Podpis elektroniczny i www

[majkey]

Witam.
Mam pytanie z innej trochę beczki.
Chodzi o podpis elektroniczny i formularze www.
Może ktoś wie jak zorganizowane jest (o ile to możliwe) podpisywanie elektroniczne przez usera wysyłającego dane w formularzu www. A jak póżniej podpisany formularz jest weryfikowany przez odbiorcę?
Dajcie znać.

[iniside]

Elektronicznie można podpisywać tylko E-maile i całe pliki. Nic pozatym. Dla usera który sie rejestruje możesz zarezerować hash. czyli około 25znakowy unikalny kod ktory jest generowany automatycznie przez funkcje md5() w php...

[majkey]

A zatem wszelkie dane wysyłane przez formularze internetowe chyba nie będą wiarygodne. Jestem adminem sklepu internetowego i fajnie byłoby autoryzowac klientów o ich podpis elektroniczny, co dałoby pewnośc że dany kontrachent jest naprawde wiarygodny. Na razie dla podwyzszenia wiarygodnosci klientów przy rejestracji prosze o PESEL i sprawdzam czy numer jest poprawny (jest do tego algorytm). Może to lekka przesada ale do transakcji z nasza firma przystepuja tylko naprawde chetne osoby a nie dowcipnisie (mam nadzieje ). Na razie nie zdarzyło sie wysłać zamówienia w nieznane. Ale bajer z podpisem elektronicznym to było by to!
Temat chyba jest na mały FLAME więc prosze o opinie

[viraptor]

Jesli zalezy ci na prawdziwej autoryzacji i bezpieczenstwie userow, to polecam pelne HTTP + SSL - w czasie transmisji napewno nic nikt nie zmieni.
A same formularze.... mysle ze w javie jest to wykonalne. W javascripcie tez, o ile chce ci sie caly system podpisow implementowac

Dodane 5 min. pozniej :
Po powtornym przeczytaniu posta... "Na razie dla podwyzszenia wiarygodnosci klientów przy rejestracji prosze o PESEL i sprawdzam czy numer jest poprawny (jest do tego algorytm)." - chodzi ci o sprawdzanie wiarygodnosci danych ludzi z ktorymi nie miales wczesniej kontaktu? Jesli dobrze cie zrozumialem, to w takim razie - poki nie ma dodawanego przymusowo podpisu elektronicznego do kazdego dowodu / paszportu, to system sprawdzania danych osobowych z podpisem elektronicznym raczej nie istnieje...
SSL lub suma kontrolna przyda sie najwyzej do upewnienia, ze nikt nie zmienil danych "po drodze".
A co do pesela - wyszla pewna partia numerow, ktore nie sprawdzaja sie wedlug tego algorytmu (chodzi o plec i parzystosc sumy cyfr pesela chyba) - zus czy jakas inna placowka miala juz z tym problemy (to znaczy klienci mieli )
A Iniside - elektronicznie mozna podpisac kazdy fragment danych od 1 bajta w gore - nie ma znaczenia co to jest.

[iniside]

Tak Ale to musi być CAŁY plik. Raczej nie da sie normlanymi sposobami podpisywać fragmentu tekstu w pliku txt no nie ...

[viraptor]

Raczej nie da sie normlanymi sposobami podpisywać fragmentu tekstu w pliku txt no nie ...

proponuje zobaczyc np http://neworder.box.sk/explread.php?newsid=11665 - podpis elektroniczny jest? jest; w dodatku tylko kawalka tekstu dotyczacy - tekst podpisywany zaczyna sie
-----BEGIN PGP SIGNED MESSAGE-----
a konczy
-----BEGIN PGP SIGNATURE-----
i od tego miejsca leci sygnatura do
-----END PGP SIGNATURE-----
standardowe podpisywanie fragmentu pliku (do podpisow calych plikow zwykle stosuje sie osobny plik typu .pgp, czy .asc z sama sygnatura

[wixor]

Jeżeli chcesz miec pewność, że nikt nie wysyła zamówień dla zabawy, użyj SSL i system użytkowników - niech każdy ontrahent ma swojegu usera, a sklep niech będzie dostepny tylko po zalogowaniu się (przypominam o SSL). Tworzenie account-ów może się wtedy odbywac listownie albo telefonicznie dzięki czemu konta nie będą tworzone dla zabawy w składanie zamówień. Nawet gdyby każdy obywatel miał swój podpis, nie masz pewności, że nie wysyła zamówień dla frajdy. Oczywiście, niegdy nie masz takiej pewności, ale przy kontakcie telefoniczno-listownym ryzyko jest małe. (mniejsze jest tylko przy kontakcie fizycznym).