Tulostatko asiakirjoja skannataksesi ne uudelleen allekirjoitettuina? Se ei ole tarpeen. Euroopan unionin alueella sähköistä tunnistautumista ja allekirjoituksia säätelee eIDAS-direktiivi (910/2014), jota Suomessa vastaa Laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista. Direktiivi määrittelee kolme sähköisten allekirjoitusten tasoa: perustaso (basic), kehittynyt (advanced) ja hyväksytty (qualified). Hyväksytyllä allekirjoituksella on kaikessa EU-alueella tapahtuvassa asioinnissa taattu sama lainvoimaisuus kuin perinteisellä. Hyväksytty on siis se taso, jolla mieluiten asioimme.

Hyväksytyissä sähköisissä allekirjoituksissa käytetään julkisen ja yksityisen (salakirjoitus)avaimen infrastruktuuria (PKI eli public key infrastructure). Hyväksyttyjä henkilökohtaisia varmenteita myöntävät ja hallinnoivat pääasiassa kansalliset viranomaiset kuten Suomessa Digi- ja väestövirasto DVV. (Avain on kryptografiassa vakiintunut termi. Avaimen voi pedantisti ajatella olevan varmenteen ydinosa.) Kaikille suomalaisille saatavissa oleva hyväksytty sähköisen allekirjoittamisen väline on siten henkilökortin Kansalaisvarmenne. Alakohtaisesti myönnettävät välineet kuten sosiaali- ja terveydenhuollon toimikortit eivät teknologialtaan poikkea millään tavoin Kansalaisvarmenteesta, joten digiavaruudessa alakohtaisten toimikorttien olemassaolo on keinotekoista. Kotimaassa myönnettyjen hyväksyttyjen allekirjoitusvälineiden lisäksi Viron ”e-kansalaiset” (e-Residency) saavat Kansalaisvarmennetta vastaavan toimikortin. Lukulaitteet toimivat edellä mainituilla ristiin. Erikseen ostettavissa olevat lukulaitteet ovat yhteensopivia, jos niiden ilmoitetaan tukevan ISO/IEC 7816 -standardin mukaisia kontaktillisia äly- eli toimikortteja (smart card). USB-väyläiseen laitteeseen saatetaan viitata CCID-kortinlukijana ISO-standardissa annetun protokollan mukaan. CCID-protokollaa käytetään muissakin turvaratkaisuissa, joten standardi ilmaisee selkeämmin yhteensopivuuden.

Ohjelmistotasolla varmenteita koskeva toiminnallisuus on pääasiassa toteutettu käyttöjärjestelmä- ja laiteajuritasolla. Kortin myöntäjän ohjelmiston kuten DVV:n DigiSignin rooli on ensisijaisesti tarjota käyttöliittymä kortin hallinnointiin, sekä selainlaajennuksen kautta toimia rajapintana tunnistautumista vaativissa web-palveluissa. Verkkotunnistauminen ei siis valitettavasti ole täysin standardoitu ja kortin julkaisijasta riippumaton toiminnallisuus. Sitä vastoin esimerkiksi Acrobat Readerin ei lisättäessä sähköinen allekirjoitus PDF-tiedostoon tarvitse tukeutua kuin käyttöjärjestelmän ohjelmistorajapintaan. Käyttöjärjestelmätason rajapinnat ovat vakiintuneita ja maailmanlaajuisen kehittäjäjoukon koettelemana luotettavasti toimivia. Allekirjoittaminen toimikortilla on siten hyvin lisättävissä uusiin sovelluksiin. Viron toimikorttien DigiDoc4-ohjelmistossa kaiken tyyppisiä tiedostoja voi sisällyttää ”kehystiedostoon”, johon allekirjoitus sisällytetään. Kehysformaatti on avoin muttei yleisesti tuettu: allekirjoituksen todentaminen vaatii siis käytännössä siihen dedikoitua ohjelmistoa, kun PDF-allekirjoituksen lisääminen ja todentaminen taas on yleinen toiminnallisuus.

