Česká Pošta sprostě lže...

1.7.2009 15:13 | Bezpečnost | poslední úprava: 1.7.2009 15:34

Posuďte sami: Při pokusu o přihlášení do systému ISDS se může objevit varování, upozorňující na problém s bezpečnostním certifikátem stránky. Toto je způsobeno nepřítomností certifikátu ve standardní instalaci MS Windows či jiných operačních systémů. Upozornění je nutno ignorovat; vstup na stránku je zcela bezpečný neboť používaný certifikát je vydán kvalifikovanou českou certifikační autoritou. Volbou přidání certifikátů k důvěryhodným certifikátům či pokračováním na stránku ISDS nevzniká žádné bezpečnostní riziko. (tučné zvýraznění jsem přidal já, citováno dle: http://www.datoveschranky.info/)

       

Komentáře

[Mrkva]

No, řekl bych, že PostSignum je poměrně důvěryhodná CA.

[Petr Tomášek]

Když chce po klientech, aby si stahovali certifikát přes plain HTTP?

[Matlas]

No a? Na certifikátu není nic tajného ani zvláštního aby se musel chránit.

Jak byste bez certifikátu chtěl navázat HTTPS spojení abyste si jej teprve stáhl. To je přece nesmysl, ne?

[Jendа]

Proboha člověče! Mezi vaším počítačem a serverem, z kterého taháte certifikát, může sedět útočník, který vám podvrhne jiný (svůj) certifikát! A není to nic složitého, sám jsem to v laboratorních podmínkách zkoušel.

[Matlas]

a jak to souvisí s původním dotazem? certifikát si samozřejmě můžete stahnout ať mezi vámi a serverem sedí třeba děda mráz. Poté co jej stahnete jej musíte ověřit u poskytovatele. to jsem bral jako samozřejmé a proto jsem to nepsal. člověče.

pokud byste to chtěl stahovat přes https, jak byste jej bez certifikátu navázal?

[Jendа]

Poté co jej stahnete jej musíte ověřit u poskytovatele. to jsem bral jako samozřejmé a proto jsem to nepsal.

Tím pádem můj komentář jako by nebyl.

A nebylo by vhodné, aby byla na tom webu byla zmínka, že (a proč) si to uživatel má ověřit (pokud tam nejde jen za účelem testovací schránky, kde je to celkem jedno), případně návod, jak zobrazit fingerprint v nejpoužívanějších prohlížečích?

Sorry, ale tvůj nick podsouvá předsudky . Chvíli před odesláním komantáře jsem se ještě bavil s BFU, kterému možnost podvržení certifikátu nějak nedocvakla

[Luk]

No a? Na certifikátu není nic tajného ani zvláštního aby se musel chránit.

Není na něm nic tajného, ale lze ho snadno podvrhnout.

Jak byste bez certifikátu chtěl navázat HTTPS spojení abyste si jej teprve stáhl. To je přece nesmysl, ne?

To není nesmysl. To je varianta problému "slepice-vejce". Čistých řešení je několik. Například poskytovat certifikáty přes CzechPointy (fyzicky, nakopírováním na médium) nebo na CzechPointech vystavit vytištěný fingerprint. Případně třeba ten fingerprint vydat ve sbírce zákonů (může být součástí příslušné vyhlášky MV nebo samostatnou vyhláškou). Jenže to všechno je komplikované, takže by si to stejně nikdo neověřoval.

Další možností je stažení z webu, který bude ověřován nějakým certifikátem, který je důvěryhodný pro tvůrce prohlížečů. To je jednoduché a bezpečné, ale pak v podstatě mizí důvod mít certifikát webu DS podepsaný od Postsignum QCA, protože se stejně bezpečnost do určité míry vkládá do cizích rukou.

Bohužel, Česká pošta zvolila tu nejhorší volbu. Doporučuje odkliknout varování, případně si odněkud nešifrovaně stáhnout kořenový certifikát Postsignum. A tomuto subjektu vložilo ministerstvo vnitra (pod které ČP ostatně patří) do rukou realizaci celého systému datových schránek. Jedním slovem: tragédie.

