«امضای الکترونیکی، عبارت از هر نوع علامت منضم شده یا به نحو منطقی متصل شده به داده پیام است که برای شناسایی امضاء کننده داده پیام مورد استفاده قرار می گیرد». بنابراین از نظر این قانون، امضای الکترونیکی دارای ویژگی های زیر است:

۲-۷-۲- ویژگی های امضای الکترونیکی

امضای الکترونیکی یک علامت است. ایرادی که بر این تعریف وارد است، آن است که واژه علامت، مفهومی مطلق است ومعرف ماهیت الکترونیکی امضاء نیست، در حالی که هر نوع علامتی با هر ماهیتی نمی‌تواند یک امضای الکترونیکی محسوب شود بلکه امضای الکترونیکی به هر شکلی که باشد، دارای ماهیت الکترونیکی است؛ همچنین واژه «علامت»، دلالت بر ویژگی دیداری دارد، در حالی که با توجه به پیشرفت روز افزون فناوری های الکترونیکی، سایر فرایند های الکترونیکی از جمله صدا نیز می‌تواند به عنوان امضاء تلقی شود به همین جهت، عبارت «داده الکترونیکی» یا «داده ای در شکل الکترونیکی» یا «داده» می‌تواند جایگزین مناسبی برای این واژه باشد. این واژگان به دلیل عام بودن می‌توانند فناوری هایی را که در آینده به وجود می آیند شامل شوند (عبداللهی، ۱۳۹۱، ص۳۴).
امضای الکترونیکی به داده پیام منضم شده یا به نحو منطقی به آن متصل شده است.
مفهوم «انضمام»، در محیط الکترونیکی متفاوت از مفهوم سنتی آن است، امضای دستی معمولاً قسمت مادی از سند را تشکیل می‌دهد و در هنگام مبادله، اسناد روی آن می‌ماند و جزئی از آن می‌شود اما امضای الکترونیکی لزوماً چنین نیست. ممکن است با وجود آنکه امضای الکترونیکی، قابلیت نگهداری به صورت جداگانه را دارد از طریق پایگاه داده‌ها، نمایه ها یا سایر وسایل منطقاً مرتبط با سند شود یا متن داده پیام و امضاء به نحوی در یک پوشه قرار گیرند که رایانه همه آنها را به عنوان یک سند واحد تلقی کند در این صورت نیز می‌توان گفت که امضای الکترونیکی منطقاً به سایر داده‌ها متصل شده است.
به عبارت دیگر، در اسناد کاغذی، امضاء و محتوای سند در یک قالب واحد، قرار دارند؛ در نتیجه، ماهیت مادی کاغذ، تمامیت سند را تضمین می‌کند، اما در اسناد الکترونیکی، رابطه محتوای سند و امضا، به صورت نرم‌افزاری تأمین می‌شود.
قانونگذار، اتصال منطقی امضاء به داده پیام را شرط دانسته است. منطقی بودن اتصال که در حقیقت همان «معقول بودن» است، با توجه به معیار «معقول»، مندرج در بند «ن» ماده ۲ قانون تجارت الکترونیک سنجیده می‌شود. بر اساس این بند، متصل بودن امضاء به داده پیام «با توجه به اوضاع و احوال مبادله داده پیام از جمله طبیعت مبادله، مهارت وموقعیت طرفین، حجم مبادلات طرفین در موارد مشابه، در دسترس بودن گزینه های پیشنهادی و رد آن گزینه‌ها از جانب هر یک از طرفین، هزینه گزینه‌های پیشنهادی، عرف و روش‌های معمول و مورد استفاده در این نوع مبادلات ارزیابی می‌شود». بنابراین در یک معامله کم بها استفاده از یک امضای بسیار ساده مثل تایپ نام شخص در زیر سند می‌تواند این شرط را تحقق بخشد اما در یک معامله پر بها، از آنجا که چنین امضایی به راحتی قابل جعل است منطقاً متصل به داده پیام محسوب نمی‌شود و به همین جهت چنین امضایی در چنین سندی اصولاً مشمول تعریف امضای الکترونیکی نمی باشد. بنابراین، «امضای الکترونیکی»، مفهومی نسبی است و یک شیوه خاص امضاء در صورتی که به یک سند ضمیمه شود، ممکن است امضاء تلقی شود اما در سند دیگر، با توجه به اوضاع و احوال خاص آن، امضاء محسوب نشود (عبداللهی، ۱۳۹۱، ص۳۵).
۱- امضای الکترونیکی برای شناسایی امضاء کننده داده پیام، مورد استفاده قرار می گیرد. ایراد این تعریف، آن است که شناسایی امضاء کننده داده پیام، فقط یکی از کارکردهای امضاست در حالی که امضاء دارای کارکردهای دیگری از جمله اعلام اراده صادر کننده سند و تصدیق اطلاعات مندرج در سند نیز دارد. از طرفی این تعریف، دارای دور است زیرا در مقام تعریف مفهوم «امضا» از واژه «امضاء کننده» استفاده کرده است به همین جهت، واژه «صادر کننده سند» یا «صادر کننده داده پیام» می‌تواند جایگزین بهتری برای آن باشد (عبداللهی، ۱۳۹۱، ص۳۵ ).

