Zpráva z vývoje libisds

4.2.2010 17:09 | Přečteno: 2756× | | poslední úprava: 4.2.2010 22:20

libisds je knihovna pro přístup k SOAP rozhraní ISDS napsaná v jazyce C (verze ISO99) a šířena podle podmínek licence LGPL-3. Zdrojové kódy lze získat na http://repo.or.cz/w/libisds.git.

Poznámka na úvod

Tento text je staršího data, trochu jsem jej upravil. Odstavce v závorkách doplňují jinak zastaralé údaje, které mi ale bylo líto z historických důvodů smazat.

Vstupní dokumentace

Vývoj byl započat na základě specifikace druhé verze ISDS („Provozní řád ISDS, verze k 30. 6. 2008“), která obsahuje mírně nepřesný a místy nedostatečný či zavádějící popis jednotlivých veřejných funkcí (ale i název, jak vidíte), dále WSDL definice SOAP volání a nakonec XML schémata jednotlivých datových struktur. Novější verze specifikace (poslední je z 22. ledna 2010) jsem později zapracoval.

Na základě této české dokumentace jsem vytvořil anglicky psaný přehled funkcí (podadresář „doc“). A to jednak jako odrazový můstek pro zahraniční vývojáře (a do budoucna kompletní vývojářskou specifikaci rozhraní ISDS zachycující oficiálně nedokumentované vlastnosti) a za druhé jsem potřeboval sám získat přehled, abych mohl učinit co nejlepší návrh knihovny libisds.

Právě tento krok mi ukázal, že cesta automaticky generovaného kódu z WSDL souborů nebude ta nejlepší, protože:

• Implementace serveru nedodržuje specifikaci SOAP/1.1.

  • Na původně testované požadavky SOAP/1.2 server chybně zasílá odpovědi SOAP/1.1 namísto SOAP Fail zpráv.
  • Rovněž požadavky na neexistující vzdálené funkce nevrací chybové hlášení na úrovni SOAP, ale až na úrovni aplikační. Například na požadavek „X-BogusRequest“ vrátí odpověď „X-BogusRequestResponse“, tedy v podstatě přilepí za název požadavku příponu Response a teprve v ní podle zvyklostí ISDS signalizuje chybu nedokumentovaným chybovým kódem.
  • Selhaná volání jsou vracena s HTTP kódem 200 (vše v pořádku), místo aby byl využit celý repertoár HTTP kódů (například 500), jak požaduje specifikace SOAP/1.1.
  • Nakonec samotná volba SOAP verze 1.1 je podivná, když velmi dlouho máme verzi 1.2, která je značně jednodušší. Autoři serveru si raději „zjednodušili“ specifikaci 1.1.

• Server nedodržuje vlastní XML schémata.

  • Zkoušel jsem si zvalidovat několik odpovědí serveru proti vydaným schématům a validátor mohl vzteky puknout.

Tudíž jsem zvolil obtížnější postup a napsal si vlastní SOAP parser a pro každou funkci ISDS jsem začal psát vlastní zobrazení z datových struktur knihovny do XML SOAP zpráv ISDS. Pro HTTP jsem zvolil knihovnu cURL a pro XML knihovnu libxml2.

Přihlašování

Při implementaci přihlašování jsem narazil na ošklivý způsob přihlašování. Pošle se POST požadavek na jedno URL, server pošle přesměrování na jiné URL a teprve tam se přes HTTP Basic autentizaci odešle uživatelské jméno a heslo a pak následuje další přesměrování na původní adresu. V odpovědi přijde cookie, který pak slouží jako autentizační token pro další požadavky. Protože jednotlivé adresy nejsou nikde specifikované (a tudíž se mohou v budoucnu změnit) musí knihovna odesílat přihlašovací údaje slepě, kam ji HTTP hlavička Location zavede.

I když otrlí vývojáři webových aplikací najdou asi deset důvodů, proč to dělat takto složitě, já bych raději viděl prostou HTTP Basic autentizaci v každém požadavku a bez nějakých přesměrování a bez cookies.

(V lednu to došlo i vývojářům ISDS a nabídli bezstavový způsob komunikace, přesně jak jsem si přál.)

Server podporuje i autentizaci certifikátem X.509. Bohužel to neznamená, že jméno a heslo můžete zapomenout, budou potřeba stále. Moje knihovna má připravené rozhraní pro tento způsob rozšířené autentizace a implementace je otázka pár řádků kódu (cURL je na to připravena), leč není tak učiněno, protože podle vyhlášky ministerstva vnitra je nutné použít kryptografické úložiště, které nevlastním, a certifikát akreditované autority (podporovány jsou jen tři české), který také nemám a ani si jej nehodlám pořizovat.

(Novější specifikace již umožňuje přihlašování bez hesla (a to bylo řečí, že to zákon neumožňuje), ale je nutné použít nesmyslně drahý systémový certifikát.)

Zde je i problém s kryptografickými zařízeními, aby fungovala v Linuxu. Pár výrobců ale existuje a protože z jiných důvodů se doufám brzy stanu šťastným držitelem takové hračky včetně certifikátu, tak do budoucna počítám i s doděláním a ověřením této vlastnosti.

Další problém je trvanlivost hesla, které prý má být měněno každé 3 měsíce. Rozhraní SOAP však funkci měnění hesla vůbec neposkytuje. Tento nedostatek má prý řešit třetí verze systému.

