مقدمه

 تبادل اسناد در تجارت الكترونيك امري فراگير مي باشد. اين اسناد اغلب حاوي اطلاعات حساسي مانند قراردادهاي حقوقي، فن آوري هاي محرمانه، و يا تبادلات مالي مي باشند.

براي ممانعت از دستبرد سارقان كامپيوتري كه در فضاي الكترونيكي همواره مترصد
 دست اندازي و خواندن مستندات ميباشند لازم است اين  اسناد به رمز درآورده شوند.

 اگر مي خواهيم كه اسناد ما واقعاً در امان باشند بايد آنها را بصورت ديجيتالي امضاء كنيم.

امضاء ديجيتالي تضمين كننده اصالت، كامل بودن و عدم وجود خدشه در داده مي باشد.

براي مثال وقتيكه يك مشتري فرم خريد يك كالا را بطور ديجيتالي امضاء مي كند
 باعث مي شود كه عدم دخالت شخص ديگر در فرم ارسالي و در مسير انتقال تا مقصد تضمين شده باشد و فرم ارسالي از اين رهگذر فرمي معتبر مي باشد.

امضاء ديجيتالي در سال 1976  و از زماني كه Diffie  و Hellman  آنرا به عنوان فرمي از رمزگذاري كليد عمومي( public key  cryptography) معرفي كردند بوجود آمد. ولي  استفاده از امضاء ديجيتالي در تجارت و سياست و براي محافظت از اسناد برروي Web اخيراً   رونق گرفته است. در سپتامبر 1998  رئيس جمهور امريكا بيل كلينتون و نخست وزير ايرلند، برتي آرن  يك سند همكاري اقتصادي بين دو كشور را از طريق تجارت الكترونيكي امضاء كردند كه در نوع خود اولين سند از اين دست مي باشد. مايكروسافت نيز براي بهبود فن آوري اعتباردهي در مورد كدهاي قابل download  در سايت خويش از امضاء ديجيتالي استفاده مي كند.

با گسترش تقاضا براي استفاده از امضاء ديجيتالي، شركتهاي نرم افزاري (مانند شركتهاي Entrust Technologies  و Network Associates) نيز همه روزه
 نرم افزارهاي تجاري جديدي را براي انجام  امضاء الكترونيكي توليد مي كنند.

دراين نوشتار به تشريح فن آوري امضاء ديجيتالي و بعضي از نرم افزارهاي موجود، خواهيم پرداخت.

 امضاء ديجيتالي چيست ؟

امضاء ديجيتالي از تكنيك رمزگذاري كليد عمومي مشتق شده است. در اين روش دو كليد وجود دارد يك كليد اختصاصي و يك كليد عمومي. هنگام ارسال، يك سند با استفاده از كليد اختصاصي فرستنده سند امضاء مي گردد و گيرنده سند براي بازگشايي سند امضاء شده، از كليد عمومي فرستنده استفاده مي كند.

فرض كنيم كه بخواهيم يك سند امضاء شده را براي علي ارسال كنيم، پس از ايجاد سند آنرا از يك الگوريتم هش عبور مي دهيم. الگوريتم يك هش از سند توليد مي كند كه در واقع يك جمع كنترلي [1] از محتويات سند مي باشد. سپس اين هش را به كمك كليد اختصاصي خويش به رمز در مي آوريم. نتيجه يك امضاء ديجيتالي خواهد بود. اين امضاء را به سند خويش الحاق [2] مي كنيم تا يك سند امضا شده شكل گيرد سپس آن را براي علي ارسال كنيم.

وقتي كه علي سند را دريافت مي كند آنرا از همان الگوريتم هش كه ما استفاده كرده ايم عبور مي‌دهد و يك هش جديد مي سازد در عين حال به كمك كليد عمومي ما امضاء را رمزگشايي مي‌كند. و بدينوسيله آنرا به هش اوليه اش تبديل مي كند. سپس هش جديد را با هش اصلي مقايسه مي‌كند.اگر آنها همسان باشند علي مي تواند مطمئن شود كه سندي كه دريافت كرده واقعاً از جانب ما مي‌باشد.و كسي در آن دستكاري نكرده است. و اگر آنها تطبيق نداشته باشند علي آگاه مي شود كه محتويات سند بنحوي در حين انتقال دستكاري شده است.

