Den digitala signaturen är den oförfalskade motsvarigheten till den handskrivna signaturen. Förutsatt att de digitalt genererade signaturerna också överensstämmer med de föreskrifter som föreskrivs i eIDAS-förordningen. Då är den digitala signaturen inte bara förfalskningssäker, utan också 100% juridiskt giltig.

För många människor väcker ämnet dock fortfarande frågor och osäkerhet. Är min namnteckning säker? Kan min namnteckning förfalskas? Hur kan jag försäkra mig om att rätt person har skrivit under?

För att kunna besvara dessa och andra frågor kommer vi i den här artikeln att behandla hur ett dokument kan signeras digitalt på ett giltigt sätt och vad som krävs för detta.

Detta gör att ett elektroniskt dokument kan signeras digitalt på ett säkert sätt

Disambiguering:

Digitala signaturer används för att godkänna och validera dokument i elektronisk form. De använder komplexa kryptografiska mekanismer för att autentisera digitala dokument och meddelanden, bekräfta undertecknarens identitet och skydda data från manipulering och manipulering under överföringen.

Digitala signaturer är utrustade med backend-verktyg för att säkerställa att endast en behörig person kan underteckna ett dokument och för att förhindra ändringar efter undertecknandet.

En digital signatur genereras med hjälp av en unik digital identifierare som kallas “digitalt certifikat” eller “certifikat med publik nyckel”. Digitala certifikat utfärdas av ackrediterade certifikatutfärdare (CA) efter att den sökandes identitet har verifierats.

• En certifikatutfärdare (CA) är en enhet som är behörig att utfärda digitala certifikat. Den fungerar som en betrodd tredje part (TTP) som verifierar identiteten hos innehavaren av ett certifikat. En certifikatutfärdare intygar också innehav av en publik nyckel.
  
• Ett digitalt certifikat är ett elektroniskt pass som identifierar deltagaren i en PKI-säkrad konversation och gör det möjligt för individer och institutioner att på ett säkert sätt dela data online. Kryptering och dekryptering av data sker med hjälp av ett par offentliga och privata nycklar.
  
• En publik nyckel är en unik numerisk identifierare som används för att kryptera data eller verifiera digitala signaturer. Den utfärdas av ett certifieringsorgan till en person eller organisation och är allmänt tillgänglig för alla som behöver den.
  
• En privat nyckel är endast känd av dess ägare. Den används för att dekryptera data som skapats med motsvarande offentliga nyckel eller för att generera digitala signaturer.

Digitala signaturer och digitala certifikat är nära sammankopplade. Dina applikationer och användningsområden är beroende av hur dessa system implementeras och hur PKI-infrastrukturen fungerar. Ett digitalt certifikat kallas ibland för ett digitalt signeringscertifikat eftersom det bekräftar den offentliga nyckeln (autenticiteten) hos den signerande myndigheten.

Varför behöver jag en digital signatur och ett certifikat?

Låt oss börja med ett enkelt exempel. Alice och Bob vill kommunicera med varandra eller skriva under ett dokument.

Scenario 1: Inledande exempel

Alice har två digitala kryptografiska nycklar – en offentlig (PA) och en privat/hemlig (SA) nyckel. Den publika nyckeln kan skickas vidare. Den privata nyckeln måste dock hållas hemlig och förvaras säkert av Alice.

Alice skapar ett digitalt certifikat som innehåller hennes publika nyckel och e-postadress. Hon skickar certifikatet till Bob för att dela sin publika nyckel med Bob.

Alice kan nu signera ett dokument med sin privata nyckel och skicka det till Bob. Bob kan sedan kontrollera att Alices publika nyckel matchar den signatur som gjorts med Alices privata nyckel.

Privat och offentlig nyckel är därför två sidor av samma mynt. Allt som signeras med en privat nyckel kan verifieras med motsvarande offentlig nyckel.

Detta säkerställer nu att endast Alice kan göra en signatur med sin privata nyckel.

En annan säkerhetsåtgärd måste dock införas.
Det måste säkerställas att kopplingen mellan Alice Public Key och hennes användar-ID (t.ex. e-postadress) verkligen kontrolleras.

Scenario 2: Vad kan hända om certifikatet inte verifieras?

Den här gången vill Mallory utge sig för att vara Alice och kommunicera med Bob. Mallory har varken Alices eller Bobs privata nyckel. Han har dock ett eget privat-offentligt nyckelpar.

