Digitální identita se stala nedílnou součástí našeho života v online světě. Jednoznačně nás identifikuje, podobně jako občanský průkaz ve fyzickém světě. Jedním z nástrojů, které digitální identita dnes využívá, je elektronický podpis. Umožňuje podepisovat dokumenty v počítači nebo mobilu, spolehlivě ověřit totožnost podepisujícího, ale též zajistit, že dokument už nikdo po podepsání neupraví.
Článek vznikl ve spolupráci se společností Elektronický podpis s.r.o.
Pojďme se na digitální identitu – její pravidla, fungování a možnosti podívat podrobněji. Dotkneme se i rozdílů mezi používáním identity v EU a v USA. Ukážeme možná bezpečnostní rizika, ale i cesty, jak jim spolehlivě předcházet. Chybět nebude ani pohled do možné budoucnosti elektronického podpisu a digitální identity tak, jak ji naznačují současné trendy.
Digitální identita
Digitální identita je pojem zahrnující všechny atributy, které člověka identifikují v digitálním prostoru. Už víte, že jedním z atributů je elektronický podpis. A co ty další? K nejčastěji využívaným patří:
Co potřebujete vědět o elektronickém podpisu, než ho začnete používat
Elektronický podpis není jen naskenovaný obrázek rukopisu. Jde o soubor dat, který se váže k dokumentu a potvrzuje, že ho podepsal konkrétní člověk. Funguje na principu šifrování a digitálních certifikátů, které zaručují pravost i neměnnost obsahu.
Úrovně elektronického podpisu
V České republice a v EU rozlišujeme tři hlavní úrovně elektronických podpisů:
Jak podpis funguje po technické stránce?
Elektronický podpis využívá asymetrické kryptografie založené na dvojici klíčů. Tím prvním je soukromý klíč, a pak je tu ještě klíč veřejný. Soukromý klíč máte jen vy, používáte ho k vytvoření podpisu. Veřejný klíč může mít kdokoliv, slouží totiž k ověření vašeho podpisu.
Elektronické podepisování dokumentu probíhá v několika krocích. Nejprve systém vytvoří tzv. hash. To je jedinečný digitální otisk dokumentu. Ten se následně digitálně podepíše pomocí soukromého klíče podepisující osoby. Jde o kryptografickou operaci, která umožňuje ověření autenticity a integrity dokumentu. Výsledným kódem je onen elektronický podpis, jenž se připojí k dokumentu.
Příjemce dokumentu může pomocí veřejného klíče snadno ověřit jak autenticitu (že podpis vytvořila opravdu daná osoba), tak integritu dokumentu (že po podepsání nedošlo k žádným změnám).
Proč věřit elektronickému podpisu?
Důvěryhodnost celého procesu zajišťují certifikáty vydávané certifikačními autoritami, které garantují spojení mezi identitou subjektu a jeho klíčem. Tato garance je založena na právně vymahatelné odpovědnosti certifikačních autorit operujících v rámci legislativního rámce. Tím se vytváří infrastruktura veřejného klíče (PKI) s jasně definovanou hierarchií důvěry.
Certifikát elektronického podpisu má časově omezenou platnost. To neplatí o již podepsaných dokumentech, ale o samotném nástroji. Chcete-li digitální identitu v podobě elektronického podpisu používat dlouhodobě, pravidelně musíte certifikát obnovovat.
Kde získáte elektronický podpis, resp. oba klíče?
Bezpečné podepisování začíná výběrem spolehlivého nástroje. Podpis musí být platný, ověřitelný a jmenovitou autoritou chráněný proti zneužití. Na trhu najdeme vícero nástrojů pro elektronické podepisování. Některé jsou jednoduché, jiné zvládají i pokročilé funkce. V České republice se setkáte se třemi kvalifikovanými poskytovateli certifikačních služeb:
Vedle tří autorit a jejich nástrojů najdete na českém trhu i zprostředkovatele některého z nástrojů, kteří jej doplňují o rozšiřující služby, nebo poskytovatele mezinárodních certifikačních služeb. K nejznámějším patří:
Za zmínku stojí také ElektronickýPodpis.cz, což je služba specializující se na asistované zřízení a nastavení certifikátu PostSignum přímo u klienta, který tím ušetří čas ve srovnání s vyřizováním samostatně u České pošty.
Bezpečný elektronický podpis má své zásady. Bez výjimky
Bezpečné používání elektronického podpisu vyžaduje ze strany uživatele jistý respekt k pravidlům bezpečnosti. Především chraňte svůj soukromý klíč a přístupové údaje k němu. Používejte silná hesla a dvoufaktorovou autentizaci.
Vždycky kontrolujte, co podepisujete, dělejte to stejně pečlivě jako u papírových dokumentů. Zálohujte podepsané dokumenty na bezpečném místě a dobře si promyslete, s kým je budete sdílet. Pamatujte i na možnosti omezeného sdílení a zamykání některých částí.
Pravidelně aktualizujte software sloužící k práci s elektronickými podpisy. A hlídejte si termíny: před koncem platnosti certifikátu si včas zařiďte (nebo nechte zařídit) jeho obnovu.
Digitální identita není jen podpis, ale i možnost jeho ověření
Jen podpis nestačí. Aby měl elektronický podpis smysl, musíte být schopni si jej (vy nebo druhá strana) také ověřit. Podobně, jako se úředně ověřují podpisy rukou na papírových dokumentech. Každý elektronicky podepsaný dokument je bezcenný, pokud si podpis nemůžete ověřit.
Jak probíhá ověření? Software pro ověření digitální identity zkontroluje čtyři oblasti:
Digitální nástroje zvládnou podpis ověřit automaticky. Ale vy vždycky věnujte pozornost varováním typu: „certifikát není důvěryhodný“ nebo „dokument byl po podpisu změněn“. Neberte je na lehkou váhu.
