آشنایی با امضاء دیجیتالی و مزایا و معایب آن
گواهی الكترونیكی چیست؟
گواهی الكترونیكی (digital certificate) شناسه دیجیتال یك موجودیت (مانند فرد، نرم‌افزار، سازمان، و غیره) در تعاملات الكترونیكی است. در واقع، همانطور كه در تعاملات غیر الكترونیكی، "كارت ملی" یا شناسنامه یك فرد شناسه وی می‌باشد، در تعاملات الكترونیكی "گواهی الكترونیكی" شناسه فرد (و بطور كلی هر موجودیت) می‌باشد. در تعاملات الكترونیكی (برخلاف تعاملات رو در رو)، طرفین ممكن است نتوانند هویت طرف مقابل را شناسایی كنند. این چالش می‌تواند منجر به برخی محدودیت‌ها و مشكلات در این نوع تعاملات شود. مثلا ممكن است نتوان مانند اسناد كاغذی، اسناد الكترونیك را نیز امضا و برای دیگران ارسال نمود.
گواهی الكترونیكی، رایج‌ترین راه‌حل مواجهه با چالش بالا است. یك موجودیت با استفاده از گواهی الكترونیكی خود می‌تواند به طرف مقابل خود اطمینان دهد كه با موجودیت موردنظر خود در تعامل است. برای مثال، وقتی فرد یك سند الكترونیك امضاشده دریافت می‌كند، می‌تواند از هویت فرد امضاكننده‌ی سند اطمینان حاصل كند.
امضای دیجیتال چیست؟
امضاهای دیجیتال در بسیاری از جنبه‌ها مشابه امضاهای سنتی دستی هستند.انجام امضاهای دیجیتال به شکل صحیح بسیار مشکل تر از یک امضای دستی است.طرح‌ها فایل امضای دیجیتال بر مبنای رمزنگاری نامتقارن هستند و می بایست به شکل صحیح صورت گیرد تا موثر واقع شود.
امضای دیجیتال مفهومی شبیه امضای دستی و اثر انگشت اما با عملكردی دقیق‌تر و امن‌تر در دنیای الكترونیك دارد. وقتی روی یك سند الكترونیك (مانند سند الكترونیكی یك قرارداد، نامههای اداری، فرم‌های الكترونیكی، و غیره) امضای دیجیتال انجام می‌شود:برخلاف امضای دستی، دیگران با استفاده از گواهی فرد می‌توانند به سادگی هویت امضاكننده سند را تشخیص دهند زیرا گواهی الكترونیكی هر فرد شناسه وی می‌باشد.
برخلاف امضای دستی، پس از امضای دیجیتال سند، هر تغییری در محتوای سند امضاشده به سادگی قابل تشخیص است. بنابراین، امكان جعل یا تغییر اسناد غیر ممكن می‌شود. در واقع هر تغییر در سند، موجب نامعتبر شدن امضای دیجیتال آن می‌شود.
برخلاف امضای دستی كه در آن فرد می‌تواند امضای خود روی سند را انكار كند، در امضای دیجیتال فرد به هیچ عنوان نمی‌تواند امضای خود روی سند را انكار نماید زیرا با استفاده از امضای دیجیتال روی سند و "گواهی الكترونیكی" فرد، می‌توان به هویت امضاكننده آن پی برد.
برخلاف امضای دستی كه همیشه ثابت است، امضای دیجیتال هر سند برای آن سند منحصر به فرد است. در واقع، امضای دیجیتال هر سند مرتبط با محتوای آن سند است. بدین‌سان، امكان جداسازی امضای دیجیتال از روی سند به منظور استفاده مجدد روی سندی دیگر ،یا جایگزین نمودن آن با امضایی دیگر امكان‌پذیر نیست.لازم به ذكر است امضای دیجیتال به امضای اسناد الكترونیكی محدود نمی‌شود و به طور كلی روی هر داده الكترونیكی می‌توان امضای دیجیتال انجام داد.
