od redakcji: przygotowana pod redakcją Pawła Krawczyka analiza dotycząca sytuacji podpisu elektronicznego w Polsce i sposobów rozwiązania problemów z nim związanych została dziś przyjęta jako oficjalne stanowisko ISOC Polska. Zapraszam do lektury.
Motto: Jednym z filarów podpisu elektronicznego jest wzajemna kompatybilność: Należy wspierać współdziałanie produktów podpisu elektronicznego (Dyrektywa 1999/93/WE o podpisie elektronicznym)
Podpis elektroniczny jest narzędziem, które ma olbrzymi potencjał i może przynieść wymierne korzyści osobom prywatnym, administracji publicznej oraz biznesowi.
Obserwując aktualny stan podpisu elektronicznego w Polsce społeczność użytkowników Internetu zrzeszona w Internet Society Poland (ISOC-PL) wyraża swoje zaniepokojenie trudnościami w jego praktycznym stosowaniu. Zdaniem ISOC-PL wynika to z błędów w polskim prawie o podpisie elektronicznym i, co za tym idzie, błędnych rozwiązań technicznych oferowanych na rynku przez polskie centra certyfikacji.
Podpis elektroniczny w Polsce jest obecnie wykorzystywany wyłącznie na ograniczoną skalę, w zamkniętych grupach użytkowników (ZUS, bankowość, e-przetargi). Stosowanie podpisu w skali całego kraju między różnorodnymi podmiotami jest obecnie nieopłacalne i niepraktyczne. Z tego powodu wykorzystanie podpisu w biznesie jest szczątkowe.
Grupą szczególnie zagrożoną obecnym stanem prawnym jest administracja publiczna, która nie ma wyboru co do stosowania bądź niestosowania podpisu, ponieważ zgodnie z obowiązującym prawem od 16. sierpnia b.r. ma ona obowiązek przyjmować podpisane dokumenty elektroniczne.
Jednak z punktu widzenia administracji publicznej wdrożenie podpisu elektronicznego jest na dzień dzisiejszy niemożliwe, ponieważ wzajemnie wykluczające się przepisy i bezzasadnie wysokie wymogi wobec elementów systemu uniemożliwiają skonstruowanie spójnych specyfikacji zamówień (SIWZ).
Administracja publiczna, nie mając, według wiedzy uzyskanej w trakcie tworzenia tego raportu, żadnych wytycznych, prowadzi nieskoordynowane próby skonstruowania systemów podpisu elektronicznego, starając się dopasować je wymogów dziś obowiązującego prawa. Ze względu na niżej opisane problemy, systemy takie nie będą w stanie normalnie funkcjonować, a zamiast oczekiwanych oszczędności przyniosą ogromne straty.
Poniżej opisujemy problemy polskiego podpisu elektronicznego oraz postulowane przez nas rozwiązania.
Niekompatybilne formaty
Czterej polscy wystawcy certyfikatu kwalifikowanego dostarczają aplikacje, zapisujące podpis w czterech formatach – CMS, PKCS7, XAdES oraz SDOC. Formaty te są całkowicie niekompatybilne między sobą.
Utrudnia to komunikację podmiotów, które zakupiły certyfikat u różnych wystawców oraz znacząco podnosi koszty przyjmowania dokumentów elektronicznych przez jednostki administracji publicznej. W praktyce każdy podmiot musiałby mieć zainstalowane cztery programy do komunikacji z innymi podmiotami, z czego dwa programy kolidujące ze sobą. Wszystkie cztery są dostępne tylko dla systemu Windows.
Jest to sprzeczne z zasadami ergonomii, zasadą wzajemnej kompatybilności systemów informatycznych postulowaną w punkcie 5 wprowadzenia do unijnej Dyrektywy 1999/93 oraz z zasadą neutralności technologicznej.
Jeden ze stosowanych formatów (PWPW/Sigillum SDOC) nie jest w ogóle dopuszczony do stosowania przez rozporządzenie o warunkach technicznych. Z kolei firma Signet stosuje format XAdES z niestandardowym mechanizmem znacznika czasu.
