חתימה דיגיטלית ותעודה דיגיטלית - מדריך פשוט

לפני שהעולם התחיל לעשות דיגיטציה, הוא הסתמך במידה רבה על ניירות חתומים כדי לאשר, לאמת ולהטיל אחריות על צדדים שונים בעסקאות ובסוגים שונים של הסכמים. החתימה הדיגיטלית והתעודה הדיגיטלית באות כתחליף מודרני של חתימות סטנדרטיות. 

מהיר משמעותית משליחת ניירות דרך הדואר ושליחת מסמכים בפקס, החתימה הדיגיטלית באה לעזרתם של עסקים שונים. 

מהי חתימה דיגיטלית? 

חתימה דיגיטלית היא אימות אלקטרוני של שולח המסמך, המאפשר למקבל לקבוע אם התוכן המקורי השתנה על ידי מתווך. 

המפתח הפרטי והמפתח הציבורי הם שני המרכיבים החיוניים של חתימה דיגיטלית, שנוצרו על ידי אלגוריתם ייעודי בו-זמנית. למרות שהם נוצרו כדי להיות קשורים מתמטית, במראה, הם יהיו שונים. 

חתימה דיגיטלית משרתת שלוש מטרות: 

1. אימות – המקבל יכול לקבוע את מחבר ההודעה ולקבוע אם השולח הוא מי שהוא טוען שהוא. 
2. אי-דחייה - השולח אינו יכול להכחיש ששלח את ההודעה מאוחר יותר ויכול להיות אחראי על ההודעה שלא השתנתה. 
3. שלמות - ההודעה לא שונתה. 

ולמען האמת, לחתימה הדיגיטלית יש ערך משפטי בארצות הברית, האיחוד האירופי, שוויץ, דרום אפריקה, אלג'יריה, טורקיה, הודו, ברזיל, אינדונזיה, מקסיקו, ערב הסעודית, אורוגוואי וצ'ילה. 

איך יוצרים חתימה דיגיטלית? 

כדי ליצור חתימה דיגיטלית, עליך לחתום על ההודעה עם המפתח הפרטי שלך.  

המפתח הפרטי הוא האלמנט של המשוואה הזו שרק אתה מחזיק בו, ובמתן אותו אתה מראה הוכחה שאתה זה שחתמת על מסמך. 

ראשית, אתה גיבוב את הטקסט הרגיל כדי לשמור תיעוד של הגרסה ללא שינוי של ההודעה שאתה עומד לשלוח.  

הערת שוליים. Hashing הוא הפיכת תוכן מסוים בכל אורך לערך קצר יותר באורך קבוע. 

אלגוריתם הגיבוב המועדף ביותר כיום הוא SHA256 (Secure Hashing Algorithm). זכור ש-hashing הוא תהליך חד-כיווני, ושינוי קטן בקלט משנה את כל הפלט.  

לאחר מכן, אתה מצפין את ה-hash של הטקסט הפשוט עם המפתח הפרטי שלך, מה שיגרום לחתימה הדיגיטלית. 

אתה מצרף את החתימה הדיגיטלית למסמך הטקסט הפשוט ושולח אותו. 

דרך הצפנה א-סימטרית, המקלט יוכל לפענח את החתימה הדיגיטלית שלך ולהשוות את ה-hash של הטקסט הפשוט ל-hash שאתה מספק.  

אז, אתה עשוי לתהות כיצד אתה מגיב למסמך. למרבה המזל, תוכנה במחשב שלך תעשה זאת אוטומטית עבורך.  

כך תוכל ליצור את ה-hash של מסמך ב-Windows 7/8/10: 

1. גש ל"שורת הפקודה";  
2. הקלד "certutil - hashfile" 
3. שחרר את המסמך ב"שורת הפקודה". 
4. הוסף "SHA256" בסוף השורה. 

השורה האחרונה שלך צריכה להיראות בערך כך: 

certutil -hashfile "C:\User\Computer\Desktop\File.docx" SHA256 

על ידי כך, המסוף יציג קוד של 256 סיביות / 64 תווים הקסדצימליים המייצגים את תוכן הקובץ שלך. 

אבל מאיפה משיגים מפתח פרטי ומפתח ציבורי? 

זה גם די פשוט.  

אתה יכול ליצור אותם באמצעות תוכנה, פלטפורמה מקוונת, או דרך תשתית מפתח ציבורי (PKI) הרשומה ברשות אישורים. 

