abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 0
dnes 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
dnes 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
včera 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
včera 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 3
7.12. 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
7.12. 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 2
7.12. 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 10
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 27
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 801 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Digitální podpis

24.1.2008 21:56 Karlik
Digitální podpis
Přečteno: 1938×
Nevím, jestli jsem smeroval svuj dotaz na spravne misto ( http://www.abclinuxu.cz/clanky/bezpecnost/ssl-1-certifikaty/diskuse#19 ) a tak ho radsi davam primo do diskuze sem:

Dobry den, snazim se pochopit certifikaty a digitalni podpisy. Chtel bych totiz sve ucetni nechat vystavit digitalni podpis od CA PostSignum Ceske posty, aby mohla posilat oficialni maily na urady. Jsem z toho ale zmatenej a proto procitam vsechny navody, abych pochopil, jak to vlastne vsechno funguje. Nejde mi o to, abych do toho videl na 100 procent, ale spis nevim, na co ji mam upozornit, aby si hlidala jako oko v hlave atd. Vim, hlidejte si soukromy klic (ctu vsude), ale rarazi me uz jen import do mailovych klientu. Bojim se, aby se ji soukromej klic nevalel, kde nema a mela o nem absolutni prehled. Proto jsem si procital napriklad tento clanek X krat, i jsem si klice vygeneroval a vse funguje bez problemu. Muzete mi ale prosim rici (kdyz pominu me dotazy ohledne funkcnosti celeho mechanizmu overovani) co jsou tyto sobory:

RSpublickey (logicky z nazvu - verejny klic) musi ho mit i prijemce,ze? RSprivatekey (logicky z nazvu je to prave to oko v hlave - privatni klic) RScertificate.pem (co je ale toto? To je snad privatni klic vcetne verejneho klice? Tomu prave nejak nerozumim).

A soubor p12 je nejaky balik privatniho a verejneho klice? (akceptuji ho mailovy klienti)

Snad pochopite o co mi jde a pripadne mi poradite. Budu Vam moc vdecny. Karlik

Odpovědi

24.1.2008 22:17 Jary | skóre: 30 | blog: Jary má blog | Dům
Rozbalit Rozbalit vše Re: Digitální podpis
Přesně nevím, ale:

Ač se na WP nepíše že pem může obsahovat privátní klíš zašifrovaný, tak já ho zašifrovaný mám pomocí DES. Privátní klíč obsahovat může, ale nemusí. Je to v plaintextu, tak se stačí kouknout.

p12 je binární šrot. Asi je to binární obdoba .pem. WP, p12
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
24.1.2008 22:40 Jary | skóre: 30 | blog: Jary má blog | Dům
Rozbalit Rozbalit vše Re: Digitální podpis
Mno a zapoměl jsem říct, že jelikož je ten klíč zašifrován pomocí symetrického šifrování, tedy třeba pomocí krátkého hesla, je asi možné ten public key vylámat v několika dnech. Takže nedávat nikomu .pem ani p12!

Tolik ode mě. Někdo znalejší, nechť mě doplní a opraví.
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
25.1.2008 10:32 pedro
Rozbalit Rozbalit vše Re: Digitální podpis
No je to těžký. Je potřeba rozlišovat asi tyto pojmy:
- certifikát CA příjemce
- certifikát CA tvojí
- certifikát tvůj
- certifikát příjemce
- soukromý klíč tvůj

tyto mohou být v jednotlivých souborech.

PKCS12 je struktura, která může obsahovat vše výše uvedené.

Šifrovat a podepisovat se dá IMHO v zásadě dvěma způsoby:
1.) naimportovat PKCS12 strukturu do mailového klienta (Seamonkey, Thunderbird) a nechat podepsání či šifrování na něm. V tomto případě ten mailový klient má k dispozici soukromý klíč a tedy si s tím soukromým klíčem může dělat co chce (například ho archivovat b "bezpečném uložišti" v Redmondu ;-) ).


2.) - asi nejbezpečnější způsob, ale poněkud krkolomný - předpřipravit si e-mail do souboru už včetně případného attachmentu a vytvořit z toho podepsaný či zašifrovaný mail pomocí příkazu "openssl smime". V tomto případě má k dispozici soukromý klíč jen openssl. Výstup se dá poslat na mail nebo sendmail apod.

Samozřejmě, pokud se soukromý klíč vyskytuje na disku, může ho sebrat kdokoli a cokoli (tím myslím software), kdo má právo čtení toho soubory, tedy vlastně kterýkoli program, běžící pod tvým UID.