Dodatkowo rozporządzenie do ustawy o informatyzacji wprowadza jeszcze jeden format (XML-DSig), niekompatybilny z czterema wymienionymi wyżej i nienadający się do stosowania z podpisem kwalifikowanym (w uproszczeniu, stanowi on uboższą wersję XAdES).
Znaczna liczba wprowadzonych w rozporządzeniach formatów i nieprecyzyjne określenie wariantów oraz warunków ich stosowania pogłębiają problemy podpisu elektronicznego w Polsce.
Postulujemy określenie wymogu stosowania jednego, obowiązkowego formatu dla administracji publicznej. Proponujemy by tym formatem był XAdES (ETSI TS 101 903). Większość obecnie wykorzystywanych systemów przetwarzania dokumentów opiera się o format XML, a XAdES jest formatem dedykowanym dla podpisu kwalifikowanego w dokumentach XML. Przemawia za nim również rozpowszechnienie w innych Państwach Członkowskich, co pozwoli na zapewnienie wzajemnej kompatybilności w wymianie gospodarczej z Unią Europejską.
Równocześnie wymóg stosowania tego formatu powinien obejmować tylko administrację publiczną. Pozwoli to biznesowi stosować dowolne formaty (także własne) spełniające jego specyficzne wymagania, porządkując równocześnie sferę publiczną i określając jednoznaczny format do kontaktów z administracją. Jedynym wymogiem powinno dla tych formatów być spełnianie technicznych wymogów dla podpisu kwalifikowanego.
Fikcyjne „bezpieczne urządzenie”
Podpis kwalifikowany zgodnie z rozporządzeniem o warunkach technicznych można obecnie składać tylko przy pomocy aplikacji posiadających deklarację zgodności, a w praktyce czterech aplikacji pracujących wyłącznie pod systemem Windows, dostarczanych przez wystawców certyfikatów i nazywanej bezzasadnie „bezpiecznym urządzeniem”.
Niewygoda stosowania tych aplikacji, brak możliwości integracji z oprogramowaniem generującym dokumenty (np. systemy finansowo-księgowe) oraz niekompatybilne formaty powodują, że wymóg stosowania tych aplikacji jest główną barierą czyniącą stosowanie podpisu elektronicznego w firmie niepraktycznym.
Problemy z bezpieczeństwem tych aplikacji uruchamianych w systemie Windows, jakie wskazano w 2005 r., dowodzą, że ich stosowanie nie daje znacząco większego bezpieczeństwa niż to, jakie daje karta elektroniczna, a która zgodnie z terminologią unijną i potoczną jest właśnie „bezpiecznym urządzeniem”.
Postulujemy dopuszczenie składania podpisu elektronicznego przy pomocy dowolnej aplikacji pod dowolnym systemem operacyjnym, pozostawiając jednak wymóg przechowywania klucza na karcie elektronicznej.
Spełnia to wymogi Dyrektywy i ustawy o wyłącznym dysponowaniu kluczem prywatnym, a wracając do pierwotnego znaczenia karty jako „bezpiecznego urządzenia” spełnia także wymóg składania podpisu kwalifikowanego przy pomocy bezpiecznego urządzenia.
Równocześnie postulujemy wprowadzenie wymogu składania podpisu w bezpiecznym środowisku (urządzenie zgodne z normą CWA 14169) przy podpisywaniu dokumentów o istotnych skutkach prawnych (np. powyżej określonej kwoty). Punkt ten wymaga dalszych konsultacji środowiskowych, jednak warto wskazać na fakt, że taka konstrukcja prawna jest już stosowana, na przykład w Niemczech.
Osoba fizyczna a podpis elektroniczny
Ekonomiczny sens podpisu elektronicznego leży między innymi w wyeliminowaniu z systemu operacji wykonywanych dotychczas ręcznie. Zniesienie wymogu podpisywania faktur papierowych umożliwiło masowy druk i wysyłkę faktur z wyeliminowaniem kosztów czynnika ludzkiego. Ponowne wprowadzenie tego czynnika do podpisu elektronicznego ubiegłorocznym rozporządzeniem burzy sens ekonomiczny tej technologii.
