Digi allkiri: kuidas dokumenti turvaliselt allkirjastada?

Digi allkiri on Eestis igapäevane viis lepingute, avalduste ja muude dokumentide allkirjastamiseks. See säästab aega, kuid vajab sama hoolikat kontrolli nagu paberleping: kes on teised osapooled, milline fail allkirjastatakse ja kas allkirjad on kehtivad.

Juhendis selgitame, mis vahe on elektroonilisel ja digiallkirjal, kuidas dokumenti samm-sammult allkirjastada, kuidas kehtivust kontrollida ning mida teha vea, aegunud sertifikaadi või kahtlase allkirjastamiskutse puhul.

Mis on digi allkiri?

Digiallkiri on krüptograafiline tõend, mis seob allkirjastaja ja dokumendi. Allkirjastamisel luuakse dokumendist matemaatiline kokkuvõte ning see seotakse allkirjastaja privaatvõtmega. Kontrollimisel kasutatakse sertifikaati ja usaldusteenuse andmeid, et hinnata allkirja päritolu, terviklust ja kehtivust.

Praktiliselt tähendab see kolme asja:

• allkirjastaja tuvastatavus – allkiri on seotud konkreetse isiku või organisatsiooniga;
• dokumendi terviklus – pärast allkirjastamist tehtud muudatus muudab kontrollitulemust;
• kontrollitavus – allkirja kehtivust saab vastavas rakenduses kontrollida.

Krüptograafia tausta kohta loe artiklit miks krüpteerimine andmeid kaitseb.

Elektrooniline allkiri ja digiallkiri: mis vahe on?

Euroopa eIDAS määrus eristab elektroonilise allkirja tasemeid. Elektrooniline allkiri on lai mõiste: see võib olla nimi e-kirja lõpus, ekraanile joonistatud allkiri või tehniliselt tugevam allkirjastamisviis. Kõigil neil ei ole sama tõendusväärtust ega turvataset.

Eestis öeldakse igapäevakeeles sageli „digiallkiri“ allkirja kohta, mille õiguslik tase vastab käsitsi antud allkirjale. Konkreetse dokumendi ja tehingu nõudeid tuleb siiski hinnata olukorra ning õigusakti järgi.

Millega saab Eestis digiallkirjastada?

• ID-kaart – arvutis kasutatakse kaardilugejat, ID-tarkvara ja PIN2-koodi.
• Mobiil-ID – allkirjastamine toimub telefoni SIM-põhise teenuse kaudu; kontrollida tuleb seadmes kuvatavat kontrollkoodi.
• Smart-ID – kvalifitseeritud konto korral saab anda kvalifitseeritud elektroonilist allkirja; kontrolli konto taset ja rakenduse teadet.
• Muud eIDAS-i vahendid – piiriüleses olukorras võib kasutada teiste riikide tunnustatud vahendeid, sõltuvalt teenusest ja allkirjatasemest.

ID-kaardi mobiilse kasutuse kohta vaata artiklit ID-kaardi lugeja telefonis: kas ja kuidas see töötab?.

Kuidas dokumenti digiallkirjastada?

1. Hangi dokument turvalisest allikast. Veendu saatjas ja faili nimes.
2. Ava fail enne allkirjastamist. Kontrolli kogu sisu, kuupäevi, summasid, lisasid ja osapooli.
3. Kasuta ametlikku või usaldusväärset allkirjastamisrakendust. Uuenda tarkvara enne olulist toimingut.
4. Lisa dokument allkirjakonteinerisse. Levinud vorming on ASiC-E, mille faililaiend võib olla .asice.
5. Vali allkirjastamisvahend. ID-kaart, Mobiil-ID või Smart-ID.
6. Kontrolli ekraanil kuvatavat teavet. Mobiilse vahendi puhul peavad kontrollkoodid kattuma.
7. Sisesta PIN2. PIN1 on isikutuvastuseks, PIN2 allkirjastamiseks.
8. Kontrolli tulemust. Rakendus peab näitama, et allkiri on kehtiv; salvesta konteiner muutmata kujul.
9. Saada kogu konteiner. Ära eralda allkirjastatud dokumenti konteinerist ega muuda seda.

Kuidas digiallkirja kehtivust kontrollida?

Faili nime või allkirjapildi nägemisest ei piisa. Ava konteiner ametlikus ID-tarkvaras või usaldusväärses kontrolliteenuses. Kontrollvaade peaks näitama allkirjastaja nime, allkirjastamise aega, sertifikaadi infot ja allkirja taset.