۲-۷-۳- انواع امضای الکترونیکی

امضای الکترونیکی، بر اساس فناوری و سطح ایمنی به کار رفته در آنِ، انواع مختلفی دارد. ارزش اثباتی امضای الکترونیکی، به سطح ایمنی ناشی از این فناوری و کارایی آن در تأمین عناصر اعتبار سند مانند انتساب سند به صادر کننده، تشخیص هویت او و تمامیت سند بستگی دارد. به همین جهت بررسی انواع امضای الکترونیکی از نظر فنی اهمیت بسزایی دارد.
امضای الکترونیکی را می‌توان با توجه به فناوری به کار رفته در آن، به سه نوع امضای الکترونیکی ساده، امضای زیست سنجی و امضای مبتنی بر رمز گذاری تقسیم کرد که در زیر با آنها آشنا می‌شویم (عبداللهی، ۱۳۹۱، ص ۳۶)
.

۲-۷-۳-۱- امضای الکترونیکی ساده

این امضا، از فناوری پیچیده ای بهره نمی برد، تایپ نام شخص، در زیر سند یا یک گذر واژه یا یک شماره شناسایی شخصی^[۱۰] که در کارت های هوشمند مثل کارت خودپرداز بانک کاربرد دارد، می‌تواند نوعی امضای الکترونیکی باشد. حتی در برخی قراردادهای الکترونیکی، به نام قراردادهای شرینک- رپ یا کلیک – رپ، انتخاب گزینه «موافق هستم» دلالت بر اعلام رضایت به قرارداد و تصدیق مندرجات آن دارد (عبداللهی، ۱۳۹۱، ص۳۶).
مصداق دیگرامضای الکترونیکی، تصویر امضای دستی است که به وسیله دستگاه تصویرگر تهیه و به رایانه منتقل می‌شود و شخص از آن تصویر که به صورت داده پیام در آمده است به عنوان امضاء استفاده می‌کند (عبداللهی، ۱۳۹۱، ص۳۷).
امضای ساده، نمی‌تواند کارکردهای امضاء را تأمین کند زیرا اگر چه گذر واژه و شماره شناسایی شخصی به صورت محرمانه نگهداری می شوند اما امکان فاش شدن آنها و یا کشف آنها توسط یک لغت نامه رایانه‌ای وجود دارد.
تصویر امضای دستی نیز ایمن نیست زیرا به راحتی ممکن است نسخه برداری شده یا از سند اصلی جدا شده و ضمیمه سند دیگری شود بنابراین نمی‌تواند انتساب سند به صادر کننده را ثابت کند.
سندی که با امضای ساده امضاء شده باشد به راحتی قابل تغییر است و این امضاء نمی‌تواند تمامیت سند را تضمین کند (عبداللهی، ۱۳۹۱، ص۳۷).

