Az elektronikus aláírásról szóló törvény elemzése

Endrődi Csilla <csilla@sch.bme.hu>

BME Méréstechnika és Inf. Rsz. Tanszék

Hornák Zoltán <hornak@mit.bme.hu>

BME Méréstechnika és Inf. Rsz. Tanszék

Összefoglaló

Előadásomban az elektronikus aláírásról szóló magyar törvénytervezetet szándékozom elemzés alá vetni. Vizsgálódásom során nem jogi szempontból kívánom feltárni az “érzékeny pontokat”, hanem a jogi szabályozás és a mögöttes technikai háttér kapcsolatára, a technikai problémákra próbálok rávilágítani.

A vizsgálat eredményeként megállapítható, hogy a törvénytervezet az EU irányelveinek megfelelő alapot képez a digitális aláírások bevezetéséhez, de még számos olyan technológiai kérdés maradt nyitva, amelyek alapjában befolyásolhatják a rendszer biztonságát és jogi illetve technológiai kiskapukhoz vezethetnek.

Bevezetés

A 2000. augusztus 29-én kiadott 1075/2000. (IX. 13.) Korm. határozat elrendelte az elektronikus aláírásról szóló törvény előkészítését hazánkban. A kidolgozott törvénytervezet 2001. első negyedévében kerül a parlament elé, elfogadása március, hatályba lépése nyár-ősz környékére várható. De vajon mit várhatunk a törvény bevezetésétől?

Előadásomban nem jogi szempontból kívánom elemezni a törvénytervezetet, hanem a jogi szabályozás hátterében meghúzódó technikai megoldásokkal kapcsolatban szeretnék rámutatni egy-egy érzékeny pontra.

A törvénytervezet részletes bemutatására sem kerül sor, csupán a vizsgálódásom szempontjából lényegesnek tartott momentumaira fogok kitérni. Az előadás követéséhez nem szükséges a törvénytervezet pontos ismerete, de a mélyebb átgondoláshoz feltétlenül ajánlott. A tervezet 2000. decemberi állapotában például a következő címeken elérhető: http://www.dbassoc.hu/MAK/elektronikusalairas-tv.doc vagy http://www.endrodi.com/torveny/tervezet2000dec.doc.

1. MŰSZAKI, TECHNOLÓGIAI ÁTTEKINTÉS

1.1. Az elektronikus aláírás

Az elektronikus aláírás funkcionálisan ugyanúgy működik, mint a hagyományos, saját kézi aláírás. Elvárás vele szemben, hogy

• csak egyetlen személy tudja létrehozni a rá jellemző aláírást, így az nem hamisítható és letagadhatatlan,

• könnyen létrehozható és ellenőrizhető,

• az aláírás olyan módon kapcsolódik az aláírt dokumentumhoz, hogy az az aláírást követően már nem módosítható észrevétlenül.

Az elektronikus aláírás módszere technológiailag a nyilvános kulcsú titkosítás elvén alapszik. Ennek lényege egy olyan rejtjelező eljárás, amiben egy adott üzenet kódolásához és dekódolásához két különböző kulcsra van szükség, amelyek egymás kiegészítő párjai. Egy kulcsnak pontosan csak egyetlen párja létezik, amit a kulcspárt létrehozó eljárás garantál –, mégis egyik kulcs a másikból gyakorlatilag kiszámíthatatlan. Tételezzük fel, hogy mindenki rendelkezik egy ilyen kulcspárral. Ebből mindenki nyilvánosságra hozza az egyik kulcsát (ez lesz az ő nyilvános kulcsa), míg a másikat szigorúan titokban kell tartania (ez lesz a titkos kulcs). Ezek után ha valaki kódol egy üzenetet a saját titkos kulcsával, azt kizárólag az ő nyilvános kulcsának ismeretében lehet visszaalakítani – ezzel bizonyossá válik, hogy az aláíró csakis ő lehetett, tehát a letagadhatatlanság teljesül. Másvalaki a titkos kulcs birtoklása nélkül az üzeneten ugyanezt a transzformációt nem tudja elvégezni, vagyis az aláírás nem hamisítható. Az aláírás a kódolás eredményeként szorosan kötődik az aláírt dokumentum aláíráskori képéhez, hiszen annak a kódolt megfelelője a dokumentum semmilyen módosított változatával nem feleltethető meg.

