ebusinessforum Ομάδα Εργασίας Ε2: 'Ηλεκτρονικές Υπογραφές και Ηλεκτρονικά Πιστοποιητικά Ταυτοποίησης (Νομική & Τεχνική προσέγγιση)' ΠΡΑΚΤΙΚΑ 3 ης ΑΝΟΙΚΤΗΣ ΣΥΝΑΝΤΗΣΗΣ-ΔΙΑΒΟΥΛΕΥΣΗΣ ΤΗΣ ΟΜΑΔΑΣ ΕΡΓΑΣΙΑΣ (22 Οκτωβρίου 2003 - Τμήμα Πληροφορικής & Επικοινωνιών του Πανεπιστημίου Αθηνών ) Ι. ΘΕΜΑ ΔΙΑΒΟΥΛΕΥΣΗΣ: «Οι εφαρμογές και οι προοπτικές χρήσης των η-υπογραφών σε βασικούς τομείς του ιδιωτικού τομέα (Τράπεζες-Τηλεπικοινωνίες)» ΙΙ. ΣΥΜΜΕΤΕΧΟΝΤΕΣ ΠΑΡΕΥΡΙΣΚΟΜΕΝΟΙ 1. Δρακούλης Μαρτάκος Καθηγητής Πληροφορικής Ε.&Κ. Π.A., Συντονιστής της Ο.Ε. Ε2 2. Ανδρέας Μητράκας Νομικός Σύμβουλος Ubizen, Συντονιστής της Ο.Ε. Ε2 3. Νικόλαος Κυρλόγλου Ειδικός Επιστήμων ΕΒΕΑ, Συντονιστής της Ο.Ε. Ε2 4. Χρήστος Σιουλής Δικηγόρος, Rapporteur της O.E. E2 5. Μαρία Γιαννακάκη Δικηγόρος, Rapporteur της O. E. E2 6. Ιωάννης Κομπόπουλος Δ/νων Σύμβουλος της Omnis Ellas A.E. 7. Νινέτα Πολέμη Λέκτωρ Παν. Πειραιά, Πρόεδρος Δ.Σ. της Expertnet A.E. 8. Θανάσης Τυροπάνης Athens Information Technology 9. Ελένη Σωτηρίου Emporiki Bank 10. Νότης Ηλιόπουλος Intracom S.A. 11. Φέννη Χατζησταματίου ΑΣΥΚ Α.Ε. 12. Κωνσταντίνος Καρανάσιος ΑΣΥΚ Α.Ε. 13. Φωτεινή Παπαθανασίου Εμπορική Τράπεζα 14. Ιωάννης Χαμόδρακας Πανεπιστήμιο Αθηνών 15. Βαγγέλης Φλώρος Πανεπιστήμιο Αθηνών 16. Παναγιώτης Ζαγούρας Εθνικό τυπογραφείο 17. Ξένια Πασσά Δικηγόρος 18. Άννα Θεοδώρου Vodafone-Panafone 19. Βίκη Βάλβη Novabank/Internet 20. Σταύρος Σκουλικάρης Όμιλος Profile/Becom S.A. 21. Βασίλειος Σκιαδόπουλος Όμιλος Ideal/Adacom 22. Άγγελος Αγγελόπουλος Mellon Technologies 23. Παναγιώτης Βασιλειάδης Όμιλος Ideal/Adacom 24. Μιχαήλ Σαραφίδης Όμιλος Ideal/Adacom 25. Γιώργος Γιαννόπουλος Δικηγόρος Ε.&Κ. Π.Α. 26. Βίκη Βλαστού Vodafone Panafone 27. Δημήτρης Μαυρογιάννης Δ/νων Σύμβουλος EFG e-solutions (Θυγ. EFG Eurobank-Ergasias) 28. Εμμανουήλ Σερρελής Emporiki Bank 29. Μίνα Ζούλοβιτς Δικηγόρος 30. Νικόλαος Τσίγκρης OTE A.E. 31. Αγγελική Σοφού E.E.T.T. 32. Λεωνίδας Κανέλλος Δικηγόρος 33. Ηλίας Χατζάκης Ε.Δ.Ε.Τ. 34. Πέγκυ Μπούτση Expertnet A.E. Σελίδα 1 από 7
ΙΙΙ. ΣΥΝΕΔΡΙΑΣΗ ΘΕΜΑΤΑ ΣΥΖΗΤΗΣΗΣ Α. ΕΙΣΗΓΗΣΕΙΣ Την διαβούλευση άνοιξε ο κ. Καθ. Δρακούλης Μαρτάκος, συντονιστής της ομάδας Ε2, ο οποίος έκανε μια εισαγωγή στο έργο και τους στόχους της Ομάδας Εργασίας Ε2 του ebusinessforum, αναλύοντας τον τρόπο προσέγγισης και την μεθοδολογία της. Ακολούθησε εισήγηση από τον κ. Ανδρέα Μητράκα, επίσης συντονιστή της ομάδας, ο οποίος παρουσίασε τις πρωτοβουλίες προτυποποίησης για τις ηλεκτρονικές υπογραφές, αναγκαίες για την εξειδίκευση του θεσμικού πλαισίου για την νομική αναγνώριση των ηλεκτρονικών υπογραφών. Στην παρουσίαση αναφέρθηκαν οι έως τώρα δραστηριότητες και τα παραδοτέα του EESSI (που λειτουργεί υπό την αιγίδα του ICT Standardization Board) και, συγκεκριμένα, τα πρότυπα που έχουν εκδοθεί από το CEN/ISSS και το ETSI καθώς και την πορεία υιοθέτησης των προτύπων αυτών από την αρμόδια Επιτροπή του άρθρου 9 της Οδηγίας (η οποία απαρτίζεται με μέλη προερχόμενα από τις σχετικές ρυθμιστικές αρχές των κ-μ.). Επίσης έγινε μια συνολική αναφορά σε άλλες σχετικές ευρωπαϊκές πρωτοβουλίες προτυποποίησης ή/και πιλοτικά προγράμματα, όπως στο eeurope Smart Card Charter (eesc), στο eepoch και στο νέο WorkShop του CEN/ISSS περί e-authentication. Στόχος όλων αυτών των προγραμμάτων και πρωτοβουλιών είναι η τυποποίηση των τεχνικών λύσεων, η προώθηση της διαλειτουργικότητας, η ανάδειξη των best practices, και εν γένει η προώθηση της χρήσης των ηλεκτρονικών υπογραφών στις ηλεκτρονικές συναλλαγές. Β. ΠΑΡΟΥΣΙΑΣΕΙΣ ΤΕΧΝΟΛΟΓΙΚΩΝ ΛΥΣΕΩΝ CASE STUDIES Η κα Δέσποινα Πολέμη, Πρόεδρος Δ.