امضاي ديجيتال

1- مقدمه

امروزه کاغذها که حامل اصلی اطلاعات مهم بودند کم کم جای خود را به دیگر راه های تبادل اطلاعات می دهند. در واقع كاغذ داراي معايبي از قبيل انتقال آهسته و پرهزينه اسناد مي‌باشد و بایگانی آنها نیز مشکلات زیادی را بوجود می آورد. به تدریچ با پیشرفت فناوری اطلاعات، تبدیل تجارت سنتی به تجارت الکترونیک، تبادل اسناد در این نوع تجارت امری فراگیر شده است. اين اسناد اغلب حاوي اطلاعات حساسي مانند قراردادهاي حقوقي، فن آوري هاي محرمانه و يا تبادلات مالي مي باشند. براي ممانعت از دستبرد سارقان كامپيوتري كه در فضاي الكترونيكي همواره مترصد دست اندازي و خواندن مستندات مي باشند لازم است اين  اسناد به رمز درآورده شوند. اگر مي خواهيم كه اسناد ما واقعاً در امان باشند بايد آنها را بصورت ديجيتالي امضاء كنيم. امضاء ديجيتالی يكي از روشهاي ايمن سازي اطلاعات است كه كاربردي مشابه با امضاء معمولي در معاملات دارد و يكي از روشهاي معتبر حفظ امنيت در شبكه مي باشد. اين روش به خصوص در مساله تجارت الكترونيك كه امروزه در جهان صنعت و فن آوري از طرفداران بسياري برخوردار است، جايگاه ويژه اي دارد.

2- امضاء ديجيتالي چيست؟

امضاي ديجيتالي بر روش‌هاي رمزنگاري از طريق کليدهاي عمومي و خصوصي مبتني است. در حال حاضر در کشورهاي متعدد و براي كاربردهاي گوناگون از صدور ايميل گرفته تا نقل و انتقالات مالي و امضاي اسناد تعهدآور همانند ابزاري كه به اطلاعات روح مي‌دهد مورد استفاده قرار مي‌گيرد و كاربرد آن در شبکه‌هاي الکترونيکي به يک ضرورت تبديل شده و در شرايطي كه ايميل‌هاي ارسال شده به صندوق الكترونيكي يك فرد از لحاظ امنيتي قابل تائيد نيست، امضاي ديجيتالي اين امكان را فراهم مي‌كنند تا فرد مورد نظر با اطمينان از لحاظ امنيتي تبادلات خود را انجام دهد.

3- امضای دیجیتال امنیت چه چیزی را تامین می کند؟

• تصدیق هویت: تصدیق هویت اطمینان از اینکه شخص یا طرفی که با آن در حال ارتباط هستیم همان کسی است که ما انتظار داریم و خودش می گوید.
• محرمانه بودن: اطلاعات درون پیغامها و یا تبادلات محرمانه می شوند و تنها برای اشخاص دریافت کننده و ارسال کننده قابل فهم و خواندن می باشد.
• امانت داری: اطلاعاتی که درون پیغام و یا تبادلات وجود دارد در طول مسیر به طور اتفاقی یا عمدی مورد دستبرد قرار نمی گیرند.
• غیر قابل انکار بودن: ارسال کننده نمیتواند منکر ارسال پیام یا تبادل مالی شود و دریافت کننده هم نمیتواند منکر دریافت آن شود.

4- روش ایجاد امضای دیجیتال

قبل از آشنائی با نحوه عملکرد يک امضای ديجيتال، لازم است در ابتدا با برخی اصطلاحات مرتبط با اين موضوع بيشتر آشنا شويم:

• کليدها (Keys): از کليدها به منظور ايجاد امضاهای ديجيتال استفاده می گردد. برای هر امضای ديجيتال، يک کليد عمومی و يک کليد خصوصی وجود دارد. کليد خصوصی، بخشی از کليد است که که شما از آن به منظور امضای يک پيام استفاده می نمائيد. کليد خصوصی يک رمز عبور حفاظت شده بوده و نمی بايست آن را در اختيار ديگران قرار داد. کليد عمومی، بخشی از کليد است که امکان استفاده از آن برای ساير افراد وجود دارد. زمانی که کليد فوق برای يک حلقه کليد عمومی (public key ring)  و يا يک شخص خاص ارسال می گردد، آنان با استفاده از آن قادر به بررسی امضای شما خواهند بود.
• حلقه کليد (Key Ring): شامل کليد های عمومی است. يک حلقه کليد از کليد های عمومی افرادی که برای شما کليد مربوط  به خود را ارسال نموده و يا کليدهائی که از طريق يک سرويس دهنده کليد عمومی دريافت نموده ايد، تشکيل می گردد. يک سرويس دهنده کليد عمومی شامل کليد افرادی است که امکان ارسال کليد عمومی در اختيار آنان گذاشته شده است.
• اثر انگشت: زمانی که يک کليد تائيد می گردد در حقيقت منحصربفرد بودن مجموعه ای از حروف و اعداد که اثر انگشت يک کليد را شامل می شوند تائيد می گردد.
• گواهينامه های کليد: در زمان انتخاب يک کليد از روی يک حلقه کليد، امکان مشاهده گواهينامه (مجوز) کليد وجود خواهد داشت. دراين رابطه می توان به اطلاعات متفاوتی نظير صاحب کليد، تاريخ ايجاد و اعتبار کليد دست يافت.

