sou · GKB340 · 1997-01-01 00:00:00 — Det skapar förvirring för organisationer och allmänhet att i lagar och förordningar ha med det extra begreppet "digital stämpel". Probl emen i samhället att gå över från pappershandlingar till elektroniska handlingar är komplicerade. Det behövs ett stort mått av pedagogik från samhällets sida för att ge mä nniskor och organisationer vägledning. Tanken om "digital signatur" jämförd med "digital stämpel" kommer från visionen om att person ska ha en digital signatur och att en organisation ska ha en digital stämpel. I praktiken kommer mottagare av digitala dokument att behöva verifiera avsändaren genom att kontrollera dennes identitet, t.ex. i en elektronisk databas (s.k. CA-funktion). Människor och organisat ioner har många skilda roller och är behöriga att göra många olika handlingar. Jag bedömer det som orealistiskt och dessutom som ytterst olämpligt att införa databaslösning i där alla människor och organisationer är registrera- de med sina unika signaturer respektive stämplar och med uppgifter om vilka behörigheter som är giltiga för stunden. Det rimliga är i stället att arbetsgivare delar ut digitala signaturer till egna anställda som behöver sådana, samt upprättar en egen elektronisk förteckning över dem som är behöriga. Denna förteckning kan sedan länkas till andra förteckningar. Arbetsgivaren, dvs. organisationen, väljer också vilka digitala signaturer som den behöver. Kanske ska det elektroniska blankettförrådet ha en egen digital signatur. Banker och andra tjänsteleve- rantörer får utarbeta lösningar för sina kunder (företag och allmänhet). Stat, kommun och landsting får utarbeta lösningar för elektronisk kommunikation med medborgare och organisationer. Kanske finns det utrymme på marknaden för en eller flera CA-funktioner som är gemensamma för många tjänster om rantörer önskar detta. Svårigheterna i att komma fram till en gemensam uppfattning om terminologin bottnar i att vi inte säkert vet hur system för elektroniska handlingar och digitala signaturer med rä ttsverkan bör f ungera, eller kommer att fungera i praktiken. Terminologin är grundläggande och bör inte bli felaktig. Det ko mmer många att ångra under kommande d ecennier. Regeringen bör först söka klarlägga hur dessa nya system bör vara utformade, innan någon lagändring genomförs. Om man nu ändå vill genomföra förändringarna det finns många skäl för detta är det enklast att bygga på begreppen "elektronisk handling", "digitalt dokumentdigital signatur" (både personer och organisat ioner kan ha sådana). Då har vi i goda möjligheter att göra oss förstådda utomlands. Om det senare, när ökad klarhet vunnits om hur verkligheten ter sig, visar sig att begreppet "digital stämpel" behövs i lagstiftningen kan detta begreppet införas av regering och riksdag. I betänkandet föreslår utredaren en ny lag om tjänster för förmedling av elektroniska meddelanden. Elektroniska meddelanden utväxlas i en ökande omfattning. Inte minst gäller detta för den typ av kommunikation där mottagarna av ett meddelande är en obestämd och för avsändaren okänd grupp av individer, dvs. den typen av informationsutbyte som vanligtvis sker via öppna nät t.ex. Internet. Denna typ av kommunikation är till helt övervägande del av oskyldigt slag och motiverar inte någon särskild reglering från statsmakternas sida. Det finns emellertid utan tvekan problem förknippade med ett fritt informationsflöde via öppna nät. Från de utgångsp unkter som aktualiseras av utredningsuppdraget kan det konstateras, att dessa problem så gott som alltid avser spridande av barnpornografi, rasistiska uttalanden eller andra förkastliga meddelanden, t.ex. uppmaningar att begå brott eller anvisningar om tillvägagångssätt för att begå brott. S.k. piratkopiering av upp hovsrätt- sligt skyddade verk brukar också nämnas i dessa sammanhang. Vid ett närmare skärskådande torde det visa sig att så gott som samtliga oa ccep- tabla beteenden redan är kriminaliserade . Det som inte kan accepteras