Jak jsem neověřil certifikát PostSigna

9.7.2009 19:34 | Přečteno: 3810× | Datové schránky | poslední úprava: 10.7.2009 00:23

Byl jsem si něco vyřídit na poště, a tak jsem zaskočil na čekpojnt, že si nechám nahrát kořenový certifikát.

Usedl jsem za přepážku a přednesl jsem přání. Paní po mně chtěla nějaké údaje čehosi. Po krátkém vyjasňování jsem pochopil, že si myslí, že si jdu pro osobní certifikát. Přednesl jsem tedy své přání znovu, ale podrobněji. Náhle se vyjasnilo a doporučila mi, abych si certifikát stáhl z webu PostSigna.

---

Argumentoval jsem, že se jedná o nezabezpečené spojení a že mi ten certifikát může cestou někdo podvrhnout. Přečetla mi text, který měli na webu o datových schránkách ještě před týdnem.

Znovu jsem se pokusil vysvětlit, že mi ten certifikát může někdo podvrhnout. Chvilku se zamyslela a pak opáčila, cituji:

To si klidně můžete stáhnout, to vám nikdo nepodvrhne.

Potom ji zajímalo, kde jsem přišel na to, že to mají ověřovat. Že je to samotné zajímá. Nevěděl jsem (otevřela web PostSigna, nenašel jsem to tam nikde...); slíbil jsem jí, že to najdu a přijdu prudit zas.

Teď jsem našel jenom tohle PDFko, kde se na stránce 17 píše:

4.5.2 Použití dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek a certifikátu spoléhající se stranou
- Uživatel certifikátu vydaného PostSignum Root QCA (spoléhající se strana) je povinen zejména:
- Získat certifikát PostSignum Root QCA z bezpečného zdroje (webové stránky PostSignum QCA, webové stránky orgánu definovaného zákonem o elektronickém podpisu, na pracovišti registrační autority) a ověřit otisk ("fingerprint") tohoto certifikátu.
- Před použitím certifikátu vydaného PostSignum Root QCA ověřit platnost certifikátu PostSignum Root QCA a následně i platnost vydaného certifikátu; kontrola se provádí na správnost podpisu vydávající autority a vůči příslušnému aktuálnímu CRL a aktuálnímu času.

Myslíte, že to stačí na přesvědčení úřednice? Nebo máte nějaký přímočařejší zdroj? Něco ve smyslu "dojděte si na čekpojnt s flash diskem a nechte si to nahrát". A jak se díváte na to, že "mi to nikdo nepodvrhne"? Není to napomáhání k TČ? Kdyby mi to někdo přecejen podvrh' a došlo ke škodě, řešilo by se to s paní pracovnicí?

Btw. událost se udála na poště Na Strži.

       

Anketa

Komentáře

[CEST]

Rek bych, ze to staci. Je tam sice, ze to muzes ziskat i z webu, ale kdyby nekdo prudil, muzes si zkusit pripravit nejakej priklad, jak dojde hezky k podvrhnuti spatnyho certifikatu, napr. uplne jednoduchym phishingem.

Je tam ale taky uvedenej jako bezpecnej zdroj pracoviste RA, coz je zrejme ta posta, takze urednice uz prudit nemuze.

Nicmene tam mas jeste "a overit otisk", cili i kdyz to ziskas z bezpecneho-nebezpecneho zdroje, tak si to musis stejne overit, takze ti urednice muze treba i dat fingerprint a poslat te si to stahnout pres web. Ten fingerprint ale musi byt na nejakej oficialni listine.

[Jendа]

ale kdyby nekdo prudil, muzes si zkusit pripravit nejakej priklad, jak dojde hezky k podvrhnuti spatnyho certifikatu

V síti té pobočky nemám na žádném stroji roota , takže MITM + arpspoof se nekoná.

napr. uplne jednoduchym phishingem

Obávám se, že kdyby ten phishing vedl na nezabezpečenou (http://www.mojedatovaschranka.cn/) přihlašovací stránku, tak na to stejně spousta BFUček skočí :-/ Viz různé případy s bankami...

Není problém provést phishing, je problém anonymně a nenápadně odvést peníze .

[Zdeněk Štěpánek]

Je tam sice, ze to muzes ziskat i z webu...

A proto je tam ta druha veta ze by sis mel overit fingerprint, ten by ti mela dat ta slecna za prepazkou.

