«امضای الکترونیک» و «امضای دیجیتال» آن‌قدر جای هم به کار می‌روند که بیشتر مردم فکر می‌کنند یکی‌اند. یکی نیستند. فرقشان هم فقط فنی نیست: روز اختلاف، همین فرق می‌تواند تعیین کند که یک جملهٔ «امضای من نیست» از طرف مقابل شنیده شود یا نه. (تشخیص نهایی با دادگاه است.)
پاسخ کوتاه
امضای الکترونیک یک دستهٔ بزرگ است؛ امضای دیجیتال یکی از اعضای آن دسته است، و قوی‌ترینشان.
در امضای الکترونیک، اعتماد از فرایند می‌آید: اینکه پیش از امضا هویت امضاکننده چطور تأیید شده و چه سوابقی از امضا ثبت شده است.
در امضای دیجیتال، اعتماد از ریاضی می‌آید: امضا با کلید رمزنگاریِ شخصیِ امضاکننده روی خودِ فایل ساخته میشود و هر تغییر بعدی در فایل را لو میدهد.
هر امضای دیجیتالی، الکترونیکی هم هست. ولی بیشتر امضاهای الکترونیکی، دیجیتال نیستند.
امضای الکترونیک: هر علامتی که امضاکننده را مشخص کند
قانون تجارت الکترونیکی ایران تعریف بازی دارد:
ماده ۲، بند ی — «امضای الکترونیکی» عبارت از هر نوع علامت منضم شده یا به نحو منطقی متصل شده به «داده پیام» است که برای شناسائی امضاءکننده «داده پیام» مورد استفاده قرار می‌گیرد.
«هر نوع علامت» یعنی همهٔ این‌ها امضای الکترونیکی‌اند:
تصویر اسکن‌شدهٔ امضا که روی PDF چسبانده شده؛
تایپ کردن نام زیر یک ایمیل؛
زدن تیک «شرایط را می‌پذیرم»؛
امضایی که پس از ورود با کد پیامکی روی صفحه کشیده میشود؛
و حتی امضای دیجیتال.
مشکل همین گستردگی است. تصویر امضایی که هر کسی می‌تواند از یک نامهٔ قدیمی کپی کند و امضایی که پیش از آن هویت شخص با استعلام رسمی تأیید شده، از نظر نام هر دو «امضای الکترونیکی» هستند، ولی از نظر ارزش اثباتی زمین تا آسمان فرق دارند. قانون هم همین را می‌گوید: ماده ۱۳ وزن هر سند را به «تناسب روشهای ایمنی به کار گرفته شده» گره زده است.
امضای دیجیتال: امضایی که روی خودِ فایل قفل میشود
امضای دیجیتال یک «علامت» نیست؛ یک محاسبهٔ رمزنگاری است. سه جزء دارد:
کلید خصوصی: یک کلید رمزنگاری که فقط مال امضاکننده است و فقط با اجازهٔ او به کار می‌رود.
کلید عمومی: جفتِ کلید خصوصی. هر کسی می‌تواند با آن امضا را بررسی کند، ولی نمی‌تواند با آن امضا بسازد.
گواهی دیجیتال: سندی که یک مرکز صدور گواهیِ مجاز، پس از تأیید هویت شخص، صادر می‌کند و می‌گوید «این کلید عمومی مالِ این آدم است».
هنگام امضا چه میشود؟
از محتوای فایل یک اثر انگشت دیجیتال (هش) ساخته میشود: رشته‌ای کوتاه که با کوچک‌ترین تغییر در محتوا، کاملاً عوض میشود.
این اثر انگشت با کلید خصوصیِ امضاکننده امضا میشود. نتیجه، همراه با گواهی امضاکننده، داخل خود PDF قرار می‌گیرد.
هنگام بررسی چه میشود؟
نرم‌افزار بررسی امضای PDF از فایلی که در دست دارد دوباره اثر انگشت می‌سازد. (صفحهٔ استعلام الامضا این کار را نمیکند؛ فقط وضعیت تکمیل سند را نشان میدهد.)
امضا را با کلید عمومیِ داخل گواهی بررسی می‌کند.
اگر این دو با هم بخوانند، دو چیز ثابت شده است: امضا را صاحب همان گواهی ساخته، و فایل بعد از امضا حتی یک ویرگول تغییر نکرده است.
یک مثال ملموس
قراردادی دوازده‌صفحه‌ای را دیجیتال امضا کرده‌اید. کسی بعداً در صفحهٔ نهم «سی روز» را به «سیصد روز» تغییر میدهد. با امضای تصویری، این تغییر ممکن است تا روز دادگاه دیده نشود. با امضای دیجیتال، اثر انگشتِ فایلِ تغییرکرده دیگر با امضا نمی‌خواند و هر نرم‌افزار بررسی امضای PDF آن را نامعتبر نشان میدهد. این همان ویژگی‌ای است که قانون در بند «د» ماده ۱۰ برای امضای مطمئن خواسته: هر تغییری در سند «قابل تشخیص و کشف» باشد.
