[mikroblog] Datové schránky - ledy se hnuly!

8.7.2009 09:52 | Přečteno: 2830× | Datové schránky | poslední úprava: 9.7.2009 19:37

Na webu datoveschranky.info již není starý, hnusný a nebezpečný text! [1, 2, 3]

Při pokusu o přihlášení do systému ISDS se může objevit varování, upozorňující na problém s bezpečnostním certifikátem stránky. Toto je způsobeno nepřítomností certifikátu ve standardní instalaci MS Windows či jiných operačních systémů. I když je možné upozornění ignorovat, protože vstup na stránku je zcela bezpečný a používaný certifikát je vydán kvalifikovanou českou certifikační autoritou , doporučujeme však uživatelům, aby si na počítač nainstalovali certifikáty kořenové a podřízené certifikační autority PostSignum. Postup instalace je uveden zde. Po jejich nainstalování se již upozornění na nedůvěryhodnost stránky nebude ve webovém prohlížeči objevovat.

Děkujeme všem zúčastněným prudičům za jejich snahu o Změnu!

Ale pořád mám ještě námitky . Nikde tam není uvedeno, jak si nainstalovaný certifikát ověřit. Ale řekl bych, že to je spíš problém PostSigna.

UPDATE: Pokračování

       

Komentáře

[Trained.Monkey]

Ja hlavne nechapu proc si Ceska Posta nepodepise certifikat druhou nebo treti agenturou. Stoji to par tisic a prohlizece ho budou konecne akceptovat.

[petr_p]

Pokud by takový podpis měl být automatizovaně ověřitelný, znamenalo by to porušení bezpečnostních politik (QCA nepodepisuje certifikáty sloužící jako CA).

Pokud by takový podpis byl klasický podpis libovolných dat, pak by to BFU neuměl ověřit (jinak řečeno ve Windows na to není klikátko). Navíc z hlediska legislativy není možné Q-podepisovat jen tak nějaký binární bordel. Bylo by nutné vytvořit text, který by říkal „Já, QCA, prohlašuji, že certifikát s otiskem O je kořenovým certifikátem QCA.)

[Jendа]

Pokud by takový podpis byl klasický podpis libovolných dat, pak by to BFU neuměl ověřit (jinak řečeno ve Windows na to není klikátko). Navíc z hlediska legislativy není možné Q-podepisovat jen tak nějaký binární bordel. Bylo by nutné vytvořit text, který by říkal „Já, QCA, prohlašuji, že certifikát s otiskem O je kořenovým certifikátem QCA.)

Ano! Ano! Tak přesně jsem to chtěl! (a ještě by mohl ten otisk být v tom dopise, co přijde - paranoi není nikdy dost, když jde o převzetí "plné moci" nad firmou/občanem)

[xkucf03]

O moc lepší mi to nepřijde (i když jak se říká: lepší než nic).

 

I když je možné upozornění ignorovat, protože vstup na stránku je zcela bezpečný a používaný certifikát je vydán kvalifikovanou českou certifikační autoritou

V tom je ta chyba – bezpečnost nejde doložit tím, že na svém serveru máme nějaký skvělý certifikát – bezpečné to bude až ve chvíli, kdy si ho uživatel bude moci ověřit. Takže fakt, že ho vydala nějaká úžasná kvalifikovaná CA je z hlediska bezpečnosti irelevantní. Pokud by to byl samopodepsaný certifikát, ale občan dostal jeho otisk na papíře (něbo jinou důvěryhodnou formou), bude to bezpečnější.

 

Podepsání certifikační autoritou má v tomto případě význam jen pro pohodlí (není potřeba kontrolovat nějaké hashe, stačí se spolehnout na prohlížeč, který podpis ověří).

Uživateli by se mělo říct, že jedinou možností je instalace certifikátu CA a že nemá v žádném případě varování jen tak ignorovat.

Tím jsme ale problém jen posunuli o kousek dál – teď je potřeba zajistit instalaci správného certifikátu CA (a ne např. nějaké pirátské CA, která se vydává za tu pravou). Nejjednodušší je, mít stránku, ze které se certifikáty stahují podepsanou nějakou komerční CA, např. Verisignem nebo Thawtem. Někdo sice může namítnout, že pak by tato zahraniční firma měla moc nad českými kořenovými certifikáty… jenže v současnosti nad nimi má moc kdokoli, kdo dokáže udělat MITM útok na HTTP spojení, po kterém se certifikáty stahují. Druhou možností je, šířit otisky např. přes nástěnku úřadu nebo poštou

[Jendа]

V tom je ta chyba – bezpečnost nejde doložit tím, že na svém serveru máme nějaký skvělý certifikát – bezpečné to bude až ve chvíli, kdy si ho uživatel bude moci ověřit. Takže fakt, že ho vydala nějaká úžasná kvalifikovaná CA je z hlediska bezpečnosti irelevantní. Pokud by to byl samopodepsaný certifikát, ale občan dostal jeho otisk na papíře (něbo jinou důvěryhodnou formou), bude to bezpečnější.

