Datovka 4.11.0 (diskuse)

[Max]

Odvádějí opravdu dobrou práci.
Teď koukám na info o isds knihovně a je tam "In addition, library can submit document for authorized conversion into Czech POINT deposit.", takže Czech Point už podporuje nějaký API pro komunikaci/konverzi dokumentů?
Zdar Max

[petr_p]

Rozhraní mezi Czech POINTem a úřadem je zdokumentováno asi tady. Rozhraní mezi občanem a Czech POINTem asi zdokumentováno není. Já jsem ho implementoval rozborem formulářů dodávaných s Form Fillerem.

[Odin]

Pouziva to nekdo krome panu v cznic?

[k3dAR]

ano, treba ja, nekolik let v GNU/Linuxu, jako primarni rozhrani pro read/write pristup k datove schrance, narozdil od oficialniho web rozhrani je to naprosto pohodove/pohodlne/prehledne/rychle pouzitelne...

btw:sem si rikal kdy prijde nejakej matlak s trapnejma kecama... a hle Odin...

[Max]

Naladil jsem to k nám do firmy pro několik uživatelů a pohoda jazz.
Je to parádní nástroj, umí to fungovat přes firemní proxy, má to jednoduché přenositelné úložiště (dávám ho na síťový disk, aby bylo zálohované), má to volby, aby to syncovalo všechno včetně příloh, nebo aby se syncovalo jen ručně, člověk si nemusí platit trezor u isds atd. atd.
V době, kdy jsem něco řešil, uživatelé požadovali dvě fce, které to nemělo :

• stažení hlaviček, aniž by došlo k označení zprávy jako přečtené, toto umí minimálně jeden komerční nástroj, co nám byl nabízen. Tato fce je dobrá, když se člověk chce třeba v pátek podívat, co tam přistálo (jen od koho, né obsah), ale nechce, aby se to označilo jako doručené (doručené = začne běžet lhůta pro vyřízení)
• konverze dokumentů přes czechpoint

Na to první mi autor řekl, že se zkusí podívat, jak by to šlo udělat a ohledně toho druhého řekl, že není k dispozici API, takže to nemůže naimplementovat.
Každopádně děkuji cznic za Datovku a Písařovi za libisds.
Zdar Max

[Vantomas]

Jen bych dodal, že při přístupu přes API je možné datovky odesílat bez toho, aniž by se ty příchozí označili jako přečtené.

A k bodu 1, dnes jde v nastavení datovky nastavit rozšířený formát notifikačních emailů a odesílatel s předmětem zprávy je tak součástí emailu o nové zprávě.

[Dik]

Třeba já. Kvůli lokálnímu zálohování. Dik

[Franta Hanzlík]

Jo, používám už od začátku projektu, naprostá spokojenost.
Jediné, co mi vadí (ale to není problém Datovky, nýbrž datových schránek) je ta jejich idiotsky (IMHO) vymyšlená 90-ti denní doba platnosti hesla - přes datové schránky komunikuji čtvrtletně, takže se celkem pravidelně hlásím pár dnů po expiraci hesla a musím je obnovovat přes prohlížeč (a pak zadávat do Datovky). Určitě nejsem v tomhle sám - fakt nechápu, který chytrolín tuhle dobu vymyslel. Stačilo by ji stanovit třeba na 95 nebo sto dní a je to OK. Když jsem jim navrhnul posunutí, dostal jsem odpověď něco jako že si mohu nastavit neomezenou platnost hesla a abych neotravoval ;)

Hm, to jsem ale odbočil - každopádně za Datovku CZ NIC-u velký dík, je bezva že vývoj jde dál a že reagují na přání a připomínky uživatelů. A nemluvím jen za sebe - Datovku používá i řada známých.

[Käyttäjä 11133]

A co je špatného na odpovědi, že si můžeš nastavit heslo na never expire?