[.]

Předpokládám, že slečna za přepážkou stáhne všechny informace z webu PostSignum - včetně certifikátu a fingerprintu, ne?

[Luk]

Docela se bojím, že je tomu skutečně tak. Po té sérii bot, které už jsme se u ČP dočkali (nejen v souvislosti s ISDS, ale třeba také když jsem si kdysi pořídil elektronický podpis), bych se totiž něčemu takovém ani nedivil.

[xurpha]

Co takhle ji přinést vytištěné RFC? :-P

[Jendа]

Které? Ve kterém RFC se píše, že pracovníci CzechPointu musí ověřovat otisky certifikátů nebo je nahrávat kolemjdoucím na flashky?

[David]

nahrávat ... na flashky

Nedá mi to. Píše se flaška. Jenže to je z němčiny, správně česky je "lahev". Takže data nahráváme do lahve. Případně bych se přimlouval za pojmenování "mufler", jak si flash disk překřtila moje čtyřletá dcera - to se dá hezky skloňovat podle vzoru hrad.

[kotyz]

Ja myslel ze to je mufler, bez muflera, o muflerovi ... Prijde mi to lepsi tak.

[xsubway]

ROFL

[tuxmartin]

>>Takže data nahráváme do lahve.

Data nahravame zasadne na diskety.

[Grunt]

Z tebe E-Invent/ČP musí mít fakt radost.

[Jendа]

Když jsem šel domů, tak za mnou šel takovej strašně nenápadnej chlap s černejma brejlema.

Moment, někdo bouchá na dveře, musím jít otevřít.

[Filip Jirsák]

Nahrát si ten certifikát klidně můžete z webu, ale pak si musíte ověřit jeho otisk (i když je to jen SHA-1, ale podle vyhlášky tomu do konce roku musíte věřit). Osobně mi to přijde daleko jednodušší, než vyžadovat nahrání certifikátu na flash disk. Druhá věc je, že když na té poště budete požadovat otisk (třeba vytištěný), dopadnete nejspíš úplně stejně. A nedejbože kdybyste to chtěl třeba i s razítkem, datem a podpisem (protože byste asi těžko třeba u soudu argumentoval tím, že vám ten certifikát tenkrát ta hodná paní úřednice nahrála na flešku)…

[Filip Jirsák]

Jsem to odeslal nějak brzo…

Jinak v certifikační politice QCA v bodu 2.2.1 se píše, že certifikáty musí být zveřejňovány mimo jiné na „na registračních autoritách, kde je možné požádat o jejich zkopírování na přinesené médium“.

[Jendа]

Díky...

Rejpalové by mohli namítnout, že je taky možné tě požádat, abys mi věnoval tisíc korun

[Jendа]

To "přání" na začátku obsahovalo "...nebo otisk". Ale ouřednice to pak převedla na jednání o certifikátu (protože tam pořád chodí lidi jenom pro certifikát).

Ano, podpis by to chtělo, alespoň vím, co příště ještě požadovat.

Teď mě napadlo, co jí říct:

Když to teda nikdo nepodvrhne, tak si zobrazte detaily, opište mi to na papír a podepište/orazítkujte to

[Luk]

Když to teda nikdo nepodvrhne, tak si zobrazte detaily, opište mi to na papír a podepište/orazítkujte to

Nejhorší je, že by to třeba i klidně udělala. A až by byl průser, tak by to odskákala, protože oficiální předpis byl přece jiný. Odskákat by to přitom měli lidé typu pana Stieglera, kteří za to nesou skutečnou odpovědnost. Po tom, co všechno se událo, mám sto chutí podat trestní oznámení kvůli celé škále trestných činů. Problém je v tom, že by mohl být extrémní tlak z ministerstva vnitra na policii, aby to bylo zameteno pod koberec. Začlenit bývalé MIČR pod vnitro OPRAVDU nebyl dobrý nápad (tedy jak pro koho ).

[otasomil]

Je to teda mimo misu, ale stat potazmo ceska posta zas s obcanama a hlavne s firmama a institucema vydrbala.

1 Dokument v datove schrance nebude naveky - nemaji na to misto - posta si nemuze ani za penize dovolit dat obcanum i firmam to co treba seznam.cz dava zadarmo.