från samhällets sida är att det i den elektr oniska världen är så svårt eller ibland omöjligt att finna och identifiera en gärningsman. En eventuell reglering bär därför i första hand ta sikte på att lösa detta problem. Från datalagsrättsliga utgångspunkter utgör denna form av åsiktsutbyte eller kommunikation, som föreko mmer i öppna nät, inte några nämnvärda problem. De få personregister som finns, t.ex. register över användare, är från integrite tsskyddssynpunkt av harmlöst slag. Den omständigheten som nämns i direktiven till utredaren, nämligen att Datainspektionen beviljat få tillstånd för elektroniska anslagstavlor, torde hänga samman med att de flesta sådana är register som kan inrättas och föras endast med stöd av licens och utan krav på tillstånd enligt datalagen. En licens torde de flesta seriösa informationsspridare ha . Förekomsten av elektr oniska anslagstavlor kommer således inte särs kilt till uttryck i inspektionens diarium eller statistik. Några särskilda problem i de avseenden som är i fråga har inte heller uppmärksammats i Datainspekt ionens tillsynsverksam- het. Den föreslagna lagens tillämpningsområde är inte avgränsat på ett sådant sätt att det blir lätt för den enskilde att förstå, om han omfattas av lagstift- ningen eller inte. Faran är att den alltmer tilltagande digitaliseringen av olika traditionella tekniker leder till att tillämpningsområdet ko mmer att omfatta snart sagt all informationshantering, i den mån inte någon av undantagssituationerna i lagens inledningsstadgande är tillämplig. Regle- ringen riskerar då att bli en reglering av en viss teknik. Jag ställer mig d ärför tveksam till om den föreslagna lagstiftningen kan nå sitt syfte. Datoriseringen inom förvaltning och näringsliv har fört med sig ett beroende av IT och sårbara strukturer. ligen är frågor om informationssäkerhet relevanta också i traditionell miljö men för den pappersbaserade uppgiftshanteringen finns vedertagna rutiner och tjänster som tillgodoser behovet av skydd. Allmänt sett finns det dessutom mer tid till förfogande vid traditionell hantering av uppgifter. När IT-rutiner skall införas, med bibehållen säkerhet, krävs en ingående analys av såväl tekniska som rä ttsliga frågor. Säkra rutiner kan vidare vara svåra att förena med högt stä llda krav på rationaliseringar och besparingar. Om man bortser från kraven på informat ions- och rättssäkerhet, kan natur ligtvis enskilda åtgärder och transaktioner genomföras snabbare och billigare. När säkerhetsnivån är för låg, är emellertid risken stor för att det uppkommer förluster som tar ut sådana "besparingar". 2 Fysiska resp. logiska skydd Inom ramen för pappersbaserade rutiner ges tydliga gränser mellan olika handlingar, ärenden, akter, etc. och förvaringen av en handling hos en viss myndighet eller ett visst företag kan enkelt skiljas från en förvaring på annan plats. Dessa gränser, som uppfattas som självkl ara, ligger till grund för fö rfattningsregleringen. I IT-miljön framträder en mer komplicerad b ild. De traditionella gränserna ersätts av ett slags "gränslöshet" där olika medier och tillämpningar flyter samman. Uppgifter kan se kundsnabbt bearbetas och överföras långa sträckor, samt finnas tillgängliga för flera användare via terminaler eller genom att lagras i flera informa- tionssystem. Denna "gränslöshet" är inte en slump utan en medveten strävan efter effektiva och generella rutiner för informationsbehandling. De hot som framträder i IT-m iljön har stegvis m ötts av elektr oniska motsvarigheter till det traditionella skyddet för information. Ett fysiskt skydd t.ex. att låsa in all teknisk utrustning i säkra utry mmen, kan dock endast i speciella fall lösa problemen eftersom de nya rutinerna ofta bygger på möjligheten att sekundsna bbt transportera data via allmänt tillgängliga telenät och att beha ndla känsliga data i informationssystem som i princip är öppna för vem som helst. D ärför har logiska skydd utvecklats, baserade på bl.a. lösenord och kryptering. Fysiska skydd kan emellertid även antas komma att fylla viktiga funktioner, bl.a. i anknytning till moderna metoder för att signera elektroniska handlingar. Som exempel kan nämnas sådana kreditkortsliknande s.k. aktiva kort och andra moduler för informationssäkerhet, som avses förhindra åtkomst till hemliga nycklar och annan information som annars skulle kunna missbrukas. 