Chirograful

Originea

Din secolul al IX-lea și până la sfârșitul Evului Mediu, când două părți încheiau un contract — o vânzare de pământ, o arendă, o înțelegere între o mănăstire și un vecin —, scribul scria textul de două ori, sau de trei ori, pe aceeași foaie de pergament. Între copii scria, cu litere mari, cuvântul CHIROGRAPHUM, uneori CYROGRAPHUM, din grecescul „scris de mână”. Apoi tăia pergamentul prin mijlocul cuvântului, de obicei cu o linie ondulată sau zimțată, și dădea fiecărei părți câte o bucată. Dacă mai târziu una dintre părți pretindea că textul a fost altul, cele două bucăți erau puse una lângă alta. Tăietura trebuia să se potrivească perfect, iar jumătățile literelor să se îmbine. Un fals nu putea reproduce nici linia tăieturii, nici forma literelor tăiate. De la tăietura zimțată vine cuvântul englezesc indenture, care a însemnat „contract” timp de secole.

Chirograful rezolvă două lucruri deodată. Fiecare parte are propria copie completă și nu depinde de arhiva celeilalte, iar fiecare copie poartă dovada fizică a legăturii cu cealaltă. Nici copia, nici dovada nu puteau fi falsificate separat.

Trezoreria engleză a folosit, din jurul anului 1100 până în 1826, o variantă pentru bani, tally stick-ul. O bucată de lemn de alun pe care se crestau suma datorată, cu crestături de lățimi diferite pentru lire, șilingi și pence, și numele debitorului. Bățul era apoi despicat pe lungime, prin crestături. Jumătatea mai lungă, stock, rămânea la creditor, cea scurtă, foil, la debitor. La plată, cele două jumătăți se potriveau crestătură cu crestătură. Nimeni nu putea adăuga o crestătură pe o jumătate fără ca lipsa ei de pe cealaltă să fie evidentă. Sistemul a funcționat șapte secole. A fost abolit în 1826, iar în 1834 funcționarii au hotărât să ardă tonele de bețe vechi în cuptoarele Camerei Lorzilor. Focul a scăpat de sub control și a distrus Palatul Westminster. Chiar și dispariția tehnicii a fost o lecție despre cum nu se distruge un registru.

Surse: M. T. Clanchy, From Memory to Written Record (ed. a 3-a, 2013), pentru chirografe; The National Archives (UK), colecția de tally sticks ale Trezoreriei și relatarea incendiului din 1834; Caroline Shenton, The Day Parliament Burned Down (2012).

Principiul

Chirograful separă documentul de dovada integrității lui și le păstrează în locuri diferite, sub controlul unor părți diferite. Modificarea documentului fără modificarea dovezii devine detectabilă, iar modificarea amândurora cere acces la ambele părți.

Echivalentul modern este funcția hash, o „amprentă” scurtă, de exemplu 64 de caractere pentru SHA-256, calculată din conținutul unui fișier, astfel încât orice schimbare a unui singur bit produce o amprentă complet diferită. Dacă amprenta este publicată sau păstrată pe un canal separat de fișier, destinatarul poate verifica, exact ca notarul medieval, că jumătățile se potrivesc. Semnătura electronică adaugă al doilea element al chirografului, legătura cu identitatea celui care a semnat, și îl face verificabil fără să fie nevoie ca părțile să se întâlnească.

Important este ce nu face chirograful. Dovedește că acest text este cel convenit. Nu dovedește că textul convenit este cinstit. Integritatea nu este autenticitate și nu este bună-credință.

Amenințarea de azi

Cea mai frecventă fraudă împotriva firmelor românești nu este un atac tehnic sofisticat. Este o factură. Atacatorul, care a compromis căsuța de e-mail a unui furnizor sau doar a observat o conversație, trimite factura reală, cu PDF-ul modificat într-un singur loc, contul bancar. Contabilitatea plătește furnizorul cunoscut, pentru serviciul real, la suma corectă — în contul greșit. Documentul este perfect, cu antet, cu număr, cu semnătură scanată. Doar că nu se potrivește cu jumătatea pe care ar trebui s-o aibă destinatarul, IBAN-ul din contractul semnat sau de la plata precedentă.

La celălalt capăt al scalei, în decembrie 2020, s-a descoperit că atacatori de stat compromiseseră procesul de construire a software-ului SolarWinds Orion și inseraseră cod malițios într-o actualizare distribuită la aproximativ 18.000 de clienți, inclusiv agenții federale americane. Actualizarea era semnată digital, corect, de SolarWinds — chirograful se potrivea. Problema era că atacatorul modificase textul înainte ca scribul să-l copieze. Cazul arată limita tehnicii și de ce verificarea integrității trebuie să înceapă de la sursă (fișa 8, despre izolarea mediilor de construire), nu doar la destinatar.

