1. Úvod

Elektronický obchod je najmarkantnejším príkladom revolučných zmien, ktoré prinášajú informačné technológie (IT). Prístup malých podnikateľov na globálny trh, poznanie potrieb konzumenta, výrazné zníženie nákladov na transakcie, podstatné skrátenie času obchodných transakcií, nové druhy tovarov a služieb, zjednodušenie a sprehľadnenie vzťahov medzi spotrebiteľom, obchodníkom a štátom sú len niektoré z prínosov elektronického obchodovania a podnikania. Obchodovanie však nie je možné bez vzájomnej dôvery zainteresovaných strán. Dôvera, ktorá sa v prípade klasického obchodovania opiera o papierové dokumenty, pečiatky, podpisy, notárske overenia sa v prípade použitia IT musí zakladať na niečom inom. Nechránený digitálny dokument v elektronickej forme totiž možno ľahko a bez akýchkoľvek pozorovateľných stôp nepozorovane zmeniť, príjemca dokumentu doručeného prostredníctvom počítačovej siete nemá istotu, kto mu ho poslal, odosielateľ môže poprieť zaslatie dokumentu, príjemca zasa jeho prijatie. Riešenie týchto problémov ponúka kryptológia (veda o šifrovaní) v podobe tzv. digitálnych podpisov. Názov podpis môže vzbudiť klamlivý dojem, že sa jedná o obdobu vlastnoručného podpisu. Digitálny, resp. elektronický podpis (ktorý je zovšeobecnením digitálneho podpisu) sa však zakladá na zložitých matematických transformáciách a jeho korektné používanie si vyžaduje presné definovanie postupov vytvárania a overovania. To je potrebné upraviť zákonom. Európska únia vydala v decembri 1999 Direktívu 1999/93/EC, ktorou vytvára rámec pre používanie elektronického podpisu v EU. Členské štáty EU musia v súlade s Direktívou prijať zákony o elektronickom podpise do 19. júla 2001.

Ministerstvo hospodárstva SR pôvodne pripravovalo Zákon o elektronickom obchode (1999). Od jesene 1999 začala na MH SR pracovať skupina pripravujúca zákon o elektronickom podpise. Po viacerých neúspešných pokusoch bol napokon vládny návrh zákona o elektronickom podpise prijatý vládou v máji 2001.

2. Podstata zákona o elektronickom podpise

Elektronický (digitálny) podpis sa zakladá na nasledujúcom princípe: podpisovateľ (Jožo) má dve čísla (podpisovací alebo súkromný kľúč a overovací alebo verejný kľúč). Podpisovací a overovací kľúč sú v jednoznačnom vzťahu (jeden určuje druhý), ale jeden sa z druhého nedá v rozumnom čase vypočítať. Podpisovací kľúč si Jožo dobre schová, overovací kľúč zverejní napr. v nejakom zozname verejných kľúčov. Jožo chce Ferovi poslať nejaký dokument. Aby zaistil jeho autentickosť (neporušenosť, pravosť) a poresvedčil Fera, že on, Jožo, je jeho autorom, vytvorí elektronický podpis tohto dokumentu. Najprv dokument zakóduje do číselnej podoby, potom pomocou tzv hašovacej funkcie z dokumentu vypočíta číslo (hašovaciu hodnotu dokumentu) a napokon toto číslo zašifruje pomocou svojho podpisovacieho kľúča. Táto hodnota je elektronickým podpisom dokumentu. Čo to je hašovacia funkcia? To je matematická funkcia, ktorá vypočíta na základe postupnosti čísel (= číselne zakódovaného dokumentu ľubovoľnej konečnej nenulovej dĺžky) číslo pevnej dĺžky (napríklad 128 miestne). Pritom hašovacia funkcia spĺňa nasledujúce požiadavky:

• hašovacia hodnota sa počíta ľahko
• na základe hašovacej hodnoty je ťažké nájsť dokument s touto hašovacou hodnotou
• je ťažké nájsť dva rozličné dokumenty s rovnakou hašovacou hodnotou.