تفاوت امضای دیجیتال و الکترونیکی:
شاید از نام امضای دیجیتالی این سوال برا ی کاربران پیش آید که فرد به صورت الکترونیکی مانند همانی که در روش سنتی امضا می کند، است ولی باید گفت امضای دیجیتالی امضای اسکن شده از امضای واقعی فرد از روی کاغذ نیست، بلکه امضای دیجیتالی اطلاعاتی است که از فرد گرفته شده و به صورت رمز در سیستم ذخیره می شود بنابراین اگر این بخش از اطلاعات فردی دسنکاری شود، اسناد بدون اعتبار تلقی می شوند.
مشخصات امضا دیجیتال
طرح امضای دیجیتال معمولاً سه الگوریتم را شامل می‌شود:
1- الگوریتم تولید کلید را که کلید خصوصی را بطور یکسان و تصادفی از مجموعه کلیدهای ممکن انتخاب می‌کند. خروجی‌های این الگوریتم کلید خصوصی و کلید عمومی مطابق با آن است.
2- الگوریتم امضا که توسط آن با استفاده از کلید خصوصی و پیام، امضا شکل می‌گیرد.
۳ -الگوریتمی که با استفاده از پیام دریافتی و کلید عمومی صحت امضا را بررسی می‌کند و با مطابقتی که انجام می‌دهد یا امضا را می پذیرد یا آن را رد می‌کند.
دو ویژگی اصلی که در امضای دیجیتال مورد نیاز است:
اولا:امضای تولید شده از پیام مشخص و ثابت هنگامی که توسط کلید عمومی مورد بررسی قرار می‌گیرد فقط در مورد همان پیام ارسالی می‌تواند عمل تطبیق را صورت دهد و در مورد هر پیام متفاوت و خاص می‌باشد.
ثانیا: امضای دیجیتال می بایست قابلیت اجرا توسط الگوریتم را داشته باشد و بتواند فایل امضای معتبر برای مهمانی که کلید خصوصی را دارا نمی‌باشد ایجاد نماید.
معایب امضای دیجیتال
با وجود تمام مزایایی که امضای دیجیتال دارد ولی این طرح همچنان در حل برخی مشکلات که در ادامه آنها را مطرح می کنیم ناتوان است.
الگوریتم و قوانین مربوط به آن نمی‌توانند تاریخ و زمان امضای یک سند را در ذیل آن درج کنند از همین جهت شخص دریافت کننده نمی‌تواند این اطمینان را حاصل کند که نامه واقعاً در چه تاریخ و زمانی به امضا رسیده است. ممکن است در محتویات سند تاریخی درج شده باشد و با تاریخی که شخص نامه را امضا کرده باشد مطابقت نداشته باشد. البته برای حل این مشکل می‌توان از یک راه حل با عنوان زمان اعتماد به مهرو امضا استفاده کرد. همانطور که در ابتدای تعریف امضای دیجیتال اشاره شد این طرح غیر قابل انکار است و ساختار امضای دیجیتال بر همین اساس شکل گرفته است.
تکذیب در لغت به معنی انکار هرگونه مسئولیت نسبت به یک فعالیت است. هنگامی که پیامی ارسال می‌شود و فرستده آن را همراه امضا دریافت می‌کند در واقع این اطمینان در شخص دریافت کننده ایجاد می‌شود که نامه را چه کسی امضا کرده است و انکار امضا کاری مشکل به نظر می‌رسد.
تا زمانی که کلید خصوصی به صورت مخفی باقی بماند شخص فرستنده نمی‌تواند چنین ادعایی داشته باشد ولی هنگامی که فایل امضای شخصی مورد حمله قرار بگیرد نه تنها خود فایل امضا اعتبار لازم را از دست می‌دهد بلکه استفاده از زمان اعتبار مهر و امضا نیز دیگر کاربردی نخواهد داشت. البته یادآوری این نکته لازم است هنگامی که شما در سامانه خود از کلید عمومی بهره می‌گیرد دیگر نمی‌توانید امضای خود را انکار کنید و در صورتی این موضوع امکان پذیر است که کل شبکه مورد حمله واقع شود و سامانه از اعتبار لازم ساقط شود.
