ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ ΣΧΟΛΗ ΕΠΙΣΤΗΜΩΝ ΔΙΟΙΚΗΣΗΣ ΤΜΗΜΑ ΝΑΥΤΙΛΙΑΣ ΚΑΙ ΕΠΙΧΕΙΡΗΜΑΤΙΚΩΝ ΥΠΗΡΕΣΙΩΝ

ΠΑΝΕΠΙΣΤΗΜΙΟ ΑΙΓΑΙΟΥ ΣΧΟΛΗ ΕΠΙΣΤΗΜΩΝ ΔΙΟΙΚΗΣΗΣ ΤΜΗΜΑ ΝΑΥΤΙΛΙΑΣ ΚΑΙ ΕΠΙΧΕΙΡΗΜΑΤΙΚΩΝ ΥΠΗΡΕΣΙΩΝ ΨΗΦΙΑΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΑΣΦΑΛΕΙΑΣ ΣΤΗ ΝΑΥΤΙΛΙΑ, Η ΠΕΡΙΠΤΩΣΗ ΤΗΣ ΕΛΛΑΔAΣ Διπλωματική Εργασία για το Μεταπτυχιακό Πρόγραμμα «Ναυτιλία, Μεταφορές και Διεθνές Εμπόριο ΝΑ.Μ.Ε.» Πολίτση Ασπασία 14/09/2006 ΧΙΟΣ Πολίτση Ασπασία 1

ΨΗΦΙΑΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΑΣΦΑΛΕΙΑΣ ΣΤΗ ΝΑΥΤΙΛΙΑ, Η ΠΕΡΙΠΤΩΣΗ ΤΗΣ ΕΛΛΑΔAΣ 14/09/2006 Διπλωματική Εργασία για το Μεταπτυχιακό Πρόγραμμα «Ναυτιλία, Μεταφορές και Διεθνές Εμπόριο ΝΑ.Μ.Ε.» Τμήμα Ναυτιλίας και Επιχειρηματικών Υπηρεσιών Συγγραφέας: Πολίτση Ασπασία Επιβλέπων: κ. Νικήτας Νικητάκος Διευθυντής Σπουδών: ΧΙΟΣ 2

ΔΙΠΛΩΜΑΤΙΚΗ ΕΡΓΑΣΙΑ ΓΙΑ ΤΟ ΜΕΤΑΠΤΥΧΙΑΚΟ ΠΡΟΓΡΑΜΜΑ 1 ΔΙΠΛΩΜΑΤΙΚΗ ΕΡΓΑΣΙΑ ΓΙΑ ΤΟ ΜΕΤΑΠΤΥΧΙΑΚΟ ΠΡΟΓΡΑΜΜΑ 2 ΠΕΡΙΛΗΨΗ 5 ΕΙΣΑΓΩΓΗ 6 ΕΙΣΑΓΩΓΗ 6 1.1. ΠΛΗΡΟΦΟΡΙΑΚΑ ΣΥΣΤΗΜΑΤΑ 7 1.1.1.ΈΝΝΟΙΕΣ ΑΠΟ ΤΗ ΘΕΩΡΙΑ ΣΥΣΤΗμΑΤΩΝ 7 2.1.2 ΣΥΣΤΗμΑΤΑ ΑΝΘΡΩΠΙΝΗΣ ΔΡΑΣΤΗΡΙΟΤΗΤΑΣ 9 2.1.3 ΠΛΗΡΟΦΟΡΙΑΚΟ ΣΥΣΤΗμΑ 10 1.2. ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΑΚΩΝ ΣΥΣΤΗΜΑΤΩΝ 12 1.2.1 ΙΔΙΟΤΗΤΕΣ ΤΗΣ ΑΣΦΑΛΕΙΑΣ 13 1.2.2 ΠΑΡΑΓΟΝΤΕΣ ΑΠΑΙΤΗΣΗΣ ΑΣΦΑΛΕΙΑΣ 14 1.2.3 ΑΣΦΑΛΕΙΑ ΣΤΗΝ ΚΟΙΝΩΝΙΑ ΤΗΣ ΠΛΗΡΟΦΟΡΙΑΣ 15 ΚΕΦΑΛΑΙΟ 2 :ΚΡΥΠΤΟΓΡΑΦΙΑ ΒΑΣΙΚΕΣ ΕΝΝΟΙΕΣ 17 2.1. ΕΙΣΑΓΩΓΗ 17 2.2. ΚΡΥΠΤΟΓΡΑΦΙΑ 17 2.3. ΤΙ ΕΙΝΑΙ Η ΥΠΟΔΟΜΗ ΔΗΜΟΣΙΟΥ ΚΛΕΙΔΙΟΥ (ΥΔΚ) 18 2.3.1. ΕΙΣΑΓΩΓΗ 18 2.3.2. ΥΠΟΔΟΜΗ ΔΗΜΟΣΙΟΥ ΚΛΕΙΔΙΟΥ: ΟΡΙΣΜΟΙ ΚΑΙ ΧΑΡΑΚΤΗΡΙΣΤΙΚΑ 19 2.3.3. ΣΥΣΤΑΤΙΚΑ 20 2.3.4. ΛΕΙΤΟΥΡΓΙΕΣ 21 2.3.5. ΥΔΚ : ΔΥΝΑΜΕΙΣ ΚΑΙ ΑΔΥΝΑΜΙΕΣ 22 2.3.6. ΥΔΚ : ΜΙΑ ΜΙΚΡΟΟΙΚΟΝΟΜΙΚΗ ΑΝΑΛΥΣΗ 23 2.3.7. ΥΔΚ : ΜΑΚΡΟΟΙΚΟΝΟΜΙΚΗ ΑΝΑΛΥΣΗ 24 2.3.8. ΥΔΚ : ΜΕΛΕΤΗ ΠΕΡΙΠΤΩΣΗΣ 26 2.3.9. ΥΔΚ : ΜΕΛΛΟΝΤΙΚΕΣ ΕΠΙΠΤΩΣΕΙΣ 27 2.4. ΤΙ ΕΙΝΑΙ Η ΨΗΦΙΑΚΗ ΥΠΟΓΡΑΦΗ 29 2.4.1. ΕΙΣΑΓΩΓΗ 29 2.4.2. ΧΡΗΣΗ ΨΗΦΙΑΚΩΝ ΥΠΟΓΡΑΦΩΝ 32 2.4.3.ΔΗΜΙΟΥΡΓΙΑ ΚΑΙ ΕΠΑΛΗΘΕΥΣΗ ΨΗΦΙΑΚΗΣ ΥΠΟΓΡΑΦΗΣ 33 2.5. ΨΗΦΙΑΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ 36 2.5.1. ΤΙ ΕΙΝΑΙ ΤΑ ΨΗΦΙΑΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ 36 2.5.2. ΝΟΜΙΚΟ ΠΛΑΙΣΙΟ Ο ΡΟΛΟΣ ΤΗΣ ΕΕΤΤ 38 2.5.3. ΨΗΦΙΑΚΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ : ΕΙΝΑΙ Η ΣΗΜΑΝΤΙΚΟΤΗΤΑ ΤΟΥΣ ΥΠΟΤΙΜΗΜΕΝΗ ; 40 ΚΕΦΑΛΑΙΟ 3 : ΛΥΣΕΙΣ ΑΣΦΑΛΕΙΑΣ 46 3

3.1. ΥΠΟΔΟΜΗ ΔΗΜΟΣΙΩΝ ΚΛΕΙΔΙΩΝ 46 3.2. ΨΗΦΙΑΚΕΣ ΥΠΟΓΡΑΦΕΣ 47 3.3. ΠΙΣΤΟΠΟΙΗΣΗ ΤΑΥΤΟΤΗΤΑΣ 47 3.4. ΣΥΜΦΩΝΙΑ ΜΥΣΤΙΚΟΥ ΚΛΕΙΔΙΟΥ ΜΕΣΩ ΔΗΜΟΣΙΟΥ ΚΛΕΙΔΙΟΥ 48 3.5. ΠΙΣΤΟΠΟΙΗΤΙΚΑ 48 3.6. ΑΡΧΕΣ ΠΙΣΤΟΠΟΙΗΣΗΣ 49 ΚΕΦΑΛΑΙΟ 4 : ΕΜΠΙΣΤΟΣΥΝΗ & Ε.Τ.Ο. (ΕΜΠΙΣΤΕΣ ΤΡΙΤΕΣ ΟΝΤΟΤΗΤΕΣ ) 50 4.1. ΣΥΝΟΨΗ ΤΩΝ ΚΟΙΝΩΝ ΑΠΕΙΛΩΝ 50 4.2. Ο ΡΟΛΟΣ ΤΗΣ ΕΤΟ ΣΤΗΝ ΑΝΤΙμΕΤΩΠΙΣΗ ΤΩΝ ΑΠΕΙΛΩΝ 52 4.3. ΕμΠΙΣΤΟΣΥΝΗ 54 4.5. ΕμΠΙΣΤΟΣΥΝΗ ΚΑΙ ΚΟΙΝΩΝΙΑ ΤΗΣ ΠΛΗΡΟΦΟΡΙΑΣ 55 4.5. ΈΜΠΙΣΤΕΣ ΤΡΙΤΕΣ ΟΝΤΟΤΗΤΕΣ (ΕΤΟ) 56 4.6. ΕΤΟ ΣΥΣΤΑΤΙΚΑ 56 4.8. ΕμΠΙΣΤΟΣΥΝΗ ΚΑΙ ΕΤΟ 59 4.9. ΙΔΙΟΤΗΤΕΣ ΤΗΣ ΕμΠΙΣΤΟΣΥΝΗΣ 60 ΚΕΦΑΛΑΙΟ 5 : EUROCERT ΕΥΡΩΠΑΪΚΗ ΕΤΑΙΡΕΙΑ ΕΛΕΓΧΩΝ ΚΑΙ ΠΙΣΤΟΠΟΙΗΣΕΩΝ 63 5.1. ΕΙΣΑΓΩΓΗ 63 5.2. ΕΤΑΙΡΙΚΟ ΠΡΟΦΙΛ 63 5.2.1. ΤΑΥΤΟΤΗΤΑ ΤΟΥ ΦΟΡΕΑ 63 5.2.2. ΑΣΤΙΚΗ ΕΥΘΥΝΗ 64 5.3. ΕΓΚΡΙΣΕΙΣ ΔΙΑΠΙΣΤΕΥΣΕΙΣ 64 5.4. ΣΥΣΤΗΜΑΤΑ ΔΙΑΧΕΙΡΙΣΗΣ 65 ΒΙΒΛΙΟΓΡΑΦΙΑ 68 4

