¿Qué es un certificado de evento? Si se utiliza para la firma, ¿se puede garantizar la validez de la firma?
El significado del certificado de evento: el certificado de evento no es un tipo de certificado digital compatible.
De acuerdo con la definición de GB/T 25056-2018 "Contraseña del sistema de autenticación de certificados de tecnología de seguridad de la información y especificaciones técnicas de seguridad relacionadas 3.9" emitida por la Administración Estatal de Regulación del Mercado y el Comité Nacional de Administración de Normalización, los tipos Los certificados digitales se pueden dividir en dos tipos: certificado de firma y certificado de cifrado, y tres tipos: certificado personal, certificado de organización y certificado de dispositivo.
Según la definición de certificado digital del artículo 2.115 del documento técnico "GM/Z 0001-2013", "El certificado digital, también conocido como certificado de clave pública, está firmado por una autoridad certificadora (CA) y contiene el titular de la clave pública, la clave pública, la información del emisor y la información. Se pueden dividir en certificados personales, certificados institucionales y certificados de dispositivo según sus usos. "., el llamado certificado de evento no es un tipo de certificado con una fuente legal formal y una base de cumplimiento;
Entonces, ¿qué es un "certificado de evento"?
Consulte Beijing CA en su formato electrónico La definición del Artículo D del Artículo 1.4.1 de las Reglas Comerciales de Certificación (CPS) establece: “Los certificados digitales de tipo evento son certificados digitales emitidos por la CA de Beijing para escenarios comerciales de comportamiento de firma. Durante el proceso comercial, la información relevante (como documentos electrónicos, información característica del comportamiento de la firma, escritura a mano u otra información de evidencia del comportamiento de la firma, etc.) se solidifica automáticamente en el dominio extendido del certificado digital. ) es presentado por el suscriptor y ha sido emitido. La clave privada correspondiente al certificado digital de tipo evento es para un solo uso, y los datos de información del escenario empresarial son una firma electrónica y se destruyen después de su uso". Los artículos 6.1.1 y 6.1.2 de la CPS estipulan además que "la firma El par de claves del certificado de evento se genera mediante el dispositivo de firma y se guarda".
El CPS de Shanghai CA no tiene contenido relevante sobre los certificados de eventos, pero ha emitido reglas comerciales especialmente para la certificación electrónica de políticas de certificados de eventos. del cual el Artículo 1.6.13 proporciona una definición: "Número de evento El certificado es un certificado digital especial basado en tecnología patentada de certificado de evento diseñada por Shanghai CA para negocios en tiempo real o escenarios comerciales específicos. En el proceso de negocios, la información relevante en el escenario comercial (documentos electrónicos, información característica del comportamiento de la firma, escritura a mano u otra información de evidencia del comportamiento de la firma, etc.) se asocia automáticamente con el dominio de extensión del certificado digital, y los certificados digitales de eventos se emiten para lograr confiabilidad. firmas electrónicas en el proceso empresarial. La clave privada correspondiente al certificado digital del evento generalmente se usa una vez y se destruye después de un uso";
Consulte la CPS de CFCA (Centro de Certificación Financiera de China), no existe un "certificado de evento" en el negocio de CFCA. reglas, pero en 1.4.1.2 propuso el "certificado de escenario CFCA", indicando que "el certificado de escenario CFCA es un certificado digital adecuado para la autenticación de firmas de servicios en tiempo real o servicios de escenarios específicos". Aplicar automáticamente al final del negocio, integrar toda la información en el escenario empresarial y formar la información de dominio extendida del certificado digital. El uso de certificados de escena para firmar evidencia de negocios instantáneos o negocios de escena puede demostrar que la evidencia no ha sido manipulada una vez completada la recopilación de evidencia, lo que garantiza la correlación y coherencia entre múltiples evidencias. Los certificados de escenario no limitan la cantidad de firmas o archivos específicos cuando se usan y se pueden usar para firmar todas las pruebas en servicios instantáneos o servicios de escenario. Una vez que abandone la escena, el certificado no podrá utilizarse. El Capítulo 6.1.1 "Generación de par de claves" aclara además que "la generación de claves del certificado de escenario es generada por el proveedor de servicios responsable del negocio del escenario y es responsable de proteger la seguridad de la clave privada del certificado de escenario".
