دفتر ثبت‌نام (RA) و دفتر صدور گواهی (CA) در امضای دیجیتال چه تفاوتی دارند؟

فرض کنید مشتری یک پلتفرم مالی قرارداد تسهیلات را بدون مراجعه حضوری با امضای دیجیتال امضا می‌کند. برای شکل‌گیری این فرایند، صرف ایجاد یک امضای رمزنگاری‌شده کافی نیست. باید مشخص باشد هویت امضاکننده چگونه بررسی شده، کلید عمومی موجود در گواهی به چه کسی تعلق دارد و چه نهادی این گواهی را صادر کرده است.

پاسخ این پرسش‌ها به زیرساخت کلید عمومی یا PKI و بازیگران مختلف آن مربوط می‌شود. دو نقش مهم در این ساختار RA یا دفتر ثبت‌نام و CA دفتر صدور گواهی هستند.

به‌طور خلاصه، RA یا Registration Authority درخواست متقاضی، هویت و اطلاعات موردنیاز او را بررسی و تأیید می‌کند، اما گواهی را صادر نمی‌کند. CA یا Certification Authority مرجع صدور گواهی است و پس از دریافت یک درخواست معتبر، گواهی دیجیتال را صادر و امضا می‌کند.

در ساختار صدور گواهی الکترونیکی ایران نیز این نقش‌ها در قالب دفتر ثبت‌نام، مرکز میانی و مرکز ریشه تعریف شده‌اند. در ادامه، تفاوت RA و CA و جایگاه هر یک را در فرایند دریافت گواهی دیجیتال بررسی می‌کنیم.

گواهی دیجیتال چه مسئله‌ای را حل می‌کند؟

امضای دیجیتال بر رمزنگاری نامتقارن و استفاده از یک زوج کلید شامل کلید خصوصی و کلید عمومی متکی است. کلید خصوصی برای ایجاد امضا استفاده می‌شود و کلید عمومی امکان بررسی آن را فراهم می‌کند.

بااین‌حال کلید عمومی به‌تنهایی مشخص نمی‌کند متعلق به چه شخص یا موجودیتی است. گواهی دیجیتال برای ایجاد همین ارتباط استفاده می‌شود و یک کلید عمومی را به هویت یا مشخصات دارنده آن منتسب می‌کند.

به‌همین دلیل، گواهی دیجیتال و امضای دیجیتال یک مفهوم نیستند. گواهی، هویت یا مشخصات دارنده را به کلید عمومی مرتبط می‌کند، درحالی‌که امضای دیجیتال با استفاده از کلید خصوصی روی یک سند یا داده مشخص ایجاد می‌شود. برای آشنایی دقیق‌تر با این تفاوت می‌توانید مطلب تفاوت امضای دیجیتال و امضای الکترونیکی را نیز بخوانید.

در فرایند صدور گواهی است که RA و CA نقش پیدا می‌کنند: RA اطلاعات و درخواست متقاضی را بررسی می‌کند و CA گواهی را صادر می‌کند.

دفتر ثبت‌نام یا RA چیست؟

RA مخفف Registration Authority و به‌معنای مرجع ثبت‌نام یا دفتر ثبت‌نام است. در ساختار صدور گواهی الکترونیکی ایران، نزدیک‌ترین معادل این مفهوم دفتر ثبت‌نام گواهی الکترونیکی است.

RA نقطه‌ای از فرایند است که درخواست متقاضی در آن دریافت و اطلاعات موردنیاز پیش از صدور گواهی بررسی می‌شود.

وظایف RA بسته به نوع گواهی و سیاست‌های مرکز صادرکننده می‌تواند متفاوت باشد، اما معمولاً شامل این موارد است:

• دریافت درخواست صدور گواهی
• احراز هویت متقاضی
• بررسی و تصدیق اطلاعات و مدارک موردنیاز
• بررسی اطلاعات درج‌شده در درخواست
• بررسی سمت، نمایندگی یا ارتباط سازمانی متقاضی در صورت نیاز
• تأیید یا رد درخواست براساس ضوابط تعیین‌شده
• ارسال درخواست تأییدشده برای CA یا مرکز میانی مربوط

بنابراین وظیفه RA یا دفتر ثبت‌نام فقط دریافت یک فرم یا انتقال درخواست نیست. اطلاعاتی که در این مرحله بررسی و تأیید می‌شوند، مبنای صدور گواهی قرار می‌گیرند.

برای مثال، در گواهی امضای حقیقی مستقل احراز هویت خود فرد محور اصلی فرایند است. اما اگر گواهی به یک سمت یا سازمان وابسته باشد، ممکن است لازم باشد رابطه فرد با آن سازمان، سمت یا اختیار او نیز بررسی شود.