Mallory försöker övertyga Bob om att hans privata nyckel tillhör Alice. För att göra detta skapar han själv ett certifikat från sin publika nyckel och Alices e-post och skickar det till Bob. Han tror att han har fått den publika nyckeln från Alice.

Nu kan Mallory signera dokument med sin privata nyckel och skicka dem till Bob utan hinder. Användaren kan kontrollera signaturen igen med den publika nyckeln och matcha vilka igen. Bob är nu övertygad om att Alice har signerat meddelandet. I verkligheten var det dock Mallory.

Problemet här är att Mallory har en chans att skapa en länk mellan sin publika nyckel och Alices användar-ID.

Men vi vill förhindra det och för det behöver vi en tredje part.

Scenario 3: Hur gör man det på rätt sätt?

Trent är en betrodd tredje part som säkerställer att kopplingen mellan Alice Public Key och hennes användar-ID verifieras. Trent verifierar Alices identitet, t.ex. genom ID-kontroll med Video Ident, och certifierar det digitala certifikatet.

Alice kan nu signera meddelanden och Bob kan vara säker på att meddelandet verkligen kommer från Alice. Detta gör det möjligt för oss att producera förfalskningssäkra digitala signaturer!

Två saker är därför viktiga:

1. Å ena sidan måste Alices identitet fastställas och hennes UserID måste kopplas till en publik nyckel. Alice har alltid den privata nyckeln i säkert förvar. Antingen av dig själv eller genom en säker tredjepartsleverantör som sproof.
   
2. För det andra måste undertecknarens identitet verifieras när en underskrift görs, till exempel genom ett push-meddelande i mobiltelefonen.

Detta gör att vi kan producera digitala, kvalificerade signaturer som är minst lika säkra som analoga signaturer.

Tekniskt sett är varje digital signatur som skapas för ett visst dokument unik och därför extremt svår att förfalska. Digitala signaturer säkerställer elektroniska dokuments integritet och äkthet samtidigt som de anger undertecknarens samtycke, vilket gör det möjligt för företag, entreprenörer och kunder att interagera online och dela information på ett säkert sätt.

Tekniskt sett är varje digital signatur som skapas för ett visst dokument unik och därför extremt svår att förfalska. Digitala signaturer säkerställer elektroniska dokuments integritet och äkthet samtidigt som de anger undertecknarens samtycke, vilket gör det möjligt för företag, entreprenörer och kunder att interagera online och dela information på ett säkert sätt.

Digression: Vilka är Alice, Bob och Mallory?

Alice, Bob och Mallory är fiktiva karaktärer som fungerar som synonymer för de viktigaste aktörerna inom kommunikation och datadelning. Istället för att tala om anonyma individer personifieras dessa genom att använda Alice, Bob och Mallory. Denna metod underlättar presentationen av komplexa relationer och processer och gör dem mer begripliga för läsaren.

Vilka är Alice och Bob?
Alice och Bob är representativa figurer för deltagarna i en kommunikation mellan två parter. Alice fungerar som initiativtagare och upprättar kommunikationen. Bob tar på sig rollen som den som tar emot meddelandet. För det mesta strävar Alice efter att leverera ett meddelande till Bob medan Bob väntar på meddelandet från Alice.

Vem är Mallory?
Mallory är en aktiv angripare av en kommunikation som inte drar sig för att ingripa i kommunikationen för att manipulera meddelanden eller ändra data. Som man-in-the-middle (MITM) är Mallory särskilt farlig för Alice och Bob, som kan skydda sig mot honom med hjälp av kryptografi.
Utan tillämpning av kryptografi …

• … dataöverföringar är känsliga för manipulation av tredje part. Mallory skulle till exempel kunna använda avlyssnade data för sina egna syften eller ändra dem utan att det märks.
• … Mallory kunde utge sig för att vara en annan person och få tillgång till konfidentiell information.
• … Alice kunde utan att upptäcka det hävda att vissa uppgifter förfalskats av Mallory.

Det är dock viktigt att understryka att

• … kryptografi kan INTE förhindra Mallory från att ändra eller avlyssna data obemärkt.
• … att avbrott eller förhindrande av anslutningar inte är uteslutet.
• … Användningen av kryptografi är ändå en viktig skyddsmekanism för att minimera risken för manipulation av data.

Vem är Trent?
Trent, som härstammar från engelskans “trusted entity”, är en betrodd tredje part. Till exempel som en certifikatutfärdare, förkortat CA.