Portál AbcLinuxu, 1. května 2025 09:54
UPDATE: odesláno Už za dva měsíce to spustí. Smolím otevřený dopis. Vyjádřete se, prosím, do komentářů.
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Vážení, jmenuji se Jan Hrach a jsem aktivním uživatelem portálu AbcLinuxu.cz, popularizátorem počítačové bezpečnosti a administrátorem v jedné malé firmě, která bude mít užívání datových schránek od 1.11. ze zákona povinné. Chtěl bych vás požádat o vyslechnutí připomínek k současné implementaci informačního systému datových schránek a o případné vyjádření. V ISDS vidím stále několik chyb, které mohou vést k problémům s přístupností datových schránek a k narušení bezpečnosti komunikace. 1. certifikáty Přístup k ISDS je chráněn pomocí certifikátu vydaného certifikační autoritou PostSignum. Bohužel webové prohlížeče neobsahují kořenový certifikát této autority. Uživateli se tedy při pokusu o přístup k datové schránce zobrazí varování, že certifikát nelze ověřit. Ruku na srdce - většina uživatelů bude varování ignorovat a hlášku prostě "odklikne". Tím se vystavují nebezpečí Man-In-The-Middle útoku, díky kterému může útočník získat heslo oběti a následně datovou schránku zneužít. K realizaci úspěšného útoku stačí překvapivě málo - útočníkovi stačí být s obětí v jedné síti. Bohužel ani uvědomělí uživatelé to nemají jednoduché. Na hlavní stránce projektu je doporučována instalace certifikátu z nezabezpečených stránek VCA. Tento certifikát lze ovšem velmi snadno podvrhnout. Jediným schůdným řešením je dojít si pro certifikát osobně na CzechPoint. Bohužel obsluha mnoha CzechPointů o certifikátech nikdy nic neslyšela a vůbec netuší, co po nich vlastně uživatel požaduje. Na technické podpoře datových schránek radí, aby si uživatel ověřil otisk certifikátu na nezabezpečeném webu Ministerstva vnitra. Bohužel, i ten lze pochopitelně velmi snadno podvrhnout. 2. závislost na doplňku 602XML Filler K práci se schránkou je potřeba program 602XML Filler. Bez něj si uživatel nemůže došlou zprávu ani přečíst. Program je ovšem dostupný pouze ve verzi pro osobní počítače vybavené 386 kompatibilním procesorem. Datovou schránku si tedy není možné vybrat na žádném mobilním telefonu, PDA ani podobných kapesních zařízeních; představa manažera ležícího na pláži a kontrolujícího si na svém iPhone došlé dokumenty není se současnou implementací ISDS slučitelná. Výběr datové schránky v internetové kavárně je též nemožný, a to ať už z důvodů bezpečnostních či z důvodů nemožnosti instalace aplikace 602XML Filler. 3. uzavřené formáty souborů Datová schránka umožňuje i přepravu formátů doc, xls a ppt. V praxi se ukázalo, že úřady i v těchto formátech posílají své odpovědi. Protože tyto formáty nejsou standardizované, nelze zajistit jejich "správné" zobrazení. Tyto formáty také nelze předat k autorizované konverzi. V praxi by mělo být možné odepsat zpátky úřadu a chtít dokument v nějakém standardizovaném formátu, ovšem vzhledem k aplikaci fikce doručení je téměř jisté, že odpověď nedorazí včas. Také například nelze zajistit, že tyto formáty přečteme za dvacet či padesát let. 4. elektronický podpis e-mailových upozornění Uživatel si může nastavit, aby mu při přijetí