事件證書是什么?如何使用事件證書及其法律風險分析_第1頁
事件證書是什么?如何使用事件證書及其法律風險分析_第2頁
事件證書是什么?如何使用事件證書及其法律風險分析_第3頁
事件證書是什么?如何使用事件證書及其法律風險分析_第4頁
事件證書是什么?如何使用事件證書及其法律風險分析_第5頁
已閱讀5頁,還剩1頁未讀, 繼續(xù)免費閱讀

事件證書是什么?如何使用事件證書及其法律風險分析.docx 免費下載

版權說明:本文檔由用戶提供并上傳,收益歸屬內容提供方,若內容存在侵權,請進行舉報或認領

文檔簡介

1、事件證書的使用及其法律風險分析電子認證的基本概念什么是數字證書 隨著商務無紙化的發(fā)展和數字時代的到來,電子簽名應用場景越來越多地呈現在大眾面前,從法律意義上說,簽名的本質是“簽名者對被簽名內容的確認”,因而每一次簽名都不可缺少的需要與“特定身份”相關聯,即明確是“誰”進行了簽名。 物理世界中由于每一個人都具有天然與眾不同的行為習慣,理論上每個人的簽名筆跡都不相同,因此筆跡特征成為了識別簽名人身份的重要方法,但在電子簽名中,簽名不再由個人的行為習慣所控制,而代之以計算機字符,由于字符本身并不具有差異性和身份判別能力,為了能讓不同人的電子簽名具有身份的可識別性,需要將特定的字符串與人的真實身份建立

2、關聯,這一建立關聯的過程就是“電子認證”。 依照電子簽名法的規(guī)定,從事電子認證業(yè)務需要行政許可,經許可的第三方認證機構即為通常所稱的CA機構,而經CA機構認證并與當事人主體相關聯的字符串,就是“數字證書”,電子認證的過程也就是數字證書的申請與頒發(fā)過程。 數字證書是基于PKI公鑰密碼體系的應用,公鑰密碼體系的一個顯著特征是密鑰分為公鑰和私鑰,通過私鑰對電子文件進行的簽名運算,可以通過對應的公鑰進行驗證,因此私鑰需要用戶秘密保管,公鑰可以完全公開; 在數字證書的頒發(fā)過程中,用戶(簽名人)首先產生一對具有密碼學特征的公私鑰對,然后將其中的公鑰和用戶身份信息發(fā)送給CA機構,CA機構在對用戶真實身份進行

3、核驗后,將公鑰和用戶身份信息按照特定的格式封裝成對應的數字證書文件,返回給用戶并向社會公開,從而讓全社會都可以確認該數字證書持有人的真實身份,并可使用數字證書驗證用戶使用對應的私鑰進行的電子簽名。由于私鑰是用戶(簽名人)秘密持有,因而理論上能夠使用該私鑰完成簽名的人只能是用戶本人,因此,該私鑰就成了將用戶的身份與簽名行為進行綁定的媒介,鑒于私鑰與公鑰在密碼學上的唯一對應關系,CA機構雖然是對公鑰進行的認證,其本質卻是對私鑰持有者身份的認定,讓私鑰成為了用戶(簽名人)電子身份的代表。 這就是電子認證的基本原理和數字證書的本質屬性。事件證書的含義事件證書并非合規(guī)的數字證書類型 根據國家密碼管理局證

4、書認證系統密碼及相關安全技術規(guī)范4.1.2.1的定義,數字證書類型按功能分為“加密證書”和“簽名證書”兩種,按主體對象分為“人員證書”、“設備證書”和“機構證書”三種,當中并無“事件證書”; 按照國家密碼行業(yè)標準化指導性技術文件“GM/Z 0001-2013”密碼術語第2.115條對數字證書的定義,“數字證書也稱公鑰證書,由證書認證機構(CA)簽名的包含公開密鑰持有者信息、公開密鑰、簽發(fā)者信息、有效期以及擴展信息的一種數據結構。按類別可分為個人證書、機構證書和設備證書,按用途可分為簽名證書和加密證書”,其中也沒有“事件證書”一說,由此可見,所謂事件證書,并非是具有正式法律淵源和合規(guī)依據的證書類

