Jak na elektronický podpis na občance v Linuxu

3.1.2022 21:20 | Přečteno: 2238× | poslední úprava: 13.7.2024 14:40

Nedávno jsem si pořídil čtečku čipových karet, která mi umožňuje přihlašovat se do různých služeb státu pomocí do ní zasunutého občanského průkazu (říká se tomu eOP). Je to pomalé a zatím jsem nepřišel, v čem je to lepší než alternativy (bankovní identita, ověřování přes SMS, mojeID). Stále častěji se ale dostávám do situací, kdy bych využil elektronický podpis, a ten umístěný na občanském průkazu by měl dle mého chápání být silnější. A tak jsem se rozhodl si jej pořídit. Jenže to na Linuxu nejde, dle vyjádření podpory je třeba použít aplikaci eSignum, která funguje jen ve Windows. Doba nicméně pokročila a VirtualBox umí USB zařízení (kterým je i moje do Thinkpadu integrovaná čtečka) plně propustit hostovanému systému. Jak tedy podat příslušnou žádost z virtualizovaných Windows?

1. Je třeba nainstalovat VirtualBox, myslím že včetně Extension Packu a optimálně i Guest Additions. Na to je na internetu plno návodů.

2. Pak je třeba nainstalovat Windows. Pokud to mají být Windows 11 (když už tak už, moje předchozí instalace ve Virtual Boxu byla Windows XP), je třeba během instalace spustit konzoli a vypnout ověřování toho, zda máte pro Windows 11 dost silný hardware (některé věci se v zemi Microsoftu nemění). Zafungoval mi tento návod.

2. Pak je potřeba zprovoznit USB passthrough, na Ubuntu tímto příkazem:

sudo adduser $USER vboxusers

a pak restartovat počítač (prý).

3. Nyní je třeba nainstalovat na Windows software eObčanka, který zároveň nainstaluje patřičné ovladače, a stáhnout si výše odkazovaný eSignum, který se nikam neinstaluje.

4. Pak buď na Linuxu nebo ve Windows v eObčance je třeba nastavit všech pět osobních kódů, pokud je ještě nemáte nastaveny. Ano, je jich pět, mohou být stejné, a vůbec to neznamená, že si je člověk nemusí někam napsat, ideálně na papír k občance. Byť pro praktické použití jsou třeba jen dva (ostatní slouží na reset ostatních PINů nebo pro instalaci klíče k elektornickému podpisu) a mohou být stejné, což je asi z bezpečnostního hlediska špatně, ale zas je to pak zapamatovatelné.

5. A nyní je již možné spustit aplikaci eSignum, vyplnit jméno a e-mail (na něj pak přijde potvrzení), zažádat o podpis a potvrdit to PINem (oficiální návod zde). Z nějakého důvodu to prošlo až napotřetí - přišlo mi, že systém nerad, když opustím myší okno Virtualboxu.

6. Poslední krok je tradá fyzicky na poštu. Dle vyjádření podpory společnosti PostSignum to pak bude fungovat již bez Windows přímo s aplikacemi v Linuxu, tak jsem zvědavý. Pokud to nebude triviální, napíšu druhý díl nebo to doplním sem. Více informací o elektronických podpisech a Linuxu obecně zde: https://www.root.cz/clanky/elektronicky-podpis-a-linux-v-roce-2021/

Udělal jsem vám screenshot, ale nelze tu patrně nahrávat obrázky, tak máte bohužel smůlu.

UPDATE: Tak už jsem přišel, jak se obrázky nahrávají, tak jsem ho nahrál.

UPDATE2: Na poštu jsem dorazil s potřebnými papíry, pracovnice se na to sešli dvě, asi patnáct minut horečně vyplňovaly údaje do počítače ze smlouvy (že by se to natáhloz občanky, nebo bych to dopředu za mnohem kratší dobu zadal někde na webu, to ne), daly mi vyplnit registraci na MPSV (nevím k čemu to je, ale když už, tak už) a vše bylo hotovo. S čipem na občance nijak nemanipulovaly. Do mailu mi přišel certifikát, který jsem aplikací eSignum naimportoval do občanky. To by ale prý šlo snad i pomocí softwaru eObčanka, který funguje in a Linuxu. Ve Windows jsem nainstaloval Libreoffice a podepisování funguje, software liberoffice vidí (je to pod "File>Digital Signatures". Ale zaboha mi nedochází, jak to má fungovat na Linuxu, tam Libreoffice certifikát na občance nevidí.