(Skutečně poslední verze nabízí funkce pro zjištění data vypršení hesla a pro jeho změnu. Leč přihlášení vyčpělým heslem selže a neexistuje rozumný způsob, jak strojově zjistit, že je to kvůli starému heslu.)

Ukázkou ďábelské logiky systému je, že osoba mající přístup k více schránkám má více uživatelských účtů, více přihlašovacích jmen a hesel.

Stav implementace knihovny

V současnosti libisds umí:

• Všechny funkce uvedené ve specifikaci z 22. 1. 2010 :)

Pouze odesílání a přijímání dokumentu ve formě XML podstromu jsem neimplementoval, protože specifikace blíže neomezuje obsah a třeba taková množina uzlů {komentář, textový uzel} nelze serializovat jako správně utvořený soubor XML. Uvidíme, co vymyslí moudré hlavy.

Druhá věc, která není dodělaná, je ověřovaní digitálního podpisu a časového razítka zprávy. Ne že by to nešlo, ale aplikace bude chtít znát podrobnosti (nejlépe celý certifikát, důvod selhání ověření), a já nehodlám duplikovat API kryptografických knihoven. Nevím, jestli nějaký zjednodušující přístup je v tomto případě dobrý nápad.

Zde bych si dovolit poplivat analytiky navrhující ISDS, protože zatímco při odesílání zprávy se uvádí identifikátor cílové schránky, příjemce dostane údaje o odesílateli předformátované jako jeden dlouhý text. Pokud chce aplikace znát údaje strukturované, musí se znovu obrátit na systém. To ovšem může vést ke komickým situacím, pokud bude schránka mezi tím zrušena nebo údaje o majiteli schránky zaktualizovány - tedy pro starou zprávu se už nikdy nedovíte úplný popis odesílatele nebo příjemce.

Další úchylkou současné implementace serveru je, že položku „popis dokumentu“ (zpráva může obsahovat více dokumentů) systém považuje za název souboru a pakliže nekončí na patřičnou příponu, systém takovou zprávu odmítne přijmout (tj. přes ISDS nelze poslat soubor /etc/passwd). Zrovna tak systém kontroluje obsah dokumentu na povolený datový formát a pokud se mu nelíbí, máte smůlu – například mi nebylo vysvětleno, proč textový dokument nemůže obsahovat nulový bajt. (A to pomlčím, že ve zprávě není možné udat znakovou sadu textového dokumentu nebo že systém si myslí, že MIME typ PDF souboru je „pdf“.)

(Poslední verze specifikace tento problém řeší šalamounsky: Stávající pochybný systém standardizuje, přičemž nevhodné názvy atributů nebo chybné hodnoty MIME typů ponechává kvůli zpětné kompatibilitě (přičemž by stačilo začít odmítat chybné nově odesílané zprávy, staré ze systému stejně časem zmizí).

Kryptografické prostředky zajišťující integritu a nepopiratelnost zpráv jsou také svérázné. Vývojáři zavrhli XMLDSig a místo toho si musí klient vypreparovat kus XML podstromu jakožto binární řetězec a nad ním vypočíst hash. Myšlenka oddělené logické a fyzické struktury XML (například různé znakové sady nebo uzávorkování hodnot atributů) je autorům ISDS úplně cizí.

Pokud jste někdo čekal, že z ISDS vymámíte digitálně podepsanou a časově orazítkovanou zprávu tak, aby byla důvěryhodná, musím vás zklamat. Zpráva je nejprve orazítkována a teprve i s razítkem podepsána. Při tom pro udržení platnosti digitálního podpisu je třeba postup opačný.

Aplikační rozhraní

libisds umí načíst nebo stáhnout jednotlivé zprávy či doručenky jak XML zabalené v PKCS#7, tak již vybalené do čistého XML. Aplikaci jsou pak data dostupná jak v nativních céčkových datových strukturách, tak i původní binární kopie XML/PKCS#7.

Knihovna samozřejmě umožňuje pracovat s více schránkami najednou, každá funkce vrací stavový kód rozlišující důvod chyby, vyplňuje podrobný textový popis chyby a ještě obsahuje nezávislé protokolování několika úrovní a oborů (počínaje protokolem HTTP).

Zdrojové kódy knihovny jsou uloženy v adresáři „src“, aplikace potřebují includovat jediný hlavičkový soubor „isds.h“ a linkovat se proti jediné dynamické knihovně „libisds“.

Knihovna prozatím funguje jen v synchronním blokujícím režimu. Nicméně aplikace si může zaregistrovat funkci, kterou je informována o průběhu datového přenosu a může si vynutit jeho předčasné ukončení.

Vnitřní podpora knihovny

V adresáři „client“ jsou ukázky, jak aplikace může s knihovnu pracovat, které zatím používám jako hrubé testy. Skutečné testy knihovny ještě nejsou zdaleka hotovy, protože je to velmi rozsáhlá záležitost (často převyšující složitost samotné knihovny). Prozatím je k dispozici několik testů off-line funkcí. Důkladné testy budou pravděpodobně zahrnovat simulaci serveru, protože chybové stavy serveru se jinak nedají navodit, a tím rovněž odpadne nutnost komunikace s testovací instancí přes Internet, což je problém některých současných testů.

Překlad knihovny kvůli přenositelnosti (překlad sdílených knihoven se pro různé platformy liší) řídí nástroje Autotools a Libtool.

