Podpis elektroniczny – cz. I

Jak to działa?
Podpisywanie wiadomości
Klucz publiczny i prywatny stanowią nierozerwalną parę. Przesyłki podpisane za pomocą Twojego klucza prywatnego otrzymują specjalny kod ? tzw. ?sumę kontrolną?, którą można odczytać tylko za pomocą Twojego klucza publicznego. Suma ta składa się z dwóch elementów: części wygenerowanej na podstawie zawartości przesyłki oraz części wygenerowanej przez Twój klucz prywatny. Po dodaniu stanowią one podpis elektroniczny konkretnego listu lub pliku.
Po otrzymaniu podpisanej przesyłki program adresata porównuje ją z Twoim kluczem publicznym (który przekazano wcześniej i zweryfikowano) ? jeśli suma kontrolna się zgadza, oznacza to, że list podpisano Twoim kluczem prywatnym oraz nie zmieniono jego zawartości po podpisaniu.

Szyfrowanie wiadomości
Z kolei szyfrowanie przesyłek odbywa się za pomocą klucza publicznego drugiej osoby. Jeśli chcesz wysłać do kogoś zaszyfrowaną przesyłkę, musisz posiadać klucz publiczny tej osoby. Jeśli ?zamkniesz? treść za pomocą klucza publicznego, ?otworzy? ją tylko klucz prywatny ? i to dopiero po podaniu hasła wygenerowanego razem z kluczem. Dla osoby postronnej zaszyfrowana przesyłka będzie tylko bezsensownym ciągiem znaków.

Podpisywanie kluczy
Procedurę podpisywania kluczy można porównać do poręczenia własnym nazwiskiem za drugą osobę (lub w tym przypadku jej klucz publiczny). Każdemu z kluczy, które otrzymasz od innych, możesz nadać określony ?poziom zaufania?. Jeśli jesteś pewien, że konkretny klucz należy np. do Jana Kowalskiego (bo otrzymałeś go od niego osobiście, a potem zweryfikowaliście telefonicznie odciski), nadajesz mu najwyższy poziom zaufania. Oznacza to, że klucz jest dokładnie sprawdzony i ?pewny?. Jeśli otrzymujesz mailem klucz od kontrahenta X, którego wcześniej nie znałeś, a do weryfikacji masz tylko telefon podany w tym mailu (nie możesz go znaleźć np. w Panoramie Firm) ? nadajesz mu stosunkowo niski poziom zaufania (możesz go potem zmienić).
Teraz trochę skomplikowana część ;-) Wyobraź sobie, że do Twojego zespołu dołącza nowy pracownik. Możesz dać mu wszystkie klucze publiczne, jakie posiadasz razem ze swoim. Jeśli pracownik nada Twojemu kluczowi najwyższe zaufanie, również klucze ?poręczone? przez Ciebie będą miały najwyższe zaufanie ? klucz Jana Kowalskiego nie będzie wymagał dodatkowej weryfikacji. Z drugiej strony pracownik może znać np. kontrahenta X i ?poręczyć? za jego klucz.
Podpisane przez Ciebie klucze publiczne możesz też przekazać na wspólny serwer kluczy. Dzięki temu ludzie, którzy mają do Ciebie zaufanie nie będą mogli korzystać z Twoich zweryfikowanych kluczy i vice versa ? klucze podpisane przez Twoich ?zaufanych? będą miały wysoki poziom zaufania u Ciebie. Taka wymiana nazywa się ?tworzeniem sieci zaufania?.

Istnieje jeszcze inny model ?sieci zaufania? ? taki, który zakłada istnienie centralnej bazy ?zaufanych? certyfikatów. Instytucja specjalnie do tego celu powołana ?poświadcza? za trzymane u siebie certyfikaty, biorąc jednocześnie odpowiedzialność za straty finansowe wynikłe z użycia poświadczonego przez nich certyfikatu. Zwykle jednak korzystanie z usług takiej instytucji jest płatne. Jeśli więc bardziej cenisz sobie wygodę (nie trzeba weryfikować pobranego certyfikatu), bezpieczeństwo (skutki błędnej weryfikacji bierze na siebie ktoś inny) i jesteś gotów za to płacić, możesz skorzystać z tego modelu.

W następnym odcinku: instalacja i konfiguracja GPG w różnych systemach i programach pocztowych.

Strony: 1 2