A gyakorlatban alkalmazott módszereknél tulajdonképpen nem magát a dokumentumot szokták kódolni, hanem annak egy kivonatát, melyet egy lenyomatkészítő függvény segítségével állítanak elő belőle. Ha a dokumentum változik, akkor szükségképpen a lenyomata is, ha pedig a lenyomat változatlan, akkor biztosra vehető, hogy a dokumentumban sem történt változás. Az elektronikus dokumentum lenyomatának titkos kulccsal kódolt képe a dokumentum elektronikus aláírása. Vegyük észre, hogy így az elektronikus aláírás csak logikailag, és nem fizikailag kötődik a dokumentumhoz, a hagyományos aláírással ellentétben.

4. ábra Elektronikus aláírás elkészítése és ellenőrzése

1.2. Nyilvános Kulcsú Infrastruktúra

A fentebb vázolt rendszer biztonságos működésének persze számos feltétele van. Szükség van pl. arra, hogy minden szereplő nyilvános kulcsát hitelt érdemlő módon mindenki más megismerhesse. A kulcs-csere személyes találkozások során elvben megvalósítható, de nem szabad elfelejteni, hogy olyan ember nyilvános kulcsára is szükségünk lehet, akivel még sosem találkoztunk. Van mód arra, hogy a felek elektronikus formában elküldjék egymásnak a nyilvános kulcsaikat vagy letöltsék azokat egy adatbázisból, de számolni kell azzal a veszéllyel, hogy a kulcsot útközben a nyílt kommunikációs csatornán egy támadó módosítjav vagy esetleg valaki másnak adja ki magát, mint aki valójóban. A kulcs manipulációja ellen úgy lehet hatékonyan védekezni, hogy egy mindenki által megbízhatónak elfogadott harmadik fél elektronikus dokumentumba foglalja az adott személy nevét (illetve más azonosító jellemzőit) és a nyilvános kulcsát, majd ezeket együttesen saját titkos kulcsával aláírja, ezzel biztosítva, hogy észrevétlenül nem történhet változtatás a rögzített adatokban. Az ilyen kiadott dokumentum a tanúsítvány (certificate), a megbízható harmadik fél a hitelesítés-szolgáltató (Certifcate Authority, CA).

Amennyiben valaki elveszíti saját titkos kulcsát vagy feltételezhető, hogy az illetéktelen kezekbe kerül, a tulajdonos érdekében szükség van a kulcspár használatának azonnali letiltására, hiszen a titkos kulcsot birtokló személy az igazi tulajdonos nevében bármit aláírhat – hitelesnek tűnően. Az elveszett kulcsokkal való visszaélések ellen a tanúsítvány visszavonásával lehet védekezni. Ez technikailag úgy oldható meg, hogy felveszik az elveszett kulcsot a tanúsítvány visszavonási listára (certificate revocation list, CRL). A visszavonási listán szereplő nyilvános kulcsokkal ellenőrizhető aláírás, mely a visszavonás időpontja után keletkezett, így nem érvényes. A visszavonást megelőzően készített aláírásoknak viszont a továbbiakban is érvényesnek kell maradnia. Ebből is látszik, hogy alapvető fontosságú egyrészről, hogy a visszavonás időpontját pontosan rögzítsék, másrészről pedig, hogy amikor valaki elektronikusan aláír egy dokumentumot, az aláírás megtételének időpontját is rögzítse – hiszen adott esetben ettől az időponttól is függhet, hogy az aláírás érvényes-e vagy sem.

Az aláírás időpontjának rögzítése egy újabb problémát vet fel. Amennyiben az aláírás időpontját egyszerűen az aláírást végző személy írja bele a dokumentumba, fennáll a veszély, hogy – akár jóhiszeműen, akár rossz szándékból – “nem jó” időpontot rögzít: lehet, hogy egyszerűen csak “rosszul jár az órája”, de az is előfordulhat például, hogy “vissza akarja dátumozni” az aláírást akkorra, amikor még érvényes volt az azóta már visszavont tanúsítvány. A megoldást természetesen megintcsak egy megbízható harmadik fél, az időbélyegző szolgáltató (time stamping authority, TSA) segítsége jelentheti.