ΠΕΡΙΛΗΨΗ Στη σύγχρονη εποχή ζητήματα προστασίας δεδομένων και ασφάλειας ηλεκτρονικών συναλλαγών στο διαδίκτυο είναι υψίστης σημασίας. Γι αυτό το λόγο ο ρόλος των ψηφιακών πιστοποιητικών ασφαλείας είναι σημαντικός. Η παρούσα εργασία πραγματεύεται το θέμα της ασφάλειας διακίνησης πληροφοριών στο διαδίκτυο και πως αυτή μπορεί να επιτευχθεί με τη χρήση ψηφιακών πιστοποιητικών ασφαλείας. Στο πρώτο κεφάλαιο παρουσιάζονται αρχικά κάποιες βασικές έννοιες και ορολογίες που σχετίζονται με τα πληροφοριακά συστήματα, καθώς και με την ασφάλεια των πληροφοριακών συστημάτων και τις ιδιότητες αυτής. Στο δεύτερο κεφάλαιο μπαίνουμε πια και αναλύουμε θέματα που αφορούν την κρυπτογράφηση. Ορίζεται, αρχικά η έννοια της κρυπτογραφίας. Στη συνέχεια προσπαθούμε να κάνουμε γνωστή την έννοια της Υποδομής Δημοσίου κλειδιού, παρουσιάζοντας τις λειτουργίες της, τις δυνάμεις και αδυναμίες και τα συστατικά που την αποτελούν. Ακολουθεί μια μικρο και μακρο οικονομική ανάλυση της ΥΔΚ που θα βοηθήσει στην καλύτερη κατανόησή της. Παρουσιάζεται επίσης μια μελέτη περίπτωσης, μιας εταιρείας που κάνει χρήση της ΥΔΚ, καθώς και μια πρόβλεψη μελλοντικών επιπλοκών καθώς και πιθανών εμποδίων που θα συναντήσουν στο μέλλον οι χρήστες της ΥΔΚ. Στη συνέχεια του κεφαλαίου παρατίθεται η έννοια της ψηφιακής υπογραφής καθώς και η χρήση αλλά και η χρησιμότητά της. Τέλος το κεφάλαιο κλείνει με μια αναφορά στα ψηφιακά πιστοποιητικά και στην παρουσίαση μιας έρευνας για τη σημαντικότητά τους. Στο τρίτο κεφάλαιο βλέπουμε πώς όλα τα προαναφερθέντα (ψηφιακά πιστοποιητικά και υπογραφές και άλλα) μπορούν να χρησιμοποιηθούν από τις διάφορες εταιρείες, αλλά ακόμα κι από τους απλούς χρήστες, ως λύσεις ασφαλείας. Το τέταρτο κεφάλαιο πραγματεύεται την έννοια της Έμπιστης Τρίτης Οντότητας, το ρόλο της στην αντιμετώπιση των απειλών καθώς και το θέμα της εμπιστοσύνης. Τέλος στο πέμπτο κεφάλαιο, γίνεται γνωριμία με μια Ευρωπαϊκή εταιρεία ελέγχων και πιστοποιητικών. Λέξεις Κλειδιά : ψηφιακά πιστοποιητικά, ψηφιακές υπογραφές, κρυπτογραφία. 5

ΕΙΣΑΓΩΓΗ O 21 ος αιώνας χαρακτηρίζεται από την ραγδαία τεχνολογική ανάπτυξη σε όλους τους τομείς της κοινωνίας. Επιπλέον η διάχυση της πληροφορίας επιτυγχάνεται με ταχύτητες που στο παρελθόν δεν υφίστανται. Γι αυτό το λόγο η κοινωνία μας χαρακτηρίζεται ως «κοινωνία της πληροφορίας». Από τα μέσα μαζικής ενημέρωσης μέχρι και σύγχρονα μέσα επικοινωνίας όπως το διαδίκτυο, ο όγκος της πληροφορίας που ανταλλάσσεται είναι τεράστιος. Πληροφορίες όλων των ειδών, κοινές και προσωπικές, μικρής και μεγάλης σημασίας, όπως οικονομικά στοιχεία μεγάλων εταιριών, δεδομένα προσωπικών ταυτοτήτων καθώς επίσης και στρατιωτικά απόρρητα χωρών είναι μερικά από παραδείγματα δεδομένων που συναλλάσσονται. Είναι φανερό ότι η διακίνηση τέτοιου όγκου πληροφοριών πρέπει να διαχειριστεί με τέτοιο τρόπο έτσι ώστε να μην έχουμε προβλήματα στην επικοινωνία και παραβιάσεις. Θα πρέπει να λαμβάνονται κάποια μέτρα ασφαλείας και να ακολουθούνται κάποιοι κανόνες όταν ανταλλάσσουμε πληροφορίες στο διαδίκτυο. Αλλιώς ο καθένας θα μπορούσε να έχει πρόσβαση σε προσωπικά μας στοιχεία. Φανταστείτε για παράδειγμα το πλήθος των ανθρώπων που πραγματοποιούν τις τραπεζικές τους συναλλαγές ηλεκτρονικά. Πολλά δεδομένα σχετικά με τους λογαριασμούς τους εκτίθενται στο διαδίκτυο. Χωρίς ένα δίχτυ προστασίας, τέτοιες πληροφορίες αποτελούν τροφή για τους επιτήδειους απατεώνες. Επομένως θέματα ασφάλειας στις ηλεκτρονικές συναλλαγές είναι μεγάλης σημασίας. Η προστασία ευαίσθητων δεδομένων και συναλλαγών στο διαδίκτυο πραγματοποιείται με τη βοήθεια ψηφιακών πιστοποιητικών, ψηφιακών υπογραφών, ηλεκτρονικών ταυτοτήτων και γενικά με διεθνείς κανόνες κρυπτογράφησης. Με τα παραπάνω μέσα προστατεύονται όλοι όσοι συναλλάσσονται ηλεκτρονικά, από εταιρίες έως και ιδιώτες. Αυτά τα μέσα θα αναλύσουμε στη συνέχεια με περισσότερη λεπτομέρεια και θα προσπαθήσουμε να επικεντρωθούμε στον τομέα της ναυτιλίας στον ελλαδικό χώρο, στον οποίο έχει παρατηρηθεί αυξημένη χρησιμοποίηση του διαδικτύου. 6

ΚΕΦΑΛΑΙΟ 1: ΒΑΣΙΚΕΣ ΕΝΝΟΙΕΣ 1.1. Πληροφοριακά Συστήματα 1.1.1.Έννοιες από τη θεωρία συστημάτων Η εισαγωγή της έννοιας του συστήματος έδωσε τη δυνατότητα να αναπτυχθεί μία γενική θεωρία για τη μελέτη και ερμηνεία των φυσικών και κοινωνικών φαινομένων. Η θεωρία αυτή είναι γνωστή ως Γενική Θεωρία Συστημάτων και ασχολείται με την ανάλυση των χαρακτηριστικών μίας οντότητας, σύμφωνα με τα οποία μπορεί να θεωρηθεί ότι αποτελεί ένα σύστημα. Ένας συχνά χρησιμοποιούμενος ορισμός για την έννοια σύστημα έχει δοθεί από το [Schod90]. Σύστημα είναι ένα σύνολο από αντικείμενα μαζί με τις σχέσεις μεταξύ των αντικειμένων και των γνωρισμάτων τους, τα οποία είναι σε αλληλοσυσχέτιση μεταξύ τους και με το περιβάλλον, έτσι ώστε να αποτελούν μία ολότητα. Θεμελιώδεις, για την κατανόηση του όρου σύστημα, είναι οι έννοιες: αντικείμενο, γνώρισμα, σχέση, αλληλοσυσχέτιση, περιβάλλον και ολότητα. Αντικείμενα είναι τα μέρη από τα οποία αποτελείται ένα σύστημα και μπορεί να είναι και αυτά συστήματα ή απλές οντότητες. Γνωρίσματα είναι οι χαρακτηριστικές ιδιότητες των αντικειμένων, αυτές δηλαδή που μας βοηθούν να αναγνωρίσουμε τα αντικείμενα ως διακριτές οντότητες. Σχέση είναι κάθε δεσμός που συνδέει αντικείμενα ή γνωρίσματα αντικειμένων. Η αλληλοσυσχέτιση (interrelation) και η αλληλεξάρτηση (interdependence) είναι βασικές έννοιες στη θεωρία συστημάτων. Η ύπαρξη αλληλοσυσχέτισης μεταξύ των αντικειμένων και με το περιβάλλον, θεωρείται απαραίτητη προϋπόθεση για την ύπαρξη του συστήματος. Περιβάλλον θωρείται το σύνολο των αντικειμένων που βρίσκονται εκτός του συστήματος για τα οποία ισχύει ότι (α) μία αλλαγή σε αυτά τα αντικείμενα δύναται να επηρεάσει το σύστημα και (β) η συμπεριφορά του συστήματος δύναται να έχει επίδραση σε αυτά τα αντικείμενα. 7