Dotychczas w dyskusji o fakturach elektronicznych zwolennicy stosowania podpisu kwalifikowanego argumentowali, że zapewni on autentyczność i integralność faktury. Cechy te są istotnie niezbędne. W obecnej formie podpis kwalifikowany posiada jednak kluczową niekonsekwencję – i to właśnie ona, a nie sam wymóg podpisywania, prowadzi do utraty sensu ekonomicznego faktur elektronicznych. Należy podkreślić, że problem ten był już wielokrotnie podnoszony przez Polską Izbę Informatyki i Telekomunikacji i przez polskich kryptologów.
Otóż polski podpis elektroniczny jest, zgodnie z brzmieniem ustawy, wyłącznie metodą identyfikacji oraz oświadczenia woli osoby fizycznej. W związku z tym w procesie podpisu zawsze musi wystąpić człowiek.
Jest to sprzeczne z definicją unijnej Dyrektywy 1999/93, która mówi o podpisie jako metodzie uwierzytelnienia podmiotu, nie ograniczając przy tym podmiotu do osób fizycznych. Równocześnie uwierzytelnienie to nie to samo, co oświadczenie woli – w tym terminie mieści się również potwierdzenie autentyczności (pochodzenia), które nie musi być związane z oświadczeniem woli.
W rezultacie przyjęte w polskiej ustawie brzmienie uniemożliwia m. in. zastosowanie podpisu do potwierdzania autentyczności dokumentów takich jak faktury elektroniczne czy dokumenty, które nie są przecież oświadczeniami woli osoby fizycznej.
Następujące przypadki są przykładami dokumentów, wymagających jedynie potwierdzenia autentyczności (pochodzenia) i integralności dokumentu:
- e-faktury,
- elektroniczna publikacja ustaw, oświadczeń, interpretacji, komunikatów,
- elektroniczne poświadczenie odbioru.
Zdecydowanie nie są one oświadczeniami woli osób fizycznych. Jednak prawo mówi o osobie fizycznej, więc w obecnej sytuacji podpis osoby fizycznej w sposób sztuczny próbuje się „wcisnąć” w biznesowe wymogi automatycznego potwierdzania autentyczności dokumentów, które takiej funkcjonalności nie potrzebują lub nie mogą posiadać.
Proponowane dotychczas próby obejścia tego problemu (podpis wielokrotny) nie są ani wygodne w stosowaniu, ani w pełni zgodne z prawem. Podpis wielokrotny (multiSign) stoi w sprzeczności ze sformułowaniami ustawy o podpisie, która, mówiąc o procedurze składania podpisu, posługuje się liczbą pojedynczą, a nie mnogą (rozporządzenie mówi „ostrzeżenie poprzedza złożenie podpisu”, a nie „podpisów”).
W związku z tym postulujemy wprowadzenie jednoznacznego umocowania prawnego podpisu składanego w celu potwierdzenia autentyczności i bez udziału człowieka. Obecnie funkcja ta została „wypchnięta” do podpisu niekwalifikowanego, a następnie wyłączona ze stosowania dla faktury elektronicznej, która wymaga podpisu kwalifikowanego. Dotyczy to również projektowanych obecnie rozporządzeń o publikacji aktów normatywnych i ustaw w formie elektronicznej.
Regulacja ta musi również zawierać zastrzeżenia by certyfikat stosowany do automatycznego podpisywania faktur elektronicznych nie był wykorzystywany do innych celów oraz, jeśli jest to uzasadnione innymi względami, ograniczenie możliwości automatycznego podpisywania dokumentów, np. do określonej kwoty.
Amerykańskie poświadczenia odbioru
Zgodnie z rozporządzeniem do Ustawy o informatyzacji, urzędowe poświadczenie odbioru dokumentu elektronicznego ma być generowane przez urządzenie HSM, spełniające wymagania normy FIPS 140-2 na poziomie 3, wydanej przez amerykański Narodowy Instytut Standardów i Technologii (NIST).
Na światowym rynku dostępne są trzy takie urządzenia, kosztujące od kilkunastu do kilkudziesięciu tysięcy dolarów za sztukę. Wątpliwe by budżet każdej jednostki administracji w Polsce był przygotowany na taki wydatek do 16. sierpnia br.