הערת שוליים. ה-PKI הוא פורמט מקובל לניהול הצפנת מפתח ציבורי המספק את הרמות הגבוהות ביותר של אבטחה וקבלה אוניברסלית.  

לאחר מכן, כיצד מוסיפים חתימה דיגיטלית עם מפתח פרטי למסמך? 

לשם כך, אתה שוב צריך להשתמש בתוכנות ייעודיות כמו Sign Server, Safe pdf או DocuSign. 

איך זה עוזר? 

בוא ניקח תרחיש בדיוני של איך חתימה דיגיטלית יכולה להגן עליך.  

אתה חותם דיגיטלית על חוזה עם ספק בחו"ל לשירותי מיקור חוץ.  

לאחר הסכמתם על תנאים והגבלות ותעריף של $20 לשעה, גיבשתם את המסמך וחתמתם עליו, ואז שלחתם אותו בחזרה לספק. 

וכאן באה הבעיה.  

החוזה החתום צריך להגיע למנהל של חברת מיקור החוץ, אבל איש מכירות חמדן משנה את התעריף ל-$30 לשעה כדי שיוכל להרוויח עמלה גדולה יותר. כשמגיע הזמן לשלם, פתאום מגלים שהתעריף גדול ממה שסיכמתם עליו. 

איך מוכיחים שחבל במסמך?  

המנהל לא היה מודע אבל היה מוכן להבהיר את המצב. אז אתה מבקש ממנו להשתמש במפתח הציבורי כדי לפענח את החתימה שלך ולבדוק את ה-hash. על ידי כך, הוא יוכל לזהות את ההבדל בתפוקת הגיבוב ולקבוע שהחוזה השתנה.  

וגם אם המנהל לא מוכן לשתף פעולה, אתה יכול לקחת אותם לבית משפט, להוכיח שאתה צודק ולהטיל עליהם דין וחשבון. 

חתימה דיגיטלית בבלוקצ'יין 

הבלוקצ'יין של ביטקוין עושה שימוש באלגוריתם SHA256 ובחתימה דיגיטלית כדי להבטיח את חוסר השינוי של המידע המאוחסן ב- blockchain. החתימה הדיגיטלית עוזרת לעקוב אחר עסקאות ולמנוע הוצאה כפולה. 

העסקאות נלקחות כקלט ומופעלות באמצעות אלגוריתם גיבוב, ואז מוחזרות כפלט עם אורך קבוע. הנתונים מתווספים לאחר מכן בתוך בלוק. הבלוק מכיל גם מצביע גיבוב המצביע על הבלוק הקודם.  

מצביע ה-hash מכיל את ה-hash של כל הנתונים בתוך הבלוק הקודם. כל שינוי קל של הנתונים הכלולים בבלוק יביא עם עצמו שינוי דרסטי ב-hash. השינוי לא נופל רק על הנוכחי אלא גם על כל הבלוקים הקודמים, ומכאן מבטל אותם. 

מה זה תעודה דיגיטלית? 

כפי שאולי כבר ניחשתם, זה לא כל כך מסובך ליצור חתימה דיגיטלית ולהשתמש בה. כאן בדיוק עומדת החולשה שלו.  

צד זדוני עלול לנסות ליצור חתימה דיגיטלית ומפתח ציבורי כדי להעמיד פנים שהוא מישהו אחר. אם אדם יקבל הודעה כזו בחתימה דיגיטלית ויגיע למסקנה שהמסמך חוקי, אותו אדם יהיה חשוף להתקפת מידע מצד הצד הזדוני.  

החתימה הדיגיטלית לבדה אינה מאמתת את הזהות האמיתית של השולח והמפתח הציבורי שלו, לכן, אין אימות. 

עם זאת, בעיה זו נפתרת על ידי אישור דיגיטלי. תעודה דיגיטלית היא אישור אלקטרוני המונפק על ידי רשות אישורים.  

רשות האישורים רושמת באמצעות PKI את זהות הבעלים וכן מוודאת שהבעלים אכן הבעלים של המפתח הציבורי. 

האישור הדיגיטלי מכיל בדרך כלל את שם הבעלים, המפתח הציבורי, רשות האישור והחתימה הדיגיטלית. כך מצטמצם משמעותית הסיכון בקבלת חתימה דיגיטלית מגורם זדוני. 