nové datové zprávy přišel e-mail. Ten však není elektronicky podepsaný, což může vést k nebezpečí phishingu, případně může útočník poslat uživateli mail zrovna ve chvíli, kdy se mu podařilo přesměrovat jeho komunikaci přes sebe a provést tak výše zmiňovaný Man-In-The-Middle útok. 5. zablokování schránky po špatně zadaném heslu Podle vyhlášky 194/2009 Sb., § 3 článku 2 je správce ISDS povinen po pátém chybném zadání hesla datovou schránku na hodinu zablokovat. ID osob jsou ovšem přidělována sekvenčně (od aaaaaa do zzzzzz, v současnosti končí někde u aai*), takže je velmi jednoduché zablokovat přístup do datových schránek velkého množství osob. Velmi bych ocenil vaše vyjádření k výše uvedeným bodům. Děkuji S pozdravem Jan Hrach - -- Jan Hrach Mail: jenda {} hrach.eu Jabber: hrachj {} abclinuxu.cz GPG: http://ftp.hrach.eu/jenda/public.key 1D9D AC4B E964 0D1E 7F5D 6E03 B72F 6430 9FA4 F536 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.9 (GNU/Linux) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/ iEYEARECAAYFAkqO2p0ACgkQty9kMJ+k9TbOUQCfXfQ//uJEwH2bd3t7Wsb3RxbR J4QAn03xAgVroq1mgF9Lrs6xE+bSN1ZA =GLr3 -----END PGP SIGNATURE-----
Zejména bych potřeboval vědět, kam všude to poslat - isds (zav) 602.cz a jiné adresy neznám. Ocenil bych také kritiku obsahu, případně jak tam zaintegrovat tragikomický chat s Petrem Stieglerem a jiná témata.
Mimochodem, nedaří se mi zablokovat zkušební schránku pětkrát zadáním špatného hesla. Nevíte, jak to je? IMHO je blokování povinné ze zákona (odstavec 2).
Tiskni
Sdílej:
představa manažera ležícího na pláži a kontrolujícího si na svém iPhone došlé dokumenty je zcestná.Tahle věta v kontextu té předchozí nemá ten správný smysl. Když už použít takovou formulaci, pak by se to muselo upravit v tomto stylu: představa manažera ležícího na pláži a kontrolujícího si na svém iPhone došlé dokumenty není se současnou implementací ISDS slučitelná.
No, když jsem na své vlastní schránce zkoušel zadat chybné heslo (bez zaregistrovaného certifikátu), a to více než 10-krát, nic se nestalo. Přístup zablokován nebyl, a po správném zadání hesla jsem se bez problémů přihlásil. Ani žádné mailové varování o možném „pokusu o neoprávněné přihlášení“, jak to požaduje vyhláška, jsem nedostal. Asi to tedy ještě není implementované. --Datové schránky: přihlašujeme se s certifikátem
případně jak tam zaintegrovat tragikomický chat s Petrem StiegleremMyslím, že by stačilo ocitovat ty nejkřiklavější pasáže (vždy otázka + odpověď).
Ó, tak jestli v tom není žádný háček, tak může mít OO.o plnou podporu binárních MS formátů?Ten háček je tohle: This promise is not an assurance either (i) that any of Microsoft’s issued patent claims covers a Covered Implementation or are enforceable Navíc tam není všechno, odkazuje to na některé formáty, které zdokumentovány nejsou (sice se nemusí používat, ale když je v těch dokumentech někdo použije, tak co?). To samé bohužel platí i pro Office Open XML, ale do určité míry i pro Open Document Format.
This promise is not an assurance either (i) that any of Microsoft’s issued patent claims covers a Covered Implementation or are enforceableSW patenty se u nás (zatím a bohudík) neřeší, ne?