Az elosztott rendszerekben, ahol az elemek egymástól fizikailag is távol vannak, a kommunikáció különböző megbízhatóságú rendszerelemeken keresztül és különböző ideig tarthat, az idő kezelése nehézkes. Nincsen az egész rendszerre kiterjedő “abszolút idő”, a pontos egyidejűség nem határozható meg két távoli esemény között. Ehelyett az előbb történt illetve később történt relációkat szokták csak használni – ami általában elégendő –, illetve ezek segítségével adott időintervallumba, két másik esemény közé korlátozható egy adott esemény megtörténte.

Az időbélyegző szolgáltatót minden fél hiteles időforrásként fogadja el. Az általa kiadott időbélyegző (time stamp, TS) nem más, mint a időbélyegző szolgáltató órája szerinti pontos időt tartalmazó elektronikus dokumentum elektronikusan aláírva – vagyis hitelesítve – a szolgáltató titkos kulcsával. Amennyiben a szolgáltató megbízhatóan működik, soha nem kerül kibocsátásra időbélyegző olyan időpontról, ami még nem múlott el. Így tehát ha az aláírás készítője egy időbélyegzőt tesz az elektronikus dokumentumomba az aláírás megtétele előtt, azzal bizonyítani tudja, hogy az aláírás ez után az időpont után történt. Azt, hogy a dokumentum az adott formában egy adott időpont előtt létezett, csak úgy lehet garantálni, hogy az áláírt dokumentumot be kell küldeni az időbélyegző szolgáltatónak, aki ehhez mellékeli az órája által mutatott pontos időt, és együttesen aláírja ezeket. Az “előbb történt” reláció bizonyításának szükségessége miatt kulcsfontosságú szerepet tölt be a rendszerben az időbélyegző szolgáltató.

Látható, hogy a fentiekben vázolt, nyilvános kulcsú titkosításon alapuló rendszer működéséhez komoly háttérinfrastruktúra szükséges. A szükségelt infrastruktúrát összefoglaló néven Nyilvános Kulcsú Infrastruktúrának (Public Key Infrastructure, PKI) nevezik, melynek elemei a mindenki által birtokolt nyilvános-titkos kulcspárok, a tanúsítványok, a hitelesítés szolgáltató és időbélyegző szolgáltató, a kulcsok létrehozásához és tárolásához valamint az elektronikus aláírás létrehozásához és ellenőrzéséhez szükséges szoftver és hardver eszközök, a kommunikációhoz szükséges hálózati elemek, az adatbázisok, valamint a biztonsági előírások és a jogi szabályozás is.

2. A TÖRVÉNYI SZABÁLYOZÁS ÁTTEKINTÉSE

2.1. Miért van szükség az elektronikus aláírást szabályzó törvényre?

Két szerződő fél már a jogi szabályozás előtt is megegyezhetett, hogy az egymás köztötti szerződéseket elektronikus formában is elfogadják, de ehhez előtte papír alapon hagyományosan hitelesített szerződést kellett kötniük erről. Ez külön törvény nélkül is működött. A törvényalkotással “csupán” ezek a bilateriális megegyezések egyszerűsödnek, bár a törvényben foglaltaktól a kétoldalú szerződésekben ezentúl is el lehet térni. Viszont a törvény megalkotásával mód nyílik arra, hogy olyan területeken is bevezethetővé váljon az elektronikus iratok használata, ahol ezt a megelőző szabályozás nem tette lehetővé (pl. cégeljárások, adóhivatal, államigazgatás). A jelen törvény célja tehát, hogy az elektronikus aláírás alkalmazását “bevezesse” több, állami szabályozás alatt álló területre is. Ennek elengedhetetlen feltétele, hogy a kapcsolódó törvényeket is módosítani kell. De ezek jogi kérdések, ezekkel nem foglalkozunk…