Knihovna je internacionalizována pomocí gettextu. Problém je však s protokolováním komunikace se serverem, který se odehrává v UTF-8 a tudíž kvůli ladění jej není možné převádět do jiné znakové sady (ať už kvůli ztrátovosti nebo kvůli poškození kontrolních součtů.) Rovněž hlášení přebíraná z cURL mají problém – tato knihovna ještě není internacionalizována. (Dobrovolník?) Větší problém je s hlášeními přebíranými z ISDS, která jsou většinou česky, ale někdy anglicky. Protože úplný seznam chybových kódu není specifikován, není možné zavést vlastní přeložitelný text.

Dokumentace je zatím vedena jako komentáře v hlavičkových souborech a to jak pro funkce, tak pro datové struktury.

Problém činí převod textového zápisu času ve formátu ISO8601, který k mému hořkému zklamání neumí ani POSIX, ani glibc. Zatím to řeším ošklivým hackem (přepínání časové zóny), který ale bude muset být nahrazen čistým způsobem.

Pro konkrétní kryptografickou knihovnu jsem se rozhodl takto: HTTPS řeší cURL a ten může být přeložen proti OpenSSL, GnuTLS, NSS a asi i dalším. Práci PKCS#7 by měly zvládat všechny. Problém je ale s CRL. OpenSSL umí, ale neumí si CRL stahovat. GnuTLS prý neumí vůbec, NSS prý umí i stahovat, ale nemám ověřeno. Osobně se mi líbí GnuPG/gpgme, jehož správce CRL dirmngr jsem si osahal (a poslal pár patchů, kvůli rozsynchronizovaným distribučním místům CRL PostSigna) a který funguje jinak pěkně a umí i takovou podstatnou věc, jako je odlišení kvalifikovaných autorit a podpisů od ostatních běžných.

TODO

Je toho spousta, úkolníček je uložen v kořenovém souboru „TODO“.

Zmíním jen, že bych chtěl vytvořit asynchronní a možná i vícevláknové rozhraní knihovny (protože aplikační grafické toolkity si to žádají), zdokonalit systém protokolování, učinit síťové funkce volitelné, aby bylo off-line aplikace neměly tolik závislostí, a pokud ještě zbude síla, tak doimplementovat doplňkové funkce, jako je žádost o vytvoření datové schránky a odeslání dokumentu do Czech POINTu na autorizovanou konverzi.

Ze všeho nejprve ale chci zvládnout systém vydávání verzí pomocí Automaku, abych mohl vydat první oficiální dehtovou kouli.

       

Komentáře

[Jendа]

A teď ještě úryvek mailové komunikace nás nešťastníků, kteří se vydali cestou 602XML Filleru.

Abstrakt: Klient 100 km odsud s nestabilním CDMA si vzpomněl, že by chtěl ze svého pracovního počítače do schránky. Leč filler stále nefungoval…

(15. 1. 2010, můžete si udělat obrázek o rychlosti vydávání oprav)

Dobrý den,

všechny soubory v linuxovém deb balíku 602XML Filleru vlastní uživatel s UID 1000 a mají práva vesměs rwxr-xr-x, filler.sh pak rwxr--r--. Takže:

1) datové schránky nefungují pod jiným uživatelem než tím s UID 1000 (zrovna jsem na to přišel při řešení problémů s nefunkční schránkou u zákazníka, který má tu smůlu, že si líznul 1001) – filler.sh je… jaksi… nespustitelný

2) uživatel s UID 1000 může volně zapisovat třeba sem:

- ---

> > dpkg -c 602XML_Filler.deb

- -rwxr-xr-x martin/martin 5668 2009-10-21 16:30 ./opt/602filler/bin/wine

- ---

…sem…

- ---

- -rwxr--r-- martin/martin 3240 2009-12-21 14:15 ./usr/bin/filler.sh

- ---

…nebo sem…

- ---

drwxr-xr-x martin/martin 0 2009-12-21 14:21 ./usr/lib/mozilla/plugins/

-rwxr-xr-x martin/martin 34520 2009-12-21 14:21 ./usr/lib/mozilla/plugins/602plugin.so

- ---

…a odtamtud si Firefox tahá pluginy a zjevně je i spouští, že.

Hmm…

Nastavit vlastníka na UID 0?

Jenda

---

Dobrý den,

v současné verzi doplňku je nutné jej vždy používat pod uživatelem, který jej nainstaloval, tento problém by měla vyřešit nová verze, která by měla vyjít během 2 týdnů.

S přáním hezkého dne,

Lukáš Huso Technická podpora DS

---

Dobrý den,

nevím, jak u vás, ale u mě balíky instaluje root.

Stávající konstrukce balíku přináší jeden funkční a jeden bezpečnostní problém. Asi vám unikla pointa minulého mailu, který se snažil lehce upozornit na ten bezpečnostní. Sežeňte si neposkvrněné Ubuntu/Debian/whatever a postupujte se mnou.

1) root# dpkg -i 602XML_Filler.deb

- --> správně, nyní fungují DS jen pod uživatelem s UID 1000, pod jiným ne, protože sh: filler.sh: Permission denied

2) Máme uživatele badguy (UID 1000) a goodguy (UID <> 1000). Badguy chce svému kolegovi způsobit škodu, například smazáním souboru file v domovském adresáři goodguye.

3) badguy$ chmod +x /usr/bin/filler.sh

4) badguy$ echo '#!/bin/bash' > /opt/602filler/bin/wine; echo 'rm /home/goodguy/file' >> /opt/602filler/bin/wine

5) goodguy si nyní spustí Firefox a jakmile narazí na stránku s embednutým fillerem (např. http://www.czebox.cz/static/pages/zadost_formular.html v iframe), /opt/602filler/bin/wine se provede s oprávněním goodguye.