Se puede ver en las reglas comerciales de certificación electrónica de varias agencias de CA típicas que el "certificado de evento" en sí no es un tipo de certificado formal, sino una definición de marketing derivada de cada agencia de CA para la expansión del mercado. Un análisis exhaustivo de estas definiciones, ya sea "certificado de evento" o "certificado de escenario", podemos encontrar que tienen las siguientes similitudes:
1. El ciclo de vida de los certificados de evento es extremadamente corto. Si el certificado fue emitido en el momento del incidente, se cancelará el certificado de fin del evento.
2. La clave privada del certificado del evento no está controlada por el usuario (el firmante registrado en el certificado), sino que en realidad está controlada por el proveedor de servicios del escenario de firma.
Naturaleza jurídica de la certificación del evento: no se espera ningún efecto legal.
Aunque los certificados de eventos no son un tipo de certificado basado en el cumplimiento, debido a su facilidad de adquisición, se han convertido en la forma de certificado digital más extendida en el mercado. Un gran número de plataformas SaaS de contratos electrónicos están utilizando certificados de eventos para proporcionar servicios de firma electrónica. Entonces, ¿una firma electrónica basada en un certificado de evento tiene el efecto legal de ser “equivalente a una firma en papel” como esperan las partes relevantes?
El significado legal de firma es "el reconocimiento por parte del firmante del contenido de la firma", por lo que una firma electrónica con efecto legal esperado debe cumplir tres condiciones: 1. El hecho de que el documento contenga una firma electrónica, 2. La firma Se puede determinar la identidad de la persona, 3. La identidad del firmante (es decir, la persona que realmente completa la operación de firma del documento) es consistente con el "firmante electrónico indicado en el documento".
Según el principio básico de la firma de certificados digitales, la firma se completa mediante el cálculo de la "clave privada". Dominar la "clave privada" es el requisito previo para la firma electrónica. clave privada", que puede convertirse en el firmante real;
En el escenario de firma electrónica del certificado de evento, de acuerdo con las reglas CPS de Beijing CA, CFCA y Shanghai CA, la "clave privada" del certificado de evento no está controlado por el usuario, el usuario no puede convertirse en el firmante electrónico real y el comportamiento de firma lo completa la parte comercial que proporciona el sistema de firma, aunque el período de validez del certificado de evento es muy corto, solo el período de validez corto; reduce el riesgo de que otros terceros roben la clave privada y falsifiquen firmas. Los riesgos no impiden que las partes comerciales que proporcionan sistemas de firma abusen de las capacidades de firma de los usuarios. En este sentido, la CFCA destaca específicamente en su DPC que "la generación de clave del certificado de escenario es generada por el proveedor de servicios responsable del negocio del escenario y es responsable de proteger la seguridad de la clave privada del certificado de escenario"; Se ha visto que el extremo comercial del sistema de firma se puede utilizar en cualquier momento. La obtención del certificado de evento de la organización CA en nombre del usuario permite que el extremo comercial tenga la capacidad de falsificar firmas en cualquier documento en nombre del usuario. en cualquier momento.
Por lo tanto, desde una perspectiva legal, la firma electrónica basada en el certificado de evento no puede establecer una fuerza vinculante innegable y única entre el comportamiento de firma y la identidad del firmante y, por lo tanto, no cumple con los requisitos de " certificación electrónica" El principio básico es que no puede demostrar "el reconocimiento por parte del firmante del contenido de la firma" y no tiene el efecto legal esperado por las partes equivalente a una firma en papel.
El valor práctico de los certificados de eventos
: se utilizan para garantizar la resistencia a la manipulación de los datos firmados.
Como dijo la CFCA en su CPS, "Después de que el certificado in situ se utiliza para firmar evidencia comercial instantánea o de escena comercial, puede demostrar que la evidencia no ha sido manipulada después de la recopilación de evidencia..." aunque no existe tal cosa en la CPS de Beijing CA La función específica del certificado de evento, pero en la Sentencia Administrativa Jing Xing Zhong Zi No. 905 (2021) del Tribunal Popular Superior de Beijing, también se determinó claramente que “Beijing Digital” La empresa de certificación emitió... para Ping An Technology Company en febrero de 2018”. El certificado del evento solidifica la información del escenario comercial del contrato electrónico firmado por Ping An Technology Company y el usuario a través de la firma del certificado, lo que demuestra la integridad de la información relevante. ..un "firmante electrónico" que cumple con lo establecido en el artículo 34 de la "Ley de Firma Electrónica Para Ping An Technology....
