Az elektronikus aláírás olyan kriptográfiai eljárás, amelynek segítségével joghatás kiváltására alkalmas, akár a kézzel írott aláírással vagy a közjegyző előtt tett aláírással egyenértékű bizonyító erejű dokumentum hozható létre a hatályos jogszabályok – elsősorban a módosított eIDAS rendeletmódosított eIDAS rendelet egységes szerkezetben és a 2023. évi CIII. törvény (Dáptv.)2023. évi CIII. törvény – szerint. Az elektronikus aláírás a digitális aláíráshoz hasonló fogalom, ám míg a digitális aláírás elsősorban a technológiát, az elektronikus aláírás a technológia mellett a jogi fogalmat is jelenti.
Magyarországon a következő bizalmi szolgáltatók bocsátanak ki minősített elektronikus aláíró tanúsítványokat: a NISZ Zrt, a Netlock Kft és a Microsec zrt. e-Szignó szolgáltatása. Beszerezhető még a Lippert Kft. Flintsign szolgáltatásában, amely nem bizalmi szolgáltató, hanem az olasz InfoCert magyarországi partnere.
Az elektronikus aláírás jogszabályi háttere, típusai Korábban, 2001 és 2016 között az elektronikus aláírás jogszabályi hátterét az elektronikus aláírásról szóló 2001. évi XXXV. törvényaz elektronikus aláírásról szóló 2001. évi XXXV. törvény (Eat.) adta, amely kifejezetten csak az elektronikus aláírást és a hozzá kapcsolódó szolgáltatásokat (pl. e-aláírás hitelesítés szolgáltatást) szabályozta, és amely az 1999/93/EU irányelven1999/93/EU irányelven alapult.
Az Európai Unió 2014-ben rendeleti szintre emelte a témával kapcsolatos szabályozást az Európai Parlament és a Tanács belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről szóló 910/2014/EU rendeletének (eIDAS) megalkotásával. Az eIDAS rendelet az EU egész területén teljes egészében alkalmazandó, és így az e-aláírásra vonatkozó legfelsőbb szintű jogszabálynak minősül Magyarországon is.
Az eIDAS mellett az elektronikus aláírásra vonatkozó fontos jogszabály a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény,023. évi CIII. törvény (Dáptv.) mivel ez rögzíti az eIDAS rendelet által nem szabályozott, tagállami hatáskörű rendelkezéseket a hazai viszonylatban. Hasonlóan fontos a polgári perrendtartásról szóló 2016. évi CXXX. törvény,2016. évi CXXX. törvény (Pp.) mivel ez szabályozza, hogy milyen típusú elektronikus aláírás szükséges a különböző okiratokhoz (pl. a teljes bizonyító erejű magánokirathoz).
A bizalmi szolgáltatásokat bizalmi szolgáltatók nyújtják, amelyek tekintetében az eIDAS megkülönböztet minősített és nem minősített szolgáltatókat. A minősített bizalmi szolgáltatókra lényegesen szigorúbb követelmények vonatkoznak, cserébe az általuk nyújtott szolgáltatások joghatása is erősebb, mint a nem minősített szolgáltatóké. Minősített szolgáltatás esetén ugyanis vélelmezni kell, hogy a szolgáltató a szolgáltatást "jól" nyújtja, és - bíróság előtt - annak kell bizonyítania az állítását, aki ezzel ellentéteset állít. Például, ha egy dokumentumon érvényes minősített időbélyeg szerepel, vélelmezni kell, hogy a dokumentum az időbélyegben szereplő időpontban már létezett; annak kell bizonyítania az állítását, aki szerint a dokumentum az időbélyegben szereplő időpontot követően jött létre. Nem minősített szolgáltatás esetén nincs ilyen vélelem, mindkét félnek bizonyítania kell a maga állítását, és az „nyer”, aki ezt meggyőzőbben teszi a bíróság előtt.
Az eIDAS rendelet (az Dáptv.-vel kiegészülve) meghatározza az egyes bizalmi szolgáltatásokra vonatkozó alapvető biztonsági követelményeket, és szabályozza a szolgáltatók felelősségét is. Több különböző biztonsági szintű elektronikus aláírást különböztet meg jogi-műszaki szempontból, a következőkben ezeket mutatjuk be, a csökkenő joghatásuk sorrendjében.