2.2. EU direktíva

A másik jelentős ok, ami előremozdította a jelen törvény elkészítésének folyamatát, hogy világszerte születnek az elektronikus kereskedelemmel, elektronikus aláírással kapcsolatos szabályozások, törvények, a technológiai fejlődés mára már megköveteli az elektronikus kommunikáció, az elektronikus dokumentumok hivatalos téren való alkalmazhatóságát. Az Európai Parlament és Tanács 2000. januárjában direktívát adott ki az elektronikus aláírással kapcsolatban, melyben meghatározta az elektronikus aláírással kapcsolatos alapelveket, és elrendelte, hogy minden tagországnak 2001. júliusáig létre kell hoznia a saját szabályozási rendszerét, amely a közös alapelveken alapul.

Az EU alapelvek között szerepel többek között, hogy elektronikus szignót minden szempontból egyenértékűnek kell tekinteni a hagyományos aláírással, valamint hogy az Európai Közösség tagállamai elfogadják egymás elektronikus aláírásait és tanúsítványait és támogatják a térség más államainak a rendszerhez való csatlakozását is. Egy ilyen több országra kiterjedő rendszer működőképességéhez természetesen nem csak a jogharmonizáció elengedhetetlen, hanem a technológiai hátteret is egyeztetni kell.

A Nyilvános Kulcsú Infrastruktúra elemeinek szabványosításával több nemzetközi szervezet is foglalkozik.

Az Information Telecommunication Union Telecommunication Standardization Sector (ITU-T) által kidolgozott X.509-es szabvány definiálja a Nyilvános Kulcsú Infrastruktúra több jellemzőjét, többek között a tanúsítványok formátumát is. Az Internet Engineering Task Force (IETF) Public Key Infrastructure X.509 (PKIX) munkacsoportja több, az X.509-en alapuló ajánlást dolgozott ki (RFC-k illetve Internet Draftok) többek között a tanúsítványok menedzsmentjére (CMP), a visszavonási listákra, az időbélyegzés szolgáltatásra (TSP), a tanúsítványok ellenőrzésére (SCVP) vonatkozóan. Az RSA Laboratories vezetésével készült el a nyilvános kulcsú kriptográfiával kapcsolatos ajánlásokat tartalmazó gyűjteményt, a Public-Key Cryptography Standards (PKCS).

Sajnos az elkészült szabványok, ajánlások nem alkotnak egységes, összefüggő rendszert, illetve átfedés is előfordul közöttük. A különböző szabványok összehangolását végző Information and Communications Technologies Standards Board (ICTSB) keretein belül kifejezetten az elektronikus aláírással foglalkozó EU direktíva segítése céljából jött létre az European Electronic Signature Standardization Initiative (EESSI).

3. A MAGYAR TÖRVÉNYTERVEZET

3.1. Előzmények

Magyarországon már 1997-ben világot látott egy kormányhatározat tervezet, de az ügymenet a kormányváltás miatt akkor megakadt. Az új kormány alatt más hatáskörbe került az ügy, és viszonylag nehezen indult be az előkészítő munka.

Napjainkig a következő események zajlottak le:

1998. július 2. “Az elektronikus iratok szabályozásának alapelvei”

1998. október “Törvénytervezet az elektronikus okiratok jogi hatályáról”

1999. június 14. megalakult a KHVM elektronikus aláírás munkacsoportja

2000. január az előterjesztés első verziója

2000. április az előterjesztés második verziója

2000. augusztus 29. az elektronikus aláírás bevezetéséről szóló kormányhatározat elfogadása

2000. december az előterjesztés harmadik verziója

3.2. Áttekintés

A magyar szabályozás kialakításánál alapvető szempont volt az EU alapelvek maradéktalan betartása. Emellett természetesen a hatályos hazai jogszabályokat is tekintetbe kellett venni. A kérdéssel legszorosabban összefüggő törvények módosítására a jelen törvénytervezet Záró rendelkezéseiben található szövegszerű módosító javaslat, ezzel megteremtve az elektronikus aláírás és elektronikus dokumentumok felhasználásának alapeseteit is.