Co to je za kravinu? Osobně bych chtěl mít dovolenou třeba měsíc, bude se kvůli tomu zavádět Datový kastlík (např.) ?To nevím, ale za to vím, že pokud si uděláš měsíční dovolenou a minimálně deset dní před koncem té dovolené ti přijde nějaký úřední dokument, tak jsi pěkně v pr... (předpokládejme, že jedeš s celou rodinou)
Já teda nevím, z technického řešení datových stránek taky nejsem nadšený, nicméně odsuzovat je za to, že si nějaký manažer nemůže na pláži přečíst poštu od úřadů, to mi přijde jako kokotinaA k cemu teda ty datove schranky jsou? Myslel jsem, ze jejich ucel je, aby si clovek mohl precist postu i tam kde normalni posta dostupna neni, cili treba i na dovolene. Zavest za obrovske penize system, ktery to sice umoznuje, ale jen teoreticky (viz nemoznost precist na mobilnich zarizenich, nemoznost precist na cizich pocitacich...), protoze fakticky si tu postu stejne muzete precist jen doma u sveho pocitace, kde si ovsem stejne tak muzete precist tu papirovou... k cemu to xakru je? Jen dalsi zpusob jak prelit obrovske penize ze statni pokladny do kapes kamaradicku, za sluzbu ktera ma obrovsky potencial, ktery zatim neni naplnen ani v nejmensim?
k cemu to xakru je?Můžeš si s sebou na tu dovolenou vzít notebook a někde si tam shánět hotelové WiFi nebo si zařídit drahý roaming
Odkázal bych se ještě na doporučení bývalého ministertva informatiky: Doporučení k aplikaci § 4 odst. 2 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů
http://www.abclinuxu.cz/zpravicky/micr-doporucilo-pouzivat-opendocument-format
K těm PDA apod. - myslím, že by to ve 21. století jít mělo.
+1
zastupujem Z (pouzivatelov linuxu, abclinuxu, nespokojnych obcanov, nieco take ...)No přávě - koho? Přece nemůžu zastupovat uživatele Linuxu, ne? Zastupuji jednu malou firmičku v lesích na samém konci republiky taky nezní zrovna nejlíp.
Toto je otvoreny dopis ktory adresujem vam XY...v 602 si dost pečlivě chrání jména, ještě jsem nedořešil ani komu všemu to poslat
Podpis + pripadny zoznam ludi ktory sa pod to podpisaliTo už jsme jak u 2000 slov? Ale jo, asi by se to hodilo. Takže - kdo chce podepsat?
Věci, které mi na ISDS vadí (jejich začlenění do dopisu zvažte sami):
Tak teď asi víte, jak se coby člověk starající se o počítače na jednom úřadě cítím. Legislativa i skutečnost je značně nejistá, hlavně že se tlačí, aby se systém používal.
Mám hrůzu z toho, že jsme si vyrobili systém, který silně připomíná minulý režim – zákony nikdo nedodržuje, vše se dělá tak nějak od oka, ale kdo chce občana/úřad bít, ten si na potřebný paragraf rychle vzpomene.
Tak teď asi víte, jak se coby člověk starající se o počítače na jednom úřadě cítím.Dokážu si to představit. Ale zase jako člověk, který se stará o počítače firem a organizací komunikujících s těmi úřady (které jim například vracejí dokumenty s tím, že "je to nějaké divné a nejde to otevřít"), vím, že druhá strana to má ještě horší. Úřad je sice také postižitelný, ale je to hodně dlouhá cesta (často až přes Štrasburk). Kdežto firma tahá za kratší konec, úřady jí mohou za prodlení nebo neodevzdání nějakého dokumentu například ukládat vysoké pokuty a úplně ji tak zničit. Co na tom, že se za 10 let majitel domůže nějakého odškodnění za porušení zákona...
Ale zase jako člověk, který se stará o počítače firem a organizací komunikujících s těmi úřady (které jim například vracejí dokumenty s tím, že "je to nějaké divné a nejde to otevřít"), vím, že druhá strana to má ještě horší.Už jenom naučit lamu, jak s tím pracovat (a děsím se toho, že lama podlehne třeba phishingu).
E-mailové oznámení o nové zprávě by mělo být digitálně podepsánoIntegrováno.
Vasi snahu ocenuji avsak (nechci Vam kazit naladu) bude zametena pod koberec.
Necekejte nejakou zmenu. Budete rad pokud Vam vubec odpovi.
Mj si neodpustim pripomenout:
Vytvorit v dnesni dobe aplikaci (xml Filer) pouze pro i686 je fakt mimo.
