Wikipedia

Ero sivun ”Sähköinen allekirjoitus” versioiden välillä

Selaa historiaa interaktiivisesti
[katsottu versio][katsottu versio]
← Vanhempi muutosUudempi muutos →
Poistettu sisältö Lisätty sisältö
VisuaalinenWikiteksti
p →‎Kritiikki ja riskit: Salainen avain on salausavain.
p Sähköinen allekirjoitus on sekä yleisempi että Tieteen termipankin mukainen nimi.
Rivi 1:
{{lähteetön}}
'''DigitaalinenSähköinen allekirjoitus''' eli '''sähköinendigitaalinen allekirjoitus''' on sähköiseen viestiin tehty [[Julkisen avaimen salaus|julkiseen avaimeen perustuva]] allekirjoitus, joka varmentaa tietyn viestin sisällön ja allekirjoittajan henkilöllisyyden. Mikäli viestiä muutetaan, allekirjoitus paljastaa väärennöksen.
 
Jos viestiä on muutettu sen tallentamisen tai siirtämisen aikana tai joku yrittää esiintyä väärällä henkilöllisyydellä, matemaattinen allekirjoitus ei enää täsmää. Perinteisesti digitaalistasähköistä allekirjoitusta on käytetty [[sähköposti|sähköposteissa]] lähettäjän todentamiseen. Nykyisin digitaalisetsähköiset allekirjoitukset ovat laajassa käytössä Virossa jossa vakiintuneeksi allekirjoitustavaksi on muodostunut [[DigiDoc]]-tiedostomuoto jota käytetään [[qDigiDoc]]-sovelluksella tai Web-palvelussa selaimen pluginilla. DigitaalisenSähköisen allekirjoittamisen ratkaisuja tarjoavat Suomessakin monet yritykset.
 
Sähköinen allekirjoitus on tietoverkoissa tapahtuvan [[sähköinen asiointi|sähköisen asioinnin]] perusvaatimus, sillä se takaa kirjoittajan allekirjoituksen aitouden.
 
== Tekninen toteutus ==
[[File:Digital Signature diagram encryption, finnish translation..svg|right|300px|thumb|DigitaalisenSähköisen allekirjoituksen muodostamisen lohkokaavio.]]
 
Useat [[julkisen avaimen salaus|julkisen avaimen]] menetelmät soveltuvat myös digitaalistensähköisten allekirjoitusten luomiseen.
 
=== Allekirjoitusjärjestelmät ===
Rivi 16:
* '''X.509''' on telealan standardointijärjestön ITU-T:n kehittämä avainjärjestelmä. Käytössä tietoliikenneyhteyksissä kuten sähköpostin SMTP ja Webin HTTP-yhteyksissä. Perustuu luottosuhteisiin{{selvennä}} ja luotettuihin takaajiin.
 
[[File:Digital Signature diagram verification, finnish translation..svg|right|300px|thumb|DigitaalisenSähköisen allekirjoituksen varmistamisen lohkokaavio.]]
DigitaalisenSähköisen allekirjoituksen tehdessään allekirjoittaja laskee allekirjoitettavasta viestistä yksisuuntaisen funktion avulla tiivisteen, jonka hän salaa yksityisellä avaimellaan. Vastaanottaja laskee saamastaan viestistä myös tiivisteen ja vertaa sitä allekirjoittajan varmenteesta saadulla julkisella avaimella avaamaansa salattuun tiivisteeseen. Mikäli tiivisteet ovat samat, on viesti kulkenut ehyenä (muuttumattomana) ja sen on allekirjoittanut juuri se henkilö, joka varmenteessa mainitaan.
 
== Yrityksen digitaalisensähköisen allekirjoittamisen prosessi ==
Sähköinen allekirjoitusprosessi tarkoittaa, että yrityksen toimihenkilö lähettää asiakirjan allekirjoittajalle lisäämällä vastaanottajan nimen, sähköpostisoitteen sekä allekirjoitettavan PDF-tiedoston sähköisen allekirjoittamisen palveluun.
 
