eIDAS

eIDAS регулює електронну ідентифікацію та довірчі послуги для електронних транзакцій на внутрішньому ринку ЄС. Він регулює електронні підписи, електронні транзакції, залучені органи та процедури їх включення, щоб забезпечити користувачам безпечний спосіб ведення бізнесу онлайн, наприклад, електронний переказ коштів або транзакції з публічними послугами. Це зручніше та безпечніше як для підписанта, так і для одержувача. Замість того, щоб покладатися на традиційні методи, такі як пошта чи факс, або особисто з’являтися для подання паперових документів, вони тепер можуть виконувати транзакції за кордоном, подібно до технології «1 клік»[2][6].

eIDAS створив стандарти того, які електронні підписи, кваліфіковані цифрові сертифікати, електронні печатки, позначки часу та інші докази для механізмів автентифікації дозволяють здійснювати електронні транзакції з таким самим правовим статусом, як транзакції, що оформлюють на папері[7].

Регламент набрав чинності в липні 2014 року як засіб запровадження безпечних і без перешкод електронних транзакцій у межах ЄС. Держави-члени повинні визнавати електронні підписи, що відповідають стандартам eIDAS[2][8].

eIDAS — результат зосередження Європейської комісії на Цифровому порядку денному для Європи 2010 року. Під наглядом Єврокомісії eIDAS впровадили для стимулювання цифрового зростання в ЄС[9].

За задумом, eIDAS має стимулювати інновації. Дотримання керівних принципів, встановлених для технологій згідно з eIDAS, підштовхує організації до застосування вищих рівнів інформаційної безпеки та інновацій. Крім того, eIDAS зосереджується на наступному[8][10]:

• Сумісність: Держави-члени повинні створити спільну інфраструктуру, яка буде визнавати електронні ідентифікатори з інших держав-членів і забезпечувати їх автентичність і безпеку. Це полегшує користувачам ведення бізнесу через кордони.
• Прозорість: eIDAS надає ясний і доступний перелік довірчих послуг, які можуть надаватися в централізованій інфраструктурі підписання. Це дозволяє зацікавленим у безпеці брати участь в обговоренні найкращих технологій та інструментів для захисту цифрових підписів.

Регламент забезпечує регуляторне середовище для таких важливих аспектів, що стосуються електронних транзакцій[2]:

• Удосконалений електронний підпис: Електронний підпис вважається вдосконаленим, якщо він відповідає певним вимогам:
  • Він надає унікальну інформацію для ідентифікації, яка пов'язує його зі своїм підписантом.
  • Підписант одноосібно контролює дані, які використовуються для створення електронного підпису.
  • Він повинен мати можливість ідентифікувати, якщо дані, що супроводжують повідомлення, були підроблені після підписання. Якщо підписані дані змінилися, підпис позначається недійсним.
  • Є сертифікат електронного підпису як електронний доказ, який підтверджує особу підписанта та пов'язує дані підтвердження електронного підпису з цією особою.
  • Удосконалені електронні підписи можуть бути технічно реалізовані, слідуючи стандартам XAdES, PAdES, CAdES або ASiCдля цифрових підписів, визначених ETSI[11].
• Кваліфікований електронний підпис — удосконалений електронний підпис, який створюється з допомогою пристрою для створення кваліфікованого електронного підпису на основі кваліфікованого сертифіката електронного підпису.
• Кваліфікований цифровий сертифікат для електронного підпису — сертифікат, який засвідчує справжність кваліфікованого електронного підпису, виданий кваліфікованим провайдером довірчих послуг.
• Кваліфікований сертифікат автентифікації вебсайту — кваліфікований цифровий сертифікат відповідно до довірчих послуг, визначених у Регламенті eIDAS.
• Довірча послуга — електронна послуга, яка створює, перевіряє та перевіряє електронні підписи, позначки часу, електронні печатки та кваліфіковані цифрові сертифікати. Також довірча послуга може забезпечувати автентифікацію вебсайту та збереження створених електронних підписів, сертифікатів та печаток. Довірчі послуги надає провайдер довірчих послуг.