Způsobů je samozřejmě více a problematika velmi rozsáhlá. Tohle byl jen takový malý příspěvek.
25.1.2008 12:42 Karlik
Rozbalit Rozbalit vše Re: Digitální podpis
(díky za reakce a odpovedi) rychlý dotaz, málo času: Můj certifikát mám chápat jakou můj privátní klíč nebo jak? V tom článku se dá s certifikátu vytáhnout veřejný klíč, což mi nějak nehraje:(
26.1.2008 12:05 Radek Rambas
Rozbalit Rozbalit vše Re: Digitální podpis

Preji hezky den.

Pouzivam Debian a podle navodu https://www.abclinuxu.cz/blog/hufhendr/2005/9/kvalifikovany-certifikat-ceske-posty jsem si vygeneroval pozadavek na digitalni podpis. V soucasne chvili mam 2 soubory: cert.req a private.key. Na postu tedy ponesu soubor cert.req, ale uz nevim, co tam jeste vzit. Kdyz jsem zkousel generovat zadost v programu PostSignumTool, mel jsem soukromy klic ve formatu *.ppk, dale pak dir.info a user.info a u zadosti jeste zadost ve formatu *.pdf.

Me otazky tedy zni:

1. kde a jak vytvorim zadost ve formatu *.pdf a je ho opravdu potreba vzit s sebou na Postu?

2. tuto vyplnenou smlouvu musim vzit take na postu? (nasel jsem ji nahodou) http://qca.postsignum.cz/www/contract.php?customer=PO

3. pokud se snazim vytvorit podpis pro sveho zamestnance pod hlavickou firmy, musim jit s nim take na postu? V pripade, ze ano, jak funguje overeni, ze souhlasim s tim, aby zamestnanec mohl podepisovat firemni maily?

4. pouze pro upresneni: Podpis lze pouzivat jen v navaznosti na vyplněný e-mail, tzn. že půjdou podepisovat pouze zpravy odeslane z tohoto e-mailu, ze? (tzn. zprava jako celek, nikoliv napr. prilohy ve formatu pdf?)

5. Podpis lze pouzivat na jakemkoliv pocitaci (napr. s Thunderbirdem), kam naimportuji soubor ve formatu *.p12 ?

6. a snad jiz posledni vec: Po vygenerovani souboru *.p12, mohu jiz private.key ulozit na bezpecne misto, napr. do trezoru a pouzivat pouze soubor *.p12 ?

Omlouvam se za tolik dotazu na jednou, ale posbirane informace z nekolika zdroju mi nejak nedavaly smysl, proto bych byl rad, kdyby se odpovedi na konkretni otazky sesly na jednom miste. Doufam, ze toto pomuze v budoucnu kazdemu, kdo jeste nema el. podpis České pošty a díky návodům na www.postsignum.cz zamer, poridit si ho, vzdal.

Dekuji Vam vsem.

26.1.2008 12:17 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Digitální podpis
ad 1) – PDF jsou pravděpodobně papírové doklady o žádosti o certifikát a jeho vystavení. Kvalifikovaný certifikát asi nejde vydat jen tak „bez důkazů“, zřejmě k tomu musí být nějaký váš souhlas, což musí být stvrzeno podpisem. Nevím, dza to plyne přímo ze zákona, nebo z certifikační politiky PostSignum.

ad 3) může to nějak upravovat certifikační politika PostSignum, ale např. I. CA stačí podepsané (ověřený podpis?) prohlášení někoho, kdo je oprávněn za organizaci jednat, že dotyčná osoba je skutečně zaměstnancem organizace. A pak je dále potřeba (ověřené) potvrzení toho, že onen zástupce je opravdu oprávněn organizaci zastupovat (tedy např. rozhodnutí valné hromady, jmenovací dekret atd.)

