Digitalni potpis je nekrivotvoreni ekvivalent vlastoručnog potpisa. Pod uvjetom da su digitalno generirani potpisi također u skladu s propisima propisanim eIDAS uredbom. Tada digitalni potpis nije samo otporan na krivotvorenje, već je i 100% pravno valjan.

Za mnoge ljude, međutim, tema još uvijek izaziva pitanja i neizvjesnost. Je li moj potpis siguran? Može li se moj potpis krivotvoriti? Kako mogu biti siguran da je prava osoba potpisala?

Kako bismo mogli odgovoriti na ova i druga pitanja, u ovom ćemo se članku pozabaviti načinom na koji se dokument može valjano digitalno potpisati i što je za to potrebno.

To omogućuje sigurno digitalno potpisivanje elektroničkog dokumenta

Razdvojba:

Digitalni potpisi koriste se za odobravanje i provjeru valjanosti dokumenata u elektroničkom obliku. Koriste složene kriptografske mehanizme za provjeru autentičnosti digitalnih dokumenata i poruka, potvrđivanje identiteta potpisnika i zaštitu podataka od neovlaštenog mijenjanja i neovlaštenog mijenjanja tijekom prijenosa.

Digitalni potpisi opremljeni su pozadinskim alatima kako bi se osiguralo da samo ovlaštena osoba može potpisati dokument i kako bi se spriječile promjene nakon potpisivanja.

Digitalni potpis generira se pomoću jedinstvenog digitalnog identifikatora koji se naziva “digitalni certifikat” ili “certifikat javnog ključa”. Digitalne certifikate izdaju akreditirana tijela za izdavanje certifikata (CA) nakon provjere identiteta podnositelja zahtjeva.

• Izdavatelj certifikata (CA) je entitet koji je ovlašten za izdavanje digitalnih certifikata. Djeluje kao pouzdana treća strana (TTP) koja provjerava identitet nositelja certifikata. Izdavatelj certifikata također potvrđuje posjedovanje javnog ključa.
  
• Digitalni certifikat je elektronička putovnica koja identificira sudionika u razgovoru zaštićenom PKI-jem i omogućuje pojedincima i institucijama sigurno dijeljenje podataka na mreži. Enkripcija i dešifriranje podataka vrši se parom javnih i privatnih ključeva.
  
• Javni ključ je jedinstveni numerički identifikator koji se koristi za šifriranje podataka ili provjeru digitalnih potpisa. Izdaje ga certifikacijsko tijelo osobi ili organizaciji i javno je dostupan svima kojima je potreban.
  
• Privatni ključ poznat je samo njegovom vlasniku. Koristi se za dešifriranje podataka stvorenih odgovarajućim javnim ključem ili za generiranje digitalnih potpisa.

Digitalni potpisi i digitalni certifikati usko su povezani. Vaše aplikacije i upotrebe ovise o tome kako su ti sustavi implementirani i kako funkcionira PKI infrastruktura. Digitalni certifikat ponekad se naziva certifikatom za digitalno potpisivanje jer potvrđuje javni ključ (autentičnost) ovlaštenja za potpisivanje.

Zašto su mi potrebni digitalni potpis i certifikat?

Počnimo s jednostavnim primjerom. Alice i Bob žele komunicirati zajedno ili potpisati dokument.

Scenarij 1: Uvodni primjer

Alice ima dva digitalna kriptografska ključa – javni (PA) i privatni/tajni (SA) ključ. Javni ključ se može proslijediti. Privatni ključ, međutim, Alice mora čuvati u tajnosti i čuvati ga.

Alice stvara digitalni certifikat koji sadrži njezin javni ključ i adresu e-pošte. Ona šalje ovaj certifikat Bobu da podijeli svoj javni ključ s Bobom.

Alice sada može potpisati dokument svojim privatnim ključem i poslati ga Bobu. Bob tada može provjeriti podudara li se Alicein javni ključ s potpisom napravljenim Aliceinim privatnim ključem.

Privatni i javni ključ stoga su dvije strane iste medalje. Sve što je potpisano privatnim ključem može se provjeriti odgovarajućim javnim ključem.

To sada osigurava da samo Alice može napraviti potpis svojim privatnim ključem.

Međutim, mora se uvesti još jedna sigurnosna mjera.
Mora se osigurati da se stvarno provjeri povezivanje Alice Public Key i njezinog korisničkog ID-a (npr. e-mail adresa).

Scenarij 2: Što se može dogoditi ako certifikat nije provjeren?

Ovaj put, Mallory se želi pretvarati da je Alice i komunicirati s Bobom. Mallory nema ni Alicein ni Bobov privatni ključ. Međutim, on ima svoj privatno-javni par ključeva.