Wprowadzenie amerykańskiej narodowej normy FIPS jako jedynego dopuszczalnego kryterium dla polskiej administracji jest całkowicie nieuzasadnione. W sytuacji, kiedy inne polskie przepisy posługują się równoważnymi, międzynarodowymi normami ITSEC i Common Criteria, naturalnym byłoby wskazanie tych właśnie standardów. Normy te są certyfikowane przez jednostki w Polsce (DBTI ABW) oraz w innych krajach NATO, zaś FIPS jest certyfikowana wyłącznie w Stanach Zjednoczonych.
Jest to również niekonsekwencja w stosunku Ustawy o podpisie – w rozporządzenie o warunkach technicznych podpisu elektronicznego wskazuje się wprost na normy ITSEC i Common Criteria (par. 49, 1.4 i 2.2). Obowiązują one także przy wprowadzaniu do obrotu urządzeń do ochrony informacji niejawnej.
Część przedsiębiorców wskazuje też na możliwość „outsourcingu”, czyli wystawiania poświadczeń odbioru przez zewnętrzny podmiot, co istotnie mogłoby zmniejszyć koszty ich wystawiania w przeliczeniu na jednostkę administracji. Jednak z rozporządzenia w żaden sposób nie wynika by było to prawnie możliwe, wprost przeciwnie, rozporządzenie posługuje się językiem wskazującym raczej na to, że poświadczenia ma wystawiać sama jednostka.
Postulujemy ponowne rozważenie, czy na pewno istnieje konieczność stosowania HSM we wszystkich jednostkach administracji. Ich stosowanie jest niewątpliwie uzasadnione w urzędach, w których czas otrzymania dokumentu może mieć istotne znaczenie dla konkurujących o jakieś zasoby firm, jest jednak nieuzasadnionym obciążeniem dla małych jednostek administracji, które będą otrzymywać dokumenty drogą elektroniczną tylko sporadycznie.
Dla nich powinna być dostępna tańsza opcja, np. outsourcing, którego legalność musi jednak wynikać wprost z rozporządzenia, lub podpis elektroniczny w trybie potwierdzenia autentyczności, generowany przez system informatyczny (bez udziału człowieka).
W każdym wypadku niezbędne jest wprowadzenie norm ITSEC oraz Common Criteria.
Chaos w administracji publicznej
Brak jest poprawnego wskazania formatu podpisu elektronicznego, który ma być stosowany przez administrację, co teraz, na kilka miesięcy przed przewidywanym terminem wdrożenia, powoduje ogromne problemy i chaos w jednostkach administracji.
Format wskazany w rozporządzeniu do ustawy o informatyzacji (XML-DSig) nie może być wykorzystywany dla podpisu kwalifikowanego. Format, który może być (XAdES), nie jest z kolei w ogóle tam wymieniony, występuje za to w rozporządzeniu do ustawy o podpisie elektronicznym.
Równocześnie jednostki administracji publicznej zastanawiają się, skąd wziąć pieniądze na opisane wyżej urządzenia HSM.
Z ankiety przeprowadzonej przez ISOC-PL wynika, że jednostki administracji publicznej są świadome, iż mają czas na wdrożenie podpisu kwalifikowanego do sierpnia b.r. Jednak wobec niespójnych przepisów oraz braku jakichkolwiek wytycznych lub interpretacji ze strony rządu (stan na styczeń 2006) nie potrafią one sformułować jednoznacznych i zgodnych z prawem kryteriów zamawianych systemów informatycznych.
Postulujemy jednoznaczne wskazanie formatu XAdES jako jedynego obowiązkowego formatu podpisu kwalifikowanego dla administracji publicznej. Równocześnie konieczne jest wskazanie, który konkretnie z sześciu wariantów XAdES jest obowiązujący dla składania dokumentów.
Konieczne jest również precyzyjne określenie procedur weryfikacji dokumentów podpisanych elektronicznie oraz ich archiwizacji (format XAdES-A).