Σ. της εταιρίας Expertnet και Λέκτορας του Πανεπιστημίου Πειραιά, έθιξε με την παρουσίαση της θέματα «Ασφαλών εφαρμογών η-υπογραφών». Μεταξύ άλλων, η κα Πολέμη, ανέφερε τα εξής: Η απαραίτητη εμπιστοσύνη των χρηστών στις εφαρμογές ηλεκτρονικών υπογραφών που προτείνονται από τις εταιρίες, δεν εξαρτάται μόνο από την παρεχόμενη ασφάλεια, αλλά και από άλλα χαρακτηριστικά των εφαρμογών αυτών, όπως η απόδοση, η διασφάλιση ποιότητας, η διαλειτουργικότητα, η νομική συμβατότητα, το κόστος κ.ά. Η ασφάλεια, φυσικά, και συγκεκριμένα οι προδιαγραφές ασφάλειας των εφαρμογών αυτών, φέρουν ιδιαίτερο βάρος στην ανάπτυξη της εμπιστοσύνης, ιδιαίτερα σε τομείς υπηρεσιών όπως οι Τραπεζικός, όπου οι ψυχολογικές απαιτήσεις για ασφάλεια είναι μεγαλύτερες. Οι προβληματισμοί σχετικά με την ασφάλεια εντοπίστηκαν στο γεγονός ότι κατά τον σχεδιασμό τους, στις περισσότερες εφαρμογές αγνοούνται οι απαιτήσεις ασφαλείας και, κατά συνέπεια, υπάρχουν σήμερα πολύ λίγες εφαρμογές στις οποίες να έχουν ενσωματωθεί μηχανισμοί ασφαλείας, όπως η ηλεκτρονική υπογραφή. Δεδομένου ότι οι υπηρεσίες που θα παρέχονται τόσο σε σταθερά, όσο και σε κινητά τερματικά του χρήστη (ηκαι κ- υπηρεσίες) θα είναι επί τω πλείστω- κοινές, είναι σημαντικό να παρατηρήσουμε ότι η ανάπτυξη των δικτύων 3 ης γενιάς (3G) διευκολύνει την παροχή υπηρεσιών τύπου internet -με ενσωμάτωση των ίδιων ακριβώς μηχανισμών ασφαλείας- και στην κινητή τηλεφωνία. Στην συνέχεια παρουσιάστηκαν οι βασικές απαιτήσεις ασφάλειας των εφαρμογών σε συνδυασμό με συγκεκριμένες λύσεις που προτείνονται από την Expertnet. Χαρακτηριστικό των λύσεων αυτών ήταν η χρήση προηγμένης τεχνολογίας XML υπογραφών (συμβατές με το ευρωπαϊκό πρότυπο XAdES ETSI TS 101 933) και η ενσωματωμένη διαχείριση σημαντικών σχετικών στοιχείων ασφάλειας, όπως χρονοσημάνσεις και πληροφορίες ανάκλησης πιστοποιητικών. Παράλληλα παρουσιάστηκαν ολοκληρωμένες εφαρμογές των λύσεων αυτών σε τομείς όπως τα ηλεκτρονικά τιμολόγια (e-invoices / Οδηγία 01/115/ΕΕ) και τα ηλεκτρονικά εισιτήρια (που θα χρησιμοποιούνται κυρίως από το φορητό τηλέφωνο τρίτης γενιάς). Ιδιαίτερο ενδιαφέρον προκάλεσε η παρουσίαση της αυτόνομης εφαρμογής File Signer για την ηλεκτρονική υπογραφή και επαλήθευση ψηφιακών δεδομένων (τα οποία μπορεί να είναι δυαδικά αρχεία ή έγγραφα XML), η οποία ελέγχει αυτόματα και την εγκυρότητα των χρησιμοποιούμενων πιστοποιητικών. Ο κ. Δημήτρης Μαυρογιάννης, Διευθύνων Σύμβουλος της EFG e-solutions, ανέπτυξε την πολυετή εμπειρία της εταιρίας του, η οποία λειτουργεί πρώτη στην Ελλάδα, ήδη από το 1999- Υποδομή Δημοσίου Κλειδιού (PKI) στον όμιλο της Eurobank. Η Eurobank/EFG e-solutions δημιουργεί και υποστηρίζει υπηρεσίες e- και m- banking, οι οποίες καλύπτουν ένα ευρύ φάσμα τραπεζικών υπηρεσιών, όπως από ανάγκες απλής ενημέρωσης για τις κινήσεις και το υπόλοιπο των λογαριασμών, έως και την πληρωμή καρτών, πάγιες ή περιοδικές εντολές πληρωμής και Σελίδα 2 από 7
εμβάσματα. Ο όμιλος της Eurobank, έχοντας από νωρίς διακρίνει την αξία της τεχνολογίας PKI και των αυξημένων δυνατοτήτων ασφάλειας που αυτή παρέχει, επένδυσε στην συγκεκριμένη τεχνολογία, αποκτώντας ιδιαίτερο know-how, και ήδη έχει αντικαταστήσει τις «κλασικές» μεθόδους επιβεβαίωσης της ταυτότητας (username/password και λίστες με κωδικούς TAN once off passwords ) του προσωπικού του και πολλών πελατών του, με ηλεκτρονικά πιστοποιητικά ταυτοποίησης που υποστηρίζονται από ηλεκτρονικές υπογραφές. Η χρησιμοποίηση των πιστοποιητικών ταυτοποίησης παρέχει την δυνατότητα για εξελιγμένο έλεγχο της πρόσβασης των χρηστών στο σύστημα και τις ηλεκτρονικές υπηρεσίες του Ομίλου (user authentication / authorization), ενώ εισάγεται η δυνατότητα της χρήσης ηλεκτρονικής υπογραφής ως απόδειξης της βούλησης για την διενέργεια κρίσιμων συναλλαγών (λειτουργία non repudiation ). Παρόλα αυτά, η