Minősített elektronikus aláírás
Az eIDAS rendelet meghatározása szerint a minősített elektronikus aláírás olyan fokozott biztonságú elektronikus aláírás, amely minősített tanúsítványon alapul, és amelyet minősített aláírást létrehozó eszköz (pl. egy speciális minősítésű intelligens kártya avagy chipkártya) segítségével hoztak létre.
A minősített elektronikus aláírás a legmagasabb biztonsági szintű elektronikus aláírás, műszaki hátterét tekintve minden esetben kriptográfiai technológiákra – jellemzően nyilvános kulcsú infrastruktúrára (PKI) és X.509 tanúsítványokra – épül.
Minősített tanúsítványt kizárólag minősített bizalmi szolgáltató bocsáthat ki. Ennek kapcsán az eIDAS rendelet egyik fontos követelménye, hogy a szolgáltató megfelelő eszközökkel (pl. személyes jelenlét útján) és a nemzeti jogszabályokkal összhangban ellenőrizze annak a személynek az azonosságát, akinek a részére a minősített tanúsítványt kibocsátja. Ha a minősített hitelesítés szolgáltató hibát követ el a tanúsítvány kibocsátása vagy menedzsmentje során, felelős az ebből eredő károkért.
Ha egy dokumentumon minősített elektronikus aláírás szerepel, vélelmezni kell, hogy a dokumentum tartalma az aláírás készítése óta nem változott meg, és a biztonságos aláírást létrehozó eszköz (és a rajta lévő aláírás-létrehozó adat / magánkulcs) az aláírás készítésének pillanatában az aláíró kizárólagos befolyása alatt volt.
A polgári perrendtartásról szóló törvény szerint a minősített elektronikus aláírással hitelesített okirat teljes bizonyító erejű magánokirat. Amennyiben a minősített aláírást közokirat kiállítására jogosult fél készítette, és teljesülnek a közokiratra vonatkozó követelmények, akkor a minősített elektronikus aláírással ellátott dokumentum közokirat.
A minősített elektronikus aláírás az Európai Unió teljes területén elfogadott, ugyanis az eIDAS rendelet kimondja, hogy: „a valamely tagállamban kibocsátott minősített tanúsítványon alapuló minősített elektronikus aláírást az összes többi tagállamban el kell ismerni minősített elektronikus aláírásként”, valamint azt is, hogy „a minősített elektronikus aláírás a saját kezű aláírással azonos joghatású”.
Minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás Ez az e-aláírás típus a fent ismertetett minősített elektronikus aláírás és a következő pontban leírt fokozott biztonságú e-aláírás „között” helyezkedik el. Erősségét alapvetőn az adja, hogy ez is minősített tanúsítványon alapul (amit csak a legszigorúbb követelményeket teljesítő minősített szolgáltatók bocsáthatnak ki), ennyiben hasonlít a minősített aláírásra. Különbség viszont, hogy ehhez az aláíráshoz nem szükséges minősített aláírást létrehozó eszköz használata (ahogy a fokozott biztonságú e-aláíráshoz sem).
Ez az e-aláírás típus az eIDAS rendeletben is megjelenik, de a rendelet nem fűz hozzá lényegi joghatást, ellentétben a hazai jogrenddel, ahol viszont ugyanolyan erős joghatása van, mint a minősített e-aláírásnak. A polgári perrendtartásról szóló törvény ugyanis úgy fogalmaz, hogy a „minősített, vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírással hitelesített okirat teljes bizonyító erejű magánokiratnak minősül”. Megjegyzendő ugyanakkor, hogy ez a jogszabályi rendelkezés kizárólag Magyarországon belülre vonatkozik, azaz a minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás csak itthon egyenértékű a minősített e-aláírással; az EU-ban továbbra is csak a minősített e-aláírást fogadják el a kézi aláírással egyenértékűnek.
Fokozott biztonságú elektronikus aláírás A fokozott biztonságú elektronikus aláírás a minősítettnél alacsonyabb biztonsági szintet képvisel, sokkal kevesebb szabály vonatkozik rá. Például, egy fokozott biztonságú elektronikus aláírás esetén: nem feltétlenül történt személyes azonosítás, az aláírást létrehozó adatot nem feltétlenül védi intelligens kártya, a bizalmi szolgáltató nem feltétlenül vállal felelősséget a tanúsítványért stb.