S přáním hezkého dne

Jan Hrach

---

Děkujeme za informaci, předal jsem problém kolegům z vývoje.

S přáním hezkého dne,

Lukáš Huso Technická podpora DS

---

Dobrý den,

nová verze stále nevyšla, nicméně k balíku mám ještě připomínku.

I kdyby nová verze vyšla, uživatel (respektive já jako admin) to nemá pouhou návštěvou webu šanci poznat, protože jméno i umístění toho balíku je pořád stejné.

Příklad konvence jména z repozitáře Debianu: iceweasel_3.0.6-3_i386.deb

Jinak – hodilo by se vytvoření repozitáře, aby se nemusel nový balík vždy stahovat, instalovat atd.

Jenda

---

Dobrý den,

dekuji za připomínku, předám kolegům z vývojového oddělení.

S pozdravem Michal Vejvoda technická podpora ISDS

[pasmen]

Evidentně jsi se nikdy nepodílel na tak rozsáhlém projektu, který navíc musí garantovat funkčnost na jisté úrovni. Chápu, že bys měl radost, kdyby se nějakej člověk z vývojovýho týmu popadnul za hlavu, řekl "ten kluk je fakt dobrej!", za 5 minut napsal opravu a šoupnul ji do frcu. Takhle to ale z pochopitelných důvodů nefunguje. Vývojový cyklus takovýhlech projektů je značně komplikovanější. Schválně si zkus zjistit, jak dlouho trvá například uvedení nějakého bugfixu do produkce v Seznamu. A to nejde o společnost, která musí garantovat funkčnost ze zákona.

[tomm]

To je samozrejme pravda, ale nevypovida "dodrzovni" standardu a znovuvymysleni kola take neco o urovni autoru? Jiste, kazdy projekt ma chyby, nic nenormalniho, ale tohle jsou podstatne kopance. Muj osobni pocit je, ze autori nemaji s danou technologii vlastne zadne zkusenosti.

[Marek Bernát]

"...která musí garantovat funkčnost ze zákona."

To ale v praxi tak či tak moc nepomáha, zdá sa

[pasmen]

Problém je v tom, že to funguje. Rozhodně ne ideálně, má to hodně much, ale funguje. Což mimo jiné včera potvrdil v televizi nějaký auditor (jméno si nepamatuji, plešoun s brýlemi). Sám uznal, že to je třeba řádně dodělat, nicméně zprávy se odesílají a přijímají. Z praxe jsem se už poučil, že honba za dokonalou kvalitou není vždy to co se chce. Samo o sobě mě tahle "pravda" dost sere, protože jsem od přírody perfekcionista. Problém je v tom, že se tady k tématu vyjadřují programátoři/administrátoři/..., kteří jsou schopni posoudit jen technickou stránku (a to ještě omezeně, neboť neznají střeva systému). Manažeři musí řešit trošku jiné problémy, než jen technické "detaily".

[Jendа]

Příloha:

• captcha.gif (3422 bytů)

Rozhodně ne ideálně, má to hodně much, ale funguje.

Takže si to shrňme:

• k používání je zcela zbytečně vyžadován windows-only x86-only software, jehož „linuxová verze“ (bundle s wine) obsahuje už tři týdny hlášenou bezpečnostní chybu
• přístup je zabezpečen certifikátem podepsaným neuznávanou CA, ověření fingerprintu je zasunuto v návodu kdesi na webu, v rozesílaném dopise o tom není ani zmínka a na doporučované pobočce ČP netuší, co je to fingerprint; pokud zavoláte na sdělené telefonní číslo a nadiktujete jim vymyšlený řetězec, potvrdí vám ho jako validní otisk
• URL je nutné z „bezpečnostních důvodů“ přepsat ručně (proboha proč?!) a zodpovědné ministerstvo si nebylo rok schopné zaregistrovat překlepové domény
• po (!) ověření přihlášení je vyžadováno vyřešení CAPTCHY, jakási parodie byla nahrazena o trochu sofistikovanější a pak ještě sofistikovanější, nicméně robotu je jedno, jestli řeší #BCE2E4 písmenka na #C4C2C4 pozadí, kdežto uživateli to zjevně jedno není (příloha)
• je vyžadována změna hesla po 90 dnech (což je samo o sobě k ničemu) a podle nového provozního řádu „kdy uzná provozovatel za vhodné“, přičemž se to týká i uživatelů, kteří používají přístup přes webové služby, ovšem ti se nemají šanci dozvědět, že heslo vypršelo
• není vyřešeno, co s podepsanými elektronickými dokumenty po prolomení současných technologií

Což mimo jiné včera potvrdil v televizi nějaký auditor (jméno si nepamatuji, plešoun s brýlemi).

Já už jsem slyšel v televizi o počítačích takové věci…

[pasmen]

Shrnul jsi to hezky. Takže jsme se v zásadě shodli na tom, že je to funkční řešení. To jsem sám rád Ano, máš pravdu v tom, že technicky je tam spousta much (což už jsem mimo jiné také říkal...), ale nemůžeš se na to dívat jen průzorem v brýlích počítačového geeka, srozumněno?

[Robert Krátký]

Takže jsme se v zásadě shodli na tom, že je to funkční řešení

Zjevně definuješ termín "funkční" poněkud laxně. Podobně "funkční" by dneska nikdo nechtěl ani nejobyčejnější webový freemail... ale u milionové státní zakázky, která má výrazný dopad na většinu podnikatelů a právnických osob obecně, se to toleruje...