Combinando el análisis anterior y el autoinforme de los anteriores". -mencionada organización CA, podemos sacar las siguientes conclusiones:
1. El "firmante" real que utiliza el certificado de evento no es "El titular del certificado registrado en el certificado de evento" es la parte comercial que proporciona la firma. sistema;
2. El titular del certificado registrado en el certificado de evento es sólo el "firmante nominal". Debido al comportamiento de firma real, no lo realiza el firmante nominal. Según la ley, no es un "firmante electrónico que deba asumir las consecuencias legales de la ley de firma electrónica". Los documentos electrónicos firmados mediante certificados de eventos no son legalmente vinculantes para el firmante nominal;
3. el certificado del evento tiene como objetivo garantizar la integridad de los datos electrónicos relacionados con el sitio del evento a través de la tecnología de firma electrónica y evitar que los datos sean manipulados después de su generación. Sin embargo, el proceso de generación de datos no tiene nada que ver con si los datos en sí son. auténtico, por lo que las firmas electrónicas del certificado de evento no son de no repudio
Riesgos del mal uso de los certificados de evento
-Mal uso de los certificados de accidente y sus graves consecuencias
De Como se puede ver en el artículo anterior, la función principal del certificado de evento es fijar los datos electrónicos formados en la escena del evento en forma de firma para evitar que los datos sean manipulados, en lugar de garantizar el no repudio. Por lo tanto, la firma electrónica del certificado de evento en sí no es electrónica. Una firma electrónica "legalmente vinculante" en el sentido de la ley de firmas es más bien una herramienta técnica que utiliza tecnología de firma de certificado para lograr la función antimanipulación. de datos electrónicos.
Sin embargo, en la práctica, el uso real de los certificados de eventos es muy diferente. Un gran número de certificados de eventos se utilizan directamente en la firma de documentos legales, como los contratos electrónicos. que tienen la validez de firmas electrónicas fiables en el sentido de la "Ley de Firma Electrónica", los firmantes nominales, las partes que confían en la firma e incluso la industria de la certificación electrónica han causado una gran confusión y también han supuesto cargas para la supervisión de la industria por parte del Ministerio de Industria. y Tecnología de la Información.
Como se mencionó anteriormente, el Tribunal Popular Superior de Beijing” (2021) El caso de litigio administrativo de "Beijing No. 905" y "Xue Moumou" contra el Ministerio de Industria y Tecnología de la Información. En este caso, Ping An Technology Company utilizó por error el certificado de evento emitido por Beijing CA para firmar el documento legal entre "el banco y Xue Moumou", pero de hecho, "Xue Moumou" se quejó ante el Ministerio. de Industria y Tecnología de la Información sobre las prácticas ilegales de Ping An Technology Company y Beijing CA, pero el Ministerio de Industria y Tecnología de la Información no lo manejó adecuadamente, lo que finalmente llevó a "Xue Moumou" a presentar una denuncia ante el tribunal. Se presentó la demanda y el tribunal falló en contra del Ministerio de Industria y Tecnología de la Información. Además, más partes informaron al Ministerio de Industria y Tecnología de la Información a través de la plataforma de supervisión del Ministerio de Industria y Tecnología de la Información que la plataforma SaaS de contrato electrónico emitió certificados digitales sin autorización ... Esta serie de fenómenos muestra directamente que el abuso de Los certificados de incidentes son en realidad un hecho indiscutible.
Al igual que el sello corporativo registrado ante la seguridad pública, la esencia de la certificación electrónica es establecer una relación vinculante entre una "identificación externa" y una "persona" específica (incluyendo personas físicas y personas jurídicas), obteniendo así un certificado de identidad electrónico de la autoridad; en cuanto al certificado digital estándar con función de reconocimiento de identidad, su proceso de emisión suele ser tan serio como el de una “tarjeta de identificación de residente”.
El certificado de evento no es un certificado digital estándar, pero su función principal es evitar la manipulación más que la identificación, por lo que en la práctica el proceso de emisión del certificado de evento es mucho más sencillo que el de un certificado digital estándar. Sin embargo, los certificados de eventos no se diferencian en apariencia de los certificados digitales estándar, lo que crea incentivos y peligros ocultos para el abuso de los certificados de eventos.