الگوريتم هش يك تابع يك طرفه مي باشد كه يك هش يك طرفه ايجاد مي كند. بنابراين كسي نمي‌تواند سند اصلي را از يك هش پيام استخراج نمايد.

احتمال آنكه دو سند داراي هشي يكسان شوند تقريباً صفر مي باشد.

امضاء ديجيتالي بر امضاي دستي معمولي رجحان دارد. يك جاعل حرفه اي مي تواند محتويات يك سند را با جعل و با جابجايي امضاء تغييردهد ولي در امضاء ديجيتالي هرگونه دستكاري سند باعث ايجاد اختلال در روند تأييد آن و در نتيجه افشاء جعل خواهد شد.

مدلهاي اعتبار دهي كليد عمومي

كليد اختصاصي كه از آن براي امضاء استفاده مي كنيم متعلق به ما مي باشد. و لازم است كه آنرا محفوظ نگه داريم.مثلاً مي توانيم آنرا در كامپيوتر خود رمزگذاري كنيم و يا آنرا دريك كارت هوشمند داراي كلمه عبور نگهداري كنيم. در حاليكه كليد عمومي كه ديگران بايد از آن براي بررسي امضاي ما استفاده كنند ميبايست بين آنها توزيع  شود. جهت دستيابي ساير كاربران به اين كليد مي توانيم آنرا در راهنماي شركت قرار دهيم و يا شخصاً براي آنها ارسال كنيم تا در كامپيوتر خود ذخيره نمايند.

 ديگران بايد ابتدا مطمئن شوند كه كليدي كه در اختيار آنها مي باشد واقعي است. قبل از حصول اطمينان از قانوني بودن يك كليد عمومي استفاده از آن كليد و سند ارسالي مخاطره آميز مي باشد.

يك سارق كامپيوتري [3] مي تواند با استفاده از نام ما و يك كليد عمومي تقلبي يك سند ايجاد كند. و با يك كليد اختصاصي تقلبي آنرا امضاء نموده و آنرا به همراه كليد عمومي اشتباه براي علی  بفرستد. بنابراين لازم است در ابتدا و قبل از تبادل اسناد يك ارتباط اعتباردهي براي كليد عمومي برقرار سازيم.

 دوروش براي اعتبار دهي كليد عمومي وجود دارد : اعتماد مستقيم و اعتماد شخص ثالث.

در مدل اعتماد مستقيم ما و علي همديگر را مي شناسيم و مستقيماً و شخصاً كليدهاي عمومي را با هم تبادل مي كنيم.

در مدل اعتماد شخص ثالث ما و علي مستقيماً يكديگر را نمي‌شناسيم اما هردونفر به نفر سومي يا واسطه اي  براي تبادل كليدها اعتماد مي كنيم. و پس از آن مي توانيم به يكديگر نيز اعتماد كنيم.

مدل اعتماد مستقيم براي محيطهاي محدود و گروههاي كوچك مناسب مي باشد ولي در مورد شركتهاي بزرگ و ارتباطات مابين شركتها كه در آن اشخاص يكديگر را نمي شناسند مدل اعتماد شخص ثالث مناسب  ميباشد.

 مراجع اعتبار دهي[4]         Certificate Authorities

مدل شخص- ثالث روش مرجع اعتباردهي را عرضه مي دارد. يك مرجع اعتباردهي  در حقيقت يك سازمان قابل اعتماد مي باشد كه كليدهاي عمومي را اعتباردهي مي كند. يك CA مي‌تواند يك سازمان درون شركت (مانند بخش امنيت اطلاعات) و يا يك موجوديت خارج از شركت باشد كه آنرا يك CA  مي ناميم.