2 Pokud si bude osoba (fyzicka, pravnicka) chtit dokument uchovat tak si jej musi vytisknout, ale aby byl pravoplatny tak s tim musi nekam na postu ci povereny urad kde dostane overeni ze je dokument pravy - to vse pochopitelne za $$$.

Takto to bude delat kazda firma i organizace. Takze i vse zaplati a urady budou mit samozrejme poslani zadara.

Je to doslova vydirani soukromeho sektoru, obci, prispevkovych organizaci... a vsech co maji povinnost mit DS.

Ja jako soukroma osoba si necham uredni dopisy nadale posilat na naklady statu v papirove podobe. Nevidim nejmensi duvod proc dotovat postu kvuli tomu ze mi nejaky urad posle zpravu do DS.

[Luk]

Je to teda mimo misu, ale stat potazmo ceska posta zas s obcanama a hlavne s firmama a institucema vydrbala.

Poděkujme bývalému ministru Langerovi, který si chtěl ještě v tomto volebním období udělat jméno eGovernmentem a proto vymyslel ten současný rychlokvašák. Kdyby to bylo dobrovolné, tak je to vcelku jedno, ale pokud se něco zavede povinně, mělo by to být sakra dobře vymakané. To se o ISDS nedá říct ani náhodou. Když si odmyslím jiné věci, tak se to klidně mohlo zavést třeba až od 1.1.2011 a do té doby všechno pořádně vyřešit, a to za široké účasti (zejména odborné) veřejnosti.

Pokud si bude osoba (fyzicka, pravnicka) chtit dokument uchovat tak si jej musi vytisknout, ale aby byl pravoplatny tak s tim musi nekam na postu ci povereny urad kde dostane overeni ze je dokument pravy

To není pravda. Dokument bude právoplatný i v elektronické podobě. Jen když ho někdo bude chtít na papíře (třeba pro obchodního partnera), bude muset podstoupit konverzi.

[David Jaša]

To se o ISDS nedá říct ani náhodou. Když si odmyslím jiné věci, tak se to klidně mohlo zavést třeba až od 1.1.2011 a do té doby všechno pořádně vyřešit, a to za široké účasti (zejména odborné) veřejnosti.

... dopadlo by to jak státní maturity a zavádělo by se to s velkou slávou na straně oficiálních orgánů a s velkým odporem odborné veřejnosti 1.1.2021.

[Luk]

Já vím, že jsme v Česku Ale podle mě by bylo lepší vytvořit rozumně sestavený harmonogram a pak podle něj jet, než to jako teď dělat superhekticky, pak to v křeči poslední chvíle trochu zmírnit (mám na mysli posun povinného používání na 1.11.2009), ale s tím, že i tak to bude nedořešené a zcela zásadní dokumenty budou vydávány pár dnů před ostrým startem (např. vyhláška 194/2009 Sb. z 23.6.2009, tedy týden před spuštěním), a to bez jakékoli veřejné diskuse.

[otasomil]

>>>To není pravda. Dokument bude právoplatný i v elektronické podobě.

A kde ho vezmeme kdyz po nekolika tydnech se ze schranky automaticky smaze.

[Luk]

A kde ho vezmeme kdyz po nekolika tydnech se ze schranky automaticky smaze.

No to je potřeba ho někam mezitím uložit.

[otasomil]

>>>No to je potřeba ho někam mezitím uložit.

To jo, ale s ulozenym souborem na disku nemuzete nikde argumentovat.

Navic kde je zaruceno ze jste ten soubor nejak nemodifikoval.

[Filip Jirsák]

Když mi bude někdo věřit, je to zaručeno zobrazením příslušného BLOBu (což je formulář 602XMLFilleru opatřený elektronickou značkou) a zobrazením elektronické značky ISDS. Když mi to ale druhá strana nebude chtít věřit, mám docela problém, protože nikde není uvedeno, že mi to věřit musí.

[Filip Jirsák]

To není pravda. Dokument bude právoplatný i v elektronické podobě. Jen když ho někdo bude chtít na papíře (třeba pro obchodního partnera), bude muset podstoupit konverzi.