Muchas instituciones de CA persiguen unilateralmente el número de emisiones de certificados y los retornos del mercado, venden canales de emisión de certificados de eventos al público, controlan el uso real de los certificados de eventos e incluso cooperan intencionalmente o no, provocando más y más se utilizarán más certificados de eventos. Se utiliza incorrectamente como certificado digital estándar para firmar documentos legales. La certificación electrónica, que originalmente se basaba en la "credibilidad" y se apoyaba en el rigor y la prudencia, se ha convertido en una unidad de grabado de "sellos de goma" que ignora los riesgos legales y se ha convertido en una agencia de venta de certificados que "reconoce el dinero pero no las personas".
La proliferación de solicitudes de certificados de eventos ha afectado gravemente al sano desarrollo de la industria.
Contramedidas de riesgo para los certificados de eventos: varias medidas para abordar el abuso de los certificados de eventos
Como innovación empresarial de certificados orientada al mercado de las empresas de CA, sus problemas de desarrollo deben resolverse desde la industria de CA. Incluyendo pero no limitándose a las siguientes medidas.
1. Comprender plenamente la seriedad del servicio de "certificación electrónica" de forma subjetiva.
La "identidad" es la base de todas las acciones legales La existencia de la industria de la certificación electrónica se debe a la necesidad de una autoridad "creíble" que pueda combinar de forma independiente y prudente una "identidad externa" con una "identidad". vinculante de “identidad real” del objeto específico”, dando así a un objeto específico una identidad electrónica confiable. Si bien CA existe en forma de "empresa", es una parte importante de la construcción del "crédito social". La certificación electrónica no es sólo un servicio técnico orientado al mercado, sino que también cumple las correspondientes funciones de confianza pública. La fiabilidad de cada certificado digital puede tener un impacto significativo en los derechos e intereses del firmante, de las partes que confían en la firma y de otras partes interesadas. Por lo tanto, es responsabilidad natural de cada organización de CA garantizar la seriedad del proceso de emisión de certificados digitales y la confiabilidad de los resultados. La "Ley de Firma Electrónica" también estipula claramente que "después de recibir una solicitud de certificado de certificación de firma electrónica, el proveedor de servicios de certificación electrónica deberá verificar la identidad del solicitante y revisar los materiales pertinentes" y "el certificado de certificación de firma electrónica emitido por el proveedor de servicios de certificación deberá ser exacta."
Sin embargo, en la práctica, muchas operaciones violan dichos requisitos. Algunas empresas de CA transfieren los derechos de verificación de identidad otorgados por ley a otros socios comerciales a cambio de una tarifa. Siempre que el socio esté dispuesto a pagar, el sistema comercial del socio se puede conectar al sistema CA (RA). Después de que la CA recibe la instrucción del socio para emitir un certificado a un "sujeto específico", emitirá el certificado directamente. No solo no verifica si el sujeto específico realmente presentó la solicitud de certificado, sino que el certificado digital se entrega directamente a. el socio, no el propietario del certificado. Es este enfoque el que hace que los socios comerciales se conviertan en proveedores de "certificación electrónica" en el sentido real, mientras que CA se convierte en una "fundación de certificados digitales" que solo se preocupa por la emisión de certificados. Esto también permite a los socios comerciales utilizar el nombre de cualquier persona que realmente obtenga. un "certificado digital" emitido por una CA, obteniendo así la capacidad de falsificar la firma electrónica de cualquier persona. En el caso "(2021) Jing Xing Zhong No. 905" del Tribunal Popular Superior de Beijing, fue precisamente gracias a este modelo de negocio que Ping An Technology Company pudo obtener el certificado de "Xue Moumou" y utilizarlo como "Xue Moumou" Complete la firma electrónica a su nombre.