Jožo pošle Ferovi dokument spolu s elektronickým podpisom dokumentu. Fero najprv na základe dokumentu vypočíta hašovaciu hodnotu dokumentu, potom pomocou Jožovho overovacieho kľúča odšifruje k dokumentu pripojený elektronický podpis a porovná obe hašovacie hodnoty (tú čo sám vypočítal s tou, ktorú dešifroval). Ak nastala zhoda, Fero overil Jožov podpis. Ak nie, došlo k chybe alebo pokusu o podvod (zmenil sa buď dokument alebo podpis). Ferova dôvera v Jožov elektronický podpis sa zakladá na nasledujúcich skutočnostiach:

Takto to môže fungovať medzi známymi, ktorí si môžu osobne doručiť overovacie kľúče. Elektronický obchod však predpokladá, že zmluvy budú uzatvárať ľudia, ktorí sa nikdy nestretli a teda nemajú záruky, že overovací kľúč prislúcha naozaj osobe, ktorá sa za jeho držiteľa vydáva. Tento problém sa rieši pomocou potvrdenia, ktoré na overovací (verejný) kľúč vydáva dôveryhodná tretia strana (taká, ktorej dôveruje aj Jožo aj Fero). Potvrdenie (certifikát) obsahuje Jožovo meno, Jožov overovací kľúč, nejaké technické informácie, dobu platnosti certifikátu. Táto informácia je podpísaná elektronickým podpisom dôveryhodnej tretej strany, tzv. certifikačnej autority. Jožo a Fero teraz môžu komunikovať bez toho, aby sa niekedy stretli, stačí, aby poznali overovací (verejný) kľúč certifikačnej autority a boli pomocou neho schopní overiť jej elektronický podpis na certifikáte. Keďže certifikačných autorít nebude veľa, bude jednoduchšie si pamätať verejné kľúče niekoľkých certifikačných autorít ako overovacie kľúče všetkých potenciálnych záujemcov o komunikáciu. Z vyššie uvedeného vyplýva, že každý, kto by sa dostal k Jožovmu podpisovaciemu kľúču, bude môcť vytvárať elektronické podpisy (a prijímať záväzky) v jeho mene. Preto akékoľvek podozrenie, že došlo k prezradeniu (kompromitácii) súkromného kľúča, bude Jožo okamžite hlásiť certifikačnej autorite, ktorá mu na jeho overovací kľúč vydala certifikát a požiada ju o zrušenie platnosti príslušného certifikátu. Ten, kto overuje Jožov podpis, sa musí presvedčiť u certifikačnej autority, či je certifikát platný. Na to certifikačná autorita vydáva zoznam zrušených certifikátov; ak sa na ňom certifikát Jožovho overovacieho kľúča nevyskytuje, Fero ho môže použiť na overenie Jožovho podpisu. Keďže elektronické podpisy sa budú používať na uzatváranie zmlúv, Jožo sa môže pokúsiť o podvod - podpíše nejaký kontrakt a vzápätí nahlási certifikačnej autorite kompromitáciu svojho podpisovacieho kľúča a požiada ju o zrušenie platnosti certifikátu svojho overovacieho kľúča. Fero začal konať v súlade s uzavretou zmluvou, ale keď chce, aby Jožo plnil svoje záväzky, ten mu prehlási, že zmluvu neuzavrel, že jeho podpis na zmluve je neplatný. Preto je mimoriadne dôležité, aby bolo možné presne určiť čas, kedy došlo k podpísaniu zmluvy a kedy k zrušeniu certifikátu. Elektronické podpisy sa budú používať aj v medzinárodnom obchode. Aby Jožov podpis prijal aj Kurt v Nemecku, musí byť jednak technologicky kompatibilný a jednak musí poskytovať záruky na takej istej úrovni, ako poskytuje nemecký elektronický podpis.

Zákon o elektronickom podpise je špecifikáciou zložitého informačno-komunikačného systému, nazývaného PKI (public key infrastructure - infraštruktúra verejných kľúčov), ktorý zabezpečuje automatický manažment certifikátov, overovania elektronických podpisov a ďalších činností na takej technologickej a bezpečnostnej úrovni aká je potrebná na spoľahlivé používanie elektronického podpisu. Musí jednoznačne definovať subjekty a objekty PKI, vzťahy medzi nimi a popísať kľúčové činnosti, ktoré v PKI prebiehajú tak, aby nevznikali pochybnosti pri technologickej implementácii. Zákon musí definovať úlohu štátu, lebo elektronický podpis môže znamenať veľké riziká, ak sa nebudú dodržiavať primerané bezpečnostné opatrenia a na druhej strane bezpečnostné opatrenia zvyšujú náklady spojené s prevádzkou PKI a dá sa očakávať, že z ekonomických dôvodov ako aj z neznalosti by sa na Slovensku mohli používať nedostatočné riešenia. Napokon, zákon musí zaradiť elektronický podpis do slovenského právneho poriadku, rešpektujúc pri tom požiadavky Direktívy a existujúce medzinárodné normy a štandardy, ako aj technologické požiadavky a obmedzenia elektronického obchodu.