Jenže asi nikdo neví, jak to bude v praxi, zejména jak k tomu budou přistupovat soudy. Máte totiž BLOB, který vypadá, že je to PKCS7, kde je obálka datové zprávy ve formátu 602XMLFilleru, přílohy a to celé podepsáno nějakým systémovým certifikátem pošty nebo ministerstva. V tom BLOBu je první zádrhel – nikde není specifikováno, co to je a jak se to má prohlížet. Vy můžete tvrdit, že tam je faktura vašeho partnera na 5000 Kč, váš partner bude tvrdit, že jeho program tam jemu zobrazuje fakturu na půl milionu. V tomhle případě by soud asi uznal, že správný prohlížeč je ten od Šetsetdvojky, když se používá i v oficiální aplikaci ISDS – ale kdo zaručí, že to i různé verze toho oficiálního prohlížeče budou zobrazovat stejně? Druhý problém je ta elektronická značka – je sice od provozovatele hezké, že nějakou takovou značku ke zprávě přidá, ale ta značka nemá žádnou oporu v zákoně, nikde není uvedeno, co znamená z právního hlediska, že jí musím důvěřovat apod. Když můj protivník řekne, že neuznává to, že ta značka zaručuje, že zpráva byla doručena do datové schránky (a že neuznává související časové razítko, určující dobu doručení), co můžu dělat? Můžu požádat provozovatele (nebo ministerstvo), aby u soudu prokázal, že ta značka znamená to, co tvrdím já. Jenže ministerstvo tam tu značku dává o své vůli a má to stejnou váhu, jako kdyby tam tu značku přidával Pepa Vonásek od vedle. A do třetice, i kdyby soud uznal platnost té značky, mám tenhle dokument uložený někde doma na CD, každý rok ho vypálím na nové CD – ale nikdo mi ho nepřepodepíše, takže za 50 let tam budu mít stále ten elektronický podpis založený na SHA-1 a 1024bitovém klíči. Což mi bude celkem na nic, protože na vytvoření takového podpisu pro libovolný privátní klíč bude tou dobou mít výpočetní výkon pomalu i žehlička z Tesca.

[Luk]

Jenže tohle jsou obecné problémy, to nesouvisí jen s elektronickými dokumenty. Pokud je například dokument, který nemá podepsané všechny strany a není zapečetěný dohromady, vždycky někdo může tvrdit, že tam někdo nějakou část vyměnil (nebo to může i udělat a těžko se přijde na to, že to udělal). Taktéž nemusí být třeba za 50 let problém napodobit obyčejný podpis (tak, že to nepoznají ani nejlepší grafologové).

Nechci ani v nejmenším zlehčovat rizika plynoucí z elektronického doručování dokumentů (naopak, na mnohá rizika sám upozorňuji). Jen jsem chtěl říct, že nebude nutné dokumenty převádět do písemné formy, aby měly právní váhu.

[Filip Jirsák]

Ne, toto jsou problémy konkrétně českých datových schránek, obecně tyto problémy s elektronickými dokumenty nejsou. Pokud se používá kvalifikovaný elektronický podpis, odpadá problém s nikým nepověřenou důvěryhodnou třetí stranou (správce ISDS), protože při použití kvalifikovaného elektronického podpisu plynou povinnosti třetí strany ze zákona, zákon také dává jisté záruky a kvalifikované CA jsou důvěryhodné ze zákona. Při použití standardních a dokumentovaných formátů pro výměnu dat odpadá problém s BLOBem a jeho prohlížečem, protože je možné použít libovolný prohlížeč zobrazující správně daný formát, můžete jej překontrolovat, můžete si napsat vlastní. první případ je tedy chyba v zákoně, stejnou věc přitom zákon o elektronickém podpisu vyřešil správně. Druhý případ je problém zanesený pouze a jen datovými schránkami, bez nich by s největší pravděpodobností vůbec neexistoval, protože pro výměnu dokumentů by se používaly standardní podepsaná PDFka nebo standardní podepsané e-maily. Třetí problém nesouvisí přímo s datovými schránkami, ale s tím, že se nejprve nějak udělají datové schránky, teprve pak se začal řešit elektronický oběh dokumentů (který je podmínkou toho, aby datové schránky dávaly smysl), a archivace dokumentů se zatím neřeší vůbec (navzdory tomu, že byl na poslední chvíli novelizován zákon o archivnictví a spisové službě). Prostě se to řeší odzadu, věci, které se měly řešit se přešly a navíc se ještě nové problémy vytvořily. To vše zbytečně, protože elektronickou komunikaci se státní správou je možné navrhnout i tak, že bude efektivnější a bezpečnější než dnešní systém papírů a klikiháků.

