Další lži kolem „datových schránek“ (diskuse)

[Luboš Doležel (Doli)]

Co si o tom má člověk myslet, když ani oficiální domény projektu nepatří ministerstvu, ale jakémusi s.r.o.

Registrant ID:CAFI-314303
Registrant Name:Vlastimil Cejp
Registrant Organization:e-invent s.r.o.
Registrant Street1:Na Cihlarce 30/3177
Registrant Street2:
Registrant Street3:
Registrant City:Praha 5

[vrosecky]

Společnost e-invent s.r.o. realizovala webové stránky datových schránek (www.datoveschranky.info) pro Ministerstvo vnitra.

[Luboš Doležel (Doli)]

To je sice hezký, ale doména takového významu přece nemůže zůstat v rukách nějakého eseróčka.

[unknown_]

ze to rikas zrovna ty...

[Luboš Doležel (Doli)]

Tak tuhle reakci nechápu.

[Acci]

Ale patří: http://www.nic.cz/whois/?d=mojedatovaschranka.cz

[vrosecky]

Doliho příspěvek se týkal domény www.datoveschranky.info.

[Acci]

To je ale pouze informační portál, přihlašování do datové schránky probíhá na adrese mojedatovaschranka.cz, kterou už MV vlastní.

[Luk]

To je ale pouze informační portál

Je to především oficiální adresa, všude inzerovaná a výslovně doporučovaná. Kdyby to někdo cracknul a přesměroval to na nějaký podloudný web, pak by stačilo, aby někdo poslechl původní doporučení České pošty (které je možná na mnohých pracovištích sdělováno ústně i nyní), a už by se dostal do spárů útočníka.

[vrosecky]

Pošta teda tvrdí, že oficiální web je www.datoveschranky.info, ale přihlašování skutečně probíhá na www.mojedatovaschranka.cz. Viz zde. Proč to mají takhle a proč doména www.datoveschranky.info nepatří MV ČR, nevím.

[Petr Tomášek]

Jasně, to že mají bordel v doménách, je známé. Ale nikomu nedává právo označovat legitimní web za „nebezpečný“, nebo „podvodný“...

[vrosecky]

Na té doméně (datoveschranky.net) není nic podezřelého, dříve se tam nacházelo přihlášení do administrace, které autor raději stáhl z hlavní stránky, protože ho někdo mylně považoval za sběr přihlašovacích údajů do datových schránek.

Phishingových útoků na datové schránky bych se obával, jak je vidět, MV ČR podobně znějící domény nevlastní a Petr Stiegler z České pošty phishingovým útočníkům nahrál na smeč, když uživatelům "radil", aby problémy s bezpečnostním certifikátem při přístupu na web datových schránek ignorovaly.

[Acci]

Taky jsem nad tím přemýšlel. Jak bys to teda řešil ty?

[vrosecky]

K přihlašovacím údajům k datové schránce by se např. mohl přidat otisk certifikátu spolu s postupem jak otisk certifikátu ověřit. MV ČR mohlo také ve vlastním zájmu s dostatečným časovým předstihem před spekulanty skoupit domény s podobně znějícími jmény.

[Luk]

K přihlašovacím údajům k datové schránce by se např. mohl přidat otisk certifikátu spolu s postupem jak otisk certifikátu ověřit.

Mohlo, řešilo se to už v červenci, nicméně se tak neděje. Prostě, "my jsme ti blbí, kdežto ČP, MV a jejich dodavatelé mají jen samé špičkové odborníky".

MV ČR mohlo také ve vlastním zájmu s dostatečným časovým předstihem před spekulanty skoupit domény s podobně znějícími jmény.

Tohle státní správa nedělá. Zažili jsme to už mockrát a děje se to stále.

[Acci]

Dokázal bych si představit, že by u údajů byl i otisk ceritifikátu. Ale že by tam byl i postup pro všechny verze podporovaných prohlížečů a operačních systémů už moc dobře ne. Navíc, opravdu si myslíte, že by normální člověk kontroloval každé písmenko z minimálně 40 znakového otisku?

