מה ההבדל בין תעודת אלקטרונית לחתימה דיגיטלית?

חתימה דיגיטלית היא תוצאה של פעולת קריפטוגרפיה המוטלת על מסמך; תעודת אלקטרונית היא הקובץ שמוכיח למי שייך המפתח ששימש לחתימה. ללא תעודה, חתימה דיגיטלית היא רק סדרה של אקטים שאינם ניתן לאמת: זו תעודה, המונעת על ידי רשות אישור, הקושרת את החתימה לזהות אמיתית ומאפשרת לאמת אותה.

מה זה רשות אישור?

רשות אישור (CA) היא צד שלישי מאמין אשר בודק את זהות המועמד, מעניק לו תעודת אלקטרוניקה הקשורה לזהותו למפתח הציבורי שלו, ומפרסם את המידע המאפשר לו לבדוק ולבטל את תעודת זה. רשות אישור מוכשרת מפוקחת על ידי רשויות לאומיות (ANSSI בצרפת) ומוסמכת ברשימת האמון של האיחוד האירופי.

מה זה תעודת מיומנות?

תעודת מיומנת היא תעודת אלקטרונית המונפקת על ידי ספק שירות אמון מיומן (QTSP) רשום ברשימת אמון של מדינה חברה באיחוד האירופי. זהו רמת הביטוח הגבוהה ביותר המוכרת באירופה והמתנאי להנפקת חתימה מיומנת (QES), החתימה האלקטרונית היחידה שתהיה אוטומטית שווה ערך לחתימה ידנית תחת תקנת eIDAS.

תשתית מפתח ציבורי (PKI) היא כל הרשויות, החומרה, התוכנה והנהלים המנהלים את מחזור החיים של תעודות אלקטרוניות: פרסום, חידוש, פרסום, ביטול. היא מארגנת את שרשרת האמון המחברת את תעודת המשתמש הסופי עם סמכות שורש מוכרת.

איך בודקים אם תעודה עדיין תקפה?

מעבר לתקופת תוקפו, תעודה יכולה להיות מושבת (מפתח פתר, טעות בהפקת). ישנן שתי מנגנונים כדי לבדוק זאת: רשימת ביטול תעודות (CRL), רשימה של תעודות מושבת שפורסמת באופן קבוע על ידי ה-CA, ו-OCSP (פרוטוקול מצב תעודת מקוונת), אשר מבקש בזמן אמת את מצב תעודה נתונה. חתימות בפורמט PAdES B-LT/B-LTA משלבות את הנתונים האלה כדי להישאר בודקים לאורך זמן.

האם צריך לקנות תעודה כדי לחתום אלקטרוני?

לא עבור רוב השימושים. עבור חתימה פשוטה (SES) או מתקדמת (AES), פלטפורמת החתימה היא שמנהלת את המוסדות אין צורך לקנות או להתקין שום דבר. תעודת הכשרה אישית נדרשת רק כדי להוציא בעצמך חתימות מוכשרות (QES); אחרת, המוסד מספק את המוסד על-הטיסה על ידי ה-QTSP השותף בעת החתימה, לאחר אימות הזהות שלך.

מה זה תעודת X.509?

X.509 הוא הסטנדרט הבינלאומי המגדיר את מבנה הסמכה האלקטרונית. תעודת X.509 מכילה בין השאר: זהות הבעלים (ה נושא ), המפתח הציבורי שלהם, זהות הרשות המפיקה, מספר סדרתי, תקופת תוקף, השימושים המורשים של המפתח, וחתום ה-AC המסתמן את הכל. זהו הפורמט המשמש הן לחתימת מסמכים וגם עבור תעודות TLS המאבטחות אתרי אינטרנט.

X.509 · PKI · תעודת אישור eIDAS

תעודת חתימה דיגיטלית ורשות אישור

מאחורי כל חתימה דיגיטלית אמינה מסתתר תעודת אלקטרונית: קובץ הקושר באופן ניתן לבדיקת זהות (אדם, חברה) למפתח ציבורי. זהו תעודת זו, שמונעת על ידי רשות אישור מאמינה (AC), המאפשרת לכל אחד לאמת חתימה ולגלות כל שינוי במסמך. המדריך מסביר מה זה תעודת חתימה דיגיטלית, איך שרשרת האמון (PKI, רשות אישור, תעודת שורש) עובדת, מה מבדיל תעודת eIDAS מוסמכת ממצוין רגיל, וכיצד חתימה נשארת מאומת לאחר ביטול או פסקת תקופת תעודת.

מה זה תעודת חתימה דיגיטלית?

תעודת חתימה דיגיטלית (או תעודת אלקטרונית) היא קובץ המונפק על ידי רשות אישור הקושרת מפתח ציבורי לזהותו של בעלו. באופן ספציפי, כאשר חותם, המסמך נחתם עם המפתח הפרטי שלו; כל מי שיש לו את תעודת החתימה המתאימה יכול, אז, באמצעות המפתח הציבורי שכולל, לאמת שני דברים: שהחתמה באמת באה מהבעלים המזהה, והמסמך לא השתנה מאז החתימה.

