云端電子簽章技術(shù)

文｜北京世紀(jì)速碼信息科技有限公司 曹煬

云端應(yīng)用，是互聯(lián)網(wǎng)時(shí)代信息化應(yīng)用的重要特征。顧名思義，云應(yīng)用就是將應(yīng)用放到互聯(lián)網(wǎng)中，以隨需隨取的方式獲得。人們不用在自己的機(jī)器上安裝那些公開的軟件，也不再費(fèi)腦筋去設(shè)計(jì)實(shí)現(xiàn)需求所需要的架構(gòu)，甚至我們在做完了工作之后，不需知道由誰提供的服務(wù)。在網(wǎng)絡(luò)端，一切都被設(shè)計(jì)完成，我們只需要將自己的個(gè)性數(shù)據(jù)與云端應(yīng)用相結(jié)合就可以獲得結(jié)果。目前，人們已經(jīng)熟悉如何將電子商務(wù)和電子政務(wù)搬到網(wǎng)上，那么大家不僅要問，在這些電子商務(wù)和電子政務(wù)中我們所需要簽署的文件該怎么辦？我們是不是能夠在互聯(lián)網(wǎng)上簽署這些文件？這些商務(wù)文件怎么蓋章呢？這些章有法律效力嗎？

談到電子簽章的法律問題，不能不提電子簽章和數(shù)字簽名之間的關(guān)系。

很多行業(yè)外的使用者，最開始使用電子簽章時(shí)，以為就是在一份電子合同上加蓋一個(gè)印章圖片，打印出來與復(fù)印的合同復(fù)印件沒什么兩樣。但是，由于計(jì)算機(jī)圖像處理技術(shù)的發(fā)展，這種圖片加蓋在合同上的做法很輕易就被偽造篡改，不具備任何法律意義。

真正被認(rèn)可的電子簽章行為，是通過加載在合同上的數(shù)字簽名實(shí)現(xiàn)的。簡單的說，這個(gè)數(shù)字簽名采用蓋章人自己的私鑰，對文件的摘要值做了一遍加密工作。由于沒有私鑰，其他人做不出同樣的加密結(jié)果（數(shù)字簽名），所以可以證明是自己的動(dòng)作有效。這個(gè)行為如果需要繼續(xù)提升到法律認(rèn)可的層面，則需要第三方CA公司（如CSCA）對該私鑰所對應(yīng)的信息頒發(fā)數(shù)字證書。然而，這個(gè)數(shù)字簽名雖然法律上被認(rèn)可，但沒有辦法直觀的看到，于是大家模仿傳統(tǒng)的紙質(zhì)簽章，搞了一個(gè)電子版的可視圖章。讓這個(gè)數(shù)字簽名行為發(fā)生的同時(shí)，在文檔上顯示一個(gè)電子版圖章，看到章就知道數(shù)字簽字完成了。

一、傳統(tǒng)電子簽章模式及不足之處

我們再回顧傳統(tǒng)的電子簽章過程，電子簽章通常分為兩個(gè)階段。制章階段和簽署階段。

制章階段，顧名思義，需要提前做好印章。第一步工作與做實(shí)體印章相同，使用者提交蓋章主體的證明文件給法定制章單位，然后再發(fā)送圖像底稿給制章單位做圖章。在電子簽章中，這個(gè)制章單位通常由CA公司或電子簽章公司來承擔(dān)。制章單位先要為申請者準(zhǔn)備一個(gè)具有智能芯片的存儲(chǔ)介質(zhì)（內(nèi)含公鑰和私鑰），例如USBKey或IC卡，再把頒發(fā)的數(shù)字證書灌入到存儲(chǔ)介質(zhì)中，并對這個(gè)存儲(chǔ)介質(zhì)設(shè)置啟用口令。再用一個(gè)對稱密鑰加密這個(gè)簽章圖像，然后用證書公鑰繼續(xù)加密這個(gè)對稱密鑰，保證只能由這個(gè)存儲(chǔ)介質(zhì)的私鑰才能調(diào)出這個(gè)簽章圖像。這樣就將簽章圖像通過申請者的私鑰和申請者本身建立了有效關(guān)聯(lián)，其他人調(diào)不出這個(gè)圖像，做到見章如見人。

