Velké množství komunikace dnes probíhá v elektronické formě. To má mnohé výhody. Je to pohodlné a uspoříte čas. Elektronická komunikace má ale i své nevýhody. Mezi ně patří i problém ověřit identitu protistrany.
V reálném světě máme několik možností, jak svoji identitu doložit. Mezi ty nejběžnější patří občanský průkaz a vlastnoruční podpis. Tyto metody jsou ale pro komunikaci po Internetu nevhodné. Jako náhradu máme takzvaný elektronický podpis.
Elektronický podpis využijete:

• při elektronickém podání daňového přiznání, u přiznání DPH, při podepisování faktur,
  
• u přihlášky a odhlášky k nemocenskému pojištění, při žádosti o sociální dávky,
  
• při elektronické komunikaci se státní správou, s krajskými a městskými úřady a zdravotními pojišťovnami, Českou správou sociální zabezpečení,
  
• podávání žádostí o dotace EU,
  
• použití datové schránky,
  
• jako elektronický podpis PDF dokumentů.
  

Funkce elektronického podpisu

Elektronický podpis zajišťuje několik různých věcí. První z těch důležitějších je zajištění integrity dokumentu. Pokud dostanete elektronicky podepsaný dokument, lze ověřit, že od jeho podpisu nebyl změněn. Pokud změněn byl, dozvíte se to a můžete podniknout odpovídající kroky (například mu nevěřit, podobně jako se smlouvou, ve které jsou některé pasáže opravené propiskou).
Elektronický podpis je unikátní. Pouze vy dokážete dokument podepsat vaším podpisem. U běžného podpisu toto zajišťuje unikátnost písma. Za elektronickým podpisem v tomto stojí kryptografie.
Elektronický podpis lze použít i k tomu, aby příjemce dokázal ověřit, že odesílatel je opravdu tím, za koho se vydává. To se na první pohled zdá stejné jako minulá funkce, ale není. Můžete se pokaždé vlastoručně podepsat jako Jan Novák a příjemce může ověřit, že jste stále tatáž osoba (máte stejný podpis), ale Jana Nováka to z vás neudělá. V reálném světě máme pro ověření identity občanské průkazy vydávané státní mocí.

Jak funguje elektronický podpis

Elektronický podpis je kousek binárních dat, který lze připojit k dokumentu (například PDF dokumentu, e-mailu nebo požadavku v internetovém bankovnictví). Nemá žádný speciální smysl, jen musí určitým způsobem odpovídat podepisující entitě a obsahu dokumentu.
K vytvoření podpisu potřebujete podpisový klíč. Ten má dvě části ‒ soukromou a veřejnou. Ty lze vytvořit zároveň, ale jedna z druhé nelze spočítat (jedině zkoušením všech možností, kterých je pro útok příliš).

• Pomocí soukromé části a dokumentu lze spočítat ona binární data.
  
• Pomocí veřejné části dokumentu lze zkontrolovat, že se jedná o stejný dokument, jaký byl podepsán, a že ona binární data byla vytvořena pomocí odpovídající soukromé části.
  

Pokud tedy dokážete udržet soukromou část v tajnosti a příjemci dáte vaši veřejnou část, máte splněné první dvě funkce, tedy integritu a unikátnost.
Třetí funkce je po technické stránce také jednoduchá, avšak v praxi mírně problematická. V reálném světě máme k ověření identity občanský průkaz vydaný státní mocí. Obdoba vydavatele občanských průkazů pro podpisové klíče je certifikační autorita.
Certifikační autorita je entita, které všichni věří a znají její veřejnou část klíče. Tato certifikační autorita může vytvářet dokumenty, které obsahují jak veřejnou část něčího klíče, tak jeho identifikační údaje (jako jméno). Takový dokument – certifikát – po vytvoření podepíše a předá majiteli.
Příjemce s certifikátem může ověřit, že podepisující má odpovídající soukromý klíč a že autorita ručí za to, že se jmenuje tak, jak nám tvrdí.
Takový certifikát nemusí mít samozřejmě jen osoba. Mnoho webových serverů má svůj certifikát. Prohlížeč při přístupu na zabezpečené stránky (například internetové bankovnictví) zkontroluje, že server je ten, za který se vydává. A případně upozorní, pokud něco není v pořádku ‒ když například nevěří té certifikační autoritě, kterou byl certifikát podepsán.