در برخی فرایندها، بخشی از بررسی هویت متقاضی می‌تواند با استفاده از روش‌های احراز هویت بایومتریک انجام شود.

نکته مهم این است که RA خود گواهی کاربر نهایی را صادر یا امضا نمی‌کند. صدور و امضای گواهی بر عهده CA صادرکننده است.

دفتر صدور گواهی یا CA چیست؟

CA مخفف Certification Authority یا Certificate Authority و به‌معنای مرجع صدور گواهی یا دفتر صدور گواهی است. وظیفه اصلی این نهاد صدور و مدیریت گواهی‌های دیجیتال براساس سیاست‌ها و ضوابط تعیین‌شده است.

پس از آنکه مراحل لازم برای بررسی درخواست طی شد و یک درخواست معتبر در اختیار CA قرار گرفت، CA گواهی حاوی اطلاعات دارنده و کلید عمومی او را صادر می‌کند و آن را با کلید خصوصی خود امضا می‌کند.

این امضا امکان بررسی اصالت گواهی را فراهم می‌کند؛ یعنی سامانه‌های اعتبارسنجی می‌توانند بررسی کنند که گواهی توسط همان CA صادر شده و اطلاعات آن پس از صدور تغییر نکرده است.

البته CA یک عنوان عمومی در معماری PKI است و الزاماً به یک سطح مشخص از زیرساخت محدود نمی‌شود. برای مثال، هم Root CA و هم Intermediate CA نوعی CA محسوب می‌شوند.

در فرایند صدور گواهی برای کاربران نهایی، معمولاً یک CA صادرکننده یا مرکز میانی وظیفه صدور گواهی را بر عهده دارد.

تفاوت دفتر ثبت‌نام و دفتر صدور گواهی امضای دیجیتال چیست؟

مهم‌ترین تفاوت RA و CA در این است که RA درخواست، هویت و اطلاعات متقاضی را بررسی می‌کند، درحالی‌که CA گواهی را صادر می‌کند.

دفتر ثبت‌نام امضای دیجیتال معمولاً ارتباط مستقیم‌تری با متقاضی دارد. اطلاعات و مدارک لازم در این مرحله دریافت و بررسی می‌شوند و در صورت تأیید، درخواست معتبر برای دفتر صدور گواهی امضای دیجیتال ارسال می‌شود.

CA در مرحله بعد، درخواست معتبر را براساس سیاست‌های صدور بررسی می‌کند و در صورت احراز شرایط، گواهی را ایجاد و امضا می‌کند.

این جدول به‌صورت خلاصه نقش CA و RA را نشان می‌دهد:

موضوع	RA	CA
دریافت درخواست متقاضی	بله	معمولاً درخواست تأییدشده را دریافت می‌کند
احراز هویت و بررسی اطلاعات متقاضی	وظیفه اصلی	می‌تواند براساس سیاست صدور کنترل‌های تکمیلی انجام دهد
بررسی مدارک و اطلاعات	بله	در چارچوب کنترل‌های صدور
تأیید درخواست پیش از ارسال برای صدور	بله	درخواست معتبر را براساس سیاست صدور بررسی می‌کند
صدور گواهی	خیر	بله
امضای گواهی	خیر	بله
مدیریت گواهی صادرشده	محدود و براساس فرایند تعریف‌شده	بله

درنتیجه، استفاده از RA و CA به‌عنوان دو اصطلاح مترادف دقیق نیست. این دو بخش مکمل یکدیگرند، اما مسئولیت‌های متفاوتی در فرایند صدور گواهی دارند.

دفتر ثبت‌نام و دفتر صدور گواهی امضای دیجیتال در ایران چه جایگاهی دارند؟

براساس آیین‌نامه اجرایی ماده ۳۲ قانون تجارت الکترونیکی، سه سطح اصلی در ساختار ارائه خدمات گواهی الکترونیکی ایران تعریف شده است:

• مرکز ریشه
• مراکز میانی
• دفاتر ثبت‌نام

دفتر ثبت‌نام همان نقشی را بر عهده دارد که در ادبیات PKI با عنوان RA شناخته می‌شود. متقاضی از طریق این بخش درخواست خود را ثبت می‌کند و هویت و اطلاعات موردنیاز او بررسی می‌شود.

مرکز میانی یک CA است که در حوزه مجاز خود گواهی کاربران نهایی را صادر می‌کند. درخواست‌های تأییدشده از طریق دفاتر ثبت‌نام به مرکز میانی منتقل می‌شوند و در صورت احراز شرایط، گواهی توسط این مرکز صادر می‌شود.