[pasmen]

Já se stále nedozvěděl, co přesně tedy "nefunguje". Když pomineme bezpečnostní díry "objevené" panem Hrachem, když pomineme to, že systémové nároky nevoní mistnímu osazenstvu, co přesně na DS nefunguje? Pod pojmem nefunguje mám já osobně na mysli, že brání ve výkonu toho, k čemu bylo určeno.

[Luboš Doležel (Doli)]

Ten projekt je neskutečný amatérizmus, který kvalitou odpovídá dílu lidí, co nedostudovali ani SPŠ, ale pustili se holt do webového vývoje, protože je zametání ulic a posouvání beden v Makru nebavilo.

Projekt je hluboce nepřístupný, schránku nemohu obsluhovat na svém PDA, nemohu ji obsluhovat ani na svých linuxových PC (x86-64) a pokud se nepletu(?), tak ani pod těmi Windows 7, co mám pod VMware, mi to nepojede, protože je mám 64bitová. Takže ve výsledku máme něco, co funguje na úzce vymezené skupině softwaru/hardwaru, do které jako řada jiných lidí nespadám.

Kdybych byl barvoslepý, tak se snad ani nedostanu přes tu zcela nesmyslnou captchu, a jelikož mají nedůvěryhodný certifikát (ČP se fakt věřit nedá), nemůžu vědět, kdo mi právě ukradl heslo. Sorry, ale tohle fakt nefunguje.

[tomm]

Nefunguje ani na Mac OS X 1.5 i 1.6. Po telefonickem dotazu na podporu, na moznost fungovani na Mac OS X, nas slusne poslali do ....

[Jendа]

Když pomineme, že to auto nemá kola, když pomineme, že to auto nemá motor, co přesně na něm nefunguje?

Pod pojmem nefunguje mám já osobně na mysli, že brání ve výkonu toho, k čemu bylo určeno.

Pokud nefunguje je negace funguje (tj. není nic mezi tím), tak jsme se shodli na tom, že každý jinak vnímáme slovo „funguje“.

[Jendа]

Evidentně jsi se nikdy nepodílel na tak rozsáhlém projektu, který navíc musí garantovat funkčnost na jisté úrovni.

Správně, nepodílel. A řekl bych, že by ten projekt mohl funkčnost garantovat o dost lépe. Třeba nepoužitím úplně zbytečného windows-only programu.

Myslím si, že zapisování uživatelem do systémových adresářů a přepisování souborů spouštěných ostatními uživateli by u většiny projektů bylo hodnoceno jako docela velká bezpečnostní chyba.

[pasmen]

Nemám dojem, že by si někdo myslel, že jde o finální verzi. Jde o ranné stadium. Jsem si jistý, že do budoucna se situace zlepší. Ono až se stane průser, tak jim nic jiného nezbyde, protože to by padaly hlavy...

[Ondrej]

Aha...takze ja jako zastupce pravnicky osoby jsem od listopadu vlastne nucenym betatesterem nehotovyho kramu. A pokud se nahodou betatestu nehodlam zucastnit, tak me cekaj problemy s ceskym pravnim radem. To je pekna kravina, ne? ISDS JSOU finalni verzi, urcenou pro bezne pouziti. Je na ne namapovanej zakona sankce za jejich nepouzivani. Cili budto je to ranne stadium a pak by hlavy mely padat za uzakoneni nutnosti pouzivani nehotovyho pseudosoftware nebo je to finalni verze, pak je uzakoneni v poradku a pak by mely hlavy padat za ty chyby co tam jsou.

[pasmen]

Já tohle nějak nechápu. Finální verze je iluze. Software se pořád vyvýjí, ale v určité fázi je nutné jej vydat veřejnosti k užívání. Jedním z příkladů budiž Linuxové jádro. Domníváš se, že bude někdy mít finální verzi? Nikdy. Přesto se pravidelně vydávají stabilní verze, které ale také obsahují řadu chyb. Dokonce se o nich ví již před uvolněním. Ale zkrátka to patche nestihnou do začleňovacího okna. Tudíž i stabilní verze obsahují chyby. Blbé je, když obsahují chyby, které zabraňují ve správné funkci. Což není tento případ, možná pouze neumožnují udělat věci tak, jak byste si je přáli. Bohužel u projektu, jehož uživatelů bude opravdu hodně (tento případ), nelze zahrnout požadavky a náměty každého jednotlivce.

[Luboš Doležel (Doli)]

Bohužel u projektu, jehož uživatelů bude opravdu hodně (tento případ), nelze zahrnout požadavky a náměty každého jednotlivce.

Kdyby to dělal někdo s mozkem na správném místě, nedalo by to o nic víc práce a fungovalo by to dobře.

[pasmen]

Jak já to vidím, kritici DS se dělí na dvě skupiny lidí. Technicky zdatné jedince, kteří mají výhrady k technickému řešení. Nezajímá je, že systém jako celek slouží účelu (rozuměj lze v něm udělat to, pro co je stvořen), ale že není ultra bezpečný a kdovíco ještě. Druhá skupina lidí jsou obyčejní sedláci, kteří jsou nasraní, že se musí učit novou věc. Ti by ale byli nasraní ať už by šlo o jakékoliv technické řešení.