Între cele două stau jurnalele de sistem modificate de atacator ca să-și șteargă urmele, contractele în Word trimise pe e-mail și „ajustate” de cealaltă parte, rapoartele de audit alterate după semnare.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Pentru facturi, orice IBAN nou sau schimbat se verifică pe un canal separat, prin telefon la numărul din contract, nu din e-mail, înainte de prima plată — jumătatea cealaltă a chirografului. Contabilitatea ține o listă tipărită a IBAN-urilor furnizorilor recurenți, actualizată doar după verificare.

Pentru documentele importante sunt două măsuri diferite, care nu se înlocuiesc una pe alta. Prima este semnătura: contractele se semnează cu semnătură electronică calificată, cu certificate de la un prestator de servicii de încredere calificat, la câteva zeci de euro pe an; ea leagă documentul de semnatar și are efectul semnăturii olografe. A doua este verificarea integrității unui fișier transmis: PDF-ul pleacă pe e-mail, iar amprenta lui SHA-256 pleacă separat, prin SMS sau WhatsApp, astfel încât destinatarul să poată verifica, înainte de a-l folosi, că a primit exact fișierul trimis. Amprenta nu spune cine l-a trimis și nu ține loc de semnătură; spune doar că fișierul nu a fost modificat pe drum. Pe Windows, comanda certutil -hashfile fisier.pdf SHA256 o calculează fără niciun program suplimentar; pe Mac și Linux, shasum -a 256 fisier.pdf.

Pentru software, instalările de programe se descarcă doar de la producător, iar pentru orice instrument de administrare se verifică amprenta publicată pe site-ul oficial înainte de instalare.

Firma de 500 de oameni

Semnătura electronică se integrează în fluxul de contracte și aprobări, cu verificarea automată a validității certificatelor. Jurnalele de securitate se trimit în timp real către un sistem separat (fișa 12), cu înlănțuire criptografică, în care fiecare înregistrare conține amprenta celei precedente, astfel încât ștergerea sau modificarea unei intrări rupe lanțul vizibil.

Pentru software-ul dezvoltat intern sau achiziționat se verifică semnăturile furnizorilor, se ține un inventar al componentelor (SBOM) și se verifică amprentele la fiecare instalare, exact punctul în care SolarWinds a eșuat la clienții săi. Controlul modificărilor înseamnă că nicio schimbare nu ajunge în producție fără o înregistrare separată a ce s-a schimbat, de către cine și cu ce aprobare.

Unde eșuează

Dacă amprenta circulă pe același canal cu fișierul, atacatorul care modifică fișierul modifică și hash-ul. Jumătățile chirografului trebuie să stea în mâini diferite. Integritatea nu este autenticitate — un fișier malițios are un hash perfect valid, iar amprenta spune doar „acesta este fișierul pe care l-a publicat sursa”, nu că sursa este de încredere. Când sursa este compromisă, ca la SolarWinds, ambele jumătăți sunt false și se potrivesc perfect.

Semnătura scanată nu este chirograf. O imagine a unei semnături lipită într-un PDF este, juridic, cel mult o semnătură electronică simplă: nu i se poate refuza orice efect juridic doar pentru că este electronică (art. 25 din Regulamentul eIDAS), dar nu oferă nimic din garanțiile semnăturii calificate — nu leagă documentul de semnatar și nu detectează modificările ulterioare. Chirograful cere tocmai legătura fizică sau criptografică dintre document și dovadă; imaginea nu o are. Iar dovezile de integritate trebuie păstrate cât timp contează documentul și distruse cu grijă după aceea — Westminster a ars din cauza unui registru aruncat în cuptor.

Cadrul legal

Art. 32 alin. (1) lit. (b) GDPR cere capacitatea de a asigura integritatea sistemelor și serviciilor de prelucrare, iar art. 5 alin. (1) lit. (f) o numește printre principiile prelucrării. Art. 21 alin. (2) lit. (d) și (e) din Directiva NIS2 cer securitatea lanțului de aprovizionare și a achiziției, dezvoltării și întreținerii sistemelor, iar verificarea integrității actualizărilor este măsura minimă. Regulamentul eIDAS (UE) nr. 910/2014 stabilește că semnătura electronică calificată are efectul juridic al semnăturii olografe în toată Uniunea. În ISO/IEC 27001:2022, controalele A.8.24 (criptografie), A.5.19–A.5.21 (securitatea relațiilor cu furnizorii), A.8.32 (gestionarea schimbărilor) și A.8.15 (jurnalizare) se sprijină toate pe această tehnică.