بنابراین توجه به انتخاب یک راه حل درست برای پیاده سازی طرح امضای دیجیتال از اهمیت ویژه‌ای برخوردار است و ممکن است با یک مشکل کل اعتبار مجموعه زیر سوال برود. مطابق اصول فنی امضای دیجیتال،فایل امضای دیجیتال رشته‌ای از بیت‌ها را در اجرای این طرح به کار می‌برد،در واقع افراد در این طرح مجموعه‌ای از بیت‌ها را که ترجمه پیام است امضا می‌کنندآن آنها ترجمه معنایی آنها ذره‌ها امضا می‌کنند.
مشکل دیگر امضای دیجیتال این است که چون پیام توسط یک تابع مشخص به مجموعه‌ای از بیت‌ها ترجمه و پردازش می‌شود ممکن است در طی مرحله انتقال و دریافت پیام ترجمه پیام دچار خدشه شود و مفهوم دیگری به خود گیرد. برای حل این مشکل از روشی با عنوان دبلیو وای اس آی دبلیو وای اس استفاده می‌شود به این معنا که همان چیزی که مشاهده می‌شود امضا می‌شود. در این روش همان اطلاعات ترجمه شده خود را بدون آن که اطلاعات مخفی دیگری در آن قرار گیرد امضا می‌کند و پس از امضا و تایید اطلاعات از سوی شخص فرستنده درون سامانه به کار گرفته می‌شود. در واقع این روش ضمانت نامه محکمی برای امضای دیجیتال به شمار می‌رود و در سیستم‌های رایانه‌ای مدرن قابلیت پیاده سازی و اجرا را خواهد داشت.
مزایای امضای دیجیتال
یکی از دلایل به کار گیری امضاهای دیجیتالی که یک دلیل عادی به شمار می‌رود ایجاد اعتبار برای امضاها در یک سامانه تبادل داده و اطلاعات است.در واقع استفاده از امضای دیجیتال سندیت و اعتبار ویژه‌ای به یک سند می بخشند.وقتی که هر فرد دارای یک کلید خصوصی در این سامانه است با استفاده از آن می‌تواند سند را امضا کرده و به آن ارزش و اعتبار داده و سپس آن را ارسال کند.
اهمیت ایجاد اطمینان قطعی و محکم برای شخص دریافت کننده پیام درباره صحت ادعای فرستنده در برخی از انواع انتقال اطلاعات مانند داده‌های مالی به خوبی خود را نشان می‌دهد و اهمیت وجود امضای دیجیتال درست را بیش از پیش به نمایش می گذارد. به عنوان مثال تصورکنید شعبه‌ای از یک بانک قصد دارد دستوری را به دفتر مرکزی بانک به منظور درخواست ایجاد تعادل در حساب‌های خود را ارسال کند،اگر شخص دریافت کننده در دفتر مرکزی متقاعد نشود که این پیام، یک پیام صادقانه است و از سوی یک منبع مجاز ارسال شده است طبق درخواست عمل نکرده و در نتیجه مشکلاتی را به وجود می‌آورد.
در موارد بسیار زیادی،فرستنده و گیرنده پیام نیاز دارند این اطمینان را به دست بیاورند که پیام در مدت ارسال بدون تغییر باقی‌مانده است.هرچند رمزنگاری محتوای پیام را مخفی می‌کند ولی ممکن است امضا در یک سامانه از اعتبار ساقط شود و محتویات یک پیام دست خوش تغییرات گردد.
استفاده از امضای دیجیتال به عنوان روشی از رمز نگاری می‌تواند ضامن درستی و بی نقصی یک پیام در طی عملیات انتقال اطلاعات باشد زیرا همانطور که در ساختار اجرایی شدن الگوریتم مشاهده کردید از تابع درهم سازی بهره گرفته شده است و همین نکته ضمانت بهتری را برای درستی و صحت یک پیام ایجاد می نماید.
چرا باید از گواهی امضای دیجیتال استفاده كرد؟
افراد و سازمان‌ها به دلایل زیر نیاز به استفاده از امضای دیجیتال دارند:
بهره‌مندی از پشتوانه حقوقی امضای دیجیتال: یك مزیت برجسته امضای دیجیتال پشتوانه حقوقی آن در كشور است. در این رابطه بخش‌هایی از قانون تجارت الكترونیك كشور به امضای دیجیتال پرداخته كه در زیر به برخی مواد مهم آن اشاره شده است:
ماده 7 (اعتبار قانونی امضای دیجیتال): "هرگاه قانون وجود امضا را لازم بداند، امضای الكترونیكی مكفی است." بر اساس این ماده، امضای دیجیتال به تنهایی و بدون نیاز به امضای دستی برای قانون كفایت می‌كند. برای مثال، می‌توان یك سند الكترونیك امضاشده را (بدون نیاز به نسخه كاغذی آن كه به طور دستی امضاشده) به مجامع قانونی ارائه كرد.