[Franta Hanzlík]

Špatné je to, že expirace může být pouze 90 dnů nebo nikdy - přičemž hodnota 90 dnů je nevhodně zvolena (aspoň pro ty, co něco posílají kvartálně - protože kvartál má většinou 91-92 dnů)

[Filip Jirsák]

V čem přesně spočívá ta nevhodnost? V průběhu kvartálu vyprší platnost hesla, vy se na konci kvartálu přihlásíte, heslo změníte a odešlete co potřebujete. Za 90 dnů heslo expiruje, vy se za 91 dnů přihlásíte, heslo změníte, odešlete. Jenom pokud byste to chtěl někdy odeslat dříve, heslo nezměníte (pokud to iniciativně neuděláte sám) a změníte si ho až při příštím přihlášení. Celý „problém“ tedy bude v tom, že to heslo bude nezměněné skoro půl roku. Expirace hesla v ISDS neznamená, že se heslem už není vůbec možné přihlásit – expirovaným heslem se nejde přihlásit z aplikace a na webu je počet přihlášení omezen (nevím teď z hlavy, zda jsou to tři pokusy jako u nového účtu, nebo jen jeden pokus).

[Franta Hanzlík]

No právě - z Datovky (aplikace) se po expiraci hesla nepřihlásím ani heslo změnit nemohu. Takže musím spouštět prohlížeč, přes něj změnit heslo a to následně zadat do Datovky. Pokud bych ale měl platnost hesla např. 100 dnů, tak mi po čtvrt roce Datovka komfortně oznámí, že mi za týden heslo vyprší a nabídne jeho změnu - tj. s přístupem přes prohlížeč bych se vůbec nezatěžoval, vše bych řešil v Datovce.

[Filip Jirsák]

To podle mne není problém doby expirace hesla, ale toho, že přes API nejsou dostupné všechny služby, které jsou dostupné přes webové rozhraní.

[k3dAR]

[...]se za 91 dnů přihlásíte, heslo změníte [...] Celý „problém“ tedy bude v tom, že to heslo bude nezměněné skoro půl roku. [...]

mozna spatne "pocitam", ale 91dnu skoro pul roku? pul rok je 182dni, me tedy prijde ze 91 je presne 1/4 roku, nikoliv skoro 1/2 nicmene je jiste ze ty nepochopis ze !problem! nikoliv "problem" ma s tim, ze misto vychozich 90dni by prave chtel ten 1/4 rok, resp. radji +1 den, takze 92dni...

[Filip Jirsák]

mozna spatne "pocitam"

Ne, jenom špatně čtete. V citaci jste k sobě spojil dvě věty, které popisovaly dva různé případy – jeden, kdy se přihlásím až po expiraci hesla, a druhý, kdy se přihlásím těsně před expirací hesla a příště zase až za čtvrt roku, tedy od změny hesla k její další změně uběhne skoro dvakrát čtvrtrok, což je skoro půlrok.

nicmene je jiste ze ty nepochopis ze !problem! nikoliv "problem" ma s tim, ze misto vychozich 90dni by prave chtel ten 1/4 rok, resp. radji +1 den, takze 92dni...

Což by ovšem zase nevyhovovalo uživatelům webového rozhraní, protože by se přihlásili za čtvrt roku, ten den by to heslo bylo ještě platné, takže by se nic nedělo. Heslo by expirovalo teprve další den, a na jeho změnu by se čekalo dalšího čtvrt roku, než se uživatel zase přihlásí. Ne že by to něčemu vadilo z hlediska bezpečnosti, ale nebyl by zachován ten původní smysl expirace hesel.

Jak jsem psal výše, problém je ve skutečnosti v tom, že se jinak chová API a jinak webové rozhraní. API má možnost zjistit dobu platnosti hesla a termín expirace je konečná, po něm už se přes API nejde přihlásit. Období pro změnu hesla je před expirací. Web to má naopak, termín expirace můžete zjistit někde zastrčený v nastavení, ale jinak platí, že termínem expirace hesla to teprve začíná, v tom okamžiku teprve začnete být upozorňován na nutnost změny. Období pro změnu hesla tedy začíná běžet až po termínu expirace. No a když ta lhůta funguje jinak pro API a jinak pro web, je logické, že není možné najít jednu lhůtu, která by fungovala pro obojí.