[Andrej]

Ale on mluví o man-in-the-middle, jestli vám to ještě nedocvaklo...

[Luk]

Položil jsem dotaz Petru Stieglerovi z ČP:

Proč radíte "odkliknutí" certifikátu, který je prohlížečem označen za nedůvěryhodný (je to velmi nebezpečné - člověk se může stát obětí man-in-the-middle útoku)? Proč tam raději místo toho není doporučení, jak zkontrolovat fingerprint certifikátu a tento fingerprint není například zasílán současně s přihlašovacími údaji?

Odpověď:

Informační systém datových schránek používá certifikát vydaný kvalifikovanou certifikační autoritou České pošty, je tedy zcela bezpečný. Bohužel, prohlížeče mají svoji vlastní politiku, kterým certifikátům důvěřují a proto jej označují za nebezpečný. Ale opravdu není potřeba mít žádných obav.

Buď je mimo mísu nebo úmyslně plácá nesmysly. Třetí možnost není.

[Luk]

Rozhovor pokračuje:

Bohužel jste vůbec neodpověděl na moji otázku. Mohl bych citovat z Vašeho webu, kde doporučujete okliknout certifikát, který by klidně mohl být podvržen, protože kořenový certifikát prohlížeč nezná a uživatel neví, jak může certifikát ověřit.

Odpověď:

Je možná detaily certifikátu rozkliknout a ověřit jeho vydavatele.

Ano, je to možné. Ale ověřit vydavatele by muselo být podle čeho a hlavně by to uživatel musel vědět.

[Jendа]

Napsal jsem mu

Dobrý den, reaguji na vaši odpověď z 15:52. Problém je v tom, že uživatel si nemůže ověřit, že je to skutečně certifikát vydaný Postsignem, protože nemá jeho kořenový certifikát. Správný postup by byl naimportovat kořenový certifikát Postsigna a ověřit jeho pravost např. tím, že by byl v dopise s přístupovými údaji k DS jeho otisk.

Ale nic na to neodpověděl.

Rozhovor mě utvrdil v tom, že ten pán neví, vo co go. To jeho

Omezení Intel procesoru je pouze pro MACy...

je taky dost... ééé... drsné. Asi si myslí, že existují pouze x86 procesory a starší ppc a nic jiného.

[Luk]

Na můj poslední publikovaný dotaz vůbec nereagoval a rozhovor ukončil. Tentýž dotaz už jsem ale vložil již v 15:10, nicméně stejně jako jeden další byl vyhozen a přišla mi soukromá zpráva od redakce, že to s tím počtem dotazů přeháním, že musí dostat šanci i jiní.

[Jendа]

Mám v blogu provést rozcupování, nebo se toho chceš ujmout ty?

[Luk]

Klidně něco napiš, já už mám na DS domluvené další psaní, takže o tom budu psát tako jako tak.

[Jendа]

...done!

[Michal Wirth]

to je sice mozne, nicmene autor blogu asi spise narazi na skutecnost, ze uzivateli sluzby muze byt certifikat podvrzen a stranky ho nabadaji k bezhlavemu prijeti takoveho potencionalne zakerneho certifikatu

pokud v prohlizeci vyskoci takove varovani, nelze certifikat bezmyslenkovite prijimat!

[Kroko]

Asi jde víceméně o to, že by sis měl naimportovat certifikát té certifikační autority a ne samotný certifikát těch schránek.

[CEST]

Hmmm a proc teda nema svuj certifikat podepsanej od jiny svetove uznavany CA, pripadne, kdyz je tak duveryhodna a existuje uz tak dlouho (od roku 2005 Issuer: C=CZ, O=\xC4\x8Cesk\xC3\xA1 po\xC5\xA1ta, s.p. [I\xC4\x8C 47114983], CN=PostSignum Root QCA Not Before: Apr 6 09:45:11 2005 GMT), proc jeste neni zarazena do firefoxu ani windows/exploreru?