۲-۷-۳-۲- امضای زیست سنجی

امضای زیست سنجی، از ویژگی های جسمی کاربر مانند اثر انگشت، شکل کف دست، شبکیه و عنبیه چشم و یا ویژگی های رفتاری او مانند امضای دستی و صدا برای شناسایی هویت شخص استفاده می‌کند و از آنجا که با ویژگی های ذاتی و شخصیتی امضاء کننده در ارتباط است به امضای سنتی شباهت دارد.
ابزار زیست سنجی، ابتدا با سرویس ضبط امضا، داده‌های زیست سنجی افراد را دریافت و تبدیل به داده‌های عددی منحصر به فردی می‌کنند این فرایند را «رقمی سازی» می‌گویند سپس نتایج در پایگاه داده ویژه‌ای ذخیره می‌شوند تا برای تطبیق مورد استفاده قرار گیرند.
امضاهایی که مبتنی بر فرایند های زیست سنجی هستند از ویژگی های مختلفی بهره می‌گیرند که مهمترین آنها را بررسی می‌نماییم.
اثر انگشت یا شکل کف دست، حالت منحصر به فردی دارد که می‌توان از آن برای تشخیص هویت استفاده کرد. در این روش، شخص انگشت یا کف دست خود را بر روی دستگاه تصویرگر مخصوصی می گذارد و دستگاه تصویری از آن تهیه می‌کند سپس با بهره گرفتن از نرم‌افزارهای خاصی، این داده‌ها رقمی شده و تبدیل به داده یگانه ای می شوند که از آن برای تشخیص هویت فرد استفاده می‌شود.
الگوی رگ ها، عرض و پراکندگی رگ های شبکیه و عنبیه چشم نیز شکلی منحصر به فرد دارد که برای ایفای نقش امضای الکترونیکی مناسب است. احتمال تشابه کدهای حاصل از ارزیابی عنبیه چشم ۱ به ۱۲۰۰۰۰۰ است و بنابراین می‌تواند اطمینان قابل توجهی را برای تشخیص هویت صادر کننده امضاء فراهم کند.
با ارزیابی صدای شخص و فرنکانس های آن نیز می‌توان امضای الکترونیکی تولید کرد. در این فرایند، شکل موج صدای شخص که ناشی از شکل دهان و حفره های بینی است از طریق صحبت کردن آرام یا بلند در میکروفون ارزیابی می‌شود، معمولاً از شخص خواسته می‌شود تا با فرکانس های بالا و پایین صحبت کند تا امکان جعل آن به حداقل برسد.
نرمه گوش، میزان نمک در بدن، بوی بدن و دی ان ای از دیگر مواردی هستند که در تولید امضاهای زیست سنجی مورد استفاده قرار می‌گیرند.
طریقه دیگر پویایی شناسی امضای دستی است که روش رایج برای آن استفاده از نرم‌افزار «پن اوپ» است که از دو نوع سرویس برای ایمن سازی داده‌ها استفاده می‌کند.
۱- سرویس ضبط امضاء: نرم‌افزار ابتدا مشخصات هویت شخص و نیز شناسه و نام کاربری را دریافت می‌کند سپس به کاربر فرمان می‌دهد با بهره گرفتن از قلم نوری امضای خود را روی پنجره ای در صفحه رایانه بنویسد، تصویر امضاء روی صفحه ظاهر می‌شود و کاربر همزمان می‌تواند امضای خود را روی صفحه رایانه ببیند.
در این مرحله سرویس امضاء برخی از ویژگی های نگارش امضاء مانند اندازه، شکل، حلقه ها، خطوط و سرعت نگارش امضاء را بررسی می‌کند و با فشردن دکمه تأیید، سرویس امضاء داده‌ها را محاسبه می‌کند و آنرا به علائم دیجیتالی تبدیل می‌کند. این علائم، در یک واسط بادوام مثل یک کارت هوشمند یا پایگاه داده ذخیره می شوند تا در آینده برای تصدیق هویت مورد استفاده قرار گیرند.(عبداللهی، ۱۳۹۱، ص ۳۸).
۲- سرویس تأیید امضا: این سرویس، نرم‌افزاری است که برای تصدیق صحت امضاء و تشخیص درصد مطابقت آن با نمونه اصلی به کار می‌رود. در صورتی که ادعای انتساب امضاء به شخصی که سابقاً امضای او توسط سرویس ضبط امضاء اخذ شده است وجود داشته باشد، سرویس تأیید امضاء این علائم را ارزیابی کرده و آن را با علائم دیجیتالی که سابقاً ذخیره شده‌اند مقایسه می‌کند و درصد مطابقت آن با نمونه اصلی را نشان می‌دهد، در صورت مطابقت هر دو نمونه امضاء با یکدیگر، داده مذکور به عنوان امضای الکترونیکی تأیید می‌شود.
مزیت استفاده از امضای زیست سنجی آن است که ویژگی های ذاتی و رفتاری شخص نمی‌توانند سرقت شوند یا مورد سوء استفاده اشخاص غیر مجاز قرار گیرند، از طرفی همیشه همراه کاربر هستند و مشکل نگهداری سری کلید خصوصی در مورد آنها وجود ندارد.
اما ایراد این نوع امضاء آن است که دریافت کننده سند امضاء شده برای تشخیص صحت امضاء باید از پیش علائم دیجیتالی ارسال کننده را در اختیار داشته باشد از طرفی روش مذکور کاملاً ایمن نیست زیرا داده‌های زیستی اشخاص در اثر کبرسن، بیماری و دیگر عوامل تغییر می‌کند و احتمال بروز خطا وجود دارد. گاه هویت کاربر غیر مجاز تأیید می‌شود و به عکس کاربر مجاز رد می‌شود؛ اما در پی تلاشهای متخصصان، در حال حاضر برخی نرم‌افزارها با ۹۸ درصد صحت، قادر به تشخیص هویت کاربر می باشند که درصد ایمنی آنها بیش از امضای دستی است (عبداللهی، ۱۳۹۱، ص ۳۹).