πολυπλοκότητα και η εμφάνιση πολλών παραλλαγών της τεχνολογίας PKI, σε συνδυασμό με την έλλειψη σαφών σχετικών ρυθμιστικών κανόνων, δημιουργεί σημαντικά ζητήματα κατά την εφαρμογή της, τα οποία σχετίζονται άμεσα με την διαλειτουργικότητα και την νομική αξιολόγηση των σχετικών εφαρμογών. Η υποδομή της Eurobank, αν και έχει την δυνατότητα, δεν εκδίδει αναγνωρισμένα πιστοποιητικά, μιας και η χρήση των εκδιδόμενων πιστοποιητικών προορίζεται προς το παρόν αποκλειστικά σε κλειστές εφαρμογές για τις οποίες δεν εφαρμόζεται η Οδηγία 99/93/ΕΚ (η αποδοχή της χρήσης ηλεκτρονικών υπογραφών στηρίζεται σε συμβατικούς όρους). Παρόλα αυτά, η έκδοση των πιστοποιητικών συμμορφώνεται βάσει και εξωτερικών ελέγχων από τρίτους φορείς- με το πρότυπο ETSI TS 102 042 ( Normalized Certificate Policy + Secure Device ), το οποίο δεν έχει ουσιαστικές διαφορές από τις απαιτήσεις ασφαλείας του αντίστοιχου προτύπου του ETSI για την έκδοση των αναγνωρισμένων πιστοποιητικών (TS 101 456 Qualified Certificate Policy + Secure Signature Creation Device ). Η EFG e-solutions, για την ασφαλή αποθήκευση και χρήση του ιδιωτικού κλειδιού, χρησιμοποιεί κυρίως USB Tokens (και όχι τόσο τις smart cards) διότι θεωρεί το μέσον αυτό πιο εύχρηστο και λειτουργικό (δεν απαιτεί extra reader από τους χρήστες του). Για την πιστοποίηση της ταυτότητας των servers του, με σκοπό την ασφάλεια όλων των κρίσιμων διαδικτυακών συναλλαγών και την τήρηση του απορρήτου των προσωπικών δεδομένων, ο όμιλος διαθέτει και χρησιμοποιεί ψηφιακό πιστοποιητικό Secure Server Certificate της Adacom (Affiliate της Verisign στην Ελλάδα). Ο κ. Γιάννης Κομπόπουλος, Γενικός Διευθυντής της OMNIS-HELLAS S.A. παρουσίασε στους παρευρισκόμενους μια διαφορετική προσέγγιση της χρήσης των ηλεκτρονικών υπογραφών, με έμφαση στις ηλεκτρονικές συναλλαγές και τις ηλεκτρονικές πληρωμές μέσω κινητών τηλεφώνων. Συγκεκριμένα, η OMNIS-HELLAS αντιπροσωπεύει την πλατφόρμα της Cryptomathic η οποία συνεργάζεται με κινητά τηλέφωνα 2.5G/GPRS-10 και 3G/UMTS τα οποία φέρουν στην SIM card τους ψηφιακή υπογραφή τύπου PKI και η οποία ήδη λειτουργεί στην πράξη σε εφαρμογές m-payments της BeamTrust σε Σκανδιναβικές χώρες. Μάλιστα η Cryptomathic έχει αναπτύξει έναν εξελιγμένο κρυπτογραφικό αλγόριθμο "Ελλειπτικής Κρυπτογράφησης" ο οποίος διευκολύνει την επεξεργασία των δεδομένων και την ψηφιακή υπογραφή τους μέσα από τα δίκτυα κινητής τηλεφωνίας. H Omnis/Cryptomathic έχουν εκπονήσει ένα Business Case με τίτλο mtrust Mobile Trusted Transaction Environment το οποίο υποστηρίζει την βιωσιμότητα του επιχειρηματικού εγχειρήματος, έχοντας ως απώτερο στόχο τη λειτουργία ενός Ιδρύματος Ηλεκτρονικού Χρήματος βάσει του πλαισίου της Οδηγίας 2000/46/EC (ν. 3148/2003). Παράλληλα, η Cryptomathic έχει αναπτύξει μια ειδική μέθοδο για την εφαρμογή προηγμένων ηλεκτρονικών υπογραφών, τον Cryptomathic Signer, ο οποίος χαρακτηρίζεται από την χρησιμοποίηση ενός κεντρικού εξυπηρετητή (signature server) για την αποθήκευση και ενεργοποίηση των ιδιωτικών κλειδιών των χρηστών. Στις επιφυλάξεις που ακούστηκαν για το κατά πόσο μπορεί μια τέτοια διάταξη να χαρακτηριστεί ως ασφαλή διάταξη δημιουργίας υπογραφής σύμφωνα με τους όρους της νομοθεσίας και άρα να χρησιμοποιηθεί και για την δημιουργία αναγνωρισμένων ηλεκτρονικών υπογραφών, ο κ. Κομπόπουλος παρουσίασε έγγραφα-γνωμοδοτήσεις από ελεγκτικούς και νομικούς οργανισμούς (TUV και Landwell), τα οποία τεκμηριώνουν την καταλληλότητα της συγκεκριμένης μεθόδου-μηχανισμού να διαπιστευτεί ως ασφαλής διάταξη δημιουργίας ηλεκτρονικής υπογραφής. Γ. ΘΕΜΑΤΑ ΣΤΑ ΟΠΟΙΑ ΑΝΑΦΕΡΘΗΚΑΝ ΤΑ ΜΕΛΗ ΤΗΣ ΟΜΑΔΑΣ-ΤΟΠΟΘΕΤΗΣΕΙΣ Ακολούθησε ανοικτή συζήτηση η οποία στράφηκε γύρω από το ερώτημα για ποιο λόγο η ηλεκτρονική υπογραφή δεν τυγχάνει ακόμα ευρείας αποδοχής και χρήσης στις εφαρμογές του ιδιωτικού τομέα. Η τεχνολογία υφίσταται και η νομοθεσία βρίσκεται σε ισχύ, ωστόσο η αποδοχή και χρησιμοποίηση της ηλεκτρονικής υπογραφής δεν είναι η αναμενόμενη. Οι λόγοι που παρουσιάστηκαν από τους συμμετέχοντες ποικίλλανε και είναι ενδεικτικοί των πολλαπλών οπτικών γωνιών από τις οποίες μπορεί να εξεταστεί το θέμα: Σελίδα 3 από 7