Já vím, jak funguje HTTPS Tohle posílej na support datových schránek

Ale alespoň doporučují.

A ať už to proboha nemění, alespoň do doby, než mi vyjde článek

Podepsání certifikační autoritou má v tomto případě význam jen pro pohodlí (není potřeba kontrolovat nějaké hashe, stačí se spolehnout na prohlížeč, který podpis ověří).

Těch certifikátů je kolem toho několik, takže by se muselo těch fingerprintů ověřovat víc...

Uživateli by se mělo říct, že jedinou možností je instalace certifikátu CA a že nemá v žádném případě varování jen tak ignorovat.

Mělo (ale žiješ v ČR). Vůbec je to celé takové naprd. Za těch 900 milionů mohli nakoupit kalkulačky, tokeny, čipovky...

Tím jsme ale problém jen posunuli o kousek dál – teď je potřeba zajistit instalaci správného certifikátu CA (a ne např. nějaké pirátské CA, která se vydává za tu pravou). Nejjednodušší je, mít stránku, ze které se certifikáty stahují podepsanou nějakou komerční CA, např. Verisignem nebo Thawtem. Někdo sice může namítnout, že pak by tato zahraniční firma měla moc nad českými kořenovými certifikáty… jenže v současnosti nad nimi má moc kdokoli, kdo dokáže udělat MITM útok na HTTP spojení, po kterém se certifikáty stahují. Druhou možností je, šířit otisky např. přes nástěnku úřadu nebo poštou

Možná bych měl teď svůj popis útoku rozšířit ještě o návod na nastavení proxy na portu 80, která podvrhne stránky postsignum.cz. Privoxy i Apache zkonfigurovaný jako proxy by to mohly umět.

[Luk]

PostSignum QCA ode mě dostává známku 5 (jako ve škole, tedy sardel, bůra, kuli atd., jak kdo chce ). Od jejich podpory mi totiž přišla tato odpověď:

Dobrý den,

certifikáty certifikačních autorit ověříte na : http://www.mvcr.cz/clanek/vysledky-overeni-platnych-kvalifikovanych-systemovych-certifikatu-akreditovanych- poskytovatelu-certifikacnich-sluzeb.aspx

S pozdravem

Česká pošta, s.p.
oddělení HelpDesk
Andrea Gazdová

V certifikační politice se píše:

Uživatel certifikátu vydaného PostSignum Root QCA (spoléhající se strana) je povinen zejména:
- Získat certifikát PostSignum Root QCA z bezpečného zdroje (webové stránky PostSignum QCA, webové stránky orgánu definovaného zákonem o elektronickém podpisu, na pracovišti registrační autority) a ověřit otisk ("fingerprint") tohoto certifikátu.

Získání z webu PostSignum QCA nebo "orgánu definovaného zákonem o elektronickém podpisu" není získáním z bezpečného zdroje, protože jde o HTTP komunikaci bez ověření protistrany (čili uživatel nemůže vědět, zda komunikuje s bezpečným zdrojem) a bez zabezpečení integrity komunikace (někdo může komunikaci pozměnit). Jediným bezpečným zdrojem je zde pracoviště registrační autority.

Ověřit otisk opět nelze, protože není k dispozici bezpečný zdroj, ze kterého by šel získat - web MVČR doporučovaný v odpovědi takovým zdrojem samozřejmě není, ze stejných důvodů jako výše. Bezpečným zdrojem by bylo opět jen pracoviště ČP (pak je ale blbost otisk ověřovat, protože ho člověk získá stejnou cestou jako certifikát).

Z toho plyne, že jednak politika sama je napsaná nesmyslně (nebezpečné "bezpečné" zdroje, nadbytečná kontrola při osobním převzetí), ale navíc doporučení pracovnice podpory je nebezpečné. Nejděsivější na tom všem je to, že někdo pořád argumentuje, že to či ono nejde kvůli bezpečnosti, ale přitom je na tom ČP s bezpečností velmi tragicky.

[Ladicek]

Nemůže být to PDFko podvrženo útočníkem?

[Luk]

Samozřejmě může. Rozhodující by byla tištěná verze, kterou ale nemám k dispozici.

[Mrkva]

Vám ta URL na webu MVCR funguje? :)

[Jendа]

Jo (je tam mezera před poskytovatelu, asi zalomení řádku v mailu).

[Luk]

Přesně tak. Mohl jsem nebýt líný a dát to do pořádku, prostě jsem jen udělal copy&paste.

[wifinista]

tomas.scerio.net/schranka.png velice zajimave, k cemu ze mi to gratulujou?

[Jendа]

K tomu, že používáš Debian

Možná bych je mohl ještě trochu poprudit ohledně identifikace Iceweaselu, Bon Echa a Minefieldu

[Jendа]

Přílohy:

• testform.html.patch (941 bytů)
• testform.html.patch.sig (72 bytů)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Dobrý den,
jsem uživatelem linuxové distribuce Debian, kde byl z důvodu sporů o
ochrannou známku prohlížeč Firefox přejmenován na Iceweasel. Váš
skript (mj.
https://www.mojedatovaschranka.cz/static/pages/testform.html) s touto
identifikací ovšem nepočítá, a vypudí mě s hláškou "Nepodporovaný
prohlížeč. Použijte Firefox". Prozatímním workaroundem je ruční změna
identifikace k konfiguraci prohlížeče, což je značně nepohodlné.