איך יוצרים תעודה דיגיטלית? 

יש בעיקר שתי דרכים ליצור תעודה דיגיטלית: 

1. אתה יוצר תעודה בחתימה עצמית. 
2. אתה מבקש זאת מרשות אישורים (CA). 

1. תעודה בחתימה עצמית 

ישנן מספר שיטות ליצירת תעודה בחתימה עצמית, אך כדי להבין את התהליך, נתייחס לתעודת X509 בחתימה עצמית. אתה יכול ליצור הכל לבד ב-OpenSSL. 

פשוט פתח את שורת הפקודה והקלד 'openssl'. 

לאחר מכן, הקלד 'OpenSSL req -x509 -days 365 -newkey rsa:2048 -keyout my-key.pem -out my-cert.pem'. 

ולמרות שלחלק מכם, זה עשוי להיראות כמו ג'יבריש, בואו נראה מה כל זה אומר: 

• 'Req' פירושו שזו בקשת אישור; 
• 'x509' מציין את סוג התעודה; 
• '365' מציין את מספר הימים שהוא יהיה בתוקף; 
• 'מפתח חדש' פירושו שזה יהיה תעודה חדשה;
• 'מפתח' הולך להיות קובץ המפתח.

לאחר מכן, תוכל ליצור את המפתח הפרטי ולהוסיף פרטי זיהוי.  

אתה יכול למצוא מדריך שלב אחר שלב כאן. 

עם זאת, תעודה דיגיטלית בחתימה עצמית מספקת רק הצפנה אך ללא אמון. תעודה כזו היא יעד קל להאקרים. הם יכולים לשכפל אותו ולהעמיד פנים שהם 'המנפיק' ולהתחיל להתחזות למידע אישי. 

למען האמת, אתרים המשתמשים בתעודות SSL בחתימה עצמית מסומנים כ'לא מהימנים' על ידי דפדפני אינטרנט. 

2. תעודה שהונפקה על ידי CA 

התעודה הדיגיטלית מאומתת על ידי רשות אישורים היא השיטה האמינה והבטוחה יותר. זה גם קל יותר להשיג, אבל זה עשוי לרמוז עמלה.  

רשות האישורים דורשת בדרך כלל תשלום עבור הנפקת תעודה, ואתה יכול לבקש רק את התעודה שלה או לבקש מהם לטפל בכל ה-PKI. 

אם אתה צריך תעודה פשוטה, אתה יכול לפנות אליהם בטלפון או במייל. הם יאמתו את זהותך, ואז יתנו לך אישור שאמור להכיל את המפתח הציבורי, את הזיהוי של רשות האישורים ואת זיהוי המשתמש. 

מלבד הסמכה דיגיטלית, אתה יכול לבקש מחברות מסוימות לטפל בכל ההיבטים של ה-PKI, אסימוני גישה ואימות רב-גורמי עבור משתמשים, מכשירים ומכונות. 

במקרה של האתר, בקשת החתימה על האישור מגיעה כפקודה עם שרת האינטרנט. 

המנות העיקריות 

• חתימה דיגיטלית היא אימות אלקטרוני של השולח. הוא מסתמך על הצפנה אסימטרית ומשתמש במפתח פרטי להצפנת ההודעה ובמפתח ציבורי כדי לפענח אותה. 
• תוכן ההודעה עובר גיבוב כדי לשמור על שלמות. עם זאת, ה-hash הוא תהליך חד-כיווני ומשמש כדי לאמת שהתוכן לא השתנה. 
• ההודעה המתקבלת מפוענחת עם המפתח הציבורי, וה-hash של התוכן צריך להתאים לערך ה-hash שסופק על ידי השולח. אחרת, לכונס הנכסים יש סיבה להאמין שהתוכן השתנה. 
• חתימה דיגיטלית לבדה חסרה אימות. לכן, הוא צריך להיות מגובה בתעודה דיגיטלית שהונפקה על ידי רשות אישורים. 

* המידע במאמר זה והקישורים המסופקים הם למטרות מידע כללי בלבד ואינם אמורים להוות ייעוץ פיננסי או השקעות כלשהו. אנו ממליצים לך לעשות מחקר משלך או להתייעץ עם איש מקצוע לפני קבלת החלטות פיננסיות. אנא הוד כי איננו אחראים לכל אובדן שייגרם על ידי מידע כלשהו הנמצא באתר זה.