7. Potenciální problémy spojené s elektronickým podpisem
Užívání elektronického podpisu v praxi je dnes již obvykle jednoduchou záležitostí. Pokud se poučený uživatel orientuje v procedurách spojených s užíváním párových dat a certifikátu a má vhodnou aplikaci, přináší tato technologie jednoznačně více výhod než nevýhod. Přesto je občas možné narazit na obtíže, které se ve světě papírových dokumentů nevyskytují anebo jsou již vyřešeny.
7.1 Archivace dokumentů opatřených elektronickým podpisem
Jedním z největších, prozatím upokojivě neřešených problémů elektronicky zpracovávaných a předávaných dokumentů je jejich archivace. Archivace papírových dokumentů je běžná, dennodenní rutina mnoha firem a úřadů. Existují dokonce speciální organizace, archivy, které se touto činností zabývají. V elektronickém světě je situace jiná.
Požadavky na archivaci elektronických dokumentů lze rozdělit do několika samostatných částí. Mezi klíčové rozhodně patří dostupnost, čitelnost (prezentovatelnost) a průkaznost.
Nejsnáze řešitelným požadavkem je zajištění dostupnosti elektronických dokumentů. Dnes jsou k dispozici technologie, které jsou schopny zajistit dostatečnou dostupnost jak strukturovaných dat, tak i nestrukturovaných dokumentů. Technologie pro bezpečné zálohování a archivaci jsou chloubou mnoha výrobců, jde o to si jen správně vybrat.
Většina obchodních a legislativních procesů vyžaduje, aby dokumenty, které jsou nedílnou součástí těchto procesů byly následně dostupné minimálně po dobu 10 let. Z pohledu papírových dokumentů to není rozhodně problém neřešitelný, i když vyžaduje často propracovaný systém, odpovídající prostory, metodiku, plnění bezpečnostních požadavků, ale především značné náklady. Stejných 10 let je ale v elektronickém světě doba téměř nepředstavitelně dlouhá. Vývoj technologií pro výměnu dat lze bez nadsázky považovat za překotný. S tím souvisí vývoj datových formátů. A právě relativně častá změna standardů v oblasti datových formátů je klíčovým problémem v zobrazitelnosti, čitelnosti, respektive prezentovatelnosti archivovaných dat po delší době archivace.
Některé formáty jsou pro archivaci elektronických dokumentů vhodnější, některé jsou méně vhodné. Z pohledu archivace elektronických dokumentů jsou jednoznačně vhodnější jednodušší, dobře popsané formáty, které nepodléhají častým změnám a nejsou svázány s jedním výrobcem či technologií. Pro textové dokumenty může být takovým formátem například prostý textový formát (txt) nebo formát pdf, který byl přijat i jako standard ISO.
Dalším požadavkem, který je při výběru formátu dat nutné brát v úvahu, je snadná aplikace některé z dále popsaných metod využívaných pro prezentovatelnost dokumentu v delším čase. Pokud je navíc požadováno, aby byl elektronický dokument opatřen (zaručeným) elektronickým podpisem, musí použitý formát umožňovat a podporovat příslušnou technologii.
S určitou mírou zjednodušení lze metody k zajištění dlouhodobé archivace dokumentů rozdělit do tří základních kategorií. Tou první je emulace. Emulace v tomto pojetí znamená, že novější systém emuluje funkce systému staršího, čímž je umožněno použití starších, v aktuálním systému již nepodporovaných datových formátů. Tato technologie má své limity, zejména technologické, které často omezují užití metody v praxi. Druhou kategorií jsou metody založené na virtualizaci, neboli užití jazyka na nízké úrovni, jehož prezentace je na počítačích několika generací neměnná. Ani toto řešení není z pohledu použitelnosti ideální.
V současné době se jeví jako nejpřijatelnější řešení pro dlouhodobou archivaci metoda migrace. Tato metoda je založena na transformaci dat z jednoho formátu do formátu druhého, aktuálního. Optimální postup obvykle začíná výběrem vhodného datového formátu. V případě, že vybraný formát dat již nevyhovuje kritériu prezentovatelnosti obsahu, je na základě migračních schémat připravena migrace (transformace) do nového formátu. I když se z dnešního pohledu zdá tento postup ideální, má svoje nedostatky. Jedním z nich je ztráta integrity dat při migraci. To je významný nedostatek zejména při archivaci elektronicky podepsaných dokumentů, protože je porušen elektronický podpis a tím i bezpečnostní atributy dokumentu. Řešení lze nalézt v užití důvěryhodné instituce, která migraci provede s tím, že sice budou porušeny původní bezpečnostní mechanismy dokumentu, ale při migraci vzniknou nové, vytvořené dostatečně důvěryhodnou a nezpochybnitelnou institucí. Ta v podstatě ověří původní bezpečnostní atributy dokumentu a vydá o tom potvrzení. Toto potvrzení následně přidá k migrovanému dokumentu. Původní podoba dokumentu i s původními atributy se obvykle nadále archivuje, takže je (spíše teoreticky) možné se k nim vrátit.
