abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 02:20 | Zajímavý článek

David Revoy, autor open source webového komiksu Pepper&Carrot nebo portrétu GNU/Linuxu, upozorňuje na svém blogu, že nový Inkscape 0.92 rozbíjí dokumenty vytvořené v předchozích verzích Inkscape. Problém by měl být vyřešen v Inkscape 0.92.2 [reddit].

Ladislav Hagara | Komentářů: 0
dnes 02:02 | Komunita

Øyvind Kolås, hlavní vývojář grafických knihoven GEGL a babl, které využívá grafický program GIMP, žádá o podporu na Patreonu. Díky ní bude moci pracovat na vývoji na plný úvazek. Milník 1000 $, který by stačil na holé přežití, se již téměř podařilo vybrat, dalším cílem je dosažení 2500 $, které mu umožní běžně fungovat ve společnosti.

xkomczax | Komentářů: 0
včera 23:54 | Pozvánky

DevConf.cz 2017, již devátý ročník jedné z největších akcí zaměřených na Linux a open source ve střední Evropě, proběhne od pátku 27. ledna do neděle 29. ledna v prostorách Fakulty informačních technologií Vysokého učení technického v Brně. Na programu je celá řada zajímavých přednášek a workshopů. Letos je povinná registrace.

Ladislav Hagara | Komentářů: 0
včera 22:11 | Nová verze

Byla vydána verze 1.0.0 emulátoru terminálu Terminology postaveného nad EFL (Enlightenment Foundation Libraries). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
20.1. 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 3
20.1. 15:51 | Komunita

Mozilla.cz informuje, že nástroje pro webové vývojáře se možná oddělí od Firefoxu a stanou doplňkem. Nástroje pro webové vývojáře prošly velkým přepisem a tým, který se stará o jejich vývoj, by uvítal možnost jejich častějších aktualizacích nezávisle na vydávání nových verzí Firefoxu.

Ladislav Hagara | Komentářů: 7
20.1. 07:00 | Humor

Čtenářům AbcLinuxu vše nejlepší k dnešnímu Dni zvýšení povědomí o tučňácích (Penguin Awareness Day).

Ladislav Hagara | Komentářů: 0
20.1. 06:00 | Komunita

Bylo spuštěno hlasování o přednáškách a workshopech pro letošní InstallFest, jenž proběhne o víkendu 4. a 5. března v Praze. Současně byla oznámena změna místa. InstallFest se letos vrací zpět na Karlovo náměstí do budovy E.

Ladislav Hagara | Komentářů: 0
20.1. 02:48 | Komunita

Greg Kroah-Hartman potvrdil, že Linux 4.9 je jádrem s prodlouženou upstream podporou (LTS, Long Term Support). Podpora je plánována do ledna 2019. Aktuální jádra s prodlouženou podporou jsou tedy 3.2, 3.4, 3.10, 3.12, 3.16, 3.18, 4.1, 4.4 a 4.9.

Ladislav Hagara | Komentářů: 0
20.1. 00:11 | Zajímavý článek

Výrobce síťových prvků, společnost Netgear, spustila nový program, který slibuje vývojářům, expertům, ale i běžným uživatelům vyplacení finanční odměny za nalezení bezpečnostních chyby v jejich produktech. Za nalezení zranitelnosti v hardware, API nebo mobilní aplikaci nabízí odměnu od 150 do 15 tisíc dolarů (dle závažnosti).

Michal Makovec | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (74%)
 (3%)
 (10%)
Celkem 353 hlasů
 Komentářů: 25, poslední včera 13:34
    Rozcestník
    Reklama

    Dotaz: Konverze cerfikátů (DER->PKCS12) a .key soubor

    26.3.2012 10:31 guzii | skóre: 2 | Olbramovice + Ostrava (kolej)
    Konverze cerfikátů (DER->PKCS12) a .key soubor
    Přečteno: 1113×
    Příjemné slunné pondělí.

    Stojím před problémem konverzace DER certifikátu, který obdržím po exportu ze SmartCard, kde má naše účetní uloženy certifikáty pro přihlašování se do banky a datové schránky, na typ PKCS12.