3 Digitala signaturer som säkerhetsfunktioner En underskrift med bläck ger ett verksamt skydd mot manipulationer. låses vid pappersarket med dess text, eventuellt i före ning med stämplar, vidimering eller andra äkthe tstecken. I vissa fall följer krav på sådana rutiner direkt av författningsregleringen, i andra sammanhang har mellanhavandet den karaktären att det framstår som självklart att i skrift bek räfta vad som gäller. De funktioner en underskrift därvid fyller uppfattas vanligtvis som självkl ara. identifierar den som har undertecknat som den har den ovan beskrivna äkthetsfunktionen , dvs. att ge tillit till att viss text omanipulerat härrör från den som framstår som utställare. fyller också en bevisfunktion, tillsammans med uppgifterna i den undertecknade handlingen. Den som undertecknat, knyts vanligtvis på ett säkert sätt till innehållet, och underskriften ger uttryck för en vilja att bek räfta och b inda sig vid den undertecknade texten. har vidare en avslutsfunktion och en varnings- funktion. Den som undertecknar ger uttryck för att den text som under- skriften avser har fått sin slutliga utformning och den som skall skriva sitt namn blir medveten om att åtgärden kan medföra rättsliga förplik- telser.1 Digitala signaturer skiljer sig i väsentliga avseenden från tradit ionella namnteckningar. Den grundläggande principen för framstä llning av en digital signatur är att data, som representerar t.ex. en ha ndling som skall signeras, databehandlas med en krypteringsalgoritm (en matematisk beräkningsregel) i förening med en personlig nyckel, unik för den individ som skall utföra signeringen. Resultatet av denna beräkning blir ett kontrolltal, som är unikt för denna händelse, och som vanligtvis kan kontrolleras av någon annan, utan att s ignatärens personliga nyckel behöver röjas eller annars göras tillgänglig så att den riske rar att komma till obehörigas kännedom. 1 , Elektroniska originaldokument och elektronisk signatur, s. 30 f. och Hiselius, Elektroniska avtalsslut med signatur, s. 64 f.; 1987:7 och 1989:2. Den digitala signaturen består alltså inte av undertecknarens namn utan av en serie "meningslösa" si ffror som är en unik funktion av både datainnehåll och signatärens identitet. 2Knytningen av signaturen till individen sker genom en för varje person eller organisat ion unik kryptonyckel, som skall hemlighållas, till skillnad från tradit ionella underskrifter, som skyddas mot missbruk genom att de är fysiskt knutna till en enda individ genom dennes unika sätt att skriva sitt namn. 3 I praktiken krävs datorkapacitet för att kunna verifiera den digitala signaturen, även om den i och för sig också kan skrivas ut på papper. Experterna på IT-området synes vara e niga om att teknik för signering, baserad på rutiner för krypter ing, gör det möjligt att lösa många av de frågor om gränser och säkerhet som framträder i IT-m iljön. Sådana rutiner kan tillämpas på all digitaliserad information, oberoende av om den representerar text, bild, ljud eller kombinationer därav. En fråga som bör nämnas i sammanhanget är dock hur användaren skall kunna veta vad han signerar. Vid användning av pappershand- lingar är det bara att läsa innant ill före undertecknandet, medan den som signerar digitalt behöver kunna lita på det tekniska system i vilket informationen presenteras, inte bara på sitt eventuella pers onliga signaturverktyg, t.ex. ett aktivt kort. 3.3Nyckelhanteringen och tilliten till signaturer En avgörande fråga för t illtron till en digital signatur är hur man kan säkerställa att den individanknutna hem liga informationen som används vid signering endast kan brukas av dess rätte innehavare. Området kallas allmänt "nyckelhantering" efter engelskans "ement". 