Digitální certifikát

Aplikace, která využívá certifikáty, obvykle nabízí mechanismus, pomocí kterého je certifikát automaticky ověřen a uživatel má možnost ověření zkontrolovat. Celý mechanismus ověření se skládá z těchto kroků:

• elektronické ověření pomocí software:
  • platnost certifikátu (viz níže revokační systémy)
  • kontrola elektronického podpisu (viz Asymetrická kryptografie)
• kontrola prováděná člověkem:
  • položky certifikátu s identifikací majitele a certifikační autority
  • postup přenosu důvěry (typicky na kořenovou certifikační autoritu, jejíž certifikát máme v úložišti)

Každý certifikát má omezenou platnost, kterou určuje jeho majitel a certifikační autorita. Běžné certifikáty jsou nejčastěji vydávány na jeden rok, aby byla omezena zneužitelnost certifikátu (prozrazení heslové fráze chránící privátní klíč, ztráta privátního klíče, oslabení použitého algoritmu digitálního podpisu a podobně).

Před rokem 2012 neexistovalo pravidlo omezující maximální dobu platnosti certifikátu, bylo možné vydávat certikáty např. s platností 10 let.[4] V roce 2012 bylo přijato pravidlo pro certikační autority omezující platnost na 60 měsíců.[4] V roce 2014 certifikační autorita SSLmate přestala vydávat certifikáty s platností delší než jeden rok.[5] V roce 2015 byla platnost certifikátu zkrácena na 39 měsíců.[4] V únoru 2017 byl podán návrh na omezení platnosti certifikátů na 398 dnů, ale s návrhem souhlasila pouze jedna certifikační autorita z 25 hlasujících certifikačních autorit.[4] V březnu 2017 byl podán návrh na zkrácení platnosti certifikátů na 825 dnů, který byl přijat; návrh vstoupil v platnost 1. března 2018.[4]

Od dubna 2018 je pro platnost certifikátu do logu Certification Transparency a musí být alespoň ve třech různých databázích od tří různých organizací.[4]

V roce 2019 byl opět předložen návrh na zkrácení doby platnosti certifikátu, tentokrát na 397 dní.[5] Návrh opět nebyl přijat, ovšem tentokrát na rozdíl od předchozího nepřijatého hlasování, byla pro zkrácení doby platnosti certifikátu třetina certifikačních autorit.[5] I přes nepřijetí návrhu certifikační autorita Logius PKIoverheid oznámila, že od 1. listopadu 2019 už dobrovolně přestane vydávat certifikáty s platností delší než 397 dní.[5]

Revokační systémy umožňují zneplatnit certifikát před vypršením jeho deklarované platnosti. Revokace může být provedena na žádost majitele certifikátu nebo samotnou certifikační autoritou (např. pokud majitel nedodrží podmínky vážící se na vydaný certifikát). Využít lze jednu ze dvou metod:

1. Přímý online dotaz na aktuální stav certifikátu u certifikační autority, která certifikát vydala. Používá se protokol OCSP (OnLine Certificate Status Protocol), který však zatím české certifikační autority nepodporují.[6]
2. Pomocí seznamu zneplatněných certifikátů CRL (Certificate Revocation List), kde je uvedeno sériové číslo certifikátu, datum zneplatnění a většinou i důvod. Seznam je uchováván ve více podobách (v čitelné i strojové).

Kvalitu certifikátu určuje několik ohledů:

1. důvěryhodnost certifikační autority, která certifikát vydala
2. kvalita použitých kryptografických algoritmů
3. transparentnost softwarového procesu ověření certifikátu (jeho ověřitelnost člověkem)
4. chování uživatele, který certifikát ověřuje

Současná asymetrická kryptografie, která je pro certifikáty využívána, je založena na složitosti postupu, který by umožnil zneužití certifikátu (např. modifikaci obsažených údajů s tím, že je neodhalí přiložený elektronický podpis). S rostoucím výpočetním výkonem však odolnost použitých algoritmů klesá, takže je nutné používat stále silnější metody (proto je omezena platnost certifikátu, jak je zmíněno výše).

Nejslabším místem ověření certifikátu je uživatel, který software obsluhuje. Neškolená obsluha může do úložiště vložit falešný kořenový certifikát, takže snadno může dojít k úplnému znehodnocení principu přenosu důvěry. Proto by měla být obsluha dostatečně proškolena.