CA ها كليدهاي عمومي را با فرستادن يك اعتبار ديجيتالي كه شامل شناسه كاربر، كليد عمومي و زمان انقضاء كليد مي باشد توزيع مي كنند.

CA   از كليد اختصاصي خودش براي امضاء اين اعتبارات ديجيتالي ارسالي به كاربران بهره مي گيرد. هر CA  كليد عمومي خويش را توزيع مي كند تا هركسي بتواند آنرا براي استفاده درمورد سند اعتباري كه CA  براي آنها ارسال مي كند بكار ببرد.

فرضاً  علي مي تواند به كليد عمومي ما اعتماد كند در صورتيكه به CA ما اعتماد داشته باشد و CA اعتبار ما را  تصديق كرده باشد.

براي تصديق اعتبار ما علي كليد عمومي CA ما را از سند اعتباري CA  بازگشايي مي كند و از رويه ارائه شده قبلي براي تصديق امضاء CA استفاده مي كند.

علاوه براين علي زمان انقضاء اعتبار ما را نيز از فيلد مربوطه آزمايش مي كند. و درستي اعتبار ما را نيز با ملاحظه فهرست ابطال اعتبارات [5]  بررسي مي كند. اگر نام ما در اين فهرست باشد در واقع مجوز ما غيرمعتبر مي باشد.

 CA اعتبارات غيرفعال را به همراه ذكر علت آن دراين ليست توزيع مي كند. هم اكنون استانداردي براي تهيه و توزيع اين ليستها وجود ندارد و CRL  هر CA  بسته به نوع پياده سازي او دارد.

 مشخص كردن زمان

با چنين كيفيتي، ممكن است كه دريافت كننده (مثلاً علي) سندي را دريافت كند كه قبل از زمان انقضاء اعتبار امضاء شده باشد و بعد از آن اعتبار مزبور منقضي شده باشد در اين حالت بايد شرايطي موجود باشد كه مشخص كند سند مزبور قبل از انقضاء اعتبار شخص صادر كننده  ارسال شده است. به اين منظور يك مشخص كننده زمان (مهرزمان[6]) به سند ضميمه مي گردد تا دريافت كننده با استفاده از كليد عمومي باطل شده موفق به گشودن سند شود و به آن اعتماد كند.

اين خصوصيت نه تنها تضمين كننده اعتبار امضاء ديجيتالي براي استفاده در آينده مي باشد بلكه در اسناد مالي مدت دار نيز بسيار حياتي مي باشد.

در نوامبر 1997   محققان يك پروتكل ثبت زمان را برنامه ريزي كردند كه هم اكنون شركتهاي بسياري منجمله مايكروسافت خود را با اين پروتكل تطبيق داده و از آن در محصولات خود استفاده مي‌كنند. 

هنگام نياز به ثبت زمان در امضاي يك سند لازم است از يكي از شركتهاي قابل اعتماد در اين زمينه درخواست يك مجوز ثبت زمان نماييم . اين سازمان مي تواند يك شركت فراهم كننده ثبت زمان مانند verisingn  باشد و يا يك سرويس دهنده درون سازماني.

 هنگامي كه يك سرويس دهنده ثبت زمان درخواست ما را دريافت مي دارد سند ما را بوسيله كليد اختصاصي خودش مهر مي نمايد و سند را به ما برمي گرداند حال اگر اين سند را براي ديگري ارسال داريم آن شخص بايد از كليد عمومي اين فراهم كننده ثبت زمان براي تصديق زمان ثبت شده برروي سند استفاده نمايد. روند ثبت زمان برروي يك سند و تصديق آن كاملاً شبيه روند امضاء ديجيتالي و تصديق اعتبار آن مي باشد.

فرستنده مطلب :خانم مهندس صباغيان

  منابع و مراجع

 www.elock.com 

 www.msn.com