[petr_p]

Tam je problém s 602XML Fillerem, potažmo vztahem mezi vnitrem, poštou a S602. Problém s příponami souborů je, protože „to tak dělá Filler“ (takhle přesně to je ve specifikaci ISDS). Zrovna tak Filler nefunguje ve Vistách pod běžným uživateleským účtem (konrétně nefunguje podepisování formulářů posílaných do Czech POINTu). A víte co na do podpora? Mlží a mezi řádky se dá přečíst „to není chyba, to je vlastnost, trhněte si“.

[Jakub Lucký]

Jenže Linuxové jádro nikdo nenutí právnickým osobám zákonnou normou...

A navíc Linuxové jádro jsem nezaplatil z vlastních daní, pokud ano, musel bych ho zákonem danou normou používat a objevovali se v něm tak základoškolácké bugy jako to SSL či UID, tak bych prskal úplně stejně...

[pasmen]

To byl jen příklad, aby někteří jedinci pochopili vývojový cyklus software. Pokud říkáš, že nějaký software existuje ve finální verzi, říkáš hloupost.

[Jakub Lucký]

To neříkám, ačkoliv takový LaTeX už je blízko ;)

Ale datové schránky jsou v tomto ohledu takové "pre-alpha-father's-garage-release 1*10^-35", ale už to musíme používat...

[pasmen]

Souhlasím s tím, že jeden z největších problémů DS je to, že systém byl vydán tak rychle. Tohle hlavouni nerozhodli správně, pravda.

[Jakub Lucký]

No a je vydán rychle a uživatelé jsou zákonně nuceni ho používat -> moc peněz je investováno do (zatím) nefunkční (neoznačoval bych dané security caves (to už ani nejsou holes) za funkční) technologie, kterou jsou právnické osoby zákonem nuceny používat a který musí odteď udržovat přiměřenou zpětnou kompatibilitu...

Takže kde je ten "funkční celek" ? Vždyť tohle nesplňuje ani heslo "quick-cheap-quality -> pick two", protože je to jen quick a to quick je především o zavedení zákona a výběrovém řízení...

[pasmen]

Funkčnost vidím v tom, že se zprávami lze pracovat stejně jako s papírovými předchůdci + mají oproti papírům výhody navíc.

[Jakub Lucký]

Akorát na poště se autentifikuji proti poště (vím, že to není jen dům na kterém je napsáno pošta, abych jim dal svou občanku k dokonalé kopii) a ne jako u DS, kde si člověk nemůže být jistý, jestli se přihlašuje do zákonem povinné služby nebo do datolapky...

[pasmen]

A dokázal bys mi vyčíslit, jak velké je takové riziko třeba ve srovnání s tím, že se mi do toho nabourá uklízečka, když si nechám heslo napsané na papírku na stole/monitoru? Já bych řekl, že celkem malé. Je to něco podobného, jak riziko cestování autem proti letu letadlem. V autě se zabije x-krát víc lidí, ale holt když spadne letadlo, je to zkrátka víc vidět.

[Jakub Lucký]

Když mi to hackne uklízečka, protože jsem měl heslo na monitoru, tak jsem blbý já, protože mám heslo na monitoru... Když se _musím_ přihlásit na stránku, která má "by design" chybné SSL (a je to feature), tak jsem ohrožen demencí administrátorů, ne svojí...

[Jendа]

Ono až se stane průser, tak jim nic jiného nezbyde, protože to by padaly hlavy...

AŽ?! Taky necháváš své servery děravé s tím, že až se stane průser, tak to nějak opravíš?

[Jakub Lucký]

Hele, do roota dáme heslo "root", to se dobře pamatuje... A kdyby s tím byli nějaké problémy, tak to pak změníme..

[pasmen]

Moje věta je něco jako druhý kondicionál, tudíž vyjadřuje mlhavou možnost (viz by).

[Jendа]

Jde o ranné stadium.

Ne, to tedy opravdu nejde. Ten systém je v ostrém provozu sedm měsíců a pět dní. Tři měsíce ho musí povinně používat všechny OVM a do DS nahlížet všechny právnické osoby kromě pár výjimek.

[pasmen]

Chápu, že vzhledem k tvému věku se zdá 7 měsíců jako dlouhá doba

[Jakub Lucký]

Během těch 7 měsíců co se "nemůžu do DS přihlásit protože mám 64bitové CPU, UID 1001 nebo se dožaduji ověření fingerprintu" můžu dostat jako právnická osoba takové flastry, že i vašich 28 let na to bude málo...

[pasmen]

Chápu, že je životně neřešitelný problém pořídit si repasovaný stroj s XP a monitorem za 3.000,-

[Jakub Lucký]

Není to neřešitelný problém... Ale přijde mi to hloupé, když má firma počítač jen na datovou schránku, nedejbože když je to one-man-show firma a majitel jede na dovolenou... Svůj notebook, repasovaný notebook... A to by si to mohl prohlížet ve svém Blackberry/iPhone/HTC/whatever

[vencour]

A já se divim, že nikdo nemá nic proti korupci. Já se divim, že se někdo u ISDS nevzteká. Já se divim, že někdo tvrdí, že je to normální, že zákon kreje lemplovinu. Já se divim, že v produčnim prostředí jsou sedm měsíců zmetky ...

Nebo ne ... ?

[Jendа]

Měl bych si nastudovat Život s deprivanty II: základy stupidologie, je to tam uvedeno jako reference.

[pasmen]

Ty to bereš jako útok? Ale prosímtě, nebuď tak úzkoprsej

[Jendа]

Ne, neboj .