A törvény három lényeges témakört szabályoz:

• a törvény hatályát, mely egyszersmind meghatározza az elektronikus aláírás felhasználásának lehetőségét is (ezzel a résszel mi most egyáltalán nem foglalkozunk)

• az elektronikus aláírással kapcsolatos szolgáltatások szabályait

• a szolgáltatókat felügyelő és a szolgáltatókat nyilvántartó, illetve minősítő Hírközlési Főfelügyelet (a továbbiakban: Felügyelet) tevékenységére vonatkozó szabályokat

A törvénytervezet megalkotásánál szintén alapelv volt, hogy a jogi szabályozásnak technológia-függetlennek kell lennie. A használt “jogi terminológiában” az ismert műszaki fogalmak helyett azok funkciói szerinti elnevezésükre került sor.

A törvény a következő fogalmakat definiálja:

• “egyszerű” elektronikus aláírás, fokozott biztonságú elektronikus aláírás, minősített elektronikus aláírás

• elektronikus dokumentum, elektronikus irat, elektronikus okirat

• aláírás-létrehozó adat (titkos kulcs), aláírás-ellenőrző adat (nyilvános kulcs)

• aláírás-létrehozó eszköz, biztonságos aláírás-létrehozó eszköz (tipikusan chipkártya)

• tanúsítvány, minősített tanúsítvány

• időbélyegző

• elektronikus aláírás ellenőrzése, elektronikus aláírás megtétele

• aláíró, elektronikus hitelesítés-szolgáltató

4. ábra Az elektronikus dokumentum fajtái

4. ábra Az elektronikus aláírás fajtái

3.3. A törvény által meghatározott működési struktúra

A törvényben szabályzott, az elektronikus aláírással kapcsolatos szolgáltatások a következők:

• hitelesítés-szolgáltatás (az elektronikus tanúsítványok kiadása és az ezzel kapcsolatos nyilvántartások vezetése)

• időbélyegző szolgáltatás

• aláírás-létrehozó eszközön aláírás-létrehozó adat elhelyezése

A fenti tevékenységek végzését be kell jelenteni a Felügyeletnek, amely nyilvántartásba veszi az adott szolgáltatót és ettől kezdve folyamatos ellenőrzést gyakorol felette a törvényesség betartása, az üzletszabályzat és az általános szerződési feltételek betartása tekintetében. Amennyiben valamilyen rendellenességet észlel, akkor – akár azonnali hatállyal – intézkedéseket foganatosíthat, pénzbírságot szabhat ki, de akár be is szüntetheti a szolgáltatást.

Minősített tanúsítvány kiadását illetve aláírás-létrehozó eszközön aláírás-létrehozó adat elhelyezését csak minősített hitelesítés-szolgáltatók végezhetik. A minősítést szintén a Felügyelet végzi, minősítés megszerzéséhez sokkal komolyabb feltételeknek kell eleget tenni (büntetlen előélet, szakképzettség, felelősségbiztosítás, pénzügyi erőforrás, biztonságos elektronikus aláírási termékek használata stb.). A minősített hitelesítés-szolgáltatónál a Felügyelet legalább évente egyszer átfogó helyszíni ellenőrzést tart. Amennyiben a minősített szolgáltató nem felel meg az előírt követelményeknek, és egyéb intézkedések nem vezetnek ereményre, akkor a Felügyelet visszavonhatja a minősítést.

4. ábra Feltételrendszer

A hitelesítés-szolgáltató végzi az elektronikus tanúsítványok kiadását. Ennek keretében először is azonosítania kell az igénylő személyét. Amennyiben ez sikerrel jár, az igénylő személy aláírás-ellenőrző adatát, a személy azonosítására szolgáló egyéb adatokat, valamint a tanúsítvány készítésére és használatára vonatkozó egyéb paramétereket (pl. szolgáltató neve, felhasználási korlátozások, érvényesség kezdete és vége stb.) rögzíti a tanúsítványban, melyet saját aláírás-létrehozó adatával ír alá. Nyilvántartást vezet a kiadott tanúsítványokról és azokról az adatokról, amik alapján a tanúsítványt kiadta. Fogadja és feldolgozza a tanúsítványokkal kapcsolatos változások adatait, nyilvántartást vezet a tanúsítványok aktuális helyzetéről, esetleges felfüggesztéséről, illetve visszavonásáról. Ez utóbbit, valamint saját szabályzatait és az aláírás-ellenőrző adatokat közcélú távközlő hálózatok segítségével folyamatosan elérhető módon közzéteszi.

