¿Qué es un certificado de evento? Si se utiliza para la firma, ¿puede garantizar que la firma sea válida?
Escribí un artículo antes, espero que pueda ayudar a responder la pregunta: el significado de certificado de evento
——El certificado de evento no es un tipo de certificado digital compatible
De acuerdo con la definición de GB/T 25056-2018 Contraseña del sistema de autenticación de certificados de tecnología de seguridad de la información y especificaciones técnicas de seguridad relacionadas 3.9 emitidas por la Administración Estatal de Regulación del Mercado y la Administración Nacional de Normalización de China, los tipos de certificados digitales se pueden dividir en "firmas" según sus usos "Certificado" y "Certificado de Cifrado", que se pueden dividir en tres categorías: "Certificado Personal", "Certificado de Organización" y "Certificado de Dispositivo", entre las cuales no existe ningún "Certificado de Evento";
Según la contraseña nacional El documento técnico rector de estandarización de la industria "GM/Z 0001-2013" "Terminología criptográfica" define los certificados digitales en el artículo 2.115, "Los certificados digitales también se denominan certificados de clave pública y contienen certificados de clave pública firmados por una autoridad de certificación de certificados (CA) Una estructura de datos que contiene información del propietario, clave pública, información del emisor, período de validez e información extendida. Se puede dividir en certificados personales, certificados institucionales y certificados de dispositivo por categoría. dividido en certificados de firma y certificados de cifrado por finalidad". No existe un "certificado de evento". Se puede ver que el llamado certificado de evento no es un tipo de certificado con origen legal formal y base de cumplimiento;
Entonces, ¿qué es un "certificado de evento"?
Consulte la definición de Beijing CA en el Artículo 1.4.1 d de sus Reglas comerciales de certificación electrónica (CPS), “Los certificados digitales de tipo evento son certificados digitales emitidos por Beijing CA para escenarios comerciales de comportamiento de firma durante. Durante el proceso, la información relevante (documentos electrónicos, información característica del comportamiento de la firma, escritura a mano u otra información de evidencia del comportamiento de la firma, etc.) enviada por el suscriptor se solidifica automáticamente en el dominio extendido del certificado digital, y se genera un certificado digital de tipo evento. La clave privada correspondiente al certificado es de uso único y firma electrónicamente los datos de información del escenario empresarial y se destruye después de su uso". Los artículos 6.1.1 y 6.1.2 de la CPS aclaran además que "la firma". par de claves del certificado de tipo evento Generado y conservado por el dispositivo de firma".
No hay contenido relevante sobre los certificados de eventos en las Reglas Comerciales de Certificación Electrónica (CPS) de Shanghai CA, pero ha emitido específicamente las "Reglas Comerciales de Certificación Electrónica de la Política de Certificados de Eventos", en las que el Artículo 1.6.13 establece De acuerdo Según la definición, "el certificado digital de eventos es un tipo especial de certificado digital basado en tecnología de patente de certificados de eventos diseñada por Shanghai CA para negocios en tiempo real o escenarios comerciales específicos. Durante el proceso comercial, la información relevante (documentos electrónicos, firmas) en el escenarios comerciales se transfieren automáticamente (información de características de comportamiento, escritura a mano u otra información de evidencia de comportamiento de firma, etc.) se asocian al dominio extendido del certificado digital, y el certificado digital del evento se emite para lograr firmas electrónicas confiables en el proceso comercial. La clave correspondiente al certificado digital del evento generalmente se usa una vez. Se destruye después de usarse una vez";
Consulte la CPS de CFCA (Centro de Certificación Financiera de China). No existe ninguna disposición para el "certificado de evento". en las reglas comerciales de CFCA, pero se propone en la Sección 1.4.1.2 "Certificado de escenario CFCA", señalando que "El Certificado de escenario CFCA es un certificado digital adecuado para la autenticación de firmas de negocios en tiempo real o negocios de escenarios específicos. Se aplica automáticamente para al final del negocio e integra toda la información en el escenario comercial para formar una extensión de la información de dominio del certificado digital. El uso de un certificado de escenario para firmar negocios instantáneos o evidencia comercial de escenarios puede demostrar que la evidencia no ha sido manipulada después de la finalización. La recopilación de evidencia se completa y garantiza la correlación y la coherencia entre múltiples evidencias. No hay límite en el número de firmas cuando se utiliza el certificado de escenario. La definición de documentos específicos se puede utilizar para firmar todas las evidencias en negocios en tiempo real o en escenas comerciales. Después de abandonar la escena, el certificado no se puede utilizar". El Capítulo 6.1.1 "Generación de pares de claves" aclara aún más "la clave del certificado de escena La genera el proveedor comercial responsable del negocio de la escena y es responsable de ello. protegiendo la seguridad de la clave privada del certificado de escena."
