Datové schránky po roce - shrnutí

29.6.2010 16:58 | Přečteno: 2831× | Datové schránky

1. 7. 2009 byl zahájen ostrý provoz Datových sránek. Ze začátku to sice trochu skřípalo, ale během dvanácti měsíců provozu se určitě všechno perfektně odladilo. Nebo ne?

Pomineme takové drobnosti, jako že propagovaný informační web leží v TLD .info (kdyby její správce nastavil A záznamy na phishing, tak se ČR bude dohadovat s nějakou Tramtárií) a budeme se věnovat zajímavějším věcem.

---

Pro přístup do datové sránky přes webové rozhraní je potřeba plugin do prohlížeče. Tento plugin zastává jistě velmi důležitou úlohu - podle toho, zda podpis datové zprávy (ne)sedí, zobrazí zelenou nebo červenou ikonku. Na zobrazování ikonek už sice máme HTML značku <img>, ale 86 MB velký zásuvný modul zastane tuto práci určitě lépe.

Pozn.: Někdo by mohl namítnout, že plugin ověřuje platnost podpisu na klientovi, kdežto o ikonce by rozhodoval server ISDS. Jenže podpis, který plugin ověřuje, je generován - hádejte kým - ISDS. Druhé ověřování je již zbytečné, protože komunikujeme přes SSL, které integritu a autenticitu zajišťuje jaksi z principu samo.

U pluginu ještě chvilku zůstaneme. Provozovatel ISDS nabízí verze pro různé operační systémy a dokonce i pro různé architektury (x86_32 a x86_64). Avšak zdrojový kód nikde. Čím to? Že by byl takovýto software uzavřený? To snad ne!

Jsme tedy připojeni k modernímu počítači osazenému procesorem x86_64. Stáhneme si proto příslušnou verzi balíku. Podíváme se dovnitř.

> ar -x 602XML_Filler.deb

Co to? Oni nečíslují verze? Mno, i Mr. Tesař se někdy utne, tak to nahlásíme (nahlášeno 15. 1. 2010, 29. 6. 2010 stále neopraveno).

> tar --numeric-owner -tvf data.tar.gz
…
drwxr-xr-x 0/1000            0 2009-09-10 15:28 ./opt/602filler/share/wine/
…

Že by ta linuxová verze nebyla zas až tak linuxová? A WINE na x86_64?

A proč mají všechny soubory GID 1000? A některé mají dokonce UID 1000, takže je neprivilegovaný uživatel na našem systému může přepsat? No, furt lepší, než když měly UID 1000 binárky spouštěné Firefoxy všech uživatelů; to tři měsíce po nahlášení opravili.

Ještě to WINE na x86_64 mě zaujalo. Podíváme se mu na zoubek.

opt/602filler/bin/wine: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.8, stripped
opt/602filler/.wine/drive_c/Program Files/Software602/602XML/Filler/filler602.exe: PE32 executable for MS Windows (GUI) Intel 80386 32-bit

Dost bylo zkoumání 602XML Filleru, jdeme dál.

---

Přístup je pochopitelně přes HTTPS (ovšem proč není na HTTPS i informační portál je mi záhadou, no, furt lepší, než když tam běželo Horde), nicméně certifikát je podepsaný CA PostSignum, která není dostatečně známá na to, aby byla předinstalována v operačních systémech a webových prohlížečích. Proto doporučíme přistupujícím stížnost webového prohlížeče odliknout 0 1 2 3 4 5, na dotazy odpovídáme úplně offtopic, a když se přecijen najde nějaký paranoik a chce si ověřit fingerprint osobně, nevíme, vo co go. Na suppotu vám zase potvrdí smyšlený fingerprint. Člověk by řekl, že projekt s rozpočtem 900 000 000 Kč si může dovolit takový ten základní certifikát od Thawte nebo alespoň natisknout fingerprinty na dopis, ve kterém posílali přihlašovací údaje.

---

Po chvíli se zjistilo, že po zadání pěti chybných hesel se účet na hodinu zablokuje. Protože ID účtů jsou sekvenční, některé lidi to svádělo k tomu, aby si napsali robota. Proto byla zavedena CAPTCHA. Sestávala se z řady dvanácti čísel uvedených v plaintextu a mělo se opsat číslo v pořadí 2., 4., 6., 9. a 11. CAPTCHA se nám dochovala i se skriptem k jejímu vyřešení. Opravdu to stojí za to.

Ještě tu byl jeden drobný problémek: CAPTCHA se měla vyřešit až po odeslání přihlašovacích údajů.