Použití souboru *.p12 záleží na tom, co vše je v něm uloženo. Každopádně pro běžné používání by měl být privátní klíč v úložišti chráněn heslem – ať už je to úložiště nějakého programu, nebo soubor na disku.
26.1.2008 12:29 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Digitální podpis
RScertificate.pem (co je ale toto? To je snad privatni klic vcetne verejneho klice? Tomu prave nejak nerozumim)
Certifikát je obecně veřejný klíč + identifikace majitele klíče, to celé podepsané certifikační autoritou. Protože ale pro podepisování potřebujete k certifikátu i privátní klíč, umožňují různé souborové formáty uložení certifikátu a privátního klíče do jednoho souboru (často tam může být uložena i celá certifikační cesta, může tam být uloženo certifikátů a klíčů víc). Asi tedy nemá smysl se moc orientovat podle názvu případně přípony souboru, ale spíš podle toho, co soubor skutečně obsahuje. Takže doporučuji si nějakým programem (třeba openssl) zobrazit, co v tom souboru skutečně je. A podle toho se k tomu chovat. Pokud je tam jen certifikát, je to veřejná věc. Pokud je tam i soukromý klíč, je potřeba ten soubor chránit – pokud by tam byl klíč nešifrovaný, mít to uložené třeba někde v trezoru (a i tak je otázka), pokud je to klíč chráněný silným heslem, můžete ho mít třeba někde uložený na disku nebo naimportovaný do důvěryhodného úložiště certifikátů. Ovšem i tak může třeba root s keyloggerem k takovému klíči získat přístup – vyššího stupně zabezpečení dosáhnete tak, že šifrování bude probíhat v nějakém externím zařízení, do kterého budete zadávat heslo (PIN) přímo. Ale to už je pro běžné použití (bohužel) spíš sci-fi.
26.1.2008 15:34 Jary | skóre: 30 | blog: Jary má blog | Dům
Rozbalit Rozbalit vše Re: Digitální podpis
Ovšem i tak může třeba root s keyloggerem k takovému klíči získat přístup – vyššího stupně zabezpečení dosáhnete tak, že šifrování bude probíhat v nějakém externím zařízení, do kterého budete zadávat heslo (PIN) přímo. Ale to už je pro běžné použití (bohužel) spíš sci-fi.
Hmm, zajímalo by mě, když znám proud dovnitř i ven ze šifrovacího zařízení, jak může být těžké zjistit klíč, když zařízení šifruje třeba pomocí ElGamal, nebo RSA? Ví někdo, nebo ty šifry budu muset někdy nastudovat, abych se to dozvěděl?
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
26.1.2008 15:53 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Digitální podpis
Hmm, zajímalo by mě, když znám proud dovnitř i ven ze šifrovacího zařízení, jak může být těžké zjistit klíč, když zařízení šifruje třeba pomocí ElGamal, nebo RSA? Ví někdo, nebo ty šifry budu muset někdy nastudovat, abych se to dozvěděl?
V tom je právě vtip šifrování :-) Současné asymetrické šifry jsou většinou postavené na tom, že existuje nějaká matematická funkce, kterou umíme relativně rychle spočítat, ale spočítat funkci inverzní trvá dlouho (tak, že by to dnešní počítače počítaly třeba tisíce let). Například vynásobit dvě prvočísla je snadné, rozložit složené číslo na součin dvou prvočísel je pracné – vizte faktorizace.

Pro představu –kdyby třeba ona šifra byla umocňování, tak vy i když budete vědět, že otevřený text je 31, zašifrovaný text je 28629151 a šifrování je 31x=28629151 (x je tedy klíč), bude vám výpočet téhle rovnice z hlavy trochu trvat, pokud neznáte nějaký efektivnější algoritmus, než je postup „hrubou silou“. Pro šifrování se používají takové funkce, u nichž není dnes žádný chytrý algoritmus znám (a předpokládá se, že ani neexistuje). Jenom ta čísla se pak musí zvolit trochu větší, aby to ani počítače nezvládli prostě hrubou silou – vyzkoušením všech možnosti.
26.1.2008 15:57 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Digitální podpis
aby to ani počítače nezvládli prostě hrubou silou – vyzkoušením všech možnosti.
Tak buďto „aby to lidé nezvládli ani s pomocí počítače“, nebo „počítače nezvládly“, ten kompromis se gramaticky moc nezdařil…
26.1.2008 16:12 kolemjdouci
Rozbalit Rozbalit vše Re: Digitální podpis
OT: pane Filipe, vím, že to myslíte dobře, ale zde nejsme v žádném češtinářském kroužku a proto jsou důležitější odpovědi k věci (i když těch věcných odpovědí od Vás je jasná převaha). Kolikrát se stane, že se zde začne řešit češtinářská korekce a jádro věcných otázek a odpovědí zanikne. Takže to, prosím, neberte ve zlém, je to pouze můj nestranný názor.