Η ολότητα, τέλος, είναι μία χαρακτηριστική ιδιότητα της οντότητας. Σύμφωνα με το [Schod90] όλα τα συστήματα έχουν ένα όλον (gestalt, whole), που δεν μπορεί να διασπαστεί σε επιμέρους στοιχεία, αλλά θα πρέπει να επιχειρήσουμε να δούμε την ολότητα του συστήματος μαζί με όλα τα αλληλοσυσχετιζόμενα και αλληλοεξαρτώμενα μέρη του σε αλληλεπίδραση. Ουσιαστικά, η αναγνώριση της ολότητας προϋποθέτει ότι υπάρχει μία τουλάχιστον ιδιότητα, η οποία χαρακτηρίζει το σύστημα και δεν μπορεί να αποδοθεί σε ένα από τα μέρη του. Αυτές τις ιδιότητες τις ονομάζουμε αναδυόμενες ιδιότητες (emergent properties) ή μη αναγώγιμες ιδιότητες, δηλαδή ιδιότητες οντοτήτων που δεν ανάγονται σε άλλες απλούστερων οντοτήτων. Στον παραπάνω ορισμό της έννοιας του συστήματος, προσδιορίζονται τα χαρακτηριστικά που πρέπει να έχει μία οντότητα, ώστε να χαρακτηριστεί ως σύστημα, υπονοώντας ότι οποιαδήποτε οντότητα του πραγματικού κόσμου μπορεί να περιγραφεί με βάση αυτά τα χαρακτηριστικά θα πρέπει να θεωρηθεί ως σύστημα. Ο ορισμός αυτός βασίζεται στην υπόθεση ότι τα συστήματα υπάρχουν στον πραγματικό κόσμο και αποτελούνται από αντικείμενα που είναι εκεί απέναντί μας, ανεξάρτητα από εμάς. Με άλλα λόγια, ο παρατηρητής (observer) δεν συνδέεται με το σύστημα και δεν επηρεάζει τη λειτουργία του. Εκτός από τις προαναφερθείσες θεμελιώδεις έννοιες που ορίζουν ένα σύστημα, περιγράφονται συνοπτικά στη συνέχεια και κάποιες πρόσθετες έννοιες που ολοκληρώνουν την περιγραφή του όρου σύστημα : Αναζήτηση τελικού σκοπού. Κάθε σύστημα στοχεύει στην επίτευξη ενός τελικού σκοπού. Αυτό είναι κοινά αποδεκτό για τα σχεδιασμένα συστήματα και τα συστήματα ανθρώπινης δραστηριότητας, ενώ για τα φυσικά συστήματα αποτελεί φιλοσοφικό ζητούμενο. Εισαγωγή εξαγωγή. Τα ανοικτά συστήματα χαρακτηρίζονται από την εισαγωγή και εξαγωγή ύλης, ενέργειας και πληροφορίας. Η λειτουργία αυτή είναι ιδιαίτερα σημαντική για την επίτευξη του τελικού σκοπού και τη διατήρηση του συστήματος σε κάποια κατάσταση ισορροπίας. Τα συστήματα που δεν έχουν είσοδο και έξοδο ονομάζονται κλειστά συστήματα. Επεξεργασία μετασχηματισμός. Κάθε σύστημα προκειμένου να επιτύχει το σκοπό του, θα πρέπει να μετασχηματίσει τα στοιχεία εισόδου σε στοιχεία εξόδου. Εντροπία. Εντροπία ονομάζεται το μέτρο της αταξίας. Σύμφωνα με το δεύτερο νόμο της θερμοδυναμικής, η εντροπία ενός κλειστού συστήματος μπορεί μονάχα να αυξηθεί ή να μείνει σταθερή, δεν μπορεί να μειωθεί. Έτσι, η επικοινωνία με το περιβάλλον, χαρακτηριστικό των ανοικτών συστημάτων, αποτελεί απαραίτητη προϋπόθεση για την εξουδετέρωση της φυσικής τάσης προς την 8

αταξία και την επίτευξη της ισορροπίας. Ρυθμιστής έλεγχος. Τα συστήματα περιλαμβάνουν κάποιο υποσύστημα ελέγχου που έχει ως αποστολή να ρυθμίζει το σύστημα, ώστε να κατευθύνεται προς την επίτευξη του σκοπού. Ιεραρχία. Γενικά τα συστήματα είναι σύμπλοκες οντότητες που αποτελούνται από μικρότερα υποσυστήματα. ιαφοροποίηση. Στα ανοικτά συστήματα υπάρχει η τάση ειδικά στοιχεία του συστήματος να εκτελούν ειδικές λειτουργίες. Έχουμε, δηλαδή, έμφαση σε εξειδικευμένους ρόλους και εγκατάλειψη των ανειδίκευτων και γενικών λειτουργιών. Μονοτερματικότητα και πολυτερματικότητα. Τα ανοικτά συστήματα μπορούν να φθάσουν σε μία τελική κατάσταση, ξεκινώντας από διαφορετικές αρχικές συνθήκες και διαμέσου διαφορετικών δρόμων. Αυτή η ιδιότητά τους αναφέρεται ως μονοτερματικότητα. Το αντίθετο, δηλαδή ξεκινώντας από την ίδια αρχική κατάσταση να καταλήγουμε σε διαφορετικές τελικές καταστάσεις, ονομάζεται πολυτερματικότητα. 2.1.2 Συστήματα ανθρώπινης δραστηριότητας Γενικά διακρίνονται τέσσερις κατηγορίες συστημάτων: (1) φυσικά συστήματα, (2) σχεδιασμένα φυσικά συστήματα, (3) σχεδιασμένα αφηρημένα συστήματα και (4) συστήματα ανθρώπινης δραστηριότητας. Τα πρώτα δημιουργούνται και λειτουργούν, χωρίς να απαιτείται παρέμβαση του ανθρώπου (π.χ. πλανητικό σύστημα) τα δεύτερα είναι κατασκευασμένα από τον άνθρωπο και έχουν φυσική υπόσταση (π.χ. τεχνητή λίμνη) τα τρίτα έχουν κατασκευαστεί από τον άνθρωπο, αλλά έχουν μόνο νοητική υπόσταση (π.χ. αριθμητικό σύστημα) και τέλος τα συστήματα ανθρώπινης δραστηριότητας είναι εκείνα που ορίζονται στο [Check98] ως: Ένα νοητικό σκόπιμο σύστημα, το οποίο εκφράζει κάποια σκόπιμη ανθρώπινη δραστηριότητα, η οποία θα μπορούσε γενικά να υπάρξει στον πραγματικό κόσμο. Αυτά τα συστήματα είναι νοητικά με την έννοια ότι δεν είναι περιγραφές δραστηριοτήτων του πραγματικού κόσμου (που είναι ένα εξαιρετικά περίπλοκο φαινόμενο), αλλά είναι διανοητικά κατασκευάσματα. Είναι ιδεατοί τύποι που χρησιμοποιούνται σε ένα διάλογο για τις πιθανές αλλαγές που μπορούν να γίνουν σε μία προβληματική κατάσταση του πραγματικού κόσμου. 9

Ειδικά για τα συστήματα ανθρώπινης δραστηριότητας, ιδιαίτερη σημασία έχουν δύο χαρακτηριστικά τους: η αναζήτηση ενός σκοπού και ο δυναμικός τους χαρακτήρας. Τα συστήματα ανθρώπινης δραστηριότητας συγκροτούνται και λειτουργούν για την επίτευξη κάποιου σκοπού. Αυτό δεν σημαίνει ότι ο σκοπός είναι πάντα δεδομένος και σαφής ή ότι όλα τα συμμετέχοντα μέρη αντιλαμβάνονται το σκοπό του συστήματος με τον ίδιο τρόπο. Θα μπορούσαμε να πούμε, για παράδειγμα, ότι ο τελικός σκοπός των στοιχείων μίας Έμπιστης Τρίτης Οντότητας ως μία ολότητα, είναι η εδραίωση της εμπιστοσύνης στη σύγχρονη κοινωνία της πληροφορίας και η παροχή αξιόπιστων μέσων για τη διασφάλιση των χαρακτηριστικών ασφάλειας των πληροφοριών που παράγονται, διακινούνται και αποθηκεύονται από τα μέλη του κοινωνικού συνόλου. Τα συστήματα ανθρώπινης δραστηριότητας είναι δυναμικά, δηλαδή μεταβάλλονται διαρκώς. Οι μεταβολές είναι δυνατό να αφορούν στα στοιχεία που αποτελούν το σύστημα, στις σχέσεις μεταξύ τους, στη σχέση με το, επίσης δυναμικό, περιβάλλον και στο σκοπό του συστήματος. Η ιδιότητα των ζωντανών συστημάτων να μεταβάλλουν τα στοιχεία από τα οποία αποτελούνται και την εσωτερική τους δομή, διατηρώντας ταυτόχρονα την ταυτότητά τους, αναφέρεται συχνά με τον όρο αυτοποίηση. Τέλος, ο ευμετάβλητος χαρακτήρας των συστημάτων ανθρώπινης δραστηριότητας ενισχύεται από τον εξαιρετικά ευμετάβλητο χαρακτήρα της ανθρώπινης φύσης, καθώς οι άνθρωποι αλλάζουν πολύ συχνά τους στόχους και τις προτιμήσεις τους. 2.1.3 Πληροφοριακό σύστημα Ένα πληροφοριακό σύστημα είναι ένα σύστημα ανθρώπινης δραστηριότητας. Συνήθως εμφανίζεται ως υποσύστημα σε μία επιχείρηση ή σε έναν οργανισμό, όπως η ΕΤΟ, που θεωρούνται επίσης συστήματα. Υιοθετούμε στη συνέχεια τον ορισμό που δίνεται στο [Κοκολ00]: Πληροφοριακό σύστημα είναι ένα σύστημα ανθρώπινης δραστηριότητας, το οποίο αποτελείται από πέντε στοιχεία: ανθρώπους, λογισμικό, υλικό, διαδικασίες και δεδομένα, τα οποία αλληλεπιδρούν μεταξύ τους και με το περιβάλλον, με σκοπό την παραγωγή και διαχείριση πληροφορίας για την υποστήριξη ανθρώπινων δραστηριοτήτων, στα πλαίσια ενός οργανισμού. 10

Το πλαίσιο ενός ΠΣ είναι συνήθως ένας οργανισμός, συμπεριλαμβάνοντας σε αυτόν ιδιωτικές επιχειρήσεις, δημόσιους οργανισμούς, αυτόνομα τμήματα οργανισμών και επιχειρήσεων, δίκτυα επιχειρήσεων και κάθε άλλη συγκροτημένη μορφή οργάνωσης. Η ευρύτερη έννοια του οργανισμού δίνεται στο [ISO 8402]: Οργανισμός είναι μία εταιρεία ή επιχείρηση ή συντεχνία ή ινστιτούτο ή μέρος αυτών, ιδιωτικό ή δημόσιο που διαθέτει δικές του λειτουργίες και διοίκηση. Σύμφωνα με το [Κιουν95], ένας οργανισμός εξεταζόμενος ως σύστημα αποτελείται από τρία διαφορετικά υποσυστήματα τα οποία αποτελούν μία ενιαία ενότητα: το φυσικό σύστημα παραγωγής το οποίο μετασχηματίζει την πρώτη ύλη που εισέρχεται στο σύστημα σε προϊόν, σύμφωνα με τις εντολές ή οδηγίες που παίρνει από το υποσύστημα διοίκησης. Το σύστημα διοίκησης και λήψης αποφάσεων είναι το υποσύστημα το οποίο παραλαμβάνει δεδομένα από το πληροφοριακό υποσύστημα και παράγει εντολές προς το φυσικό σύστημα παραγωγής και οδηγίες για τις προσδοκίες και επιδιώξεις της διοίκησης, που επιθυμεί να επιτευχθούν. Το πληροφοριακό σύστημα συνδέει το φυσικό σύστημα παραγωγής με το υποσύστημα διοίκησης. Μετασχηματίζει δεδομένα που υπάρχουν στο φυσικό σύστημα παραγωγής σε πληροφορίες που απαιτεί το σύστημα διοίκησης για να πάρει αποφάσεις. Επίσης μετασχηματίζει τις εντολές του συστήματος σε κατάλληλες οδηγίες για το σύστημα παραγωγής. Η ΕΤΟ είναι ένας οργανισμός παροχής υπηρεσιών, όπου το φυσικό σύστημα παραγωγής θα πρέπει να οριστεί ευρύτερα ώστε να περιλαμβάνει και τις υπηρεσίες. Θεωρούμε λοιπόν ότι Το φυσικό σύστημα παραγωγής είναι ένα σύνολο από προκαθορισμένες διεργασίες που μετασχηματίζουν την εισερχόμενη πληροφορία ή την πρώτη ύλη σε υπηρεσίες ή προϊόντα αντίστοιχα, σύμφωνα με τις διαδικασίες και τις πολιτικές που επιβάλλει το υποσύστημα διοίκησης και με την υποστήριξη του πληροφοριακού υποσυστήματος. Ο ρόλος ενός Πληροφοριακού Συστήματος σε έναν οργανισμό, είτε πρόκειται για τον πάροχο των υπηρεσιών ασφάλειας (ΕΤΟ) είτε για τον λήπτη των 11

