Vzhůru k digitalním zítřkům II (diskuse)

[User682]

zdravim,

digitalni podpis pouzivam uz 2 roky. Nicmene cesta k nemu je trnita. Podpis je fajn vec.

Jenomze, je par veci, co jaksi tuto technologii zaslapavaji do zeme nebo nejsou zrovna optimalni. Jsem zakaznikem ceske posty co se tyce podpisu.

0) disketa. Pred 14 dny jsem ji musel do masiny na chvili zamontovat. I kdyz klicenku neoficialne nekde berou.

1) Kdyz uz vygenerujete podpis a je na klicence, tak se sekne antivir pri zapisu na klicenku, kde je poskozeny filesystem a kdyz antivir projizdi usb1.0 zarizeni s 80MB daty, tak to je sila. Pracovnici jsou povinni zkontrolovat medium na viry.

2) Na disketu se nemusi povest zkopirovat na pobocce certifikat, tak jdete znovu.

3) Velky problem, je ze CA ceske posty neni v oficialnich korenovych certifikatech OS, i kdyz je to pozehnane ministerstvem informatiky a prace. Nemyslim jenom microsoft, ale predevsim linuxova distra. Tudiz, uzivatel muze byt zmaten nebo mechanicky neco odklika.

4) statni urady berou podespany mail obcas jenom z outloku.

5) MSIE i Firefox maji obcas chyby v implementaci. neni problem, aby se vam nejaky certifikat ztratil v nejakem ulozisti.

6) nevim, proc mi ceska posta na tistenou smlouvu z aplikace z weboveho prohlizece dava i url k jejich aplikaci na generovani certifikatu ?

7) je to velmi pracne si vytvorit certifikat ve windows. Pokud danou problematiku neznate. Viz doinstalovani modulu snap-in a tak dale....

8) malo, kdo udela, aby kdyz uz uzivatele pouzivaji certifikaty, tak aby k tomu meli i poradne nainstalovany system. Pak dochazi k odklikavani vsech moznych chyb uzivateli.

9) firmy vymysli bezpecnost a drahe bezpecnostni reseni, ale koupit za 190Kc/certifikat pro vsechny zamestnance certifikat, to nikdo poradne neudela.

10) musim ale uznat, ze lide na postsignum jsou velmi ochotni.

11) kde, predevsim starsi, ma problem s smime. nevim, zda chyby aplikace nebo neco se standartne nedoinstalovava.

Bohuzel jaksi digitalni podpis bude mit jeste cestu trnitou. I kdyz jeden trn je taktez nedopsany goldenfishuv clanek na toto tema. Nekde to lezi na disku.

bye gf

[petr_p]

7) je to velmi pracne si vytvorit certifikat ve windows. Pokud danou problematiku neznate. Viz doinstalovani modulu snap-in a tak dale....

No vidite. A pritom by nebyl problem udelat klikatko na openssl, autorita by pripravila openssl.cnf podle sve politiky a generovalo by se jedna radost.

[kavol]

už jsi navrhl např. Postsignu, že to pro ně (za přijatelný bakšiš) uděláš?

[User682]

zdravim,

toto neni tak jednoduche, jako u jine aplikace. reseni musi byt certifikovane. a lidi, co to umi takto naprogramovat a hlavne nejspise nekym posvetit moc neni.

jinak se da pouzit i rozumne tinyca na nejake veci.

gf

[petr_p]

Autorite nic neni po tom, jak si svoji zadost udelam. Teoreticky by mohlo, ale zadna to nasteni v politice nema stanovene. Takze podle meho skromneho nazoru zadne certifikace potreba nejsou.

Pokud jste to myslel ironicky, pak samozrejme mate pravdu. Oni ziji v uplne jinem svete, kde be deseti podpisu a expertyz nenainstalujete ani bajt. (Je to stejna sarada jako FIPS certifikace, ktera byla nedavno obnovena jiste podmnozine OpenSSL. Za tezky penize se udela verifikace a pak se dovnitr propasuje kod, ktery kontroluje compile time integritu slinkovanych objektu :)

[kavol]

toto neni tak jednoduche ...

ehm, já nejsem ten, kdo říká, že "pritom by nebyl problem" ... naopak, já si myslím, že ta byrokracie je největší překážkou, viz například diskuse k současné anketě na téma blbě napsaného zákona (že lze podepisovat ale ne šifrovat)

[Dan Ohnesorg]

ad 2) - certifikat vam poslou emailem nebo si jej stahnete u verejnych ze stranek posty. POkud tuto moznost nenabidli, potkal jste extremne neprivetivou obsluhu.

ad 3) - zrejme ani jedna evropska certifikacni autorita vydavajici kvalifikovane certifikaty neni v nejakem prohlizeci ci OS.

ad 4) - uz mam nekolik uspesnych podani udelanych pres OpenSSL z muttu.

[User682]

ad 2) taktez jsem zjistil, co tvrdite, ale pri druhe navsteve. Nastesti to mam asi 250 metru do vydejniho mista na certifikaty. Nicmene povazuji za krok zpatky, kdyz je primarni medium disketa. Ja osobne v masine disketovku nemam.

ad 3) mozna linux by v tomto mohl vitezit. Nebo nejake lokalizace.

ad 4) mne vcelku vydesilo asi jiz 3 oznameni za 2 roky, ze berou maily jenom z outlooku na strankach ministerstev. Mozna to chodi, nevim. Ale diky za info.

thx gf

[Dan Ohnesorg]

ad 2) - co ICZ vytvorilo, to vytvorilo. Nicmene se jim zase tak moc nedivim, protoze kdyz z nejakeho duvodu padlo rozhodnuti, ze se to napise pro Windows, tak verim, ze bezpecaci projektu dostali pri predstave USB disku pupinky. Kdyz vrazite do windows disketu, tak se nestane nic, kdyz se pripoji USB zarizeni, tak ze spusti fura procesu, dela furu veci, cte z disku ruzne ikony, labely, hleda autorun informace. A takovy pocitac registracni autority je celkem dost zajimavy cil. --- Kdyz tak o tom premyslim, tak udev na linuxu take neni z bezpecnostniho hlediska zadna spasa.

[Luk]

hleda autorun informace

Na USB discích standardně (tzn. pokud je zařízení označeno jako výměnné) autorun nefunguje, viz WHDC.