: Mobilní komunikace
Počítačové sítě II, lekce 10: Mobilní komunikace
 
Počítačové sítě II, lekce 9: xDSL, FTTx, PON
Počítačové sítě II, lekce 9: xDSL, FTTx, PONPočítačové sítě II, lekce 9: xDSL, FTTx, PON
Počítačové sítě II, lekce 9: xDSL, FTTx, PON
 
Počítačové sítě II, lekce 8: POTS, ISDN a xDSL
Počítačové sítě II, lekce 8: POTS, ISDN a xDSLPočítačové sítě II, lekce 8: POTS, ISDN a xDSL
Počítačové sítě II, lekce 8: POTS, ISDN a xDSL
 
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologie
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologiePočítačové sítě II, lekce 7: Telekomunikační přenosové technologie
Počítačové sítě II, lekce 7: Telekomunikační přenosové technologie
 
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)
O aktuálních otázkách (a také o tom, co jsme kdysi s panem Sovou provedli ČTÚ)
 
Co je kybernetická bezpečnost?
Co je kybernetická bezpečnost?Co je kybernetická bezpečnost?
Co je kybernetická bezpečnost?
 
O čem je síťová neutralita?
O čem je síťová neutralita?O čem je síťová neutralita?
O čem je síťová neutralita?
 
Počítačové sítě II, lekce 6: sítě WLAN II
Počítačové sítě II, lekce 6: sítě WLAN IIPočítačové sítě II, lekce 6: sítě WLAN II
Počítačové sítě II, lekce 6: sítě WLAN II
 
Počítačové sítě II, lekce 2: Internetworking II
Počítačové sítě II, lekce 2: Internetworking IIPočítačové sítě II, lekce 2: Internetworking II
Počítačové sítě II, lekce 2: Internetworking II
 
Počítačové sítě II, lekce 1: Internetworking
Počítačové sítě II, lekce 1: InternetworkingPočítačové sítě II, lekce 1: Internetworking
Počítačové sítě II, lekce 1: Internetworking
 
Historie a současný stav české mobilní telefonie
Historie a současný stav české mobilní telefonieHistorie a současný stav české mobilní telefonie
Historie a současný stav české mobilní telefonie
 
Rodina protokolů TCP/IP, téma 9: Transportní protokoly
Rodina protokolů TCP/IP, téma 9: Transportní protokoly Rodina protokolů TCP/IP, téma 9: Transportní protokoly
Rodina protokolů TCP/IP, téma 9: Transportní protokoly
 
Rodina protokolů TCP/IP, téma 8: Protokol IPv6
Rodina protokolů TCP/IP, téma 8: Protokol IPv6Rodina protokolů TCP/IP, téma 8: Protokol IPv6
Rodina protokolů TCP/IP, téma 8: Protokol IPv6
 
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6Rodina protokolů TCP/IP, téma 7: IP adresy verze 6
Rodina protokolů TCP/IP, téma 7: IP adresy verze 6
 
Rodina protokolů TCP/IP, téma 5: Protokol IPv4
Rodina protokolů TCP/IP, téma 5: Protokol IPv4Rodina protokolů TCP/IP, téma 5: Protokol IPv4
Rodina protokolů TCP/IP, téma 5: Protokol IPv4
 
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4
Rodina protokolů TCP/IP, téma 4: Adresování v TCP/IP, IP adresy verze 4
 