Mozna je pro CR kvalifikovanou, ale pro prohlizece je neduveryhodnou. Kdyz uz delaji takovej web, tak by mohli aspon pouzit neco, co nebude v prohlizeci buzerovat, pripadne PostSignum by se mela snazit se protlacit do prohlizecu, aby vypadala sama o sobe duveryhodne. Stejne jako KB pouziva VeriSign. Ale mozna je to jenom obrazek toho, ze ty datovy schranky jsou jenom hracka, ktera se stane neduveryhodnou. Holt v bance jde o prachy, tak se tam na bezpecnosti nesetri.

[pasmen]

ČSOB používá I.CA, což také není "důvěryhodnou" CA, pokud to bereš tak, že co nemá defaultně prohlížeč importováno, není důvěryhodné.

[Petr Tomášek]

Ano, proto taky nepoužívam jejich podělané internetové bankovnictví a se vším je chodím prudit na přepážku...

[pasmen]

Ale to je přeci hloupost, co tady teď povídáš. Tím že nějaký prohlížeč zahrne do své distribuce rootovský certifikát nějaké CA zní nedělá důvěryhodnou. A stejně tak, pokud ho nezahrne, CA není automaticky nedůvěryhodná. Kdybych napsal vlastní prohlížeč, zahrnul do instalačního balíku certifikát od I.CA, stala by se dle tvého soudo rázem důvěryhodnou? Nebo budeš argumentovat tím, že můj prohlížeč není dostatečně známý, a proto se důvěryhodnost podle tohoto nedá určit. Toto celé je hloupost, že?

[JB]

Vse je preci o duvere, odpovednosti a znalostech. A myslim, ze jste podlehl vlastni manipulaci.

Ano, vas vlastni prohlizec pokud prijme I.CA do svych certifikatu, bude tvrdit, ze I.CA je duveryhodna.

Vy jako vydavatel prohlizece mate zajem na jeho rozsireni a duveryhodnosti.

Vas prolizec muze pozbyt duveryhodnosti, pokud nahodou umozni utok pres neduveryhodnou cert. autoritu.

Jak ale poznate, ze muzete I.CA duverovat?

Myslim, ze pro zacleneni certifikatu do prohlizece existuje jednoznacny protokol a pozadavky (napr. http://hecker.org/mozilla/ca-certificate-policy ), ktere bohuzel Postsignum i I.CA nedokazali nebo nechteli splnit.

Ja tedy Postsignum i I.CA mohu tezko povazovat za seriozni.

To ze jim duveruji, je jen kvuli svym znalostem, ale vezte, ze pokud by byla lepsi nabidka, nevahal bych.

 

 

 

 

[Matlas]

Proč nepoužívají "certifikat podepsanej od jiny svetove uznavany CA" ? To bude proto, že žádná světová ani uznávaná (od toho, že její certifikát je v úložišti browseru) nespňuje náležitosti dané zákonem o elektronickém podpisu a jeho vyhlášek.

Datové schránky jsou komunikací se státní správou a tam se komerční certifikáty používat nesmí. Tam musí být kvalifikované.

To že certifikát není v úložišti vašeho prohlížeče taky neznamená, že certifikační autorita není důvěryhodná.

[Jendа]

Tady nejde ani tak o to, že třeba nemá root té CA v prohlížeči, ale o to, že na tom webu vybízí k odkliknutí onoho bezpečnostního upozornění.

[Matlas]

ano, ale to je jiný problém než ten na který jsem reagoval. že zvolili variantu "věřte nám a na nic se neptejte" je samozřejmě špatně.

[Luk]

Jenže oficiálně doporučovaný způsob použití je de facto "žádný certifikát" (viz jiné příspěvky zde v diskusi), tedy nesrovnatelně horší než běžné komerční certifikáty.