Se puede ver en las reglas comerciales de certificación electrónica de las instituciones de CA típicas mencionadas anteriormente que el "certificado de evento" en sí no es un tipo de certificado formal, sino más bien un marketing derivado de cada institución de CA para la expansión del mercado. Definiciones, análisis exhaustivo de estas definiciones, ya sea "certificado de evento" o "certificado de escenario", podemos encontrar que tienen las siguientes similitudes:
1. El certificado se emite cuando finaliza el evento y el certificado finaliza cuando finaliza el evento.
2. La clave privada del certificado del evento no está controlada por el usuario (el firmante registrado en el certificado). ), pero en realidad está controlado por el proveedor comercial del escenario de firma. La naturaleza jurídica del certificado de evento
——No tiene el efecto legal esperado
Aunque el certificado de evento no es un tipo de certificado con base de cumplimiento, porque es muy fácil para obtenerlo, lo convierte en la forma más extendida de certificado digital en el mercado. Un gran número de plataformas SaaS de contratos electrónicos están utilizando certificados de eventos para proporcionar servicios de firma electrónica. ¿Qué efectos jurídicos tiene la "firma de prenda"?
El significado jurídico de firma es "el reconocimiento por parte del firmante del contenido firmado". Por tanto, una firma electrónica que cumpla el efecto jurídico esperado debe cumplir tres condiciones: 1. El hecho de que el documento contenga un firma electrónica, 2. Se puede determinar la identidad del firmante 3. El actor de la firma (es decir, la persona que realmente completó la operación de firma en el documento) tiene la misma identidad que el "firmante electrónico indicado en el documento".
Según los principios básicos de las firmas de certificados digitales, las firmas se completan mediante operaciones de "clave privada". Dominar la "clave privada" es el requisito previo para realizar firmas electrónicas. En otras palabras, quien domine la "clave privada". key" puede convertirse en el firmante real;
En el escenario de firma electrónica del certificado de evento, de acuerdo con las reglas CPS de Beijing CA, CFCA y Shanghai CA mencionadas anteriormente, la "clave privada" del certificado de evento no es controlado por el usuario, por lo que el usuario no puede convertirse en un firmante electrónico real, y el comportamiento de firma en realidad lo completa la parte comercial que proporciona el sistema de firma, aunque el período de validez del certificado de evento es muy corto, el período de validez es corto; solo reduce el riesgo de que otros terceros roben la clave privada y falsifiquen firmas. Sin embargo, no puede evitar que la parte comercial que proporciona el sistema de firma abuse de la capacidad de firma del usuario. En este sentido, CFCA enfatiza particularmente en su CPS que "la clave". La generación del certificado de escenario es producida por el proveedor comercial responsable del negocio del escenario y es responsable de proteger la privacidad del certificado de escenario". "Seguridad de claves"; se puede ver que dado que el lado comercial del sistema de firma puede obtener el certificado de evento de la organización CA a nombre del usuario en cualquier momento, también le brinda a la parte comercial la capacidad de falsificar firmas en cualquier documento a nombre del usuario en cualquier momento.