Praktický pohled na elektronické podpisy a jejich fungování

  • 1. Jiří Peterka 17.1.2018 Praktický pohled na elektronické podpisy a jejich fungování
  • 2. není (el.) podpis jako (el.) podpis • lidé dnes chtějí/mohou/musí projevovat svou vůli různými způsoby úkon poskytnutí/ /předání informace poskytnutí vzorku výpočet (kryptografie) Zadejte PIN: 1234 Souhlasím (prostý) el. podpis zaručený …. uznávaný …. prostý el. podpis kvalifikovaný … kvalifikovaný … zaručený … uznávaný …. prostý el. podpis nejnižší míra robustnosti /důvěryhodnosti / možnosti spoléhat se nejvyšší míra … Jan Novák +++
  • 3. příklad zaručeného el. podpisu • pozor: zaručený el. podpis nezaručuje identitu podepsané osoby !!! – formou zaručeného elektronického podpisu se lze (velmi snadno) podepsat za kohokoli jiného – zaručený podpis může „patřit“ i někomu, kdo vůbec neexistuje (jako fyzická osoba) • zaručuje pouze neměnnost (integritu) toho, co je podepsáno ….
  • 4. je to špatný překlad • „zdokonalený“ (či: „pokročilý“, „vylepšený“) el. podpis není od toho, aby zaručoval identitu podepsané osoby – od toho jsou „vyšší“ varianty el. podpisu – uznávaný a kvalifikovaný el. podpis • je od toho, aby zajišťoval neměnnost (integritu) toho, co bylo podepsáno
  • 5. zaručený el. podpis dlouhodobě mate • mnoho lidí si stále myslí, že zaručený el. podpis zaručuje identitu podepsané osoby – a požadují tento druh podpisu tam, kde by měli požadovat „vyšší“ variantu el. podpisu • příklady z legislativy: – zákon č. 99/1963 Sb., Občanský soudní řád • § 174a: Elektronický platební rozkaz – (1) Je-li návrh podán na elektronickém formuláři podepsaném zaručeným elektronickým podpisem žalobce a nepřevyšuje-li peněžité plnění požadované žalobcem částku 1 000 000 Kč, soud může vydat na návrh žalobce elektronický platební rozkaz – zákon č. 269/1994 Sb., Zákon o Rejstříku trestů • § 16a – (1) Žádost o vydání výpisu a o nahlédnutí do opisu může osoba, jíž se údaje týkají, zaslat v elektronické podobě opatřené zaručeným elektronickým podpisem. – vyhláška č. 62/2015 Sb., o provedení některých ustanovení zákona o zdravotnických prostředcích – (3) Výsledek šetření nežádoucí příhody oznamuje výrobce nebo zplnomocněný zástupce Ústavu elektronicky vyplněným a zaručeným elektronickým podpisem podepsaným formulářem pro hlášení nežádoucí příhody teprve od 1.7.2012: uznávaným od 1.7.2012: podepsané uznávaným požadavek na „zaručený“: celkem 6x
  • 6. • představa: – zaručený el. podpis vzniká „semletím“ dvou ingredienci 1. podepisovaného dokumentu – tím se podpis stává závislým na tom, co je podepsáno • díky tomu dokáže chránit proti změně – díky tomu je zaručený el. podpis pokaždé jiný • a nelze ho připravit dopředu !!! 2. soukromého klíče – soukromý klíč je tím, co nemá nikdo jiný, co je specifické pro konkrétní podepisující osobu – soukromý klíč je „tím, co činí můj podpis mým podpisem“ • realita: – nevíme, kdo (třeba někde v soukromí) skutečně použil soukromý klíč (kliknul myší ...) proč zaručený podpis nezaručuje? • nastupuje právní fikce: – podpis patří tomu (za podepsanou osobou považujeme toho), kdo prohlašuje soukromý klíče za svůj • certifikát = osvědčení o tom, komu soukromý klíč patří – kdo ho prohlašuje za svůj u zaručeného el. podpisu není kladen žádný požadavek na důvěryhodnost certifikátu !!!
  • 7. • shrnutí: – u zaručeného el. podpisu nám nezáleží na tom, od koho pochází osvědčení o vlastnictví soukromého klíče – v podobě certifikátu • akceptujeme jakýkoli certifikát, který mohl vydat kdokoli – i někdo, kdo nám lže a tvrdí něco, co není pravdou • může se jednat třeba i o testovací certifikát – jaký si může kdokoli vyrobit „na koleně“ a napsat si do něj, cokoli jen chce • viz příklad s literární postavou Josefa Švejka proč zaručený podpis nezaručuje? • pokud chceme mít jistotu (ohledně toho, komu podpis patří): – musíme požadovat „dostatečně kvalitní“ (důvěryhodný) certifikát • takový, u kterého se můžeme spoléhat na správnost jeho obsahu – konkrétně tzv. kvalifikovaný certifikát • který může vydávat jen kvalifikovaná certifikační autorita, splňující požadavky zákona – dnes: kvalifikovaný poskytovatel služeb vytvářející důvěru – dnes v ČR: I.CA, PostSignum, eIdentity pak už se jedná o kvalifikovaný (či uznávaný) elektronický podpis