Zahrnete Iceweasel mezi podporované prohlížeče? Je to otázka dvou
řádků kódu.

Příloha: patch na soubor testform.html

Děkuji

- --
Jan Hrach
Mail: jenda {} hrach.eu
Jabber: hrachj {} abclinuxu.cz
GPG: http://ftp.hrach.eu/jenda/public.key
1D9D AC4B E964 0D1E 7F5D 6E03 B72F 6430 9FA4 F536
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iEYEARECAAYFAkpUd6sACgkQty9kMJ+k9TbsEwCZAS1K3kQKvcoco2fTp/OlrbJo
v+kAoNJq93QRkZmb0XdGG6qPEFonlyec
=MZf4
-----END PGP SIGNATURE-----

[Jendа]

Mají to i s patchem, tak co by ještě chtěli

[Shadow]

Peníze za práci?

[progdan]

Že bychom je zavalili ještě patchi na Shiretoko,Chrome,Konqueror atd?...to by asi čumeli

[Limoto]

..Arora, Midori, Opera (nebo ta jde?), Epiphany...

[Jendа]

Pro ty (IMHO) není ten supr dupr uzavřený nesvobodný 386 Wine plugin.

[stativ]

Ještě Shiretoko.

[Jendа]

No jo, ad Archu jsem odešel, když v něm Shiretoko ještě nebylo

Vy už máte 3.5 v repu? Strašný :-P My teprve v experimentalu.

[Jendа]

Další upgrade informace

Při pokusu o přihlášení do systému ISDS se může objevit varování, upozorňující na problém s bezpečnostním certifikátem stránky. Nejde však o vyjádření toho, že by stránky ISDS byly nedůvěryhodné: váš prohlížeč vám pouze dává nájevo, že není schopen ověřit, zda vám ukazuje skutečné stránky ISDS a nikoli nějaké podvržené stránky, které by se za stránky ISDS jen vydávaly. Aby toho byl váš prohlížeč schopen, musíte mu dodat (nainstalovat do něj) potřebné certfikáty kořenové a podřízené certifikační autority PostSignum, podle kterých již dokáže stránky ISDS spolehlivě identifikovat. Postup instalace certifikátů je popsán zde. Po jejich nainstalování se již upozornění na nedůvěryhodnost stránky nebude ve webovém prohlížeči objevovat. Při instalaci certifikátů nezapoměňte na ověření jejich pravosti.

Normálně někdo z ČP začal číst ábíčko...

Už je to docela dobré, nemyslíte?

[xkucf03]

[Luk]

Normálně někdo z ČP začal číst ábíčko...

To je dost možné, navíc ten chat na Podnikatel.cz také asi leckdo četl. A nejspíš si někdo uvědomil, že by z toho mohl být pořádný průser. Nicméně ještě stále to není úplně dobré. Podle mě je důležité hlavně tohle:

Poznámka: Za (dostatečně) důvěryhodný můžete považovat certifikát autority, který vám osobně předá operátorka na pracovišti České pošty. Certifikáty autorit jsou vám automaticky předávány spolu s vydaným certifikátem.

Bohužel je to ale až v pop-up dialogu a navíc utopeno v jiných nepříliš vhodných větách, takže z toho málokdo bude moudrý. Navíc si nejsem jist, jestli se při vydávání elektronického podpisu automaticky předává i certifikát VCA (nebo jen QCA; posledně, když jsem o tom psal, jsem si tohle neuvědomil, proto jsem napsal, že jsem certifikát získal), kterým je potřeba pro kontrolu certifikátu webu ISDS. Je možné, že kvůli ISDS už dnes předávají rovnou i certifikát VCA, nicméně to je jen spekulace.

[Filip Jirsák]

S vydaným certifikátem se předává kořenový certifikát a pak certifikát příslušné CA (QCA nebo VCA). Takže i když máte certifikát vydaný jednou CA, dostanete s ním kořenový certifikát, kterým můžete ověřit certifikát obou CA.

[David Jaša]

Přílohy:

• postsignum_qca_root.crl (643 bytů)
• postsignum_qca_root.crt (1582 bytů)
• postsignum_qca_sub.crl (104367 bytů)
• postsignum_qca_sub.crt (1586 bytů)

Včera jsem na poště dostal tyto čtyři soubory s certifikáty - vtipné na tom je, že jsem chtěl pouze jejich otisky. Takže místo toho, aby mi vytiskli papír se mě pán na přepážce zeptal, jestli mám médium a jestli na něm nemám moc dat, protože to před připojením musí celé projet antivirem.

[Ladicek]

Šetří naše lesy, měl byste být rád

[misch]

... protože to před připojením musí celé projet antivirem ...