Napodobit obyčejný podpis není problém ani dneska, ale elektronický podpis přinesl vyšší úroveň bezpečnosti – a datové schránky ji vrátily zpět minimálně na úroveň ručního podpisu, pravděpodobně ještě níž.

Jen jsem chtěl říct, že nebude nutné dokumenty převádět do písemné formy, aby měly právní váhu.

Pokud bude druhá strana ochotná akceptovat elektronický dokument z datových schránek, což ale nemusí. Já vím, že se tomu těžko věří, že je to hloupá a banální chyba v zákoně, ale ta chyba tam prostě je. Protože ten zákon i ten systém nejsou dělány tak, aby ošetřily i nepříznivé situace a případy, ale jenom tak, aby to nějak fungovalo v některých případech, které si autoři dokázali představit. A aby bylo možné si udělat čárku za eGovernment.

[Luk]

U některých dokumentů (přinejmenším těch, kde zákon vyžaduje ověřený podpis) se bude elektronický podpis používat i s datovými schránkami. Tedy přesněji řečeno, elektronický podpis s datovými schránkami přímo nesouvisí.

[Filip Jirsák]

Ano, jenže tam by elektronický podpis fungoval i bez datových schránek. Ale tam, kde to vše závisí jen na datových schránkách je to zhoršení situace oproti současnému stavu (buď si zaplatíte konverzi, a nebo budete v nejistotě, zda vám ten BLOB někdy k něčemu bude).

[Luk]

Ten "BLOB", pokud vím, není skutečný BLOB (tedy hromada binárních dat), nýbrž je to XML soubor s veřejným schématem (v příloze č. 1 k Provoznímu řádu). Je samozřejmě chybou, že s tím nelze (pokud nepočítám nějaké informační systémy, které by mohly mít implementovánu podporu) běžně pracovat s ničím jiným, než je 602XML Filler.

[Filip Jirsák]

Nikoli, je to XSL-FO rozšířené o jmenné prostory 602XMLFilleru (tedy onen starý .fo formát šestdovjkového filleru), zabalený a podepsaný v PKCS7. V provozním řádu jsou popsané pouze webové služby pro přístup k ISDS, tohle je ale „nativní“ formát trojkové verze 602XMLFilleru (pravděpodobně). Alespoň to tak bylo někdy koncem června, předpokládám, že to nestihli ještě do ostrého startu změnit…

[Luk]

Chtěl jsem se podívat, jak to v praxi doopravdy je, bohužel se mi to nepodařilo. Pomocí starých údajů jsem se do demo schránky nepřihlásil, musel jsem si vyžádat nové (proč???). Poté jsem se sice přihlásil, ale už tam narozdíl od předchozího dema nebyly žádné doručené zprávy (proč???).

Tak jsem chtěl zkusit jednu zprávu vytvořit, načež jsem se střetl s dementním vyhledáváním (nenašlo to "Ministerstvo vnitra", "Český telekomunikační úřad" ani žádný z dalších zkoušených úřadů; až jsem uspěl s termínem "město", kdy mi to nějaká města nabídlo). Když jsem chtěl vytvořit novou zprávu, chtělo to instalovat další komponentu 602XML Filleru (základní plugin to instalovalo hned po přihlášení), což chvíli trvalo, pak to oznámilo potřebu restartu počítače (!!!) a na závěr Internet Explorer 8 padl na hubu.

[Jendа]

Pomocí starých údajů jsem se do demo schránky nepřihlásil, musel jsem si vyžádat nové (proč???).

Mně to jde, přihlašoval jsem se naposledy v sobotu. Možná testovací schránky třeba po týdnu neaktivity mažou?

Poté jsem se sice přihlásil, ale už tam narozdíl od předchozího dema nebyly žádné doručené zprávy (proč???).

Gratuluji, já tam (registrace 2. července) taky žádné neměl.

Tak jsem chtěl zkusit jednu zprávu vytvořit, načež jsem se střetl s dementním vyhledáváním (nenašlo to "Ministerstvo vnitra", "Český telekomunikační úřad" ani žádný z dalších zkoušených úřadů; až jsem uspěl s termínem "město", kdy mi to nějaká města nabídlo).

Když dáš do názvu organizace "mini", tak to najde jenom Spramini a žádné jiné... Když dáš "úřad", tak to taky najde jenom dva. Možná nejsou v testovacím invajrmentu naimportovány všechny instituce?

