Rafræn skilríki

Netið og veraldarvefurinn eru í eðli sínu opin samskiptakerfi. Þar má með ýmsu móti villa á sér heimildir, komast inn í kerfi sem manni eru óviðkomandi, valda spjöllum, eyða vélatíma og bandbreidd á kostnað annarra o.s.frv.

Til þess að þessi tækni geti unnið sér sama sess í viðskiptum og stjórnsýslu og hefðbundnar aðferðir verður að viðhafa ráðstafanir til að tryggja að menn treysti hver öðrum og hinum rafræna miðli. Öryggisráðstafanir felast í stjórnunar- og skipulagsráðstöfunum, aðgerðum til að treysta umhverfi og aðbúnað upplýsingakerfa og tæknilegum lausnum.

Markmið
Meginmarkmið rafrænna skilríkja lýtur að auðkenningu, undirritun og dulritun sem hvert um sig hefur eftirfarandi hlutverk:

Auðkenning
1. Tryggir að aðili sé sá sem hann segist vera

Undirritun
2. Tryggir heilleika gagna
3. Staðfestir uppruna
4. Kemur í veg fyrir afneitun

Dulritun
5. Tryggir öryggi og leynd

Geymsla skilríkja
Þrjár meginleiðir eru notaðar við geymslu rafrænna skilríkja. Þau má geyma

• í tölvu,
• á örgjörvakorti (smart card) eða
• í miðlægri geymslu, aðgengilegri yfir netið.

Skipulag
Dreifilyklaskipulag (public key infrastructure, PKI) er kerfi reglna um meðferð, útgáfu og eftirlit með notkun rafrænna skilríkja. Nafnið er þannig til komið að notaðir eru tveir ósamhverfir dulritunarlyklar, og nefnist annar einkalykill (private key) en hinn dreifilykill (public key).

Formlegt dreifilyklaskipulag tryggir tilteknar staðlaðar öryggiskröfur við útgáfu og meðferð rafrænna skilríkja, m.a. að borin séu örugg kennsl á handhafa skilríkjanna við afhendingu þeirra. Í kerfinu er séð fyrir vottun þriðja aðila á því að undirskrift sé í gildi og staðfestingu þess að dulritunarlykill og persónueinkenni eigi saman.

Dreifilyklaskipulag og rafræn skilríki, sem gefin eru út á grundvelli slíks skipulags, eru hluti víðtækra ráðstafana til að tryggja viðunandi öryggi og gagnkvæmt traust í rafrænum viðskiptum, þar á meðal í opinberri stjórnsýslu.

Rafræn skilríki – auðkenning
Rafrænum skilríkjum má líkja við vegabréf. Viðkomandi yfirvald eða fyrirtæki, sem nýtur trausts, gefur þau út eftir að hafa fullvissað sig um að viðtakandi sé sá sem hann segist vera. Hluti af dreifilyklaskipulaginu er síðan sjálfvirkt kerfi sem sannreynir gildi vegabréfsins.

Dulritun
Dulritun eða dulkóðun (encryption) er tæknileg aðferð við að gera tiltekin gögn ólæsileg öðrum en þeim sem ráða yfir viðeigandi lyklum til dulráðningar. Um er að ræða lyklapar, einkalykil bundinn við persónu, og dreifilykil sem vera þarf aðgengilegur þeim sem eiga samskipti við téða persónu.

Rafræn undirskrift
Rafræn undirskrift er tæknileg lausn þar sem dulritun er notuð á tiltekinn hátt. Með viðeigandi reglum og fyrirmælum (dreifilyklaskipulagi) og notkun rafrænna undirskrifta við sendingu upplýsinga, t.d. yfir netið, má tryggja með nokkuð öruggum hætti 1.-3. og 5. lið í listanum að ofan. Með því að beita dulritun á efni skeytis er að auki unnt að tryggja 4. lið á leið þess frá sendanda til viðtakanda.

Hlutverk og traust
Rafræn skilríki gefin út á grundvelli dreifilyklakerfis veita ekki sjálfkrafa aðgang að tilteknum kerfum eða upplýsingum. Þau eru notuð til að tryggja betur en áður aðgang aðila að nauðsynlegum kerfum og upplýsingum. Mikilvægt hlutverk rafrænna skilríkja er að skapa gagnkvæmt traust í tölvusamskiptum á netinu, sbr. fyrrnefnd fimm öryggisatriði.

