021-54410609
《电子识别和信任服务条例》（EU 910/2014 / EC-也称为eIDAS）是一套复杂的法律（包括技术标准），提高了在所有欧盟成员国提供电子信任服务的条件。本文试图帮助在eIDAS上下文中选择实施高级电子签名还是合格电子签名的决策过程中提供帮助。即使在所有28个成员国中全面实施了该法规，私营部门中的大多数公司还是落后了，或者在混乱的迷雾中完全迷失了。
在欧洲，有超过2300万家中小企业。eIDAS周围存在很多混乱，并且其中许多企业几乎没有可用于简单解释法律的信息。
的确，私营部门受eIDAS的影响要小于公共服务和政府机构。
不管那个事实，大多数企业将迟到的原因归咎于其他障碍。缺乏兴趣并不是eIDAS起飞缓慢的主要原因。术语引入了难以理解的新术语和概念，包括例如电子设备和数据类型（标识，证书，签名，图章，时间戳，创建数据和设备），每个都分为3个保证级别，法律上重要的级别为“ 高级”。或“ 合格”。 缺乏立法理解的另一个关键原因是由于法规文本本身的复杂体系结构。书面材料包括法规本身，不少于七项实施法案以及约30项规范，技术标准，规范等。
公平地说，欧盟委员会定义的许多规则仍是有意未指定的，从而给负责实施法规的成员国监管机构留出了一些解释的空间。这样一个多方面的主题的概括性文本，加上许多重叠的要求，使得eIDAS甚至对于专家来说都难以理解。因此，有必要澄清。
信托服务
信任服务提供者（TSP）通过使用强大的身份验证、数字证书提供和电子签名机制来确保签署者和eID服务的电子标识。数据的任何更改必须清楚地告知数据的发送者和接收者。另外，任何更改的日期和时间都必须附带电子时间戳记。
根据eIDAS，高级电子签名（AdES）被认为具有法律约束力，而合格的电子签名（QES）（例如通过合格的信托服务提供商（QTSP）生产的合格电子签名）具有最高的证明价值，并且与手写数字等效一个（如果在法庭上用作证据），并且不容易受到质疑，因为作者身份被认为是不可否认的。
在eIDAS下，欧盟维护一个欧盟信任列表，其中包含被授予合格状态的提供者和服务。如果实体不在该列表中，则不允许它们提供合格的信任服务。那些在欧盟信任列表中列出的提供者必须遵守在eIDAS下创建的严格准则。详细了解合格的信托服务提供商。
比较高级和合格的电子签名
高级签名和合格签名都必须高度受信任，并始终由签名人控制。同样，法律都要求它们都必须链接回创建它们的电子数据。最后，必须以某种方式保护电子签名创建数据，以防止数据被不可检测地改变的可能性。
尽管这些要求需要一个安全的、可审核的环境来认证和存储签名创建数据，但它不一定能抵御例如蛮力攻击或其他需要强大加密密钥管理的攻击。在这方面，QES具有更高的安全性和保证水平。
QES是“ 通过合格的信任服务提供商通过安全（合格）签名创建设备加密的带有数字证书的高级电子签名”（英国政府，2014年）。对于QES，还必须根据ETSI（标准化机构）提出的特定，高度安全的技术要求，对签名创建设备和签名激活过程中涉及的其他组件进行认证。简而言之，QES增强了AdES提供的安全要求和法律保证。
根据法律，QES被认为等同于欧盟内部的手写签名。信任提供者的签名认可签名人的证书，该证书具有相同的道理，正式“证明”签名人的电子签名。与AdES相比，这些绝对要求为QES提供了更高的技术安全性。
合格电子签名的技术安全和法律保证优势
技术安全
必须使用合格签名创建设备（QSCD）创建所有合格签名。但是，区分本地签名和远程签名很重要。
本地签名是指最终用户/消费者持有存储签名密钥的个人设备（例如智能卡、eToken 5110），然后使用该设备启动签名过程的时间。在这种情况下，智能卡和读卡器必须经过认证才能成为QSCD。
远程签名是签名密钥由TSP的硬件（数据中心中的硬件安全模块，SafeNet Luna HSM）保护的地方，而签名者通过远程（在线）访问签名密钥以某种形式的强身份验证来启动签名过程。在这种情况下，硬件安全模块（HSM）内部的签名激活模块（SAM）负责安全地启动签名过程。SAM和HSM必须经过认证才能成为QSCD。证书和密钥管理生命周期完全在硬件安全模块（HSM）的范围内进行管理。所有签名创建数据都被加密并存储在数据库密钥库中，并受到签名密钥的保护，而签名密钥永远不会使HSM处于未加密状态。
法律保障
除AdES的要求外，eIDAS法规还规定了提供合格的信托服务的要求，并在所有欧盟成员国内建立了具有与手写签名相同的法律保证的合格电子签名。每当欧洲或国家成文法定义合同履行的签字形式时，许多合同都要求数字文件上的手写签名以适当形式执行。此类合同包括，例如，工作合同，招标，汽车租赁保险等。甚至可以由政府许可的公证人对法律文件进行公证。
但是，在高货币价值或生命保护要求更高级别的安全性（其中“合格的”安全性功能是复合安全性体系结构的重要方面之一）的情况下，应用签名也很有意义。只要对法律不可否认性具有很高的证明价值（即使没有法律法规要求这样做），也应适用“合格身份”。
努力与成本
努力
达到合格状态的最大努力之一是客户识别。合格的信任服务提供者必须证明已对身份进行了充分检查。当前，大多数使用eIDAS的银行和政府都进行KYC流程，该流程需要用户的实际存在，以便随后以数字方式使用数据。
为了加快入职流程，可以直接或在身份验证公司的帮助下在线进行此类检查。例如，符合eIDAS的客户识别流程由PostIdent或Luxtrust之类的公司执行。
使用身份验证公司将减少实际内部建立签名服务以将其提供给客户的工作。但是，即使是这样的前期努力，也可以为大规模部署带来巨大的回报。
费用
对于先进和合格的电子签名，机构都将面临经常性费用和一次性费用。
使用合格的信托服务提供商时，公司必须根据数量支付年度使用费，这与高级电子签名的使用费相当。但是，在估算成本时，还有其他因素（包括技术和部署模型）使问题变得更加复杂。根据部署规模，公司可以通过内部使用某些服务来降低重复成本。
当“合格”时，将进行年度审核，以验证体系结构和eIDAS合规性的重要方面。关于这种审计，一家中型银行可能正在寻找大约10万欧元的管理成本，包括每年由外部审计师进行的实际审计。
总体而言，合格签名服务的成本估计是高级签名服务的成本的2-3倍。
结论
本文试图在高级和合格电子签名之间的决策过程中提供帮助。它表明，在需要“手写签名”的合同和文件的签名流程自动化时，需要合格的电子签名。它们允许构思可扩展的流程，从而显着减少人员，工作量和时间。
在实施了合格的电子签名流程并注册了用户之后，合格的电子签名可以在法律未必需要的地方应用，但可以提供更高级别的安全性和法律保证。一个说明性的例子是高于某个阈值的付款的金融交易。
在一个机构或公司中，AdES和QES for PDF或XML可能会有单独的用例。Cryptomathic的符合eIDAS的签名技术具有可以通过同一解决方案Cryptomathic Signer交付的优点。
获取产品和解决方案
联系揽阁信息，您可以获取到基于Gemalto（现Thales）智能卡产品和国际权威PKI机构（如GlobalSign）构建的安全PKI体系解决方案。该方案可以有效的帮助您满足eIDAS所提出的合规性要求。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话