1. Charakteristika vládneho návrhu zákona o elektronickom podpise

Vládny návrh zákona vychádza predovšetkým zo vzorového zákona UNCITRAL-u. a Direktívy EU. Je to vysokoúrovňový všeobecný zákon, ktorý sa snaží o technologickú neutralitu a prenecháva konkretizáciu požiadaviek na PKI na vykonávacie predpisy. Rozlišuje formálne dve úrovne elektronického podpisu, ale už obyčajný elektronický podpis kladie na roveň vlastnoručnému. Zaručený elektronický podpis sa môže používať v styku s úradmi. Takýto podpis spočíva na kvalifikovanom certifikáte, ktorý može vydať len akreditovaná certifikačná autorita. Akreditovať certifikačné autority môže NBÚ, ktorý bude podľa vládneho návrhu zákona plniť aj úlohy koreňovej certifikačnej autority. Napriek tomu, že sa zákon o elektronickom podpise dotýka množstva existujúcich zákonov, vládny návrh zákona neobsahuje návrhy zmien existujúcich zákonov.

2. Problémy vládneho návrhu zákona

Snaha o technologickú neutralitu vedie k "netechnickým" definíciám technických pojmov. To spôsobuje nepresnosti, resp. umožňuje nesprávny výklad viacerých základných pojmov (elektronický podpis, uzavretý systém, certifikát, časová značka). Pod poskytovateľom certifikačných služieb rozumie zákon zúžene certifikačnú autoritu (CA), hoci existujú aj iní poskytovatelia certifikačných služieb, napríklad výrobcovia systémov, ktoré sa používajú na vytváranie a overovanie elektronického podpisu, experti, poskytovatelia vybraných služieb (napr. time stamping a pod.) Iné dôležité pojmy nie sú definované (držiteľ certifikátu). Zastavíme sa len pri najzávažnejších problémoch.