Pööra tähelepanu olekule:

• kehtiv – kontroll õnnestus ja dokument ei ole pärast allkirjastamist muutunud;
• kehtiv piirangutega või hoiatusega – loe selgitust, sest põhjus võib olla vana vorming, puuduva tõendusmaterjali või rakenduse piirangu taga;
• kehtetu – dokumenti või allkirja ei tohi käsitleda kontrollitult kehtivana;
• kontrollimata – internetiühendus või usaldusnimekirjad võivad olla kättesaamatud; proovi hiljem või teises ametlikus rakenduses.

Kas allkirjastatud dokumenti saab muuta?

Tehniliselt võib faili koopiaid muuta, kuid algse digiallkirja kontroll siis enam ei kehti. Kui lepingusse tuleb teha parandus, looge uus dokument või uus konteiner ja allkirjastage parandatud versioon uuesti. Muudatused võiksid olla selgelt jälgitavad, et osapooled mõistaksid, milline versioon on lõplik.

Kas mitu inimest saavad sama faili allkirjastada?

Jah. Sama konteiner võib sisaldada mitme osapoole allkirju. Iga järgmine allkirjastaja peab enne PIN2 sisestamist kontrollima dokumentide nimekirja ja juba antud allkirju. Saatmisel veendu, et edastad viimase konteineri, mitte varasema versiooni.

Volituse ja esindamise puhul aitab tausta mõista artikkel lihtkirjaliku volikirja vormistamisest. Ametiasutuse dokumendiprotsessi kohta loe mida teada enne dokumentide taotlemist.

Levinud vead ja lahendused

Turvalisuse kontrollnimekiri

• laadi ID-tarkvara ainult ametlikust allikast;
• ära jaga PIN- ega PUK-koode kellegagi;
• kontrolli mobiilse allkirjastamise kontrollkoodi;
• loe dokument tervikuna enne allkirjastamist;
• hoia arvuti ja telefon uuendatud;
• ära allkirjasta avalikus arvutis ega kahtlases võrgus;
• säilita originaalne allkirjakonteiner koos kõigi lisadega;
• kontrolli ka vastaspoole allkirjade olekut.

Kahtlase veebilehe tuvastamisel aitab artikkel mida veebiaadressiribal jälgida.

Korduma kippuvad küsimused

Kas digiallkiri kehtib teises Euroopa Liidu riigis?

EL-is reguleerib elektroonilisi allkirju eIDAS. Kvalifitseeritud elektroonilist allkirja tuleb tunnustada teistes liikmesriikides, kuid konkreetse dokumendi vorminõudeid tuleb ikkagi kontrollida.

Kas skannitud käsiallkiri on digiallkiri?

Ei. Allkirjapilt võib olla elektroonilise allkirja üks vorm, kuid see ei paku sama krüptograafilist tervikluse ja isikusamasuse kontrolli nagu kvalifitseeritud digiallkiri.

Kas PIN1 ja PIN2 on samad?

Ei. PIN1 kasutatakse isikutuvastuseks, PIN2 allkirjastamiseks. PIN2 sisestamine väljendab allkirjastamise tahet.

Kas PDF-i saab otse digiallkirjastada?

PDF võib olla allkirjakonteineri sees või kasutada PDF-i enda allkirjalahendust. Eestis levinud töövoos lisatakse fail ASiC-E konteinerisse. Kontrolli nõutavat vormingut dokumendi saajalt.

Kas aegunud ID-kaardiga vana allkiri muutub kehtetuks?

Allkirja hindamine sõltub allkirjastamise ajal kehtinud sertifikaadist ja lisatud tõendusmaterjalist. Kontrolli konkreetset faili ametliku rakendusega; pelgalt praegu aegunud kaart ei tähenda automaatselt, et ajalooline allkiri on kehtetu.

Mida teha, kui allkirjastasin vale faili?

Digiallkirja ei saa lihtsalt „kustutada“. Võta osapooltega kohe ühendust, leppige kokku, et vale versiooni ei kasutata, ning allkirjastage õige dokument uues konteineris.

Kokkuvõte

Digi allkiri on turvaline ja mugav siis, kui kontrollid enne PIN2 sisestamist dokumendi sisu, rakendust ja kontrollkoodi. Säilita alati originaalne konteiner, kontrolli kõikide osapoolte allkirjade olekut ning kasuta ainult ametlikku tarkvara. Kahtluse korral katkesta toiming ja küsi nõu dokumendi saatjalt või ID.ee kasutajatoelt.

Allikad

• ID.ee: digiallkirja andmine
• ID.ee: digiallkirja kehtivuse kontroll
• EUR-Lex: eIDAS määrus
• Riigi Infosüsteemi Amet: e-identiteet ja usaldusteenused