Kdejaka mrdka pc z tesca je 64bit.
To ze s***u na OSS to bych jeste nejak prekousl. Notebook ve firme k cteni DS ve skrini s ukradenyma windows muze mit opravdu kazda firma ci podnikatel kdyz uz teda nechcou platit za windows.
Cely projekt DS je nedovarena a krute zohavena mailova schranka se zlomkem schopnosti freemailove sluzby.
Phishing s informacnima mailama o doruceni nejake zpravy do DS - to bude jeste zabava.
Moznost vyzvednout si kdekoli zpravu z DS je upne mimo misu.
ID ve tvaru "ajrdrp" si delaji p***l nebo co ? Moje zkusebni schranka ma "aanara" a pridelene heslo (nastesti se da zmenit) obsahuje znaky nad kteryma bych docela tapal jak je napsat na klavesnici.
Dopadne to tak ze lidi budou mit mezi dokladama papirek s napsanym ID a heslem pac kdo by si takovou nahodnou sekvenci pamatoval ze.
Cely je to totalni bastl a pokud si nejaka soukroma osoba tj radovy obcan jez nema zadnou takovou povinnost o schranku zazada tak evidentne nema vsech 5 pohromade.
Firem a instituci je mi moc lito.
Fakt sorry, ale musim to tak napsat.
Vasi snahu ocenuji avsak (nechci Vam kazit naladu) bude zametena pod koberec. Necekejte nejakou zmenu. Budete rad pokud Vam vubec odpovi.Round #2 budou letáky a round #3 masmédia. Jsem (bohužel) asi jeden z mála, který se snaží vyjádřit, že si nenechá sr*t na hlavu. Tak a je to venku. Teď budu vládou zmizen. Nespokojení občané → nepohodlní občané → nezvěstní občané.
Vytvorit v dnesni dobe aplikaci (xml Filer) pouze pro i686 je fakt mimo.Možná časem bude pro 64bit okna. Ale protože Wine má podporu x64 binárek na úrovni
Hello World! segmentation fault
, tak pro amd64 Linux a OS X to prostě nebude. Jo a s ARMem, MIPSem atd. ani nepočítejme.
ID ve tvaru "ajrdrp" si delaji p***l nebo co ? Moje zkusebni schranka ma "aanara" a pridelene heslo (nastesti se da zmenit) obsahuje znaky nad kteryma bych docela tapal jak je napsat na klavesnici.Kdyby ajrdrp. V současnosti to končí někde u aai???.
>>>Jsem (bohužel) asi jeden z mála, který se snaží vyjádřit, že si nenechá sr*t na hlavu.
To je sic spravne, avsak jak jsem uvedl k nicemu. Timto Vas nechci v zadnem pripade zrazovat. Je mi vsak jasne jak to dopadne.
Round #2 budou letáky a round #3 masmédia.Masmédia měla být první. Chtělo by to ale někoho, kdo by to protlačil do zpravodajství Novy. Jenže to je nereálné, protože i kdybychom někoho vhodného znali, tak se obávám, že by se to na příkaz shora zatíplo. Podobně jako byla kdysi zatípnuta reportáž o Sazce ("to nejde, je to velký inzerent"), byť to byla trochu jiná situace. Pro začátek by stačila nějaká menší televize. Nebo třeba i něco jako Britské listy, jak je v posledních letech nemám rád - ty šly hodně doleva, proto něco "protilangerovského" (ISDS je Íčkovo dítě) by třeba rádi vydali.
