Podpis elektroniczny. ale nie od strony X.509 schematu dla certyfikatów kluczy publicznych służącego do budowania hierarchicznej struktury PKI

Transkrypt

1 Podpis elektroniczny ale nie od strony X.509 schematu dla certyfikatów kluczy publicznych służącego do budowania hierarchicznej struktury PKI

2

3

4

5 Podpis elektroniczny Podpis elektroniczny - to narzędzie identyfikujące uczestników wymiany dokumentów drogą elektroniczną. Bezpieczny podpis elektroniczny - jest składany przy pomocy specjalnej karty procesorowej lub tokena USB oraz oprogramowania służącego do składania podpisu elektronicznego. W ten sposób złożony podpis jest pod względem prawnym równoważny z podpisem własnoręcznym. Bezpieczny podpis elektroniczny może być obecnie stosowany m.in. do : podpisywania umów, składania podań i pism, podpisywania faktur elektronicznych, zarejestrowania działalności gospodarczej (CEIDG) * składania deklaracji celnych i podatkowych, oraz zgłoszeń ubezpieczenia społecznego (również system PUE ZUS).

6 Podpis elektroniczny Zestawy do składania bezpiecznego podpisu elektronicznego można kupić w pięciu firmach (tzw. kwalifikowanych podmiotach świadczących usługi certyfikacyjne w zakresie podpisu elektronicznego). Przedsiębiorstwa te są wpisane do rejestru Ministra Gospodarki. ( Nadzór nad świadczeniem usług związanych z podpisem elektronicznym w rozumieniu ustawy o podpisie elektronicznym należy zgodnie z art. 9 ust. 2 pkt 5 ustawą o działach administracji rządowej do kompetencji Ministra Gospodarki. Formy nadzoru określa ustawa o podpisie elektronicznym.

7 Podmioty kwalifikowane Narodowe Centrum Certyfikacji pełni funkcję głównego urzędu certyfikacji dla infrastruktury bezpiecznego podpisu elektronicznego w Polsce, powierzoną Narodowemu Bankowi Polskiemu przez Ministra Gospodarki na mocy ustawy z dnia 18 września 2001 r. o podpisie elektronicznym.

8 Statystyka aktywnych certyfikatów kwalifikowanych (stan z ) Liczba aktywnych certyfikatów kwalifikowanych: Liczba certyfikatów wydanych od początku działalności podmiotu: Liczba kwalifikowanych znaczników czasu:

9 Statystyka aktywnych certyfikatów kwalifikowanych na wrzesień 2014* Liczba aktywnych certyfikatów kwalifikowanych: Liczba certyfikatów wydanych od początku działalności podmiotów: Liczba kwalifikowanych znaczników czasu:

10

11 Ustawa Ustawa z 18 września 2001 o podpisie elektronicznym ogłoszona w Dzienniku Ustaw z 2001 r. nr 130, poz ze zm. Ustawa wraz z pakietem podstawowych aktów wykonawczych weszła w życie w 16 sierpnia 2002.

12

13 Ustawa z dnia 18 września 2001 r. o podpisie elektronicznym Dz.U. z 2001 r. Nr 130, poz podpis elektroniczny - dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny

14 Ustawa z dnia 18 września 2001 r. o podpisie elektronicznym Dz.U. z 2001 r. Nr 130, poz bezpieczny podpis elektroniczny - podpis elektroniczny, który: a) jest przyporządkowany wyłącznie do osoby składającej ten podpis, b) jest sporządzany za pomocą podlegających wyłącznej kontroli osoby składającej podpis elektroniczny bezpiecznych urządzeń służących do składania podpisu elektronicznego i danych służących do składania podpisu elektronicznego, c) jest powiązany z danymi, do których został dołączony, w taki sposób, że jakakolwiek późniejsza zmiana tych danych jest rozpoznawalna,

15 Dz.U nr 130 poz Akty wykonawcze (9) Dz.U nr 128 poz Rozporządzenie Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych o organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń służących do składania i weryfikacji podpisu elektronicznego. Dz.U nr 128 poz Rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie wzoru i szczegółowego zakresu wniosku o dokonanie wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, związane z podpisem elektronicznym. Dz.U nr 128 poz Rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie wysokości opłaty za rozpatrzenie wniosku o wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, związane z podpisem elektronicznym.