Kuva 1 (klikkaa suuremmaksi). Adobe Acrobat ei ole PDF-ohjelmistoista suosikkimme, mutta käytettäköön sen ilmaisversiota yleisyytensä vuoksi esimerkkinä allekirjoituksen lisäämisestä. Readerista puuttuu kehittyneitä toimintoja kuten todennetun aikaleiman käyttö. Käytössä on lähinnä huomattava toimikorteilla olevan tyypillisesti kaksi varmennetta, jotka ovat kumpikin valittavissa (2). Oikean varmenteen tunnistaa siitä, että lisätiedoissa käyttötarkoitukseksi on merkitty ”Kiistämätön” (”Non-repudiation”, 3). Dokumenttiin näkyville sijoitettavan leiman ulkoasua voi muokata, mutta allekirjoituksesta tallennetaan samat perustiedot ulkoasusta riippumatta. Signatures-toiminto allekirjoituksen todentamiseen osaa kertoa kyseessä olevan eIDAS-direktiivin mukainen hyväksytty (”Qualified”) allekirjoitus. Yksityiskohtaisempi ohje allekirjoittamisen vaiheista Kansalaisvarmenteella on Digi- ja väestöviraston sivuilla.

Muunlaiset sähköiset allekirjoitukset

Hyväksyttyä matalamman tason allekirjoituksilla on mielestämme aiheellisesti vähemmän kiistaton lainvoima, jota viime kädessä tuomioistuin arvioi riitatilanteessa tapauskohtaisesti. Näitä tarjoavat palvelut kuten Visma Sign nojaavat yksityisen kaupallisen toimijan lisäämiin väittämiin siitä mitä on tapahtunut: henkilölle on esitetty palvelussa tietty asiakirja, ja kerrottu hänen voivan ”allekirjoittaa” se tunnistautumalla verkkopankkitunnuksillaan. Tunnistautumistapahtuma on riippumattomasti todennettavissa, joskin käytännössä työläästi ja vain jollain aikajänteellä. Jos kysymys ei-hyväksytyn sähköisen allekirjoituksen validiudesta herää vasta muutama vuosi tapahtumasta, jo tunnistautumisen todentaminen ei useinkaan liene enää siinä kohtaa mahdollista. Hyväksytty sähköinen allekirjoitus on ikuinen.

Ei-hyväksytyissä allekirjoituksissa on toisaalta kyseenalaistettavissa, ilmaisiko henkilö tunnistautumalla antavansa allekirjoituksen kuten yksityinen toimija kertoo tapahtuneen. eIDAS-direktiivin mukaisissa hyväksytyissä ratkaisuissa tunnistautuminen ja allekirjoitus ovat erilliset toiminnot, joille on oma PIN-koodinsa. Muut kuin hyväksytyt allekirjoitukset soveltuvat mielestämme tilanteisiin, joissa pitkän aikavälin todennettavuudella ei ole merkitystä. Jos huomattavalla osalla käyttäjistä on hyväksytyn sähköisen allekirjoittamisen väline, sen käyttämisen tulisi joka tapauksessa olla tuettu ja ensisijainen käytettävä menettely.

Käsittelemme seuraavassa artikkelissamme vapaasti saatavilla ja ohjelmoitavissa olevia turvalaitteita (”security token”) kirjautumisvälineenä verkkopalveluihin ja Windows-käyttöjärjestelmiin, sekä turvalaitteen integrointia osaksi oman palvelun tai appin käyttäjätunnistusta.

Me Werdiassa olemme ohjelmistojen asiantuntijoita, jo yli 20 vuoden historialla. Kehitämme Microsoft-teknologioilla asiakkaillemme räätälöityjä appeja ja ohjelmistoja sekä tarjoamme niihin liittyvää konsultointia. Sähköinen autentikaatio ja allekirjoitukset kuuluvat ratkaisupalettiimme.

Sisällön ajantasaisuus tarkistettu: 4. elokuuta 2023