[Jakub Lucký]

A co bys za ty prachy čekal? Šampus a baletky? (kotyz)

Kdyby jsi se někdy podílel na vývoji státní zakázky, tak víš, že omezení na UID 1000 je základní bezpečnostní feature, který má zamezit lokální exploitaci adduser k vytvoření nového uživatele který by mohl DS používat.. Uznáváme, že to není optimální řešení, ale bezpečnost je v tak závažném projektu jako jsou DS na prvním místě

[Jendа]

Haha. Četl jsi o kousek dál, že druhým efektem toho je, že uživatel s UID 1000 může pomocí pluginu Firefoxu spouštět svůj kód pod jinými uživateli?

[Jakub Lucký]

Já si dokážu přesně představit, jaké důsledky to má (zabezpečuju teď hostingový server kam mají uživatelé SSH přístup), ale přišlo mi záhodno napsat "oficiální" vyjádření ISDS ;)

[vrosecky]

To není bug, ale vysoce žádoucí feature.

[tomm]

Obdivuji trpelivost! Ja bych se sel obesit uz u te nedodrzene specifikace, natoz nevyuzivani HTTP kodu ... Drzim palce!

[User682]

zdravim,

diky za info. Potvrdil jste mi to, ze podobnym stylem se programuje i jinde ve statni sprave (nejenom tam). Podobny vyvoj projektu mel insolvencni rejstrik. Jeden znamy to sepisoval a melo to asi 30 stran i se snimky obrazovky.

Jinak diky za informace o stavu knihoven zpracovavajicich CRL. To se mi take dost hodi.

Pekne. Tak az me nekdy osobne potkame, pripomente se, ze Vam platim panaka kvalitniho dobreho alkoholu.

gf

[Jakub Lucký]

rozumím asi tak půlce zápisku, ale to je peklo... Hodně štěstí a málo dalších překvapení

[uživatel]

Připadá mi, že 90% zdejších výhrad se týká toho 602Filleru - ale vždyť existují desítky jiných klientských řešení bez něj, i pro Linux. Každý tady si přece umí představit, že ISDS je obrovský systém někde v pozadí (mimochodem na Linuxu), který bez problémů pracuje, pokud se nepletu tak zvládá 100000 zpráv denně. A jen kvůli jednomu typu klientského rozhraní ho shazovat mi nepřipadá správné.

[Luboš Doležel (Doli)]

602Filler je důvod, proč je ta aplikace sw/hw omezená. Ty desítky řešení pro Linux bych rád viděl. Problém je v tom, že i ta ostatní řešení musí používat naprosto hrůzný komunikační protokol.

Sorry, ale 100000 zpráv denně není nic extra. To dává kdejaký mailserver.

[pasmen]

Datové zprávy není vhodné přirovnávat k běžným mailovým zprávám, které tečou přes mail servery. Jejich povaha je přeci jen trochu jiná.

[Luboš Doležel (Doli)]

Právě že k obyčejným mailům se dají přirovnávat velmi dobře. Řekni mi, v čem z hlediska softwaru se tak zásadně liší.

[pasmen]

Třeba už jen v použití digitálních podpisů. To u e-mailových zpráv není až tak běžné.

[vrosecky]

A proč pro podpis zprávy použili vlastní zbastlené amatérské řešení založené na fyzické struktuře XML dokumentu namísto standardu XMLDsig?

[pasmen]

To nevím, ostatně to neví nikdo, kdo není s celým řešením detailně obeznámen. To je také jeden z důvodů, proč nelze brát kecy některých místních úplně vážně. Nemají vhled do celého systému jako celku, takže připomínka k určitému detailu je sice hezká, ale bez kontextu k ničemu. Jak už někde psal, včera na ČT24 vystoupil nějaký auditor, jehož tým celý systém detailně zkoumal a přestože říkal, že technicky to má spoustu chyb, které je nutné odstranit, jako celek je to funkční řešení. Je tedy třeba se na celou věc podívat trochu z trochu větší vzdálenosti.

[vrosecky]

Mám to chápat tak, že je lepší znovu vynalézt kolo a ještě přitom ztížit život vývojářům?

[pasmen]

Ne, to jsi pochopil špatně. Já říkám, že není dobré to celé odsoudit, protože neznáš pozadí a detaily. Možná měli nějaký důvod, proč nechtěli použít řešení o kterém jsi mluvil ty. To ale není nic neobvyklého. Občas se stane, že náklady na přizpůsobení si již hotového open source řešení převýší náklady na napsání vlastního from scratch. Spousta velkých firem má pro určité účely vlastní nástroje, přestože existují volně dostupné ekvivalenty (viz třeba seznam.cz)

[vrosecky]

Ne, já to pochopil správně. Je to další způsob, jak otrávit život vývojářům a ještě přitom znovu vynalézt kolo. XMLDsig tohle všechno řeší.

[Marek Bernát]

Ty naopak zahadzuješ všetky detaily (čo je jediný hmatateľný kontakt s tým systémom) a namiesto toho argumentuješ nejakým vágnym celkom. To, že ten celok sa skladá zo samých nefunkčných častí, je ti zjavne jedno. Platia ťa za to, že to "riešenie" tak obhajuješ? Áno, ja chápem, je to veľký projekt a nemôže byť dokonalý už z princípu a bude tam kopa chýb, ale toto je úplne inde. Tu je zlé prakticky všetko a na prvý pohľad je vidieť, že tú vec budoval niekto neschopný.