Ιδίως ως προς την χρήση ηλεκτρονικών υπογραφών στον Τραπεζικό τομέα: Καταρχήν επισημάνθηκε ότι οι εφαρμογές του Τραπεζικού τομέα (e-banking) που δύνανται να χρησιμοποιήσουν ηλεκτρονικές υπογραφές και πιστοποιητικά, είναι συνήθως κλειστές εφαρμογές (στις οποίες συναλλάσσεται μία μόνο τράπεζα με τους πελάτες της), και ως τέτοιες, διέπονται κυρίως από συμβατικούς όρους -οι οποίοι καθορίζουν την έκταση της αναγνώρισης των χρησιμοποιούμενων υπογραφώνκαι όχι άμεσα από το σχετικό θεσμικό και ρυθμιστικό πλαίσιο. Βέβαια αυτό δεν γίνεται άμεσα σαφές από το κείμενο του σχετικού π.δ. 150/01 του εθνικού μας δικαίου, το οποίο κατά την μεταφορά του κοινοτικού δικαίου παρέλειψε να συμπεριλάβει την σχετική διευκρίνιση που αναγράφεται στο προοίμιο της σχετικής Οδηγίας, αλλά σε κάθε περίπτωση υπερισχύει η κοινοτική πρόβλεψη για τα κλειστά συστήματα ( Αρχή της ελευθερίας των συμβάσεων ). Με δεδομένη την έλλειψη ενός κοινού ρυθμιστικού πλαισίου, κάθε τραπεζικός οργανισμός αναπτύσσει τις δικές του εφαρμογές με γνώμονα το προφίλ των πελατών και τις ιδιαίτερες ανάγκες των σχεδιαζόμενων υπηρεσιών, χωρίς να λαμβάνονται υπ όψιν στοιχεία διαλειτουργικότητας των χρησιμοποιούμενων ηλεκτρονικών υπογραφών και πιστοποιητικών με άλλες εφαρμογές τρίτων. Η δια-τραπεζικότητα των χρησιμοποιούμενων εργαλείων, δηλαδή η δυνατότητα κοινής χρήσης των ίδιων υπογραφών και πιστοποιητικών των πελατών από όλες τις Τράπεζες, αποτελεί απώτερο στόχο, ο οποίος όμως έρχεται προς το παρόν σε δεύτερο επίπεδο, καθώς πρώτα απ όλα θα πρέπει να επιλυθούν τα εσωτερικά προβλήματα που αναδεικνύονται κατά την ενσωμάτωση και χρήση των νέων εργαλείων ασφάλειας στα υπάρχοντα συστήματα του κάθε τραπεζικού οργανισμού. Επισημάνθηκε, επίσης, ότι οι διαφορετικοί τρόποι ονομασίας ( naming policy, π.χ. χρήση λατινικών ή όχι χαρακτήρων, αναγραφή ή όχι του πατρώνυμου, της ημερομηνίας Γέννησης, χρήση ψευδωνύμων, κ.λ.π.) και η αναγραφή διαφορετικών στοιχείων ταυτοποίησης (π.χ. ΑΦΜ, αριθμού αστυνομικής ταυτότητας ή αριθμού τραπεζικού λογαριασμού) των πελατών-υποκειμένων στα ηλεκτρονικά πιστοποιητικά, αποτελεί ιδιαίτερο πρόβλημα για την διαλειτουργικότητα των πιστοποιητικών αυτών μεταξύ διαφορετικών τραπεζών. Εκφράστηκε και η άποψη ότι οι διαφορετικές ανάγκες κάθε τράπεζας (και κάθε οργανισμού γενικά) επιβάλλουν την διαφοροποίηση στα στοιχεία που εμφανίζονται στα χρησιμοποιούμενα πιστοποιητικά. Παρατηρήθηκε όμως σχετικά, ότι εάν υπάρξει ένας κοινός και ικανοποιητικός τύπος περιγραφής της ταυτότητας των πελατών, οι ιδιαίτερες ανάγκες για διαχείριση δικαιωμάτων πρόσβασης των πελατών στις υπηρεσίες των τραπεζών (και κάθε άλλου οργανισμού) μπορούν να λυθούν σε επίπεδο εφαρμογής (π.χ. με την χρήση σχετικών εσωτερικών βάσεων δεδομένων της κάθε τράπεζας ή εταιρίας). Αν και τα θέματα ασφάλειας κρίνονται ως καθοριστικής σημασίας για την αξιοπιστία των ηλεκτρονικών συναλλαγών -ιδίως στον τραπεζικό τομέα-, το κόστος ανάπτυξης και συντήρησης της σχετικής υποδομής είναι μεγάλο και δεν μπορεί να μετατεθεί εύκολα στον πελάτη (μιας και αυτός θεωρεί δεδομένη την παροχή ασφάλειας από την τράπεζά του), και αυτό αποτελεί έναν ακόμη ανασταλτικό παράγοντα για την αντικατάσταση των κλασσικών μεθόδων ασφαλείας που χρησιμοποιούν ως σήμερα οι Τράπεζες. Η υιοθέτηση μιας κοινής Πολιτικής Ηλεκτρονικής Υπογραφής (Π.