Por tanto, desde un sentido jurídico, la firma electrónica basada en este tipo de certificado de evento no cumple con el principio básico de la "certificación electrónica" porque no puede establecer una vinculación innegable y única entre el comportamiento de la firma y la identidad del firmante, no puede indicar "el reconocimiento por parte del firmante del contenido firmado" y no tiene el efecto legal esperado por las partes equivalente a una firma en papel. El valor práctico de los certificados de eventos
——Se utilizan para garantizar la resistencia a la manipulación de los datos firmados
Como dijo CFCA en su CPS, "Utilice certificados de escenario para proporcionar evidencia para negocios en tiempo real". o negocio de escenario Después de firmar, se puede demostrar que la evidencia no ha sido manipulada una vez que se completa la recolección de evidencia..."; aunque la función específica del certificado de evento no está especificada en la CPS de la CA de Beijing, se indica en En la sentencia administrativa "(2021) Jingxing Final No. 905" del Tribunal Popular Superior de Beijing, también se reconoce claramente que "Beijing Digital Certification Company emitió un certificado de tipo evento para Ping An Technology Company en febrero de 2018. La firma del certificado se solidificó. la información del escenario comercial del contrato electrónico firmado por Ping An Technology Company y el usuario, que demuestra la integridad de la información relevante. El sujeto de la firma electrónica utilizando el certificado de tipo evento emitido por Beijing Digital Certification Company es Ping An Technology Company, no. el usuario. ...El “firmante electrónico” que cumple con lo dispuesto en el artículo 34 de la Ley de Firma Electrónica es Ping An Technology…”
Combinando el análisis anterior y el autoinforme de la organización CA antes mencionada, se pueden extraer las siguientes conclusiones:
1. El "firmante" real que utiliza el certificado de evento es. no el "titular del certificado" "registrado en el certificado del evento", sino la parte comercial que proporciona el sistema de firma;
2. El titular del certificado registrado en el certificado del evento es solo el "firmante nominal", porque el comportamiento de firma real no es el nombre del firmante nominal. Debido a que no es un "firmante electrónico que deba asumir las consecuencias legales de la firma electrónica" de acuerdo con las disposiciones de la "Ley de Firma Electrónica", los documentos electrónicos firmados mediante certificados de eventos. no tienen fuerza legal vinculante para el firmante nominal;
3. La función principal del certificado de evento es garantizar la integridad de los datos electrónicos relevantes en el escenario del evento a través de la tecnología de firma electrónica y evitar que los datos sean manipulado después de su generación Sin embargo, no le importa el proceso de generación de datos y si los datos en sí son auténticos. Por lo tanto, las firmas electrónicas en los certificados de eventos no son de no repudio. El riesgo de abuso de los certificados de eventos
——El abuso de los certificados de eventos y sus graves consecuencias
Como se puede ver en el artículo anterior, la función principal de los certificados de eventos es utilizar firmas para identificar eventos en escenarios de eventos Los datos electrónicos formados se fijan para evitar la manipulación de datos, pero no para garantizar el no repudio de la firma electrónica. Por lo tanto, la firma electrónica del certificado de evento en sí no es una firma electrónica "legalmente vinculante". firma en el sentido de la Ley de Firma Electrónica Es más una herramienta técnica que utiliza tecnología de firma de certificado para evitar la manipulación de datos electrónicos.
Sin embargo, en la práctica, el uso real de los certificados de eventos es bastante diferente. Una gran cantidad de certificados de eventos se utilizan directamente para firmar documentos legales, como contratos electrónicos, y los proveedores de servicios afirman abiertamente que sí lo han hecho. la "Ley de Firma Electrónica" "La eficacia de las firmas electrónicas confiables en el sentido de "Esto ha causado importantes engaños a los usuarios, firmantes nominales, dependientes de la firma e incluso a la industria de la certificación electrónica. También ha supuesto una carga para la supervisión de la industria. el Ministerio de Industria y Tecnología de la Información.
Por ejemplo, el caso de litigio administrativo "Xue Moumou" v. "Ministry of Industry and Information Technology" mencionado anteriormente en el Tribunal Popular Superior de Beijing "(2021) Jingxing Terminal No. 905" es uno de los En este caso, Ping An Technology Company utilizó por error el certificado de evento emitido por la CA de Beijing para la firma de documentos legales entre el "banco y Xue Moumou". De hecho, "Xue Moumou" nunca había solicitado un certificado digital. de la CA de Beijing, sin embargo, Ping An Technology Company generó la firma electrónica de "Xue Moumou" con el certificado digital de "Xue Moumou" y reclamó derechos contra "Xue Moumou" basándose en la firma electrónica por este motivo, "Xue Moumou". " transferido Ping An Technology Company y Beijing CA se quejaron ante el Ministerio de Industria y Tecnología de la Información sobre sus prácticas ilegales, pero el Ministerio de Industria y Tecnología de la Información no lo manejó adecuadamente. Finalmente, "Xue Moumou" presentó una demanda administrativa ante el tribunal. , y el tribunal dictaminó que el Ministerio de Industria y Tecnología de la Información perdió el caso. Además, más partes han informado al Ministerio de Industria y Tecnología de la Información a través de la plataforma de supervisión del Ministerio de Industria y Tecnología de la Información que la plataforma SaaS de contrato electrónico ha emitido certificados digitales sin autorización ... Esta serie de fenómenos muestra directamente que el El abuso de los certificados de incidentes se ha convertido en realidad en un hecho indiscutible.
