Podpis elektroniczny podpisywanie dokumentów

Transkrypt

1 Podpis elektroniczny podpisywanie dokumentów Temat na pierwszy rzut oka - wydaje się być nieco skomplikowany i poniżej spróbujemy przybliżyć niektóre jego aspekty. Po pierwsze musimy sobie uświadomić (czytaj uwierzyć ), że dokument podpisany elektronicznie, kwalifikowanym (czyli potwierdzonym) certyfikatem, jest w myśl obowiązującego prawa równoważny dokumentowi podpisanemu ręcznie i przy posiadaniu uprawnień do ręcznego podpisu nie są nam już potrzebne żadne dodatkowe pieczątki i żadne inne atrybuty tzw. urzędowości. Do wykonania podpisu elektronicznego weryfikowanego przy pomocy ważnego kwalifikowanego certyfikatu bo tak on się nazywa w ustawodawstwie - potrzebna nam jednak będzie dodatkowa infrastruktura techniczna przy pomocy której taki wiarygodny podpis możemy złożyć. A więc: 1. Certyfikat kwalifikowany. Najczęściej przechowywany na karcie chipowej, lub urządzeniu podobnym do pendriva w którym umieszczona jest mini karta. Każda karta posiada swój niepowtarzalny numer (to jeszcze nie podpis) i nie jest możliwe przenoszenie podpisu pomiędzy kartami. Taką kartę (z podpisem) można zakupić w jednym z kilku centrów (lub ich partnerów w Jaśle jest ich kilku) certyfikacyjnych (czyli wydających certyfikaty) po uprzednim podaniu swoich danych identyfikacyjnych firmie (na odpowiednich formularzach) i sprawdzeniu tych danych przez centrum certyfikacyjne m.in. w Krajowym Rejestrze PESEL. Certyfikat kwalifikowany noże być wydany na osobę fizyczną, może być również wydany z rozszerzeniem danych na osobę reprezentującą interesy firmy (tzw. certyfikat na osobę w instytucji). Należy sobie uświadomić jednak że w myśl obowiązującego prawa certyfikat kwalifikowany wydaje się zawsze na konkretną osobę. Można spodziewać się jednak zmiany prawa w tym zakresie i udostępnienia podpisu będącego czymś w rodzaju pieczęci elektronicznej instytucji. Certyfikat ma oczywiście określony w rejestracji czas życia. Po tym okresie tracie on ważność. Standardowo jest to 1 rok lub 2 lata. Nie praktykuje się certyfikatów wydawanych na dłuższy okres. Czas życia certyfikatu możemy jednak przedłużać ale musimy pamiętać o tym że jakakolwiek zmiana w naszych danych (np. zmiana nazwiska, dowodu osobistego) musi zakończyć się wymiana certyfikatu. Również w przypadku jego zagubienia (karty), skompromitowania poprzez rozpowszechnienie PIN, utraty kwalifikacji do posługiwania się nim winna znaleźć finał w postaci unieważnienia certyfikatu (tzw. listy CRL). Centra certyfikacyjne o których wspomniano, wymienione są na stronie Narodowego Centrum Certyfikacji (NCCert) I tam też znajdują się linki do stron poszczególnych centrów. Praktycznie jednak 3 centa dominują na rynku podpisu elektronicznego i są to w kolejności popularności: a. Centrum UNIZETO tzw. CERTUM - To centrum obsługuje nasz urząd. Nie ma co prawda wymogu przypisania do jakiegoś konkretnego centrum dla wszystkich firmowych certyfikatów, ale z powodów o których później, dobrze jest gdy wszystkie urzędowe certyfikaty dla pracowników są wydane przez jedną firmę certyfikującą. b. Centrum Krajowej Izby Rozliczeniowej (KIR) tzw. Szafir c. Centrum Państwowej Wytwórni Papierów Wartościowych - tzw Sigillum 1