5、型; 那么何謂“事件證書”? 參考北京CA在其電子認證業(yè)務規(guī)則(CPS)第1.4.1條d項的定義,“事件型數字證書是北京CA面向簽名行為業(yè)務場景簽發(fā)出的數字證書,在業(yè)務過程中,根據訂戶提交的業(yè)務場景中相關信息(電子文檔、簽名行為特征信息、手寫筆跡或其他簽名行為證據信息等)自動固化至數字證書的擴展域,簽發(fā)出事件型數字證書。事件型數字證書所對應的私鑰為一次性使用,對業(yè)務場景的信息數據進行電子簽名,在使用后即被銷毀”;該CPS第6.1.1和6.1.2進一步明確“事件型證書的簽名密鑰對由簽名設備生成并保管”。 在上海CA的電子認證業(yè)務規(guī)則(CPS)中并無事件證書的相關內容,但其專門發(fā)布了事件證書證書策

6、略電子認證業(yè)務規(guī)則,其中第1.6.13條給出定義,“事件數字證書是面向即時業(yè)務或者特定業(yè)務場景,上海CA所設計的一類基于事件證書專利技術的特殊數字證書。在業(yè)務過程中,自動將業(yè)務場景中相關信息(電子文檔、簽名行為特征信息、手寫筆跡或其他簽名行為證據信息等)關聯至數字證書的擴展域,簽發(fā)出事件數字證書,實現業(yè)務過程中的可靠電子簽名。事件數字證書所對應的私鑰一般一次性使用,其在使用一次后即被銷毀”; 再參考CFCA(中國金融認證中心)的CPS,在CFCA的業(yè)務規(guī)則中沒有規(guī)定“事件證書”,但在第1.4.1.2中提出了“CFCA場景證書”,指出“CFCA 場景證書是一種適用于對即時業(yè)務或者特定場景業(yè)務進行

7、簽名認證的數字證書。在業(yè)務結束時自動申請,將業(yè)務場景中所有信息整合形成數字證書的擴展域信息。使用場景證書對即時業(yè)務或者場景業(yè)務證據簽名后可證明證據在取證結束后無篡改,并保證多個證據之間的關聯性和一致性。場景證書使用時不限制簽名次數,也不限定特定文檔,可用于對即時業(yè)務或者場景業(yè)務中的所有證據分別簽名。脫離該場景后,證書即不能使用”,第6.1.1“密鑰對的生成”章節(jié)進一步明確“場景證書的密鑰生成由負責場景業(yè)務的業(yè)務提供方生產,并負責保護場景證書私鑰的安全”。 從以上幾個典型CA機構的電子認證業(yè)務規(guī)則中可以看出,“事件證書”本身并非正式的證書類型,而更多的是各CA機構為市場拓展所衍生的營銷定義,綜合

8、分析這些定義,無論是“事件證書”或是“場景證書”,可以發(fā)現具有如下共同點: 1、事件證書的生命周期都極短,在事件發(fā)生時頒發(fā)證書,事件結束證書即被終止; 2、事件證書的私鑰并非由用戶(證書上記載的簽名人)掌握,而是由簽名場景的業(yè)務提供方實際掌控。事件證書的法律性質不具有預期的法律效果 事件證書雖然不是具有合規(guī)依據的證書類型,但由于獲得的方式非常容易,讓其事實上成為了目前市面上最廣泛存在的一種數字證書形式,大量的電子合同SaaS平臺都在使用事件證書提供電子簽名服務,那么基于事件證書的電子簽名,是否具有相關當事人所預期“等同于紙質簽名”的法律效果呢? 如前所述,簽名的法律含義是“簽名人對被簽名內容的

9、認可”,因而一份符合預期法律效果的電子簽名需要具備3個條件:1、文件包含電子簽名的事實,2、簽名人的身份可以確定,3、簽名行為人(即實際在文件上完成簽名操作的人)與“文件上表明的電子簽名人”身份一致。 按照數字證書簽名的基本原理,簽名是通過“私鑰”運算完成的,掌握“私鑰”是執(zhí)行電子簽名行為的前提,換言之,誰掌握“私鑰”誰才可能成為實際的簽名人; 在事件證書電子簽名的場景中,根據前文北京CA、CFCA以及上海CA的CPS規(guī)則,事件證書的“私鑰”并非由用戶掌控,故而用戶不可能成為實際的電子簽名人,簽名行為實際上是由提供簽名系統的業(yè)務方所完成的;雖然事件證書的有效期很短,但短暫的有效期只是降低了其他

10、第三方盜用私鑰偽造簽名的風險,卻不能阻止提供簽名系統的業(yè)務方濫用用戶簽名的能力,對此,CFCA在其CPS中更是特別強調“場景證書的密鑰生成由負責場景業(yè)務的業(yè)務提供方生產,并負責保護場景證書私鑰的安全”;由此可見,由于簽名系統的業(yè)務方,可以隨時以用戶的名義向CA機構取得事件證書,也就使得業(yè)務方具有了隨時以用戶名義在任何文件上偽造簽名的能力。 因此,從法律意義上說,基于這種事件證書電子簽名,由于無法將簽名行為與簽名人身份建立不可否認的唯一綁定,因而不符合“電子認證”的基本原理,不能表明“簽名人對被簽名內容的認可”,不具有當事人等同紙質簽名的預期法律效果。事件證書的實用價值用于保證被簽名數據的防篡改