Η.Υ.) από όλες τις Τράπεζες (μέσω της Ένωσης Τραπεζών Ελλάδος) ενδεχομένως: o θα έκανε πιο σαφείς τους όρους χρήσης των ηλεκτρονικών υπογραφών και πιστοποιητικών, o θα διαμοίραζε το κόστος έκδοσης των (κοινών) πιστοποιητικών, o θα αύξανε την χρησιμότητα και την αξιοπιστία των συγκεκριμένων μεθόδων, και o τελικά θα αποτελούσε πιθανό κίνητρο για τις Τράπεζες και τους πελάτες τους για την ανάπτυξη και χρήση σχετικών εφαρμογών. Ιδίως ως προς την χρήση ηλεκτρονικών υπογραφών μέσω κινητών τηλεφώνων: Αναγνωρίσθηκε η περιορισμένη δυνατότητα των ως σήμερα χρησιμοποιούμενων κινητών τηλεφώνων 2 ης γενιάς για παροχή προηγμένων υπηρεσιών οι οποίες απαιτούν χρήση ηλεκτρονικών υπογραφών και πιστοποιητικών. Αυτό όμως αλλάζει δραματικά με τον ερχομό των δικτύων και των συσκευών 3 ης γενιάς (3G) ακόμα και στο σημερινό περιβάλλον της αποκαλούμενης 2.5 G- όπου οι δυνατότητες ανάπτυξης σχετικών εφαρμογών είναι εφάμιλλες με αυτές των προσωπικών υπολογιστών και του internet. Επιπροσθέτως, τα κινητά τηλέφωνα και οι συσκευές PDAs, λόγω της φορητότητας και της δυνατότητας για ασύρματη επικοινωνία (Bluetooth ή/και IR) με άλλα τερματικά (ATMs, POSs, κ.λ.π.) που διαθέτουν, αποτελούν ιδανικό μέσον για την ανάπτυξη πολλών σχετικών εφαρμογών, όπως η- πληρωμών (e-payments) και η-εισιτηρίων (eticketing). Σελίδα 4 από 7
Επισημάνθηκε ότι οι SIM Cards που χρησιμοποιούνται στα κινητά τηλέφωνα, είναι ίδια ακριβώς τεχνολογία με τις smart cards, οι οποίες έχουν δυνατότητα ασφαλούς αποθήκευσης και χρήσης των κλειδιών του χρήστη και ότι για αυτό τον λόγο τα κινητά τηλέφωνα μπορούν, υπό προϋποθέσεις, να λειτουργήσουν ως ασφαλείς διατάξεις δημιουργίας ηλεκτρονικής υπογραφής για την δημιουργία αναγνωρισμένων ηλεκτρονικών υπογραφών. Επιπλέον, νέες τεχνολογίες και μέθοδες, όπως αυτή της κεντρικής διαχείρισης κλειδιών υπογραφής (signature server) και νέες εξελιγμένες συσκευές (π.χ. με την δυνατότητα ελέγχου βιομετρικών στοιχείων, με δυνατότητα υποδοχής άλλων smart-cards κ.λ.π.), μπορούν να παράσχουν περισσότερη ευελιξία και ασφάλεια στην χρήση των κινητών τηλεφώνων ως μέσου δημιουργίας ηλεκτρονικής υπογραφής και διενέργειας προσωπικών συναλλαγών. Η μελλοντική χρήση των κινητών τηλεφώνων για πρόσβαση σε προηγμένες υπηρεσίες και για τη διενέργεια οικονομικών συναλλαγών πρέπει να θεωρείται δεδομένη και να ληφθεί υπ όψιν στους όποιους σχεδιασμούς εφαρμογών ηλεκτρονικού επιχειρείν γίνονται. Οι επενδύσεις για την ανάπτυξη δικτύων και συσκευών 3 ης γενιάς θα επιφέρουν πρόσθετες και εξελιγμένες δυνατότητες σε αυτά εφόσον όμως ανατραπεί η υπάρχουσα αντίληψη των χρηστών, οι οποίοι συνδέουν την χρήση των συσκευών τους μόνο με εφαρμογές επικοινωνίας (φωνή, SMS, MMS) ή και με απλές υπηρεσίες ψυχαγωγίας (ring tones, games, MP3/radio player, κ.λπ.). Κοινά ζητήματα σχετικά με την διάδοση της χρήσης ηλεκτρονικών υπογραφών: Θεωρείται ότι το μεγάλο κόστος για την ανάπτυξη και την συντήρηση μιας υποδομής για την υποστήριξη εφαρμογών ηλεκτρονικών υπογραφών, καθιστούν ασύμφορη -σήμερα τουλάχιστον- την επένδυση σ αυτόν το τομέα, καθώς οι σχετικές εφαρμογές είναι περιορισμένες και ο κύκλος των αποδεκτών πολύ μικρός. Μια λύση στο θέμα της εξυπηρέτησης του κόστους της παροχής των υπηρεσιών πιστοποίησης είναι η εξάπλωση της χρήσης των ηλεκτρονικών πιστοποιητικών σε περισσότερες εφαρμογές (και άρα με περισσότερους δυνητικούς αποδέκτες), ώστε να καταστεί αναγκαία και χρήσιμη η απόκτησή τους από ευρύτερο κοινό. Οι πρωτοβουλίες από φορείς της αγοράς δεν μπορούν να φέρουν ικανοποιητικά αποτελέσματα σχετικά με την αύξηση της χρήσης των ηλεκτρονικών υπογραφών και τη δημιουργία της απαραίτητης κρίσιμης μάζας στους