2 2. Jeśli mamy już certyfikat kwalifikowany (karta chipowa, mini karta na urządzeniu kształtu pendriva) to musimy mieć również urządzenie które możemy podłączyć do komputera (port USB). Najczęściej jest to czytnik kart chipowych, sprzedawany najczęściej wraz z podpisem kwalifikowanym, który należy zainstalować w systemie operacyjnym komputera. W przypadku mini karty mamy 2 w 1. Instalacja tzw. sterowników urządzenia i w tym przypadku jest jednak konieczna. 3. Ostatnim koniecznym elementem jak się zapewne spodziewamy będzie oprogramowanie (program komputerowy) przy pomocy którego będziemy mogli bezpiecznie składać podpis pod dokumentami które chcemy nim uwierzytelnić. Właśnie oprogramowaniu do składania podpisu kwalifikowanego oraz procedurom jego składania i weryfikacji podpisu zajmiemy się w dalszej części niniejszego przewodnika. Ze względów na nasze urzędowe przywiązanie się do certyfikatów Certum bardziej szczegółowo zajmiemy się oprogramowaniem tej firmy. Warto dodać, że w przypadku innych firm procedury są bardzo podobne. Na stronie: znajdują się dwa programy które powinniśmy mieć zainstalowane na naszym komputerze: - procentrum CardManager program do zarządzania kartami, podpisami i urządzeniami do podpisu oraz rejestracji naszych podpisów w komputerze (przeglądarkach komputerowych głęboko zalecany jest Internet Explorer lub Firefox. Inne przeglądarki mogą stwarzać poważne problemy) - procentrumsmartsign program do składania i weryfikacji podpisów. - zalecane jest wsparcie przeglądarki o Java Oracle (szczególnie dotyczy to przeglądarki FireFox. Aktualizacje FireFoxa często wymuszają również aktualizacje przystawek (nie mylić ze śledzikami) do wersji zaktualizowanej i mogą być przyczyna uniemożliwiającą złożenie podpisu w takiej aplikacji). Warto zadbać również o to by programy te były w aktualnych wersjach (uwzględniać monity o ich aktualizacje). Nie zawsze jednak do składania podpisu musimy mieć oddzielny program. W wielu przypadkach w oprogramowanie do składania podpisu jest już niejako zaszyte w aplikacje (szczególnie internetowe) i samo składanie sprowadza się do włożenia karty do czytnika i potwierdzenia podpisu poprzez podanie PIN karty (w tym przypadku zwykle konieczne jest wsparcie przeglądarki o przystawki Java). Jednakże w przypadku gdy chcemy podpisać plik (dokument.doc,.xls,.jpg,.pdf czy inny) musimy posiadać program do składania podpisu. Najczęściej ten sam program służy również do weryfikacji czy dokument, który otrzymaliśmy, został kwalifikowanie podpisany i to przez tą osobę która widnieje na podpisie (wizualizacja podpisu o ile istnieje, ponieważ jest zalecana ale niekonieczna). Przykładem mogą być tutaj e-faktury, które od 2013 roku są równoważne dokumentowi (fakturze) papierowemu i nie mamy podstaw prawnych by je kwestionować lecz wręcz przeciwnie, musimy je akceptować. Podobnie ma to miejsce w dokumentach wysyłanych poprzez platformę epuap czyli poprzez nasz system EOD. Niezależnie zatem od tego czy posiadamy podpis kwalifikowany, czy też nie, warto zainstalować w naszym komputerze procentrumsmartsign ponieważ jeśli będziemy musieć zweryfikować podpis to musimy mieć czym to uczynić. Zanim rozpoczniemy naszą przygodę z podpisywaniem i weryfikacją warto uświadomić sobie kilka spraw: - nie możemy podpisywać poczty elektronicznej kwalifikowanym certyfikatem. Nie ma takiej możliwości. Możemy jednak podpisać dokumenty (załączniki do poczty) i jako medium dostarczenia 2

