Podpis cyfrowy

Podpis cyfrowy to kryptograficzne potwierdzenie autorstwa i integralności dokumentu.

Podpis cyfrowy – czym jest i do czego służy

Podpis cyfrowy jest technicznym sposobem potwierdzania, że określony dokument elektroniczny pochodzi od wskazanego nadawcy oraz że jego treść nie została zmieniona po podpisaniu. Działa podobnie do podpisu odręcznego w tym sensie, że pozwala przypisać dokument do konkretnej osoby lub organizacji, jednak opiera się na metodach kryptograficznych, a nie na porównywaniu kształtu pisma. Dzięki temu podpis może być sprawdzany przez program bez konieczności osobistego kontaktu z wystawcą dokumentu.

W praktyce podpis cyfrowy nie jest obrazkiem odręcznego podpisu wklejonym do pliku PDF. Skan podpisu może pełnić funkcję wizualną, ale sam w sobie nie zapewnia wiarygodnej kontroli autorstwa ani informacji o tym, czy dokument zmieniono po jego zapisaniu. Podpis cyfrowy jest powiązany z zawartością pliku i z kluczem kryptograficznym osoby podpisującej. Nawet drobna modyfikacja tekstu, tabeli, załącznika lub metadanych może spowodować, że weryfikacja przestanie być pozytywna.

Znaczenie podpisu cyfrowego zależy od zastosowanego rozwiązania, rodzaju certyfikatu i reguł obowiązujących w danym procesie. W obiegu dokumentów elektronicznych może służyć do zatwierdzania umów, deklaracji, formularzy, wniosków, korespondencji urzędowej, dokumentacji księgowej oraz plików wykorzystywanych w pracy zdalnej. Przed użyciem warto ustalić, jaki rodzaj podpisu jest akceptowany przez odbiorcę i czy wymagane jest dodatkowe uwierzytelnienie.

Podpis cyfrowy a certyfikat, klucz i zwykłe potwierdzenie

Podstawą działania podpisu cyfrowego jest para kluczy kryptograficznych. Klucz prywatny pozostaje pod kontrolą osoby podpisującej i służy do utworzenia podpisu. Klucz publiczny może być udostępniany innym podmiotom, aby umożliwić sprawdzenie podpisu. Oba klucze są ze sobą matematycznie powiązane, lecz odtworzenie klucza prywatnego na podstawie publicznego powinno być praktycznie niewykonalne przy prawidłowej konfiguracji systemu.

Certyfikat cyfrowy łączy klucz publiczny z tożsamością właściciela. Wydaje go zaufany podmiot, który przeprowadza określoną procedurę identyfikacji i potwierdza dane zawarte w certyfikacie. Podczas weryfikacji sprawdza się nie tylko zgodność podpisu z plikiem, lecz także ważność certyfikatu, jego przeznaczenie, łańcuch zaufania oraz ewentualne unieważnienie. Sam fakt, że program wyświetli komunikat o podpisie, nie zawsze oznacza pełną poprawność całego procesu.

Warto odróżnić podpis cyfrowy od kilku podobnych pojęć. Podpis elektroniczny jest określeniem szerszym i może obejmować różne sposoby wyrażenia akceptacji w środowisku cyfrowym. Podpis cyfrowy oznacza rozwiązanie oparte na kryptografii asymetrycznej. Z kolei kod jednorazowy, potwierdzenie wiadomości SMS, zaznaczenie pola wyboru albo wpisanie imienia w formularzu może wskazywać na zgodę użytkownika, lecz nie musi zapewniać takiej samej kontroli integralności dokumentu.

Inaczej działa także szyfrowanie. Szyfrowanie ma przede wszystkim ograniczyć dostęp do treści osobom nieuprawnionym. Podpis cyfrowy ma umożliwić sprawdzenie pochodzenia i nienaruszenia pliku. Obie funkcje mogą występować w jednym procesie, ale nie zastępują się wzajemnie. Zaszyfrowany dokument nie musi być podpisany, a podpisany dokument nie musi być zaszyfrowany.

Podpis cyfrowy – typowe problemy techniczne

Jednym z częstszych problemów jest komunikat o nieważnym lub niezweryfikowanym podpisie. Przyczyną może być wygaśnięcie certyfikatu, jego unieważnienie, brak odpowiedniego certyfikatu głównego w systemie albo nieprawidłowa data i godzina ustawiona na urządzeniu. Weryfikator może również zgłosić błąd, gdy dokument został zapisany w sposób zmieniający strukturę pliku po złożeniu podpisu.

Problemy pojawiają się także przy przenoszeniu certyfikatu między urządzeniami. Certyfikat może być zapisany na karcie kryptograficznej, tokenie USB, w magazynie systemowym albo w innym zabezpieczonym środowisku. Samo skopiowanie pliku certyfikatu nie zawsze wystarcza, ponieważ klucz prywatny może być chroniony przed eksportem. Potrzebne mogą być sterowniki, oprogramowanie dostawcy, biblioteki kryptograficzne oraz poprawnie działająca usługa systemowa.