Samotný elektronický podpis taktéž „vyprchává“ a jeho důvěryhodnost časem klesá zejména vlivem poklesu bezpečnosti užitých kryptografických algoritmů. Obvyklým řešením tohoto problému je opakované využití technologie časových razítek.
I když bylo v poslední době v oblasti archivace elektronických dokumentů učiněno zejména v oblasti standardizace několik významných kroků (například přijetí RFC-4998 Evidence Record Syntax), standardní a plnohodnotné funkční řešení zatím (začátek roku 2008) neexistuje. Množství elektronických dokumentů, které musí nebo by měly být archivovány bezpečným způsobem, stále roste.
7.2 Průkaznost provedené operace
Ve světě papírových dokumentů je obvyklé, že provedení závažných úkonů je možné doložit. Je běžné, že při předání dokumentů úřadu nebo obchodnímu partnerovi dostane předávající potvrzení tohoto kroku. Při výběru peněz v bance získá klient od pracovníka příslušné pobočky potvrzení. Při zaplacení poplatku na přepážce získá klient příjmový doklad, při nákupu zboží nebo služeb dostane účtenku. Důležité operace a úkony je možné doložit standardizovaným způsobem.
V elektronickém světě je to složitější. Zákon o elektronickém podpisu dává nástroj, kterým je možné doložit, že konkrétní dokument má příslušná osoba k dispozici (elektronický podpis) a že existoval v daném čase (časové razítko). Není ale nástroj k tomu, aby bylo možné prokázat, že s tímto dokumentem byla provedena nějaká operace. Technicky vzato lze za takový nástroj považovat DV certifikáty. Jejich uplatnění v praxi však není příliš široké a ani standardizace této technologie není zcela dořešena.
Samostatným bodem v rámci prokazování provedených operací je prokazování odeslání, respektive předání dat. Někdy je užíván i termín garantovaná pošta. Pro posílání datových souborů je nejčastěji používána elektronická pošta, e-mail. Problém užívání e-mailu souvisí především s tím, že negarantuje předání zprávy. Odesilatel sice v dobré víře může odeslat příslušná data, technologie nicméně v některých případech nezajistí jejich doručení. Odesilatel se nemůže zcela spolehnout na to, že e-mail zajistí doručení odesílané zprávy. Pokud je však součástí řešení i potvrzení o přijetí odeslané zprávy (opatřené zaručeným elektronickým odpisem), je problém často vyřešen. Tento postup zvolilo i mnoho tvůrců jednoduchých elektronických podatelen.
V rámci zákona o e-Governmentu je doručení a jeho potvrzení řešeno. Předpokládá se, že bude celý systém (datových schránek) spravován a provozován důvěryhodnou institucí, která dostatečně průkazně doloží prováděné operace spojené s předáváním dokumentů. V rámci tohoto zákona je však jasně řečeno, že systém bude užíván pouze ke komunikaci jednotlivých subjektů s orgány veřejné moci.
7.3 Mezinárodní uznatelnost elektronického podpisu
S mezinárodní uznatelností elektronického podpisu naložili tvůrci Směrnice Evropského parlamentu a Rady 1999/93/ES o zásadách Společenství pro elektronické podpisy poměrně nešťastně. Ostatně k tomu svým způsobem i tato Směrnice přímo nabádá, pokud například říká, že „členské státy mohou používání elektronických podpisů ve veřejném sektoru podmínit případnými doplňujícími požadavky“. To si členské státy vysvětlily po svém a rozhodně neplatí, že pokud například český občan podepíše uznávaným elektronickým podpisem v souladu s českou legislativou daty spojenými s „českým“ kvalifikovaným certifikátem podání zaslané slovenskému úřadu, bude uznáno jako podepsané a důvěryhodné. A to ani přes to, že Směrnice obratem dodává, že „tyto požadavky musí být objektivní, průhledné, proporcionální a nediskriminační a musí se vztahovat pouze na zvláštní vlastnosti daného použití, nesmí vytvářet překážky při poskytování přeshraničních služeb občanům“.
Stejně problematická je situace v oblasti poskytování certifikačních služeb, a to i přesto, že v souladu se Směrnicí „členské státy nesmí v oblastech, na které se vztahuje tato směrnice, omezovat poskytování ověřovacích služeb pocházejících z jiného členského státu“.
Mezinárodní uznávání elektronického podpisu je rozhodně jedním ze závažných problémů, který omezuje širší uplatnění této technologie v praxi. Významným přínosem by byla obecně uznávaná a zároveň závazná pravidla, která by sjednocovala požadavky na elektronický podpis minimálně v zemích Evropské unie.
Uvedený text je ukázkou z knihy:
P. Budiš: Elektronický podpis a jeho aplikace v praxi.