3.4. Elemzés

Egy bonyolult, sokszereplős rendszer számos veszélyt rejt magában. Az egyes szereplők “szabálytalan” viselkedése más szereplők számára veszélyforrásként jelentkezhet. Ezen veszélyek feltérképezése, a létező védelmi megoldások erősségének becslése, a illetve újabb hatékony, védelmi megoldások meghatározása – tekintve a rendszer bonyolultságát – elég összetett feladat.

Az alábbiakban egy veszélyforrás alapulú elemzéssel tekintjük át a törvénytervezet által felállított rendszert.

A kockázatelemzések általában elfogadott módszertana szerint a felmerülő veszélyek kiküszöbölése érdekben háromféle védelmet lehet alkalmazni: preventív (megelőzés), detektív (észlelés) és korrektív (helyreállítás) megoldásokat. Egy jó rendszer minden veszély ellen mindháromféle védelmet alkalmazza, illetve adott veszély esetén elfogadható valamelyik megoldás hiánya, amennyiben valamely másik típusú védelem elegendően erősnek mondható és kompenzálja a hiányzó kontrollt.

Az alábbi táblázatban sorra vesszük azokat a veszélyeket, amelyek a rendszer különböző szereplőire leselkednek, illetve az egyes szereplők “szabálytalan” magatartása idézi elő. (A veszélyforrások felsorolása ilyen terjedelemben nem lehet teljes, de a legfontosabb tényezőket igyekeztünk érinteni.) Mindegyik esetben megvizsgáltuk, hogy az adott veszélyre a törvénytervezet szerint milyen védelmi megoldások vonatkoznak, azoknak milyen hiányosságaik vannak, illetve milyen védelmi megoldások alkalmazása lenne még célszerű.

Magyarázat::

HSz = hitelesíts-szolgáltató.

A “-”-szal kezdődő piros sorok az adott megoldás hiányát jelentik.

A “*”-gal kezdődő kék sorok jelentése, hogy az adott védelem nem a törvényi szabályozáshoz tartozik, arra a rendszergyakorlati megvalósítás során kell majd gondolni.

Veszélyek kódjai: H: a hitelesség kerül veszélybe; L: a letagadhatatlanság kerül veszélybe; E: egyéb.

Hiányosság a védelemben

Kritikus veszély

A védelem elégségessége illetve hatékonysága lérdéses

Kielégítő védelem

A fenti elemzést az alábbi táblázat foglalja össze:

3.5. Megállapítások, észrevételek

• A törvénytervezet nem foglalkozik megfelelően az időkezelés és érvényesség problémájával.

Az elektronikus aláírásban szerepelnie kell az aláírás időpontjának, ezt célszerű lenne a szabályozásban is rögzíteni.

Adott tanúsítvány visszavonásának időpontját szintén rögzíteni kellene, ez szintén hiányzik a tervezetből.

Az időbélyegző szolgáltatással kapcsolatban nem tesz külön megállapításokat (csak egy egyszerű analógiát állít fel a hitelesítés szolgáltatással), nem kezeli azt a problémát, miszerint egy esemény időpontját csak két időpecsét segítségével lehet behatárolni. A törvény túlzott megszorítást tartalmaz viszont az időbélyegző kiadására vonatkozóan: a tervezet szerint az időbélyegző a szolgáltató által az elektronikus dokumentum mellé tett időpont együttes digitális aláírása, kizárva ezzel azt az esetet, amikor az időbélyegző szolgáltató csak az időpontot írná alá (ez a már kidolgozott protokolloknak részét képezi ).

• A tanúsítványok és visszavonási listák elosztott nyilvántartása meglehetősen nagy sebezhetőséget jelent.

Központi tanúsítvány-nyilvántartás és tanúsítvány visszavonási lista feltétlen szükséges, hiányában a hitelesítés-szolgáltatók ellenőrizhetetlenek, számonkérésük reménytelen.