۲-۷-۳-۳- امضای مبتنی بر رمزنگاری و انواع آن

یکی از انواع امضاهای الکترونیکی، امضای مبتنی بر رمزنگاری است که از فناوری ایمن تری بهره می گیرد، در این نوع امضاء متن با بهره گرفتن از کلید رمز، به یک متن ناخوانا تبدیل می‌شود و به این طریق محرمانگی آن تضمین می‌شود.
فرایند رمز گذاری دارای دو مرحله است؛ مرحله اول رمز سازی است که در آن یک متن ساده و عادی به یک متن رمزی تبدیل می‌شود. این متن اگر در دسترس همگان هم قرار گیرد غیر قابل فهم است. مرحله دوم رمز گشایی است یعنی تبدیل متن رمز شده به یک متن عادی که قابل فهم باشد. رمز نگاری به سه شیوه صورت می گیرد. (عبداللهی، ۱۳۹۱، ص۴۰).

۲-۷-۳-۳-۱- رمز نگاری یکطرفه

در این روش رمز نگاری و رمز گشایی هر دو از جانب یک طرف انجام می‌شود و امکان رمز گشایی از جانب شخص دیگر وجود ندارد به همین جهت چندان مورد استفاده قرار نمی گیرد. نمونه ای از این نوع امضا، استفاده از گذر واژه در کارت خود پرداز بانک می باشد (عبداللهی، ۱۳۹۱، ص۴۰).

۲-۷-۳-۳-۲- رمز نگاری متقارن

در این روش برای امضاء و رمز گشایی پیام از کلید واحدی استفاده می‌شود، ارسال کننده پیام، آن را با یک رمز امضاء می‌کند، این رمز می‌تواند از کاراکترهایی مثل حروف یا اعداد تشکیل شود این عمل موجب مخفی شدن یا ناخوانا شدن پیام می‌شود، آنگاه دریافت کننده آن را با بهره گرفتن از همان کلید رمز گشایی می‌کند و پیام را به شکل اصلی بر می گرداند و از آنجا که فقط طرفین مبادله از کلید مشترک مطلع هستند فقط آنها قادر به رمز گشایی پیام هستند. طرفین باید از پیش در مورد کلید رمز به صورت محرمانه توافق کنند و آن را مبادله کنند که ممکن است کلید در این جریان فاش شود.
برای تأمین امنیت این روش باید برای هر مبادله یک کلید رمز ایجاد کرد. این روش نمی‌تواند انتساب سند به صادر کننده و تمامیت سند را تضمین کند زیرا کلید در اختیار هر دو طرف است و گیرنده پیام خود نیز می‌تواند آن را تولید کند.
رایج ترین الگوریتم مورد استفاده در رمزنگاری متقارن تا سال ۲۰۰۰، DES بود که از کلید رمزی به طول ۵۶ بیت استفاده می کرد، با توجه به طول کم کلید گاهی از الگوریتم دیگری به نام (DES) سه گانه استفاده می‌شود که طول کلید آن ۱۱۲ بیت است و امکان شکستن آن کمتر است.
در حال حاضر، استاندارد جدیدی تحت عنوان استاندارد پیشرفته رمزنگاری (AES)، جای آنها را گرفته است (عبداللهی، ۱۳۹۱، ص۴۱).