Když jsem chtěl vytvořit novou zprávu, chtělo to instalovat další komponentu 602XML Filleru

Po mně ne (Firefox@Linux)

Internet Explorer 8

A dobře ti tak!

Btw. přihlašovací jméno aaaan5. Hmm... Jestlipak vylučují (neslušná) slova ze slovníku?

[Luk]

Komedie pokračuje. Teď jsem restartoval a zkusil znovu vytvořit tu zprávu. Povedlo se, ale když ji chci uložit, dopadá to legračně. Někam ji to naoko uloží, v 602XML Filleru uvnitř IE 8 ji vidím uloženou, ale normálně v souborovém systému není. Když ji chci uložit kamkoliv mimo domovský adresář, píše to, že nemám oprávnění. Možná je to problém Windows Vista (nějaké podivné pojetí práv nebo co), ale každopádně je to naprosto znemožňuje s datovou zprávou jakkoli normálně pracovat.

[Jendа]

Příloha:

• filler.png (62419 bytů)

Mně to uložit jde a dokonce jde uložený zfo zase načíst

V pluginu do Firefoxu se mi zase strašně mrví písma (antialiasing a kerning, v příloze), ve "standalone" fileru to nedělá...

Když ji chci uložit kamkoliv mimo domovský adresář, píše to, že nemám oprávnění. Možná je to problém Windows Vista (nějaké podivné pojetí práv nebo co), ale každopádně je to naprosto znemožňuje s datovou zprávou jakkoli normálně pracovat.

Řekl bych, že soudruzi z NDR to testovali jenom pod admin účtem, protože tak přece všichni pracují (viz třeba pruzení s updatováním, co jsem slyšel od Kapici)

[Luk]

Mně to uložit jde a dokonce jde uložený zfo zase načíst

Zkusil jsem to ve Firefoxu a jde mi to také (zřejmě nějaké "bezpečnostní vylepšení" IE 8 - naštěstí BFU tohle využívat nebudou, jinak by s tím bylo dost legrace).

Řekl bych, že soudruzi z NDR to testovali jenom pod admin účtem, protože tak přece všichni pracují

Jenže já mám Vista Home Premium a také dělám pod tím klasickým účtem, kde jde skoro všechno, případně se to na některé operace ptá. Například do C:\Temp mohu normálně zapisovat, ale v tom Filleru uvnitř IE mi to hlásilo chybějící oprávnění.

Jinak co jsem ten uložený soubor (což je koncept rozepsané zprávy, nikoli došlá zpráva, která může vypadat jinak), tak je to klasický soubor 602XML, čili XSL-FO, v něm ta prasárna od Software602 a uvnitř toho teprve samotná obálka datové zprávy a případně obsah zprávy (přílohy). Drtivou většinu souboru zabírají formátovací objekty.

[Jendа]

Jenže já mám Vista Home Premium a také dělám pod tím klasickým účtem, kde jde skoro všechno, případně se to na některé operace ptá. Například do C:\Temp mohu normálně zapisovat, ale v tom Filleru uvnitř IE mi to hlásilo chybějící oprávnění.

Já vím, že to jde. Měl jsem tu čest Windows Vista vyzkoušet a viděl jsem, jak to mají (relativně elegantně) vyřešené třeba i pro aplikace, které si zapisují konfiguraci do Program Files/ (tedy... vlastně... \ ) Ale to nic nemění na tom, že celá tahle taškařice je určena pro BFU a ti dost často na oprávnění kašlou. I když zase třeba ve firmách s tím budou pracovat uživatelé, kteří jsou opravdu jenom uživatelé. Není to dořešené.

[Filip Jirsák]

Nikoli, je to XSL-FO rozšířené o jmenné prostory 602XMLFilleru (tedy onen starý .fo formát šestdovjkového filleru), zabalený a podepsaný v PKCS7.

Tak se musím opravit, onen BLOB je opravdu popsán v popisu webových služeb. Hledal jsem informace o výstupu XML602Filleru, a ono je to popsáno opačně – že výstup webové služby umí zobrazit i 602XMLFiller. Takže momentálně existují dva různé formáty .zfo pro 602XMLFiller – SOAP XML ISDS zabalené a podepsané jako PKCS7, a původní starý formát postavený na XSL-FO.

