場景證書數(shù)字簽名司法實踐

李 達 趙 利

1.中金金融認(rèn)證中心有限公司，北京 100054；2.公安部第一研究所，北京 100048

電子簽名法在2005年4月正式實施，于2015年4月重新修訂。電子簽名法的頒布實施，大大促進了電子簽名技術(shù)在互聯(lián)網(wǎng)和廣泛應(yīng)用，而國家司法機關(guān)也逐步積累了電子簽名類的電子數(shù)據(jù)案件的受理、鑒定和審判經(jīng)驗。近年來，隨著無紙化在各個行業(yè)以及線上線下場景的應(yīng)用，場景型數(shù)字證書開始得到廣泛推廣和使用，涉場景證書類案件將逐漸增加，因此，需要在現(xiàn)有電子簽名數(shù)字證書類案件司法實踐的基礎(chǔ)上，深入研究涉場景證書類案件的司法實踐。

傳統(tǒng)數(shù)字證書司法實踐較為簡單，從證書管理流程上來講，在證書申請時，用戶提交數(shù)字證書申請書、CA機構(gòu)審核用戶申請信息和身份信息，審核通過簽發(fā)證書、用戶下載和保存數(shù)字證書。在用戶證書介質(zhì)丟失時應(yīng)立即進行掛失操作，避免被冒用，業(yè)務(wù)系統(tǒng)實時的記錄用戶公鑰證書信息并與用戶系統(tǒng)賬戶進行綁定。這種數(shù)字證書管理機制旨在清晰的明確各方職責(zé)：電子認(rèn)證機構(gòu)負(fù)責(zé)審核身份、簽發(fā)證書；業(yè)務(wù)運營商負(fù)責(zé)根據(jù)數(shù)字證書及數(shù)字簽名判定用戶身份和受理簽名業(yè)務(wù)；用戶作為證書使用者負(fù)責(zé)管理好自己數(shù)字證書。在責(zé)任分明的情況下傳統(tǒng)數(shù)字證書的司法實踐較為簡單清楚，可完全依據(jù)《中華人民共和國電子簽名法》進行案件的審理和宣判，案件中電子認(rèn)證服務(wù)機構(gòu)所出具的電子簽名驗證報告也可以起到舉足輕重的作用。針對用戶因為沒有及時掛失數(shù)字證書導(dǎo)致出現(xiàn)風(fēng)險的案件，各地司法機構(gòu)或會根據(jù)具體案情酌情考慮，但也會本著尊重電子認(rèn)證服務(wù)機構(gòu)所出具的電子簽名驗證報告的客觀性、真實性和權(quán)威地位來做適當(dāng)?shù)乜剂俊?/p>

而場景證書司法實踐較為復(fù)雜，為保證場景證書的有效性和可靠性，場景證據(jù)固化過程添加了大量的證據(jù)鏈，這就需要司法機關(guān)除了要參考電子簽名驗證報告判定電子合同的完整性外，還要通過證據(jù)鏈的鑒定來判斷事實場景的真實性和可追溯性。

通常涉場景證書類案件均需要司法鑒定中心的介入。這時司法鑒定機構(gòu)在開展司法鑒定工作時最基本的檢材為帶有場景證書數(shù)字簽名的電子合同原件、場景證據(jù)固化的所有證據(jù)原文件、電子認(rèn)證服務(wù)機構(gòu)出具的場景證書電子簽名驗證報告，司法鑒定機構(gòu)應(yīng)按照以下流程開展鑒定工作：

1、確認(rèn)電子認(rèn)證服務(wù)機構(gòu)是否為正當(dāng)、合法的第三方認(rèn)證機構(gòu)；

2、使用或開發(fā)電子簽名驗證工具驗證場景證書電子簽名有效性，具體包括：驗證電子簽名是否正確、驗證場景證書根證書鏈從而確定該場景證書是否為該電子認(rèn)證服務(wù)機構(gòu)簽發(fā)、驗證場景證書簽名時的時效性；

3、驗證場景證書場景證據(jù)擴展域中的Hash與場景證據(jù)固化的所有證據(jù)原文件是否完全匹配；

4、驗證場景證書場景證據(jù)擴展域中的Hash與電子合同中所包含的Proof Hash是否完全匹配；

5、對場景證據(jù)固化的所有證據(jù)原文件進行檢驗，不同的文件類型(如照片、錄音、指紋等)，司法鑒定機構(gòu)依照相應(yīng)的標(biāo)準(zhǔn)規(guī)范進行鑒定。

6、編制和發(fā)布司法鑒定意見書。

在司法實踐中，如果電子合同是由電子認(rèn)證服務(wù)機構(gòu)無紙化電子簽名系統(tǒng)產(chǎn)生和簽名，并且該電子認(rèn)證服務(wù)機構(gòu)的無紙化電子簽名系統(tǒng)已經(jīng)經(jīng)過了司法鑒定中心的前期系統(tǒng)評估，可省卻上述1-4項鑒定工作內(nèi)容，直接使用電子認(rèn)證服務(wù)機構(gòu)出具的電子簽名驗證報告文書中的驗證結(jié)論，從第5步開始進行鑒定工作即可。

法院及仲裁機構(gòu)依據(jù)司法鑒定中心的鑒定意見書判定證據(jù)的有效性，值得注意的是如果場景證書針對電子合同的場景證據(jù)固化和簽名流程不是在一套應(yīng)用系統(tǒng)中完成的時候，例如在A系統(tǒng)中產(chǎn)生電子合同/協(xié)議、在B系統(tǒng)中申請場景證書，這時法院及仲裁機構(gòu)或需要證據(jù)出示方(通常為業(yè)務(wù)運營方)進一步提供有關(guān)在多個系統(tǒng)數(shù)據(jù)交互過程中如何保證數(shù)據(jù)的準(zhǔn)確性的證明材料，例如近期針對整體業(yè)務(wù)系統(tǒng)的基于第三方權(quán)威測評機構(gòu)的信息安全測評報告，用于證明系統(tǒng)間數(shù)據(jù)交互真實、準(zhǔn)確、無漏洞，由于業(yè)務(wù)系統(tǒng)升級、變更頻繁，通常應(yīng)要求三個月內(nèi)有效的信息安全測評報告。

總之，對涉場景證書類的檢驗鑒定，可以形成完整的證據(jù)鏈，確定證書使用時的所有場景信息，以及電子簽名文件是否完整可信。這對于涉場景證書類的案件的司法實踐具有不可或缺的作用。