BTW: na obhajobu češtinářsky pomýleného kolegy bych dodal to, že gramatické chyby mohou být důsledkem vrozených matematických a jinak logických dispozic onoho jedince;)
26.1.2008 17:40 Filip Jirsák | skóre: 66 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: Digitální podpis
Za prvé, nemám rád rozlišování komentářů na „faktické“ a „češtinářské“ – faktická chyba i jazyková chyba vedou k tomu, že čtenář buď danou věc nepochopí, nebo ji pochopí špatně, nebo je pochopení pracnější. Ač profesí informatik, patřím k lidem, pro které je i jazyková stránka projevu podstatná, a přikládám význam i takovým věcem v textu, které jsou pro ostatní nepodstatné (např. použití jiného slova, zdánlivě synonyma). Takže ignorovat jazykové chyby na webu o počítačích mi připadá asi tak stejně rozumné, jako kdyby někdo v diskuzi lingvistů napsal, že dvě a dvě je pět – kdyby ho pak někdo opravil, ostatní by ho okřikli, že ta chyba přece nevadí, hlavně že to bylo napsané „hezky česky“ a bez chyb (zde ovšem pravopisných, že).

Za druhé, oním kolegou pomýleným v češtině jsem byl já, je to důsledek obyčejné nepozornosti, žádné vrozené dysfunkce. Protože jsem si té chyby sice všiml, ale až v okamžiku zobrazení odeslaného příspěvku, mohl jsem se buď tvářit, že o chybě nevím, a doufat, že si jí moc lidí nevšimne, nebo se jednoduše rovnou přiznat v dalším komentáři. Čestnější mi připadá to druhé.

Za třetí, teď abych se radši na tenhle odeslaný příspěvek ani nedíval, abych si zase nevšiml nějaké své další chyby… :-)
26.1.2008 18:30 Jary | skóre: 30 | blog: Jary má blog | Dům
Rozbalit Rozbalit vše Re: Digitální podpis
Tohle vlákno by mohlo pokračovat, je celkem zajímavé.
.sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.
28.1.2008 11:22 Radek Rambas
Rozbalit Rozbalit vše Re: Digitální podpis
Dekuji Vam za odpoved i kdyz ne uplnou. To tu neni nikdo, kdo ma konkretni zkusenost s el. podpisem Ceske posty?
26.3.2009 20:32 Jecnak
Rozbalit Rozbalit vše Re: Digitální podpis

Je treba spustit si certmgr.msc a vyexportovat vcetne soukromeho klice onen certifikat ve formatu PKCS c12 (12) zvolit si heslo a ulozit na vhodne misto. Nasledne probehne import osobniho certifikatu bez problemu. Je samozrejme nainstalovat i certifikaty certifikacni autority, v tomto pripade Post Signum QCA. Snad to pomuze.

26.3.2009 21:39 ZAH | skóre: 42 | blog: ZAH
Rozbalit Rozbalit vše Re: Digitální podpis
Máte li na mysli zaručený el. podpis od PostSignum České pošty je soubor p12 obvykle kompletním podpisem šifrovaný jednoduchým PINEM (Doporučuji slušnou úroveň).

Jak se k tomuto výslednému tvaru dostanete. Nejprve se vygeneruje pár klíčů privátní a veřejný. Tyto se doplní o údaje o vaší osobě (Záleží na typu podpisu osobní , firemní více web postsignum). Vygeneruje se žádost. Jde v podstatě o veřejný klíč a identifikační údaje. Tyto jsou exportovány a nepřestavují žádné bezpečnostní riziko. S takto vygenerovanou žádostí navštívíte příslušnou poštu, kde údaje ověří. Pro podpis zaměsnace je nutný podpis oprávněné osoby firmy. A poté elektronicky podepíší vaší žádost. Takto podepsanou žádost si odnesete domů, kde jí spojíte s privátním klíčem a vznikne kompletní elektornický podpis. Tento se často exportuje právě do šifrovaného tvaru p12. (Přenositelný tvar podpisu) Jednoznačně doporučuji silné heslo.

Takže pro rekapitulaci p12 obsahuje dvojici vašich klíčů privátní a veřejný spolu s údaji o vaší osobě a účelu vystavení podpisu. Dále podpis certifikační autority k datům veřejné části veřejného klíče a identifikace.

K ověření podepsaných dat tímto podpisem by se neměla používat veřejná část klíče (zaslané držitelem), ale ověření integrity podpisu proti veřejné části podpisu certifikační autority.

Jinak k tomu importu do mailových klientů a podobných programů. Doporučuji jiný podpis, Kde bude účel pouze podpis el. pošty. a ještě lépe uložit podpis na čipovou kartu.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.