• A rendszerből hiányzik egy megbízható és hatékony aláírás ellenőrző szolgáltatás.

Az aláírást ellenőrizni kívánó fél számára vitatott esetben nem marad más lehetőség, mint a bírósághoz fordulni, ami drága és hatékonytalan.

• A hitelesítés-szolgáltatók feletti kontroll sok esetben kevésnek bizonyulhat.

A visszeélésekből szerezhető nyereség sokszorosa lehet a befektetett költségnek. A szervezett bűnözés megjelenése a hitelesítés-szolgáltatók mögött nem zárható ki a jelenlegi rendszerben.

3.6. Pontatlanságok

• Fogalomzavar

A tervezet néhány pontján érezhető fogalomzavar. (Ilyen pl. a 9. § (3): “A hitelesítés-szolgáltató azonosítja az igénylő személyét, majd a saját elektronikus aláírásával aláírt tanúsítvánnyal hitelesíti az igénylő elektronikus aláírását.”)

• Hibás hivatkozások

Néhány helyen szerepelnek hibás hivatkozások (jellemzően egy eggyel kisebb sorszámú paragrafusra hivatkoznak, feltehetően egy időközbeni átsorszámozás miatt).

3.7. Érdekes problémák (ezek nem feltétlenül a törvényi szabályozás problémakörébe tartoznak, de elgondolkodtatóak)

• Az elektronikus okiratok formátuma

Gondot okozhat, hogy a szerkesztő-megjelenítő programok között is vannak különbségek (pl. Word különböző verziói), így előfordulhat, hogy a felhasználó által aláírt, az ellenőrzés szerint sértetlen dokumentum máshol megnézve egészen máshogy néz ki! (Szélsőséges esetben az aláírás pillanatában nem látható rejtett szöveg megjelenése stb.)

• “Csak szöveg tartalom”

Az elektronikus irat elvileg csak szöveget tartalmazhat, de mit jelent ez pontosan? Az Rich Text Format, a Word Documentum az csak szöveg…? (Szélsőséges esetben ha makrókat is tartalmaz stb.)

• Többszörös illetve vegyes aláírások

Előfordulhat, hogy szükség van arra, hogy egy dokumentumot többen is aláírjanak, illetve hogy különböző részeit különböző személyek írják alá. Sőt, az is elképzelhető, hogy az aláírók közül valaki hagyományos úton, kézjegyével kívánja hitelesíteni a dokumentumot (hiszen ezt a törvény nem zárhatja ki). Ennek formai követelményeit rögzíteni kell.

• A tanúsítvány pontos tartalma

A tervezet meghatározza, hogy milyen adatoknak kell szerepelnie egy minősített tanúsítványban. Ám ebben pl. nem határozza meg pontosan, hogy milyen adatok szükségesek egy személy egyértelmű azonosítására. Valamint néhány megkövetelt paraméternek nincsen megfelelője a gyakorlatban használt X.509-es tanúsítvány formátumban, így még a bevezetés előtt feltétlenül szükség van ezek pontos specifikálására, egyezményes jelölésrendszer pontos kidolgozására.

4. ÖSSZEFOGLALÁS

A vizsgálat eredményeként megállapítható, hogy a törvénytervezet jelenlegi formájában az EU irányelveinek megfelelő és működőképes alapot nyújt az elektronikus aláírás használatának bevezetéséhez, de még számos olyan technológiai kérdés maradt nyitva, amelyek alapjában befolyásolhatják a rendszer biztonságát és jogi illetve technológiai kiskapukhoz vezethetnek.

Jelen törvény több, egyelőre még kidolgozatlan szabályozás megtételét utalja a Kormány hatáskörébe (pl. az elektronikus aláírással kapcsolatos szolgáltatásokra és ezek szolgáltatóira vonatkozó részletes követelmények kidolgozását), illetve törvény végrehajtási rendeletének kidolgozása még hátravan. Ezek körültekintő kidolgozása esetén az itt megemlített veszélyforrások kiküszöbölésére még van lehetőség.