Rivi 27:
 
== Oikeudellinen asema ==
Suomessa säädettiin vuonna 1999 [[laki sähköisestä allekirjoituksesta]], jonka mukaan [[Euroopan unioni]]n [[laatuvarmenne|laatuvarmenteen]] kriteerit täyttävällä varmenteella tehty digitaalinensähköinen allekirjoitus on ''vähintään yhtä pätevä kuin perinteinenkin''{{lähde}}. Käytännössä tällä hetkellä ainoa vaatimukset täyttävä Suomessa saatavilla oleva varmenne on poliisin myöntämällä sirullisella [[Henkilökortti|henkilökortilla]].
 
Laki sähköisestä asioinnista antaa oikeudellisen suojan asioida, käydä kauppaa ja tarjota palveluita Internetissä. Jos tapahtuman yksi osapuoli myöhemmin yrittää kiistää tehneensä osuutensa tapahtumaan, on kaikella{{selvennä}} normaali lain suoja, joka on tarvittaessa ratkaistavissa tuomioistuimissa.
 
== Kritiikki ja riskit==
DigitaalisenSähköisen allekirjoitusjärjestelmän luotettavuutta epäillään laajasti. Osa kritiikistä on perusteltua ja sen riskit hallittavissa, osa on pelkkää tiedon puutetta ja perusteetonta epäluuloa. Järjestelmä vaatii toimiakseen [[Luotettava tietojenkäsittely|luotettavan tietojärjestelmän]], jonka tietoturvaa ei ole murrettu. Käyttäjän tietokoneella ei siis saa olla haittaohjelmaa, joka voisi salakuunnella käyttäjän salasanan tai PIN-koodin, kopioida [[Salausavain|salausavaimet]] ja jopa tehdä luvattomia allekirjoituksia henkilöllisyyden oikean omistajan nimissä.
 
'''Salausavainten kopiointi''' on yleensä estetty tallentamalla ne fyysiselle, elektroniselle [[sirukortti|sirukortille]] joissa suora pääsy avaimiin on yleensä estetty, jopa kortin oikealta omistajalta. Sallittua on vain kortilla tehtävät allekirjoitustapahtumat sitä varten tehtyä rajapintaa käyttäen. Koska kopiointi on estetty, ainoa tapa saada salausavaimet haltuunsa on päästä niihin käsiksi fyysisesti, joka ei ole tietoverkossa mahdollista.
Rivi 42:
'''Takaportti''' on järjestelmän eri osien valmistajien sisään rakentama heikkous jolla yksi tai useampi heistä voi murtaa allekirjoituksen tietoturvan ja luoda halutessaan väärennettyjä tapahtumia. Koko PKI-järjestelmän turvallisuus perustuu sen osien valmistajien ja varmenteiden takaajien luotettavuuteen. Jos tätä luottosuhdetta ei ole, luotettavan järjestelmän kriteeri ei täyty, eikä sitä voi korjata.
 
Ylläolevat riskit ovat teoriassa mahdollisia ja niitä vastaan voi suojautua mainituilla tavoilla. Käytännössä digitaalisensähköisen allekirjoituksen käyttöönotto on iso parannus nykyiseen, esimerkiksi pankkitunnuksilla (''OTP, one time password'') tapahtuviin tapahtumien varmentamiseen, missä ei nykyään käytetä mitään edellä mainittuja suojauksia vaan ne ovat käytännössä pelkkiä salasanoja. Kaikki mainitut riskit liittyvät myös niiden käyttöön. Pankkitunnusten kopioinnilla tehdyistä väärinkäytöksissä uhri ei ole yleensä ymmärtänyt joutuneensa petoksen kohteeksi. useimmatUseimmat pankkitunnuksilla tehdyt petokset olisivat jääneet tekemättä, jos olisi käytetty henkilökorttia.
 
== Katso myös ==
Noudettu kohteesta ”https://fi.wikipedia.org/wiki/Sähköinen_allekirjoitus”