[David Jaša]

Mě se na třetí pokus povedlo certifikáty získat - když si můj úředník s kolegyní oddechli něco ve smyslu: "jo, to jsou ty soubory k elektronickému podpisu".

[rastos]

Myslím, že chcieť od poštárky za prepážkou, aby rozumela fungovaniu elektronického podpisu a certifikačnej autority je utopické. Mala by to vedieť, ale bol by som prekvapený, keby to skutočne vedela. Je jasné, že asi prešli nejakým týždňovým školením, ale je to tak komplikovaná téma, že to proste nemôže fungovať. Koľko návštevníkov abíčka vie z hlavy, aký je postup získania certifikátu, čo v ňom je a čo v ňom nie je, aký je rozdiel medzi zaručeným a kvalifikovaným ... A to máš v tejto oblasti podstatne fundovanejšiu populáciu.

To môže fungovať len tak, že niekde budú na telefóne sedieť 2-3 odborne zdatní ľudia a na nich budú presmerované všetky takéto požiadavky z celej republiky. Plus ešte si môžu dať záležať na dobrom vysvetlení na webových stránkach a prípadne rozdistribuovaní nejakých plagátov. Alebo to pichnúť do nejakých papierových dokumentov, ktoré klient dostane. Ak niečo také je.

Ale chcieť to od pani čo má možno 50 rokov a strednú školu ... to nemá nádej na úspech.

[Jendа]

Myslím, že chcieť od poštárky za prepážkou, aby rozumela fungovaniu elektronického podpisu a certifikačnej autority je utopické.

To není pošťačka, ale CzechPointařka. Když chce stát povinně zavádět e-gov, tak holt musí zaplatit proškolené lidi. A je to oblastní pošta pro docela široké okolí, odborníka/proškolence v nějaké vesnické poštičce bych nečekal.

Když ví (má naučeno), že když chce člověk osobní certifikát, tak má udělat to, to, to a to a vyplnit růžový formulář 434/35b, tak má vědět, že když chce někdo fingerprint, má mu dát orazítkovanou vizitku s nějakými čísly (tu by tam samozřejmě musela mít) a když chce někdo kořenový certifikát PostSigna, tak mu má na flash disk () nakopírovat soubory z plochy.

Každopádně mi říkala, že jsem první, kdo něco takového chce... Takže jiní z Prahy 4 na bezpečnost zjevně kašlou.

[xsubway]

 

... nakopírovat soubory z plochy.

asi bych raději "risknul" ten web

 

[David Jaša]

Myslím, že chcieť od poštárky za prepážkou, aby rozumela fungovaniu elektronického podpisu a certifikačnej autority je utopické.

Pošťačka nemusí znát principy (např. algoritmus RSA), ale musí perfektně znát postupy (např. kdy a jak ověřit certifikát).

[rastos]

musí perfektně znát postupy (např. kdy a jak ověřit certifikát).

A mala by vedieť, že fingerprint môže byť MD5 alebo SHA1, aký je rozdiel medzi "Issued To" a "Issued By", aký je rozdiel medzi fingerprint-tom a "Serial Number", či je súbor vo formáte DER alebo PEM, že použitie certifkátu môže byť obmedzené na mail/web/..., či v certifikáte mám mať Common name, alebo Organization Unit, ...

Veľa šťastia.

[David Jaša]

Jo. Co je za problém? Holt na certifikační služby jsou potřeba ti schopnější z přepážkových úředníků/úřednic, podobně jako pro bankovní služby (které ČP mimochodem taky poskytuje).

[bafopetr]

Hosi, bud s tim teda neco udelejte nebo na to kaslete. Jenom na okraj: Pred par dny jsem si byl pro certifikat na CP a byla to katastrofa. Nejdriv me nutili si vygenerovat PK! k certifikatu na neduveryhodne strance (kdyz jsem se ptal na helpdesku, jak je to mozne, odpovedeli mi neco ve stylu, ze tomu nerozumim). Pak ta posta samotna...katastrofa. Ale co. Ze je to cele nedostatecne bezpecne je jasne v ocich kazdeho, kdo ma oci. Je ale spousta lidi, kteri za to byli bohate odmeneni a dodali to jako vysledek sve prace. Bud teda zformulujte trestni oznameni nebo to aspon dobre popiste a poslete do medii, at z toho udelaji kauzu. Jinak se to postupne utisi a vyresi a pouceni na zaver nebude zadne...

