PKI

Čo to znamená

PKI, infraštruktúra verejných kľúčov, je systém certifikačných autorít, certifikátov a kľúčov, ktorý umožňuje overiť, komu patrí určitý verejný kľúč. Každý používateľ má pár kľúčov: súkromný si chráni sám, verejný je súčasťou certifikátu, ktorý jeho totožnosť potvrdzuje dôveryhodná autorita.

Na PKI stojí HTTPS na weboch, elektronický podpis, šifrovaný e-mail aj certifikáty na eID karte. Prehliadač alebo program dôveruje certifikátu preto, že je podpísaný autoritou zo zoznamu dôveryhodných, a tá svojím podpisom ručí za overenie držiteľa.

V EÚ dáva PKI právny rámec nariadenie eIDAS. Kvalifikovaní poskytovatelia dôveryhodných služieb vydávajú certifikáty, s ktorými má kvalifikovaný elektronický podpis rovnaké účinky ako vlastnoručný podpis vo všetkých členských štátoch.

Ako to funguje v praxi

Podnikateľ sa s PKI stretáva pri podpisovaní podaní štátu, zmlúv a účtovných dokumentov, pri prihlasovaní do elektronických služieb a pri prevádzke webu. Certifikáty majú obmedzenú platnosť, preto treba sledovať ich expiráciu a obnovovať ich včas, inak prestane fungovať podpis alebo web.

Pre web stačí bežný SSL certifikát, často aj bezplatný a automaticky obnovovaný. Pre podpis zmlúv a podaní je potrebný kvalifikovaný certifikát na čipovej karte alebo v diaľkovom podpisovom zariadení. Rozdiel je v miere overenia totožnosti a v právnych účinkoch.

Väčšie firmy prevádzkujú vlastnú internú PKI na overovanie zariadení vo firemnej sieti, VPN alebo podpisovanie interných dokumentov. Správa súkromných kľúčov certifikačnej autority je vtedy kritická; patrí do režimu privilegovaného prístupu a pravidelného auditu.

Na čo si dať pozor

Celá bezpečnosť PKI stojí na ochrane súkromného kľúča. Ak sa kľúč dostane do cudzích rúk, napríklad zo zle chráneného počítača, útočník môže podpisovať v mene držiteľa. Kompromitovaný certifikát treba okamžite zrušiť u vydavateľa.

Pri archivácii elektronicky podpísaných dokumentov treba myslieť na to, že certifikáty časom expirujú a algoritmy starnú. Pre dlhodobú preukázateľnosť sa používajú časové pečiatky a služby dlhodobej archivácie, aby bolo možné podpis overiť aj o desať rokov.