Jak działa podpis elektroniczny?
Podpis elektroniczny nie jest obrazkiem odręcznego podpisu wklejonym do dokumentu. To dane cyfrowe powiązane z plikiem za pomocą mechanizmów kryptograficznych. Dzięki nim można sprawdzić tożsamość podpisującego, wykryć zmianę treści i potwierdzić, że dokument został podpisany świadomie.
Czym jest podpis elektroniczny?
Zgodnie z Rozporządzeniem eIDAS podpis elektroniczny oznacza dane w postaci elektronicznej, które są dołączone do innych danych lub logicznie z nimi powiązane i służą podpisującemu do złożenia podpisu. W praktyce podpis staje się cyfrowym potwierdzeniem określonego oświadczenia.
Skan podpisu odręcznego albo graficzny znak umieszczony w pliku PDF nie zapewnia sam w sobie żadnego zabezpieczenia kryptograficznego. Można go skopiować do innego dokumentu bez wykrywalnego śladu. Wizualny symbol może pojawić się w podpisanym pliku, ale jest tylko jego reprezentacją. Właściwy podpis stanowią dane zapisane w strukturze dokumentu lub dołączone do niego.
Można porównać go do pieczęci lakowej na liście. Sama pieczęć nie jest treścią wiadomości, ale pozwala zauważyć, że koperta została otwarta. Podpis elektroniczny działa podobnie, tylko zamiast fizycznego śladu wykorzystuje cyfrowy odcisk dokumentu.
Jak działa podpis elektroniczny od strony technicznej?
Podstawą działania są funkcja skrótu oraz kryptografia asymetryczna. Funkcja skrótu tworzy z dokumentu krótki ciąg znaków, czyli jego cyfrowy odcisk. Nawet zmiana jednej litery, spacji lub przecinka powoduje powstanie innego skrótu.
Kryptografia asymetryczna wykorzystuje dwa powiązane ze sobą klucze. Klucz prywatny służy do składania podpisu i powinien pozostawać pod wyłączną kontrolą podpisującego. Klucz publiczny pozwala innym osobom sprawdzić, czy podpis pasuje do dokumentu. Proces można uprościć do następujących etapów:
- Utworzenie skrótu dokumentu – oprogramowanie oblicza jego cyfrowy odcisk za pomocą funkcji skrótu.
- Podpisanie skrótu kluczem prywatnym – system wykorzystuje dane podpisującego do zabezpieczenia tego odcisku, a nie do zaszyfrowania całego pliku.
- Dołączenie danych weryfikacyjnych – do dokumentu trafia podpis, certyfikat oraz, zależnie od rozwiązania, znacznik czasu i informacje potrzebne do późniejszej walidacji.
- Sprawdzenie podpisu kluczem publicznym – odbiorca lub walidator odczytuje podpis, ponownie oblicza skrót dokumentu i porównuje oba wyniki.
Jeżeli wartości się zgadzają, podpis przechodzi weryfikację. Gdy ktoś zmieni treść pliku po podpisaniu, obliczony skrót będzie inny. System pokaże wtedy, że dokument został zmodyfikowany albo że podpis jest nieważny.
Jakie są rodzaje podpisu elektronicznego?
Rozporządzenie eIDAS rozróżnia podpis zwykły, zaawansowany i kwalifikowany. Nie każdy podpis elektroniczny ma taką samą moc dowodową ani wymaga takiego samego poziomu identyfikacji.
| Typ podpisu | Poziom bezpieczeństwa | Moc prawna | Główne zastosowanie |
|---|---|---|---|
| Podpis zwykły | Podstawowe powiązanie z dokumentem lub osobą | Może mieć znaczenie dowodowe, ale nie jest automatycznie równoważny podpisowi własnoręcznemu | Akceptacja dokumentów, korespondencja i proste procesy online |
| Podpis zaawansowany | Jest unikalnie przyporządkowany podpisującemu, pozwala ustalić jego tożsamość i wykrywa późniejsze zmiany | Skutki zależą od przepisów i rodzaju sprawy | Procesy biznesowe i dokumenty wymagające silniejszej identyfikacji |
| Podpis kwalifikowany | Podpis zaawansowany oparty na certyfikacie kwalifikowanym i złożony przy użyciu kwalifikowanego urządzenia lub usługi | Jest równoważny podpisowi własnoręcznemu w rozumieniu eIDAS | Umowy, dokumenty urzędowe, przetargi i sprawy wymagające formy pisemnej |
Certyfikat kwalifikowany potwierdza powiązanie danych służących do weryfikacji podpisu z konkretną osobą. Wariant kartowy może wymagać karty kryptograficznej, czytnika i kodu PIN. Dostępne są też rozwiązania mobilne lub chmurowe. Podpis kwalifikowany jest uznawany we wszystkich państwach Unii Europejskiej zgodnie z zasadami eIDAS.
Profil zaufany to odrębne narzędzie, używane przede wszystkim w kontaktach z polską administracją publiczną. Pozwala składać podpis zaufany, ale nie należy utożsamiać go z podpisem kwalifikowanym. Zakres zastosowania i skutki prawne obu rozwiązań są różne.
Jak wygląda podpisywanie dokumentu w praktyce?
Z perspektywy użytkownika procedura jest prostsza niż proces kryptograficzny wykonywany w tle. Zwykle przebiega według kilku etapów:
- Wybierasz plik, na przykład dokument PDF, XML albo DOCX.
- Wskazujesz metodę podpisu, taką jak karta kryptograficzna, aplikacja mobilna, usługa chmurowa albo profil zaufany.
- Potwierdzasz operację, na przykład kodem PIN, kodem jednorazowym lub autoryzacją w aplikacji.
- Otrzymujesz podpisany plik albo plik z dołączonym podpisem, który możesz przekazać odbiorcy.
W usłudze podpis.gov.pl można podpisywać i sprawdzać dokumenty między innymi podpisem zaufanym, osobistym z e-dowodu lub kwalifikowanym. Dostępne formaty i limity zależą od usługi. Według przekazanych informacji platforma obsługuje do 5 plików o łącznym rozmiarze do 25 MB. Samo podpisanie dokumentu nie oznacza jeszcze jego wysłania do urzędu. Złożenie dokumentu wymaga wykonania osobnej czynności w odpowiednim systemie.
Co gwarantuje podpis elektroniczny?
Pierwszą podstawową cechą jest integralność dokumentu. Podpis pozwala wykryć zmianę treści po jego złożeniu. Nie oznacza to, że pliku nie da się technicznie edytować. Oznacza natomiast, że po edycji weryfikacja nie potwierdzi już zgodności dokumentu z podpisem.
Drugą cechą jest możliwość powiązania podpisu z konkretną osobą. W przypadku podpisu kwalifikowanego służy do tego certyfikat wydany po weryfikacji tożsamości. Z tym wiąże się pojęcie niezaprzeczalności, choć jego zakres zawsze ocenia się w kontekście konkretnego postępowania i dowodów.
Znacznik czasu pomaga ustalić moment złożenia podpisu. Walidator może także sprawdzić, czy certyfikat był ważny, czy nie wygasł oraz czy nie został unieważniony. Dlatego podpis elektroniczny jest czymś więcej niż widocznym symbolem na stronie dokumentu – jego działanie opiera się na powiązaniu treści, tożsamości i danych kryptograficznych.
Najkrócej mówiąc, odpowiedź na pytanie „podpis elektroniczny – jak działa?” brzmi: system tworzy cyfrowy odcisk dokumentu, zabezpiecza go danymi podpisującego, a następnie umożliwia odbiorcy sprawdzenie autentyczności i niezmienności pliku.