مقایسه در یک نگاه
امضای الکترونیک (با احراز هویت) | امضای دیجیتال | |
|---|---|---|
اعتماد از کجا می‌آید؟ | فرایند: استعلام هویت پیش از امضا و سوابق ثبت‌شده | رمزنگاری: کلید شخصی و گواهی امضاکننده |
تغییر فایل بعد از امضا | با مقایسه با نسخهٔ نگه‌داری‌شده در سامانه، در صورت درخواست مرجع رسیدگی | خودِ امضا در بررسی، نامعتبر نشان داده میشود |
امضاکننده چه لازم دارد؟ | موبایلی که سیم‌کارتش به نام خودش است | همان، به‌علاوهٔ یک گواهی دیجیتالِ فعال |
اگر طرف مقابل بگوید «امضای من نیست» | انکار شنیده میشود؛ ارائه‌دهندهٔ سند باید اصالت را ثابت کند و سوابق احراز هویت ابزار اوست | سازوکاری که برای شرایط «امضای مطمئن» (ماده ۱۰) ساخته شده؛ نسبت به امضای مطمئن انکار و تردید شنیده نمی‌شود (ماده ۱۵) |
تصویر امضا | هر امضاکننده می‌تواند روی صفحه‌ها امضا بگذارد | اعتبار به رمزنگاری است، نه به تصویر؛ با چند امضاکننده، هر نفر یک امضا روی یک صفحه |
مناسب برای | قراردادهای روزمره | قراردادهای مهم یا با احتمال اختلاف جدی |
جزئیات حقوقیِ ستون آخر را، با متن مواد ۱۰ تا ۱۵ و آیین دادرسی، در اعتبار امضای الکترونیک در دادگاه آورده‌ایم.
سه باور غلط رایج
«اگر امضایم را اسکن کنم و روی PDF بگذارم، امضای دیجیتال کرده‌ام.» نه. این یک تصویر است، و هر کسی که فایل را دارد می‌تواند همان تصویر را روی سند دیگری بگذارد. این ضعیف‌ترین شکل امضای الکترونیکی است.
«امضای دیجیتال یعنی توکن سختافزاری.» دیگر لازم نیست. کلید خصوصی می‌تواند در یک فضای امن ابری نگهداری شود و امضاکننده هر بار با کد یکبارمصرف و رمز گواهی اجازهٔ امضا بدهد. در الامضا امضای دیجیتال همین‌طور کار می‌کند و توکن نمی‌خواهد. بیشتر در آیا برای امضا به توکن نیاز دارم؟
«کد پیامکی همان امضای دیجیتال است.» نه. کد یکبارمصرف ثابت می‌کند گوشی آن شماره دست کسی بوده که امضا کرده؛ ابزار احراز هویت است، نه کلید امضا. امضای دیجیتال کلید رمزنگاری و گواهی شخصی لازم دارد.
در الامضا: هر دو، و انتخاب با شماست
هنگام ساخت قرارداد، نوع امضا را انتخاب می‌کنید: امضای الکترونیک یا امضای دیجیتال. این انتخاب بعد از ارسال قابل تغییر نیست.
امضای الکترونیک: امضاکننده با کد پیامکی وارد میشود، هویتش با شاهکار و ثبت‌احوال تأیید میشود و امضایش را روی سند ثبت می‌کند. سند نهایی کدی دارد که در صفحهٔ استعلام قابل بررسی است.
امضای دیجیتال: هر امضاکننده یک گواهی دیجیتال شخصی لازم دارد. گواهی را الامضا صادر نمیکند؛ از طریق مرکز صدور گواهیِ مجاز و پس از احراز هویت تصویری صادر میشود. یک‌بار صادر میشود و در مدت اعتبارش هر تعداد سند را میشود با آن امضا کرد. اگر امضاکننده هنوز گواهی ندارد، درست پیش از امضا برای صدورش راهنمایی میشود و بعد به همان قرارداد برمی‌گردد. فرستنده هم می‌تواند هزینهٔ صدور گواهیِ طرف مقابل را از قبل بپردازد. هزینهٔ صدور در تعرفه‌ها آمده است.
دو نکتهٔ عملی دربارهٔ امضای دیجیتال:
تصویر امضا محدودتر است. اگر فقط یک امضاکننده باشد، او می‌تواند روی هر صفحه امضا، مهر و تاریخ بگذارد و بعد کل سند با گواهی‌اش مهر میشود. با چند امضاکننده، امضا به ترتیب انجام میشود و هر نفر یک امضا روی یک صفحه می‌گذارد. اگر برایتان مهم است که تصویر امضای همه روی همهٔ صفحه‌ها باشد، امضای الکترونیک را انتخاب کنید.
گواهی‌ای که در الامضا صادر میشود برای امضا در ال‌امضاست، نه برای سامانه‌های دیگری که گواهی جداگانهٔ خودشان را می‌خواهند.
کدام را انتخاب کنم؟
قرارداد روزمره (خدمات، همکاری، فرم رضایت، تعهدنامه) و طرف مقابلی که می‌شناسید: امضای الکترونیک. سریع است و طرف مقابل به چیزی جز موبایلِ به‌نام‌خودش نیاز ندارد.
قرارداد مهم، مبلغ بالا، یا هرجا احتمال اختلاف جدی هست: امضای دیجیتال. چند دقیقه کار بیشتر برای صدور گواهی، در برابر سندی که تغییرش فوراً لو می‌رود.