αποδέκτες των εφαρμογών τους. Ο κυριότερος λόγος για αυτό είναι το μικρό μέγεθος αυτών των εφαρμογών και η έλλειψη διαλειτουργικότητας των σχεδιαζόμενων προϊόντων και υπηρεσιών, η οποία οφείλεται σε μεγάλο βαθμό στο γεγονός ότι η υπάρχουσα σχετική προτυποποίηση είναι ελλιπής και το σχετικό ρυθμιστικό πλαίσιο ακόμη υπό διαμόρφωση. Η έλλειψη σαφών κανόνων τόσο για την λειτουργία των ΠΥΠ, όσο και για την αποδοχή των ηλεκτρονικών πιστοποιητικών και υπογραφών σε διάφορες συναλλαγές, δημιουργεί κάποια αβεβαιότητα ως προς τις επιχειρηματικές επιλογές που πρέπει να προβούν οι επιχειρήσεις που παρέχουν ή υιοθετούν στις εφαρμογές τους λύσεις ηλεκτρονικής πιστοποίησης και υπογραφής (π.χ. δομή υπηρεσιών, χρησιμοποιούμενα προϊόντα, αλγόριθμοι, profile πιστοποιητικών, τρόπος τεκμηρίωσης, κ.λ.π.), η οποία, με την σειρά της, ενισχύει τον ενδεχόμενο κίνδυνο που διατρέχουν οι επιχειρήσεις αυτές για συχνές αναγκαίες τροποποιήσεις ή αναβαθμίσεις της υποδομής τους. Υπάρχει η προσδοκία ότι η δημοσίευση του πλαισίου για την διαπίστωση συμμόρφωσης των προϊόντων ηλεκτρονικής υπογραφής και την εθελοντική διαπίστευση των ΠΥΠ από την αρμόδια εθνική ρυθμιστική αρχή (ΕΕΤΤ) θα συμβάλει θετικά στη διαμόρφωση του επιχειρηματικού πλαισίου. Παρατηρήθηκε όμως σχετικά, ότι υπήρξαν άλλες χώρες-μέλη της ΕΕ, όπου οι υπηρεσίες ηλεκτρονικής υπογραφής αναπτύχθηκαν επιτυχώς πολύ πριν υλοποιηθούν οι σχετικοί μηχανισμοί διαπίστωσης και (εθελοντικής) διαπίστευσης που προβλέπονται στα πλαίσια της Οδηγίας 1999/93/ΕΚ. Στο Βέλγιο, για παράδειγμα, η παροχή υπηρεσιών πιστοποίησης άρχισε ήδη από το 1996 (π.χ GlobalSign, Isabel), ενώ το σχήμα διαπίστευσης των ΠΥΠ εμφανίσθηκε μόλις το 2003 (BE.SIGN). Αντίστοιχα είναι τα παραδείγματα και σε άλλες χώρες όπως η Γερμανία, Ιταλία, Σουηδία, Φιλανδία κ.ά., χώρες όμως, που χαρακτηρίζονται από το γεγονός ότι είχαν αναπτύξει από νωρίς ιδιαίτερη εθνική νομοθεσία για τις ηλεκτρονικές υπογραφές ή είχαν θεσπίσει σχετικούς κανόνες διαλειτουργικότητας ΚΑΙ τεχνικά πρότυπα ασφάλειας τα οποία ίσχυαν αποκλειστικά σε εθνικό επίπεδο. Πολύ σημαντικά ζητήματα διαλειτουργικότητας σχετίζονται με τη μέθοδο δημοσίευσης των ανακλήσεων των πιστοποιητικών (CRLs, delta-crls, OCSPs), τον τρόπο ταυτοποίησης των υποκειμένων (χρήση ψευδώνυμων, αναγραφόμενα στοιχεία υποκειμένου, κ.λ.π.), καθώς και με την αναγνώριση των ειδικότερων Σελίδα 5 από 7
όρων που διέπουν την χρήση των εκδιδόμενων πιστοποιητικών (πολιτική πιστοποιητικού, όρια στην αξία των συναλλαγών, περιορισμοί στην χρήση τους, κ.λ.π.). Επίσης υπήρξε αναφορά και στην δυνατότητα χρήσης ξεχωριστών πιστοποιητικών ιδιοτήτων ή εξουσιοδότησης (attribute certificates) τα οποία θα συνδέονται με το βασικό πιστοποιητικό (δημοσίου κλειδιού) της υπογραφής ενός χρήστη. Τα πιστοποιητικά αυτά θα εκδίδονται από αρμόδιους φορείς (π.χ. επαγγελματικοί σύλλογοι για την πιστοποίηση του επαγγέλματος) και με την επιλεκτική χρησιμοποίησή τους από τον ιδιοκτήτη τους, θα μπορούν να βοηθήσουν στην διαφοροποίηση της εκάστοτε υπογραφής του, όπου οι ανάγκες μιας συγκεκριμένης εφαρμογής το απαιτούν (π.χ. υπογραφή ως ιδιώτης ή ως εκπρόσωπος εταιρίας, ως δικηγόρος, κ.λ.