16 Dz.U nr 130 poz Akty wykonawcze (9) Dz.U nr 128 poz Rozporządzenie Ministra Gospodarki z dnia 6 sierpnia 2002 r. w sprawie sposobu prowadzenia rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne związane z podpisem elektronicznym, wzoru tego rejestru oraz szczegółowego trybu postępowania w sprawach o wpis do rejestru. Dz.U nr 128 poz Rozporządzenie Ministra Gospodarki z dnia 9 sierpnia 2002 r. w sprawie określenia szczegółowego trybu tworzenia i wydawania zaświadczenia certyfikacyjnego związanego z podpisem elektronicznym. Dz.U nr 229 poz Rozporządzenie Ministra Finansów z dnia 16 grudnia 2003 r. w sprawie obowiązkowego ubezpieczenia odpowiedzialności cywilnej kwalifikowanego podmiotu świadczącego usługi certyfikacyjne

17 Dz.U nr 130 poz Akty wykonawcze (9) Dz.U nr 6 poz. 48 Rozporządzenie Ministra Gospodarki, Pracy i Polityki Społecznej z dnia 23 grudnia 2003 r. w sprawie opłat za przechowywania dokumentów i danych związanych z usługami certyfikacyjnymi Dz.U nr 151 poz Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 24 lipca 2007 r. w sprawie warunków udostępniania formularzy i wzorów dokumentów w postaci elektronicznej Dz.U nr 67 poz. 567 Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 17 kwietnia 2009 r. zmieniające rozporządzenie w sprawie warunków udostępniania formularzy i wzorów dokumentów w postaci elektronicznej

18 Ustawa z dnia 18 września 2001 r. o podpisie elektronicznym Dz.U. z 2001 r. Nr 130, poz Art Podmiot świadczący usługi certyfikacyjne, z zastrzeżeniem ust. 5 oraz art. 10 ust. 1 pkt 9, przechowuje i archiwizuje dokumenty i dane w postaci elektronicznej bezpośrednio związane z wykonywanymi usługami certyfikacyjnymi w sposób zapewniający bezpieczeństwo przechowywanych dokumentów i danych. 2. W przypadku kwalifikowanych podmiotów świadczących usługi certyfikacyjne obowiązek przechowania dokumentów i danych, o których mowa w ust. 1, trwa przez okres 20 lat od chwili powstania danego dokumentu lub danych.

19 Rozporządzenie Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych o organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń służących do składania i weryfikacji podpisu elektronicznego. Dz.U nr 128 poz Rozdział 3 Podstawowe wymagania organizacyjne i techniczne dotyczące polityk certyfikacji dla kwalifikowanych certyfikatów 12. Maksymalny okres ważności kwalifikowanego certyfikatu przewidziany przez politykę certyfikacji wynosi nie więcej niż 2 lata.

20

21

22

23

24

25

26

27

28 Electronic identification and trust services (eidas) Dyrektywa 1999/93/WE Parlamentu Europejskiego i Rady z 13 XII 1999 r. w sprawie wspólnotowych ram dla podpisów elektronicznych ma być zastąpiona (od 1 VII 2016) przez: Rozporządzenie Parlamentu Europejskiego i Rady w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (eidas) - electronic identification and trust services for electronic transactions in the internal market

29 Kubuś Puchatek = Winnie the Pooh Dokument elektroniczny Podpis cyfrowy Telefon komórkowy

30 Ustawa z dnia 29 sierpnia 1997 r. o prawie bankowym Art. 7 pkt 1 stanowi: oświadczenia woli składane w związku z dokonywaniem czynności bankowych mogą być wyrażone za pomocą elektronicznych nośników informacji. Związane z czynnościami bankowymi dokumenty mogą być sporządzane za pomocą elektronicznych nośników informacji, jeżeli dokumenty te zostaną w sposób należyty utrwalone i zabezpieczone.

31 Centralnego Repozytorium Wzorów Dokumentów (CRD)

32

33

34 CRD Centralne Repozytorium Wzorów Dokumentów (CRD) zostało stworzone w celu zapewnienia jednolitego i bezpiecznego źródła informacji o dokumentach elektronicznych w administracji publicznej. Dostęp do CRD jest bezpłatny i umożliwia pobranie wszystkich wzorów dokumentów elektronicznych (opublikowanych w CRD). Podstawa prawna CRD rozporządzenie MSWiA z dnia 27 listopada 2006 r. w sprawie sporządzania i doręczania pism w formie dokumentów elektronicznych (Dz.U.2006 r.nr 227,poz.1664) oraz rozporządzenie MSWiA z dnia 24 lipca 2007 w sprawie warunków udostępniania formularzy i wzorów dokumentów w postaci elektronicznej (Dz.U.2007 r.,nr 151, poz.1078)

35 Dziennik Ustaw - rok 2007, nr 151, poz z dnia ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI z dnia 24 lipca 2007 r. w sprawie warunków udostępniania formularzy i wzorów dokumentów w postaci elektronicznej

36 Dz. U , nr 227, poz Na podstawie art ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071, z późn. zm.2)) zarządza się, co następuje: 1. Rozporządzenie określa: 1) strukturę i sposób sporządzania pism w formie dokumentów elektronicznych; 2) warunki organizacyjno-techniczne doręczania pism w formie dokumentów elektronicznych, w tym formę urzędowego oświadczania odbioru tych pism przez ich adresata; 3) sposób udostępniania kopii dokumentów elektronicznych.