1. Príliš široké chápanie elektronického podpisu, "ktorý umožňuje overenie totožnosti podpisovateľa a jeho vzťahu k podpísanému reťazcu elektronických údajov". Táto formulácia vznikla zlým prekladom Direktívy, resp. nepochopením významu pojmu "authentication" čo v tomto kontexte znamená pravosť; t.j. integritu dokumentu. Keďže v zákone nie je povedané, ako sa elektronický podpis vytvára; tejto definícii elektronického podpisu vyhovuje aj text:"tento dokument vytvoril a podpísal Jozef Mak" pripojený k dokumentu. Ak by sme aj pripustili vytvorenie elektronického podpisu pomocou asymetrického šifrovacieho systému spôsobom uvedeným v 2. časti, narážame na to, že elektronický podpis nemusí spočívať na certifikáte, a teda budú problémy s určením identity podpisovateľa. Ak by existoval certifikát verejného kľúča, podľa definície vládneho návrhu nie je zrejmé, ako sa pomocou certifikátu dá potvrdiť identita podpisovateľa. Overenie totožnosti žiadateľa o certifikát sa explicitne vyžaduje len pri vydávaní kvalifikovaného certifikátu ale pre obyčajný certifikát sa takáto povinnosť nevzťahuje. Keďže vládny návrh v ďalšom navrhuje rovnoprávnosť vlastnoručného a elektronického podpisu, potom elektronický podpis, pre ktorý nie sme schopní preukázať jeho pôvodcu, je na úrovni vlastnoručného podpisu.
2. Kľúčovým pojmom zákona je certifikát a kvalifikovaný certifikát. Definícia certifikátu a najmä kvalifikovaného certifikátu svedčí o nepochopení významu certifikátu. Certifikát podľa vládneho návrhu potvrdzuje identitu podpisovateľa. Medzi certifikátom a podpisovateľom však nie je jednoznačný vzťah, veď podpisovateľ je človek, ktorý vytvára elektronický podpis; ako potom môže nejaký certifikát potvrdzovať identitu človeka, ktorý bude vykonávať nejakú činnosť v budúcnosti? Ak by sme aj pripustili, že sa to bude diať na základe vzťahu medzi súkromným a verejným kľúčom, vznikajú problémy s tým, že tento vzťah nie je v zákone spomenutý, pri vytváraní obyčajného elektronického podpisu sa nespomína súkromný kľúč a napokon, podpisovateľ môže mať viacero súkromných kľúčov. Úplne absurdná situácia vzniká, keď sa nejaký protivník zmocní súkromného kľúča a vytvorí pomocou neho elektronický podpis. Stáva sa podpisovateľom a teda certifikát by mal potvrdiť jeho identitu (ale teraz ktorú - vlastnú alebo falošnú)?!
3. Kvalifikovaný certifikát sa definuje podrobnejšie v samostatnom paragrafe. Mal by slúžiť na to, aby bolo možné používať zaručené elektronické podpisy a zrejme nielen doma, ale aj v zahraničí. Ale to by potom formát kvalifikovaného certifikátu musel zodpovedať medzinárodným štandardom. Slovenský zákon predpisuje pre kvalifikovaný certifikát neštandardný formát.
4. Dobre myslené, ale prakticky nepoužiteľné je ustanovenie § 4, ods. (3) - ako to príjemca podpísaného dokumentu je schopný zistiť?
5. Kľúčový pojem, časová značka je definovaná spôsobom pripúšťajúcim falšovanie. Keďže zaistenie časovej súslednosti (napr. v prípade uzatvorenia kontraktu, posunutia času dopredu a následného ohlásenia kompromitácie súkromného kľúča) je dôležité z hľadiska riešenia sporov, taká slabá časová značka ako je definovaná v zákone, nebude na tento účel stačiť.
6. Kritickou činnosťou je rušenie certifikátu. Nie je popísaná procedúra rušenia certifikátu (od ktorej závisí bezpečnosť overovania elektronického podpisu). Zákon predpokladá, že si ju bude každá certifikačná autorita definovať sama prostredníctvom certifikačného poriadku? Iným problémom je zrušenie certifikátu z moci úradnej. CA je podľa zákona povinná oznámiť držiteľovi certifikátu (ktorý si za vydanie certifikátu zaplatil) zrušenie certifikátu, ale nie dôvod zrušenia. To asi nepovedie k dôvere k CA.
7. Zákon síce stanovuje povinnosti CA a dáva Úradu povinnosť kontrolovať CA, ale sankcie sa vzťahujú len na akreditované CA. Pritom aj neakreditované CA môžu vydávať certifikáty, na ktorých spočíva elektronický podpis, majúci právne účinky vlastnoručného podpisu.
8. CA na začatie svojej činnosti nepotrebuje v súlade s Direktívou žiadne povolenie. Problematické však je skončenie činnosti. Zanikajúca CA sa môže dohodnúť s inou CA o prebratí agendy bez toho, či s tým bude súhlasiť klient (ide napr. aj o osobné údaje klienta, ktoré by mala prebrať iná CA bez jeho vedomia a súhlasu). Ak sa CA nepodarí nájsť CA, ktorá by jej agendu prebrala, Čierneho Petra dostane Úrad. Ale to ho môže zahltiť, pretože CA ľahko vznikne, ľahko zanikne a odovzdá mu agendu v neporiadku, nekompatibilnú (formáty údajov si určuje každá CA sama) a aby Úrad zadosťučinil požiadavke o používaní elektronického podpisu, bude to musieť dávať do poriadku. Úrad potom bude fungovať ako univerzálna CA.
9. Podľa zákona SR neuznáva zahraničných akreditovaných poskytovateľov certifikačných služieb. To bude pravdepodobne v rozpore s Direktívou aj v prípade A-CA, rozhodne by to však spôsobovalo problémy, keby zákon takýmto spôsobom diskriminoval napr. výrobcov produktov pre elektronický podpis.
10. Medzi povinnosťami akreditovaných CA je aj povinnosť poskytovať certifikačné služby len prostredníctvom vlastných zamestnancov. To vylučuje možnosť použitia externých expertov a znamená, že A-CA bude mať kompletný tím špecialistov na všetky problémy súvisiace s prevádzkou CA? Naviac, ak dôjde k havárii, vylúči to možnosť použitia záložných zariadení, ktoré môžu viaceré CA vybudovať a udržiavať spoločne.
11. Úlohy, ktoré má podľa zákona plniť Úrad, nie sú dostatočné na zabezpečenie fungovania štátnej PKI. Chýba tam o.i. certifikácia produktov pre elektronický podpis a zákon nedoceňuje čo to znamená, že Úrad bude vykonávať funkciu koreňovej certifikačnej autority (o.i. že bude v prípade potreby musieť preberať agendu zanikajúcich CA). Keďže zákon ukladá Úradu povinnosť preberať agendu tak obyčajných, ako aj akreditovaných zanikajúcich CA, bude Úrad musieť viesť dve oddelené CA, jednu pre obyčajné, druhú pre akreditované CA. Aby nedošlo k porušeniu pravidiel pre A-CA, bude musieť Úrad vykonávať certifikačné činnosti na úrovni A-CA; t.j. vrátane separácie rolí. Na to mu však sotva bude stačiť tých 10 ľudí, o ktorých sa hovorí v dôvodovej správe (a to si všetko - v súlade s požiadavkami na akreditované certifikačné autority - bude musieť zabezpečovať pomocou vlastných zamestnancov.)
12. Na záver posledná pripomienka - kto vydá certifikát verejného kľúča Úradu a čím ho podpíše?