υπηρεσιών (πελάτης) είναι σημαντικός, αφού εκτελεί τις παρακάτω καίριες λειτουργίες: επεξεργάζεται δεδομένα για λογαριασμό της οργανισμού υποστηρίζει τις παραγωγικές και λειτουργικές διαδικασίες δημιουργεί και διαβιβάζει πληροφορίες διευκολύνει τη διοίκηση στον έλεγχο και στη λήψη αποφάσεων 1.2. Ασφάλεια Πληροφοριακών Συστημάτων Όπως διαπιστώθηκε, τα πέντε συστατικά στοιχεία ενός πληροφοριακού συστήματος είναι το υλικό, το λογισμικό, οι διαδικασίες, οι άνθρωποι και τα δεδομένα. Ο όρος ασφάλεια πληροφο ριακών συστημάτων (information systems security) δίνει έμφαση στην προστασία αυτών των συστατικών στοιχείων ενός ΠΣ αλλά και του ίδιου του ΠΣ στην ολότητά του. Αρκετά συχνά απαντάται ο όρος ασφάλεια στις τεχνολογίες πληροφορικής και επικοινωνιών. Όπως είναι φανερό, ο όρος αυτός δίνει έμφαση στους τεχνικούς παράγοντες που σχετίζονται με την ασφάλεια. Όπως ορίζεται στο [Κιουν95] η Ασφάλεια Πληροφοριακού Συστήματος είναι το οργανωμένο πλαίσιο από έννοιες, αντιλήψεις, αρχές, πολιτικές, διαδικασίες, τεχνικές και μέτρα που απαιτούνται για να προστατευθούν τα στοιχεία του Πληροφοριακού Συστήματος, αλλά και το σύστημα ολόκληρο, από κάθε σκόπιμη ή τυχαία απειλή. Ο ορισμός αυτός δίνει έμφαση όχι μόνο στο ΠΣ ως ολότητα αλλά και στα επιμέρους στοιχεία του, ενώ η αναφερόμενη προφύλαξη αφορά κάθε είδους απειλή (τυχαία ή σκόπιμη). Η ασφάλεια του ΠΣ συνδέεται άμεσα τόσο με τις τεχνικές, τις διαδικασίες και τα διοικητικά μέτρα όσο και με ηθικοκοινωνικές αντιλήψεις, αρχές και παραδοχές. Είναι βέβαια προφανές ότι η προφύλαξη δεν θα πρέπει να παρεμποδίζει την απρόσκοπτη λειτουργία του συστήματος και την ελεύθερη διακίνηση των πληροφοριών, έτσι ώστε να μην θέτονται αδικαιολόγητοι φραγμοί στην ανάπτυξη της τεχνολογίας της πληροφορίας. Η ασφάλεια πληροφοριών αναφέρεται αποκλειστικά στην προστασία των πληροφοριών και είναι στενότερη έννοια από αυτή της ασφάλειας ΠΣ, αφού η πληροφορία εμπεριέχεται σε ένα ΠΣ. Βέβαια η ασφάλεια πληροφοριών δεν μπορεί να αγνοήσει το πληροφοριακό σύστημα, στα πλαίσια του οποίου παράγεται και χρησιμοποιείται η πληροφορία. Αντίθετα, κάθε αναλυτική 12

εργασία, η οποία αποσκοπεί στην ανάπτυξη και διαχείριση της ασφάλειας των πληροφοριών, θα πρέπει να στηρίζεται στην κατανόηση των σχετικών πληροφοριακών συστημάτων. Συνεπώς, όταν αναφερόμαστε στην ασφάλεια ενός ΠΣ η προστασία όλων των υλικών που μετέχουν σε αυτό έχει ιδιαίτερη σημασία, ενώ όταν αναφερόμαστε στην ασφάλεια πληροφοριών, η ασφάλεια του υλικού μας ενδιαφέρει μόνο στο βαθμό που σχετίζεται με την προστασία των πληροφοριών. 1.2.1 Ιδιότητες της ασφάλειας Η ασφάλεια των πληροφοριών αναφέρεται στην προστασία της πληροφορίας στην ολότητά της και των σχετικών με την ασφάλεια ιδιοτήτων. Ως θεμελιώδεις ιδιότητες ασφάλειας θεωρούνται η ακεραιότητα, η εμπιστευτικότητα και η διαθεσιμότητα, οι οποίες ορίζονται ως εξής [Γκριτ94]: Ακεραιότητα πληροφοριών (integrity): Είναι η ιδιότητα των δεδομένων να υφίστανται σε προκαθορισμένο φυσικό μέσο ή χώρο και να είναι ακριβή. ηλαδή η μη εξουσιοδοτημένη τροποποίηση της πληροφορίας θα πρέπει να αποτρέπεται, ενώ κάθε αλλαγή του περιεχομένου των δεδομένων να είναι αποτέλεσμα εξουσιοδοτημένης και ελεγχόμενης ενέργειας. Εμπιστευτικότητα πληροφοριών (confidentiality): Η ιδιότητα των δεδομένων να καθίστανται αναγνώσιμα μόνο από εξουσιοδοτημένα λογικά υποκείμενα, όπως φυσικές οντότητες και διεργασίες λογισμικού. ιαθεσιμότητα πληροφοριών (availability): Η αποτροπή της προσωρινής ή μόνιμης άρνησης διάθεσης της πληροφορίας σε κάθε εξουσιοδοτημένο λογικό υποκείμενο του συστήματος. Σε αρκετές ερευνητικές εργασίες υποστηρίζεται πως οι παραπάνω τρεις ιδιότητες δεν επαρκούν, για να οριστεί η ασφάλεια πληροφοριών. Πρόσθετες ιδιότητες που συναντώνται είναι η αυθεντικότητα (authenticity) [Parke95], δηλαδή η απόδειξη της προέλευσης και του ιδιοκτήτη της πληροφορίας, η ιδιότητα της εγκυρότητας (validity) [Γκριτ96], δηλαδή ότι η πληροφορία αντιπροσωπεύει την πραγματικότητα και είναι επίκαιρη, ενώ σε άλλες πηγές [Boler95] αναφέρονται η μοναδικότητα (uniqueness), δηλαδή η αδυναμία αντιγραφής και αναπαραγωγής της πληροφορίας χωρίς εξουσιοδότηση και η μη αποποίηση (non repudiation) δηλαδή η αδυναμία άρνησης των ενεργειών που έχουν εκτελεστεί για την τροποποίηση, την αποστολή ή τη λήψη μίας πληροφορίας. Η ύπαρξη διαφορετικών θεωρήσεων για τις ιδιότητες της ασφάλειας δεν θα πρέπει να θεωρηθεί παράδοξο, καθώς στον επιστημονικό τομέα της πληροφορικής, η ασφάλεια έχει μεταφερθεί ως μία αφηρημένη έννοια, η οποία επιδέχεται ποικίλες ερμηνείες. Επίσης η έννοια της 13

ασφάλειας στο κοινωνικό σύνολο, αντιστοιχεί ουσιαστικά σε ένα ανθρώπινο συναίσθημα. Έτσι ο όρος ασφάλεια αναφέρεται σε διάφορες ιδιότητες της πληροφορίας, ανάλογα με την οπτική του ερευνητή και το πληροφοριακό σύστημα στο οποίο αναφέρεται. Συνεπώς, σε κάθε ειδική περίπτωση που μελετάμε θα πρέπει να ορίζουμε με σαφήνεια τις συγκεκριμένες ιδιότητες της πληροφορίας που καλούμαστε να προστατέψουμε [Κοκολ00]. Οι παραπάνω ιδιότητες της ασφάλειας των πληροφοριών δεν μετρώνται σε απόλυτα μεγέθη αλλά είναι συγκρίσιμες και έτσι υπεισέρχεται σε ένα βαθμό η σχετικότητα. Παρά τη σαφήνεια και απλότητα των ορισμών που δίδονται για τις τρεις βασικές ιδιότητες, στην πράξη δεν είναι πάντοτε εύκολο να προσδιορίσουμε πότε μία από αυτές έχει παραβιαστεί. Για παράδειγμα, η άρνηση διάθεσης της πληροφορίας (παραβίαση της διαθεσιμότητας) μπορεί να εκτιμηθεί με άλλο τρόπο σε διαφορετικές περιπτώσεις, αφού ο χρόνος αναμονής που θεωρείται ανεκτός διαφέρει από εφαρμογή σε εφαρμογή. Έτσι, μία καθυστέρηση ενός λεπτού στην παροχή μίας κρίσιμης ιατρικής πληροφορίας μπορεί να θεωρηθεί ως έλλειψη διαθεσιμότητας, ενώ ο ίδιος χρόνος στην αναζήτηση της καρτέλας φορολογουμένου σε μία δημόσια οικονομική υπηρεσία να θεωρηθεί αποδεκτός και αναμενόμενος. 1.2.2 Παράγοντες απαίτησης ασφάλειας Όπως είναι ευνόητο οι απαιτούμενες ιδιότητες που πρέπει να έχει ένα ΠΣ ώστε να θεωρηθεί ασφαλές, δεν είναι σταθερές για όλα τα ΠΣ, αλλά εξαρτώνται κυρίως από τη δυναμικότητα που υπάρχει τόσο στο ΠΣ όσο και στο περιβάλλον του. Αναλυτικότερα, το επίπεδο ασφάλειας που απαιτείται για να προστατευθεί ένα ΠΣ εξαρτάται από δύο παράγοντες: (1) Τη φύση των διαχειριζόμενων δεδομένων και (2) το συγκεκριμένο χωρο χρονικό πλαίσιο. Τα διαχειριζόμενα δεδομένα μπορεί να χαρακτηριστούν κάτω από συγκεκριμένες συνθήκες ως άξια ή μη προστασίας. Τα δεδομένα που χρήζουν προστασίας από δυνητικές απειλές αποκαλούνται ευπαθή. Για παράδειγμα, τα δεδομένα που αφορούν στον σχεδιασμό πωλήσεων μίας επιχείρησης ή ενός στρατιωτικού σχεδίου άμυνας χρήζουν προστασίας. Υπάρχουν επίσης δεδομένα τα οποία είναι κοινά αποδεκτό ότι πρέπει να προστατεύονται γιατί αντιπροσωπεύουν σημαντικές προσωπικές αξίες ενός εκάστοτε μέλους του κοινωνικού συνόλου. Αυτά τα δεδομένα αποκαλούνται ευαίσθητα προσωπικά δεδομένα. Παραδείγματα τέτοιων δεδομένων μπορούν να είναι όσα αφορούν στις πολιτικές ή θρησκευτικές αντιλήψεις ενός ατόμου, τα οποία δεν επιτρέπεται καν να συλλέγονται και τα ιατρικά δεδομένα που αφορούν στο ιστορικό της υγείας ενός ατόμου, τα οποία 14

