Podpis elektroniczny.
Ostatnio zainteresowałem się kwestią podpisu elektronicznego. Podziwiam zamysł twórców. Zapewnili sobie stały dopływ darmowej gotówki na kilka pokoleń wprzód (a przynajmniej do czasu, aż znajdzie się ktoś inteligentny na odpowiednim stanowisku).
O co chodzi? Jak nie wiadomo o co chodzi, to zazwyczaj chodzi o kasę. Podpis elektroniczny możemy składać wyłącznie posługując się uwiarygodnionym certyfikatem. Za taki certyfikat należy zapłacić. Opłata jest związana z koniecznością utrzymania scentralizowanej infrastruktury.
Zastanawiam się co przeszkadza w używaniu zdecentralizowanego systemu w rodzaju PGP. W tym przypadku zaufanie do klucza buduje się na podstawie wzajemnych podpisów składanych przez użytkowników pod kluczami swoich znajomych. Załóżmy, że posiadam pełne zaufanie do Bartka i wiem, że jego klucz znajdujący się w mojej bazie na pewno jest jego, bo wręczył mi go osobiście. Jeśli więc dostanę klucz Agnieszki podpisany przez Bartka, to mogę mieć pewność, że ten klucz na pewno należy do Agnieszki i korespondencja nim podpisywana faktycznie od niej pochodzi.
Zdecentralizowany system umożliwia łatwe symulowanie systemu centralnego. Załóżmy, że tworzę parę kluczy - prywatny będzie mi służył do podpisywania, publiczny będzie umożliwiał zweryfikowanie mojego podpisu przez innych (dowiedz się więcej na temat podpisów cyfrowych). Jeśli zależy mi na tym (lub jest to wymagane np. przez ZUS), mógłbym teraz wziąć mój klucz publiczny (który jest nierozerwalnie związany z prywatnym), pójść do urzędu i przedstawiając dowód osobisty poprosić o potwierdzenie, że to faktycznie mój klucz. Pani w okienku taka operacja powinna zająć kilka sekund. Do domu wróciłbym już z kluczem podpisanym przez państwowy urząd. Teraz mógłbym już wystawić ów klucz do publicznej wiadomości. Każdy, kto dostałby podpisaną przeze mnie korespondencję widziałby urzędową autoryzację - dokładnie tak jak teraz widzi w certyfikatach używanych do składania elektronicznego podpisu (słowo "klucz" zostało zastąpione przez "certyfikat"). Jaki więc był problem, żeby wdrożyć PGP? Bo nikt by nie zarobił, tak?
Jeśli mylę pojęcia i jestem niedoinformowany, to proszę mnie oświecić :) Chciałbym wierzyć, że są jakieś obiektywne przesłanki przemawiające za centralnym systemem (pomijam kwestię, że nieco łatwiej zaimplementować to w prawodawstwie - interesują mnie wyłącznie kwestie praktyczne z punktu widzenia informatyki).
Plusem systemu centralnego jest odpowiedzialność finansowa centrów certyfikacyjnych.