مرکز ریشه یا Root CA در بالاترین سطح این ساختار قرار دارد و نقش آن با RA یا مرکز میانی متفاوت است. این مرکز در سطح بالادستی زنجیره اعتماد قرار می‌گیرد و گواهی مراکز میانی در چارچوب این ساختار اعتبار پیدا می‌کند.

بنابراین در ساختار ایران می‌توان این تطبیق را در نظر گرفت:

• دفتر ثبت‌نام: RA
• مرکز میانی: Intermediate CA و در صورت صدور گواهی کاربر نهایی، Issuing CA
• مرکز ریشه: Root CA

CA یک مفهوم عمومی است؛ بنابراین هم مرکز ریشه و هم مرکز میانی از نظر معماری PKI نوعی CA محسوب می‌شوند. تفاوت آن‌ها در سطح و مسئولیتشان در زنجیره صدور و اعتماد است.

فرایند دریافت گواهی از RA تا CA چگونه است؟

فرایند دریافت گواهی از منظر متقاضی معمولاً از RA آغاز می‌شود:

• ثبت درخواست: متقاضی درخواست دریافت گواهی را ثبت می‌کند و اطلاعات و مدارک لازم را در اختیار RA قرار می‌دهد.
• احراز هویت و بررسی اطلاعات: RA هویت متقاضی و اطلاعات ارائه‌شده را براساس نوع گواهی و ضوابط مربوط بررسی می‌کند. در برخی انواع گواهی، بررسی هویت فرد محور اصلی فرایند است. در برخی دیگر ممکن است سمت، نمایندگی یا ارتباط متقاضی با یک سازمان نیز بررسی شود.
• تأیید درخواست: اگر اطلاعات و مدارک با الزامات تعیین‌شده مطابقت داشته باشند، RA درخواست را تأیید و برای CA صادرکننده ارسال می‌کند.
• صدور گواهی: CA درخواست معتبر را دریافت می‌کند و در صورت احراز شرایط لازم، گواهی دیجیتال را صادر می‌کند. این گواهی شامل اطلاعات مربوط به دارنده و کلید عمومی او است و توسط CA امضا می‌شود.

در ساده‌ترین حالت، مسیر عملیاتی دریافت گواهی را می‌توان به این شکل نمایش داد:

RA در این فرایند مسئول بررسی و تأیید اطلاعات پیش از صدور است و CA مسئول ایجاد و صدور خود گواهی.

جیبیت به‌عنوان RA چه نقشی دارد؟

جیبیت در همکاری با فناوران اعتماد راهبر (فنار) به‌عنوان RA یا دفتر ثبت‌نام در فرایند ارائه خدمات امضای دیجیتال فعالیت می‌کند.

در این ساختار، فرایند ثبت درخواست، احراز هویت و بررسی اطلاعات موردنیاز برای دریافت گواهی از طریق راهکار جیبیت انجام می‌شود و پس از تأیید اطلاعات، درخواست معتبر در اختیار مرکز میانی مربوط قرار می‌گیرد تا گواهی دیجیتال صادر شود.

درنتیجه، نقش‌ها در این فرایند از یکدیگر تفکیک شده‌اند:

• جیبیت در نقش RA، ثبت درخواست، احراز هویت و بررسی اطلاعات موردنیاز را انجام می‌دهد؛
• مرکز میانی، گواهی دیجیتال را براساس درخواست تأییدشده صادر و مدیریت می‌کند.

در سرویس امضای دیجیتال جیبیت، این مراحل در کنار فرایند امضای اسناد در یک مسیر یکپارچه در اختیار کسب‌وکار قرار می‌گیرند. کسب‌وکارها می‌توانند متناسب با فرایندهای خود، احراز هویت کاربران، دریافت گواهی و امضای اسناد را به‌صورت آنلاین مدیریت کنند.

این سرویس می‌تواند در سناریوهای مختلفی مانند قراردادهای مالی، منابع انسانی، بیمه، کارگزاری و سایر فرایندهایی که نیازمند امضای معتبر و غیرحضوری هستند مورد استفاده قرار بگیرد. برای آشنایی بیشتر با این سناریوها می‌توانید مطلب کاربردهای امضای دیجیتال برای کسب‌وکارها را بخوانید.

برای بررسی قابلیت‌ها، انواع گواهی، روش‌های پیاده‌سازی و جزئیات سرویس، امضای دیجیتال جیبیت را ببینیند.