Podpis cyfrowy
Podpis cyfrowy to technika kryptograficzna: ze skrótu dokumentu i klucza prywatnego podpisującego powstaje ciąg danych, który każdy sprawdzi kluczem publicznym z certyfikatu. To termin techniczny, a nie prawny - rozporządzenie eIDAS go nie używa i opisuje skutki podpisów niezależnie od technologii. Podpis zaawansowany i kwalifikowany to w praktyce zwykle właśnie podpisy cyfrowe.
Podpis cyfrowy - jak działa
Za podpisem cyfrowym stoi kryptografia asymetryczna, czyli para powiązanych kluczy. Klucz prywatny jest pod wyłączną kontrolą podpisującego - zapisany na karcie kryptograficznej, w telefonie albo na zabezpieczonym serwerze dostawcy (podpis w chmurze). Klucz publiczny jest zapisany w certyfikacie, który wydaje urząd certyfikacji i który potwierdza, do kogo klucz należy. Podpisanie pliku przebiega w trzech krokach:
- program liczy skrót dokumentu, czyli krótki „odcisk palca” pliku (np. algorytmem SHA-256),
- skrót jest podpisywany kluczem prywatnym (np. algorytmem RSA lub ECDSA),
- wynik razem z certyfikatem trafia do pliku albo do osobnego pliku podpisu.
Odbiorca sprawdza podpis kluczem publicznym. Jeśli po podpisaniu w dokumencie zmieniono choćby jeden znak, skrót się nie zgadza i weryfikacja kończy się błędem.
Podpis cyfrowy a e-podpis w eIDAS - różnica
To pojęcia z dwóch porządków. Podpis cyfrowy to termin techniczny - opisuje mechanizm, a nie skutek prawny. Rozporządzenie eIDAS go nie używa, bo jest neutralne technologicznie. Mówi o podpisie elektronicznym, który obejmuje nawet kliknięcie „akceptuję”, i dzieli go na trzy poziomy opisane na stronie rodzaje podpisu elektronicznego. Dla podpisu cyfrowego ważne jest jedno: podpis zaawansowany i kwalifikowany w praktyce najczęściej są podpisami cyfrowymi. Podpis prosty - wpisane nazwisko, kliknięcie czy podpis rysikiem na tablecie - zwykle nie jest podpisem cyfrowym, choć potocznie tak się go nazywa.
Czy każdy podpis cyfrowy jest kwalifikowany
Nie. Podpisem cyfrowym opatruje się też oprogramowanie, e-maile czy pliki PDF z certyfikatem wydanym przez firmowe centrum certyfikacji. Technicznie to ten sam mechanizm, ale prawnie taki podpis nie jest kwalifikowany. W Polsce działają też podpis osobisty z e-dowodu i podpis zaufany. Oba służą przede wszystkim w kontaktach z urzędami. Formę elektroniczną umowy, równoważną pisemnej, daje według Kodeksu cywilnego podpis kwalifikowany. Więcej o nim w artykule podpis kwalifikowany.
Podpis cyfrowy dokumentu w procesach firmy
W firmie podpis rzadko jest osobną czynnością. Umowę trzeba przygotować, zaakceptować, podpisać i zarchiwizować. e-MSI łączy te kroki w jednym procesie na platformie JobRouter®. Moduł JobRouter® Sign obsługuje podpis prosty, zaawansowany i kwalifikowany. Pozwala na podpisy kilku osób, kolejno lub równolegle, także partnerów bez konta w systemie. System zapisuje historię podpisu, a podpisany dokument trafia do archiwum lub do kolejnego etapu workflow. Szczegóły na stronie podpis elektroniczny w firmie.
Na co uważać przy podpisie cyfrowym dokumentu
- Skan odręcznego podpisu wklejony do PDF nie jest podpisem cyfrowym i łatwo go skopiować.
- Dobieraj poziom podpisu do dokumentu: akceptacja faktury to nie umowa o pracę.
- Certyfikat ma termin ważności. Do dokumentów przechowywanych latami stosuj znacznik czasu.