Bohužel tato implementace CAPTCHA neměla dlouhého trvání a byla nahrazena obrázkovou. Barevným kontrastem byl obrázek opravdu dobře čitelný, přitom robotovi je jedno, jestli řeší #BCE2E4 písmenka na #C4C2C4 pozadí, nebo nějakou jinou barevnou kombinaci.

Naštěstí to stvořitelům Sránek brzy docvaklo a my se už několik měsíců můžeme těšit z relativně čitelné CAPTCHA, i když si myslím, že ta tmavě šedá pavučina vzadu je tam zbytečná a jen snižuje čitelnost, protože její odfiltrování je otázkou jednoho řádku kódu. Mno, stejně mi přijde požadování CAPTCHA na tomto místě jako nesmysl…

---

Dalším bonusem je povinná změna hesla po 90 dnech. Ještě mi nikdo nebyl schopen vysvětlit, jak zvyšuje pravidelné vynucené měnění hesla bezpečnost, nicméně těžko bychom hledali lepší motivaci k tomu, aby si uživatel napsal heslo na monitor. Tím víc, že přihlašovací formulář má autocomplete="off", takže heslo nejde uložit do prohlížeče (naštěstí to jde ve Firefoxu obejít rozšířením Web Developer Toolbar → Formuláře → Povolit automatické doplňování).

Když už jsme u toho formuláře, tak má na onKeyUp pověšenou událost, kterou se zkontroluje, jestli je v každém políčku něco, a pokud ano, tak se aktivuje přihlašovací tlačítko. V době, kdy ještě nebyla CAPTCHA, proto nešlo nakopírovat testovací přihlašovací údaje z e-mailu, respektive potom bylo odesílací tlačítko neklikatelné. Poprvé jsem kvůli tomu zkoumal zdroják, než mi to došlo.

---

Krátce po publikaci tohoto textu (ale těžko říct, jestli je mezi tím nějaká souvislost; návštěvníky blogu si (bohužel) neloguju) byl z webu datoveschranky.info odstraněn rozcestník, ze kterého se dalo do přihlašovacího formuláře přímo prokliknout, a byl nahrazen textem

Vítejte na webu o datových schránkách. Dne 1. 11. 2009 byl spuštěn Informačních systém datových schránek (ISDS) do ostrého provozu. Stalo se tak podle zákona 300/2008 Sb. o elektronických úkonech a autorizované konverzi dokumentů a následujících vyhlášek. Pokud chcete vstoupit do aplikace ISDS přepište do adresního řádku svého webového prohlížeče adresu www.mojedatovaschranka.cz

(ta URL není hyperlink, pozn.; citováno včetně chyby, pozn2.; ještě je tam lež, ostrý provoz byl zahájen už 1. 7. 2009, pozn3.)

Pokud si dobře pamatuji, tak předtím tam bylo něco ve smyslu „z bezpečnostních důvodů je nutné přepsat adresu ručně“.

Toto zcela nové, kreativní, komplexní a inovativní řešení sice vůbec, ale opravdu vůbec neřeší útok popsaný ve výše uvedeném blogpostu, ba naopak do celého procesu vnáší rizoto přelkepnutí se při přepisování domény a tak, no.

---

Autorizovaná konverze vám klidně zkonvertovala dokument s neplatným elektronickým podpisem.

---

No a nakonec bychom se mohli zamyslet nad tím, co se stane s našimi elektronicky podepsanými dokumenty po prolomení současných algoritmů. Pravděpodobně budeme muset zařídit arbitra.

Děkuji za pozornost

EOF        

Komentáře

[belisarivs]

Masakr. Jeste ze toho gaunera Langera vyfakovali.

Sice bych radeji uvital verejne upaleni na hranici, ale co se da cekat v zemi, ktera nedokazala poveset ani komunistickou svoloc.

[Samae1]

To se mělo věšet vice než 60% obyvatel?

[deda.jabko]

nic ve zlem... toto jsou technicke drobnosti a hromadou nedostatku trpi treba i ,,konvencni posta''. zasadnejsi otazka je, jestli ISDS dokazal zjednodusit pripadne zlevnit komunikaci se statni spravou. :-]]]

a ze 1 mld. CZK je za takovy nedodelek moc? uvedomte si, ze to vymyslela a prosadila pravicova vlada, ktera musela setrit, kde se da, protoze jinak by nebyla pravicova.

[optim]

To, ze razitko predchazi znacku (podpis) [1] [2], kvuli cemuz bude verohodnost dokumentu po vyprseni doby platnosti znacky nezavisle neoveritelna a bude nutne spolehat na v ISDS integrovaneho arbitra, ktery bude (pravdepodobne i pod kontrolou utocnika) rozhodovat o verohodnosti vsech pres ISDS distribuovanych dokumentu starsich par mesicu security-by-obscurity zpusobem, povazujete za technickou drobnost?

