Hogyan működik a minősített digitális aláírás?

A digitális aláírás a kézzel írott aláírás hamisíthatatlan megfelelője. Feltéve, hogy a digitálisan előállított aláírások is megfelelnek az eIDAS-rendeletben előírt szabályoknak. Ekkor a digitális aláírás nemcsak hamisíthatatlan, hanem 100%-ban jogilag is érvényes.

Sokakban azonban még mindig kérdéseket és bizonytalanságot vet fel a téma. Biztonságos az aláírásom? Hamisítható-e az aláírásom? Hogyan győződhetek meg arról, hogy a megfelelő személy írta alá?

Ahhoz, hogy ezekre és más kérdésekre választ tudjunk adni, ebben a cikkben azzal foglalkozunk, hogyan lehet egy dokumentumot érvényesen digitálisan aláírni, és mi szükséges ehhez.

Hogyan lehet elektronikus dokumentumot biztonságosan digitálisan aláírni?

A fogalmak tisztázása:

• Adigitális aláírásokat elektronikus formában lévő dokumentumok jóváhagyására és érvényesítésére használják. Összetett kriptográfiai mechanizmusokat használnak a digitális dokumentumok és üzenetek hitelesítésére, az aláírók személyazonosságának megerősítésére, valamint az adatok védelmére az átvitel során történő manipulációtól és sérülésektől.

A digitális aláírások háttéreszközökkel vannak ellátva annak biztosítására, hogy csak egy felhatalmazott személy írhassa alá a dokumentumot, és hogy az aláírás utáni módosítások megakadályozhatók legyenek.

A digitális aláírás egy egyedi digitális azonosítóval, az úgynevezett "digitális tanúsítvány" vagy "nyilvános kulcsú tanúsítvány" segítségével jön létre. A digitális tanúsítványokat akkreditált hitelesítésszolgáltatók (CA) állítják ki, miután ellenőrizték a kérelmező személyazonosságát.

• A hitelesítésszolgáltató (CA ) olyan intézmény, amely jogosult digitális tanúsítványok kiadására. Megbízható harmadik félként (TTP) jár el, amely ellenőrzi a tanúsítvány birtokosának személyazonosságát. A tanúsító hatóság tanúsítja a nyilvános kulcs birtoklását is.

• A digitális tanúsítvány egy elektronikus útlevél, amely azonosítja a PKI által védett beszélgetés résztvevőjét, és lehetővé teszi az egyének és intézmények számára a biztonságos online adatcserét. Az adatok titkosítása és visszafejtése a nyilvános és a magánkulcsok párosával történik.

• A nyilvános kulcs egy egyedi numerikus azonosító, amelyet adatok titkosítására vagy digitális aláírások ellenőrzésére használnak. A kulcsot egy hitelesítésért felelős hatóság bocsátja ki egy személy vagy szervezet számára, és nyilvánosan hozzáférhető bárki számára, akinek szüksége van rá.

• A magánkulcsot csak a tulajdonosa ismeri. A megfelelő nyilvános kulccsal létrehozott adatok visszafejtésére vagy digitális aláírások létrehozására szolgál.

A digitális aláírások és a digitális tanúsítványok szorosan kapcsolódnak egymáshoz. Alkalmazásuk és felhasználásuk attól függ, hogy ezeket a rendszereket hogyan valósítják meg, és hogyan működik a megfelelő PKI-infrastruktúra. A digitális tanúsítványt néha digitális aláírási tanúsítványnak is nevezik, mivel az aláíró szervezet nyilvános kulcsát (hitelességét) igazolja.

Miért van szükségem digitális aláírásra és tanúsítványra?

Kezdjük egy egyszerű példával. Alice és Bob kommunikálni akarnak egymással, vagy alá akarnak írni egy dokumentumot.

1. forgatókönyv: Kezdeti példa

Alice két digitális kriptográfiai kulccsal rendelkezik - egy nyilvános kulccsal (PA) és egy magán/titkos kulccsal (SA). A nyilvános kulcs továbbadható. A magánkulcsot azonban Alice-nek titokban és biztonságban kell tartania.