Ponieważ skala problemów gwarantuje, że terminowe wdrożenie systemów podpisu elektronicznego w administracji będzie niemożliwe, postulujemy także przedłużenie czasu na wdrożenie na co najmniej pół roku od wejścia w życie nowelizacji ustawy o podpisie elektronicznym.
Apelujemy o jak najszybsze wskazanie jednostkom administracji publicznej przewidywanego kierunku zmian prawnych po nowelizacji oraz jednoznaczne wskazanie dalszego trybu postępowania do 16. sierpnia i po tej dacie.
Polski podpis a Unia Europejska
Ankieta przeprowadzona przez ISOC-PL w Austrii, Niemczech, Republice Czeskiej, Estonii i Francji pokazuje, że inne kraje Unii również borykają się z podobnymi problemami jak Polska. Brak jest jeszcze doświadczeń oraz jednoznacznych stanowisk by wskazać rozwiązanie wszystkich problemów podpisu elektronicznego, są one jednak wystarczające by jednoznacznie wskazać rozwiązanie problemów opisanych powyżej.
Proponowane przez nas rozwiązania są kompatybilne z rozwiązaniami w innych Państwach Członkowskich. Jest to tym bardziej istotne, że podpis elektroniczny z założenia ma być instrumentem ułatwiającym wymianę gospodarczą nie tylko wewnątrz Polski, ale także na rynku europejskim, zwłaszcza po otwarciu rynków usług oraz wejściu Polski do strefy euro.
Kluczowe jest dążenie do ujednolicenia rozwiązań prawnych i technicznych stosowanych w Europie. Nie powinno to jednak oznaczać wyłącznie przyjmowania rozwiązań wdrożonych w innych krajach, ale także aktywną wymianę doświadczeń i promowanie rozwiązań, które sprawdziły się w Polsce na forum europejskim.
Odpowiednią organizacją zrzeszającą większość krajów Unii jest FESA (Forum of European Supervisory Authorities for Electronic Signatures), w której Polska jako jeden z niewielu krajów nie ma obecnie reprezentacji.
ISOC-PL apeluje do polskich władz by Polska podjęła na forum europejskim tematykę kompatybilności technicznej i prawnej podpisu elektronicznego w państwach członkowskich Unii Europejskiej.
O Internet Society Polska
Internet Society Polska (ISOC-PL) jest oddziałem światowego ISOC, organizacji, która propaguje rozwój Internetu i społeczeństwa informacyjnego. Do ISOC należy większość światowych pionierów Internetu. Oddziały ISOC działają w 150 krajach. W ramach Internet Society działają Internet Engineering Task Force (IETF) i Internet Architecture Board (IAB), które od zarania określają podstawowe standardy techniczne Internetu. Oddziały ISOC działają w 150 krajach i regionach świata. Na poziomie europejskim oddziały narodowe ISOC zrzeszone są w Internet Society European Coordination Council Board. Kontakt: ISOC Polska, ul. Pasteura 7, 02-093 Warszawa, tel/fax: 022 668 58 07
Podziękowania
Koordynator raportu, Paweł Krawczyk, chciałby podziękować wszystkim osobom, które konsultowały lub pomogły w stworzeniu tego dokumentu: Marcin Cieślak (ISOC-PL), Nicolas T. Courtois (Axalto), Wojciech S. Czarnecki (ISOC-PL), Józef Halbersztadt (ISOC-PL), Vizvary II Istvan (Cryptigo), Łukasz Jachowicz (RWO), Tomasz Kokowski (Politechnika Poznańska), Mirosław Kutyłowski (PWr), Dariusz Lewicki (Cryptotech), Zbigniew Łukasiak (ISOC-PL), Władysław Majewski (ISOC-PL), Sergiusz Pawłowicz (IT ZONE), Jacek Pokraśniewicz (Enigma SOI), Gerald Scheer (Utimaco), Piotr Waglowski (Vagla.pl), Reinhard Wobst, a także Polskiej Izbie Informatyki i Telekomunikacji (PIIT), która wielokrotnie zwracała uwagę na problemy związane z podpisem elektronicznym w Polsce.
Archiwalny news dodany przez użytkownika: Paweł Krawczyk.
Kliknij tutaj by zobaczyć archiwalne komentarze.