- Edycja podpisanego PDF, nawet dodanie strony, może sprawić, że wcześniejszy podpis nie przejdzie weryfikacji.
- Sprawdzaj podpis w narzędziu do walidacji, a nie po wyglądzie pieczątki na stronie.
Przykłady zastosowania
Główna księgowa podpisuje sprawozdanie finansowe spółki podpisem kwalifikowanym na karcie kryptograficznej, a system wylicza skrót pliku i dołącza certyfikat do podpisu.
Kurier zbiera podpis klienta rysikiem na tablecie przy odbiorze paczki. To prosty podpis elektroniczny, a nie podpis cyfrowy, choć potocznie często tak się go nazywa.
Kancelaria prawna otrzymuje umowę w PDF z podpisem kwalifikowanym kontrahenta i sprawdza ją w narzędziu do walidacji, zanim przekaże ją do rejestru umów.
Dział kadr wysyła nowemu pracownikowi umowę o pracę do podpisu kwalifikowanego, a system obiegu po złożeniu podpisu obu stron odkłada dokument do e-teczki.
Dział IT podpisuje cyfrowo wewnętrzną aplikację certyfikatem z firmowego centrum certyfikacji, żeby komputery pracowników mogły sprawdzić, że nikt jej nie podmienił.
Najczęstsze pytania
Co to jest podpis cyfrowy?
To podpis oparty na kryptografii asymetrycznej. Program liczy skrót dokumentu i podpisuje go kluczem prywatnym osoby podpisującej. Każdy może to sprawdzić kluczem publicznym zapisanym w certyfikacie. Podpis cyfrowy potwierdza, kto podpisał, i ujawnia każdą zmianę dokumentu dokonaną po podpisaniu.
Czym różni się podpis cyfrowy od elektronicznego?
Podpis elektroniczny to pojęcie prawne z rozporządzenia eIDAS. Obejmuje wszystko, od kliknięcia „akceptuję” po podpis kwalifikowany. Podpis cyfrowy to pojęcie techniczne, które opisuje mechanizm kryptograficzny. Podpis zaawansowany i kwalifikowany są zwykle podpisami cyfrowymi, a prosty podpis elektroniczny najczęściej nie.
Czy podpis cyfrowy jest ważny prawnie?
Tak, ale jego skutek zależy od poziomu. Według eIDAS podpisowi elektronicznemu nie można odmówić skutku prawnego tylko dlatego, że jest elektroniczny. Skutek równoważny podpisowi własnoręcznemu ma w całej UE podpis kwalifikowany. Inne podpisy cyfrowe są dowodem, którego wartość ocenia się w konkretnej sprawie.
Czy profil zaufany to podpis cyfrowy?
Nie w ścisłym sensie. Profil zaufany pozwala złożyć bezpłatny podpis zaufany, ale użytkownik nie ma własnego klucza ani certyfikatu - autentyczność i integralność podpisu zapewnia pieczęć elektroniczna ministra cyfryzacji. Portal gov.pl wskazuje go do spraw urzędowych, a nie do umów prywatnych. Do umów zawieranych w formie elektronicznej, równoważnej pisemnej, Kodeks cywilny wymaga podpisu kwalifikowanego.
Jak zrobić podpis cyfrowy?
Trzeba mieć certyfikat z kluczem prywatnym i program do podpisu. Osoba prywatna może bezpłatnie podpisać ograniczoną liczbę plików PDF miesięcznie w mObywatelu, mając mDowód, e-dowód i telefon z NFC. Ta usługa jest przeznaczona do spraw prywatnych. Do spraw firmowych używa się zwykle podpisu kwalifikowanego od dostawcy usług zaufania, na karcie kryptograficznej lub w chmurze.
Jak sprawdzić, czy PDF ma prawdziwy podpis cyfrowy?
Otwórz plik w czytniku PDF i sprawdź panel podpisów albo użyj narzędzia do walidacji podpisu. Prawdziwy podpis cyfrowy ma certyfikat, datę i status weryfikacji. Sam obrazek podpisu lub pieczątki na stronie niczego nie dowodzi, bo można go skopiować do dowolnego pliku.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