Nie każdy program do odczytu dokumentów obsługuje wszystkie formaty podpisu. Inaczej może wyglądać podpis osadzony bezpośrednio w pliku PDF, a inaczej podpis zapisany w osobnym pliku z rozszerzeniem właściwym dla danego standardu. Znaczenie ma również sposób podpisania dokumentu: podpis może obejmować całość pliku, wskazaną część albo dokument wraz z załącznikami. Odbiorca powinien wiedzieć, czy otrzymał kompletny zestaw plików.

Do błędów przyczyniają się też zmiany wykonywane po podpisaniu. Edycja treści, obrót strony, dodanie komentarza, usunięcie załącznika, ponowny eksport do PDF lub użycie funkcji optymalizacji może naruszyć integralność dokumentu. Niektóre formaty pozwalają na dopisywanie kolejnych wersji, lecz nie oznacza to, że każda modyfikacja jest zgodna z wymaganiami odbiorcy. W przypadku sporu warto zachować oryginalny plik oraz informacje o wyniku weryfikacji.

Podpis cyfrowy – praktyczne wskazówki bezpiecznego użycia

Przed podpisaniem dokumentu należy sprawdzić jego treść, liczbę stron, obecność załączników oraz dane odbiorcy. Po utworzeniu podpisu dobrze jest przeprowadzić kontrolę w tym samym programie, w którym dokument będzie wysyłany. Jeżeli aplikacja zgłasza ostrzeżenie, nie powinno się go ignorować bez ustalenia przyczyny. Komunikat może dotyczyć zarówno samego certyfikatu, jak i braku zaufania do podmiotu, który go wydał.

Klucz prywatny powinien być chroniony hasłem, kodem PIN lub innym mechanizmem dostępu. Nie należy przekazywać go innym osobom ani przechowywać w łatwo dostępnym miejscu razem z hasłem. W razie podejrzenia utraty nośnika, ujawnienia kodu albo nieuprawnionego użycia certyfikatu potrzebne może być jego szybkie unieważnienie. Procedura zależy od wystawcy certyfikatu, dlatego warto znać dane kontaktowe oraz zasady zgłaszania incydentu.

System operacyjny, przeglądarka, aplikacja do podpisywania i sterowniki urządzeń powinny być aktualne. Przed instalacją należy pobierać oprogramowanie ze źródeł wskazanych przez wystawcę certyfikatu. Dobrą praktyką jest także utworzenie kopii dokumentu przed rozpoczęciem podpisywania i zachowanie wersji końcowej w bezpiecznej lokalizacji. Kopia nie powinna zastępować oryginału, jeżeli odbiorca wymaga konkretnego formatu albo określonego kontenera podpisu.

W środowisku domowym i biurowym trzeba zwracać uwagę na uprawnienia użytkowników. Program podpisujący nie powinien mieć szerszego dostępu, niż jest potrzebny do wykonania zadania. Podejrzane dodatki, nieznane sterowniki i pliki instalacyjne mogą przechwytywać dane logowania lub wpływać na działanie komponentów kryptograficznych. Przy nietypowym zachowaniu urządzenia, częstych błędach sterownika albo problemach z odczytem tokena warto przerwać pracę i zlecić sprawdzenie konfiguracji.

Podpis cyfrowy – kiedy zgłosić się do serwisu komputerowego

Do serwisu komputerowego można zgłosić się wtedy, gdy certyfikat jest prawidłowy, lecz program go nie wykrywa, urządzenie kryptograficzne nie pojawia się w systemie, sterownik powoduje błędy albo podpisywanie kończy się bez czytelnego komunikatu. Pomoc bywa przydatna również po zmianie systemu, wymianie komputera, aktualizacji aplikacji lub podłączeniu nowego czytnika. W ramach diagnostyki można sprawdzić stan systemu, zgodność sterowników, magazyn certyfikatów, ustawienia daty i czasu oraz współpracę programu z używanym nośnikiem.

W przypadku dokumentów urzędowych lub umów należy odróżnić problem techniczny od problemu formalnego. Serwis może pomóc przy konfiguracji urządzenia i oprogramowania, ale o tym, jaki podpis jest wymagany w danej procedurze, decyduje instytucja lub odbiorca dokumentu. Przed przekazaniem sprzętu do sprawdzenia warto przygotować opis błędu, nazwę aplikacji, rodzaj nośnika oraz informację, czy problem występuje przy jednym pliku, czy przy każdym dokumencie.

Wsparcie w takich przypadkach świadczy między innymi Warszawskie Pogotowie Komputerowe 24/7, gdzie można zlecić sprawdzenie komputera pod kątem problemów z oprogramowaniem, sterownikami i urządzeniami wykorzystywanymi przy podpisywaniu dokumentów. Przed rozpoczęciem pracy warto zabezpieczyć poufne pliki i nie przekazywać osobom postronnym hasła do klucza prywatnego. Dzięki temu diagnostyka może objąć konfigurację techniczną, bez niepotrzebnego ujawniania danych potrzebnych wyłącznie właścicielowi podpisu.