Jak získat certifikát

Pokud si chcete pořídit klíč a certifikát, záleží k čemu jej chcete používat. Vnitrofiremní komunikaci lze podepisovat certifikáty vydanými vedením firmy. Banky často vydávají certifikáty svým klientům, aby s nimi mohly bezpečně komunikovat. Pokud chcete mít certifikát pro běžné používání, musíte si najít nějakou obecně uznávanou autoritu. Pro komunikaci s úřady potřebujete kvalifikovaný certifikát, které u nás vydávají tyto cerfitikační autority:

• První certifikační autorita (I.CA)
  
• PostSignum (Česká pošta)
  
• eIdentity
  

Poté, co vyberete certifikační autoritu a pročtete si jejich podmínky a jiné dokumenty, vyplníte žádost o podpis elektronicky a vygenerujete si obě poloviny klíče.
Následně se dostavíte na kontaktní místo, aby autorita ověřila totožnost a pravdivost vašich údajů. K tomu existuje mnoho programů. Většina autorit některý doporučí nebo přímo poskytne. Výsledkem tohoto procesu jsou dvě věci:

• soubor se soukromým klíčem,
  
• soubor s požadavkem. Požadavek je jen veřejná polovina klíče, jméno a další identifikační údaje, vše podepsané tou soukromou polovinou.
  

Tento požadavek donesete společně s dvěma doklady totožnosti, ID vygenerované žádosti o certifikát a administrativním poplatkem na pobočku autority, která vám vytvoří certifikát.
Nakonec certifikát nainstalujete do aplikace, v níž jste vygenerovali klíče, nebo do programu, ve kterém chcete generovat podpisy (například e-mailový klient). A můžete začít podepisovat dokumenty.

Obnova certifikátu

Platnost vydaného certifikátu je 365 dní a po uplynutí platnosti nedochází k automatické obnově. Je tedy potřeba certifikát obnovit.

Bezpečnost

Samozřejmě je na místě se ptát, jak je tento způsob bezpečný. Přímé kryptografické útoky nejsou známy (například není znám jiný způsob zjištění soukromého klíče z veřejného, než vyzkoušet všechny možné soukromé klíče, což by dnešním počítačům zabralo čas v řádech tisíců až milionů let). To je rozhodně lepší, než u klasického podpisu, věrohodně napodobit něčí podpis je snazší.
Ale jsou jiné metody napadení. Pokud se útočníkovi podaří získat něčí soukromý klíč, může se bez problémů vydávat za držitele klíče. Proto je velmi důležité zacházet s ním opatrně ‒ nepůjčovat nikomu flash disk, na kterém je klíč uložený, nikdy jej nepoužívat na neznámém počítači a podobně.
Soukromý klíč je obvykle chráněn heslem, ale tato ochrana je jen tak silná, jak silné je vaše heslo. V případě podezření, že se ke klíči mohl někdo dostat (například když notebook s uloženým klíčem byl ukraden), je třeba neprodleně informovat certifikační autoritu, která jej přidá na seznam zakázaných certifikátů.
Druhou možnost, kterou útočník může zkusit, je přesvědčit certifikační autoritu k vystavení certifikátu na cizí jméno. Toto by nemělo být jednoduché (zvláště u kvalifikovaných certifikačních autorit), ale s falešným občanským průkazem by to pravděpodobně šlo. Jenže pokud někdo má občanský průkaz na vaše jméno, už se za vás může vydávat tak jako tak a mnoho zfalšovaným podpisem nezíská.

Alternativní přístupy

Entita, které věří úplně všichni, je poněkud problematická věc a obvykle nevzniká přirozeně (lze vytvořit například zákonem a všichni jí budou věřit prostě z povinnosti). Proto existují i jiné přístupy.
Kupříkladu systém PGP umožňuje mít veřejný klíč podepsaný více klíči než jedním soukromým. Každý se za vás může zaručit tím, že vám podepíše váš klíč ‒ tím říká, že věří, že jste to vy. Pokud vám někdo bude tvrdit, že se jmenuje Franta a pět vašich známých vám to svými podpisy potvrdí, pak mu to můžete docela dobře věřit. Pokud to potvrzují jen dva vám neznámí lidé, je to již méně důvěryhodné.

Doporučená videa Jak na Internet:
Serverové certifikáty
Datové schránky
eGovernment
Osobní vizitka
Šifrování

Další zajímavé články a zdroje:
Elektronický podpis, Wikipedie
Elektronický podpis nebo datová schránka?, Lukáš Prnka (Frank Bold)
Postup pro získání certifikátu na pobočce České pošty, PostSignum