2 Enligt svensk standard definieras digital signatur som omvandling av ett meddelande (eller ett kondensat av detta) på ett sätt som endast avsändaren kan utföra och som t illåter mottagaren att kontrollera meddelandets äkthet, innehåll och avsändarens identitet. har definierat "digital signature" enligt följande: "Data appended to, or a cryptographic transformation of, a data unit that allows the recipient of that data to prove the source and integrity of the data unit. It protects against forgery, even by the recipient" (ISO 7498-2). Dessa rutiner beskrivs i bl.a. SOU 1989:20 s. 69 f. och SOU 1992:110, bl.a. s. 252 f. och 275 f. och Ds 1994:80 s. 79 f. Metoden att bereda skydd genom att en terminalanvändare måste bekräfta sin identitet genom ett hemligt lösenord kan visserligen rätt utformad binda en utställare t ill ett dokument lagrat inom ett specifikt fysiskt system med någon form av skydd, men en sådan metod låser inte textens innehåll så att man kan veta att den inte är förvanskad. 3 En underskrift som görs med teknisk utrustning så att den framträder på bildskärm när den "undertecknade" texten läses är inte verkningsf ull. Den som har tillgång till en sådan handling kan enkelt kopiera data som representerar underskriften och med stöd av IT knyta den underskriften till någon annan text; jfr fotokopior och telefaxmeddelanden som enkelt kan manipuleras. 4 Därmed kan gränserna mellan vad som bör ses som skriftlig resp. muntlig ko mmunikation komma att delvis suddas ut. Nycklar för kryptering måste skyddas mot mi ssbruk såväl av utomstående som av nyckelinnehavaren. Härvid avses i första hand nycklar för signering och autenticering, men även nycklar för sekre- tesskydd. Den metod de flesta säkerhetsexperter rekommenderar innebär en anvä ndning av s.k. aktiva kort, som skall bäras som personliga "värdehandlingar". 5 I sådana kort och annan liknande utrustning kan de kryptografiska berä kningarna göras utan att den personliga nyckeln överhuvud taget blir exponerad. Om ett sådant verktyg för signering skulle komma på avvägar, ges ändå ett skydd genom att ett lösenord eller en personlig kod, vanligtvis bestående av 4- 5 siffror, måste anges t ill kortet varje gång det skall användas. Dessa funktioner kan ge en lika effektiv kontroll av en handlings äkthet som en namnteckning på ett papper. Det digitala dokumentets äkthet kontrolleras automatiskt bet räffande både innehåll och u tställare, och kontrollen blir från te knisk synpunkt i princip felfri. Olika tekniska metoder har utvecklats och det pågår ett intensivt internationellt arbete när det gäller hur frågor om verifiering skall lösas för att säker kommunikation skall bli möjlig alla-till-alla. Ett viktigt tekniskt bidrag är utvecklingen av kryptog rafiska metoder för s ignaturer där en annan nyckel används för verifiering av en signatur än den privata nyckel som har använts för att skapa denna (s.k. asymmetriska kryptosystem). En sådan s.k. publik nyckel kan öppet distribueras till alla som behöver kunna verifiera en viss individs signatur. Åtminstone i vissa sammanhang torde det behövas en betrodd part, som utan att ha egna intressen i den information som förmedlas, har uppgiften att registrera användare, utfärda och adm inistrera nycklar för kryptografiska signaturer och annars fullgöra de funktioner som behövs för användningen av digitala dokument och anknytande rutiner för informationssäkerhet. Som angetts blir en kontroll av detta slag från te knisk synpunkt i princip felfri. Det är i stället kontrollen av vem som har utnyttjat en bestämd nyckel som utgör rutinens svaghet. Den som har fått tag på ett kort för signering och koden till kortet kan framställa digitala signaturer som är helt 5 Det kan i vissa sammanhang vara önskvärt att rutinerna utformas så att en signatur inte bara härrör från en viss nyckel som en gång delats ut t ill en individ, utan också så att signeringen måste ske med ett aktivt kort (eller en annan unik säkerhetsmodul). Dels ger det bättre mö jligheter att binda innehavaren till handlingen, dels kan en nyckel som missbrukas återtas genom att kortet omhändertas; jfr svårigheten att "återta" en nyckel som administreras så att den kan kopieras. 