UPDATE3: Tak je to vlastně jednoduché. Dokonce se to člověk může dočíst na oficiálním webu, jen to tam je poněkud abstraktně řečeno, tak jsem to nejdřív nepochopil. Je to sekce "Integrace ovladačů do operačního systému Linux". Stačí otevřít Firefox>Settings>Security Devices÷Load a nahrát tam soubor /usr/lib/x86_64-linux-gnu/libeopproxyp11.so - pak už LibreOffice podpis vidí. Na oficiálním webu mají překlep, knihovna se jmenuje libeopproxyp11.so, ne libeopproxy11.so ("p" před "11").

UPDATE4: Z nějakého záhadného důvodu mi podepisování v Libreoffice a okularu přestalo fungovat. Sice se zeptají na PIN, ale podpis na občance pak nevidí. Software "eObčanka - Správce karty" si pak stěžuje, že "Nelze ověřit, zda byl certifikát vydán důvěryhodným poskytovatelem certifikačních služeb. Aplikace třetích stran by před použitím certifikátu měly ověřit důvěryhodnost certifikátu." Přitom certifikáty postsignum jsem si ručně od systému instaloval. N2kde je nějaká chyba a moc netuím, kde. Vyřeil jsem to aplikací JSignPDF. Ta se stáhne a rozbalí do adresáře. Eobčanka se musí nakonfigurovat, což znamená v daném adresáři

1. odkomentovat řádek 33 pkcs11config.path=conf/pkcs11.cfg v souboru conf/conf.properties
2. soubor conf/pkcs11.cfg naplnit takto:

   name=eObcanka
   library=/usr/lib/x86_64-linux-gnu/libeopproxyp11.so
   

   Aplikace se pak spustí skriptem jsignpdf.sh

       

Obrázky

Komentáře

[Josef Kufner]

eSignum netřeba. Stačí openssl pro offline žádost, certifikát uložit a na jakékoliv poště si požádat o certifikát (a mít s sebou ID té nahrané žádosti).

[Drew]

To ale platí pro elektronický podpis, který není uložený na občance, ne? Pochopil jsem to tak, že ten klíč na té občance se spočítá přímo na tom čipu v občance, nikdy ji neopustí (a prý ani nelze přečíst, nelze z něj udělat kopie a nelze zálohovat - zajímalo by mě, zda s tím teda souhlasí NSA). Druhá věc je, že nevím, zda mi ten podpis na občance bude k něčemu více platný, než nobyčejný klíč uložený v počítači - teoreticky by snad měl platit v celé Evropě.

[Max]

Občanka je něco jako obyčejný token, z něj také nic nezazálohuješ, což je právě princim tokenů, žádná záloha, žádné leaknutí.
Zdar Max

[j]

Jo, a taky ses v pici, kdyz ten token ztratis nebo prestane fungovat ... pricemz se ve 100% pripadu driv nebo pozdejs zjisti, ze ten klic z toho dostat lze.

Coz bude specielne u OP kera ma platit 10 let ubermegalol ... protoze zadny zabezpeceni 10 let neprezije.

---

Dete s tim guuglem dopice!

[Max]

Je myslím jasné, že aktuální zabezpečení brání proti aktuálním hrozbám. Pokud bude mít token problém za 10 let, buď na něj vyjde fix, nebo koupíš nový, který bude pokrývat bezpečnostní požadavky té doby.
Pokud ho ztratíš, uděláš to samé jako v případě ztráty klíčů nebo občanky atd. Prostě si budeš muset zařídit nový.
Každopádně rozebírat pro a proti tokenů, to asi nemá smysl.
Zdar Max

[Vantomas]

Já to vidím tak, že narážka se týkala toho, že už všichni vidíme, jak stát bude ochotně a zdarma vyměňovat občanky, které mají platnost ještě 7 let, jen kvůli tomu, že je nějak prolomená čipová část.

[...]

a proc by to mel delat zdarma?

[Drew]

Tak on by stát spíš na každou občanku měl ten elektronický podpis nahrát už při jejím vydávání a trochu zapracovat na použitelnosti (těch pět pinů je opravdu hrůza), jinak se to nikdy nerozšíří.