11、 正如CFCA在其CPS中所言,“使用場景證書對即時業(yè)務或者場景業(yè)務證據簽名后,可證明證據在取證結束后無篡改”;在北京CA的CPS中雖然沒有明確事件證書的具體功能,但其在北京市高級人民法院“(2021)京行終905號”行政判決書中,也明確承認“北京數字認證公司2018年2月為平安科技公司簽發(fā)的事件型證書,通過證書簽名固化平安科技公司與用戶簽署電子合同的業(yè)務場景信息,證明相關信息的完整性,使用北京數字認證公司簽發(fā)的事件型證書實施電子簽名的主體是平安科技公司而不是用戶。符合電子簽名法第三十四條規(guī)定的“電子簽名人”,是平安科技”。 結合前文的分析和上述CA機構的自述,可以得出如下結論: 1、使用事件

12、證書的實際“簽名人”并非是“事件證書上記載的證書持有人”,而是提供簽名系統的業(yè)務方; 2、事件證書上記載的證書持有人僅僅是“名義簽名人”,由于實際簽名行為并非名義簽名人所為,其不是依照電子簽名法規(guī)定“需要對電子簽名行為承擔法律后果的電子簽名人”,使用事件證書簽名的電子文件,對名義簽名人沒有法律約束力; 3、事件證書的主要功能是通過電子簽名的技術,保證事件發(fā)生場景中相關電子數據的完整性,防止數據產生后被篡改,但對于數據產生的過程以及數據本身是否真實在所不問,因此事件證書的電子簽名不具有抗抵賴性。事件證書的濫用風險事件證書的濫用現象及其嚴重后果 從前文可知,事件證書的主要功能,在于以簽名的形式,對

13、事件場景中形成的電子數據進行固定以防止數據被篡改,而不在于保證電子簽名的抗抵賴性,因此,事件證書的電子簽名本身并非是電子簽名法意義上“具有法律約束力”的電子簽名,而更多地表現為一種技術工具,使用證書簽名技術實現電子數據的防篡改功能。 然而實務中,事件證書的實際使用卻與此大相徑庭,大量的事件證書被直接應用于諸如電子合同等法律文書的簽署,且公然宣稱其具有電子簽名法意義上的可靠電子簽名的效力,這就給用戶、名義簽名人、簽名依賴者,乃至電子認證行業(yè)產生了重大誤導,同時也給工信部的行業(yè)監(jiān)管帶來了負擔。 舉例來說,前文提及的北京市高級人民法院“(2021)京終905號”“薛某某”訴“工信部”行政訴訟案就是其

14、中的一個典型案件,在該案中,平安科技公司錯誤的將北京CA頒發(fā)的事件證書用于“銀行與薛某某”之間的法律文件簽署,而事實上“薛某某”從未向北京CA申請過數字證書,但平安科技公司卻以“薛某某”數字證書生成了“薛某某”的電子簽名,并基于該電子簽名向“薛某某”主張權利;為此“薛某某”將平安科技公司及北京CA的違規(guī)做法向工信部進行了投訴,但工信部又未能恰當處理,最終導致“薛某某”向法院提起行政訴訟,被法院判定工信部敗訴。除此之外,也還有更多的當事人,通過工信部的監(jiān)督平臺,向工信部反映電子合同SaaS平臺擅自簽發(fā)數字證書的遭遇事件,這一系列現象直接表明,事件證書的濫用實際上已經是不爭的事實。 如同企業(yè)印章的

15、公安備案一樣,電子認證的本質是將一個“外在標識”與特定的“人”(包括自然人和法人)建立綁定關系,從而獲得經權威認證的電子身份證明;對于具有身份識別功能的標準數字證書而言,其頒發(fā)流程的嚴肅程度通常不亞于“居民身份證”,事件證書并非標準的數字證書,其主要作用是防篡改而并非身份識別,因此實務中事件證書的頒發(fā)流程比標準數字證書容易的多,但由于從外觀上,事件證書與標準數字證書并無區(qū)別,這就給事件證書的濫用帶來了動機和隱患。 很多CA機構由于片面追求證書的發(fā)放數量和市場回報,將事件證書的簽發(fā)通道公開出售,對事件證書的實際使用放任管控,甚至有意無意的給予配合,使得越來越多的事件證書被錯誤地當作標準數字證書用