תעודת-יד עוקבת אחר תקן X.509 וכוללת את זהות הבעלים, את המפתח הציבורי, את זהות רשות המעין המגישה, תקופת תוקף, ואת חתימת ה-AC אשר מבטיחה את הכל. אמינותה אינה תלויה בתעודת-יד לבדה, אלא בשרשרת האמון המתחילה לרשות שורש מוכרת. זו היא שרשרת PKI (השירותי מפתח ציבורי, או IGC בצרפתית) המופכת קובץ פשוט להוכחה של זהות שניתן להפריעה.

חמשת המושגים המפתח לבטחון דיגיטלי

תעודה לעולם לא עובדת לבד: היא חלק מתשתית, שהרכיבים הבסיסיים שלה הם אלה.

תעודת X.509

X.509 הוא פורמט הסטנדרטי של תעודת אלקטרוני. הוא מתאר את מבנה הקובץ: מספר סידורי, זהות בעל (נושא), מפתח ציבורי, זהות של המוציא, תאריכי תקופת תוקף, שימושים מורשים, וחתום ה-AC. זהו פורמט אוניברסלי המשמש לחתימה, הצפנה וטסיסי TLS של אתרים.

רשות ההסמכה (CA)

רשות אישור (CA, או CA Certificate Authority) היא גוף אמון המוציא את המוסמכים ומבטיח את זהות בעליהם לאחר אימות. רשות אישור מוסמכת מפוקחת על ידי רשויות לאומיות (ANSSI בצרפת) והיא רשומה ברשימת האמון של האיחוד האירופי. רשות אישור יכולה להיות מקור, מתווך או מפיקה.

פקי (תשתית מפתח ציבורי)

פקי (שירותי פיקוח מפתחות ציבוריים, או IGC) הוא כל החומרה, התוכנה, התהליכים והרשויות שמנהלות את מחזור החיים של התעודות: פרסום, חידוש, ביטול, פרסום. היא מארגנת את שרשרת האמון, מהרשמה השורש עד תעודת המשתמש הסופי.

המעין המיומן של eIDAS

תעודת הכשרה מסופקת על ידי ספק שירותי אמון מוכשר (QTSP) רשום ברשימת האמון של מדינה חברה באיחוד האירופי. היא מספקת את רמת הביטחון הגבוהה ביותר המוכרת באירופה והיא תנאי להנפקת חתימה מוכשרת (QES), החתימה האלקטרונית היחידה שראויה באופן חוקי לחתימה ידנית.

ביטול (CRL & OCSP)

תעודה יכולה להיות מושבת לפני פסקתה (מפתח פגוע, יציאה של עובד, טעות בהנפקת). שני מנגנונים מאפשרים לוודא כי תעודה עדיין תקפה: CRL (רשימת תעודות מושבת שפורסמה על ידי ה- CA) ו- OCSP (חיפוש בזמן אמת של מצב תעודה).

איך מאפיינים את שרשרת האמון

תעודה היא בעלת ערך רק על ידי אמון המוקדש לרשות שסיפקה אותה. ארבעה עמודים מבטיחים אמון זה באירופה.

שרשרת ההסמכה

כל תעודת-יד חתומה על ידי ה- AC המוציא, אשר גם היא מוסמכת על ידי ה- AC המתווך, עד ל- AC שורש אשר תעודת-ידו חתומה על עצמה ומוכרת על ידי מערכות הפעלה והדפדפנים.

רשימת האמון של האיחוד האירופי eIDAS

כל מדינה חברה מפרסמת רשימה מאמינה (Trusted List) המזהה את הספקים המיומנים שלה ואת השירותים שהם מספקים. הנציבות האירופית מספקת רשימות אלה. תעודה המונחת על ידי QTSP המופיעה ברשימה זו מוכרת באופן מלא בכל האיחוד האירופי.

האנסי והרג'ס (צרפת)

בצרפת, ANSSI מפקח על ספקים מוכשרים ומפרסם את הרפרנציאל הכללי לביטחון (RGS), המגדיר את הדרישות החלות על תעודות המשמשות בתקשורת עם הממשל.

תקני ETSI EN 319 411

הסטנדרטים האירופיים ETSI EN 319 411 מגדירים את המדיניות והדרישות הביטחוניות שאליהן חייבת להיות מכירה רשות אישור כדי להוציא תעודות מוכרות, מוכרות או לא מוכרות.

תעודת לימוד פשוטה, מתקדמת או מוכשרת: מה ההבדלים?

רמת האישור קובעת את רמת החתימה הנגיעה וערכה המשפטית. הנה שישה מימדים שמבדילים בין שניהם.