Teď budu vládou zmizen. Nespokojení občané → nepohodlní občané → nezvěstní občané.Sem tam se holt někdo tak trochu ztratí ... kdo prohraje v Černým Petru, poputuje do cementu (i já už tam mám připraveno své místo - to bude základ, na kterém se dá stavět)
Britské listy, jak je v posledních letech nemám rád - ty šly hodně doleva, proto něco "protilangerovského" (ISDS je Íčkovo dítě) by třeba rádi vydaliZatím jsem neslyšel, že by v rámci BL neradi vydávali cokoliv "pravého". Naopak opakovaně čtu výzvy, ať konečně nějaký pravičák něco pravicového napíše. Spíš to vypadá, že se potenciální pravicoví autoři bojí polemiky, která by se v tom levičáckém hnízdě zcela jistě rozvinula.
byly relativně vyvážené. Jenže v posledních cca 2 letech se to posunulo a obsah se točí v zásadě okolo několika témat, většinou se stejným názorem.Ale to evidentně není dáno nějakou levicově orientovanou redakční probírkou nebo dokonce cenzurou pravicově laděných příspěvků, to je dáno tím, kdo tam svoje příspěvky posílá. A když se s těmi "stejnými názory" nikdo neodhodlá polemizovat názorem jiným, to se holt nedá nic dělat. Vsadím se o co chcete, že když tam pošlete sebepravicovější příspěvek, nebo jakýkoliv svůj "protinázor", tak vám tam vyjde (tudíž ta vaše poznámka o uvítání "protilangerovského" příspěvku je v tomto kontextu dost laciná ideologizace a věcně zcela mimo mísu).
Jinak by to asi nebyl špatný nápad tam zkusit něco poslat. Pokud to neudělá někdo jiný, zkusím dát něco dohromady a poslat jim to.To určitě ano. Aspoň by tam mohlo být jednou zas něco "stranicky apolitického", ale zato týkající se skutečné polis. A kdybyste to udělal včas, než si téma zase uzurpujou ti levičáci...
Pekne, ale zajimalo by me k cemu to, kdyz se tady nekdo snazil podat trestni oznameni, mate nekdo info v jakem stavu to je ?
mate nekdo info v jakem stavu to je ?Podával jsem to já. Brzy to prověřím.
Ještě tam můžeš uvést, že je projekt předražený. 16 až 18 Kč za zprávu mi příjde dost úlet. A proč to vůbec má provozovat Česká pošta? Kdyby si stát nechal napsat tu aplikaci, kopil železo a pak už jen platil kvalitní přípojku a ze dva adminy, tak by to stálo zlomek stávající ceny.
A proč to vůbec má provozovat Česká pošta?Protože tím přichází o zásadní část svých příjmů (právě drahé zásilky s dodejkou a do vlastních rukou jsou pro poštu dost výdělečné) a takto se snadno vylepší hospodaření, aniž by pošta musela dělat nějaké zásadní změny ve své organizaci. A protože se ponecháním pod taktovkou jednoho ministerstva dá leccos přiohnout podle potřeby (třeba snadno zavřít oči nad nedodržením podmínek). To jsou samozřejmě jen spekulace.
Ještě tam můžeš uvést, že je projekt předražený. 16 až 18 Kč za zprávu mi příjde dost úlet.Kdyby se to aspoň někam posílalo, ale pokud jsem správně pochopil princip, tak ono to dokonce nemusí opustit jeden stroj, jen se to přeleje z účtu na účet. Teda spíš to přeleje nějaký odkaz na soubor, protože formát dokumentů jako takový snad v té aplikaci ani není určený. Proto klientské aplikace pro Ministerstva a soudy stahujíce tyto dokumenty přes HTTP a zase je nabízející podobně jako serverová aplikace za X milionu mi přijde fakt jako směšná zástěrka tunelu.
Rozsiril bych nekompatibilitu. Napr. ja cestuji a velmi bych uvital DS.
Mam 64bit laptop a Fedora 11. Tam to proste nefunguje.
Nevim jak to napsat, ale je to shit.
J
No lidičkové a myslíte, že by nešlo sepsat nějakou petici? Vždyť kolik lidí by se zde pod ni podepsalo! Není snad linuxáka, který by alespoň jednou za měsíc nezakopl o tento server, nebo třeba o root.cz. Já bych se mile rád přidal. Jsem ISP a používat XML602 filler mě v podstatě nutí čsů prostřednictvím čtů. Taky tu mám 64bit - debian a jasně, že to tu nejede!
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.