Podpis gov i certyfikat z e-dowodu: jak to działa i pobrać oprogramowanie

Oprogramowanie do pobrania menedżer i podpis elektroniczny

E-dowód towarzyszy Ci już od jakiegoś czasu, a mimo to jego elektroniczna warstwa wciąż pozostaje tajemnicą. Wbudowany chip NFC skrywa dwa niezależne narzędzia: podpis osobisty oraz mechanizm logowania do administracyjnych e-usług. Do pełnego wykorzystania obu funkcji potrzebujesz dwóch odrębnych programów, nie jednego.

• Oprogramowanie do pobrania menedżer i podpis elektroniczny
• Wymagania techniczne i czytnik NFC
• Najczęstsze problemy z podpisem i certyfikatem

Menedżer e-dowodu pełni rolę aktywatora. Bez niego przeglądarka nie rozpozna karty w czytniku i nie nawiąże bezpiecznego kanału komunikacji z certyfikatem. Podpis elektroniczny działa jak oddzielna aplikacja do składania podpisu na dokumentach PDF i XML. Łączy je wspólny mianownik moduł kryptograficzny odpowiadający za weryfikację certyfikatu.

Instalacja menedżera krok po kroku

Windows oczekuje pliku .exe uruchamianego z uprawnieniami administratora. macOS wymaga .dmg przeciągniętego do katalogu Aplikacje. Linux przyjmuje paczki .deb (Debian, Ubuntu LTS) albo .rpm (CentOS Stream), lecz wyłącznie w wariancie 64-bit. 32-bitowe dystrybucje pozostają poza wsparciem od wersji 4.2.0.

Po instalacji menedżer startuje jako proces działający w tle. Nasłuchuje on sygnału NFC z czytnika i pośredniczy w wymianie danych między kartą a przeglądarką. Bez tego pośrednika strona rządowa nie ma technicznej możliwości poprosić dowód o certyfikat.

Podpis elektroniczny osobny moduł

Aplikacja do podpisu osobistego powstała z myślą o formacie PDF oraz XML. Działa niezależnie od przeglądarki, ponieważ podpis na dokumencie wymaga lokalnego przetwarzania. Dokument nigdy nie opuszcza Twojego komputera jedynie skrót kryptograficzny trafia do certyfikatu na karcie.

Wersja 1.13.13 obsługuje wyłącznie systemy 64-bitowe. Starsze wersje 32-bitowe nie są już rozwijane ze względu na ograniczenia biblioteki PKCS#11. Jeśli korzystasz z archaicznego sprzętu, pozostaje Ci aktualizacja systemu albo powrót do podpisu kwalifikowanego.

Podpis osobisty a profil zaufany

Profil zaufany wymaga jedynie loginu i hasła, bez fizycznej karty. Podpis osobisty opiera się na certyfikacie przechowywanym w chipie dowodu. Różnica sprowadza się do siły dowodu: profil zaufany tożsamość potwierdza pośrednio, podpis osobisty czyni to bezpośrednio przez kryptografię asymetryczną.

Urzędy akceptują obie metody w większości e-wniosków. Sprawy wymagające wyższego poziomu zaufania (rejestracja pojazdu, wniosek o dowód dla dziecka) rekomendują podpis osobisty. Wynika to z normy eIDAS, która klasyfikuje podpis osobisty jako zaawansowany, a profil zaufany jedynie jako podstawowy.

Wymagania techniczne i czytnik NFC

Kluczowy element stanowi czytnik NFC obsługujący standard ISO/IEC 14443 typ A. Ten sam protokół wykorzystują karty bankowe i bilety komunikacji miejskiej. Czytnik działający w starszym standardzie 14443 typ B rozpozna kartę, lecz nie nawiąże z nią sesji kryptograficznej.

Czytniki zewnętrzne łączą się przez USB i działają na wszystkich trzech platformach. Modele wbudowane w laptopy (spotykane w ultrabookach) czasem korzystają ze sterowników producenta, co utrudnia integrację z menedżerem. Bezpieczniej pozostać przy zewnętznym urządzeniu z certyfikatem zgodności.

• Minimalna długość przewodu USB: 50 cm dla komfortowej pracy z dowodem leżącym na biurku
• Obsługiwana częstotliwość: 13,56 MHz
• Kompatybilność: Windows 10 (1909+), macOS 11 Big Sur, Ubuntu 22.04 LTS, Debian 12
• Przeglądarki: Chrome 110+, Firefox 115+, Edge 110+, Safari 16.4+

Wymagania po stronie systemu

Windows wymaga .NET Framework 4.8.1 lub nowszego. macOS potrzebuje co najmniej wersji 11 ze względu na zaktualizowane sterowniki PCSC. Linux zależy od demonu pcscd w wersji minimum 1.9.0 dystrybucje spoza głównego nurtu mogą wymagać ręcznej aktualizacji.