Alice létrehoz egy digitális tanúsítványt, amely tartalmazza a nyilvános kulcsát és az e-mail címét. Ezt a tanúsítványt elküldi Bobnak, hogy megossza nyilvános kulcsát Bobbal.

Alice most már aláírhat egy dokumentumot a magánkulcsával, és elküldheti azt Bobnak. Bob ezután ellenőrizni tudja, hogy Alice nyilvános kulcsa megegyezik-e az Alice magánkulcsával készült aláírással.

A magán- és a nyilvános kulcs tehát ugyanannak az érmének a két oldala. Bármi, amit egy magánkulccsal aláírtak, ellenőrizhető a megfelelő nyilvános kulccsal.

Ez most már biztosítja, hogy csak Alice tud aláírást készíteni a magánkulcsával.

Azonban egy másik biztonsági intézkedést is be kell vezetni annak biztosítására, hogy Alice nyilvános kulcsa és felhasználói azonosítója (pl. e-mail címe) közötti kapcsolatot valóban ellenőrizni lehessen.

2. forgatókönyv: Mi történhet, ha a tanúsítványt nem ellenőrzik?

Ezúttal Mallory Alice-nak akarja kiadni magát, és kommunikálni akar Bobbal. Mallory nem rendelkezik sem Alice, sem Bob titkos kulcsával. Viszont van saját privát-nyilvános kulcspárja.

Mallory meg akarja győzni Bobot arról, hogy az ő titkos kulcsa Alice-é. Ehhez a saját nyilvános kulcsából és Alice e-mailjéből tanúsítványt készít magának, és elküldi Bobnak. Bob azt hiszi, hogy Alice-tól kapta a nyilvános kulcsot.

Most már Mallory aláírhatja a dokumentumokat a magánkulcsával, és elküldheti azokat Bobnak. Bob újra ellenőrizheti az aláírást a nyilvános kulccsal, és hogy melyiket egyezik újra. Bob most már meg van győződve arról, hogy Alice aláírta az üzenetet. A valóságban azonban Mallory volt az.

A probléma itt az, hogy Mallory-nak lehetősége van arra, hogy kapcsolatot hozzon létre a nyilvános kulcsa és Alice felhasználói azonosítója között.

Ezt azonban meg akarjuk akadályozni, és ehhez szükségünk van egy harmadik félre.

3. forgatókönyv: Hogyan csináljuk helyesen?

Trent egy megbízható harmadik fél, amely biztosítja, hogy Alice nyilvános kulcsa és felhasználói azonosítója közötti kapcsolat ellenőrizhető legyen. A Trent ellenőrzi Alice személyazonosságát, például a Video Ident segítségével történő személyazonosság-ellenőrzéssel, és hitelesíti a digitális tanúsítványt.

Alice most már aláírhatja az üzeneteket, Bob pedig biztos lehet benne, hogy az üzenet valóban Alice-től származik. Ily módon sikerül hamisításbiztos digitális aláírásokat létrehozni!

Itt tehát két dolog fontos:

1. Először is, Alice személyazonosságát meg kell állapítani, és a UserID-jét egy nyilvános kulcshoz kell rendelni. Alice a titkos kulcsot mindig biztonságban tartja. Vagy saját maga, vagy egy biztonságos harmadik fél szolgáltatón, például a sproof-on keresztül.
2. Másodszor, az aláíráskor az aláíró személyazonosságát ellenőrizni kell, például egy push-üzenettel a mobiltelefonján.

Így sikerül olyan digitális, minősített aláírásokat létrehozni, amelyek legalább olyan biztonságosak, mint az analóg aláírások.

Technikailag minden egyes, egy adott dokumentumhoz létrehozott digitális aláírás egyedi, ezért rendkívül nehéz meghamisítani. A digitális aláírások azon képessége, hogy biztosítják az elektronikus dokumentumok integritását és hitelességét, miközben jelzik az aláíró jóváhagyását, lehetővé teszi a vállalkozások, vállalkozók és ügyfelek számára az online interakciót és az információk biztonságos megosztását.