:) Marně přemýšlím k čemu mu to mohlo být dobré. Vycházím z předpokladu, že si z té flashky/diskety nechtěla obsluha za přepážkou nic kopírovat. Jak mě může potenciálně zavirované médium ohrozit, když si ho jen připojím? Autorun.inf apod. snad mají na přepážkách PostSignum CA vypnutý, a pokud mi s mými soubory na médiu nepotřebují nic provádět, tak je snad nepotřebují ani otevírat a testovat antivirem :-o

[xkucf03]

Na jejich místě bych to médium* připojoval do počítače vybaveného Linuxem/BSD/Solarisem a měl klid

[Luk]

V České spořitelně také vždycky nejdřív kontrolují flashky antivirem, než z nich převezmou nějaká data.

[Jendа]

Ale oni z nich nic nepřebírají, oni na něj ukládají.

[Luk]

To je ale přece jedno. V té ČS přebírají jen soubor s dávkou příkazů, čili obyčejný datový soubor. Navíc ho kopírují, nespouštějí. Jediné riziko spočívá v autorun.inf, který může spustit nějakou havěť, ale ten by se spouštěl stejně hned po vložení, ne při kopírování dat.

[kkaarreell]

Proboha, dyt to byl pracovnik na prekazce, zadnej informatik s ponozkama v sandalech. Navic bych se vsadil, ze tu kontrolu antivirem maji narizenou. Pral bych vam zavadet bezpecnostni politiku v tak velke firme a uz vas vidim toto vysvetlovat sekretarce, jejiz pocitacove schopnosti konci u nastaveni velikosti pisma textu ve Wordu a spusteni Free Cell.

[Filip Jirsák]

Myslíte, že bezpečnostní politika „disk od klienta před další manipulací nejprve zkontrolovat antivirem“ něco zachrání na počítači s Windows, kde je uživatel přihlášen pod bůhvíjakými právy, aplikace běží v MSIE okořeněném nějakými ActiveX komponentami a obsluha evidentně ani netuší, kdy je účelné antivir použít a kdy je to zbytečné? Kdyby chtěl někdo na tohle zaútočit, tak přijde jednou, podívá se, o jaký jde antivir, když obsluha zadává heslo nebude jako slušný informatik koukat jinam ale jako každý normální klient bude koukat na obsluhu a heslo odpozoruje (případně si to pojistí nějakou minikamerou, třeba v mobilu), a příště přijde už vybavený virem „na míru“, u kterého bude mít otestováno, že jej používaný antivir nedokáže detekovat.

Ale k zatržení kolonky „bezpečnost“ v nějakém formuláři určitě krok popsaný v návodu hned po „počkáme, až systém Windows detekuje připojené zařízení a v nabídce Tento počítač se objeví další disk“ jako „připojený disk zkontrolujeme antivirem“ stačí.

[hlína]

a co třeba takové u3?

[Filip Jirsák]

Co s tím? Buď to jde ve Windows deaktivovat, pak je antivir zbytečný, nebo to deaktivovat nejde, a potom je antivir reagující ex-post stejně zbytečný.

[Michal Vyskočil]

:) Marně přemýšlím k čemu mu to mohlo být dobré. Vycházím z předpokladu, že si z té flashky/diskety nechtěla obsluha za přepážkou nic kopírovat.

Některé OS mívají tendence automaticky spouštět obsah z připojených přenosných disků.

[David Jaša]

Mimochodem zajímalo by mě, jak bude ČP řešit bezpečnost svých vlastních certifikátů. Třeba ten kořenový 2048 b s SHA-1 hashem a má platnost až do roku 2030 (od r. 2005). U klíčů s takto dlouhou platností bych čekal použití nejsilnějších dostupných technologií - 3072 b dlouhý klíč a SHA-512 hash.

[Filip Jirsák]

Od 1. 1. 2010 (jestli se nepletu) se pro QCA musí používat SHA-512, předpokládám, že to platí i pro certifikáty CA, takže jej asi stejně budou muset vyměnit.

[petr_p]

Pro koncové certifikáty je stanovena rodina SHA-2, která začíná už na SHA-224.

[Filip Jirsák]

nebyl jsem si jist, zda je povolena celá rodina SHA-2. Každopádně současný kořenový certifikát PostSignum používá SHA-1, takže by měl být nejpozději 1. 1. 2010 nahrazen novým.

[xkucf03]

Proč ne 4096?

[David Jaša]

Bylo už tehdy?

[Kroko]

Mimochodem, co umí ten suprovej filter 602XML co by nešlo udělat přímo v prohlížeči bez něj?

[petr_p]

On by v principu žádný zásuvný modul nebyl potřeba, kdyby osoby zodpovědné za uživatelské rozhraní pochopili, že na spouštění samostatných aplikací není nic špatného.

Od toho se pak odvíjí, všechno ostatní: digitální podepisování, ověřování formální správnosti pomocí XML Schema, rozebírání datových zpráv datových schránek coby XML souborů atd.

Ale jak už jsem psal, tohle by mělo být nepovinné, protože úřad bude stejně muset mít staré rozhraní pro přepisování vytištěných formulářů.

