辨析數字簽名與電子簽名
從概念上講,數字簽名(digital signature)與電子簽名(electronic signature)是不同的。電子簽名是一般化的概念,凡是具有簽名功能的電子手段均可稱之為電子簽名。而數字簽名,由于歷史的原因,已經被特指為利用公鑰密碼和散列算法而生成的簽名。數字簽名是電子簽名的一種特定形式。之所以會產生這兩個概念,有其歷史的原因和現實的意義。
數字簽名的概念最早產生于學術界,并廣泛應用于科學技術領域。早在1976年Diffie提出公鑰密碼思想的時候(New Directions in Cryptography),就認為“簽名”是公鑰密碼的一個重要應用,只是當時并未叫數字簽名,而是稱之為“單向鑒別”(One-way authentication)。
在正規的技術規范和學術論文中,都使用了“數字簽名”這一術語。如在著名的國際標準——安全體系結構ISO7498-2中,對數字簽名做了如下定義:附加在數據單元上的一些數據, 或是對數據單元所作的密碼變換, 這種數據或變換允許數據單元的接收者用以確認數據單元來源和數據單元的完整性, 并保護數據, 防止被人(例如接收者)進行偽造。
美國的數字簽名標準(DSS,FIPS186-2)對數字簽名做了如下解釋:利用一套規則和一個參數集對數據計算所得的結果,用此結果能夠確認簽名者的身份和數據的完整性。在工業界和學術界,上述對數字簽名的解釋已經得到了廣泛的認同,盡管在定義上可能會略有差異,但只是換個說法而已,即通過密碼變換對數據進行運算,以確認數據的來源(或稱簽名者的身份)和數據的完整性。
電子簽名的概念是隨著電子商務法的發展而提出的,盡管在早期的法律文獻中依舊使用“數字簽名”這一概念(如北美律師協會1996年撰寫的“Digital Signature Guidelines”),但在當前的法律中全部使用了“電子簽名”,如聯合國貿法會的《電子簽名示范法》(以下簡稱《示范法》)、歐盟的《電子簽名共同框架指令》(以下簡稱《指令》)、美國的《全球及全國電子簽名法》和《中華人民共和國電子簽名法》等。
在法律上之所以要提出電子簽名的概念,主要是基于立法方面的考慮。保持技術中立性是立法的一個基本原則,因為沒有任何理由說明公鑰密碼理論是生成“簽名”的唯一技術,因此有必要規定一個更一般的概念,以適應今后技術的發展。電子簽名就是為了滿足這一需求而提出的,以區別數字簽名。
從法律上講,簽名有兩個基本功能:即標識簽名人和表示簽名人對文件內容的認可。凡是滿足這兩個條件的電子手段,均可認為是電子簽名,因而《示范法》中對電子簽名做了如下定義:指在數據電文中,以電子形式所含、所附或在邏輯上與數據電文有聯系的數據,它可用于鑒別與數據電文相關的簽名人和表明簽名人認可數據電文所含信息。電子簽名定義的特點是只指明簽名的形式和功能,對實現技術不作任何規定。
值得注意的是,不同法律對電子簽名的定義可能會有所不同。在我國的電子簽名法中,規定電子簽名是“指數據電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內容的數據”,比《示范法》中的規定稍微嚴格一些,去掉了“邏輯上相聯系”的規定。
歐盟《指令》中如下定義電子簽名:以電子形式所附或在邏輯上與其它電子數據相關的數據,作為一種鑒別的方法。這個定義與《示范法》的不同在于:這里沒有強調簽名人對數據的認可。依此定義,任何一種電子鑒別方法都可認為是電子簽名,而簽名人的認可則需要其他方式來完成,如特定的簽名策略。
電子簽名的概念雖然獲得了技術中立性,但也帶來了使用上的不便,因此,法律上有對電子簽名進行了進一步的規定,如《示范法》和我國《電子簽名法》中定義了“可靠電子簽名”、《指令》中定義了“高級電子簽名”,以獲得更好的應用安全性。
在可靠(或高級)電子簽名定義中,實際上就規定了數字簽名的功能,并附加了一些安全要求,如簽名人對簽名制作數據的獨占控制等,使其更有利于實際應用。
如我國《電子簽名法》第十三條規定符合下列條件的簽名為可靠的電子簽名:
(一)電子簽名制作數據用于電子簽名時,屬于電子簽名人專有;
(二)簽署時電子簽名制作數據僅由電子簽名人控制;
(三)簽署后對電子簽名的任何改動能夠被發現;
(四)簽署后對數據電文內容和形式的任何改動能夠被發現。
從中我們不難看出,除了數字簽名的固有特性(數據和簽名的完整性),這里又對簽名的生成過程做了進一步的規定,即在簽名的生成過程中,電子簽名制作數據由電子簽名人專有,并且簽名是在簽名人的單獨控制下完成的,不能受控于他人。這正是從應用的角度對數字簽名作了補充要求,也對電子簽名設備和應用程序提出了基本安全要求。
目前,具有實際意義的電子簽名技術只有基于公鑰密碼理論的數字簽名技術。而數字簽名的有效實施必須依賴于電子認證服務,因此,電子簽名法還對認證服務提供者的要求及各方所應承擔的權利義務關系進行了規定,在此不再贅述。
綜上所述,數字簽名是特指應用公鑰密碼理論而生成的簽名,電子簽名是按照技術中立性原則在法律上提出的一般化概念,數字簽名是電子簽名的一種特定實現。法律上所規定的可靠(高級)電子簽名,目前只有數字簽名才能滿足(完整性)要求??煽侩娮雍灻麑灻膶崿F過程也提出了安全性要求,使電子簽名更適合于實際應用。