[Josef Kufner]

Pokud to udělá, tak ten podpis nebude důvěryhodný. Navíc spousta lidí už certifikát pro podepisování má a bude ho chtít používat i nadále, neboť bývá občas někde registrovaný pro přihlašování se tam či onam. Navíc to je věc, kterou je potřeba pravidelně aktualizovat, takže je lepší to nechat odděleně.

[Drew]

Ne nutně. Prostě by při předávání občanky člověk naťukal kód, a klíč by se na ní vygeneroval. Tak tam už ostatně teď nastavuje ty PINy. To by samozřejmě znemožňovalo rozesílání občanek poštou. Tak či tak nevidím důvod, aby nebylo možné pro lidi, co to chtějí, si pak vygenerovat něco jiného. Jinak jak to chápu, stávající klíče ke elekotrnickému počítači uložené v počítači jsou jiné - takže tam by konflikt nenastal.

[j]

Hele, nejakej kod po me chteli i u predavani ty plastovy bezcipovy ovcanky, a dotycna se strasne divila, kdyz sem mackal cisla dokud teminal nerek dost ...

Duveryhodnost toho je samozrejme zcela zaporna, protoze naprosto netusim jak kde a kam to ukladaj, takze to byly zcela nahodne vygenerovany cisla (pismenka ta jejich klavesnice ani neumela).

Nikdy sem ani nikde neobjevil nejakej byt hypotetickej zpusob jak to vyuzit, ne ze bych teda nejak zvlast patral.

A to je presne ten duvod, proc to nikdy nikdo pouzivat nebude, protoze pokazdy nejakej retard vynmysli nejakou picovinu, kterou nikdo nanic nepotrebuje, ta za za par miliard vyrobi, a pak je to stejne knicemu.

Ostatne, vis k cemu je mi ovcanka? Presne, k hovnu, ja ji nanic nepotrebuju. Jen nejakej debilni birokrat chce, abych ji mel. Totez samo plati o 100% vsech dokladu.

---

Dete s tim guuglem dopice!

[Drew]

Tak já třeba pomocí té občanky podepíšu plnou moc svému advokátovi. Jemu to ušetří práci s digitalizací mé plné moci a já z toho můžu mít radost. Pak se tím taky můžu přihlašovat do portálu občana nebo třeba pro přehled svých očkování atp. Ale není to jediná cesta, to ne.

Jinak teda podle mě ten kód člověk může odmítnou zapsat, nemyslím si, že je to povinné.

[kolemjdouci cestujici]

Myslim, ze predrecnik narazel spise na redundanci.

Proste mezinarodne funguje pouze pas (nejake hlody o obcance aj. v EU me nezajimaji). Tak naco dalsi doklady. Pas muze byt i rozmerove maly (v CR se vydavaji mnohastrankove, ale muze to byt tenke - stejne jsou vsude terminaly a krome Kataru a S. A. Emiratu a mozna par mene rozvinutych zemich tam uz nikdo nic nelepi ani nerazitkuje protoze je vse digitalni).

[Drew]

No to teda nevím, kdekoliv jsme použil za poslední roky pas, dostal jsem všude razítko. Odhadem tak 10 zemí.

[kolemjdouci cestujici]

10 je podezrele vysoke cislo. Mozna jste vsak milovnik dlouhych front na letistich - vedle beznych "razitkovych" kontrol jsou casto trochu "zapadle" a prazdne (a tudiz se mnohym zda, ze jsou zavrene) pruchody s automatickou (tj. digitalni) kontrolou pasu.

[Drew]

Tak já cestuji docela často pozemními přechody (Létání není tak fajn). Konkrétně to byly Nepál, Omán, UAE, Saudská Arábie, Jordánsko, Izrael, Etiopie (ti teda dali papírek do pasu), Turecko, Maroko a pokud to rozšířím na šest let i Japonsko a Nový Zéland. Podle mě tam žádné takové automatické průchody (které jsou třeba na Ruzyni) nebyly.

[marbu]

Jako chápu, že pokud už certifikát máš, chceš řešit jinak sám nebo ho prostě nechceš, mělo by být možné tuhle část při vydávání přeskočit. Ale jinak by přece neměl být problém certifikát vygenerovat a nahrát při předávání občanky, ono stejně se tam budou muset nahrávat biometrická data.