Každopádně vůbec nechápu, k čemu je dobré mít zapnutou expiraci hesla, zvlášť když nepoužíváte web, ale aplikaci.

[d.c.]

A co je špatného na odpovědi, že si můžeš nastavit heslo na never expire?

Špatné je to, že to není celá pravda. Když člověk toto zaklikne (jinde než v ofic. webovém rozhraní to nejde), je to provázeno dost nepříjemným varováním, které je formulováno tak obecně, jako by mělo naznačit (a nakolik to má právní závažnost, nevím, nejsem právník), že oni už nikdy za nic nemohou:

Vypnutí povinné změny hesla nedoporučujeme. Důvodem je závažnost následků, ke kterým může dojít vinou zneužití přístupových údajů. Pokud tak přesto učiníte, berete na sebe odpovědnost za snížení úrovně ochrany přístupu do Vaší datové schránky.

Trváte na vypnutí povinné změny hesla?

Možná to mělo být jen varování pro BFU (kteří rádi komukoli heslo pošlou, jen aby za ně odeslal jedno XML a zkuste jim to rozmlouvat), ale vyzní to velice obecně a IMHO nefér.

[Filip Jirsák]

No, není tam, že nikdy za nic nemohou (to nebylo fér zase od vás), ale že se tím snižuje ochrana přístupu. Což ale není pravda, vynucená změna hesla bezpečnost obecně snižuje. Víc než ta hláška mi vadí, že je vynucená změna hesla vůbec implementovaná, že je ve výchozím nastavení zapnutá a že původně byla dokonce povinná. Kromě snížení bezpečnosti to totiž vypovídá o tom, že bezpečnost datových schránek neřešili odborníci, ale někdo, kdo o bezpečnosti ví to, co se tak kde různě píše po internetu.

[Kate]

Věta „berete na sebe odpovědnost za snížení úrovně ochrany přístupu“ se dá celkem brát i jako „ručíme za škody způsobené úspěšným útokem, ale vypnutím vynucené změny hesla se této záruky vzdáváte a berete odpovědnost na sebe“. Znám nemálo lidí co to tak pochopí.

[d.c.]

Přesně tak.

A ano, také se mi téměř ve všech případech použití stává, že narážím na těch 90 dní a jejich poněkud svérázné uplatnění. Často se mi stává 25., že mi ISDS hlásí, že se nemohu přihlásit, protože heslo bylo platné jen do 25. Obvykle se to dozvím při přihlašování k podání EPO, které ale stihne za dobu změny hesla vyexpirovat, ale neřekne to, než vše vyplním a odešlu, takže tu zatracenou captchu opisuji vždy minimálně 4x.

Ale představte si, kolikrát by 93 dní (nebo dokonce čtvrtletí + jeden den, což by dávalo smysl) musel vysvětlovat ten, kdo by to na příslušných místech chtěl prosadit!

[Josef Kufner]

Kdyby to bylo 100 dní, tak se nad tím nikdo nepozastaví.

[Filip Jirsák]

Pozastaví, protože pro všechny, kteří používají web, by to reálně byl půlrok – vždy jedno čtvrtletí by jim prošlo beze změny hesla, krátce po té by tiše uplynulo těch 100 dní a teprve za dalších cca 80 dní by se znovu přihlásili a dostali informaci, že heslo expirovalo a je nutné ho změnit.

Ale hlavně pořád platí, že tu nesmyslnou expiraci je možné vypnout, a špatně je na tom především to, že je v ISDS něco takového vůbec implementováno, a když už to tam je, že je to výchozí hodnota.

[Filip Jirsák]

Nesmyslné je to nucení k pravidelné změně hesla – bezpečnost to jen snižuje. Naštěstí to už dlouho jde v datových schránkách vypnout (bohužel jen přes web).

[Rezza]

Já si jednou ty dvě kila za obnovení hesla zaplatil a od té doby mám to nucení vypnuté :). A ano, Datovku používám a je to skvělý nástroj. I když uvidíme, jak se poperou s integrací datových schránek do Portálu občana i s archivací.