Domény samozřejmě koupit mohli. Jenže jaké a kolik by jich bylo? A podle mne by to stejně nic nevyřešilo, protože útočník by si mohl založit doménu na úplně jiné TLD nebo třeba s jedním prohozeným písmenkem, čehož by si asi nikdo nevšimnul.

[vrosecky]

Oficiálně podporované platformy jsou operační systémy MS Windows, Linux a MAC OS X na platformě Intel x86_32 a prohlížeče Internet Explorer a Firefox, návod jak ověřit otisk certifikátu je např. v nápovědě k internetovému prohlížeči. Alternativou by bylo distribuovat spolu s přihlašovacími údaji CD s certifikátem a postupem, jak ho importovat do prohlížeče.

[Petr Tomášek]

Nikoliv „oficiálně podporovné“, ale „jediné podporované“. (Momentálně totiž žádná „neoficiální podpora“ pro jiné systémy neexistuje.)

[vrosecky]

Na neoficiální podpoře pro jiné systémy se pracuje.

[Acci]

To znamená minimálně čtyři návody. A to nepočítám ještě různé verze těchto prohlížečů a systémů. Dále nápověda Firefoxu (a možná i dalších prohlížečů) je umístěna na nezabezpečených stránkách, takže není důvěrihodná a tudíž použitelná.

Navíc, kdo vám zaručí, že Firefox, který poiužíváte není podvržený? Stahujete snad svou distribuci ze šifrovaného zdroje nebo si poté kontrolejete hash souboru s hashem uvedeným na zabezpečených stránkách?

[Luk]

Navíc, opravdu si myslíte, že by normální člověk kontroloval každé písmenko z minimálně 40 znakového otisku?

Pořád je to lepší, než strčit hlavu do písku a tvářit se, že nic nehrozí a proto lze okliknout certifikát bez kontroly nebo si ho nešifrovaně stahovat z webu.

Domény samozřejmě koupit mohli. Jenže jaké a kolik by jich bylo? A podle mne by to stejně nic nevyřešilo, protože útočník by si mohl založit doménu na úplně jiné TLD nebo třeba s jedním prohozeným písmenkem, čehož by si asi nikdo nevšimnul.

Při rozpočtu, jaký na to je, by ani registrace desítek nebo stovek domén nebyla problém. Ostatně je běžné, že se takhle registrují třeba i ochranné známky (tzv. blokační známky), kde je to přitom celé mnohem dražší a složitější.

[Jendа]

nebo si ho nešifrovaně stahovat z webu

nezabezpečeně

[Luk]

Přesněji nezabezpečeně a nešifrovaně (tj. někdo si může jak hrát na protistranu, tak zasáhnout někde na trase do komunikace se správným serverem a něco tam pozměnit).

[Acci]

BTW: Vy věříte více České poště než vašemu ISP?

[Jirka]

A vy někomu a něčemu věříte?

[Acci]

Já ano. Jenže většina lidí tady s tím má obrovský problém.

[Jirka]

Záleží, kde máte položenu hranici důvěry. Správný "IŤák" nedůvěřuje svému počítači, ale pokud např. používá firefox, tak je odkázán k tomu věřit, že funguje správně, protože pochybuji, že existuje formální verifikace toho programu a/nebo je dokázáno, že neobsahuje chyby (což není).

Ale pokud by existovala možnost, že v zásilce (za jejiž neporušené doručení někdo zodpovídá) bude fingerprint certifikátu (a za jeho správné uvedení také někdo zodpovídá), tak zafunguje zákon padajícího hovna a mám se na co odvolat. Nebo pokud si to nezkontroluji, tak zase pošta může hodit hovno na mě a je z obliga.

Jenže oni mi řeknou: "v dobré víře si stáhněte tady nějaký certifikát, možná to bude právě ten, který byste měl stáhnout a jsme samozřejmě z obliga".