Un análisis más detallado de las razones de este fenómeno muestra que la comprensión insuficiente de la seriedad del servicio de "certificación electrónica" es un factor importante;
En el mundo físico real, los individuos y las empresas La identidad es autenticada por los órganos de seguridad pública y las autoridades industriales y comerciales, y el sello oficial de la unidad lo produce una agencia especial de grabado de sellos que tiene licencia administrativa y está registrada ante los órganos de seguridad pública. "La autenticación, el grabado de sellos y el archivo" constituyen un todo orgánico de gestión confiable de la identidad en el mundo físico; la autenticación electrónica es esencialmente la "trinidad" de la autenticación de identidad, la producción de sellos y el archivo en el mundo electrónico. Emitir un certificado digital es como grabar un sello. La cadena de certificados y la lista de certificados públicos son como el sello de presentación de seguridad pública. La autenticación de identidad válida es la fuente de la confiabilidad del certificado digital. Función al emitir una tarjeta de identificación a otras personas. Al emitir certificados digitales, la autenticación de identidad no es sólo un derecho de la CA. Esta es también la obligación básica de las CA. Por lo tanto, debemos comprender plenamente el papel clave de la autenticación de identidad confiable en los "servicios de certificación electrónica" y corregir decididamente la búsqueda unilateral de algunas CA de intereses de mercado que toman la iniciativa de la autenticación de identidad y la confiabilidad de la certificación. Certificados digitales Es un error traicionar la autoridad y la autoridad de la industria de CA ante los socios comerciales.
2. Está prohibido utilizar la identidad del "firmante nominal" para emitir certificados de eventos.
Según lo establecido en el artículo 34 de la “Ley de Firma Electrónica”, “Se entiende por firmante electrónico la persona que posee datos de producción de firma electrónica y firma electrónicamente bajo su propia identidad o en nombre de la persona él representa a la gente". Por lo tanto, sólo la persona que posee la clave privada del certificado puede convertirse en un "firmante electrónico" en el sentido legal. En el escenario del certificado de evento, si el sistema de información del socio comercial genera directamente la "clave privada" o si un dispositivo específico en el sistema comercial genera la "clave privada". La "clave privada" no puede estar en manos del "firmante nominal" y el firmante electrónico real siempre puede ser solo el socio comercial, por lo que es apropiado emitir un certificado de evento al socio comercial o al dispositivo del socio. La emisión de certificados como firmantes nominales no solo es sospechosa de violar las regulaciones, sino que también confunde fácilmente a los usuarios, sobrecarga la supervisión de la industria y brinda oportunidades para un uso inadecuado por parte de los socios.
En tercer lugar, proporcione una lista de estado de certificado OCSP especial para la verificación del certificado de evento.
Dado que el certificado de evento tiene un período de validez corto y un gran número, y la función principal del certificado de evento es evitar la manipulación de datos, que es significativamente diferente del repudio de los certificados digitales estándar, es necesario para distinguir la lista de estado del certificado público del certificado de evento del número estándar La lista de estado del certificado no solo puede optimizar de manera efectiva el rendimiento general de la consulta de la lista de certificados, sino que también informa claramente a los usuarios sobre los atributos del certificado de evento.
4. La función del certificado de evento de expresión pública es a prueba de manipulaciones.
Una de las principales razones por las que los certificados de eventos se utilizan indebidamente en la práctica es que la funcionalidad de los certificados de eventos es engañosa. Aunque algunas instituciones de CA estipulan claramente el propósito de los certificados de eventos en su CPS, no todos los usuarios de certificados o firmas electrónicas son expertos en la industria y pueden comprender realmente la diferencia entre los certificados de eventos y los certificados digitales estándar. Para evitar que los certificados de eventos se utilicen indebidamente en escenarios de aplicaciones que no sean a prueba de manipulaciones, como firmas electrónicas de documentos legales, es necesario indicar claramente en la extensión de cada certificado de eventos que esta función solo es a prueba de manipulaciones, y explíquelo en las páginas de productos de varios certificados de eventos. La restricción de sus funciones evita aún más el uso inadecuado de los certificados de eventos.
Verbo (abreviatura de verbo) Corregir el escenario de cooperación empresarial del uso indebido de certificados de eventos
Para el negocio de certificación de eventos que se ha llevado a cabo, es necesario clasificarlo de acuerdo con el escenario empresarial real. Para aquellos que cumplen con los requisitos funcionales de los certificados de eventos, utilizan certificados de eventos para firmar documentos legales con el concepto de intercambio secreto y tienen las condiciones para cambiar a certificados digitales estándar, el método de cooperación debe cambiarse si las condiciones para la conversión no lo son. se cumple, se debe suspender el uso de certificados de eventos.