5. REFERENCIÁK

Az elektronikus iratok szabályozásának alapelvei

Törvényelőkészítő munka, 1998. július

Törvénytervezet az elektronikus okiratok jogi hatályáról

Törvényelőkészítő munka,1998. október

Forrás: Magyar Internet- és Számítógép-használók MagánEgylete (MIME)

http://www.euroastra.com/mime/cikkek/torvterv.html

ELŐTERJESZTÉS a Kormány részére az elektronikus aláírás és irat szabályozásának koncepciójáról és az ezzel kapcsolatban szükséges intézkedésekről

Előterjesztés, 2000. január, 2000. április majd 2000. december

Forrás: Magyar Adatbázisforgalmazók Szövetsége (MAK)

http://www.dbassoc.hu/khvmca0.htm

http://www.dbassoc.hu/MAK/elektronikusalairas-tv.doc

MAGYAR VÁLASZ az Információs Társadalom kihívásaira

Szakértői vitaanyag, 2. változat, 1999. október

Készült a Miniszterelnöki Hivatal felkérésére.

Forrás: Informatikai Tárcaközi Bizottság (ITB)

http://www.itb.hu/dokumentumok/archivum/

Tollal, egérrel – Bill Clinton elektronikus aláírása

Index, 2000. június 30. péntek 22:00

http://index.hu/tech/jog/esignature/

Digitális aláírás Csehországban – A cseh parlament elfogadta a tervezetet

Index, 2000. május 31. szerda 12:45

http://index.hu/tech/jog/alairas/

Aláírás-hitelesítő központ Magyarországon

Interjú Fekete Jánossal, a Magyar Adatbázis-forgalmazók Szövetsége (MAK) elnökségi tagjával

http://www.dbassoc.hu/khvmea2/sajto002.html

DIRECTIVE 1999/93/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 13 December 1999 on a Community framework for electronic signatures

Official Journal of the European Communities, 19.1.2000

Forrás: European Electronic Signature Standardization Initiative (EESSI) honlapja

http://www.ict.etsi.org/

Community framework for electronic signatures

Az 1999/93/EK direktíva összefoglalója

http://europa.eu.int/scadplus/leg/en/lvb/l24118.htm

Elektronikus aláírás: jogszabályi és szabványosítási kérdések

Rényi István, Ph.D. és dr. Rátai Balázs előadása

Neumann klub, 2000. december 12.

http://www.njszt.hu/06rendezv/frindex.htm

Internet X.509 Public Key Infrastructure Certificate and CRL Profile

RFC, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 1999

http://www.ietf.org/html.charters/pkix-charter.html

Internet X.509 Public Key Infrastructure Certificate Management Protocols

RFC, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 1999

http://www.ietf.org/html.charters/pkix-charter.html

Internet X.509 Public Key Infrastructure Representation of Key Exchange Algorithm (KEA) Keys in Internet X.509 Public Key Infrastructure Certificates

RFC, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 1999

http://www.ietf.org/html.charters/pkix-charter.html

Internet X.509 Public Key Infrastructure Time Stamp Protocol (TSP)

Internet Draft, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 2000

http://www.ietf.org/html.charters/pkix-charter.html

Simple Certificate Validation Protocol (SCVP)

Internet Draft, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 2000

http://www.ietf.org/html.charters/pkix-charter.html

Alternative Certificate Formats for PKIX-CMP

Internet Draft, Internet Engineering Task Force (IETF) Public-Key Infrastructure (X.509) (pkix) Working Group, 2000

http://www.ietf.org/html.charters/pkix-charter.html

Public-Key Cryptography Standards

RSA Laboratories

http://www.rsasecurity.com/

Recommendation X.509 (03/00) – Information technology – Open Systems Interconnection – The directory: Public-key and attribute certificate frameworks

ITU Telecommunication Standardization Sectuion (ITU-T)

http://www.itu.int/itudoc/itu-t/rec/x/x500up/x509.html

Information and Communications Technologies Standards Board (ICTSB)

http://www.ict.etsi.org/

European Electronic Signature Standardization Initiative (EESSI)

http://www.ict.etsi.org/eessi/EESSI-homepage.htm