开通VIP，畅享免费电子书等14项超值服
首页
好书
留言交流
下载APP
联系客服
2022.07.21河北
基于事件证书的电子签名有法律效力吗？一文对事件证书的规定以及功能特点进行了详细的说明，本文以（2021）京行终905号的行政判决书为锚点，重点分析CA机构签发数字证书所需遵守的义务，以及实际事件证书的签发与使用存在的问题以及司法实践中人民法院对事件证书的签发及使用所持态度。
在“（2021）京行终905号”案中，平安科技公司错误地将北京CA颁发的事件证书用于“银行与薛某某”之间的法律文件签署，而事实上“薛某某”从未向北京CA申请过数字证书，但平安科技公司却以“薛某某”数字证书生成了“薛某某”的电子签名，并基于该电子签名向“薛某某”主张权利；为此“薛某某”将平安科技公司及北京CA的违规做法向工信部进行了投诉，但工信部又未能恰当处理，最终导致“薛某某”向法院提起行政诉讼，被法院判定工信部败诉。
北京市高级人民法院认定的事实中，北京CA以下做法违法了电子认证业务规则：
实务中，很多运营行为违背了这样的要求，一些CA机构将法律赋予的身份审核权，转移给业务合作方，在CA机构接到合作方向“特定主体”签发证书的指示，就直接签发证书，正是这种做法，使得“业务合作方”成为了实际意义上的“电子认证”提供者，而CA却成为了只管证书签发的“数字证书代工厂”，
二、北京CA将“薛某某”证书直接交付给平安科技公司
在接受到证书签发申请后，北京CA不但不去核实该特定主体是否真地提交了证书申请，而且还直接把数字证书交付给合作方而非证书所有人，这使得“业务合作方”实际上获得了以任何人的名义获得CA签发的“数字证书”，进而获得伪造任何人电子签名的能力。
除“（2021）京行终905号”之外，也还有更多的当事人，通过工信部的监督平台，向工信部反映电子合同SaaS平台擅自签发数字证书的遭遇事件…，这一系列现象直接表明，事件证书的滥用实际上已经是不争的事实。
——解决事件证书滥用问题的几项举措
事件证书作为CA公司一项市场化的证书业务创新，其发展中出现的问题应从CA行业入手进行解决，包括但不限于采取如下措施。
一、主观上充分认知“电子认证”服务的严肃性
“（2021）京行终905号”，北京CA签发事件证书表现出的不规范，对“电子认证”服务的严肃性认知不足是一个重要因素；
二、禁止使用“名义签名人”身份颁发事件证书
根据《电子签名法》三十四条的规定，“电子签名人是指持有电子签名制作数据并以本人身份或者以其所代表的人的名义实施电子签名的人”，因此，只有“持有证书私钥”的人才可能成为法律意义上的“电子签名人”，而在事件证书的场景中，无论是业务合作方的信息系统直接生成“私钥”或是由业务系统中特定设备生成“私钥”，“私钥”都不可能被“名义签名人”所持有，实际的电子签名人永远只能是业务合作方，因此事件证书颁发给业务合作方或者合作方的设备，才是正当之举，以名义签名人身份颁发证书不但涉嫌违规，而且也容易使用户产生混淆，给行业监管带来负担，更是给合作方的不当使用提供了机会。
三、为事件证书的核验提供专门OCSP证书状态列表
由于事件证书的有效周期短且数量大，同时，事件证书的主要功能在于数据的防篡改，与标准数字证书的抗抵赖性具有显著区别，因此将事件证书的公开证书状态列表，与标准数字证书状态列表进行区分具有一定的必要，如此，既能有效优化证书列表的总体查询性能，又能起到向用户明确告知事件证书属性的作用。
四、公开明示事件证书的功能是防篡改
事件证书在实务中被大量滥用的一个主要原因，就在于事件证书功能上的误导性，虽然一些CA机构在其发布的CPS中明确了事件证书的用途，但并非每一个证书使用者或电子签名依赖者都是行业专家，能够真正理解事件证书与标准数字证书的区别，为了避免事件证书被不当地使用于法律文件的电子签署及其他非防篡改应用场景，有必要在每一枚事件证书的扩展项中明确载明功能仅限于防篡改，并在各种事件证书的产品页面上对其功能的限制性加以说明，从而进一步杜绝事件证书的不当使用。
五、整顿滥用事件证书的业务合作场景
对于已经开展的事件证书业务，有必要按照实际的业务场景进行相应的梳理，对于符合事件证书功能需求的继续沿用，对于存在偷换概念将事件证书用于法律文件签署，有条件转换为使用标准数字证书的，应更改合作模式，不具备转换条件的，应停止事件证书的使用。