3 wykorzystać pocztę elektroniczną. Rodzaj konta z jakiego ja wysyłamy nie ma znaczenia (nie medium dostarczenia lecz dokumenty załączone są podpisane). - tego samego typu sytuację możemy wykorzystać dla dokumentów wysyłanych poprzez platformę epuap. - pocztę elektroniczną możemy jednak podpisywać. Do tego celu służy jednak inny rodzaj certyfikatu i nie jest on certyfikatem kwalifikowanym. Zaś całość nie jest uznawana za dokument elektronicznie podpisy bezpiecznym podpisem elektronicznym weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu by użyć języka ustawowego (KC, KPA). Podpis poczty elektronicznej ma za zadanie jedynie jej zabezpieczenie potwierdzające ze adres z którego została wysłana jest właściwy i tylko to. W żaden sposób nie odnosi się on do meritum sprawy poruszonej w treści poczty i niczego innego nie potwierdza. Na ekranie poniżej widzimy ikonę i po kliknięciu na niej informację o tożsamości danej osoby zaś w sekcji informacyjnej o poczcie informacje z jakiego adresu została wysłana. Po tym nieco przydługawym ale koniecznym wstępie przechodzimy do sedna sprawy czyli podpisywania dokumentów, weryfikacji podpisu i postępowania z dokumentami tak podpisanymi. I. Konfiguracja procentrumsmartsign Po instalacji niemal bezczynnościowej w grupie UNIZETO pojawi się procertymsmartsign. Zaś po uruchomieniu zobaczymy ekran jak niżej: 3

4 Zwróćmy uwagę na prawy dolny róg ekranu. Jest tam wersja programu oraz wersja zainstalowanej Javy Oracle. My zaś na początek wejdziemy w USTAWIENIA W zakładce PODPIS mamy kilka parametrów które należy ustawić zaś pozostałe nie należy zmieniać chyba że z jakiś powodów należy. Oczywiście akceptujemy XADeS (komentarz obok) ale już nad TYPEM PODPISU i ARCHIWIZACJĄ warto się poważniej zastanowić i konieczne są tu pewne wyjaśnienia. Typ podpisu może być zewnętrzny lub wewnętrzny. Jak napisano obok funkcji - podpis wewnętrzny zawarty jest w pliku i po wykonaniu podpisu tworzony jest jeden nowy plik zawierający dane o podpisującym. Np. jeśli plik nazywał się zapytanie.doc to nowy plik będzie się nazywał zapytanie.doc.xades. i będzie zapisany w tej samej co źródłowy lokalizacji. Ten plik oczywiście nie jest dokumentem MS WORD (z rozrzerzenia.doc wynikało że takim był plik źródłowy) i wysłanie go jakiemuś adresatowi może sprawić mu trochę kłopotów (o ile nie porusza się w tej tematyce dostatecznie świadomie) i konieczne będzie posiadanie przez niego programu nie tylko do weryfikacji ale także do wyodrębnienia z niego samego dokumentu źródłowego zapytanie.doc aby go odczytać. To niekoniecznie musi być procertumsmartsign. Może być nim np. program Szafir weryfikacja 1 który wykona oczekiwane operacje weryfikacji podpisu i wyodrębniania właściwej treści. Jak widać choć mamy korzyść z faktu, że mamy 2 w 1 (dokument i podpis w jednym pliku) to niechcący (tak zakładam ) możemy trochę problemów sprawić stronie do której taki dokument wyślemy. Alternatywą eliminującą problemy dostępowe do dokumentu źródłowego (oryginału) jest podpis zewnętrzny. W tej konfiguracji tworzony (w tej samej lokalizacji) jest dodatkowy plik o rozszerzeniu.xades zawierający podpis i zaświadczający o nieingerencji w treść pliku. Ostatnie oznacza że jakakolwiek ingerencja w treść pliku źródłowego po jego podpisaniu spowoduje negatywna weryfikacje podpisu. Mamy zatem 2 pliki: plik źródłowy i plik podpisu i oba musimy łącznie wysłać, dostarczyć adresatowi. Tylko wówczas dostarczymy całość którą możemy nazwać dokumentem podpisanym. Najwygodniej jest spakować te pliki w archiwum np. ZIP i w tej postaci dostarczyć. Odbiorca po otrzymaniu rozpakuje archiwum (2 pliki) i zweryfikuje podpis a zarazem dokument i jego niezmienialność po podpisaniu. Pamiętajmy że dla celów weryfikacyjnych musimy (!!!) archiwizować oba pliki tylko w ten sposób jesteśmy w stanie dowieść, że dokument źródłowy nie był zmieniany po podpisaniu. Jak to w praktyce zrealizować ogranicza nas tylko własna inwencja. Można np. tworzyć sobie fodery zawierający po 2 pliki (źródłowe i podpisu). Można też w jednym folderze Gromadzic dokumenty źródłowe a w drugim pliki podpisów pamiętając jednak że na potrzeby weryfikacji plik źródłowy i podpisu 1 Program Szafir realizuje te same cele co prosmartsign i jest rozpowszechniany przez KIR. Program Szafir weryfikacja służy jedynie do weryfikacji podpisu i wyodrębnienia dokumentu źródłowego. Nie można nim podpisać dokumentów. Wymagana Java Oracle. 4