Регламент eIDAS виник з Директиви 1999/93/ЄС, яка встановлювила мету, яку держави-члени ЄС мали досягти щодо електронних підписів. Менші європейські країни одними з перших почали застосовувати цифрові підписи та ідентифікацію, наприклад, перший цифровий підпис в Естонії був наданий у 2002 році, а перший цифровий підпис у Латвії — у 2006 році. Їхній досвід був використаний для розробки нині загальноєвропейського регламенту, який з 1 липня 2016 року став обов'язковим як закон у всьому ЄС[12]. Директива зобов'язала держави-члени ЄС створити закони, які б дозволили їм досягти створення системи для електронних підписів у ЄС. Директива також дозволяла кожній державі-члену тлумачити закон та вводити обмеження, тим самим перешкоджаючи реальній сумісності та ведучи до сценарію фрагментації[13]. На відміну від цієї директиви, eIDAS забезпечує взаємне визнання електронних ідентифікаторів для автентифікації між державами-членами[14], таким чином досягаючи мети Єдиного цифрового ринку.

eIDAS запроваджує багатоступеневий підхід до юридичного значення. Він вимагає, щоб по відношенню до жодного електронного підпису не відмовляли в юридичній силі чи прийнятності в суді виключно тому, що він не є вдосконаленим або кваліфікованим електронним підписом[15]. Кваліфіковані електронні підписи повинні наділятися такою ж юридичною силою як і власноручні підписи[16].

Для електронних печаток (версія підписів для юридичних осіб) прямо вказано про доказову силу, адже щодо печаток має діяти презумпція цілісності та правильності походження прикріплених даних[17].

Інформація в базі даних повинна бути пов’язана з якимсь ідентифікаційним номером. Підтвердження того, що особа має право отримати доступ до певної особистої інформації, передбачає кілька етапів.

• Пов'язання людини з номером, що можна зробити за допомогою методів, розроблених в одній країні, наприклад, цифрових сертифікатів.
• Пов'язання номера з конкретною інформацією, що здійснюється в базах даних.
• Для eIDAS необхідно зв’язати номер, що використовується країною, що має інформацію, з номером, що використовується країною, яка видає цифрові сертифікати.

eIDAS має концепцію мінімальної ідентичності — ім’я та дату народження. Але для того, щоб отримати доступ до більш конфіденційної інформації, потрібна певна сертифікація, що ідентифікаційні номери, видані двома країнами, стосуються однієї особи[18].

У жовтні 2019 року дослідники безпеки виявили дві вразливості в eIDAS-Node (зразковій реалізації ідентифікатора профілю eIDAS, забезпеченій Європейською комісією[19]); обидві були виправлені у версії 2.3.1 eIDAS-Node[20].

ЄС створює сумісну з eIDAS Європейську інфраструктуру самосуверенної ідентичності (англ. European Self-Sovereign Identity Framework, скорочено ESSIF).

Законодавство України про електронні довірчі послуги було розроблене за зразком європейської Директиви eIDAS[21]. Проте на шляху до взаємного визнання залишається низка регуляторних бар'єрів[22]. Україна була учасницею пілотного проекту з апробації транскордонних технічних рішень, які повинні забезпечити транскордонне взаємне визнання цифрових підписів[23]. Щоб бути кваліфікованою в ЄС, вся архітектура має бути реалізована на обладнанні та програмному забезпеченні, яке відповідає рівню безпеки EAL4+ відповідно до міжнародної системи сертифікації захисту інформації Common Criteria, яка в Україні поки що не застосовується[24].

• Технічний переклад Регламенту (ЄС) № 910/2014 від 23.07.2014, здійснений Міністерством юстиції України, опублікований на сайті Центрального засвідчувального органу 27 лютого 2015.