Czym jest PKI 2.0

Infrastruktura Klucza Publicznego 2.0 – PKI 2.0 to rozwiązanie, w którym zaufana trzecia strona świadczy usługi wsparcia procesu składania podpisu elektronicznego. Podejście usługowe do podpisu elektronicznego stanowi rozwinięcie modelu świadczenia usług certyfikacyjnych przez zaufaną trzecią stronę realizowanego w PKI. Zastosowanie infrastruktury PKI 2.0 daje możliwość zaoferowania szerokiego spektrum usług wsparcia i zabezpieczenia podpisu elektronicznego.

Infrastruktura zaufania realizowana zgodnie z PKI 2.0 wspiera różne zastosowania podpisu elektronicznego, wskazując szczególne zalety do stosowania go w zapewnieniu niezaprzeczalności, potwierdzaniu treści i poświadczaniu wiedzy. Jednocześnie wsparcie realizowane w PKI 2.0 dla podpisu zaawansowanego daje możliwość dostarczenia produktu podpisu elektronicznego znacznie bezpieczniejszego dla strony ufającej i usuwa wady tradycyjnego PKI . Główną zaletą stosowania podpisu elektronicznego PKI 2.0 jest fakt, że podpis złożony i weryfikowany certyfikatem jest w pełni zaufany i stanowi dowód, że certyfikaty w trakcie jego składania były ważne, uprawnienia wymagane do złożenia podpisu zostały zweryfikowane, a zaufana trzecia strona gwarantuje wobec strony ufającej bezpieczeństwo tego podpisu.

Zastosowanie PKI 2.0 zarówno do podpisów zwykłych jak i zaawansowanych daje możliwość udostępnienia podpisującemu wielu usług dodatkowych związanych z procesem składania podpisu elektronicznego. Dodatkowo rozwiązanie daje możliwość zabezpieczenia produktu usługi podpisywania, jakim jest podpis elektroniczny. Zmiana modelu świadczenia usług z jednorazowego wydania certyfikatu wykorzystywanego wielokrotnie na każdorazowe wsparcie i zabezpieczenie procesu podpisywania daje możliwość zastosowania całkiem innego podejścia biznesowego. Podstawą tego podejścia jest zastąpienie jednorazowej opłaty za wydanie certyfikatu każdorazową opłatą za usługę złożenia podpisu. Klient płacąc każdorazowo za usługę dostaje produkt znacznie bezpieczniejszy i lepiej dostosowany do swoich potrzeb, a także budzący większe zaufanie.

PKI 2.0 w swoim podstawowym modelu wykorzystuje usługę podpisu w schemacie z mediatorem, który polega na takiej modyfikacji klucza prywatnego podpisującego, że bez udziału Urzędu Podpisu (ang. Signature Authority) produkt podpisu nie może być zweryfikowany certyfikatem. Natomiast PKI 2.0 nie ogranicza się do modelu podpisu z mediatorem, będąc schematem otwartym na różne rozwijane techniki, które wzbogacają tradycyjne PKI o usługi podpisu elektronicznego świadczone przez zaufaną trzecią stronę. PKI 2.0 definiuje się jako zespół usług wspierających tradycyjne PKI, które służą świadczeniu zaawansowanych usług związanych z podpisem elektronicznym, a w szczególności dostarczenia dodatkowych mechanizmów związanych z procesem podpisywania.