[Max]

Tak to nám ukázala zranitelnost ROCA, která postihla občanky v nemálo zemích. Revocovali všechny cert a vydali nové.
Pokud by se zranitelnost měla týkat tokenu jako takového (že by za jistých konstelací šlo privátní klíč vyčíst), tak tam bych viděl riziko využití zranitelnosti velmi malé. A pokud by to byla zranitelnost jako vrata, tak prostě výměna, jiné řešení není.
Zdar Max

[j]

... za jak dlouho asi tak vymenis rekneme v nasich luzich a hajicich cca 8M karticek, kdyz za normalnich okolnosti se jich vymenuje rekneme at nezeru 1M rocne = cca 5 000 denne, a trva jim mesic vyrobit tu tvoji? A i na tu si vystojis klidne i nekolikahodinovou frontu?

A ty bys po nich chtel, aby jich vymenili 8M behem rekneme 10 dnu, protoze dyl to uz je uplne jedno?

Presne proto je to cely velepicovina.

Na vytazeni klicu ti klidne za dobry konstelace muze stacit kafescript ... a i kdyby to nikdo nerealizoval, tak takovej bug staci bohate na zneduveryhodneni a zneplatneni miliard rozhodnuti a listin.

BTW: Uz se tesim, az lidi zacnou elektronicky podepisovat zaveti. Bude stacit 10 let pockat, a pak je klidne puvodnim algoritmem a puvodnim klicem podepsat, jen s uplne jinym obsahem ...

---

Dete s tim guuglem dopice!

[marbu]

Se zranitelností ROCA se musely vypořádat např. na Slovenksu nebo Estonsku, což se jako modelový příklad pro "naše luhy a háje" dá použít. Sice se tenkrát nemusely měnit přímo občanky, bylo třeba "jen" všechny certifikáty revokovat (to udělal stát hromadně) a vydat nové (což je z hlediska propustnosti úřadů podobné).

BTW: Uz se tesim, az lidi zacnou elektronicky podepisovat zaveti. Bude stacit 10 let pockat, a pak je klidne puvodnim algoritmem a puvodnim klicem podepsat, jen s uplne jinym obsahem ...

To je přesně ten důvod, proč je omezená platnost elektronicky podepsaných dokumentů, a pokud potřebuješ mít dokument podepsaný déle, musíš pořád dokola platit za přerazítkování ...

[j]

To se prave pletes, platnost tech dokumentu nijak omezena neni, je omezena platnost jejich podpisu. Respektive ani to ne, ten podpis plati i po te, co skoncila platnost certifikatu/klicu/... kteryma byl uskutecnen, jen uz se neda nijak zjistit, zda onen platne podepsany a platny dokument nebyl zmenen - narozdil od dokumentu papirovych.

Jako bonus, tato situace muze nastat zcela kdykoli i v prubehu platnosti, klidne muze dojit k tomu, ze minutu po podpisu bude klic zneplatnen. Takze ani zadny prerazitkovavani ti naprosto nijak nepomuze.

---

Dete s tim guuglem dopice!

[marbu]

platnost tech dokumentu nijak omezena neni, je omezena platnost jejich podpisu

Takže skončím s dokumentem bez platného podpisu, což v podstatě znamená že mám nepodepsaný dokument. Za předpokladu, že se nastavila nějaká rozumně krátká doba platnosti podpisu, a že ji beru vážně. To ale bude v případě nějakých právně důležitých dokumentů splněno.

A jako jo, při validaci je třeba dávat pozor na revokace, ale s přerazítkováním to přímo nesouvisí. To se dělá proto, aby se vytvořil nový podpis (ideálně s novým algoritmem) s časovou značkou, čímž se posune platnost podpisu a zvýší odolnost proti útokům na staré algoritmy.

To srovnání s papírovým dokumentem je zajímavé, ale tam taky může nastat spoustu komplikací: např. může někdo chtít znalcem přezkoumat, zda je podpis na dokumentu pravý a pod ...

Tak mě napadá jaké certifikáty používá při přerazítkování zpráv v datových schránkách česká pošta. Fungovaly by dnes na Fedoře při zapnuté "FUTURE" crypto politice, když už s tím mají tolik práce?

[Josef Kufner]

Toto je v podstatě řešitelné jen blockchainem s hashi podepsaných dokumentů. V době, kdy je certifikát důvěryhodný se dokument podepíše, zahashuje několika algoritmy a hashe uloží do blockchainu. Bockchain bude udržován centrálně a veřejně, takže jeho konzistenci může kdokoliv kdykoliv ověřit. Něco jako Certificate Transparency Logs.