π.). Η μέθοδος αυτή προσφέρει την δυνατότητα για παροχή δικαιωμάτων ή απόδοση ιδιοτήτων σε ένα υποκείμενο τα οποία μπορούν να έχουν περιορισμένη διάρκεια ή να ανακληθούν άμεσα, χωρίς να επηρεάσουν το βασικό πιστοποιητικό ταυτοποίησης του υπογράφοντα που παραμένει σε ισχύ. Ιδιαίτερα σε διεθνείς συναλλαγές, τα παραπάνω προβλήματα διαλειτουργικότητας γίνονται εντονότερα, καθώς προσθέτονται ανάγκες έγκυρης πληροφόρησης για την αξιοπιστία του (αλλοδαπού) ΠΥΠ, και το ζήτημα της γλώσσας στην οποία παρέχονται οι σχετικές πληροφορίες. Σχετική είναι η ανάγκη για τεχνολογική μέθοδο αμοιβαίας αναγνώρισης (cross-certifying) μεταξύ των ΠΥΠ και κυρίως μεταξύ των εθνικών ρυθμιστικών αρχών που εποπτεύουν την λειτουργία τους. Με ιδιαίτερη έμφαση τέθηκε και το ζήτημα του αρνητικού ψυχολογικού παράγοντα καθώς και της ανάγκης επιμόρφωσης των δυνητικών χρηστών (τόσο των πολιτών/πελατών, όσο και των ιδιωτικών και δημοσίων υπαλλήλων που λειτουργούν για τον εργοδότη τους) για την αφομοίωση των τεχνολογιών ηλεκτρονικής υπογραφής και την περαιτέρω εμπέδωση των σχετικών εφαρμογών. Η τάση αποφυγής των νέων τεχνολογιών, η άγνοια των κινδύνων και των επιπτώσεων και έλλειψη αξιόπιστης πηγής ενημέρωσής τους για τα σχετικά ζητήματα, δημιουργούν δυσπιστία στους δυνητικούς χρήστες σχετικά με τα οφέλη χρήσης τους και θα πρέπει οργανωμένα και από κοινού, πολιτεία και επιχειρήσεις, να συμβάλλουν στην ενημέρωση των χρηστών και στην ανάπτυξη της εμπιστοσύνης τους προς τις σχετικές εφαρμογές. Για να επιτευχθεί, όμως, αυτό, θα πρέπει να λαμβάνονται υπ όψιν τόσο στην διαδικασία προτυποποίησης, όσο και στον σχεδιασμό των ειδικών εφαρμογών, οι ιδιαίτερες ανάγκες και η λειτουργικότητα από την πλευρά του (τελικού) χρήστη. Το Δημόσιο κατέχει έναν πολύ σημαντικό ρόλο, τόσο ως προς την ενθάρρυνση της χρήσης ηλεκτρονικών υπογραφών και την δημιουργία κρίσιμης μάζας χρηστών, όσο και ως προς την προώθηση της διαλειτουργικότητας των σχετικών εφαρμογών, μέσω των σαφέστερων κανόνων χρήσης και αποδοχής της ηλεκτρονικής υπογραφής που αναμένεται να καθορίσει στις εφαρμογές ηλεκτρονικής διακυβέρνησης (egovernment). Στην συνάντηση αναφέρθηκαν μερικά χαρακτηριστικά παραδείγματα εφαρμογών στις οποίες ο δημόσιος τομέας πρέπει να ενσωματώσει λειτουργίες ηλεκτρονικής υπογραφής, όπως π.χ. την ηλεκτρονική κατάθεση περιοδικών δηλώσεων ΦΠΑ και δηλώσεων εισοδήματος, την λειτουργία e-κεπ με την δυνατότητα αποστολής ηλεκτρονικά υπογεγραμμένων αιτήσεων των πολιτών από τον υπολογιστή τους και παραλαβής ηλεκτρονικά υπογεγραμμένων δημοσίων εγγράφων (πιστοποιητικών, βεβαιώσεων, κ.λ.π.), την κατάθεση ηλεκτρονικών προσφορών για τις προμήθειες του Δημοσίου, κ.ά. Η ανάπτυξη σχετικών εφαρμογών από το Δημόσιο, -το οποίο, σύμφωνα με το ά. 3 7 της Οδηγίας 99/93/ΕΚ, θα πρέπει να ορίσει διαφανείς και αντικειμενικούς όρους για την αποδοχή προϊόντων ηλεκτρονικών υπογραφών και υπηρεσιών πιστοποίησης που θα παρέχονται από την αγορά-, θα τονώσει την σχετική αγορά, θα αποσαφηνίσει ιδιαίτερα ζητήματα σχετικά με την αναγνώριση των διαφόρων τύπων ηλεκτρονικών υπογραφών και θα παράσχει προς τους πολίτες την απαραίτητη εξοικείωση και την εμπιστοσύνη προς την συγκεκριμένη τεχνολογία. Απαραιτήτως όμως θα πρέπει να αποφευχθεί ο κατακερματισμός της αγοράς με την εισαγωγή μη απαραίτητων περιορισμών στις ηλεκτρονικές υπογραφές και τα σχετικά ηλεκτρονικά πιστοποιητικά που θα χρησιμοποιούνται στις συναλλαγές με το Δημόσιο τομέα, σε σχέση με αυτά που κυκλοφορούν στον ιδιωτικό. Ένα άλλο θέμα που θίχτηκε στην συνάντηση αφορούσε την διαχρονικότητα και την ασφαλή αρχειοθέτηση των ηλεκτρονικά υπογεγραμμένων εγγράφων. Συγκεκριμένα ακούστηκαν προβληματισμοί ως προς το τεχνικό μέσο, τον τύπο αρχείου και το είδος των πληροφοριών που πρέπει να χρησιμοποιούνται για την μακρόχρονη φύλαξη σημαντικών ηλεκτρονικών εγγράφων (π.χ. συμβάσεων), λαμβάνοντας ιδίως υπ όψιν την ταχύτατη τεχνολογική εξέλιξη (σύντομη απαρχαίωση των εκάστοτε σύγχρονων συστημάτων) και την σχετική αποδυνάμωση των χρησιμοποιούμενων αλγόριθμων και κλειδιών κρυπτογράφησης. Στις περιπτώσεις αυτές αναφέρθηκε ότι θα πρέπει να γίνεται συχνή ανανέωση των τυχόν χρησιμοποιούμενων πιστοποιητικών χρονοσήμανσης (που θα συμπεριλαμβάνουν και τα στοιχεία επικύρωσης της αρχικής υπογραφής, σύμφωνα με Σελίδα 6 από 7