  • 8. kvalifikovaný statut • přívlastkem „kvalifikovaný“ se označuje to, čemu můžeme (musíme) důvěřovat / na co se můžeme spoléhat …. ze zákona (nařízení) – svou důvěru odvozujeme ze zákona – máme: • kvalifikované služby (vytvářející důvěru) – např. kvalifikované služby elektronického doporučeného doručování – kvalifikované služby ověřování platnosti …. podpisů, pečetí – …… • kvalifikované poskytovatele (služeb vytvářejících důvěru) – dnes v ČR: I.CA, PostSignum., eIdentity, Software602 • kvalifikované elektronické podpisy, kvalifikované elektronické pečeti • kvalifikované certifikáty • kvalifikovaná časová razítka • kvalifikované prostředky (pro vytváření el. podpisů) • ……… • to, co není kvalifikované, nemusí být nedůvěryhodné – ale: pokud tomu chceme důvěřovat, musíme svou důvěru odvozovat z něčeho jiného • obvykle: z toho, kdo je poskytovatelem služby / vydavatelem certifikátu – například: důvěřujeme bance, u které máme peníze to, co je kvalifikované, má právo být označeno touto značkou
  • 9. kvalifikovaný vs. uznávaný el. podpis • kvalifikovaný el. podpis – používá se a uznává v celé EU – vyžaduje kvalifikovaný certifikát – vyžaduje použití certifikované čipové karty nebo USB tokenu • tzv. kvalifikovaného prostředku pro vytvářejí el. podpisů – reálně: jde o bezpečné uložení soukromého klíče • uznávaný el. podpis – je naší národní specialitou, jinde neznají – vyžaduje kvalifikovaný certifikát – nevyžaduje použití certifikované čipové karty nebo USB tokenu – reálně: jde o peníze – „přeci nebudeme nutit lidi pořizovat si čipovou kartu/token“ • dnes za cca 700 Kč • analogie s platebními kartami: – kvalifikovaný el. podpis je jako platba u obchodníka / výběr z bankomatu: • je nutné mít kartu (fyzicky) - pokud vám ji neukradnou, je riziko zneužití malé …… – uznávaný el. podpis je jako on-line platba po Internetu • není nutné mít kartu (fyzicky), stačí znát údaje o kartě. Riziko zneužití je větší ……
  • 10. kvalifikovaný vs. uznávaný el. podpis zaručený elektronický podpis ne-kvalifikovaný certifikát kvalifikovaný certifikát kvalifikovaný elektronický podpis uznávaný elektronický podpis kvalifikovaný certifikát lze se spoléhat na identitu .. nelze se spoléhat na identitu …
  • 11. (prostý) elektronický podpis • rezignuje na jakékoli požadavky – podpisem může to být cokoli elektronického (data) – nemluví se o žádném ověřování (či jen možnosti ověření) čehokoli !!! – vazba mezi podpisem a podepsanými daty není specifikována (může být libovolná) • nová definice (nařízení, 2016): – data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena a která podepisující osoba používá k podepsání • původní definice (CZ zákon): – údaje v elektronické podobě, které jsou připojené k datové zprávě nebo jsou s ní logicky spojené a které slouží jako metoda k jednoznačnému ověření identity podepsané osoby ve vztahu k datové zprávě • původní definice v AJ (směrnice): – data in electronic form which are attached to or logically associated with other electronic data and which serve as a method of authentication 1100101010 01100110100101 data se použijí k podepsání dat el. podpis data
  • 12. příklad prostého el. podpisu Jsem zapřisáhlý abstinent tzv. obrázkový podpis v praxi se používá, máme tendenci mu věřit a akceptovat ho analogie v listinném světě věřil by tomu někdo?