    Účetní musí aktuálně zadávat i 10x pin ke kartě při přihlašování se do datové schránky skrze IE (něco jiného odmítá používat), velice rád bych jí zkusil zprovoznit Datovku. Pro její použití ovšem potřebuji .pk12 typ certifikátu. Exportem z karty dostanu DER certifikát, který následně konvertuji na PEM. Pro následnou konverzi na PKCS21 ovšem potřebuji jak samotný .pem soubor, tak i .key sobour, který bohužel nemám a netuším kde k němu přijít.

    Pokoušel jsem se exportovat certifikát ze samotného IE, který mi nabídne pouze pk7. Ostatní volby jsou zašedlé.

    Prosím tedy o radu kde by mohl být klíč uložen, abych mohl celý proces zdárně dovést do konce.

    Řešení dotazu:


    Odpovědi

    26.3.2012 11:04 SPM | skóre: 28
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    To bohužel nepůjde - ten klíč (.key) je nahraný v té kartě taky, nicméně z ní nejde nijak vyexportovat - kvůli tomu se ty karty používají... jiná otázka je, proč ten PIN musí 10x zadávat - ke svému tokenu spustím prohlížeč, PIN zadám jednou a dokud token nevyndám, tak to funguje automaticky.
    26.3.2012 11:23 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Z tohoto důvodu nikdy negeneruju privátní klíč rovnou na kartě, ale vytvořím ho v počítači, zazálohuju a až pak nahraju na kartu. Přijít o privátní klíč kvůli tomu, že je jen na kartě, je velice snadné.
    26.3.2012 14:55 guzii | skóre: 2 | Olbramovice + Ostrava (kolej)
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Správa certifikátů/klíčů do mých kompetencí nespadá. Certifikáty byly vygenerovány cca před rokem Českou poštou a účetní si k nim nic moc nezapamatovala.

    Otázka tedy zůstává, zda se ke klíči mohu dostat při další obnově certifikátů.
    26.3.2012 15:27 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Certifikáty byly generovány Českou poštou (CA), ale privátní klíč by měl být vygenerován u vás, ne v CA. K privátnímu klíči se nemá nikdo cizí dostat, ani CA. To je mimochodem podstatná součást zabezpečení infrastruktury veřejných klíčů s institucí certifikační autority – protože ani té certifikační autoritě nejste vydán na milost a nemilost. I kdyby CA vydala certifikát na vaše jméno někomu jinému, pořád to budou dvě různé dvojice klíčů, které je od sebe možné odlišit.

    Pokud je to kvalifikovaný certifikát od PostSignum, tam si při obnově vygenerujete novou žádost s novou dvojicí klíčů, a to podepíšete starým certifikátem. A mělo by to jít i v jiných případech, protože obnova certifikátu se dělá mimo jiné i pro případ, že by privátní klíč byl kompromitován. Myslím, že v případě kvalifikovaných certifikátů ani není možné použít stejný klíč dvakrát, CA by vám měla takovou žádost odmítnout a původní certifikát revokovat.

    Takže šanci tam máte, akorát je potřeba si na to dát pozor, protože software vás bude nejspíš tlačit do vygenerování klíče rovnou na kartě.
    26.3.2012 14:56 guzii | skóre: 2 | Olbramovice + Ostrava (kolej)
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Proč se zadává pin tolikrát netuším, ale tento problém se projevuje pouze u datových schránek. U přístupu do banky, případně při podepisování jiných dokumentů problém nikdy nebyl.
    26.3.2012 15:04 SPM | skóre: 28
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Pak to zkusit reklamovat někde u supportu datových schránek. Niky jsem s tím neměl tu čest, tak nevím jak to vypadá; ale jako standardní chování tohle není...
    26.3.2012 20:19 guzii | skóre: 2 | Olbramovice + Ostrava (kolej)
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Support datových schránek mi poradil smazání cache prohlížeče ;) a oznámil mi, že se tento problém občas vyskytne, ale řešení neznají.
    26.3.2012 15:29 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Ono se u datových schránek několikrát přesměrovává, k tomu certifikátu potřebuje přístup webový prohlížeč i plugin 602XMLFiller. Jestli se pro každou doménu a každý program vyžaduje PIN znova, mohlo by to tak vypadat.
    26.3.2012 20:30 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor

    Já mám pocit, že fillerový zásuvný modul je jen tenká skořápka pro zachycení správného MIME typu, která pak spouští samostatný filler. A ten když odesílá zprávu, tak si zcela nezávisle na webovém prohlížeči vytvoří vlastní spojení na server. Tudíž i s vlastní Cryptoki relací s čipovou kartou.

