Komerční certifikát

pro elektronický podpis

Stručně

Charakteristika: Ani legislativní, ani technický pojem, ale spíše praktický pojem používaný v ČR. Komerční certifikát je nekvalifikovaný certifikát sloužící primárně k jiným účelům než k podepisování. Vydáván je třemi národními autoritami (I.CA, Česká pošta, eIdentity) a to tak pečlivě jako kvalifikovaný certifikát, takže je spojen s konkrétní osobou velmi spolehlivě.

Definice

Není

Komentář

Komerční certifikáty často vyvolávají u uživatelů nepříjemné až zlostné pocity: "Proč si musím vyřizovat a kupovat další certifikát, když už jeden (kvalifikovaný) mám?" Odpověď je překvapivě věcná, nepramení ze ziskuchtivosti certifikačních autorit a stojí za obšírnější vysvětlení.

Komerční certifikát je zpravidla vyžadován pro přihlašování se do webových portálů - k internetovým serverům. Přihlašování k internetovému serveru probíhá následovně:

Server pošle klientu (uživateli) náhodný blok dat, který má uživatel zašifrovat svým privátním klíčem.
Uživatel náhodný blok dat zašifruje svým privátním klíčem a výsledek pošle zpět serveru. K tomu připojí svůj veřejný klíč s certifikátem (eventuálně už jeho veřejný klíč s certifikátem má server ve své databázi).
Server veřejným klíčem uživatele dešifruje výsledek, který mu uživatel poslal, a pokud zpětně dešifrovaný výsledek přesně odpovídá původním náhodným datům, tak server ví, že komunikuje právě s osobou identifikovanou certifikátem (certifikát obvykle obsahuje alespoň jméno, příjmení a e-mailovou adresu osoby).

Háček tkví v onom náhodném bloku dat, který server při autentizaci posílá uživateli. Zlomyslný server totiž může na své straně vytvořit náhodný blok dat tak, že spočítá tzv. hash kód z určitého PDF dokumentu - např. ze smlouvy (v PDF) na nákup předražených kuchyňských hrnců. Tento "náhodný blok dat" pošle nic netušícímu uživateli k zašifrování a tak od uživatele získá přesně to, co je elekronický podpis oné smlouvy (v PDF). Pokud se tedy uživatel přihlásil ke zlomyslnému serveru svým kvalifikovaným certifikátem, má provozovatel zlomyslného serveru v ruce legálně bezvadně podepsanou kupní smlouvu (v PDF) na ony předražené hrnce.

Protože kvalifikovaný certifikát slouží k podepisování, má se jím jen podepisovat. Všechna ostatní použití certifikátu jsou sice technicky možná, ale jsou potenciálně nebezpečná a mohou produkovat nechtěné, právně závazné podpisy někde, kde to uživatel vůbec nezamýšlel.

Jinými slovy totéž vysvětluje Ministerstvo vnitra na své stránce.

Pro úplnost dodávám, že obráceně i komerčním certifikátem lze podepisovat (PDF, e-maily a vše ostatní). Podpis založený na komerčním certifikátu však není uznávaný veřejnou správou (§ 5 ZSVD). Může být ale uznán obchodním partnerem, neboť více než bohatě zaručuje identitu podepisujícího (§ 7 ZSVD).

Pro pořádek můžeme mezi komerční certifikáty zařadit i certifikáty vydávané bankami svým klientům.

Využijte služby INOXI: Zřízení elektronického podpisu v pohodlí Vaší kanceláře bez nutnosti návštěvy pošty. Nebo bez dopravy vzdálená asistence a instalace po celé ČR. Obojí včetně kompletní instalace a zaškolení.

Podpis plnícím perem