6 måste effektiva rutiner för rapportering och registrering av förkomna kort finnas. En hotbild är rån, där rånaren också t illtvingar sig kortets kod, och därefter kan utföra digitala signaturer i annans namn. är det troligt att s.k. biometriska metoder tekniska kontroller baserade på mätning av t.ex. fingeravtryck, röst, venmönster eller handgeometri kommer att ersätta användningen av lösenord för verifiering av kortinnehavaren. 7 Härvid kan många andra funktioner aktualiseras, t.ex. tidsstämpling av handlingar för att bereda skydd mot manipulationer med tidsangivelser. identiska med dem som framställs i behörig or dning, och signering kan åtminstone komma att ske utan att kortets rätta innehava- re är medveten härom. Inte ens när kortinnehavaren t.ex. har avtvingats koden vet han vad som obehörigen s igneras, och omfattande missbruk kan äga rum . Pappershandlingar med underskrifter som har tillkommit genom t.ex. tvång torde vanligtvis ge betydligt mer begränsat utrymme för mi ssbruk. Det finns vedertagna rutiner för att undersöka manipulationer av pappershandlingar och personer med särskild kompetens för sådana undersökningar finns att tillgå. Motsv arande kompetens behöver finnas tillgänglig när någon i frågasätter t.ex. en digitala signatur. Digitala signaturer kan användas också för andra funktioner än digitala underskrifter. Inom arbetet för internationell standardisering brukar dessa benämnas "säkerhetstjänster", och delas in i -dataintegritet (content integrity), -ursprung (origin authentication), -inte förneka ursprung (non-repudiation of origin), -inte förneka mottagande (non-repudiation of r eceipt), -insynsskydd (confidentiality of content), och -skydd mot duplikat (sequence integrity). Flera säkerhetstjänster kan täcka v arandra. Framstä llning av digitala dokument, dvs. med signatur, kan täcka de fyra första tjänsterna. Man kan säga att dataintegritet och ursprung får man på köpet när ett digitalt dokument skapas. Insynsskyddet innebär att krypteringsteknik används på det traditionella sättet för att förhindra att någon annan än den som är behörig (och därför känner krypter ingsnyckeln) kan läsa dokumentets innehåll. Skyddet mot duplikat är särskilt intressant där order m.m. skickas i mer eller mindre automatiserade processer. Detta skydd bygger på att man tillför dokumentet löpnu mmer eller tidinformation (s.k. time- stamp). Digitala signaturer och liknande rutiner kan också användas för säkerhetsfunktioner utanför dokumentområdet, t.ex. för tillträdes- kontroll och för att verifiera organisationer, befogenheter, enheter och processer. Rutiner baserade på digital signering har fått en omfattande spridning, och används bl.a. då betalningsuppdrag överförs via magnetband och disketter eller teletransmission till en bank eller ett giroinstitut och när tulldekl arationer sänds i form av digitala dokument från en näringsidkare till tullen. Sådana rutiner håller vidare på att införas inom bl.a. skatteför valtningen, exekutionsväsendet och polisen, för att möjliggöra IT- baserade ärendehanteringssystem och säker kommunikation. Ett uppmärksammat EU-projekt, benämnt Bolero, syftar till att skapa en ersättning för dagens hantering av konoss ement vid transporter. Den lösning som prövas innebär att man använder digitala dokument försedda med digitala signaturer enligt vad som beskrivits ovan, samt att en betrodd tredje part registrerar innehav av dessa dokument och i varje ö gonblick har aktuell information om vem som innehar ett visst dokument. På så sätt kan det genom IT-rutiner visas inte bara att ett dokument är omanipulerat utan också vem som har rätten till vi sst gods. Som ett annat