37 Dz. U , nr 227, poz Pisma w formie dokumentów elektronicznych oraz urzędowe poświadczenie odbioru sporządza się w strukturach fizycznych dokumentów elektronicznych w formie zgodnej z formatami danych określonych w przepisach wydanych na podstawie art. 18 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. Nr 64, poz. 565 oraz z 2006 r. Nr 12, poz. 65 i Nr 73, poz. 501), zwanej dalej ustawą o informatyzacji, i podpisuje bezpiecznym podpisem elektronicznym.

38 Dziennik Ustaw - rok 2006, nr 227, poz z dnia Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 27 listopada 2006 r. w sprawie sporządzania i doręczania pism w formie dokumentów elektronicznych

39 Dz. U , nr 151, poz Wniosek o udostępnienie wzoru elektronicznego zawiera: 1) wskazanie wzoru elektronicznego wraz z przyporządkowanym do niego jednolitym identyfikatorem; 2) nazwą odbiorcy usług certyfikacyjnych ubiegającego się o udostępnienie i adres jego siedziby lub miejsca zamieszkania, w przypadku osoby fizycznej; 3) wskazanie rodzaju powszechnie używanego, przenośnego informatycznego nośnika danych, na którym ma być udostępniony; 4) własnoręczny podpis albo bezpieczny podpis elektroniczny odbiorcy ubiegającego się o udostępnienie.

40

41

42

43 Ustawa o dowodach osobistych Art Użyte w niniejszej ustawie określenia oznaczają: 11) podpis osobisty - dane w postaci elektronicznej złożone za pomocą danych służących do składania podpisu osobistego zawartych w ważnym dowodzie osobistym, które: a) wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, pozwalają na identyfikację posiadacza dowodu osobistego, b) są przyporządkowane wyłącznie do posiadacza dowodu osobistego, c) są powiązane z danymi, do których się odnoszą, w taki sposób, że każda późniejsza zmiana tych danych jest wykrywalna, d) są uzupełnione przez ministra właściwego do spraw wewnętrznych danymi pozwalającymi na określenie czasu złożenia tego podpisu; Art. 3. Do podpisu osobistego uregulowanego w niniejszej ustawie nie stosuje się przepisów ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. Nr 130, poz. 1450, z późn. zm.3).

44 Ustawa o dowodach osobistych Art. 35. Wniosek o aktywację certyfikatu podpisu osobistego lub certyfikatu ograniczonej identyfikacji zawiera: 1) imię (imiona) i nazwisko osoby ubiegającej się o aktywację certyfikatu; 2) numer PESEL osoby ubiegającej się o aktywację certyfikatu; 3) adres, na który przesyła się dane służące do aktywacji certyfikatu; 4) własnoręczny czytelny podpis wnioskodawcy, a w przypadku wniosku złożonego w formie dokumentu elektronicznego - podpis uwierzytelniony w sposób określony w art. 20a ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Art Utratę lub uszkodzenie dowodu osobistego zgłasza się na formularzu utraty lub uszkodzenia dowodu osobistego. 2. Formularz, o którym mowa w ust. 1, zawiera: 1) dane, o których mowa w art. 39 pkt 1-7; 2) własnoręczny czytelny podpis zgłaszającego, a w przypadku formularza złożonego w formie dokumentu elektronicznego - podpis uwierzytelniony w sposób określony w art. 20a ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.

45 Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (D.U. nr 64 z 2005 poz. 565) Art. 20a. 1. Identyfikacja użytkownika systemów teleinformatycznych udostępnianych przez podmioty określone w art. 2 następuje przez zastosowanie kwalifikowanego certyfikatu przy zachowaniu zasad przewidzianych w ustawie z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. Nr 130, poz. 1450, z późn. zm.), lub profilu zaufanego epuap.

46

47 Po co ten podpis? NBP ma swój e-deklaracje: PFRON ma swój ZUS Płatnik PIT ESP

48 Co zamiast tego? SHA - Secure Hash Algorithm opracowany przez National Institute of Standards and Technology w 1993 r. Hash Algorithm - Jednokierunkowa funkcja mieszająca/ skrótu lub funkcja haszująca - przyporządkowuje dowolnie dużej liczbie (wiadomości) krótką, zwykle posiadającą stały rozmiar wartość (skrót wiadomości). SHA -1 od 1995 r. do 2010 r. SHA -2 (Family) SHA-256/ bits SHA-512/ bits MD5 - Message-Digest algorithm 5 (Skrót wiadomości wersja 5) algorytm zaprojektowany przez profesora Ronalda Rivesta z MIT w 1994 r.

49 Jak to działa? MD5 (128-bit skrót) Co zamiast tego? dbfd5ff3322dfd acd59a13 Co zamiast tego? 2aeec d569ca132b1 432cdb876 [kolizja 2004 r.] SHA-1 (160-bit skrót) Co zamiast tego? 1285f60ab046f1722db883a a3de Co zamiast tego? 285c544daa0643d836ae5c a1702e496f [kolizja??? 2004 r.] Dwie spacje

50 Gdzie naprawdę jest podpis cyfrowy?