ماده 12 (استناد قانونی): "اسناد و ادله اثبات دعوی ممكن است به صورت داده پیام بوده و در هیچ محكمه یا اداره دولتی نمی‌توان بر اساس قواعد ادله موجود، ارزش اثباتی «داده پیام» را صرفاً به دلیل شكل و قالب آن رد كرد." در این ماده، یكی از مصادیق "داده‌پیام"، سند الكترونیكی است و بر طبق این ماده می‌توان از اسناد و داده‌های الكترونیكی (مثلاً فایل‌ها) امضاشده در محاكم و مجامع قانونی به عنوان مدركی معتبر استفاده كرد.
بخشی از ماده 15 (عدم انكار): "نسبت به داده‌پیام مطمئن و امضای الكترونیكی مطمئن، انكار و تردید مسموع نیست". طبق این ماده، امكان انكار امضای دیجیتال روی یك سند الكترونیك وجود ندارد.
خودكارسازی و تسریع در فرایندها:برای مثال، فرض كنید كلیه كاركنان یك سازمان باید فرمی را تكمیل نمایند. این كار می‌تواند در یك سازمان بزرگ زمان‌بر باشد. روش بهتر این است سند الكترونیك فرم برای كاركنان ارسال شود (مثلاً در یك سایت قرار داده شود)، سپس توسط ایشان تكمیل و امضای دیجیتال شده و سند امضاشده (از طریق ایمیل یا سایت) بازگردانده شود.
كاهش هزینه‌ها: اسناد كاغذی می‌تواند هزینه‌های چشمگیری را به سازمان‌ها تحمیل كنند. به عنوان نمونه آماری، در كشوری مانند ایالات متحده سالانه حدود 30 میلیارد سند كاغذی كپی و پرینت گرفته می‌شود. با محاسبه هزینه كپی، اسكن، بایگانی، جابه‌جایی، و بازیابی اسناد كاغذی گم‌شده، هزینه هر سند امضاشده حدود 6.5 دلار تخمین زده شده است. معمولاً افراد مجاز یك سازمان به طور متوسط 500 سند امضا می‌كنند كه هزینه سالانه آن 3250 دلار می‌شود. با استفاده از اسناد الكترونیك می‌توان از چنین هزینه‌هایی جلوگیری نمود.
در چه كاربرد‌هایی می‌توان از امضای دیجیتال استفاده كرد؟
به طور كلی روی هر داده الكترونیكی می‌توان عملیات امضای دیجیتال انجام داد اما عمدتا در كاربرد‌های امضای دیجیتال اسناد و تراكنش‌ها از این نوع گواهی استفاده می‌شود. برای نمونه می‌توان به امضای دیجیتال قراردادها و توافق‌نامه‌ها، فرم ها، گزارشات، نامههای اداری، سیاست‌ها و دستورالعمل‌ها، و غیره اشاره نمود. در زیر به طور خاص به برخی كاربرد‌ها اشاره شده است:
•امضای دیجیتال اسناد PDF، اسناد Office (مانند Word، Excel، و غیره)، اسناد اتوكد AutoCAD، فایل‌های TIFF، و غیره
•استفاده از امضای دیجیتال در سیستم‌های اتوماسیون workflow و سیستم‌های مدیریت محتوا K2 ،Nitex ،Oracle ،Alfresco ،OpenText ،SharePoint و غیره
لازم به ذكر است، دو نرم‌افزار متداول برای امضای دیجیتال اسناد، نرم‌افزار‌های Adobe Acrobt Professional (برای امضای دیجیتال اسناد PDF) و مجموعه نرم‌افزار‌های Microsoft Office (برای امضای دیجیتال اسناد Word، Excel، و غیره) می‌باشند.