۲-۷-۳-۳-۳- رمز نگاری نامتقارن

در این روش از یک جفت کلید که کلید عمومی و کلید خصوصی نامیده می شوند برای فرایند رمز نگاری استفاده می‌شود. در این روش، هر یک از طرفین دارای کلید عمومی و خصوصی است. کلید عمومی، از طریق مرکز صدور گواهی الکترونیکی، برای اطلاع اشخاص، در دسترس عمومی است و کلید خصوصی سری است و به دارنده آن اختصاص دارد، این کلید ها از نظر ریاضی کاملاً به هم مرتبط هستند، یعنی کلید عمومی تنها توانایی گشودن اسنادی را دارد که با کلید خصوصی رمز شده‌اند و کلید خصوصی نیز به همین ترتیب توانایی گشودن اسنادی را دارد که با کلید عمومی رمز شده‌اند اما نمی‌توان به واسطه کلید عمومی به کلید خصوصی دست یافت (عبداللهی، ۱۳۹۱، ص۴۱).
اگر شخص الف بخواهد یک پیام محرمانه را به شخص ب ارسال کند، با بهره گرفتن از کلید عمومی وی پیام را رمز کرده و آن را ارسال می‌کند، در این صورت فقط شخص ب که کلید خصوصی خود را در اختیار دارد می‌تواند پیام را رمز گشایی کند. بنابراین، می‌تواند از محرمانگی پیام اطمینان حاصل کند (عبداللهی، ۱۳۹۱، ص۴۱).
برای اطمینان از هویت صادر کننده داده پیام، ارسال کننده می‌تواند پیام را ابتدا با بهره گرفتن از کلید خصوصی خود و سپس با کلید عمومی دریافت کننده رمز نگاری کند، دریافت کننده نیز پس از دریافت پیام، ابتدا با بهره گرفتن از کلید عمومی ارسال کننده و سپس با بهره گرفتن از کلید خصوصی خود، رمز گشایی می‌کند. اگر کلید عمومی ارسال کننده قادر به رمز گشایی سند باشد، با توجه به سری بودن کلید، دریافت کننده می‌تواند اطمینان حاصل کند که پیام از طرف شخص مذکور ارسال شده است. این فرایند بسیار وقت گیر است و به همین جهت کمتر مورد استفاده واقع می‌شود (عبداللهی، ۱۳۹۱، ص۴۲).
معروفترین الگوریتمی که در این طریقه کاربرد دارد، PSA نام دارد، این روش عملکرد صحیح و دقیقی در اعتبار سنجی اسناد رمزنگاری شده دارد. سرعت رمز نگاری نامتقارن پایین تر از رمز نگاری متقارن است تا جایی که رمز نگاری سخت افزار با بهره گرفتن از DES حدود هزار تا ده هزار برابر سریعتر از رمزنگاری با الگوریتم PSA است اما با توجه به آنکه طول کلید در آن زیاد است و گاه تا ۱۰۲۴ بیت می رسد شکستن آن دشوار است و امنیت مطلوبی را فراهم می‌کند اما باز هم نمی‌تواند تمامیت سند را تضمین کند، زیرا دریافت کننده سند، می‌تواند پس از رمز گشایی سند آن را تغییر دهد؛ ضمن آنکه در صورتی که طرفین از پیش با یکدیگر آشنایی نداشته باشند، این امضاء نمی‌تواند هویت صادر کننده سند را تضمین کند زیرا اگر چه انتساب سند به صادر کننده با توجه به رابطه کلید عمومی و خصوصی محرز است اما در اینکه آیا هویت امضاء کننده واقعاً همان است که ادعا می‌کند یا خیر، تردید وجود دارد (عبداللهی، ۱۳۹۱، ص۴۳).

۲-۷-۴- امضای دیجیتال

امضای دیجیتال پیشرفته ترین و پرکارترین نوع از امضاء های الکترونیک است و به دلیل امنیت بالای آن جایگزین سایر روش های موجود شده است و بیشتر قانونگذاران از جمله قانونگذار تجارت الکترونیک ایران این شیوه از امضاء را پذیرفته اند. امضای دیجیتال مبتنی بر علم رمز نگاری است و از دو نوع الگوریتم به نامهای «کلید عمومی» و «کلید خصوصی» استفاده می‌کند (زرکلام، ۱۳۸۲)

۲-۷-۴-۱- فن آوری و زیر ساخت امضای دیجیتال

همان طور که گفته شد امضای دیجیتال از طریق علم رمز نگاری ایجاد می‌شود و در واقع یک فرایند رمز نگاری است و از یک جفت کلید تحت عناوین کلید خصوصی و کلید عمومی تشکیل می‌شود، بنابراین لازم است با این اصطلاحات تا حدودی آشنا شویم.

۲-۷-۴-۲- رمز نگاری