[pasmen]

Pohled na systém jako celek ti přijde vágní? To je základ veškerého projektového řízení. Ale to ti asi nic neříká. Pokud se celek skládá ze samých nefunkčních částí, je zajímavé, že právě celek své funkce splňuje. Kdyby mě pokaždé platil někdo za to, že mám odlišný názor od někoho jiného, tak jsem miliardář. Jak můžeš říct že je všechno špatně, když technické detaily neznáš a nevíš co je na pozadí? To je hloupý, zvlášť ve spojení s tím jak říkáš, že to dělal někdo neschopný. Ukaž, že jsi lepší a pak pindej.

[Marek Bernát]

Toto nemá cenu. Pozdravuj svoje ministerstvo, alebo kto ťa to vlastne platí za PR...

[pasmen]

Nikdo mě platit nemusí. Ale ty zdá se hodně věcí ještě nechápeš.

[Marek Bernát]

Ahá, takže dobrovoľné PR. Inu, keď ťa to tak baví... Nechápem veľa vecí; napríklad, ako sa môže niekto zastávať nefunkčného riešenia, keď mu za to neplatia

[Luboš Doležel (Doli)]

Problém je v tom, že funguje jen se zatnutými zuby.

Technické detaily jsou dobře vidět navenek. Tohle prostě navrhnul jouda, pro kterýho je XML "takový jiný HTML".

Ukaž, že jsi lepší a pak pindej.

Co očekáváš, že teď má dělat nebo ukazovat?

[pasmen]

Tak. Se zatnutými zuby, ale funguje! Je to zatím nic moc, ale funguje. Snad se do budoucna bude systém zlepšovat.

Já od takového člověka neočekávám nic. Říct o někom, že je absolutně neschopný dokáže i moje dcera, která ještě neumí mluvit. Tak moc jednoduchý to je. Dokázat ale nějak, že by to dokázal líp, nebo že aspoň rozumí tomu, co říká, to už je těžší...

[Jendа]

Snad se do budoucna bude systém zlepšovat.

No, za posledních 7 měsíců, co je v ostrém provozu, se moc nezlepšil. Jestli to půjde dál tímhle tempem…

[pasmen]

Dej jim ještě čas, třeba vydají nějakou brutálně dobrou verzi v dohledné době.

[Marek Bernát]

Ja dúfam, že nám za ten čas nevyhorí slnko

[Marek Bernát]

Eh, rovnako jednoduché je tvrdiť opak a to tu zas prezentuješ ty. Pritom dôkaz si nepodal žiadny. Takže sme si kvit

[vlastikroot]

Technické provedení je opravdu jak když jsem já začínal s webovýma technologiema a nevěděl pomalu ani k čemu je HTML doctype. Asi opravdu nemužeme čekat že napíšou za 900 mega server v erlangu (nebo jiném podobně zaměřeném jazyce), udělají webklient (nebo gui app v .NET/mono např.) a knihovny/bindingy pro rozšířené jazyky, to všecko OSS a dodržující standardy a RFC jak jen je možné. Ten projekt zpracovali naprosto nekompetentní lidé (ano, ani já bych to neuměl udělat pořádně).

[Jary]

Auto má steřelé gumy, teče olej, prasklé sklo, je rezavé a jede na tři, místo 4 válců. Ale jede. Je funkční?

[kotyz]

polofunkcni

[Marek Bernát]

Nie je. A idiota, ktorý ho vytiahne na cesty a ohrozí v ňom cestnú premávku, by som posadil na 10 rokov za mreže (snáď máte nejaký zákon o spôsobilosti auta k jazde. STK anyone?).

[Jary]

Když já jsem chtěl, aby na to odpověděl pasmen.

[Marek Bernát]

Ten nemôže, platí ho automobilka

[Leoš Literák]

Nebyl ten duvod ten, ze software navrhl neschopny a hloupy architekt, kteremu by dozivotne meli udelit zakaz prace v IT? Cele se mi to jevi, jako by ten autor reseni slysel ruzne pojmy jako web services, XML, digital signature, WSDL, ale jen slysel, nikdy je nestudoval a nemel s nimi prakticke zkusenosti. Pak tedy navrhl neco, co vzdalene pripomina tyto pojmy (jako treba zizala Pamelu Anderson) a nejaci chudaci programatori jeho uchylne nazory museli realizovat.

[Boris Dušek]

Někde jsem snad četl, že kvůli vysokým výkonnostním nárokům na normalizaci XML dokumentu, která je nutná pro provedení XMLDsig.

[kotyz]

me thunderbird (enigmail) podepisuje kazdou odeslanou zpravu. ze si ten podpis nikdo neoveruje, to uz je jina vec ...

[Senior Database Programmer]

No tak potom asi vieš ako dlho sa vyvíjal sandmail a koľko má/mal bezpečnostných chýb.

[Luboš Doležel (Doli)]

A jak to s tím souvisí? Navíc jedna věc je vyvíjet systém, který musí dle nějakých předepsaných RFC komunikovat s řadou dalších serverů a vyměňovat obsah, podporovat hromadu redundantních povelů a tunu konfiguračních možností, druhá věc je mít systém, kde si všechny rozhraní děláte sami a fungování se omezuje na jednoduchý cyklus vytvoření zprávy - uložení zprávy na server - přečtení zprávy - smazání zprávy.

[Senior Database Programmer]

Ty si prirovnal datove spravy k emailovemu systemu.

[Luboš Doležel (Doli)]

Je to systém výměny zpráv. U ISDS je to zjednodušeno tím, že vše zůstává v jediném systému.