Az eIDAS rendelet szerint a fokozott biztonságú elektronikus aláírás olyan elektronikus aláírás, amely megfelel az alábbi követelményeknek: kizárólag az aláíróhoz köthető alkalmas az aláíró azonosítására olyan, elektronikus aláírás létrehozásához használt adatok felhasználásával hozzák létre, amelyeket az aláíró nagy megbízhatósággal kizárólag saját maga használhat olyan módon kapcsolódik azokhoz az adatokhoz, amelyeket aláírtak vele, hogy az adatok minden későbbi változása nyomon követhető
A fokozott biztonságú aláírás is általában kriptográfiai megoldásokra épül, és a szükséges követelmények műszaki szempontból akár PGP segítségével is teljesíthetők, ugyanakkor az eIDAS rendelet értelmezése alapján a fokozott biztonsági elektronikus aláírás is bizalmi szolgáltatóhoz köthető (a fokozott biztonságú e-aláíráshoz kapcsolódó tanúsítványt csak bizalmi szolgáltató állíthat ki).
A fokozott biztonságú elektronikus aláírással hitelesített dokumentum megfelel az írásba foglaltság követelményeinek, de nem kapcsolódik hozzá a minősített szolgáltatásokra megállapított fenti vélelem.
„Egyszerű” elektronikus aláírás
Az eIDAS rendelet szerint létezhet olyan elektronikus aláírás is, amely nem felel meg a fokozott biztonságú aláírás követelményeinek sem. A rendelet szerint az elektronikus aláírás „olyan elektronikus adat, amelyet más elektronikus adatokhoz csatolnak, illetve logikailag hozzárendelnek, és amelyet az aláíró aláírásra használ”.
Látható, hogy a jogszabályi meghatározás alapján az „egyszerű” elektronikus aláíráshoz nincs szükség semmilyen speciális eszközre, sem pedig szolgáltató igénybe vételére, így ennek bármi megfelelhet, pl. az is, hogy az email végére egyszerűen odaírjuk a nevünket. Ennek megfelelően az egyszerű elektronikus aláírásnak lényegében semmilyen joghatása nincs, erről a rendelet mindössze annyit állít, hogy a bíróság nem utasíthatja el önmagában azért, mert elektronikus formában létezik.
Az elektronikus aláíráshoz szükséges technológia Kriptográfiai művelet Az elektronikus aláírásról szóló jogszabály (eIDAS rendelet) technológia-független, de a benne foglaltak jelenleg az ún. nyilvános kulcsú rejtjelezés (PKI) segítségével valósíthatók meg.
A nyilvános kulcsú infrastruktúra minden szereplőjének két kulcsa van: az egyik az ún. magánkulcs (más néven titkos kulcs vagy privát kulcs), amelyet titokban tart, a másik az ún. nyilvános kulcs (más néven publikus kulcs), amelyet akár nyilvánosságra is hozhat.
Ha valaki a saját magánkulcsával kódol egy bitsorozatot (illetve annak hash-ét, azaz kriptográfiai lenyomatát), akkor az eredményként kapott bitsorozatról igazolható, hogy azt mely nyilvános kulcshoz tartozó magánkulccsal hozták létre. Ha biztonságos kriptográfiai algoritmust és kellően hosszú kulcsot használunk, akkor a tudomány és a technológia mai állása szerint az adott dokumentumhoz tartozó aláírást kizárólag a magánkulcs birtokában lehet létrehozni. A műveletet, amikor egy bitsorozatot (vagy annak hash-ét) a saját magánkulcsunkkal kódoljuk, digitális aláírásnak nevezzük. (Ugyanezen technológia segítségével titkosított üzenetet is küldhetünk. Ekkor a címzett nyilvános kulcsa segítségével kódoljuk az üzenetet (vagy az üzenet titkosítására használt, ún. szimmetrikus kulcsot), így ő csak a saját magánkulcsa segítségével tudja visszafejteni azt. Ez az ún. nyilvános kulcsú rejtjelezés.
A digitális aláírás technikai fogalom, egy digitálisan aláírt bitsorozathoz nem feltétlenül kapcsolódik joghatás. Például, előfordulhat, hogy TLS/SSL kapcsolaton keresztül egy biztonságos webszerverre szeretnénk bejelentkezni, és a belépéshez a szerver által küldött véletlen bitsorozatot (ún. „kihívást”) kódolunk a magánkulcsunkkal, így igazoljuk kilétünket. Elektronikus aláírásról akkor beszélünk, ha az aláírással egyúttal jognyilatkozatot is teszünk, például elfogadjuk egy dokumentum tartalmát vagy szerződést kötünk. Az elektronikus aláírás ugyanazon technológiára épül, de a szabályok szerint az elektronikus aláírásra használt magánkulcsot nem szabad más célra használni.