    Ostatně opakované zadávání kódu ke klíči na kartě bývá považováno za bezpečnostní výhodu (každé jeho použití je autorizováno). Některé implementace PKCS#11 to tak dělají schválně, protože to některé vlády vyžadují. Takže by účetní možná uspokojila méně paranoidní karta/ovladač.

    26.3.2012 20:32 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Doporučuji přečíst si vyhlášku k ISDS. Ta výslovně zakazuje přihlašování certifikátem jinak než s neexportovatelným soukromým klíčem. Takže sice ulevíte účetní, ale porušíte předpisy.
    26.3.2012 20:57 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Ta vyhláška je ještě o několik řádů horší, než samotný zákon, takže v mnoha případech těžko říct, co vlastně říká. Každopádně při nejlepší vůli nějak interpretovat ten paragraf o kryptografických prostředích to znamená, že tímto způsobem musí provozovatel umožnit přihlášení -- ale neříká to nic o tom, že to nejde i jinak. Zákaz přihlašování certifikátem jinak než s neexportovatelným klíčem to není, a už vůbec tam není nikde ani zmínka o tom, že nemůžete privátní klíč nejprve někde vytvořit a zazálohovat, a teprve pak jej nahrát do kryptografického prostředku.
    26.3.2012 21:35 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    že nemůžete privátní klíč nejprve někde vytvořit a zazálohovat, a teprve pak jej nahrát do kryptografického prostředku

    To jsem netvrdil.

    Ten zbytek ale se skutečně tak vykládá. Zákon stanoví, že podrobnosti stanoví vyhláška. A vyhláška stanoví požadavky. On totiž ISDS tady není tak nějak sám od sebe, ale byl zaveden a legislativa jej definuje způsobem kontruktvním. Destruktivní způsob (zakazy a tak) se používá při omezování přirozených práv.

    Kdyby vám nestačila vyhláška, ještě tu máme provozní řád ISDS, se kterým se musí každý uživatel řídit (třebaže má datovou schránku ze zákona ;) a tam se také hovoří, že technický prostředek lze použít k přihlášení, pokud splní technické požadavky uvedené ve Vyhlášce a …

    Vykládat zákony výrokou logikou nemůžete, tam se používá právnická logika.

    (Mimochodem náš nový portál veřejné správy již neumožňuje trvalé odkazy na zákony. To je pokrok.)

    26.3.2012 21:45 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    (Mimochodem náš nový portál veřejné správy již neumožňuje trvalé odkazy na zákony. To je pokrok.)

    Tak umí, ale na jiné adrese: http://portal.gov.cz/app/zakony/zakon?q=ČÍSLO. Bohužel to nezvládá jednotlivé paragrafy.

    26.3.2012 22:50 guzii | skóre: 2 | Olbramovice + Ostrava (kolej)
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Abych to teda uzavřel. Můžu si příště vygenerovat vlastní .key, který bude předpokládám potřeba při generování nových certifikátů tehdy, až ty dosavadní propadnou. Dřív to dle mě nemá smysl zkoušet, jelikož bych musel hnát účetní na poštu + by s tím byly spojeny nějaké další poplatky.

    Několikanásobné zadávání pinu bych mohl zkusit vyřešit změnou driverů čtečky, ale to se mi jeví jako takřka nemožné, jelikož nyní používám driver přímo od výrobce a i za něj jsem byl rád, že jsem jej sehnal.
    26.3.2012 23:33 SPM | skóre: 28
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    V zásadě ano. V tom .key je něco, čemu se řiká privátní klíč. Když se generuje privátní klíč, tak spolu s ním vzniká i veřejný (patřej k sobě a jeden od druhého se nedá odvodit). A certifikát je jenom ten veřejný klíč, ke kterému se dopíší nějaké další údaje (jméno atd.) a nějaká třetí strana (v tomto případě CA PostSignum) ho podepíše.
    27.3.2012 08:24 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Konverze cerfikátů (DER->PKCS12) a .key soubor
    Zákon ani vyhláška ale neříkají, že není možné se přihlásit jinak. Pak by třeba nebylo možné používat OTP. Ale máte pravdu, v Provozním řádu pak ten požadavek je napsán. Je to ale pěkný nesmysl, protože přihlašovat se lze i pouze jménem a heslem…

    Každopádně trik s tím, že klíč vytvořím jinde a pak ho nahraju na kartu, je v tomto případě legální.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.