Celé mi to připomíná arogantní zavádění informačních systému, kdy dodavatel nemilosrdně požaduje vyhození všech stávajících systémů, protože tak by uživatel nezískal potřebnou míru integrace, pohodlí a záruk za funkčnost. Tady si někdo udělal podnikové nasazení z celé republiky – všichni budou mít 602 Form Filler a basta.

[Filip Jirsák]

Vzít BLOB, udělat nad ním „abrakadabra“ a vyhodit zprávu, že elektronický podpis je platný. Kdyby místo toho ISDS dával podepsané PDF/A, kde by byly stejné údaje a třeba hashe příloh, bylo by to sice na první pohled méně uživatelsky přívětivé (jak si běžný uživatel bude kontrolovat hash souboru), ale z technologického hlediska by to bylo mnohem rozumnější, protože na ověření podpisu PDF existuje mnoho nástrojů, a PDF/A je normalizovaný formát, který nebude problém přečíst za pět nebo deset let. Ostatně pro BFU by ta funkce zůstala pořád stejná – klikli by na „ověřit“ a objevilo by se „OK“.

[petr_p]

Můžete prozradit nějaký FLOSS ověřovač podepsaných PDF? Mimochodem, kde mám u PDF záruku, že tam ta vizuální informace není generována dynamicky (třeba v závislosti na čase)? Pochybuji, že tohle všechno ISDS ověřuje.

[Filip Jirsák]

Můžete prozradit nějaký FLOSS ověřovač podepsaných PDF?

Stačí třeba ukázka kódu pro iText? How to verify PDF/A je standard, takže si každý může napsat ověřovač vlastní.

Mimochodem, kde mám u PDF záruku, že tam ta vizuální informace není generována dynamicky (třeba v závislosti na čase)?

Jak chcete v PDF/A něco generovat dynamicky?

[petr_p]

Ono by to jít nemělo, ale kdo mi zaručí, že to co dostanu, je skutečně PDF/A? Co třeba bílý text na průhledném pozadí? (Například konvertát zveřejněný na Lupě je průhledný, ale není monochromatický.) A co textová vrstva pro slepé, která bude říkat něco jiného, že přidružená kresba?

Přiznávám, že PDF neznám. Jen mám obavy, že takto složitý formát bude těžké uhlídat. Mnohem těžší, než třeba DocBook nebo XHTML obrané o prezentační záležitosti.

[Filip Jirsák]

Ono by to jít nemělo, ale kdo mi zaručí, že to co dostanu, je skutečně PDF/A?

Že by třeba validátor, který ověří, zda dokument odpovídá specifikaci PDF/A?

Co třeba bílý text na průhledném pozadí? (Například konvertát zveřejněný na Lupě je průhledný, ale není monochromatický.) A co textová vrstva pro slepé, která bude říkat něco jiného, že přidružená kresba?

Formát PDF/A je určen pro dlouhodobou archivací dokumentů a zaručuje správnou vizuální reprezentaci dokumentu. Tj. to co vidíte v prohlížeči odpovídajícím PDF/A dnes uvidíte i v kterémkoli jiném prohlížeči odpovídajícím PDF/A třeba za padesát let. Takže skriptem vzhled dokumentu změnit nemůžete (nejsou v PDF/A povolené), a rozhodující je to, co je v dokumentu vidět – textová vrstva odlišná od vizuální reprezentace by asi byla zralá na žalobu na toho, kdo takové PDF podepsal, ale rozhodující je to, co je v dokumentu vidět.

PDF/A definuje i vkládání fontů a v přísnější verzi i specifikaci znaků – tohle třeba s XHTML nedosáhnete ani náhodou – stačí, že je zobrazíte jiným fontem, a dostanete něco úplně jiného.

[petr_p]

Že by třeba validátor, který ověří, zda dokument odpovídá specifikaci PDF/A?

A já se znovu ptám: Kdo to bude dělat? Bude to ISDS a bude mi garantovat formální správnost přepravovaného formátu? Schválně komu prvnímu napaří drakonickou pokutu za nedovolený formát :(

Formát PDF/A je určen pro dlouhodobou archivací dokumentů a zaručuje správnou vizuální reprezentaci dokumentu.

Jinak řečeno nevidomá osoba je předem vyloučena. Třebaže moderní technologie by jí začlenění umožnily, my jsme řekli ne. Výborné.

tohle třeba s XHTML nedosáhnete ani náhodou – stačí, že je zobrazíte jiným fontem,

Kritizuji již samotnou orientaci na vizuální vjem. V textu mám text, ne glyphy. Tudíž mě odlišný font nemůže rozhodit, protože směrodatná je posloupnost znaků.

[Filip Jirsák]

A já se znovu ptám: Kdo to bude dělat? Bude to ISDS a bude mi garantovat formální správnost přepravovaného formátu? Schválně komu prvnímu napaří drakonickou pokutu za nedovolený formát :(

Vzhledem k tomu, že by ISDS ten dokument vytvářel, nemusí jej již znova kontrolovat. Stačí to naprogramovat tak, aby PDF/A vytvářel.