μπορούν να συλλέγονται με την προϋπόθεση ότι εξασφαλίζεται η προστασία τους και χρησιμοποιούνται μόνο προς όφελος του ατόμου ή του κοινωνικού συνόλου. Η απαίτηση για ασφάλεια ορισμένων δεδομένων ενδέχεται να μην ισχύει για όλα τα κοινωνικά περιβάλλοντα. Η ίδια κατηγορία δεδομένων είναι πιθανό να χρήζει προστασίας σε ένα συγκεκριμένο περιβάλλον ενώ σε ένα άλλο να μην θεωρείται ευπαθές δεδομένο. Παράδειγμα είναι η καταγραφή των χρηματικών συναλλαγών σε ένα εμπορικό κατάστημα ως μη ευπαθές δεδομένο από τη μία πλευρά και η καταγραφή των χρηματικών συναλλαγών σε μία τράπεζα από την άλλη, όπου απαιτείται υψηλό επίπεδο ασφάλειας. Τέλος είναι πιθανό σε κάποιο περιβάλλον να έχει παγιωθεί ή να έχει γίνει ευρέως αποδεκτή η άποψη ότι κάποιο από τα παραπάνω δεδομένα δεν είναι ευαίσθητο και συνεπώς δεν απαιτείται η προστασία του. Η σύγχρονη ιστορία μας δίνει τέτοια παραδείγματα δεδομένων, όπως οι θρησκευτικές πεποιθήσεις, η υπηκοότητα και οι καταναλωτικές συνήθειες. 1.2.3 Ασφάλεια στην κοινωνία της πληροφορίας Η εισαγωγή των τεχνολογιών της πληροφορικής και των επικοινωνιών συνδέεται με ένα αίσθημα ανασφάλειας που αφορά τόσο την κοινωνικήεπαγγελματική όσο και την προσωπική ζωή του ατόμου. Συγκεκριμένα, ζητήματα ασφάλειας ανακύπτουν στο ατομικό επίπεδο, στο επίπεδο του οργανισμού και στο κοινωνικό επίπεδο. Οι τεχνολογίες αυτές επηρεάζουν την προσωπική ζωή του ατόμου, προσφέροντας τη δυνατότητα για ευκολότερη και περισσότερο αποτελεσματική παραβίαση της ιδιωτικής ζωής του (privacy). Οι οργανισμοί διαθέτουν πληροφοριακά συστήματα, τα οποία αντιμετωπίζουν τόσο ενδογενείς όσο και εξωγενείς απειλές. Το ζήτημα της ασφάλειας εμφανίζεται εδώ, ως ζήτημα προστασίας των συστατικών στοιχείων του ΠΣ, αλλά και του ίδιου του ΠΣ στην ολότητά του. Στο κοινωνικό επίπεδο παρατηρούμε τη διαμόρφωση της κοινωνίας της πληροφορίας (information society). Στα πλαίσια της νέας κοινωνικής πραγματικότητας, ανακύπτουν τόσο νομικά όσο και πολιτικά προβλήματα που αφορούν την προστασία της πληροφορίας ως περιουσιακό στοιχείο, την προστασία της πληροφορίας ως κοινωνικό αγαθό, την προστασία της ιδιωτικής ζωής του ατόμου, την αντιμετώπιση του ηλεκτρονικού εγκλήματος και τη συγκέντρωση και διαχείριση του πληροφοριακού πλούτου. 15

Το ζήτημα της ασφάλειας των Πληροφοριακών και Επικοινωνιακών συστημάτων είναι ένα σύνθετο κοινωνικο τεχνικό ζήτημα. Οι δύο διαστάσεις, κοινωνική και τεχνική, μπορούν να αναλυθούν περαιτέρω σε έξι άξονες [Kowal91]: Κοινωνική διάσταση δεοντολογία/κουλτούρα νομική/κανονιστική διοικητική/διαχειριστική λειτουργική/διαδικαστική Τεχνική διάσταση μηχανική/ηλεκτρονική πληροφορία/δεδομένα 16

ΚΕΦΑΛΑΙΟ 2 :ΚΡΥΠΤΟΓΡΑΦΙΑ ΒΑΣΙΚΕΣ ΕΝΝΟΙΕΣ 2.1. Εισαγωγή Η ανάπτυξη του διαδικτύου, το ηλεκτρονικό εμπόριο και οι συναλλαγές μέσω ανοιχτών δικτύων κάνουν επιτακτική την ανάγκη ασφάλειας στις συναλλαγές. Ο χρήστης που συναλλάσσεται ηλεκτρονικά απαιτεί τα δεδομένα (π.χ. ένα μήνυμα ή ένα κείμενο) που στέλνει να μην μπορούν να αποκαλυφθούν ή να διατεθούν σε μη εξουσιοδοτημένα γι αυτό άτομα (εμπιστευτικότητα). Τα δεδομένα, δεν θα πρέπει να είναι δυνατόν να αλλοιωθούν κατά την μετάδοσή τους. Ο παραλήπτης θα πρέπει να τα λάβει όπως ακριβώς ο αποστολέας τα έστειλε και να είναι σίγουρος ότι τα δεδομένα που λαμβάνει είναι αυτά που ο αποστολέας έχει στείλει (ακεραιότητα). Επιπλέον, σε μία τέτοια συναλλαγή, είναι απαραίτητο ο παραλήπτης να είναι σίγουρος για την ταυτότητα του αποστολέα (αυθεντικότητα). Δηλαδή, να γνωρίζει με σιγουριά ότι το μήνυμα που λαμβάνει και φαίνεται να το υπογράφει ο κ. Χ, είναι όντως από τον κ. Χ και όχι από κάποιον που παριστάνει τον Χ. Τέλος, συμμετέχοντας σε μία ηλεκτρονική συναλλαγή (π.χ. ηλεκτρονικό εμπόριο) θα πρέπει να μην είναι δυνατόν τα εμπλεκόμενα μέρη να αρνηθούν εκ των υστέρων την συμμετοχή τους στη συναλλαγή αυτή (μη αποποίηση ευθύνης). Οι παραπάνω ιδιότητες, (εμπιστευτικότητα, ακεραιότητα, αυθεντικότητα, μη αποποίηση) στον ηλεκτρονικό κόσμο, αποτελούν αντικείμενο της επιστήμης που ασχολείται με την ασφάλεια των πληροφοριών. Διάφοροι μηχανισμοί, τεχνικές και τεχνολογίες έχουν αναπτυχθεί αποσκοπώντας να διασφαλίσουν τις ιδιότητες αυτές σε μία ηλεκτρονική συναλλαγή. Ο σκοπός του κειμένου αυτού είναι να παρουσιάσει με όσο το δυνατόν πιο απλό τρόπο την έννοια της ηλεκτρονικής υπογραφής και τον μηχανισμό εφαρμογής της, περιορίζοντας τις τεχνικές αναφορές στο βαθμό που αυτές είναι απαραίτητες για την κατανόηση του θέματος. 2.2. Κρυπτογραφία Η ανάγκη για εμπιστευτικότητα στην ηλεκτρονική συναλλαγή ικανοποιείται με την κρυπτογραφία. Ο αποστολέας χρησιμοποιώντας κάποια μαθηματική 17

συνάρτηση μετατρέπει το αρχικό κείμενο σε μορφή μη κατανοητή για οποιονδήποτε τρίτο (κρυπτογραφημένο κείμενο). Ο παραλήπτης έχοντας γνώση του τρόπου κρυπτογράφησης, αποκρυπτογραφεί το κείμενο στην αρχική του μορφή. Το μήνυμα παραμένει εμπιστευτικό, μέχρι να αποκρυπτογραφηθεί. Τα σύγχρονα κρυπτοσυστήματα χρησιμοποιούν αλγόριθμους και κλειδιά (σειρά από bits συγκεκριμένου μήκους) για να διατηρήσουν την πληροφορία ασφαλή. Μία παραδοσιακή μέθοδος κρυπτογράφησης είναι η συμμετρική κρυπτογραφία η οποία χρησιμοποιεί το ίδιο κλειδί για την κρυπτογράφηση και την αποκρυπτογράφηση. Ο αποστολέας κρυπτογραφεί και ο παραλήπτης αποκρυπτογραφεί με το ίδιο κλειδί. Το κλειδί θα πρέπει να παραμένει μυστικό και να είναι γνωστό μόνο στους συναλλασσόμενους. Η μέθοδος αυτή παρουσιάζει μειονεκτήματα όσον αφορά την εφαρμογή της σε ανοιχτά δίκτυα με πολλούς χρήστες και τις αυξημένες απαιτήσεις της για την ασφάλεια (π.χ. αποθήκευση των κλειδιών κ.λπ). Η ασύμμετρη κρυπτογραφία (ή κρυπτογραφία δημοσίου κλειδιού public key cryptography) χρησιμοποιεί δύο διαφορετικά κλειδιά για την κρυπτογράφηση και την αποκρυπτογράφηση. Κάθε χρήστης έχει στη διάθεσή του δύο κλειδιά. Το δημόσιο κλειδί είναι αυτό που ο χρήστης μπορεί να το γνωστοποιήσει σε τρίτους ενώ το ιδιωτικό είναι εκείνο που το φυλάσσει με ασφάλεια και μόνο αυτός θα πρέπει να το γνωρίζει και κατέχει. Για να επιτευχθεί η εμπιστευτικότητα, ο αποστολέας κρυπτογραφεί το μήνυμα με το δημόσιο κλειδί του παραλήπτη. Έτσι, το μήνυμα μπορεί να αποκρυπτογραφηθεί μονάχα από τον παραλήπτη (που είναι ο κάτοχος του αντίστοιχου ιδιωτικού κλειδιού εκτός και αν η μυστικότητα του ιδιωτικού κλειδιού έχει παραβιαστεί). 2.3. Τι είναι η Υποδομή Δημοσίου Κλειδιού (ΥΔΚ) 2.3.1. Εισαγωγή Το Internet χρησιμοποιείται όλο και περισσότερο για την επικοινωνία μεταξύ των ανθρώπων. Οι περισσότεροι χρήστες δεν αντιμετωπίζουν πρόβλημα στην αποστολή, μέσω του διαδικτύου, μηνυμάτων που το περιεχόμενό τους δεν είναι εμπιστευτικό. Παρ όλα αυτά, έστω κι αν πρόκειται έστω και για τη λιγότερο σημαντική χρηματική δοσοληψία, απαιτείται μεγαλύτερος βαθμός εμπιστοσύνης στην ασφάλεια και την αξιοπιστία της τεχνολογίας. Η 18