16、于法律文件的簽署。電子認證這一原本以“公信力”為根本,以嚴謹審慎為支撐的行業(yè),成為了“橡皮圖章”的刻章單位,罔顧法律風險,儼然成了“認錢不認人”的證書販賣機構。 事件證書的應用泛濫,已經嚴重影響到了行業(yè)的健康發(fā)展。事件證書風險問題的對策解決事件證書濫用問題的幾項舉措 事件證書作為CA公司一項市場化的證書業(yè)務創(chuàng)新,其發(fā)展中出現的問題應從CA行業(yè)入手進行解決,包括但不限于采取如下措施。一、主觀上充分認知“電子認證”服務的嚴肅性 “身份”是所有法律行為的基礎,電子認證行業(yè)之所以存在,就是因為需要一個“可信”的權威機構,能夠獨立審慎地將一個“外在標識”與“特定對象”的“真實身份”進行認證綁定,從而賦予

17、特定對象一個可靠的電子身份。CA機構雖然以“公司”的形式存在,但卻是“社會信用”建設的重要組成部分,電子認證并不僅僅是一項市場化的技術服務,而且承載著對應的公信職能,每一枚數字證書的可靠性程度,都可能會對簽名人、簽名依賴方及其他相關人的權益產生重大影響,因此,保證數字證書簽發(fā)過程的嚴肅性和結果的可靠性,是每一個CA機構的應然之責,電子簽名法也明確規(guī)定“電子認證服務提供者收到電子簽名認證證書申請后,應當對申請人的身份進行查驗, 并對有關材料進行審查”,“電子認證服務提供者簽發(fā)的電子簽名認證證書應當準確無誤”。 但實務中,很多運營行為違背了這樣的要求,一些CA公司將法律賦予的身份審核權,有償轉移給

18、其他業(yè)務合作方,只要合作方愿意付費,即可實現合作方業(yè)務系統與CA系統(RA)層面的對接,CA接到合作方向“特定主體”簽發(fā)證書的指示,就直接簽發(fā)證書,不但不去核實該特定主體是否真的提交了證書申請,而且還直接把數字證書交付給合作方而非證書所有人,正是這種做法,使得“業(yè)務合作方”成為了實際意義上的“電子認證”提供者,而CA卻成為了只管證書簽發(fā)的“數字證書代工廠”,也使得“業(yè)務合作方”實際上獲得了以任何人的名義獲得CA簽發(fā)的“數字證書”,進而獲得偽造任何人電子簽名的能力;前述北京市高級人民法院“(2021)京行終905號”案件中,平安科技公司之所以能夠獲得“薛某某”的證書,并能夠以“薛某某”名義完成電

19、子簽名,就是因為這種業(yè)務模式造成的結果。 進一步分析產生這種現象的原因,對“電子認證”服務的嚴肅性認知不足是一個重要因素; 現實的物理世界中,個人和企業(yè)的身份由公安機關和工商機關負責認證,單位公章由行政許可的專門刻章機構制作并由公安機關備案,“認證、刻章、備案”構成了物理世界里可靠身份管理的有機整體;本質上,電子認證就是電子世界里身份認證、印章制作與備案的“三位一體”,頒發(fā)數字證書如同刻制印章,證書鏈和公開證書列表如同印章的公安備案,而有效的身份認證是數字證書可靠性的源頭,正如公安機關不能將簽發(fā)身份證時身份核驗的職能讓渡給其他人一樣,CA機構頒發(fā)數字證書時,身份認證不但是CA的權利,更是CA的基本義務,因而必須充分認識到可靠身份認證在“電子認證服務”中的關鍵作用,堅決糾正一些CA因片面追求市場效益,將身份認證的主動性、數字證書的可靠性以及CA行業(yè)的權威性,販賣給業(yè)務合作方的錯誤做法。二、禁止使用“名義簽名人”身份頒發(fā)事件證書 根據電子簽名法三十四條的規(guī)定,“電子簽名人是指持有電子簽名制作數據并以本人身份或者以其所代表的人的名義實施電子簽名的人”,因此,只有“持有證書私鑰”的人才可能成為法律意義上的“電子簽名人”,而在事件證書的場景中,無論是業(yè)務合作方的信息系統直接生成“私鑰”或是由業(yè)務系統中特定設備生成“私鑰”,“私鑰

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網頁內容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間,僅對用戶上傳內容的表現方式做保護處理,對用戶上傳分享的文檔內容本身不做任何修改或編輯,并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容,請與我們聯系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論