[j]

Ty mas vpodstate nepodepsany dokument, ale po pravni strance je platne podepsanej, coz je prave ta nejvetsi picovina.

Jde totiz o to, ze soudruzi co to vymejslej nechapou tu zasadni vec, ze elektronicky podpis je technikalie, nechapou, ze je to matematicky algoritmus jehoz vysledek je vzdy pouze true nebo false, ale nic mezi tim.

Kdyz nekdo napadne pravost tak nelze nijak vyvratit ani dokazat, ze domument je pravy (algoritmus vraci false = muze to byt oboji). Tudiz je ti khovnu. Klidne se ti muze stat (a zcela jiste se nekomu stane) ze po 10 letech si soused postezuje ze nemas stavebni povoleni, a ty nebudes schopen dolozit ze mas. Ty totiz (mozna) predlozis ten pred 10 lety elektronicky podepsanej dokument, ale tvuj soused predlozi klidne stejnym klicem podepsany zamitnuti.

A s razitkovanim to samozrejme uzce souvisi, ty to musis prerazit VZDY driv, nez predchozimu podpisu skonci platnost, protoze predtim nez to prerazis MUSIS overit, ze to je platne podepsany, coz po revokaci neni. Pokud by se pri pripadnym overovani zjistilo, ze si podepisoval dokument s revokovanym/expirovanym predchozim podpisem, tak je neplatnej komplet.

Existuje na to jakys takys reseni - nekdo (spise vice nekdu, protoze je treba mit vice kopii k porovnani) by musel autorizovane veskere podepsane dokumenty uchovavat na neprepisovatelnych mediich a to na vecne casy. Coz by rozdhodne nebylo zadarmo. Stalo by to asi tak o milion radu vic, nez strcit papir do sanonu a sanon nekam na regal.

Samozrejme ze muzes na papiru prezkoumavat spousty znaku pravosti/falzifikace ... ucime se to uz slusnych par tisic let. A zakladni overeni umi udelat kazdej gramotnej clovek. Narozdil od elektronickych podpisu.

BTW: Prave i to, ze od papirovych dokumentu kupodivu prakticky vzdy existuje vice kopii, je dobry zpusob jak dolozit pravost. Ony totiz ty kopie budou prakticky 100% na stejnem papire, stejnym pismem, inkoustem/tonerem/...

---

Dete s tim guuglem dopice!

[Josef Kufner]

Ty totiz (mozna) predlozis ten pred 10 lety elektronicky podepsanej dokument, ale tvuj soused predlozi klidne stejnym klicem podepsany zamitnuti.

Pak přijde stavební úřad, předloží jiný dokument se stejným číslem jednacím a souseda zavřou za podvod.

[j]

Stavebni urad nic nepredlozi, protoze nic nema, a tobe zbouraj barak.

Jo a neboj, to je zcela osobni zkusenost, kdyz ti curaci prisli premerovat pozemek a zacli tvrdit, ze ten barak co tam stoji 150 let tam je nelegalne ... lol. Stejne jako ti zmrdi nedokazali pochopit, ze hranice pozemku naprosto nijak nesouvisej s tim, kde je plot.

---

Dete s tim guuglem dopice!

[Chulda]

Jedna orazítkovaná kopiie je na stavebním úřadě a zcela určitě tam mají žádost o stavební povolení nebo kolaudaci. Osobní zkušenost.

150 let starý barák bych chtěl vidět, IMHO jich moc není. Aspoň v okolí Prahy ne.

Přijde mi vtipné, že hranice pozemku nesouvisí s plotem, když je tu zákon o vydržení, který se mj. dokazuje i tím plotem. https://www.bezplatnapravniporadna.cz/obcanske-pravo/darovani-vlastnictvi/22161-spatne-umisteni-plotu-a-vydrzeni-pozemku-v-dobre-vire-dlouhodobe-uzivani.html

[Josef Kufner]

Tokeny (a předpokládám že i eObčanka) umožňují buď klíč vygenerovat přímo v tokenu, nebo nahrát jinde vygenerovaný klíč. V obou případech z toho tokenu už nedostaneš soukromý klíč, ale v druhém případě můžeš mít záložní kopii jinde.