Υποδομή Δημοσίων Κλειδιών (ΥΔΚ) δίνει τη λύση στο πρόβλημα της αξιοπιστίας, σαν μια μέθοδος ψηφιακής ασφάλειας. Η ΥΔΚ παρέχει τη δυνατότητα ελέγχου και επιβεβαίωσης του αποστολέα και του παραλήπτη του μηνύματος, παρέχοντας προστασία από εταιρική κατασκοπία, απλούς hackers και την κλοπή της πνευματικής ιδιοκτησίας. Καθώς η τεχνολογία παίζει όλο και πιο σημαντικό ρόλο στην επικοινωνία και τη διεκπεραίωση εργασιών, αυθεντικότητα των πληροφοριών γίνεται ένα πολύ σημαντικό θέμα. Η ασφάλεια των δεδομένων που αποστέλλονται καθημερινά είναι απαραίτητη για τις περισσότερες εταιρείες αλλά και τα άτομα. Προβλέπεται ότι η ανάπτυξη της ΥΔΚ θα οδηγήσει στην άνθιση της ηλεκτρονικής επικοινωνίας παρέχοντας στους καταναλωτές το σύστημα ασφαλείας και προστασίας που χρειάζονται. 2.3.2. Υποδομή Δημόσιου Κλειδιού: Ορισμοί και Χαρακτηριστικά Υπάρχει ένας μεγάλος αριθμός χαρακτηριστικών που κάνουν την ΥΔΚ μοναδική. Στον Πίνακα 1. παρατίθενται κάποια χαρακτηριστικά όπως αυτά ορίστηκαν από τον ιδιωτικό και το δημόσιο τομέα. Η ΥΔΚ είναι κάτι παραπάνω από μια νέα τεχνολογία. Είναι μία μέθοδος ηλεκτρονικής προστασίας. Η ΥΔΚ καταφέρνει να πιστοποιήσει την ταυτότητα του παραλήπτη και του αποστολέα. Η μέθοδος περιλαμβάνει την παροχή ενός αριθμού κλειδιών στους χρήστες του διαδικτύου. Μια σειρά κλειδιών γίνεται δημόσια, ενώ ο καθένας από τους συμβαλλόμενους κρατούν μια άλλη σειρά κλειδιών απόρρητη. Τα δημόσια και τα απόρρητα κλειδιά σχετίζονται μαθηματικά κι έτσι παρέχουν ψηφιακή ασφάλεια. Η ΥΔΚ υπερέχει των προηγούμενων μεθόδων ηλεκτρονικής ασφάλειας, εγγυόμενη την αυθεντικότητα των πληροφοριών και την εγκυρότητα της ταυτότητας του αποστολέα. Όταν στέλνεται ένα μήνυμα, και τα δυο μέρη (αποστολέας παραλήπτης) χρησιμοποιούν τα κλειδιά τους. Ο αποστολέας θα συνθέσει το μήνυμα, το οποίο μόλις αποσταλεί θα έχει κρυπτογραφηθεί αφού χρησιμοποιηθεί το απόρρητο κλειδί του αποστολέα. Η κρυπτογράφηση θα κάνει αδύνατη την ανάγνωση του μηνύματος αν δεν χρησιμοποιηθεί το Δημόσιο κλειδί του αποστολέα να το αποκρυπτογραφήσει. Κρυπτογραφώντας το μήνυμα με το απόρρητο κλειδί του αποστολέα, η ψηφιακή του υπογραφή ή ταυτότητα εμπεριέχεται στο μήνυμα. Όταν ένα μήνυμα έχει κρυπτογραφηθεί με απόρρητο κλειδί δεν μπορεί να αποκρυπτογραφηθεί ή να αλλαχτεί. Με αυτόν τον τρόπο η ΥΔΚ προστατεύει το περιεχόμενο του μηνύματος. 19

2.3.3. Συστατικά Η ΥΔΚ είναι μια μέθοδος ηλεκτρονικής προστασίας. Γι αυτό προκειμένου να είναι επιτυχημένο πρέπει να χρησιμοποιείται ως ένα κομμάτι ενός ηλεκτρονικού σχεδίου ασφαλείας. Όταν ένα σχέδιο έχει εγκατασταθεί, τα υπεύθυνα πρόσωπα θα αναγνωρίσουν τι πρέπει να προστατευθεί και γιατί θα πρέπει να χρησιμοποιηθεί η ΥΔΚ. Το σχέδιο ασφαλείας ορίζει τις κατευθυντήριες γραμμές και τα πρωτόκολλα που χρειάζονται έτσι ώστε να εγκατασταθεί ένα αξιόπιστο σύστημα ασφαλείας. Η Υποδομή Δημόσιου Κλειδιού αποτελείται από φυσικά εξαρτήματα υπολογιστή (hardware), λογισμικό (software), μηχανισμούς μεταφοράς δεδομένων και εφαρμογή έξυπνων καρτών. Τα παραπάνω συστατικά χρειάζονται για να επιβεβαιώσουν την ταυτότητα των ατόμων. Στη συνέχεια το κάθε άτομο θα λάβει ένα ψηφιακό πιστοποιητικό το οποίο θα περιέχει το δημόσιο κλειδί του. Το δημόσιο κλειδί είναι διαθέσιμο να χρησιμοποιηθεί από οποιονδήποτε. Το απόρρητο κλειδί είναι εκείνο που μπορεί να χρησιμοποιηθεί μόνο από το άτομο το οποίο έχει κάνει εγγραφή στην υπεύθυνη υπηρεσία. Ο χρήστης μπορεί να κρυπτογραφήσει ένα μήνυμα με τη χρήση του απόρρητου κλειδιού, ενώ το δημόσιο κλειδί μπορεί να χρησιμοποιηθεί για την αποκρυπτογράφηση του μηνύματος. Στην ουσία η ΥΔΚ έχει σχεδιαστεί προκειμένου να ελέγχει την αξιοπιστία και την αυθεντικότητα των μηνυμάτων που εισέρχονται στο δίκτυο. Επιπλέον, τα συστατικά που είναι απαραίτητα για μια αποτελεσματική ΥΔΚ είναι: μια αρχή πιστοποίησης (certification authority), μια αρχή καταγραφής (registration authority), ένα ευρετήριο (directory), μια πολιτική πιστοποίησης (certificate policy), και μια αναφορά πρακτικής πιστοποίησης (certification practice statement). Η αρχή πιστοποίησης (certification authority C.A.) είναι μια Τρίτη οντότητα που είναι υπεύθυνη για την εξακρίβωση της ταυτότητας ενός χρήστη και στη συνέχεια του εκδίδει ένα ψηφιακό πιστοποιητικό. Αφού εκδοθεί, το ψηφιακό πιστοποιητικό παρέχει αναγνωρίσιμες πληροφορίες για τον κάτοχο, όπως το όνομα κατόχου, το όνομα της Αρχής Πιστοποίησης, το δημόσιο κλειδί του κατόχου και την ψηφιακή υπογραφή της Αρχής Πιστοποίησης η οποία εγγυάται την ακρίβεια της πληροφορίας. Η αρχή Καταγραφής (Registration Authority R.A) είναι μια Τρίτη οντότητα η οποία είναι υπεύθυνη για την εξακρίβωση της ταυτότητας όσων κάνουν αίτηση για ψηφιακά πιστοποιητικά. Η Αρχή στη συνέχεια επικυρώνει την αίτηση του χρήστη για ψηφιακό πιστοποιητικό. αντίθετα με την Αρχή Πιστοποίησης, η Αρχή Καταγραφής δεν εκδίδει ψηφιακά πιστοποιητικά. 20

Το ευρετήριο της ΥΔΚ (PKI directory) περιλαμβάνει πληροφορίες που αφορούν τα πιστοποιητικά που εκδίδει η Αρχή Πιστοποίησης. σε κάθε πιστοποιητικό που εκδίδεται δίνεται ένας αριθμός ταυτότητας. Αυτοί οι αριθμοί καταχωρούνται σε ένα ευρετήριο. Τα ευρετήρια περιέχουν επίσης πληροφορίες για οποιοδήποτε ψηφιακό πιστοποιητικό έχει ακυρωθεί ή αποσυρθεί. Η πολιτική πιστοποίησης (Certificate Policy, P.C) περιλαμβάνει τους κανόνες και τα πρωτόκολλα που χρησιμοποιούνται στα ψηφιακά πιστοποιητικά. Η Πολιτική Πιστοποίησης περιέχει πληροφορίες για συγκεκριμένους σκοπούς. Για παράδειγμα, μπορεί να περιέχει πληροφορίες που περιγράφουν λεπτομερώς τη χρήση των ηλεκτρονικών υπογραφών σε ένα EDI περιβάλλον. Η αναφορά πρακτικής πιστοποίησης (certification practice statement, CPS) περιλαμβάνει συγκεκριμένου κανόνες για κάθε Αρχή Πιστοποίησης. περιέχει πληροφορίες σχετικές με εγγραφές, ακυρώσεις, αποσύρσεις και ανανεώσεις ψηφιακών πιστοποιητικών για τη συγκεκριμένη Αρχή. Η ΥΔΚ υφίσταται προκειμένου να παρέχει ένα επίπεδο ασφάλειας στην επικοινωνία. Το CPS καταγράφει τις διαδικασίες που πρέπει να ακολουθηθούν ώστε να επιτευχθεί αυτό το επίπεδο ασφάλειας. Μια ΥΔΚ από μόνη της δεν μπορεί να εγγυηθεί ασφαλή επικοινωνία. Οι ακολουθούμενες πολιτικές πρέπει να καταγράφονται λεπτομερώς και να ακολουθούνται πιστά. 2.3.4. Λειτουργίες Η ΥΔΚ υφίσταται για να παρέχει ασφάλεια στην ηλεκτρονική επικοινωνία. Επιπλέον, η υποδομή επιτρέπει την ασφάλεια της εξακρίβωσης της ταυτότητας του αποστολέα και του παραλήπτη. Τα μέτρα ασφαλείας προστατεύουν ενάντια στους hackers, στην κλοπή πνευματικής ιδιοκτησίας και στην εταιρική κατασκοπεία. Όταν τα ηλεκτρονικά μηνύματα προστατεύονται, και δεν διατίθενται σε κοινή θέα, έχουν μικρότερη πιθανότητα να υιοθετούνται από τον οποιονδήποτε. Το ποσοστό της χρήσης του διαδικτύου έχει αυξηθεί δραματικά, όπως και ο αριθμός των διαδικτυακών συναλλαγών. Αυτό έχει σαν αποτέλεσμα, να απαιτούνται κανονισμοί και πρότυπα. Αυτοί οι κανονισμοί περιλαμβάνουν θέματα όπως προσωπική μυστικότητα, ασφάλεια πληροφοριών, εταιρική διαλειτουργικότητα. 21