[Jendа]

nic ve zlem... toto jsou technicke drobnosti a hromadou nedostatku trpi treba i ,,konvencni posta''

Ale na elektronickou komunikaci přecházíme právě proto, že těmito nedostatky netrpí - když se správně implementuje, může být o dost lepší než snailpost.

[otasomil]

>>> Na zobrazování ikonek už sice máme HTML značku <img>, ale 86 MB velký zásuvný modul zastane tuto práci určitě lépe.

Takto sem se uz dlouho nezasmal. Velmi pekne napsana veta.  1+++

[Kvakor]

Také nechápu, proč ta obrázková CAPTCHA má v pozadí čáry, které mají všechny stejnou barvu. To musel mít programátor slabou chvilku, protože úprava na mnohem účinější (a dnes obvykle používané) řešení, kde jak čáry, tak číslice používají náhodně vybrané barvy, by byla otázka pár řádek kódu.

Mimochodem, je vůbec zajištěná její čitelnost i barvoslepými uživateli? Sice si říkám, že když při tom rozpočtu dělají v článku popsané koniny, tak na takovouto vlstnost asi myslet nebudou, na druhou stranu, zažil jsem případ, kdy město nahradilo schodiště rampou pro invalidy (která nebyla nijak nutná, protože dvacet metrů vlevo i vpravo podobné rampy už byly), zatímco díry v okolním chodníku zejí dodnes ...

BTW: To slovo Sránky v textu

Naštěstí to stvořitelům Sránek brzy docvaklo ...

je překlep nebo záměr?

[Jendа]

BTW: To slovo Sránky v textu

Naštěstí to stvořitelům Sránek brzy docvaklo ...

je překlep nebo záměr?

Je to tam víckrát, takže záměr .

[User682]

zdravim,

reknu tady jednu hypotezu ohledne datovych schranek. Asi nikoho nepotesi.

Datove schranky jsou nedrazsi implementace elektronicke zabezpecene dorucenky na svete. RFC 2634, odstavec 2.2.

http://www.ietf.org/rfc/rfc2634.txt

Do toho si pripoctete nejakeho elektronickeho notare a mate to, co datove schranky poskytuji. Bohate staci emailova schranka.

Pokud se mylim, tak me nekdo opravte.

Pokud se nekomu povedlo vygenerovat nebo precist elektronickou zabezpecenou dorucenku pomoci java knihovny BouncyCastle, tak si rad prectu zdrojak. Videl jsem danou funkcionalitu pro javu u nejake knihovny od Oracle. Mate -li nekdo zkusenosti s emailovymi klienty a s touto problematikou, tak me zkusenosti jen tak zajmove take zajimaji bez nejakych dalsich ambici.

Mam takovy pocit, ze jsme naleteli vsichni statu "na spek" = lobby zapracovalo.

gf

[kajencik]

Věřím že tohle je tu jasné všem - že datové schránky jsou v podstatě něco jako opencard, bohužel v těchto věcech jsme v ČR opravud dobří - je to složitější než použití standartních postupů (email, el. podpis) a jejich dotažení do konce (ověřování el podpisů na úřadech, skutečná použitelnost takovéto komunikace), ale zato je to podstatně dražší!

[kajencik]

No a protože se pohybuji v IT tak můžu o tomto říci něco více než o dálnicích nebo opencard, podle mě se fatální neúspěchy (nemluvím o samotné realizaci, ale celé koncepci, jak celou věc řešit) projektů jako byl neslavný INDOŠ nebo datové schránky dostavují zejména proto, že u prvotního návrhu fungování nejsou IT odborníci objednavatele (státu, kterí by měli nějaký zájem na efektivitě celého systému), ale pouze úředníci a dodatelská firma, která má samozřejmě zájem aby byl celý systém co nejdražší a byla by opravdu nerada kdyby se celý problém vyřešil za pomoci standartních poštovních klientů a určitými procesními změnami na úřadech.

Samozřejmě jsou tu ještě daleko horší varianty vzniku takových projektů, ale o tom už raději neuvažuji.....

[User682]

>No a protože se pohybuji v IT tak můžu o tomto říci něco více než o >dálnicích nebo opencard

Resme prosim technicke veci nez politiku a obecne plkani o nicem a jak to "tam nahore" delat lepe.

Jak jste na tom s tim elektronickym podpisem s dorucenkou v praxi ? Umite, znate ?

Pavel Kysilka

programator Haguess, bydliste okres Pardubice.

[kajencik]

To nemám, já jsem to jenom nevydržel a musel vyjádřit svůj nesouhlas s celou myšlenkou datových schránek....