Kaupmenn taka flestir við greiðslukorti því að þeir vita að útgefandi þess ábyrgist greiðslu. Með símtali eða tölvusambandi við útgefandann fæst staðfest hvort kortið er gilt. Útgefandinn hefur gert samning við korthafa um meðferð kortsins, takmarkanir og réttindi. Reglur um alla meðferð mála eru þekktar og almennt viðurkenndar. Með öðrum orðum: Gerðar eru ráðstafanir til að skapa gagnkvæmt traust.

Aðgerðir til að auka öryggi í rafrænni stjórnsýslu
Traust og öryggi í rafrænum samskiptum byggist á þremur þáttum sem styðja hver annan:

1. lagagrundvelli
2. skipulagsráðstöfunum
3. tæknilausnum

Með lögum um rafrænar undirskriftir og um rafræn viðskipti frá 2001 og breytingum á stjórnsýslulögum vegna rafrænnar stjórnsýslu hafa meginlínur verið lagðar að traustum lagagrundvelli. Í stefnu ríkisstjórnarinnar um upplýsingasamfélagið eru sett fram eftirfarandi markmið um rafræn skilríki:

• Stefna ber að því að notkun rafrænna skilríkja verði almenn og útbreidd svo bera megi kennsl á samskiptaaðila á öruggan hátt, og að komið verði við rafrænum undirskriftum og dulritun eftir því sem við á.
• Stefna ber að opnum en stöðluðum markaði með rafræn skilríki og vottunarþjónustu. Gefnar verði út kröfur ríkisins um innihald, form og meðferð rafrænna skilríkja í samskiptum við stofnanir ríkisins. Þær kröfur gætu orðið fyrirmynd að almennu dreifilyklakerfi fyrir atvinnulíf og sveitarfélög. Stefnt verði að einföldu kerfi og hagkvæmu í rekstri, og að kostnaður dreifist í hlutfalli við hag notenda.
• Fylgt verði evrópskum og alþjóðlegum stöðlum og stefnt að samþættingu við dreifilyklakerfi grannlandanna þegar tímabært þykir.

Samstarfsverkefni ríkisstofnana um rafræn skilríki
Síðan 2003 hafa ríkistofnanir og ráðuneyti haft samstarf um rafræn skilríki þar sem dýrmæt reynsla hefur safnast. Skilríkin sem hafa þar verið gefin eru út eru svokölluð starfsmannaskilríki. Þau eru auðkennd með kennitölu vinnuveitanda og starfsmanns. Tvenns konar not eru af skilríkjunum, annars vegar til undirritunar og dulritunar tölvupósts, hins vegar til auðkenningar við aðgang að tilteknum kerfum eða þjónustu ríkisins.

Tollstjórinn í Reykjavík sér um útgáfu skilríkjanna ásamt sýslumannsembættum á landsbyggðinni. Tollstjórinn og ríkisskattstjóri nýta skilríkin mest allra stofnana og þau eru mikilvægur hlekkur í starfsemi þeirra á tilteknum sviðum. Tollstjórinn nýtir skilríkin við veftollafgreiðslu tollskýrslna en ríkisskattstjóri notar þau fyrir rafræn skil endurskoðenda á skattskýrslum.

Almenn útbreiðsla skilríkja
Almenn útbreiðsla rafrænna skilríkja felur í sér byltingu í samskiptum á netinu. Með þeim skapast traust þar sem notendur geta auðkennt sig á öruggan hátt og skrifað rafrænt undir skjöl og skuldbindingar. Samhliða almennri útbreiðslu margfaldast framboð á rafrænni þjónustu sem skilar sér í auknu hagræði fyrir þjónustuveitendur, fyrirtæki og almenning.

Fjármála- og efnahagsráðuneytið vinnur nú að mótun dreifilyklaskipulags sem er einfalt, staðlað og opið. Þetta skipulag er grunnur að almennri dreifingu skilríkja ásamt framboði á mismunandi þjónustu þar sem skilríkin eru nýtt. Ráðuneytið á samstarf við Samband banka og verðbréfafyrirtækja um þessa þætti og stefnir að almennri útbreiðslu skilríkja á bankakortum.