exempel på sådana projekt kan nämnas den modell som en internationell arbetsgrupp har tagit fram, för att beskriva hur t.ex. betalningsuppdrag skall skyddas under transport och hur dagens skriftliga avstämningsuppgifter ska kunna bytas ut mot digitala dokument.8 Modellen, som är generell vad gäller framstä llning och kontroll av digitala dokument, upptar utöver funktioner för den beskrivna signeringen tekniska och administrativa rutiner, varigenom den som tar del av en handling kan verifiera att uppgiften om utställare är riktig och att innehållet inte har manipulerats. Vidare diskuteras frågan om att t illskapa en trovärdig tredje part (Trusted Third Party) som kan anförtros vissa funktioner som är särskilt betydelsefulla för säkerheten inom sådana rutiner, såsom att admini- strera hemliga nycklar och garantera deras äkthet och knyt ning till angiven person. Inom ramen för ett avslutat projekt inom bankvärlden ,9 har en specifikation utarbetats för elektroniska . Specifikationen innefattar inte bara tekniska beskrivningar av funktioner för identifie- ring av kortinnehavaren, framstä llning av digitala signaturer och stöd för kryptering, utan också en beskrivning av de administrativa rutiner som krävs för att ett sådant kort ska kunna a ccepteras av övriga parter i projektet. Ett ytterligare exempel på vilken vikt som läggs vid dessa säkerhets- frågor och krav på samordning, är bildandet av den Säkrad Elektronisk Informationshantering i Samhäl- let (SEIS). Ett femtiotal organisationer bestående av företag med många användare av datorsystem, implementatörer av programpr odukter och 8 Arbetet, benämnt EDIFACT FINANS, ingår i det av FN administrerade organet UN/EDIFACT, och bedrivs genom en samarbetsorganisation inom den finansiella sektorn, vars syfte är att utveckla standarder och gemensamma rutiner som ska underlätta utväxling av information inom världshandeln. 9 Projektet , i vars styrgrupp Handelsban- ken, Nordbanken, S-E-Banken, , , Finans, Smart och har medverkat. leverantörer av maskinvaror har redan slutit upp bakom föreningen, vars syfte är att genom samverkan mellan medlemmarna påskynda utveck- lingen av nya standarder inom IT-säkerhetsområdet. Produkter som stöder digitala signaturer finns också på marknaden. Utvecklingen befinner sig emellertid i ett inledande skede och från rättslig utgångsp unkt knyts intresset till de beskrivna grundläggande funktionerna, inte till valet av specifika tekniska lösningar. 4 Närmare om kryptering De beskrivna säkerhetstjänsterna bygger, om man bortser från skyddet mot duplikat, på användning av krypteringsteknik. Detta kan förkl aras på följande sätt. Krypto, från grekiskans kryptos, som betyder dold, hemlig, har varit förknippad med militärens bruk av system för att förvränga text eller tal och på så sätt skydda information mot åtkomst utanför de invigdas skara. Dagens anvä ndning av krypteringsalgoritmer och tillhörande nyckeladm inistration, bygger på matematisk vetenskap och sannolikhetslära. De båda världskrigen, det , ett tilltagande industri- spionage och ökad konkurrens som har aktualiserat olika former av affärs underrättelseverksamhet, har inneburit en k raftig utveckling inom kryptografins område . Då informat ion inom IT- området alltid kan brytas ned till digitala signaler framstår krypter ings- tekniken som det naturliga sättet att skydda elektroniskt hanterad information.10 Krypteringsalgoritmer används numera för två olika syften. Dels används tekniken för att säkerställa att innehållet i en datamängd inte har rubbats eller förändrats (dataintegritet). Detta innebär en förhöjning av datas kvalitet och är förutsättningen för att kunna skapa digitalt signerade dokument. Dels används krypter ing för att skydda mot insyn (konfidentialitet). Detta senare anvä ndningsområde har fört med sig en intressekonflikt mellan å ena sidan myndigheter och företag som vill skydda sin information och å andra sidan det intresseområde som rör rikets försvar och säkerhet i övrigt.