De manera similar a la presentación de seguridad pública de sellos corporativos, la esencia de la certificación electrónica es establecer una relación vinculante entre una "marca externa" y una "persona" específica (incluidas personas físicas y jurídicas), de modo que obtener un certificado de identidad electrónico certificado por una autoridad; para los certificados digitales estándar con funciones de reconocimiento de identidad, el proceso de emisión no suele ser menos serio que el de las "tarjetas de identificación de residentes" no son certificados digitales estándar y su función principal es evitar la manipulación. reconocimiento de identidad, por lo que en la práctica el proceso de emisión de certificados de eventos es mucho más fácil que el de los certificados digitales estándar. Sin embargo, dado que no hay diferencia en apariencia entre los certificados de eventos y los certificados digitales estándar, esto trae incentivos y peligros ocultos para el abuso de. certificados de eventos.
Muchas instituciones de CA, debido a su búsqueda unilateral del número de certificados emitidos y los rendimientos del mercado, han vendido públicamente los canales de emisión de certificados de eventos y tienen un control de laissez-faire sobre el uso real de los certificados de eventos. , e incluso cooperó intencionalmente o no, haciendo cada vez más. Muchos certificados de eventos se utilizan por error como certificados digitales estándar para firmar documentos legales. La certificación electrónica, una industria originalmente basada en la "credibilidad" y sustentada en el rigor y la prudencia, se ha convertido en una unidad de sellado de "sello de goma", sin importar los riesgos legales, y se ha convertido en una agencia de venta de certificados que "reconoce el dinero pero no las personas".
La proliferación de certificados de eventos ha afectado gravemente al sano desarrollo de la industria. Contramedidas al problema de riesgo de los certificados de eventos
——Varias medidas para resolver el problema del abuso de certificados de eventos
Como innovación empresarial de certificados orientada al mercado de las empresas de CA, han surgido los certificados de eventos en su desarrollo El problema debe resolverse a partir de la industria de CA, incluyendo, entre otras, la adopción de las siguientes medidas.
1. Comprender subjetivamente la seriedad de los servicios de "certificación electrónica"
La "identidad" es la base de todas las acciones legales. La razón por la que existe la industria de la certificación electrónica es porque la necesita. Una autoridad "confiable" puede certificar y vincular de forma independiente y prudente una "identificación externa" con la "identidad real" de un "objeto específico", otorgando así al objeto específico una identidad electrónica confiable. Aunque la organización CA existe en forma de "empresa", es una parte importante de la construcción del "crédito social". La certificación electrónica no es sólo un servicio técnico orientado al mercado, sino que también desempeña la correspondiente función de confianza pública. número La confiabilidad del certificado puede tener un impacto significativo en los derechos e intereses del firmante, las partes que confían en la firma y otras partes relacionadas. Por lo tanto, es deber de toda organización de CA garantizar la seriedad del proceso de emisión del certificado digital y la calidad del mismo. confiabilidad de la responsabilidad de los resultados, la "Ley de Firma Electrónica" también estipula claramente que "después de recibir una solicitud de un certificado de certificación de firma electrónica, el proveedor de servicios de certificación electrónica deberá verificar la identidad del solicitante y revisar los materiales relevantes", y "la El proveedor de servicios de certificación electrónica deberá expedir el certificado de certificación de firma electrónica que deberá ser exacto."
Sin embargo, en la práctica, muchos comportamientos operativos violan dichos requisitos. Algunas empresas de CA transfieren los derechos de verificación de identidad otorgados por la ley a otros socios comerciales a cambio de una tarifa, siempre que los socios estén dispuestos a pagar. puede lograr En la conexión entre el sistema empresarial y el sistema CA (RA), la CA recibe instrucciones de la dirección de cooperación para emitir un certificado a un "sujeto específico" y emite directamente el certificado No solo no verifica si el específico. El sujeto realmente presentó la solicitud de certificado, pero también emite directamente el certificado digital al socio en lugar del propietario del certificado. Es este enfoque el que hace que el "socio comercial" se convierta en el proveedor de "certificación electrónica" en la realidad. En este sentido, mientras que la CA se convierte en el "agente de certificados digitales" que sólo emite certificados de fábrica", también permite al "socio comercial" obtener un "certificado digital" emitido por una CA a nombre de cualquier persona, y luego obtener la capacidad de hacerlo. falsificar la firma electrónica de cualquier persona; el mencionado Tribunal Superior Popular de Beijing "(2021) Beijing En el caso "Final No. 905", la razón por la cual Ping An Technology Company pudo obtener el certificado de "Xue Moumou" y completar la firma electrónica en el nombre de "Xue Moumou" se debió a este modelo de negocio.