2.3.5. ΥΔΚ : δυνάμεις και αδυναμίες Η ΥΔΚ είναι πολύ γενική σαν έννοια και σαν πλαίσιο εφαρμογής. Μερικά από τα οφέλη της χρήσης της ΥΔΚ είναι η επιβεβαίωση του αποστολέα και του παραλήπτη, ασφαλή μεταφορά δεδομένων στο διαδίκτυο, νομική προστασία στις συναλλαγές μέσω διαδικτύου, και η πιστοποίηση γνησιότητας στις επικοινωνίες μέσω διαδικτύου. Η Υποδομή Ιδιωτικού Κλειδιού προσφέρει μερικά επιπλέον οφέλη. Οι χρήστες της ΥΙΚ μπορούν να εξοικονομήσουν χρόνο στις διαδικτυακές συναλλαγές και επικοινωνίες. Δεν χρειάζεται να ξοδεύουν χρόνο στην επιβεβαίωση και στην πιστοποίηση γνησιότητας των διαφόρων οντοτήτων. Είναι μια μορφή μείωσης του κόστους, με τη μείωση των ανθρωποωρών. Η ΥΙΚ προσφέρει στους χρήστες της άλλη μια υπηρεσία είναι μια προσφορά προστιθέμενης αξίας, η οποία ζητείται από τους καταναλωτές. Η ΥΔΚ έχει και μερικά μειονεκτήματα στην εφαρμογή της. Είναι πολύ κοστοβόρα για να ενσωματωθεί στις υπηρεσίες ασφάλειας μιας εταιρίας. Το κόστος ποικίλλει ανάλογα με το επιθυμητό επίπεδο εμπιστοσύνης σε σχέση με το μέτρο ασφάλειας, περισσότερη ασφάλεια μεγαλύτερο και το κόστος. Όχι μόνο θα πρέπει η εταιρία να χρησιμοποιήσει το συγκεκριμένο λογισμικό, αλλά θα πρέπει να υιοθετήσει και μια αρχή πιστοποίησης. οι εταιρία και οι χρήστες θα πρέπει να βασίζονται στην αρχή πιστοποίησης, έτσι ώστε να διασφαλίσουν ένα ασφαλές περιβάλλον. Η αρχή πιστοποίησης είναι απαραίτητη για την ακεραιότητα της ΥΔΚ. Επιπρόσθετα, οι κάτοχοι των ψηφιακών ταυτοτήτων θα πρέπει να διατηρήσουν τη μυστικότητα αυτών των ταυτοτήτων. Δεν μπορεί να υπάρχει μια αμοιβαία εμπιστοσύνη αν η πληροφορία δεν παραμείνει μεταξύ των συνεργαζομένων οντοτήτων. Άλλο ένα ζήτημα σχετικά με την υιοθέτηση της ΥΔΚ είναι η έλλειψη συμφωνίας για τα πρότυπα των οντοτήτων που αναμιγνύονται. Τώρα, οι παροχείς ΥΔΚ και τα προϊόντα τους δεν χρειάζεται να αναγνωρίζουν το ένα το άλλο, δημιουργώντας ένα δίλημμα για τους πιθανούς πελάτες σχετικά με το ποια υπηρεσία θα χρησιμοποιήσουν. Άλλη μια αδυναμία της ΥΔΚ είναι η σημαντική ανάγκη να δημιουργηθεί μια πολιτική για την ΥΔΚ. Η πολιτική αυτή θα πρέπει να προσδιορίζει τα τεχνικά, διοικητικά, νομικά και ατομικά ζητήματα των ΥΔΚ. Η πολιτική θα πρέπει να προσδιορίζει την υπευθυνότητα και την υποχρέωση που ακολουθεί την ΥΙΚ. Η εφαρμογή αυτής της πολιτικής είναι πολύ δύσκολο να επιτευχθεί, αλλά τα οφέλη θα είναι πολλά. Μια τελευταία αδυναμία των ΥΔΚ είναι η σπανιότητα χρήσης τους από τις εταιρίες αλλά και από ιδιώτες. Παρόλο που η ΥΔΚ είναι ζωτικής σημασίας 22

για το ηλεκτρονικό εμπόριο και την επικοινωνία μέσω του διαδικτύου, δεν έχει χρησιμοποιηθεί αρκετά. 2.3.6. ΥΔΚ : μια μικροοικονομική ανάλυση Για να κατανοηθεί η ΥΔΚ, θα πρέπει να εξεταστούν οι εσωτερικοί παράγοντες που παίζουν ρόλο. Αυτοί είναι το υλικό και λογισμικό του υπολογιστή, το σύστημα που χρειάζεται για να εφαρμοστεί κατάλληλα ένα ψηφιακό σύστημα ασφάλειας, τις αναμιγμυόμενες οντότητες στην ΥΔΚ και τις σχετικές τεχνολογίες. Υλικό και λογισμικό (hardware/ software) Για να χρησιμοποιηθεί η ΥΔΚ δε χρειάζεται πολύ λογισμικό, εκτός από αυτό που διαθέτει ο χρήστης για να πραγματοποιήσει μια συναλλαγή στο διαδίκτυο. Το πραγματικό δημόσιο κλειδί δημιουργείται χρησιμοποιώντας τον φυλλομετρητή του υπολογιστή του δέκτη υπηρεσιών. Πολλοί φυλλομετρητές έχουν ενσωματωμένη τη δυνατότητα να παράγουν δημόσια και ιδιωτικά ζευγάρια κλειδιών. Το πραγματικό λογισμικό κρυπτογράφησης θα πρέπει να εγκατασταθεί στον υπολογιστή του χρήστη. Τυπικά, τα ψηφιακά πιστοποιητικά περιέχονται στον φυλλομετρητή και επιβεβαιώνονται από το σύστημα της αρχής πιστοποίησης. Σύστημα Παρόλο που η ΥΔΚ είναι ένα μεγάλο επίτευγμα στην ψηφιακή ασφάλεια, πρέπει να σχεδιαστεί και να χρησιμοποιηθεί στα πλαίσια της πολιτικής ασφάλειας του κάθε οργανισμού. Επομένως, δεν θα πρέπει να αφορά μόνο το προσωπικό Τεχνολογίας Πληροφορίας αλλά θα πρέπει να απασχολεί και τη διοίκηση, κυρίως στην κορυφή της ιεραρχίας. Ο οργανισμός θα πρέπει να έχει υπομονή για την εφαρμογή του συστήματος. Μια ΥΔΚ μπορεί να χρειαστεί 1,5 χρόνο για να εφαρμοστεί : 3 μήνες για να εξεταστεί η υποδομή, 3 μήνες για να γίνουν οι δοκιμές, 6 12 μήνες για να καλύψουν όλο τον οργανισμό. Το σύστημα θα χρειαστεί εξωτερική επικύρωση για να είναι έμπιστο. Μια πολιτική ΥΔΚ θα πρέπει να δημιουργηθεί, να εφαρμοστεί και να χρησιμοποιηθεί ταυτόχρονα από τον οργανισμό και τους συνεργάτες του. Για να επιτευχθεί η κατάλληλη εμπιστοσύνη, θα πρέπει να δημιουργηθούν οι συμφωνημένες διαδικασίες. Κάθε οντότητα θα πρέπει να αναγνωρίσει τις 23

ευθύνες του και υποχρεώσεις του. Αυτή η πολιτική θα πρέπει να εφαρμοστεί σε όλα τα μέλη της εταιρίας. Αναμιγμυόμενες οντότητες Οι οντότητες που αναμιγνύονται σε ένα περιβάλλον ΥΔΚ είναι η εταιρία που εφαρμόζει το σύστημα ασφαλείας, η αρχή πιστοποίησης, και οι κάτοχοι των ψηφιακών πιστοποιητικών. Η αρχή πιστοποίησης λειτουργεί ως κόμβος ανάμεσα στην εταιρία και στους συνεργάτες της. Επιτρέπει να δίνονται οι ψηφιακές ταυτότητες με ακρίβεια στους συνεργάτες, και την ίδια στιγμή δημιουργεί και το επιθυμητό περιβάλλον ασφάλειας για την εταιρία. Για την εφαρμογή μιας ΥΔΚ θα πρέπει να γίνουν αλλαγές στον τρόπο σκέψης και στις λειτουργίες της εταιρίας. Η υιοθέτηση της ΥΔΚ θα επηρεάσει όλα τα μέρη της εταιρίας και όλους τους άμεσα εμπλεκόμενους. Πιο συγκεκριμένα, θα πρέπει να δοθούν οι κατάλληλες οδηγίες σε όλους όσους είναι σε επαφή με το δίκτυο της εταιρίας, ή σχεδιάζουν να επωφεληθούν από τα οφέλη της ΥΔΚ. Επομένως επηρεάζονται και μέρη πέρα από τους υπαλλήλους και πελάτες μιας εταιρίας, όπως ο Παροχέας Υπηρεσιών Διαδικτύου και οι σύμβουλοι τεχνολογίας πληροφοριών. Σχετικές τεχνολογίες Η εταιρία θα πρέπει να εξετάσει την υπάρχουσα τεχνολογία προτού εφαρμόσει την ΥΔΚ. Για παράδειγμα, η ΥΙΚ υπαινίσσεται ένα περιβάλλον δικτύου. Ποια είναι η αρχιτεκτονική δικτύου; Ποιος θα έχει πρόσβαση; Ποιο είναι το επιθυμητό εύρος ζώνης; Όπως αναφέρθηκε προηγουμένως, η ΥΔΚ λειτουργεί ως ένα ανεξάρτητο επίπεδο ασφάλειας. Θα πρέπει να ληφθούν και επιμέρους μέτρα ασφάλειας. Πως θα λειτουργεί η ΥΔΚ μαζί με τείχη προστασίας ; Πως θα λειτουργεί η υπηρεσία με υπάρχοντες υπολογιστές εξυπηρέτησης δικτύου, βάσεις δεδομένων κτλ.; 2.3.7. ΥΔΚ : Μακροοικονομική ανάλυση Εξίσου σημαντικό για να κατανοήσουμε την εφαρμογή της ΥΔΚ είναι να εξετάσουμε τους εξωτερικούς παράγοντες που έχουν επηρεαστεί από το σύστημα και έχουν παίξει και ένα ρόλο στην υιοθέτηση του συστήματος. 24