第二個(gè)階段是簽署階段。申請者通過編輯軟件在待簽名文檔上插入簽章顯示控件，再輸入口令讓存儲(chǔ)介質(zhì)里的私鑰解密預(yù)置的圖章圖像（需要提前安裝該設(shè)備的驅(qū)動(dòng)），替換到顯示控件上。鎖定位置，使圖像不能移動(dòng)和刪除，完成簽署工作。已簽署的電子簽章文檔是在原文檔的基礎(chǔ)上嵌入電子印章信息、數(shù)字證書簽名信息、簽名者公鑰證書、證書頒發(fā)者、簽名時(shí)間等信息。

傳統(tǒng)的電子簽章模式安全、成熟，但是卻不夠便捷。在簽章之前，需要提前申請存儲(chǔ)介質(zhì)（Key或IC卡等），在簽名的過程中，也需要安裝驅(qū)動(dòng)程序、軟件算法程序等。在互聯(lián)網(wǎng)快速發(fā)展的過程中，使用者逐漸感覺到，對于偶發(fā)的簽章場景，或者要求快速應(yīng)用的簽章場合，這種簽署方式不太適合規(guī)?；耐茝V使用，人們逐漸開展了新型云端簽章模式的探討。

二、云端數(shù)字簽名與云端電子簽章

云端數(shù)字簽名，是指數(shù)字簽名過程中的身份認(rèn)證、數(shù)字證書頒發(fā)、對數(shù)據(jù)流進(jìn)行數(shù)字簽名等操作都在云端完成。這種方式大大簡化了應(yīng)用系統(tǒng)的負(fù)擔(dān)，客戶端也無需再安裝各類驅(qū)動(dòng)程序，減免了大量簽章存儲(chǔ)介質(zhì)的遞送成本。同時(shí)，云端簽名一般采用按次計(jì)費(fèi)的模式，每次簽名的費(fèi)用較低，不必事先投入較大成本進(jìn)行系統(tǒng)建設(shè)，這對于業(yè)務(wù)量大小不一的企業(yè)更具有公平性。

云端電子簽章，是云端簽名的一種具體應(yīng)用。利用云端的數(shù)字簽名，與傳統(tǒng)的電子簽章進(jìn)行結(jié)合，大大提升文檔簽約的效率。其具體過程為：使用者使用自己的計(jì)算機(jī)，將個(gè)人信息、簽名圖像、待簽文檔一次性的發(fā)到云端。云端利用個(gè)人信息首先在云簽系統(tǒng)內(nèi)產(chǎn)生數(shù)字證書；云端平臺(tái)使用證書私鑰對接收到的整個(gè)文檔做數(shù)字簽名；云端根據(jù)算法將簽名值、圖章、公鑰證書嵌入到待簽文檔的預(yù)設(shè)簽名區(qū)域。由此形成已簽署的具有法律效力的電子文檔（對于CSCA云簽平臺(tái)，由于其證書合法性已獲國家批準(zhǔn)，因此該文檔有效）。最后，使用者可自行下載該將電子簽章后的文檔。

我們看看建筑裝飾行業(yè)深化設(shè)計(jì)撮合網(wǎng)站“易深化網(wǎng)”（www.yishenhua.com）的云端簽章具體應(yīng)用過程。

在簽章之前，易深化網(wǎng)對需要使用云簽名的注冊用戶進(jìn)行實(shí)名認(rèn)證，并將這些用戶的實(shí)名舉證材料為CSCA開通查詢接口，CSCA在實(shí)行云簽的過程中備案備查。

在具體操作中，注冊用戶首先在網(wǎng)站上確認(rèn)待簽署合同。確認(rèn)后，易深化平臺(tái)向操作用戶發(fā)送一個(gè)二維碼，操作用戶用自己具有手寫功能的智能手機(jī)掃描屏幕二維碼后，會(huì)在手機(jī)端得到一個(gè)手寫區(qū)域。用戶在該區(qū)域中進(jìn)行手寫簽名。手寫簽名完成確認(rèn)后，這幾項(xiàng)信息一同發(fā)給CSCA云簽平臺(tái)進(jìn)行電子簽章。大約1-2秒鐘后，屏幕上即會(huì)反饋復(fù)合了電子簽章的文檔供用戶下載。