به طور خلاصه براي ايجاد يك امضاي ديجيتال، ابتدا امضاء كننده بايد از طريق كليد عمومي امضاي خود را رمزسازي كرده و سپس آن را ضميمه پيام داده‌اي كند و براي مخاطب خويش ارسال نمايد. مخاطب كه اكنون پيام داده‌اي را به همراه امضاي ديجيتال آن دريافت كرده، بايد امضاي رمزنگاري شده را كه قابل فهم نيست از داده پيام‌ها جداساخته و از طريق كليد عمومي ارسال كننده، پيام را براي وي ارسال مي‌كند تا خود ارسال‌ كننده با كليد خصوصي‌اش آن را رمزگشايي كند. چنانچه نتايج يكساني حاصل شد، يعني همان چيزي كه امضاء كننده به عنوان امضاي ديجيتال براي خود تعريف كرده بود هويدا شد، معلوم مي‌شود كه اولاً امضاي مذكور به نحو صحيحي از سوي امضاءكننده ارسال شده و ثانياً وي نمي‌تواند ادعا كند كه پيام را امضاء نكرده و يا اينكه پيام تغيير يافته است.

بنابراين، به كارگيري امضاي ديجيتال شامل دو فرآيند است: مرحله اول ايجاد امضاء توسط ارسال‌كننده پيام توسط كليد خصوصي‌اش است و مرحله بعد نيز شامل فرآيند چك كردن امضاي ديجيتال از طريق مراجعه به پيام اصلي و استفاده از كليد عمومي ارسال كننده است.

5- روش های تولید امضاء دیجیتالی

در طول سالها تحقیق در زمینه امنیت کامپیوتر روشها و متد های مختلفی برای امضاهای دیجیتالی ابداع شده است ولی چیزی در همه ی آنها عمومیت دارد این است که همه ی روش های تولید امضای دیجیتالی به ماهیت پیام وابسته اند. روش های زیر از مهم ترین روش های تولید امضای دیجیتالی است:

• امضاهای دیجیتالی مبتنی بر چکیده پیام: در این روش متن پیام دست نخورده باقی می ماند و تنها یک امضای چند بایتی به آن اضافه می شود.
• امضاهای دیجیتالی کلید متقارن: این امضاها مبتنی بر یک مرکز گواهی امضا هستند.
• امضاهای مبتنی بر روش های رمز نگاری کلید عمومی
• امضاهای مبتنی بر تبدیل های مستقل از سیستم های رمز نگاری

6- ويژگي‌هاي امضاهاي ديجيتال

ويژگي‌هاي مهم امضاهاي ديجيتال عبارتند از:

• در توليد آنها از اطلاعاتي كه به طور منحصر بفرد در اختيار امضا كننده  است استفاده مي‌شود.
• به طور خودكار و توسط رايانه توليد مي‌شوند.
• امضاء هر پيام وابسته به كليه بيتهاي پيام است و هر گونه دستكاري و تغيير در متن سند موجب مخدوش شدن امضاء پيام مي‌گردد.
• امضاء هر سندي متفاوت با امضاء اسناد ديگر است.
• بايد به راحتي قابل بررسي و تاييد باشد تا از جعل و انكار احتمالي آن جلوگيري شود.

7- حملات ممکن علیه امضاهای دیجیتالی

• حمله Key-only : در این حمله، دشمن تنها کلید عمومی امضاء‌کننده را می‌داند و بنابراین فقط توانایی بررسی صحت امضاهای پیام‌هایی را که به وی داده شده‌اند، دارد.
• حمله Known Signature : دشمن، کلید عمومی امضاء‌کننده را می‌داند و جفت‌های پیام/امضاء که به ‌وسیله صاحب امضاء انتخاب و تولید شده ‌است را دیده است. این حمله در عمل امکان‌پذیر است و بنابراین هر روش امضایی باید در مقابل آن امن باشد.
• حمله Chosen Message : به دشمن اجازه داده می‌شود که از امضاء‌کننده بخواهد که تعدادی از پیام‌های به انتخاب او را امضاء کند. انتخاب این پیام‌ها ممکن است به امضاهای از قبل گرفته ‌شده بستگی داشته باشد. این حمله در غالب حالات، ممکن است غیرعملی به نظر برسد، اما با پیروی از قانون احتیاط، روش امضایی که در برابر آن ایمن است، ترجیح داده می‌شود.
• حمله Man-in-the-middle : در این حمله، شخص از موقعیت استفاده کرده در هنگام مبادله کلید عمومی، کلید عمومی خود را جایگزین کرده و برای گیرنده می‌فرستد و بدین‌گونه می‌تواند به پیام‌ها دسترسی داشته باشد بدون اینکه فرستنده و گیرنده، مطلع باشند.

امروزه امضاء نشانه‌ هويت يك فرد می‌باشد. كسي كه يك نامه، رسيد بانكي يا سندي را امضا مي‌كند در حقيقت نشانه‌اي از خود باقي مي‌گذارد كه نماد هويت اوست. اين نماد به گونه‌اي می‌باشد كه اگرچه همگان مي‌توانند آن را بشناسند، اما كسي توان توليد آن را ندارد و منحصر به یک  ‌فرد می باشد. در دنياي الكترونيك و فناوری نيز موضوع تصديق هويت، يكي از موضوعات مهم امنيتي است. ايده‌ امضاي دیجیتالی در جهان فناوری اطلاعات، همانند امضاي واقعي، ابزاري مهم براي نيل به هدف تصديق هويت وامنیت می باشد. روش ها مختلفی برای ایجاد امضاء دیجیتال وجود دارد اما آنچه که مهم است توجه به این نکته می باشد که امضاء دیجیتال موجب امنیت بیشتر در تبادل اطلاعات و از بین بردن محدودیت های رشد تجارت الکترونیک شده است.

مرجع :

ستار زركلام، «قانون تجارت الكترونيكي و امضاي الكترونيكي»، مجموعه مقالات همايش بررسي ابعاد حقوقي فن‌آوري اطلاعات، خرداد 1383