Przeglądarka odczytuje certyfikat przez WebAuthn API, które pojawiło się w standardzie w 2019 roku. Starsze wersje nie zaimplementują pełnego protokołu, więc strona wyświetli komunikat o braku wsparcia. Aktualizacja przeglądarki do bieżącej wersji eliminuje tę przeszkodę bez dodatkowej konfiguracji.

Sprawdź, czy wszystko masz

Najczęstsze problemy z podpisem i certyfikatem

Komputer nie widzi dowodu mimo podłączonego czytnika? Sprawdź, czy menedżer działa w tle. Ikona w zasobniku powinna mieć kolor zielony lub niebieski. Czerwony kolor sygnalizuje zerwane połączenie z demonem pcscd. Ponowne uruchomienie menedżera przywraca komunikację w większości przypadków.

Błąd "Nie znaleziono certyfikatu" zwykle oznacza, że PIN do podpisu został zablokowany po trzech nieudanych próbach. Kody odblokowujące (PUK) dostępne są w urzędzie gminy, który wydał dowód. Blokada certyfikatu wymaga fizycznej wizyty i ponownej aktywacji chipu.

Niezgodność wersji

Przeglądarka ładuje stronę z pytaniem o podpis, lecz menedżer odpowiada komunikatem o nieaktualnej wersji. To efekt niezgodności API między modułami. Rozwiązanie polega na pobraniu obu programów z tej samej paczki dystrybucyjnej numery kompilacji muszą do siebie pasować.

Menedżer 4.3.5 na Windowsie oczekuje podpisu elektronicznego 1.13.13. Starsze wersje podpisu nie rozumieją nowego formatu żądania i zwracają błąd parsowania. Aktualizacja samego menedżera bez podpisu pogarsza sytuację zamiast ją naprawić.

Błędy PIN i blokady

PIN do logowania (domyślnie pięciocyfrowy) różni się od PIN-u do podpisu (domyślnie sześciocyfrowy). Pomylenie ich kończy się zablokowaniem. System rozróżnia oba kody dzięki polu AID w protokole APDU wysyła żądanie z identyfikatorem aplikacji, a karta odpowiada tylko na właściwy.

Trzy nieudane próby każdego PIN-u blokują odpowiedni certyfikat. Kody PUK pozwalają odblokować tylko jeden z nich (do logowania lub do podpisu, zależnie od typu PUK-u). Pełna utrata obu wymaga wizyty w urzędzie z dokumentem tożsamości.

Co zrobić po zgubieniu lub kradzieży

Unieważniony certyfikat trafia do listy CRL (Certificate Revocation List), z której korzystają systemy weryfikacyjne urzędów. Nawet jeśli złodziej zna PIN, podpis zostanie odrzucony jako pochodzący z zablokowanego identyfikatora. Nowy dowód otrzymuje świeżą parę kluczy, nieodzowną do kolejnej aktywacji.

Różnica wobec podpisu kwalifikowanego

Podpis osobisty z e-dowodu posiada moc prawną na mocy rozporządzenia eIDAS. Podpis kwalifikowany wymaga certyfikatu od akredytowanego dostawcy, dodatkowego czytnika oraz rocznej opłaty w przedziale 200-500 zł. Różnica kosztowa przemawia na korzyść e-dowodu, lecz zakres akceptacji bywa węższy w instytucjach prywatnych.

Notariusze i sądy zwykle wymagają podpisu kwalifikowanego. Urzędy administracji publicznej honorują oba. Jeśli podpisujesz dokumenty wyłącznie na potrzeby e-urzędu, e-dowód w zupełności wystarczy. Przy transakcjach z bankiem lub ubezpieczycielem warto wcześniej potwierdzić akceptowaną formę.

Nowości w wersji 4.3.5 menedżera

Aktualizacja z 4.3.4 do 4.3.5 przynosi poprawkę w obsłudze czytników ACR1252U oraz rozszerzoną listę obsługiwanych smart card. Zmieniono też format żądania certyfikatu na zgodny z najnowszą specyfikacją MSWiA. Użytkownicy starszych wersji zgłaszali problemy z czytnikami wbudowanymi w monitory nowa kompilacja eliminuje ten błąd.