對于在線報(bào)名、在線繳費(fèi)等業(yè)務(wù)，簽章的一方可能是企業(yè)用戶。通常做法是在企業(yè)用戶注冊時(shí)，企業(yè)預(yù)留電子簽章的圖像底稿。簽署過程中，企業(yè)用戶可以選擇是否還需要代理人簽字，或者直接調(diào)取預(yù)留底稿。在一些需要底稿和代理人簽字一同需要的簽署場合，則云端系統(tǒng)將會(huì)在后臺(tái)執(zhí)行兩遍簽署工作。

三、云端電子簽章的爭議與解決方式

云端電子簽章模式對電子政務(wù)和電子商務(wù)具有很強(qiáng)的適應(yīng)性，一經(jīng)推廣就受到各行各業(yè)的普遍關(guān)注。但是，由于簽名與簽章工作的嚴(yán)肅性，云簽?zāi)Ｊ皆诎l(fā)展中一直伴隨著各種爭議，它也在不斷地演化和適應(yīng)。目前，主要的爭論點(diǎn)和解決方式探討集中在以下幾類場景中：

合同的保密性問題。在很多場合，客戶合同是私密的，不能夠開放給第三方。比如，我國的金融行業(yè)，客戶的合同內(nèi)容被要求保密。因此，在銀行系統(tǒng)進(jìn)行云簽時(shí)，如果不希望在自己內(nèi)部建立一個(gè)私有云的話，那么為保證其合同的法律效力，金融機(jī)構(gòu)通常只向CA公司發(fā)送待簽署合同的摘要值和客戶認(rèn)證信息，CA公司制作證書并對摘要值進(jìn)行簽名。而將簽名后的摘要值復(fù)合為電子合同的過程，則在銀行內(nèi)部完成。

私鑰的安全問題。對于為簽署合同所產(chǎn)生的私鑰，是否會(huì)用來簽署其他合同？這個(gè)私鑰是在密碼機(jī)內(nèi)產(chǎn)生的，無法被調(diào)出。一旦合同簽署完成，其證書和公鑰部分被植入電子合同中，其私鑰可根據(jù)要求被安全處理，如果需要日后多次簽署，下一次的簽署用戶需要再次提供身份信息和口令信息調(diào)取該私鑰，如果沒有下一次的簽署或者為了絕對的安全，可以要求云端直接刪除該私鑰。也就是可以做到，在云簽管理模式中，密鑰與合同一一對應(yīng)，一次一密，做到密鑰的安全有效。

身份的有效認(rèn)證問題。在云簽?zāi)Ｊ街?，原來基于身份證復(fù)印件、手持身份證拍照等等模式，目前均沒有得到國家法律的認(rèn)可，統(tǒng)統(tǒng)都是無效的。在目前只有依賴移動(dòng)運(yùn)營商的身份認(rèn)證證據(jù)鏈、銀行卡開戶所面簽的身份認(rèn)證證據(jù)鏈、預(yù)留的生物特征證據(jù)鏈。但是，隨著我國網(wǎng)絡(luò)信息化安全的發(fā)展進(jìn)程，公安部門已經(jīng)開始進(jìn)行網(wǎng)絡(luò)身份認(rèn)證的核驗(yàn)試點(diǎn)服務(wù)，CSCA作為這一項(xiàng)目推廣應(yīng)用的重要參與單位，將會(huì)在不久展開全面的身份認(rèn)證服務(wù)。屆時(shí)，用戶利用具有NFC功能和具有拍照功能的手機(jī)，將可以直接獲得權(quán)威部門的身份認(rèn)證。注1

云端簽章技術(shù)是互聯(lián)網(wǎng)高速發(fā)展的產(chǎn)物，它依托信息化安全的手段，服務(wù)各類高效、便捷的商務(wù)信息溝通的業(yè)務(wù)需求，在我國各業(yè)都有廣泛的應(yīng)用。在建設(shè)行業(yè)，執(zhí)業(yè)資質(zhì)上報(bào)、設(shè)計(jì)圖紙簽章、合同分包、工程監(jiān)理、工程評比、遠(yuǎn)程開戶、專業(yè)技術(shù)培訓(xùn)、政務(wù)審批、供應(yīng)鏈撮合等領(lǐng)域都可以有效開展。采用云端電子簽章技術(shù)將有益于獲得更高的溝通效率、降低成本，提升商務(wù)活動(dòng)的法律保障。

注1：有關(guān)網(wǎng)絡(luò)身份認(rèn)證的工作原理和具體服務(wù)內(nèi)容，CSCA將會(huì)在本刊電子認(rèn)證系列介紹中另文詳述。