Οργανωτικός Το ηλεκτρονικό εμπόριο δεν είναι η μόνη βιομηχανία που χρειάζεται δικτυακή μυστικότητα. Κρατικές υπηρεσίες, η νομική κοινότητα, και ερευνητές υψηλού επιπέδου έχουν την ανάγκη να προστατέψουν τα δεδομένα τους. Πράγματι, κάθε χρήστης που έχει την ανάγκη να προστατέψει εμπιστευτικές πληροφορίες και ζητάει ασφάλεια στο διαδίκτυο, έχει την ανάγκη για ΥΔΚ. Ένα παράδειγμα για το πώς χρησιμοποιείται η ΥΔΚ από τους οργανισμούς είναι το σύστημα ταχυδρομείων στην Αμερική, το Netpost. Η υπηρεσία χρησιμοποιεί ΥΔΚ για συναλλαγές κυβέρνησης προς κυβέρνηση και κυβέρνησης προς πελάτες. Οι πελάτες μπορούν να επιβεβαιώσουν την ταυτότητα τους σε ένα από τα 38000 υποκαταστήματα και μετά να αποκτήσουν το ψηφιακό πιστοποιητικό τους. Η κυβέρνηση των ΗΠΑ ενθάρρυνε τα μέλη της να χρησιμοποιήσουν την ΥΔΚ. Η Ομοσπονδιακή Επιτροπή Καθοδήγησης Υποδομής Δημόσιου Κλειδιού δημιουργήθηκε με στόχο τη διευκόλυνση της χρήσης της ΥΔΚ. Επίσης έχουν εκδοθεί Οδηγίες με τις οποίες κυβερνητικοί οργανισμοί θα πρέπει να χρησιμοποιούν ηλεκτρονικές κυβερνητικές υπηρεσίες. Η ΥΔΚ είναι απαραίτητη για να δημιουργήσει και να προστατέψει ένα ασφαλές δικτυακό περιβάλλον. Πολλές κυβερνήσεις παγκοσμίως ενθαρρύνουν την ηλεκτρονική κυβερνητική. Εμπορικός Η ΥΔΚ είναι σημαντική για εταιρίες που θέλουν να καθιερωθούν στο ηλεκτρονικό εμπόριο. Το σύστημα ψηφιακής ασφάλειας θα προσφέρει προστασία στις συναλλαγές μέσω του διαδικτύου με την πιστοποίηση γνησιότητας των ατόμων με ψηφιακά πιστοποιητικά. Τόσο οι πελάτες όσο και οι εταιρίες θα πρέπει να εμπιστευτούν τις ηλεκτρονικές συναλλαγές. Όταν οι οντότητες έχουν άμεση επαφή κατά τη συναλλαγή, τότε ακόμα και με μια χειραψία δημιουργούνται δεσμοί εμπιστοσύνης. Θα πρέπει να υπάρχει και το ίδιο κλίμα εμπιστοσύνης στις συναλλαγές μέσω διαδικτύου. Για παράδειγμα, ένας πελάτης αγοράζει κάτι από την ιστοσελίδα της εταιρίας. Στο παρελθόν, το SSL θα χρησιμοποιούταν για να προστατέψει τις συναλλαγές από φυλλομετρητή σε υπολογιστή εξυπηρέτησης διαδικτύου. Όμως, η επιχείρηση δε θα μπορούσε να επιβεβαιώσει αν ο πελάτης έχει πραγματοποιήσει τη συναλλαγή. Η ΥΔΚ θα επέτρεπε στην επιχείρηση να πιστοποιούσε τη γνησιότητα του πελάτη μέσω της ηλεκτρονικής ταυτότητας του πελάτη. Την ίδια στιγμή η ΥΔΚ θα εξασφάλιζε και τα οικονομικά δεδομένα του πελάτη. 25

Οι κύριες εταιρίες που χρησιμοποιούν ΥΔΚ είναι αυτές του χρηματοοικονομικού τομέα και του τομέα της υγείας. Ηγέτες είναι οι χρηματιστηριακές εταιρίες και οι τράπεζες. Η εφαρμογή ασφάλειας είναι απαραίτητη για την προστασία των εμπιστευτικών οικονομικών δεδομένων. Επίσης, στα νοσοκομεία πρέπει να προστατεύονται τα δεδομένα του κάθε ασθενή. Άλλος ένας τομέας ενδιαφέροντος είναι η βιομηχανία ασύρματης επικοινωνίας. Η ασφάλεια και η μυστικότητα είναι οι κύριες αδυναμίες των ασύρματων επικοινωνιών. Άλλα κρίσιμα ζητήματα είναι η εμπιστευτικότητα, η πιστοποίηση γνησιότητας, και η μη αποκήρυξη. Ενώ η ΥΔΚ προσπαθεί να κάνει τις διαδικτυακές συναλλαγές ασφαλείς, οι παροχείς ασύρματων υπηρεσιών προσπαθούν να κάνουν και τις δικές τους υπηρεσίες ασφαλείς. Όλο και περισσότεροι άνθρωποι βασίζονται σε ηλεκτρονικές συσκευές για να πραγματοποιήσουν τις συναλλαγές τους. Οι ψηφιακές υπογραφές χρειάζονται για να νομιμοποιηθούν οι συναλλαγές και οι ηλεκτρονικές επικοινωνίες. Η ΥΔΚ προσφέρει την κατάλληλη ασφάλεια, επιβεβαίωση, και πιστοποίηση γνησιότητας για αυτού του τύπου την κατάσταση. Παγκόσμιος Τόσο οι ΗΠΑ, σαν πρωτοπόροι, όσο και υπόλοιπα κράτη του κόσμου θεωρούν την ασφάλεια στο διαδίκτυο πολύ σημαντική. Απόδειξη για το παραπάνω είναι η νομοθεσία που έχουν θεσπίσει πολλά κράτη σχετικά με την ψηφιακή προστασία. Πολλές δυτικές χώρες έχουν καθιερώσει μια νομοθεσία η οποία παρέχει στις ηλεκτρονικές ταυτότητες κάποια νομική υποστήριξη. Παρόλο που υπάρχουν και άλλες μέθοδοι ψηφιακής προστασίας, θεσπίστηκε νομοθεσία για την ΥΔΚ. Η δραστηριότητα στο διαδίκτυο έχει αυξηθεί παντού. Για παράδειγμα, στη Σιγκαπούρη 1 στους 3 πραγματοποιεί τις τραπεζικές συναλλαγές του μέσω του διαδικτύου. Επίσης η Ευρωπαϊκή Ένωση έχει έναν αριθμό κανονισμών για την προστασία των προσωπικών δεδομένων και μερικές πρακτικές για την ασφάλεια στο δίκτυο. Είναι φανερό ότι η ΥΔΚ αναπτύσσεται παγκοσμίως. 2.3.8. ΥΔΚ : Μελέτη περίπτωσης Η VeriSign είναι ένας ηγέτης στις ψηφιακές ταυτότητες, προσφέροντας πολλές λύσεις ΥΔΚ και λειτουργώντας ως αρχή πιστοποίησης. Η εταιρία έχει σαν στόχο να γίνει ο κόμβος της ακεραιότητας της ΥΔΚ μιας εταιρίας, 26

παρέχοντας ψηφιακά πιστοποιητικά σε υπαλλήλους και συνεργάτες, ενώ θα διατηρεί και ένα ασφαλές περιβάλλον για την εταιρία. Η VeriSign προσφέρει μια λύση τρίτης οντότητας σε εταιρίες που αναζητούν την εφαρμογή της ΥΔΚ. Η εταιρία έχει την ευθύνη για την έκδοση ψηφιακών πιστοποιητικών ενώ ο πελάτης χειρίζεται τα υπόλοιπα στοιχεία. Η VeriSign προσφέρει 4 επίπεδα προστασίας. Οι ψηφιακές ταυτότητες τάξης 1 προσφέρουν ένα σαφές όνομα και διεύθυνση ηλεκτρονικού ταχυδρομείου, και αναφέρεται σε ιδιώτες που θέλουν να περιπλανηθούν στο διαδίκτυο. Η ψηφιακή ταυτότητα τάξης 2 απαιτεί την επιβεβαίωση από μια τρίτη οντότητα όσον αφορά το όνομα του κατόχου, τη διεύθυνση, και άλλες προσωπικές πληροφορίες. Αυτού του είδους οι ταυτότητες είναι διαθέσιμες μόνο για κατοίκους των ΗΠΑ και του Καναδά. Οι ψηφιακές ταυτότητες τάξης 2 απευθύνονται σε άτομα τα οποία πραγματοποιούν ηλεκτρονικές συναλλαγές. Οι ψηφιακές ταυτότητες τάξης 3 και 4 απευθύνονται σε εταιρίες και οργανισμούς. Τα διαφορετικά επίπεδα προστασίας αντικατοπτρίζουν τους διαφορετικούς χρήστες του διαδικτύου. Όσο αυξάνεται το επίπεδο προστασίας τόσο αυξάνεται και το κόστος του προϊόντος. Η VeriSign επιθυμεί να προσφέρει υπηρεσίες ασφάλειας σε όλους τους χρήστες του διαδικτύου, οργανισμούς και ιδιώτες. 2.3.9. ΥΔΚ : μελλοντικές επιπτώσεις Πολλοί είναι αυτοί που θεωρούν ότι η ΥΔΚ παρέχει την απαραίτητη εμπιστοσύνη στους καταναλωτές για να πραγματοποιούν εμπορικές συναλλαγές μέσω του διαδικτύου. Καθώς τα δημόσια κλειδιά χρησιμοποιούνται όλο και περισσότερο, αυξάνεται και η χρήση του ηλεκτρονικού εμπορίου. Ερωτήσεις που πρέπει να απαντηθούν Η ΗΠΑ έχει την ίδια νομοθεσία με αυτή που επικρατεί διεθνώς. Η Πράξη της Ηλεκτρονικής Υπογραφής (E Sign Act), παρέχει στις ψηφιακές υπογραφές την ίδια νομική κάλυψη με τις χειρόγραφες. Πιο συγκεκριμένα, η πράξη επιβεβαιώνει ότι οι καταναλωτές που πραγματοποιούν ηλεκτρονικές συμφωνίες θα έχουν τα ίδια δικαιώματα με αυτούς που συναλλάσσονται με έγγραφα συμβόλαια. Ο καταναλωτής θα πρέπει να δώσει την έγκριση του για να λάβει πληροφορίες ηλεκτρονικά. Η επιχείρηση θα πρέπει να γνωστοποιήσει συγκεκριμένες πληροφορίες προτού δεχτεί την έγκριση του πελάτη. Τέλος, η πράξη τονίζει ότι ο πελάτης θα πρέπει να ανακοινώσει 27