5 powinny być w tym samym folderze. Można w końcu wszystkie dokumenty elektroniczne (pary) przechowywać w jednym, określonym folderze do którego dostęp (ścieżkę) wskażemy w opcji ARCHIWIZACJA (kopiuj po podpisaniu) widocznej na ekranie. Mamy zatem alternatywne sposoby składania podpisu. W zależności od okoliczności stosujemy pierwszy lub drugi (są funkcjonalnie równoważne) jeśli rozumiemy istotę i subtelność różnic. Na pytanie który z nich jest korzystniejszy nie ma jednoznacznej odpowiedzi i wszelka argumentacja przypomina dyskusję o wyższości Świąt Wielkanocnych nad Świętami Bożego Narodzenia. Ze względów o których tu nie pisano nieśmiało sugerowałbym jednak stosowanie podpisu zewnętrznego. Powyższe informacje nie wyczerpują wszystkich możliwości w USTAWIENIA->PODPIS ale wystarczą na dobry początek. W USTAWIENIA-> WERYFIKACJA (ekran poniżej) Warto zwrócić uwagę na zaznaczoną opcję dotyczącą przypadku gdy stosujemy podpis wewnętrzny. Umiemy już skonfigurować program i rozumiemy co się dzieje przy różnych jego konfiguracjach. Pora zatem przejść do zagadnienia podpisywania i weryfikacji podpisu. 5

6 II. Podpisywanie dokumentów. Podpisywać możemy dowolne pliki, wg potrzeb, konieczności. Do jednokrotnego podpisu możemy nie tylko dołączyć wiele plików ale również katalogi. Musimy tylko wskazać funkcjami Dodaj plik, Dodaj katalog. W oknie Szczegóły podpisu znajdą się informacje o podpisie domyślnym który możemy zmienić w oknie USTAWIENIA->PODPIS w sekcji domyślnego certyfikatu. Możemy go również wskazać na etapie podpisywania. Kliknięcie na przycisku PODPISZ spowoduje dokonanie podpisu oraz uaktualni się okno INFORMACJE o raport z podpisu (podpisanych poprawnie, niepodpisanych). Tak jak już omawialiśmy, w zależności od wyboru rodzaju podpisu, otrzymamy 2 pliki dla podpisu zewnętrznego lub 1 dla podpisu wewnętrznego (plik zawiera dokument podpisywany i podpis elektroniczny). III. Weryfikacja podpisanych dokumentów Jak sama nazwa wskazuje nauczymy się weryfikować podpisane dokumenty i to niezależnie od tego czy był złożony podpis wewnętrzny czy wewnętrzny. Pokażę weryfikacje trzema programami. Nie jest bowiem istotne którego programu użyjemy do weryfikacji. Na początek prosmartsign: 6