τις προηγμένες μορφές υπογραφής που αναφέρονται στο πρότυπο ETSI TS 101 733), αλλά και ότι η χρήση Τρίτων Έμπιστων Οντοτήτων ( ηλεκτρονικά συμβολαιογραφεία ) οι οποίες θα αναλαμβάνουν την ασφαλή διαφύλαξη και την επιβεβαίωση της εγκυρότητας των ηλεκτρονικών εγγράφων μετά από μεγάλο χρονικό διάστημα είναι αναγκαία. Δ. ΕΝΗΜΕΡΩΣΗ ΑΠΟ ΕΕΤΤ ΓΙΑ ΣΥΣΤΑΣΗ ROOT CA Η ΕΕΤΤ, ως ρυθμιστική αρχή, ενημέρωσε τους παρευρισκόμενους εκπροσώπους της αγοράς σχετικά με την επικείμενη έκδοση αποφάσεων για την Εθελοντική Διαπίστευση των ΠΥΠ και την διαπίστωση συμμόρφωσης προϊόντων ηλεκτρονικής υπογραφής, καθώς και με την πιθανότητα σύστασης και λειτουργίας μιας Θεμελιώδους Αρχής Πιστοποίησης (Root CA) για τον έλεγχο των ΠΥΠ που εκδίδουν αναγνωρισμένα πιστοποιητικά. Η ενδεχόμενη απόφαση της ΕΕΤΤ θα στηρίζεται σε σχετική μελέτη που η ΕΕΤΤ έχει αναθέσει και σε διαβουλεύσεις με εκπροσώπους των ΠΥΠ. Στη σχετική συζήτηση που ακολούθησε αρκετοί εκπρόσωποι ΠΥΠ διατύπωσαν επιφυλάξεις ως προς το σκοπό και την αποτελεσματικότητα ενός μηχανισμού ελέγχου των ΠΥΠ που εκδίδουν αναγνωρισμένα πιστοποιητικά ο οποίος θα στηρίζεται σε αρχιτεκτονική Εθνικής Θεμελιώδους Αρχής Πιστοποίησης (Root CA) που θα λειτουργεί η ΕΕΤΤ. Συγκεκριμένα, τέθηκαν ζητήματα σχετικά με την πολυπλοκότητα, το κόστος και την διάρκεια υλοποίησης του εγχειρήματος, την ανάγκη συντήρησης της υποδομής της ΕΕΤΤ και πιθανώς και για συχνή αναβάθμισή της, το κόστος της υποχρεωτικής αναπροσαρμογής της υφιστάμενης υποδομής και της σχετικής τεκμηρίωσής των ΠΥΠ (για την οποία οι περισσότεροι ΠΥΠ έχουν ήδη προβεί σε κάποιες ακριβές 'διαπιστεύσεις συμμόρφωσης με πρότυπα'), την τύχη των ήδη εκδοθέντων από τους ενδιαφερόμενους ΠΥΠ και ισχύοντων πιστοποιητικών των πελατών τους, κ.ά. Αναφέρθηκε επίσης ότι στο βαθμό που δεν είναι ώριμες οι συνθήκες για την ανάπτυξη μιας βιώσιμης αγοράς αναγνωρισμένων ηλεκτρονικών υπογραφών στην Ελλάδα, οι αυξημένες απαιτήσεις διαπίστευσης και ελέγχου ενδέχεται να οδηγήσουν την αγορά σε επιπλέον καθυστερήσεις. Επειδή θεωρήθηκε ότι οι σχετικές απόψεις χρειάζονται επιπλέον διευκρίνιση, ο προεδρεύων κος Μαρτάκος πρότεινε να διερευνηθεί το ενδεχόμενο διαβούλευσης επί του ζητήματος διαπίστευσης και ελέγχου των ΠΥΠ με τη συμμετοχή όλων των ενδιαφερομένων μερών στα πλαίσια της ΟΕ Ε2 του ebusinessforum. IV. ΕΠΟΜΕΝΕΣ ΕΝΕΡΓΕΙΕΣ ΠΑΡΑΔΟΤΕΑ ΑΠΟΦΑΣΕΙΣ ΤΗΣ ΟΜΑΔΑΣ ΕΡΓΑΣΙΑΣ Στο τέλος της συνεδρίασης ακολούθησε μια αναφορά από τους rapporteurs της OE στο χρονοδιάγραμμα των επόμενων ενεργειών της Ομάδας και στα σχεδιαζόμενα παραδοτέα. Συγκεκριμένα ανακοινώθηκε ότι σχεδιάζεται να ακολουθήσει άλλη μία τελευταία (4 η ) ανοικτή συνάντηση διαβούλευση της ομάδας εντός του Δεκεμβρίου -σε τόπο και ημερομηνία που καθορισθεί αργότερα-, με επίκεντρο τεχνικά θέματα των ηλεκτρονικών υπογραφών (τεχνολογίες, πρότυπα, διαλειτουργικότητα, κ.λ.π.). Στη συνάντηση αυτή θα παρουσιαστεί, επίσης, και η οριστική δομή του τελικού παραδοτέου προς έγκριση από την ομάδα. Το τελικό παραδοτέο υπολογίζεται ότι θα είναι έτοιμο στα τέλη του Ιανουαρίου 2004, οπότε και θα παρουσιαστεί σε σχετική εκδήλωση που θα πραγματοποιήσει η Ομάδα. Επίσης, ανακοινώθηκε η σύνταξη ενός Σύντομου Οδηγού Δεκαλόγου για τις ηλεκτρονικές υπογραφές και τα ηλεκτρονικά πιστοποιητικά από τους rapporteur της ΟΕ, ο οποίος θα αποσταλεί σύντομα για σχολιασμό στα μέλη της ΟΕ. Ο Δεκάλογος πρόκειται να τυπωθεί και να διανεμηθεί από το ebusinessforum σε φυλλάδιο, κατά τα πρότυπα παρόμοιων πρωτοβουλιών άλλων (προηγούμενων) ομάδων εργασίας.- Οι rapporteur της ΟΕ Ε2 Μαρία Γιαννακάκη, Δικηγόρος, LL.M IT Law Χρήστος Σιουλής, Δικηγόρος - Νομικοτεχνικός Σύμβουλος Σελίδα 7 από 7