Kažkada rašiau apie savo susikurtą elektroninį parašą, paremtą GnuPG technologija. Neseniai sulaukiau klausimo apie tai, kiek gali kainuoti toks elektroninis parašas, tad nusprendžiau parašyti apie elektroninį parašą detaliau.

Mano elektroninis parašas, kurį susikūriau, nieko nekainuoja. Tiesa, ir specialios aparatinės įrangos, padidinančios jo saugumą, aš nenaudoju, nors galėčiau – galėčiau raktą saugoti kortelėje (ir reikiamu momentu maktelėti kortelę į skaitytuvą), o ne kompiuteryje, kaip dabar.

Pagal Lietuvos Respublikos elektroninio parašo įstatymą toks parašas nėra patvirtintas „kvalifikuotu sertifikatu“. Tai nereiškia, kad jis negalioja, tačiau jo galiojimo ribos yra nustatomos asmenų tarpusavio sutarimu. Pvz., jei mes tarpusavyje susitariame, kad mūsų el. parašai galioja mūsų tarpusavio korespondencijoje, tai jie galioja.

Paprastas el. parašas veikia pasitikėjimo tinklo principu. Sakykime, gaunu laišką iš asmens C, kurio nepažįstu. Atsisiunčiu jo parašo informaciją, kurioje nurodoma, kas pasirašė jo parašą („išdavė jam sertifikatą“). Aptinku, kad jo parašą pasirašė asmuo B, kurio parašą pasirašė asmuo A, kurį aš pažįstu, ir kurio parašą esu pats pasirašęs. Jei pasitikiu A, ir tikiu, kad jis galėjo pasirašyti B parašą tik pasitikėdamas juo, tai išeina, kad „pasitikėjimo grandinė“ nusitiesia tarp manęs ir C, kurio akyse nesu matęs, ir jo parašu galiu pasitikėti.

Pasitikėjimo tinklas reiškia ir dar kai ką: asmuo, kuris yra už tavo pasitikėjimo tinklo ribų, gali būti visai kitas, nei dedasi. Pvz., užeikite į viešą elektroninio parašo serverio paiešką ir atlikite paiešką pagal frazę „Bill Gates“. Nemanau, kad nors vienas iš 30-ties Bilų Geitsų yra tikrasis Microsoft vadas.

Dabar įsivaizduokime, kad visų mūsų parašus pasirašo kokia nors įmonė, kuri prieš pasirašydama patikrina mūsų tapatybę ir sudaro su mumis sutartį, įpareigojančią mus saugoti savo parašą nuo nenaudėlių, pranešti apie jo praradimą, galimą jo duomenų vagystę ir pan. Tokiu atveju ji, ta įmonė, yra visų mūsų parašų garantas. Toks ir yra kvalifikuotus sertifikatus išduodančios įmonės principas.

Parašą su kvalifikuotu sertifikatu jau suteikia viena Lietuvos įmonė, tik žinoma parašai su kvalifikuotais sertifikatais irgi galioja tik tiek, kiek leidžia kitų techninės ir programinės galimybės, o taip pat – Jūsų partnerių pasirengimas naudoti el. parašą.

Atsakant mano skaitytojui į klausimą, kiek kainuotų el. parašo įdiegimas: ta įmonė, Skaitmeninio sertifikavimo centras (www.ssc.lt) ir gali jums papasakoti, kas ir už kiek. Štai tikslesnė nuoroda apie paslaugas valstybės sektoriaus įstaigoms. Tiesa, iš to, ką pas juos radau, nėra aišku, su kokia programine įranga veikia jų sprendimai. To užklausiau el. paštu, tikiuosi gauti atsakymą ir jį paviešinti 🙂

O jei elektroninio parašo tereikia siekiant užtikrinti, pvz., susirašinėjimo konfidencialumą (nes parašu laiškus galima ir pasirašyti, ir šifruoti), arba tai, kad į susirašinėjimą tarp dviejų pasitikinčių pusių niekas neįsiterpė (ką užtikrina nepažeistas parašas), užtenka tarpusavio pasitikėjimu patvirtintų parašų. Kaip mano 🙂

Išsiunčiau Skaitmeninio sertifikavimo centrui štai tokią užklausą:

Norėjau pasiteirauti, su kokia programine įranga veikia Jūsų išduodami skaitmeniniai sertifikatai elektroniniam parašui? Kokiai platformai (windows, MacOS, Linux?) ir konkrečioms programoms (MS Outlook, Thunderbird, Kmail?) jie skirti?

Ir štai kokį atsakymą gavau iš jų Pagalbos tarnybos:

Skaitmeninio sertifikavimo centrų (SSC) siūlomi skaitmeniniai sertifikatai atitinka RFC 3280 standartui ir visiems LR įstatymuose keliamiems reikalavimams (sic), todėl ir yra suderinami su bet kokia programinė įrangą (sic), turinčia S/MIME palaikymą ir atitinkančia minėtiems reikalavimams (sic).

Mūsų turimomis duomenimis visos Jūsų minėtos platformos bei taikomosios programos turi pilną S/MIME palaikymą ir puikiai veikia su SSC išduodamais sertifikatais.

Ką gi, tokiu atveju SSC sertifikatus gali naudoti visi.