  • 13. obrázkový podpis: příklad z praxe • … posílám návrh smlouvy ve Wordu …. prosím podepište, naskenujte a pošlete zpět mailem ….. – lze udělat různými způsoby: a) skutečně vytisknout, vlastnoručně podepsat, naskenovat (obvykle do PDF) a poslat mailem – nebo: nepodepisovat, ale přiložit lístek s podpisem, naskenovat a poslat mailem b) ve Wordu připojit obrázek s podpisem, převést do PDF a poslat mailem poznáte rozdíl? poznáte rozdíl? otázka: proč to vůbec posílat? Postup dle b) si může udělat druhá strana sama (stačí „vzít“ podpis z jiné smlouvy)
  • 14. příklady prostých el. podpisů • jak by vypadaly v tradičním papírovém (listinném) světě ……. • je zde stále zachována písemná forma? – která vyžaduje podpis, nikoli jen nějaké znamení, "razítko", ústní odsouhlasení apod. • lze určit podepsanou osobu? – kdo je Pepa? Kdo je  ? Kdo je 1? • může to být více osob – a jak poznáme – či dokonce ověříme, v případě sporu – o kterou konkrétní osobu jde • extrém: všichni jsme jedničky, a proto se podepisujeme stejně, jako • co se bude zkoumat v případě sporu? Jak se bude dokazovat pravost? Dlužní úpis Tímto stvrzuji převzetí částky 10 000 Kč jako půjčky od xxxx Dlužní úpis Tímto stvrzuji převzetí částky 10 000 Kč jako půjčky od xxxx Dlužní úpis Tímto stvrzuji převzetí částky 10 000 Kč jako půjčky od xxxx Dlužní úpis Tímto stvrzuji převzetí částky 10 000 Kč jako půjčky od xxxx
  • 15. srovnání: vlastnoruční vs. prostý • vlastnoruční podpis – není v zákonech definován – ale počítáme s tím, že: • každý se podepisuje +/- stejně – že různé podpisy téže osoby jsou (víceméně) stejné • aby se daly porovnávat na shodu • různé osoby se podepisují různě – vlastnoruční podpis je (nějak) charakteristický a individuální • aby se daly rozlišovat různé podepsané osoby • podpis je pevně spojen se substrátem (papírem) a nedá se od něj oddělit – „vpití inkoustu do papíru“ je nevratné – nejde „extrahovat“ podpis z jednoho listu papíru a přenést jej na jiný list papíru • nejde se podepsat dopředu (do zásoby) a pak podpis „aplikovat“ (nanést na papír) – ale dá se podepsat bianco šek • prostý elektronický podpis – je definován v zákoně (nařízení eIDAS) • stejná osoba se může podepisovat různě – není požadováno, abych používal vždy stejný podpis • mohu měnit podpis například podle nálady • prosté podpisy různých osob mohou být stejné – není požadována žádná různorodost – extrém: všichni používají stejný podpis • viz „všichni jsme 1“ • vazba mezi podpisem a „tím, co je podepsáno“ nemusí být pevná – může být i jen „logická“ • (stejný) prostý podpis k podepsání více dokumentů/zpráv • podpis coby „jakákoli elektronická data“ lze replikovat (v libovolném počtu) • logická vazba může „vést“ od jednoho prostého podpisu k více dokumentům • lze se podepsat do zásoby (a pak aplikovat)
  • 16. co říká nařízení a co náš zákon? adaptační zákon (zákon č. 297/2016 Sb.) • účinky rovnocenné vlastnoručnímu podpisu mají (v soukromoprávních vztazích) všechny druhy elektronických podpisů – tj. včetně prostého el. podpisu i zaručeného el. podpisu nařízení eIDAS (nařízení 910/2014 EU) • účinky rovnocenné vlastnoručnímu podpisu má kvalifikovaný elektronický podpis – a „cizí“ kvalifikovaný podpis z EU se bere stejně jako „domácí“ Článek 25 Právní účinky elektronických podpisů 2. Kvalifikovaný elektronický podpis má právní účinek rovnocenný vlastnoručnímu podpisu. 3. Kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaný elektronický podpis ve všech ostatních členských státech. Podepisování dokumentu § 7 K podepisování elektronickým podpisem lze použít zaručený elektronický podpis, uznávaný elektronický podpis, případně jiný typ elektronického podpisu, podepisuje-li se elektronický dokument, kterým se právně jedná jiným způsobem než způsobem uvedeným v § 5 nebo § 6 odst. 1. Zákon č. 297/2016 Sb.
  • 17. další příklad – emailové patičky • emailová patička je „kus textu“, který vkládá sám poštovní program – podle nastavení od uživatele – jde o informaci • která může/nemusí být pravdivá na pravdivost údajů o odesilateli se nelze vůbec spoléhat (zfalšování – odeslání z libovolné adresy – je triviální) máme považovat patičku za podpis? takový podpis, který zachovává písemnou formu?