Jinak řečeno nevidomá osoba je předem vyloučena. Třebaže moderní technologie by jí začlenění umožnily, my jsme řekli ne. Výborné.

Není vyloučena, ISDS přece může generovat PDF/A s textovou vrstvou odpovídající té grafické, a může za to být záruka. Vzhledem k tomu, že neexistuje žádný formát, který by měl zaručený výstup pro nevidomé, těžko takový výstup požadovat. A přece pro to, že nedokážeme zajistit stejný výstup i pro nevidomé nepřipravíme o tuto možnost i ty, kteří vidí – to by byl trochu drsný způsob integrace, sjednotit vše na tom nejmenším, co všichni dokážou. Druhá věc je, že by se takový formát pro nevidomé hodil – ovšem jeho vývoj by asi nějakou dobu trval, otázka je, zda by se jej podařilo prosadit jako mezinárodní standard…

Kritizuji již samotnou orientaci na vizuální vjem. V textu mám text, ne glyphy. Tudíž mě odlišný font nemůže rozhodit, protože směrodatná je posloupnost znaků.

To je sice prima, když kritizujete, že se za tisíce let lidstvo orientovalo na vizuální reprezentaci znaků, a že naši prapředci nezačali do kamene tesat rovnou Unicode ve dvojkové soustavě. Asi tedy nezbývá se smířit s tím, že se lidé v převážné většině orientují vizuálně, proto je taky všechno tímto směrem orientováno. Lidé nedokážou vnímat přímo text, ale vnímají ho (zpravidla) skrze jeho vizuální reprezentaci. Takže musíte mít nějaký zaručený způsob, jakým z onoho textu tu vizuální reprezentaci získáte. A k tomu ani zdaleka nestačí jenom znát tvary znaků.

[petr_p]

Vzhledem k tomu, že by ISDS ten dokument vytvářel

Aha, my se stále bavíme o doručenkách. Já jsem se již povznesl na libovolné přepravované dokumenty.

To je sice prima, když kritizujete, že se za tisíce let lidstvo orientovalo na vizuální reprezentaci znaků,

Informační systém tisíce let fungoval tak, že se dokument nakreslil na médium a to se fyzicky doručilo příjemci, který jej opět musel opticky dekódovat, jednalo-li se o text. Vizuální podoba tu byla proto, protože to byl praktický způsob, jak kódovat informaci.

Dnešní informační systém se ale obejde bez vizuálního přenosu. Nahradil jej digitální přenos. Vedle obrázků umí přenášet text nebo zvuk (nebo cokoliv, co si zadefinujeme). Pokud se omezíme na přirozené jazyky, zjistíme, že vizuální nebo zvukové kódování je redundantní. Text si můžeme nechat vykreslit na papír, na obrazovku, přečíst telefonem, můžeme v něm vyhledávat, můžeme jej strojově zpracovávat. Vizuální kódování je v takovém systému značně nepraktické.

Takže musíte mít nějaký zaručený způsob, jakým z onoho textu tu vizuální reprezentaci získáte. A k tomu ani zdaleka nestačí jenom znát tvary znaků.

To můžeme mít, ale proč se na ni vázat, když můžeme začít o úroveň výše – u textu. Jednou ranou bychom zabili i problém přístupnosti.

Podívejme se na současný 602FF blob. Nedoručuje ani obraz, ani zvuk, ale XML strom datového modelu – tedy text. A k němu je přilepen návod, jak tato data zakreslit do formuláře. Údaje odesílané do ISDS nejsou žádný obrázek formuláře, ale jenom ten XML strom. Tento strom se digitálně podepisuje.

V podstatě takto fungují všechny textové informační systémy. Text je abstrakce vizuální podoby přirozeného jazyka. Proč současnou orientací na vizuální vjem konzervujeme situaci? Proč se nevydáme dál? Třeba u peněz, kde jsme přijali nefyzickou digitální měnu, to „celkem“ funguje, moc lidí se nad tím nepozastavuje a většina je spokojená s pohodlnější manipulací s bohatstvím.

Chápu, že současný přístup je sňatek z rozumu (protože konverze, návaznost na současný vizuální fyzický systém). Já si myslím, že současný systém je mírný pokrok v mezích zákona. Budeme za 50 let zavádět další státní informační systém, novelizovat způsob doručování, archivování, a tak dále, protože se ukáže, že obíhání naskenovaných á-čtyřek je z bláta do louže?

[Filip Jirsák]

Vizuální kódování je v takovém systému značně nepraktické.

To vysvětlete Bohu nebo evoluci, že to s těma očima pěkně zvorali a DVD-ROMka by byla daleko praktičtější. Zatím stále ještě jsou veškeré výstupy nakonec určeny pro člověka, kterému digitálně kódovaný text není k ničemu a potřebuje tu vizuální nebo zvukovou reprezentaci.

Pokud se omezíme na přirozené jazyky, zjistíme, že vizuální nebo zvukové kódování je redundantní.