Záleží na způsobu použití a co potřebuješ. Docela rozumný scénář je, že na soukromém počítači máš soukromý klíč naimportovaný (a funguje jako záloha) a do práce na sdílený počítač si nosíš token (například lékaři podepisují e-recepty a střídají se u jednoho PC v ordinaci).

[Drew]

Podle toho, co píšou na PostSignum, token na občanku nahrát nelze. Zda je to technologické omezení nebo jenom legislativní netuším.

[RB]

Hlavně u certifikáty vygenerované na tokenu tu informaci nějak vkládají do samotného podpisu, takže potom lze zjistit, jestli se jedná o uznávaný (lze vygenerovat kdekoliv a na token nahrát) nebo kvalifikovaný (lze vygenerovat pouze na tokenu) elektronický podpis. Takže i kdyby se povedlo certifikát do občanky nahrát, pořád to nebude to samé.

[petr_p]

Žádné certifikáty se na tokenu negenerují a žádný certifikát do podpisu nic nevkládá.

Teoreticky to má fungovat tak, že token má zvláštní funkci, kterou podepíše, že daný veřejný klíč má soukromý klíč vygenerovaný na daném tokenu. Právě tuto zvláštní funkci má používat proprietární aplikace na generování žádostí o certifikát, která je jen pro Windows. Podpis z této funkce spolu s žádostí o nový certifikát pak ona aplikace posílá autoritě. Ta podpis ověří, čímž má dokázáno, že soukromý klíč vznikl na tokenu a vydá certifikát, o který žádal člověk a do něj připíše poznámku, že je vydán na základě té novější směrnice EU, která vyžaduje generování na tokenu. Když pak člověk podepisuje, tak k podpisu připojuje tento certifikát, v kterém je ta poznámka.

Prakticky ale v případě občanky mám podezření, že ten token takovou funkcí nedisponuje a proprietární aplikace je potřeba proto, aby uživatelé „museli“ použít tu aplikaci, která zase uživateli nedovolí udělat žádost z importovaného klíče. Celé je to habaďůra. Když PostSignum slavnostně oznamovalo plán na podporu občanek, tak ministerstvo vnitra přispěchalo s tiskovou zprávu, že PostSignu předalo specifikaci karty, ale že „z bezpečnostních důvodů“ ji veřejnosti neukáže.

[j]

Rek bych ze vysat z libovolny appky co posila na USBcko pripadne seriovej port asi nebude zasadni problem.

Jinak i pokud by to fungovalo jak pises, tak cuju bezpecnostni diru doslova jak doprdele. Protoze aby token moh neco podepsat, musel by na to uz mit nejakej predgenerovanej klic. A aby se dalo overit, ze to skutecne je klic opcanky, tak by musel byt podepsanej.

Ale ... nelze jej v zadnym pripade nikdy zneplatnit, protoze nemas jak ho vymenit. A to samo plati pro celej retezec. Pak uz je to jen otazka vadny implementace (zcela 100% jistota) nebo casu (algoritmus/bruteforce), pripadne vypecenyho uniku, kdy si bude moc kdokoli pozadat "jakoze z opcanky".

BTW: To vic verim widlocertstoru nez tyhle kokotine.

---

Dete s tim guuglem dopice!

[Drew]

Tak samozřejmě je možný, že celá EU jede na nějakým modelu, co se zhroutí.

[petr_p]

Co posílá aplikace přes USB zjistit můžeš, ale náš nový autorský zákon výslovně zakazuje takovou informaci dále šířit nebo použít k implementaci konkurenčního software. (Poslední dobou ze zákonů koukají lobistické zvratky, až to hezké není.)

S předgenerovaným klíčem pracují některé tokeny, které prodává PostSignum. Výrobce předgeneruje klíč, a ponechá si v evidenci jeho veřejný klíč. Pak jeho podpis není potřeba. Uživatel je při koupi poučen, že ten předgenerovaný nemá mazat. Je to taky důvod, proč PIN k tokenu dostáváš od prodejce, místo abys kartu zcela zresetoval. Je to taky důvod, proč přestala existovat přenositelnost tokenů mezi autoritami.

Zneplatňovat jej netřeba, protože jako ostatní klíče vygenerované v tokenu jej nelze exportovat ven. Teoreticky pokud token neumožní ten předgenerovaný klíč použít k ničemu jinému než k té zvláštní funkci, tak jej ani nelze zneužít. Technicky vzato by ani nemusel být chráněn PIN.