Un análisis más detallado de las razones de este fenómeno muestra que la falta de conciencia sobre la seriedad del servicio de "certificación electrónica" es un factor importante;
En el mundo físico real, los individuos y empresas La identidad es autenticada por los órganos de seguridad pública y los órganos industriales y comerciales, y el sello oficial de la unidad es producido por una agencia especial de grabado de sellos con licencia administrativa y archivado por el órgano de seguridad pública "Autenticación, grabado de sellos y archivo". constituyen un todo orgánico de gestión de identidad confiable en el mundo físico; en esencia, la autenticación electrónica es la "trinidad" de la autenticación de identidad, la producción de sellos y la presentación en el mundo electrónico. La emisión de un certificado digital es como grabar un sello. y la lista de certificados públicos son como la presentación de un sello de seguridad pública. La autenticación de identidad efectiva es la fuente de la confiabilidad de los certificados digitales, así como la agencia de seguridad pública no puede transferir la función de verificación de identidad al emitir tarjetas de identificación a otros, cuando una CA. Al emitir un certificado digital, la autenticación de identidad no es solo un derecho de la CA, sino también una obligación básica de la CA. Por lo tanto, debe ser plenamente consciente del papel de la autenticación de identidad confiable. El papel clave de los "servicios de certificación electrónica" es. corregir decididamente la práctica errónea de algunas CA de vender la iniciativa de autenticación de identidad, la confiabilidad de los certificados digitales y la autoridad de la industria de CA a socios comerciales debido a su búsqueda unilateral de beneficios de mercado.
2. Está prohibido utilizar la identidad de “firmante nominal” para expedir certificados de evento.
Según lo establecido en el artículo 34 de la “Ley de Firma Electrónica”, “una electrónica firmante se refiere a alguien que posee una firma electrónica" "Persona que crea datos e implementa firmas electrónicas en su propia capacidad o en nombre de la persona que representa". Por lo tanto, sólo aquellos que "poseen la clave privada del certificado" pueden convertirse en un "firmante electrónico" en el sentido legal, y en el caso de certificados En el escenario, ya sea que la "clave privada" sea generada directamente por el sistema de información del socio comercial o la "clave privada" sea generada por un dispositivo específico en el sistema comercial , la "clave privada" no puede ser propiedad del "firmante nominal". De hecho, un firmante electrónico siempre puede ser solo un socio comercial. Por lo tanto, solo es legítimo emitir un certificado de evento a un socio comercial o al equipo del socio. Emitir un certificado como firmante nominal no solo es sospechoso de violar las regulaciones, sino que también confunde fácilmente a los usuarios, lo que genera cargas para la supervisión de la industria y brinda oportunidades de uso inadecuado por parte de los socios.
3. Proporcionar una lista de estado de certificado OCSP especial para la verificación de certificados de eventos.
Debido al corto período de validez y la gran cantidad de certificados de eventos, al mismo tiempo, la función principal de los certificados de eventos es evitar la manipulación de datos, que es significativamente diferente del no repudio de los certificados digitales estándar. Por lo tanto, es necesario distinguir la lista de estado de certificado público del certificado de evento de la lista de estado de certificado digital estándar. , el rendimiento general de la consulta de la lista de certificados se puede optimizar de manera efectiva y puede desempeñar un papel al informar claramente al usuario sobre los atributos del certificado de evento.
4. Se afirma públicamente que la función de los certificados de eventos es evitar la manipulación.
Una de las principales razones por las que se abusa ampliamente de los certificados de eventos en la práctica es que la función de los certificados de eventos es engañoso Aunque algunas organizaciones de CA han aclarado el propósito de los certificados de eventos en la CPS que emitieron, no todos los usuarios de certificados o quienes confían en la firma electrónica son expertos de la industria y pueden comprender realmente la diferencia entre los certificados de eventos y los certificados digitales estándar. Para evitar el uso indebido de los certificados de eventos. Para uso local en firmas electrónicas de documentos legales y otros escenarios de aplicaciones que no sean a prueba de manipulaciones, es necesario indicar claramente en la extensión de cada certificado de eventos que la función se limita a ser a prueba de manipulaciones, y para describir sus funciones en las páginas de productos de varios certificados de eventos. Las restricciones se explicarán para evitar aún más el uso inadecuado de los certificados de eventos.
5. Rectificar los escenarios de cooperación empresarial de abuso de certificados de eventos.
Para el negocio de certificados de eventos que se ha realizado, es necesario clasificarlo de acuerdo con los escenarios comerciales reales. Para aquellos que cumplen con los requisitos funcionales de los certificados de eventos Para el uso continuo del certificado de evento para firmar documentos legales con el concepto de intercambio secreto, si existen condiciones para la conversión al uso de certificados digitales estándar, se debe cambiar el modelo de cooperación. Si no se cumplen las condiciones de conversión, se debe detener el uso del certificado de evento.