Jenže čistě text se přenáší málokdy. Podívejte se jenom na obyčejné noviny – tam máte nadpisy, podnadpisy, citace, popisky… To už ve zvukové formě moc rozumně reprezentovat nepůjde. A co teprve nějaké formuláře, tabulky, grafy…

To můžeme mít, ale proč se na ni vázat, když můžeme začít o úroveň výše – u textu. Jednou ranou bychom zabili i problém přístupnosti.

Vizte odpověď k vizuálnímu kódování a textu.

Nedoručuje ani obraz, ani zvuk, ale XML strom datového modelu – tedy text. A k němu je přilepen návod, jak tato data zakreslit do formuláře. … Proč současnou orientací na vizuální vjem konzervujeme situaci? Proč se nevydáme dál?

Protože k tomu „dál“ je potřeba závazný popis toho, jak ona strukturovaná data interpretovat. Když máte papír, na kterém je napsáno nahoře „Faktura“, někde dole „Fakturovaná částka celkem“ a kousek od toho „3000 Kč“, je všem jasné, co to znamená. Ale to funguje pouze pro vizuální reprezentaci, ne pro zvukovou ani pro textovou. Aby se mohlo komunikovat jen pomocí textových reprezentací, musel byste popsat jak reprezentovat fakturu, příkaz k úhradě, výpis z účtu, výplatní pásku, paragon – a milion dalších typů dokumentů. A to vše v podobě standardů, na které by se bylo možné odvolat v zákoně. Jistě, bylo by to krásné, ale jak dlouho by to trvalo? To je lepší, když se ona vizuální reprezentace zatím místo tisku na papír bude přenášet elektronicky, a vedle toho se pomalu můžou začít budovat ty standardy pro přenos textových informací.

Budeme za 50 let zavádět další státní informační systém, novelizovat způsob doručování, archivování, a tak dále, protože se ukáže, že obíhání naskenovaných á-čtyřek je z bláta do louže?

Bylo by dobré, aby to bylo co nejdřív. A zatím s tím mezistupněm, že to nebudou naskenované A4, ale že už to bude vše plně elektronické. Ono se dařilo tu elektronickou verzi postupně zavádět, datové schránky jsou v tomhle bohužel krok stranou, spíš zpět.

[petr_p]

To vysvětlete Bohu nebo evoluci, že to s těma očima pěkně zvorali a DVD-ROMka by byla daleko praktičtější. Zatím stále ještě jsou veškeré výstupy nakonec určeny pro člověka,

Však já nepožaduji, aby člověk dostal sled jedniček a nul a nějak se s tím popral. Pro člověka je přístupnější (zatím) smyslové rozhraní.

Jenže čistě text se přenáší málokdy. Podívejte se jenom na obyčejné noviny – tam máte nadpisy, podnadpisy, citace, popisky… To už ve zvukové formě moc rozumně reprezentovat nepůjde.

Řekl bych, že text se přenáší naopak velmi často. Ano, není to čistý text (nadpisy, podnadpisy). Jenže tyto významové odlišnosti lze zakódovat pomocí opět textového značkování. S rozumně omezeným značkovacím jazykem lze dosáhnout jak dobré vyjadřovací úrovně, tak i srozumitelnosti člověku (HTML, DocBook).

S takovým dokumentem můžete dělat vše (zobrazovat, číst, prohledávat) a přitom se vždy můžete vrátit k „zobrazit zdrojový kód“ a číst jej jen tak. Digitální podpis a porovnávání by se provádělo právě na této úrovni.

A to mě přivádí k další možnosti: porovnávání dokumentů. Když si dnes uděláte dvě nezávislé konverze do digitálního obrázku, tak neexistuje mechanický způsob, jak rozhodnout, zda vycházejí ze stejného vzoru a jsou tedy obsahově totožné.

A co teprve nějaké formuláře, tabulky, grafy…

A co dnešní datové zprávy, kde nesmíte přenášet mapové dílo, třebaže se technicky jedná o stejnou bitmapu, která leze geodetovi z plotteru?

Ano, obrázky jsou problém. V tom je můj systém horší. Ale opět opakuji, že běžný úřední dokument se bez obrázku z 98 % obejde. A v ostatních případech obrázky většinou představují jen orientační plánek, který lze snadno nahradit výčtem parcelních čísel a odkazem na katastrální mapu nebo procedurálním popisem (za mostem, třetí dub s ptačí budkou po pravé straně cesty). V nezbytných případech lze obrázek, zvuk, video, prostorový model vyřešit zvláštním způsobem (to se děje již dnes).

Já si myslím, že můj systém přináší více výhod než nevýhod. Současný systém se snaží univerzálně pojmout statický vizuální vjem, což je sice chvályhodné, na druhou stranu stále nemáme a asi ještě hodně dlouho nebudeme mít nástroje pro jeho strojové zpracování. Textový systém má navíc nižší laťku pro systémové prostředky (mobilní telefon).

Protože k tomu „dál“ je potřeba závazný popis toho, jak ona strukturovaná data interpretovat. Když máte papír, na kterém je napsáno nahoře „Faktura“, někde dole „Fakturovaná částka celkem“ a kousek od toho „3000 Kč“, je všem jasné, co to znamená.