[Josef Kufner]

ale náš nový autorský zákon výslovně zakazuje takovou informaci dále šířit nebo použít k implementaci konkurenčního software.

Citation needed. Zde nejde o ochranu proti kopírování.

[petr_p]

Řeší to paragraf 66 („do práva […] nezasahuje […], jestliže“):

V bodě 1d je dovoleno zkoumat vstupy a výstupy:

zkoumá […] funkčnost počítačového programu […], činí-li tak při takovém […] provozu […], k němuž je oprávněn,

V bodě 1e je dovolen disassembling:

překládá jeho formu […], jsou-li takové rozmnožování nebo překlad nezbytné k získání informací potřebných k dosažení vzájemného funkčního propojení nezávisle vytvořeného počítačového programu

Ale v odstavci 4 se bod 1e zneplatňuje pro vytvoření náhrady:

Informace získané při činnosti podle odstavce 1 písm. e) […] Dále nesmějí být tyto informace využity ani k vývoji, zhotovení nebo k obchodnímu využití počítačového programu podobného tomuto počítačovému programu v jeho vyjádření

Tedy zdá se, že stále můžeme dělat reimplementaci na základě chování programu (např. sledováním provozu na USB). A taky se zdá, ten odstavec 4 spíše znamená, že disassemblovaný kód pouze nesmíme opisovat („podobný ve vyjádření“).

Takže zas tak hrozné to není, jak jsem se mylně pamatoval. Jen doufám, že podobně shovívavý názor bude mít i případný soudce. Že například nebude tvrdit, že „podobný ve vyjádření“ znamená, že reimplementace má stejnou syntax pozičních argumentů nebo že zkoumat chování nemůžu, protože autor mi nedal oprávnění takto ten program použít.

[j]

Evropske autorske pravo vyslovne libovolnou revezni analyzu dovoluje.

---

Dete s tim guuglem dopice!

[Max]

Obrázky jdou vkládat normálně, vpravo máš tlačítko "Přidej obrázek", jen je tam myslím limit na velikost, což je ti ale sděleno. Jak jinak myslíš, že se do jiných blogů dostanou obrázky? :)
Zdar Max

[Drew]

Aha, už to vidím, už je to nahrané. Já to zkoušel přes "nahrát soubor" v editaci příspěvku a to nefungovalo. Bylo mi divné, že to nefunguje, ale jak tu je rozhraní úplně stejné, jako bylo před deseti lety, říkal jsme si, že to tu možná jen nejde s dobou.

[hledač pravdy]

Vlákno bylo přesunuto do samostatné diskuse.

[marbu]

Btw používá tu někdo elektronický podpis s vlastním tokenem/smart kartou, který má open source ovladače pro Linux?

[Petr]

ano

[marbu]

O který token/kartu jde?

[MikeP]

https://www.nitrokey.com

[Pendrekama do nich❗]

aco když tu vobčanku stratíš třeba :O :O

[Drew]

Tak ji nahlásím ztracenou a trochu doufám, že se to automaticky zneplatní. A mám taky heslo, kterým to můžu zneplatnit. Použití podpisu je taky vázané na pin, takže pokud ho nenesu v peněžence, mělo by to snad být ok, pokud občanku neukradne NSA.

[Drew]

Zápisek jsem doplnil o report z návštěvy pošty. Netuším ale, jak zprovoznit podpis pod Linuxe, zeptám se podpory, ale kdyby někdo věděl, dejte prosím vědět.

[Drew]

Tak už jsem na to přišel, viz výše v textu blogového zápisku.

[brozkeff]

Sorry za necroposting, ale tenhle článek je asi jediný zdroj na českém internetu, kde jsem našel konkrétní kroky, jak opravdu eObčanku na Linuxu použít na kvalifikovaný certifikát.

Potvrzuji, že mi to funguje ještě v lednu 2026 (ale na Ubuntu 22.04 resp. Mint 21.3) a dokázal jsem přes PostSignum vytvořit certifikát a ten dostat na Windows do občanky, ale pak už přes ten pkcs11 provider a cesty to oživit na podepisování i v Linuxu.

Můj návod pro zájemce: https://www.brozkeff.net/2026/01/12/jak-na-eidas-kvalifikovany-certifikat-na-ceske-eobcance-a-digitalni-podpis-pdf-na-linuxu/