[Filip Jirsák]

Nejdriv me nutili si vygenerovat PK! k certifikatu na neduveryhodne strance

Tady na Abíčku najdete v nějakém blogu popis, jak to udělat s důvěryhodným openssl na svém důvěryhodném počítači. zrovna tohle je myslím ten nejmenší problém…

[bafopetr]

To neni vubec o mne. Ja jsem taky nikde nepsal, ze jsem si ho vygeneroval na webu CP. Vygeneroval jsem si ho pekne u sebe na kompu, protoze mi okamzite docvakla rizika (navic tam ani neumoznuji nejakym pohybem mysi zasahnout do vygenerovaneho klice, takze se da jenom doufat, ze nepouzivaji pseudonahodny generator ale nejaky hardware). To ale neznamena, ze to stejne udela i moje mati. Takze 99% lidi pujde cestou nejmensiho odporu - webu s podvrhnutelnym certifikatem.

[Jendа]

Bud teda zformulujte trestni oznameni nebo to aspon dobre popiste a poslete do medii, at z toho udelaji kauzu.

Strašně rád bych. Ale bojím se, že z pohledu člověka, který tomu celkem rozumí, to nedokážu sepsat tak, aby tomu rozuměla široká veřejnost.

[Luk]

Silně o trestním oznámení uvažuji, jak už jsem ostatně napsal. Ale podával bych ho každopádně státnímu zastupitelstvu, protože při klasickém podání přes policii by velmi hrozilo tiché zametení pod koberec (Policie ČR patří pod ministerstvo, které je za současný stav odpovědné a pod které patří i Česká pošta), státní zástupci patří pod jiný resort. I tak nevidím jako příliš reálné, že by se něco vyšetřilo. Tlaky na to, aby se neprovalil skutečný stav věci, budou jistě extrémní (ISDS je sice Langerovo dítě, část prací už ale probíhala za Peciny, hlavně je tam ale i řada dalších lidí, kteří by neradi měli potíže).

[Jendа]

Aha, můj komentář byl určen až druhé polovině věty, jestli to z toho nevyznělo. Medializovat by to chtělo, ale co a jak, aby to BFU pochopili? Nějaké návrhy? [Salamku, jak jsi na tom s tím videem? ]

[Luk]

Medializaci také, ale bylo by rovněž žádoucí, aby se řešila i trestněprávní stránka věci, protože následky mohou být nedozírné a pokud někdo úmyslně "kázal bludy", měli by ho zavřít, až zčerná.

[Radovan Garabík]

Ja som si pred pár rokmi zakladal účet v istej nemenovanej banke, a k internet bankingu som chcel, aby mi na pobočke dali fingerprint certifikátu. Samozrejme netušili o čom hovorím, ale posunuli to ďalej, a na druhý deň mi niekto z banky volal, že mi to môže poslať (samozrejme nezabezpečeným!) e-mailom. Keď som vyjadril svoju nedôveru, tak mi ochotne fingerprint nadiktoval cez telefón.

Samozrejme, okrem toho, že sa predstavil ako pracovník banky nemám žiadnu istotu, že ním naozaj bol

[Eregon]

Moje banka mi nedávno vydala novou platební kartu, jelikož stará vyexpirovala. A poněvadž jsem už lecjak zhýčkaný od jiných bank, osobní cesta na pobočku (navíc do města, kde se již delší dobu nevyskytuji) se mi stále nemohla vejít do plánů.

Až mi jednoho dne přišla domů výpověď smlouvy o té platební kartě. Sice na ní je rukou napsáno: "Důvod: nevyzvednutí", ale že by se bankovní úředník obtěžoval aspoň s podpisem? To ani omylem.

Jestliže nejsou schopní mít v pořádku ani takové formality, jako je ruční podpis na nějakém dokumentu, vážně si nedělám žádné iluze o tom, jak to u nich musí vypadat s osobními certifikáty pro přístup k banovnictví. Snad si ani oni nedělají iluze, že bych si u nich někdy bankovnictví pořídil, a snad si nědělají iluze ani o tom, že bych jim za účet bez elektronického bankovnictví někdy začal platit :D

[Libor Chocholaty]

Ja v tehle pripadech se slzou v oku vzpominam na elektronicke bankovnictvi IPB.