Čistý text:

Faktura
Fakturovaná částka  3000 Kč

Přečtený text

Faktura Nový odstavec Fakturovaná částka 3000 Kč.

Textový značkovací jazyk:

<title>Faktura</title>
<dl>
  <dt>Fakturovaná částka<dt>
  <dd>3000 Kč<dd>
<dl>

Je to jen jen ukázka, chápu. Ale úřední dokumenty jsou zatraceně strukturované dokumenty. Ideální kandidát na můj systém.

Aby se mohlo komunikovat jen pomocí textových reprezentací, musel byste popsat jak reprezentovat fakturu, příkaz k úhradě, výpis z účtu, výplatní pásku, paragon – a milion dalších typů dokumentů.

Jednou k tomu dojde. Nebo ještě dříve zdokonalíme zpracování přirozeného jazyka a obrázků na tolik, že už takové značkovací jazyky nebudou třeba (sen zastánců HTML 5 :)

Ono se dařilo tu elektronickou verzi postupně zavádět, datové schránky jsou v tomhle bohužel krok stranou, spíš zpět.

Souhlasím. Jak se uklidnil legislativní kolotoč, úřady přešly z pasivní obrany do aktivního vývoje a věci se začaly zlepšovat. Tohle zemětřesení ze shora je opravdu neštěstí.

[Filip Jirsák]

Však já nepožaduji, aby člověk dostal sled jedniček a nul a nějak se s tím popral. Pro člověka je přístupnější (zatím) smyslové rozhraní. … Jenže tyto významové odlišnosti lze zakódovat pomocí opět textového značkování. S rozumně omezeným značkovacím jazykem lze dosáhnout jak dobré vyjadřovací úrovně, tak i srozumitelnosti člověku (HTML, DocBook).

Asi to bude chtít malý příklad. Mějme strukturovaný textový dokument:

<a>
  <x>5000</x>
  <y>100000</y>
</a>

A nyní jeho vizuální reprezentaci č. 1:

Stav účtu na konci měsíce:
Obrat: 5 000 Kč
Zůstatek: 100 000 Kč

A vizuální reprezentace č. 2:

Stav účtu na konci měsíce:
Obrat: 100 000 Kč
Zůstatek: 5 000 Kč

Vidíte ten rozdíl? A kdo rozhodne, která vizuální reprezentace je ta správná? Člověk tu informaci jinak než z vizuální (nebo hmatové či sluchové) reprezentace nezíská, takže převod je nutný. Ale je potřeba jednoznačný převod, a ten můžete získat dvěma způsoby:

1. máte přesně popsaný význam jednotlivých položek dokumentu, tj. pro každý myslitelný typ dokumentu musíte mít popis významu jednotlivých položek; např. XML schema doplněné o význam položek formulovaný právnickou řečí; pokud vím, byla snaha na úrovni něco takového zavést alespoň pro faktury, a jenom samotné schema postihující všechny možné výjimky je neuvěřitelně složité
2. rezignujete na význam a budete popisovat jenom jednoznačnou vizuální reprezentaci – např. formát PDF

Jak už jsem psal, varianta č. 1 je neřešitelná velkým třeskem (i když český Parlament klidně může schválit zákon, že se to takhle bude od 1. 1. 2010 používat…). Druhá varianta je řešitelná s formáty, které přesně popisují vizuální vzhled dokumentu. Tedy třeba PDF, ale už ne HTML. V HTML jde snadno vyrobit dokument, který při změně velikosti písma nebo změně velikosti okna prohlížeče změní význam. Ostatně, stačí si v nějakém textovém procesoru udělat „tabulku“ pomocí mezer, a pak si chvilku hrát s velikostí písma a strany – uvidíte, kolik různých „významů“ z toho dostanete.

Ale úřední dokumenty jsou zatraceně strukturované dokumenty. Ideální kandidát na můj systém.

Ano, ideální, s tím souhlasím. Zbývá už jen maličkost – pro každý takový typ dokumentu připravit XML schéma, okolo něj udělat vyhlášku kde bude význam jednotlivých elementů popsán právnickým jazykem a nechat to schválit vládou. V počtu stovek dokumentů na každou agendu krát stovky agend.

Souhlasím. Jak se uklidnil legislativní kolotoč, úřady přešly z pasivní obrany do aktivního vývoje a věci se začaly zlepšovat. Tohle zemětřesení ze shora je opravdu neštěstí.

Aktivní vývoj bych tomu neříkal, momentálně je to spíš něco mezi pasivním vyčkáváním a pasivní rezistencí.

[hlína]

Jde o to, že i když by šlo podepsat obyčejný pdfko, ten svazarmácký bastl je tam kvůli doručence - vyzvednete si to z datové schránky a odesílající pak dostane doručenku.

[Filip Jirsák]

Vyzvednutí z datové schránky znamená zavolání příslušné metody, což dělá i třeba spisová služba. Serveru je každopádně úplně jedno, zda na požadavek GET, který bere jako „vyzvednutí zásilky“ odpoví BLOBem nebo podepsaným PDFkem. Rozhodující je ten požadavek, ne odpověď.