Jak se podpis ověřuje? V každém programu jinak, ale všude jednoduše
Jak na ověření konkrétního dokumentu? Stačí otevřít dokument v aplikaci, která podpisy umí ověřovat. Když je podpis kvalifikovaný a vystavený důvěryhodnou autoritou, jako je PostSignum, software ho většinou ověří automaticky a bez komplikací.
Zde je postup v nejčastěji používaných aplikacích:
Právní síla elektronického podpisu v EU
Elektronický podpis není jen technická záležitost – je to i právní úkon. Když dokument podepíšete kvalifikovaným podpisem, má stejnou váhu jako podpis rukou. Aby to platilo, musí být splněny požadavky dané legislativou. V Evropské unii je tím hlavním rámcem nařízení eIDAS.
Nařízení eIDAS (Electronic Identification, Authentication and Trust Services) sjednocuje pravidla pro elektronickou identifikaci a důvěryhodné služby v rámci EU. Účinné je od roku 2016 a zajišťuje:
Dále určuje, kdo může vydávat certifikáty, jak musí vypadat kvalifikovaný elektronický podpis, jaké jsou podmínky pro uznávání přes hranice (například mezi Českem a Německem) a jak mají fungovat důvěryhodné služby typu časová razítka, ověřování totožnosti apod.
Díky eIDAS se nemusíte bát podepsat smlouvu s partnerem v jiné zemi EU. Jestliže oba používáte kvalifikovaný podpis, dokument má stejnou právní sílu jako vlastnoručně podepsaný. V případě sporu slouží ověřený elektronický podpis jako důkaz.
V USA jinak než v EU, na to pamatujte
Přístup k elektronickým podpisům se liší podle právního prostředí. EU a USA používají odlišné principy. Přizpůsobit se musíte podle toho, ve které zemi budete dokument uplatňovat, a podle toho zvolit vhodný typ podpisu:
Co to pro vás znamená v praxi?
Bezpečnostní rizika tu jsou (jako všude v online světě). Ale ubráníte se
Elektronický podpis šetří čas a náklady, ale bez správného zabezpečení může být zneužitelný. Stejně jako cokoliv jiného v digitálním prostředí. Je tu ale dobrá zpráva: většině hrozeb lze snadno předejít s trochou obezřetnosti.
Jak vypadají kyberútoky na digitální identitu
Nejčastější hrozby se týkají buď přímo certifikátu, nebo prostředí, ve kterém podpis používáte. Útočníci se snaží:
Co vám pomůže se bránit útočníkům
Většinu útoků odrazíte pomocí úplně základních digitálních návyků. Mezi ně patří:
Jak spolehlivě ochráníte svůj elektronický podpis
Vedle obecných digitálních návyků se naučte ještě specifická pravidla pro ochranu zaměřenou přímo na váš elektronický podpis:
Co když svůj podpis ztratíte?
Když ztratíte zařízení obsahující certifikát nebo budete mít podezření na únik dat či zneužití podpisu, vyžádejte si u poskytovatele tzv. revokaci. To je předčasné ukončení platnosti (podobně, jako jsme zvyklí u platební karty). Dosud podepsané dokumenty zůstávají platné, ale k novému podpisu už tento certifikát nepůjde použít.
Stejně se postupuje, když ve firmě ukončuje pracovní poměr osoba, která elektronický podpis obsluhovala. Ani tady se to bez revokace neobejde.
Jakou budoucnost naznačují současné trendy digitální identity?
Digitální identita se neustále vyvíjí. Jedním z nejvýraznějších trendů je decentralizovaná identita. Hlavní změnou by měl být samotný správce identity. Místo toho, aby jím byly centrální organizace (stát nebo velká firma), stará se o svou digitální identitu v tomto konceptu přímo uživatel.
Umožní mu to tzv. self-sovereign identity, třeba prostřednictvím aplikace v mobilu. Osobní údaje se už nemají ukládat do jedné centrální databáze. Využít by se měl blockchain, který zajišťuje transparentnost, důvěryhodnost a nižší riziko úniku dat.
Souběžně s decentralizací identity roste význam umělé inteligence (AI), která už dnes pomáhá s biometrickým ověřováním (např. rozpoznávání obličeje nebo hlasu), s odhalováním falešných dokumentů nebo s analýzou podezřelého chování při podepisování.
AI dokáže vyhodnotit, zda podpis neprobíhá z podezřelého zařízení nebo lokality. Do budoucna se očekává zesílení její role, například:
Ale nevyvíjí se jen technologie. I právní rámec čekají notné změny. Chystá se eIDAS 2.0, který klade důraz především na:
Digitální identita zkrátka míří k větší důvěryhodnosti, komfortu i bezpečnosti. Pro firmy to s sebou ale nese nové výzvy, jak zabezpečit procesy, a zároveň zůstat v souladu s právem.
Závěrem
Elektronický podpis se stal nenahraditelným nástrojem v digitálním světě. Zajišťuje právní závaznost dokumentů, ověření identity a integritu dat. Různé úrovně elektronických podpisů nabízejí řešení pro různé potřeby: od běžné komunikace až po právně závazné dokumenty.
Digitální identita se stává základem moderního fungování a s rostoucím významem online světa bude její důležitost dále růst. Správným přístupem využijete všechny výhody elektronického podepisování a minimalizujete bezpečnostní rizika.
Jednotlivcům doporučujeme:
Pro firmy je vhodné:
K digitální identitě přistupujte stejně zodpovědně jako k té fyzické. Pamatujte na základní bezpečnostní pravidla. Důležitost digitální identity i jejího zabezpečení dále poroste.