מידה	תעודת פשוטה	תעודת אקדמיה	תעודת הכשרה
המפקח	כל ה-AC, ללא פיקוח מיוחד.	ק"א עם דרישות ביטחון מוגברת (ETSI).	ספק מוסמך (QTSP) רשום ברשימת האמון של eIDAS.
אימות זהות	נמוך לעתים קרובות אישור פשוט של כתובת אימייל.	אימות אישיות מחזק של בעלי הרכיב.	בדיקה פנים אל פנים או שווה ערך (בדיוקן וידאו מוסמך).
רמת החתימה המותרת	חתימה פשוטה (SES).	חתימה מתקדמת (AES).	חתימה מוסמכת (QES).
ערך משפטי	-נכון, אבל תשלם את ההוכחה למסר.	תחושת אמינות חזקה.	שוויון של ממש עם החתימה בכתב יד.
הכרה באיחוד האירופי	אין לזהות מאורגנת.	-הכרת, בתנאים.	מוכר כבעל זכות מלאה בכל האיחוד האירופי.
שימוש טיפוסי	אימות פנימי, קיבלתי את ההודעה.	חוזים עסקיים, משאבי אנוש, ציונים.	תעודות נוטרי, רכישות ציבוריות, תעודות עורכי דין.

שאלות נפוצות תעודת חתימה דיגיטלית

מה ההבדל בין תעודת אלקטרונית לחתימה דיגיטלית?: חתימה דיגיטלית היא תוצאה של פעולת קריפטוגרפיה המוטלת על מסמך; תעודת אלקטרונית היא הקובץ שמוכיח למי שייך המפתח ששימש לחתימה. ללא תעודה, חתימה דיגיטלית היא רק סדרה של אקטים שאינם ניתן לאמת: זו תעודה, המונעת על ידי רשות אישור, הקושרת את החתימה לזהות אמיתית ומאפשרת לאמת אותה.
מה זה רשות אישור?: רשות אישור (CA) היא צד שלישי מאמין אשר בודק את זהות המועמד, מעניק לו תעודת אלקטרוניקה הקשורה לזהותו למפתח הציבורי שלו, ומפרסם את המידע המאפשר לו לבדוק ולבטל את תעודת זה. רשות אישור מוכשרת מפוקחת על ידי רשויות לאומיות (ANSSI בצרפת) ומוסמכת ברשימת האמון של האיחוד האירופי.
מה זה תעודת מיומנות?: תעודת מיומנת היא תעודת אלקטרונית המונפקת על ידי ספק שירות אמון מיומן (QTSP) רשום ברשימת אמון של מדינה חברה באיחוד האירופי. זהו רמת הביטוח הגבוהה ביותר המוכרת באירופה והמתנאי להנפקת חתימה מיומנת (QES), החתימה האלקטרונית היחידה שתהיה אוטומטית שווה ערך לחתימה ידנית תחת תקנת eIDAS.
מה זה ה-PKI?: תשתית מפתח ציבורי (PKI) היא כל הרשויות, החומרה, התוכנה והנהלים המנהלים את מחזור החיים של תעודות אלקטרוניות: פרסום, חידוש, פרסום, ביטול. היא מארגנת את שרשרת האמון המחברת את תעודת המשתמש הסופי עם סמכות שורש מוכרת.
איך בודקים אם תעודה עדיין תקפה?: מעבר לתקופת תוקפו, תעודה יכולה להיות מושבת (מפתח פתר, טעות בהפקת). ישנן שתי מנגנונים כדי לבדוק זאת: רשימת ביטול תעודות (CRL), רשימה של תעודות מושבת שפורסמת באופן קבוע על ידי ה-CA, ו-OCSP (פרוטוקול מצב תעודת מקוונת), אשר מבקש בזמן אמת את מצב תעודה נתונה. חתימות בפורמט PAdES B-LT/B-LTA משלבות את הנתונים האלה כדי להישאר בודקים לאורך זמן.
האם צריך לקנות תעודה כדי לחתום אלקטרוני?: לא עבור רוב השימושים. עבור חתימה פשוטה (SES) או מתקדמת (AES), פלטפורמת החתימה היא שמנהלת את המוסדות אין צורך לקנות או להתקין שום דבר. תעודת הכשרה אישית נדרשת רק כדי להוציא בעצמך חתימות מוכשרות (QES); אחרת, המוסד מספק את המוסד על-הטיסה על ידי ה-QTSP השותף בעת החתימה, לאחר אימות הזהות שלך.
מה זה תעודת X.509?: X.509 הוא הסטנדרט הבינלאומי המגדיר את מבנה הסמכה האלקטרונית. תעודת X.509 מכילה בין השאר: זהות הבעלים (ה נושא ), המפתח הציבורי שלהם, זהות הרשות המפיקה, מספר סדרתי, תקופת תוקף, השימושים המורשים של המפתח, וחתום ה-AC המסתמן את הכל. זהו הפורמט המשמש הן לחתימת מסמכים וגם עבור תעודות TLS המאבטחות אתרי אינטרנט.