  • 18. dynamické biometrické podpisy Smlouva Tímto se zavazuji k odběru vašich služeb na 24 měsíců uznávaný el. podpis (značka, pečeť) druhé smluvní strany - poskytovatele odebraný „vzorek“ jedné smluvní strany - zákazníka konkrétně tzv. dynamický biometrický podpis účastnická smlouva spol. Telefónica odebraný vzorek (dynamický biometrický podpis) druhá smluvní strana přiloží k dokumentu a sama podepíše svým kvalifikovaným či uznávaným el. podpisem (značkou, pečetí) uznávaný el. podpis (značka, pečeť) druhé smluvní strany - poskytovatele
  • 19. praxe dynamických biometrických podpisů • jsou využívány pro sjednávání dvoustranných smluvních vztahů – typicky: pro uzavírání zákaznických smluv (zákazník – poskytovatel) • kde nevadí, že zákazník nemůže jednat sám (potřebuje na to druhou stranu) • zákazník nepodepisuje smlouvu, ale poskytuje vzorek „sebe sama“ – konkrétně vzorek svého podpisu • včetně „dynamické biometriky“ – rychlosti vedení pera, tlaku, …… – obdobně by mohl poskytovat jiné vzorky „sebe sama“, které reprezentují jeho individualitu • například (statická biometrika): otisk prstu, vzorek DNA (z krve, slin, ….), vzorek sítnice, ….. • nebo (dynamická biometrika): vzorek své řeči, vzorek své chůze, ……. – odběr vzorku v podobě dynamického biometrického podpisu má velkou přednost: vytváří zákazníkovi iluzi, že podepisuje konkrétní dokument • ve skutečnosti jen poskytuje vzorek sebe sama • nevýhoda / slabé místo / nebezpečí: – manipulace s odebraným vzorkem není v moci jeho držitele (zákazníka) • záleží na korektnosti druhé strany, zda vzorek použije jen dohodnutým způsobem – že přiloží odebraný vzorek jen k jednomu dokumentu – jen k tomu dokumentu, který byl zákazníkovi předložen a se kterým zákazník souhlasí Smlouva Tímto se zavazuji k odběru vašich služeb na 24 měsíců Smlouva Tímto se zavazuji k odběru vašich služeb na věčné časy
  • 20. problém škálování složitosti • realita světa IT: – schopnosti výpočetní technicky (velmi) rychle rostou, užitek z toho mají obě strany • „hodná strana“: ti, kteří se chtějí chovat korektně, řádně podepisovat …. • „zlá strana“: ti, kteří chtějí podvádět, falšovat, prolamovat, chovat se nekorektně …… – je pouze otázkou času, kdy „zlá strana“ dokáže prolomit/zneužít/dešifrovat/napodobit řešení, aktuálně používané „hodnou stranou“ • včetně takového napodobení, aby bylo nerozhodnutelné, zda jde o originál či padělek – týká se mj. i vlastnoručních podpisů • je pouze otázkou času, kdy umělá inteligence dokáže napodobit vlastnoruční podpis tak, že to nepozná ani sebelepší písmoznalec (a nebude to jeho vinou) – týká se i lidské řeči (viz pokroky v počítačové syntéze řeči) • důsledek: – „hodná strana“ musí předbíhat „zlou stranu“ …. včas „přitvrzovat“ • používat čím dál tím „silnější“ řešení, které je obtížnější (výpočetně složitější) prolomit/zneužít/dešifrovat …… – řešení, založená na výpočtu, lze „přitvrzovat“ tak, jak je třeba • kryptografie (zaručené el. podpisy) může používat stále větší klíče a stále sofistikovanější kryptografické algoritmy – řešení, která nejsou založena na výpočtu, nelze „přitvrzovat“ • vlastnoruční podpisy ani lidskou řeč nejde „dělat složitějšími“ • obecně jde o všechny prosté el. podpisy
  • 21. problém vzájemné komunikace • Motto: – elektronické podpisy mají mnoho úžasných vlastností, ale také jeden velký handicap: jsou značně mezioborovou záležitostí • vyžadují spolupráci lidí z různých oborů – přinejmenším (v abecedním pořadí): • informatiky • kryptografie • práva • realita je taková, že dialog mezi lidmi z různých oborů „není ideální“ – řada aspektů kolem elektronických podpisů není kvůli tomu stále dořešena • problém je i s osvětou – a celkovou vzdělaností nejširší populace
  • 22. děkuji za pozornost Jiří Peterka jiri@peterka.cz www.earchiv.cz Tuto prezentaci najdete na www.earchiv.cz/papers/p81