1. Riziká

PKI, potrebná na realizáciu elektronických podpisov musí fungovať podľa presne stanovených pravidiel, vychádzajúcich z medzinárodných štandardov. Vládny návrh zákona túto skutočnosť nezohľadňuje. Zákon nerešpektuje základné princípy fungovania PKI, definuje technické pojmy v rozpore so štandardami, dostáva sa do rozporov tak s Direktívou EU, ako aj slovenskou legislatívou. Je neúplný, nepresný, vnútorne protirečivý a nie je šanca, že vykonávacie vyhlášky (mimochodom, tie, ktoré navrhujú jeho tvorcovia nie sú postačujúce, nakoľko v skutočnosti ide len o jedinú, ktorá upravuje poskytovanie certifikačných služieb akreditovanéj CA) uvedené problémy vyriešia. Prijatie tohto zákona môže mať rôzne pokračovania:

1. Nenájde sa nikto, kto by bol schopný k zákonu vytvoriť vykonávacie predpisy a nebudú peniaze na vytvorenie Úradu, bude síce zákon, ale nebude sa dať použiť.
2. Tvorcovia zákona formálne dorobia vykonávacie predpisy (prebratím, resp. skompilovaním materiálov ETSI, vykonávacích vyhlášok k zákonu na ochranu utajovaných skutočností a medzinárodných noriem) a bude sa hľadať organizácia (Úrad), ktorá za to preberie zodpovednosť. Ak bude mať Úrad kvalifikovaných ľudí, tak sa bude pokračovať podľa variantu (c) ak nie, podľa (a).
3. Vznikne Úrad, ktorý bude mať kvalifikovaných ľudí na elektronický podpis. Tí sa pokúsia vypracovať k zákonu vykonávacie predpisy a keď zistia, že to nejde, navrhnú novelizáciu zákona.
4. Bude veľký tlak na používanie elektronického podpisu, vznikne Úrad buď bez kvalifikovaných ľudí, alebo s kvalifikovanými ľuďmi bez právomocí. Úrad bude musieť vypracovať vykonávacie predpisy k existujúcemu zákonu a realizovať ich. Buď sa zosype (ak sa bude pokúšať plniť povinnosti vyplývajúce zo zákona), alebo ich bude ignorovať a vykazovať nejakú činnosť. Takto to bude fungovať do prvého väčšieho prípadu zneužitia elektronického podpisu.
5. Katastrofický scénar. Po prečítaní si slovenského zákona o elektronickom podpise nebude zahraničie uznávať slovenské elektronické podpisy.
6. Slovenské subjekty budú používať zahraničné certifikáty.
7. Vláda nájde miliardu a nechá si PKI vybudovať na kľúč. Kto to však spraví??
8. Optimistický scénar. Uvedomiac si nedostatky vládneho návrhu zákona o elektronickom podpise sa súkromný sektor spojí s odborníkmi z akademickej sféry, štátnej správy a zahraničnými odborníkmi vytvoria alternatívny návrh k vládnemu návrhu zákona. Ak budú mať šťastie, ten návrh aj prejde. Potom sa postupne bude budovať PKI, vytvárať legislatíva, vytvárať podmienky pre používanie lektronického podpisu v štátnej správe, rozvíjať elektronický obchod.
9. Realistický scénar - pokračovanie (h) Parlament nepríjme alternatívny návrh zákona, súkromné firmy vytvoria certifikačné autority, nechajú si ich akreditovať v zahraničí a voči Slovensku budú vystupovať ako obyčajné certifikačné autority, ktoré na svoju činnosť nepotrebujú žiadne povolenie.