Mallory pokušava uvjeriti Boba da njegov privatni ključ pripada Alice. Da bi to učinio, sam izrađuje certifikat iz svog javnog ključa i Aliceine e-pošte i šalje ga Bobu. Misli da je dobio javni ključ od Alice.

Sada Mallory može potpisivati dokumente svojim privatnim ključem i slati ih Bobu bez ometanja. Korisnik može ponovno provjeriti potpis javnim ključem i ponovno uskladiti koje. Bob je sada uvjeren da je Alice potpisala ovu poruku. U stvarnosti, međutim, to je bila Mallory.

Problem je u tome što Mallory ima priliku stvoriti vezu između svog javnog ključa i Aliceinog korisničkog ID-a.

Međutim, to želimo spriječiti, a za to nam je potrebna treća strana.

Scenarij 3: Kako to učiniti ispravno?

Trent je pouzdana treća strana koja osigurava provjeru povezivanja Alice Public Key i njezinog korisničkog ID-a. Trent provjerava Alicein identitet, npr. pomoću identifikacijske kontrole s Video Identom, i potvrđuje digitalni certifikat.

Alice sada može potpisivati poruke i Bob može biti siguran da poruka doista dolazi od Alice. To će nam omogućiti izradu digitalnih potpisa otpornih na krivotvorenje!

Stoga su važne dvije stvari:

1. S jedne strane, Alicein identitet mora biti utvrđen i njezin korisnički ID mora biti povezan s javnim ključem. Alice uvijek ima privatni ključ na sigurnom. Bilo sami ili putem sigurnog pružatelja usluga treće strane kao što je sproof.
   
2. Drugo, prilikom potpisa mora se provjeriti identitet potpisnika, na primjer push porukom na vašem mobilnom telefonu.

To nam omogućuje izradu digitalnih, kvalificiranih potpisa koji su barem jednako sigurni kao i analogni potpisi.

Tehnički, svaki digitalni potpis stvoren za određeni dokument jedinstven je i stoga ga je iznimno teško krivotvoriti. Sposobnost digitalnih potpisa da osiguraju integritet i autentičnost elektroničkih dokumenata uz naznaku pristanka potpisnika omogućuje tvrtkama, izvođačima i kupcima interakciju na mreži i sigurno dijeljenje informacija.

Tehnički, svaki digitalni potpis stvoren za određeni dokument jedinstven je i stoga ga je iznimno teško krivotvoriti. Sposobnost digitalnih potpisa da osiguraju integritet i autentičnost elektroničkih dokumenata uz naznaku pristanka potpisnika omogućuje tvrtkama, izvođačima i kupcima interakciju na mreži i sigurno dijeljenje informacija.

Digresija: Tko su Alice, Bob i Mallory?

Alice, Bob i Mallory izmišljeni su likovi koji služe kao sinonimi za glavne igrače u komunikaciji i dijeljenju podataka. Umjesto da govore o anonimnim pojedincima, ti su pojedinci personificirani korištenjem Alice, Boba i Mallory. Ova metoda olakšava prikaz složenih odnosa i procesa i čini ih razumljivijima čitatelju.

Tko su Alice i Bob?
Alice i Bob reprezentativne su figure za sudionike u komunikaciji između dviju strana. Alice djeluje kao inicijator koji uspostavlja komunikaciju. Bob preuzima ulogu osobe koja preuzima poruku. Većinu vremena Alice nastoji prenijeti poruku Bobu dok Bob čeka poruku od Alice.

Tko je Mallory?
Mallory je aktivni napadač komunikacije koji se ne boji intervenirati u komunikaciju kako bi manipulirao porukama ili promijenio podatke. Kao čovjek u sredini (MITM), Mallory je posebno opasan za Alice i Boba, koji se mogu zaštititi od njega uz pomoć kriptografije.
Bez primjene kriptografije …

• … prijenosi podataka podložni su manipulaciji trećih strana. Mallory bi mogao, na primjer, koristiti presretnute podatke u vlastite svrhe ili ih neprimjetno promijeniti.
• … Mallory bi se mogla lažno predstavljati kao druga osoba i dobiti pristup povjerljivim informacijama.
• … Alice je mogla neotkriveno tvrditi da je Mallory krivotvorila određene podatke.

Međutim, važno je naglasiti da

• … kriptografija NIJE u stanju spriječiti Malloryja da neprimjetno mijenja ili presreće podatke.
• … da nije isključen prekid ili sprječavanje veza.
• … Korištenje kriptografije ipak je važan zaštitni mehanizam za smanjenje rizika od manipulacije podacima.

Tko je Trent?
Trent, izveden iz engleskog “trusted entity”, pouzdana je treća strana. Na primjer, kao izdavatelj certifikata ili skraćeno CA