Dotychczas znane i udostępniane usługi związane z podpisem elektronicznym, funkcjonujące w PKI, bazowały głównie na utrzymywaniu kluczy prywatnych użytkownika na centralnych serwerach, co nie dawało możliwości wyłącznej kontroli podpisującego nad tymi kluczami. Utrzymywanie kluczy prywatnych w centralnym serwerze mimo różnych zabezpieczeń stwarzało ryzyko nieuprawnionego wykorzystania takiego klucza i stanowiło główną przeszkodę prawną w realizacji podpisu zaawansowanego. Zastosowanie PKI 2.0 nie daje możliwości wykorzystania danych do składania podpisu przez osobę trzecią, a więc utraty wyłącznej kontroli nad kluczem prywatnym, co otwiera przestrzeń dla zastosowania tego rodzaju podpisów dla różnych zastosowań prawnych, w tym dla podpisu kwalifikowanego. W szczególności należy zauważyć, że PKI 2.0 daje bardzo szerokie spektrum dostarczenia usług zaawansowanego podpisu elektronicznego bez potrzeby posiadania bezpiecznego urządzenia do składania podpisu przy jednoczesnym zapewnieniu bardzo wysokiego bezpieczeństwa tego rodzaju podpisu.

Podstawowym zarzutem dla technik PKI 2.0 jest to, że decyzje Urzędu Podpisu stanowią o możliwości złożenia lub nie podpisu elektronicznego. Model biznesowy i prawny w PKI 2.0 zakłada to, że użytkownik decydując się na zakup usług PKI 2.0 świadomie rezygnuje z tego, że w każdym momencie i każdej sytuacji będzie w stanie złożyć podpis elektroniczny, na rzecz bezpieczeństwa tego podpisu. W modelu uczestniczenia strony trzeciej w procesie podpisywania i uniemożliwienia złożenia podpisu jeżeli nie nastąpiły wszystkie warunki określone polityką podpisu tkwi siła, ponieważ dzięki temu istnieje możliwość dostarczenia produktu podpisu, który jest zawsze godny zaufania.

Podstawową barierą dla stosowania podpisu kwalifikowanego w Polsce zgodnie z PKI 2.0 jest prawo, które nie daje ważności podpisowi, dla którego certyfikat nie jest ważny, a odwoływanie się do CRL jest obowiązkowe. Natomiast przepisy dyrektywy są na tyle elastyczne, że umożliwiają zastosowanie PKI 2.0 dla podpisów kwalifikowanych i oparcie weryfikacji tych podpisów tylko o integralność weryfikowaną certyfikatem.

Stosowanie PKI 2.0 daje możliwość dostarczenia wielu usług związanych z podpisem elektronicznym, poniżej wymienione zostały podstawowe i najbardziej naturalne:

• Usługa weryfikacji i potwierdzenia uprawnień podczas podpisywania – usługa ta daje szereg możliwości zapewnienia, że podpis został złożony przy posiadaniu uprawnień, które są w nim objęte. W szczególności może to zawierać szczegółowe uprawnienia pochodzące z systemu zarządzania tożsamością lub innych baz danych.

• Usługa zarządzania on-line parametrami podpisu – umożliwia to uruchomienie portalu dla podpisującego, który udostępnia funkcje zarządzania parametrami składanych podpisów – tj. ograniczenia czasu składania podpisu, adresów ip, domen, maksymalnej kwoty transakcji lub ustanowienia dodatkowych wymagań dla podpisu zależnych od jego parametrów (tj. potwierdzenie podpisu hasłem SMS).

• Usługa ubezpieczenia podpisu – w której to w ramach usługi zapewnione jest ubezpieczenie podpisu do kwoty określonej w podpisie, gwarantuje to stronie ufającej należyty poziom zaufania, gwarantowany przez zaufaną stronę trzecią.

• Usługa weryfikacji podpisu archiwalnego – zapewnia dostarczenie informacji, czy podpis został złożony przy udziale Urzędu Podpisu i dostarczenia dowodu na ważność podpisu mimo braku ważnych certyfikatów.

• Darmowe dostarczenie certyfikatu i przeniesienie opłaty na składnie podpisów oraz uzależnienie jej od rodzaju zobowiązania, wykonanych weryfikacji i kwoty.

• Dostarczenie usług kompleksowych powiązanych z instytucjami bankowymi lub rejestrami, gdzie przeprowadzenie podpisu realizowane jest na podstawie weryfikacji stanu środków, zwolnienia płatności lub aktualnego zapisu w rejestrach.