Projekt: Rozporządzenie MSWiA w sprawie struktury i sposobu sporządzania pism w formie dokumentów elektronicznych oraz warunków organizacyjno-technicznych ich doręczania (wystawione w marcu 2006) zawiera taki punkt: Identyfikacja pod wskazanym adresem elektronicznym następuje poprzez podanie kodu dostępu, którym może być w szczególności indywidualny identyfikator lub hasło albo kombinacja obydwu tych identyfikatorów, wydany przez organ administracji publicznej, lub za pomocą bezpiecznego podpisu elektronicznego i związanego z nim certyfikatu kwalifikowanego odbiorcy pisma. (§4, ustęp 2)
<h2>Problem</h2> <ul><li> Certyfikatu kwalifikowanego z bitem niezaprzeczalności nie wolno wykorzystywać do logowania do systemu informatycznego. </li><li> Logowanie do systemu przy pomocy challenge-response jest szczególnym przypadkiem zastosowania matematycznej operacji podpisu elektronicznego do podpisania wygenerowanej przez system liczby losowej (nonce), co służy serwerowi do potwierdzenia, że klient posiada uprawniony klucz prywatny. Ale operacja ta nie ma nic wspólnego z podpisem elektronicznym ("dane logicznie powiązane z danymi podpisywanymi") w sensie prawnym, a tym bardziej z niezaprzeczalnością. </li><li> Do tej operacji właściwe jest keyUsage ustawione na digitalSignature, a nie nonRepudiation. Obszerniejsze uzasadnienie można znaleźć w CWA 14365 (pkt 6.4). </li><li> Ponieważ zgodnie z obecną polską ustawą nie wolno, a nawet w razie ewentualnych nowelizacji nie powinno się łączyć bitu nonRepudiation z bitem digitalSignature (patrz Europejski_profil_certyfikatu_X.509), więc zastosowanie tutaj certyfikatu kwalifikowanego jest niewłaściwe. </li></ul> <div class="editsection" style="float: right; margin-left: 5px">[edit]</div><h2>Rozwiązanie</h2> <p>Właściwe rozwiązanie powinno wykorzystywać certyfikat kwalifikowany do inicjalizacji konta, a do logowania wykorzystywać albo istniejący certyfikat niekwalifikowany z digitalSignature albo nowy, wygenerowany przez system. Procedura byłaby tu następująca: </p> <ol><li> Klient wypełnia formularz zawierający jego dane i wyrażający chęć uzyskania dostępu do systemu. Formularz powinien być podpisany certyfikatem kwalifikowanym z niezaprzeczalnością w celu potwierdzenia chęci autora zarejestrowania się w systemie i może być nim podpisany, bo klient wie czego chce i co podpisuje. Klient może wskazać w formularzu numer seryjny już posiadanego certyfikatu niekwalifikowanego z digitalSignature lub poprosić o nowy. </li><li> System przyjmuje podpisany formularz i rejestruje wskazany certyfikat lub generuje nowy dla klienta. </li><li> Do logowania się do systemu klient wykorzystuje certyfikat niekwaflikowany z bitem digitalSignature, co jest zgodne z ideą mechanizmu logowania i przeznaczeniem tego bitu. </li></ol> <p>W obecnej sytuacji prawnej być może dałoby się wykorzystać do tego celu certyfikaty klucza infrastruktury, które są już osadzone prawnie w Rozporządzeniu o warunkach technicznych. Do sprawdzenia, bo wydaje mi się że są one zarezerwowane dla centrów certyfikacji. Jeden z polskich banków (Nordea), który wdrożył system logowania przy pomocy podpisu elektronicznego obszedł ten problem w ten sposób, że użytkownik podczas logowania składa odpowiednik oświadczenia tak, chcę się zalogować do systemu banku (informacja od klienta banku). </p>