7 Przeanalizujemy informacje jakie widać na powyższym ekranie. Po wybraniu opcji Weryfikowanie i wskazaniu pliku do weryfikacji oraz wybraniu funkcji weryfikuj pojawiło na m się okno podsumowujące i to negatywnie podsumowujące. Jakie mogą być przyczyny takiego stanu? Możliwości odpowiedzi na tak postawione pytanie jest kilka. Oto niektóre z nich: - zmieniono dokument źródłowy po podpisie (technicznie możliwe choć merytorycznie niedopuszczalne przy stosowaniu podpisu zewnętrznego), - certyfikat którym podpisano stracił ważność, - certyfikat którym podpisywano dokument nie jest kwalifikowany. Jak widać w oknie wyświetlającym Status weryfikacji z tą sytuacją mamy do czynienia w tym przypadku. Certyfikatem niekwalifikowanym (np. takim do podpisu poczty elektronicznej) nie możemy podpisywać dokumentów. Jak widać weryfikacja podpisu dokumentu jest czynnością prostą jak również proste jest wyodrębnienie dokumentu źródłowego z dokumentu podpisanego podpisem wewnętrznym (otwarcie w tym przypadku odbędzie się tylko w trybie tylko do odczytu ). Zobaczymy jeszcze ekran wspomnianego programu SZAFIR weryfikacja: Nie w nim co konfigurować. Po wciśnięciu opcji Weryfikuj e-podpis, wybranie pliku z podpisem (rozszerzenie.xades) i naciśnięciu przycisku weryfikuj otrzymamy ekran jak niżej 7

8 i wszystko jasne. Podobnie jest w aplikacji Sigillum Sign 4 Weryfikator: Wprost z paska narzędziowego możemy nie tylko zweryfikować podpis ale również dokonać wyodrębnienia dokumentu źródłowego (podpisywanego). Powyższy materiał nie wyczerpuje wszystkich aspektów zarówno stosowania jak i funkcjonowania kwalifikowanego podpisu. Skupiliśmy się na podpisywaniu dokumentów do dalszego ich przekazywania np. poprzez pocztę elektroniczną oraz weryfikacji podpisanych dokumentów niezależnie od rodzaju podpisu wewnętrznego czy zewnętrznego. Na komputerze \\informatyk\dokumenty\podpiselektroniczny znajdują się omawiane programy, wraz z przykładowymi dokumentami podpisanymi elektronicznie podpisem kwalifikowanym i podpisem niekwalifikowanym. Można zatem przetestować swoje sprawności w omawianych zagadnieniach. Na co dzień podpis stosowany jest przy przekazywaniu dokumentów do Dziennika Wojewódzkiego. Jego katalogi zawierają już wyłącznie dokumenty elektroniczne (nie ma dokumentów papierowych a jeżeli taki został wytworzymy, to jest on już wyłącznie kopią). Należy spodziewać się znacznego przyrostu ilości dokumentów podpisywanych elektronicznie szczególnie pomiędzy różnymi Instytucjami (np. komunikacja z Urzędem Wojewódzkim zalecana drogą jest tutaj komunikacja poprzez e-puap). Również zrównanie faktur wystawianych i dostarczanych drogą elektroniczną z tradycyjnymi spowoduje znaczny przyrost tego typu dokumentacji i wymusi stworzenie procedur postępowania z nimi Tematem pokrewnym jest tzw. Profil Zaufany i choć dotyczy on głównie osób fizycznych to warto z nim się zapoznać choćby ze względu na praktykę stosowania w naszej aktywności prywatnej. Więcej informacji można znaleźć w sieci Internet. 8