V České republice je zákonem definován tzv. kvalifikovaný certifikát, který může vydat pouze akreditovaná kvalifikovaná certifikační autorita řídící se Zákonem o elektronickém podpisu (zákon č. 227/2000 Sb.[7]) a je také standardizován v rámci Evropské unie (Směrnice Evropského parlamentu a Rady 1999/93/ES)[8]. Kvalifikovanému certifikátu se v České republice často říká elektronický podpis. To proto, že nahrazuje klasický ověřený podpis a jednoznačně tak prokazuje totožnost dané osoby. Je určen primárně k identifikaci uživatele a je nutné chápat jej jako podpis, tj. projev vůle vztahující se ke konkrétním datům.

Jde o standardní digitální certifikát, který je však výše zmíněným zákonem uznáván v rámci komunikace se státními institucemi České republiky. Kvalifikovaný certifikát je ze zákona akceptován stejně jako občanský průkaz, avšak možnost využití kvalifikovaného certifikátu je omezena na vyjmenované případy[9]:

• komunikace elektronickou cestou se státní správou pomocí emailu
• pro ověřování elektronických podpisů
• pro bezpečné ověřování elektronických podpisů
• zajištění neodmítnutelnosti odpovědnosti

Kvalifikované certifikáty lze tedy s výhodou použít především pro komunikaci se soudy, Celní správou, Českou správou sociálního zabezpečení nebo třeba při komunikaci s některými zdravotními pojišťovnami. Kvalifikovaný osobní certifikát je naprosto nezbytný při odesílání zpráv z datové schránky u společností s více jednateli nebo ze schránek orgánů veřejné moci.

Kvalifikované certifikáty jsou multiplatformní. Lze je používat prakticky v libovolné aplikaci a v libovolném operačním systému. Pro bezpečné uložení certifikátu lze použít téměř jakoukoliv čipovou kartu nebo malý USB token, který lze zabezpečit PIN kódem. Bez PINu se k certifikátům nikdo nedostane takže jej člověk může nosit stále s sebou.

O kvalifikovaném certifikátu se dnes hodně mluví především v souvislosti s datovými schránkami. Kvalifikovaným certifikátem uživatelé datových schránek podepisují odesílané dokumenty. Měly by jím být opatřeny všechny dokumenty zasílané orgánům veřejné moci. Při komunikaci mezi soukromými subjekty se musí elektronickým podpisem opatřovat pouze ty dokumenty, u kterých to výslovně vyžaduje právní předpis, nebo za situace, kdy například stanovy právnické osoby určují, že k právním úkonům je třeba podpisu více statutárních zástupců společnosti[10].

Nejbezpečnější variantou uchovávání certifikátů je mikroprocesorová čipová karta. Kartu není možné zkopírovat. Veškeré šifrování a podepisování probíhá přímo na kartě, ve které je zabudován šifrovací mikroprocesor. Mikroprocesor je požádán o zpracování, to proběhne a karta pak vrátí výsledek.

V současné době existují tři kvalifikované certifikační autority, které mohou kvalifikovaný certifikát vydat:

• První certifikační autorita, a. s.
• Česká pošta, s. p.
• eIdentity a. s.

Ceny se u jednotlivých poskytovatelů liší a pohybují se mezi 400 – 500 Kč u kvalifikovaného osobního certifikátu a mezi 780 – 1100 Kč u kvalifikovaného systémového certifikátu. Platnost vydaného certifikátu bývá 12 měsíců, někdy však až 14.

Rozlišujeme dva typy, kvalifikovaný certifikát (tzv. osobní) a kvalifikovaný systémový certifikát (lze se setkat i s pojmem elektronická značka). Osobní kvalifikovaný certifikát identifikuje jednu konkrétní osobu. Systémový kvalifikovaný certifikát může používat nejen fyzická osoba, ale i právnická osoba nebo státní orgán. Lze jej přirovnat k razítku organizace. Může jej tedy využívat více osob nebo mohou být použity pro automatizované zpracování či hromadné odesílání ověřených dokumentů (např. v elektronických podatelnách pro potvrzování doručení podání). Typickými uživateli jsou elektronické podatelny, spisové služby nebo například rejstříky, které poskytují výstupy k dalšímu zpracování např. Katastrální úřad nebo Rejstřík trestů poskytující výpisy opatřené elektronickou značkou operátorům Czech POINT[10]. S použitím kvalifikovaného systémového certifikátu se počítá ve vazbě na specializované hardwarové zařízení, tzv. HSM moduly (Hardware Security Module)[11].

V ČR vydávají akreditované certifikační autority komerční certifikáty, které mohou být (na rozdíl od kvalifikovaného certifikátu) použity například pro ověření přístupu na webové stránky Datová schránka nebo Czech POINT.