[User682]

zdravim,

>že datové schránky jsou v podstatě něco jako opencard

OpenCard je neco technicky uplne jineho a rekl bych, ze se nedelalo neco, na co uz existovala nejaka specifikace a udelalo by se to uplne jinak. Vice bych nekomentoval, nepopiral, nevyvracel,.... 3/4 roku medialnich kampani stacilo ......

gf

[kajencik]

To je pravda, ale datové schránky a opencard mají společné to, že původní myšlenka byla asi dobrá, ale realizace katastrofální a důvody tohoto selhání mě právě zajímají...

[User682]

zdravim,

nemyslim si, ze realizace je katastrofalni. OpenCard urcite ne. Datove schranky nezacly uplne hladce.

Nenazyval bych veci uplne selhanim. Vysledek vetsiny veci zavisi na tom, na cem dana vec staci.

Problem jsou vcelku zakony. A za to mohou zakonodarci a taktez volici.

U elektronickeho podpisu narazite na to, ze je drahy. Dokud nebude za pivo (uz to nekdo rekl na Invexu), tak poradne nepojede.

Co se tyce zabezpecenych dorucenek, tak zde je problem s klienty. MS Outlook by mel fungovat, ale myslim si, ze Linuxovi klienti na tom budou asi vcelku spatne. Do toho pocitejte s tim, ze je treba aby s tim spolupracoval software, ktery se na uradech pouziva. Nebo, aby to umely i Windows (shaXXX, sha2 a starsi verze).

FormFiller - asi kapitola sama pro sebe. To zije a doziva s 602-jkou. Nestandartni vec. Najednu stranu to chapu, byl zajem o skripty. A taky na trhu nebylo nic levnejsiho a lepsiho.

Dalsi zkuste si treba elektronicky podepsat a overit v OpenOffice neco jineho nez OpenDocument.....

Nebudu tady pomijet i nejakou lobby. To je zivot a to by me ani netrapilo, pokud neco funguje. Uplacelo se uz za stareho Rima.

Jak funguje a nefunguje OpenCard - par veci si muzete precist na strankach dodavatelske firmy[ciste nestranne]. Bohuzel to se do medii nedostava.

Budu -li dale vyjmenovavat - velky problem je ochrana osobnich udaju. Hodne lidi to pripada skvele, aby jim neprisel reklamni letak do schranky, ale Vy uz nemuzete spolupracovat s nejakymi tretimi stranami. A kdyz uz tak jsou s tim nebetycne problemy. Par projektu, ktere meli pomoci lidem, uz diky tomu skoncilo nekde v supliku nebo se vubec nezaclo delat. A stoji to vice penez bez tech projektu, nez s nimi.

Obavam se, ze se zatim malo pohybujete v IT. Chce to jeste tak 5-10 let na pochopeni toho, ze v IT obcas idealni veci nefunguji a obcas se neaplikuji. Do toho precist trochu IT ceske historie. Jedna vec je, co si mysli akademicka sfera, ale prumyslovy standard je uplne neco jineho. Mate -li pocit, ze je neco spatne, tak je jen na Vas, zda napisete lepsi implementaci. Bude -li to opravdu dobre, tak mate dvere otevrene. Chce to ale zvladnout to nejen nakodit.

gf

[Johnnik]

"Problem jsou vcelku zakony. A za to mohou zakonodarci a taktez volici."

Omyl. Ten zákon byl napsán na tolik pružně, že dovoloval takřka cokoliv. A nemluvě o tom, že prováděcí vyhláška se psala podle konkrétní implementace, nikoliv, že by vyhláška stanovila pravidla a podle nich se systém vytvořil.

"FormFiller - asi kapitola sama pro sebe. To zije a doziva s 602-jkou. Nestandartni vec. Najednu stranu to chapu, byl zajem o skripty. A taky na trhu nebylo nic levnejsiho a lepsiho."

A ono se na trhu něco hledalo? Jen se vzal systém už jednou prodaný (ano 602 form filler už ministerstvo spravedlnosti používá a dokonce nabízí ke stažení na svých stránkách, popř. zprostředkovává jeho stažení) a prodal se znovu.

"Chce to jeste tak 5-10 let na pochopeni toho, ze v IT obcas idealni veci nefunguji a obcas se neaplikuji"

To si můžete dovolit tam, kde na tom nezávisí lidské osudy. Opravdu bych nechtěl jít na sono nebo RTG s tím, že to ještě není odladěné a možná dostanu 1000násobnou dávku záření. Ano, IT žije v tom, že ty věci nemusí fungovat, ale to je hrubý omyl.