[Michal Čihař]

No koukám že ten 602 XML filter taky bude pěkný skvost - já si říkal, že se stahuje nějak pomalu a ono to ma 50 MB.

A pro stažení už vím proč - obsahuje to wine. A nějaký plugin do Firefoxu. Doufám, že ten plugin je aspoň nativní a nespouští wine. Ale nějak nemám žaludek na to to zkoumat...

[Luk]

Doufám, že ten plugin je aspoň nativní a nespouští wine. Ale nějak nemám žaludek na to to zkoumat...

Pokud vím, tak právě spouští (bundled) WINE

[M. Lox]

No, a pokud nemáte i386, tak si nas**te…
Otázka do pranice: Jakým standardem se řídí ta výměna dat?

[M. Lox]

Aha, už se ta otázka řeší níž, tak neodpovídejte.

[Kroko]

kdyz jsme u toho tak:

Chyba zabezpečeného spojení

Při spojení s login.mojedatovaschranka.cz nastala chyba.

Partner protokolu SSL neočekával obdržení inicializační zprávy.

(Kód chyby: ssl_error_handshake_unexpected_alert)

Požadovanou stránku nelze zobrazit, protože nelze ověřit autenticitu přijatých dat.

* Kontaktujte prosím vlastníka webového serveru a informujte ho o tomto problému.

[marallo]

Ten titulok v bulvárnom štýle si si mohol odpustiť...

[franta]

To je zase blábol...

[Jendа]

Zápisek je blábol? Proč?

[Luk]

Tohle je možná až na trestní oznámení - mohlo by to být trestné podle § 239, odst. 2, písm. b). Zřejmě totiž úmyslně umožňují někomu, aby prostřednictvím podvrženého certifikátu odposlechl komunikaci a tedy spáchal čin uvedený v odstavci 1. V situaci, kdy budou datové schránky v řadě případů povinné, se jedná o skutek o velmi rozsáhlých dopadech a společenská nebezpečnost je velmi vysoká.

[Jendа]

OMFG!

http://qca.postsignum.cz/www/authorities.php:

Pravost nabízených souborů si po stažení můžete ověřit výpočtem otisku z obsahu celého souboru za použití algoritmů SHA-1 a MD5. ... Otisky certifikátů autorit jsou uvedeny také na stránkách <a class="extlink" href="http://www.mvcr.cz... Ministerstva vnitra ČR, odkud si můžete rovněž stáhnout program DataHash pro výpočet otisků ze souborů.

To bychom si tedy tím ověřením pomohli...

[Max]

Hmm, a jak by jsi ten certifikát doručil uživateli ty? Ono totiž není moc praktické chodit s flashkou do banky / pošty pro certifikát každý rok :-/
Zdar Max

[Jendа]

V dopise, který uživatel, který si požádá o schránku, dostane, by mohl být vytištěný fingerprint.

[Max]

To by je museli rozesílat každý rok, nebo jak často budou cert měnit ...
Zdar Max

[Jendа]

Za ty peníze by klidně mohli.

[Luk]

Nemuseli. Aktuální kořenový certifikát má nastavenou platnost do roku 2030.

[Jendа]

Tak jsem se zkusil přihlásit do toho jejich testovacího envajrmentu a chce to mail. Ale místo toho, aby tam dali HTML form, tak se to dělá přes ten Filler. Inu,

dpkg: error processing 602XML_Filler.deb (--install):
 package architecture (i386) does not match system (amd64)
Errors were encountered while processing:
 602XML_Filler.deb

Mmmm...

Budiž, máme --force-architecture. Ale co když se v té druhé závorce na druhém řádku objeví třeba arm, ppc nebo mips? Budeme to hackovat přes qemu? A umí vůbec qemu na jiných platformách emulovat x86 (nevím, jenom jsem o tom něco slyšel)?

Mimochodem, balíček mi to nabízí k tahání přes http, musel jsem si ručně doplnit s-ko. A to není paranoia, řídil jsem se podle bodu 10 na straně 3 instruktážního PDFka.

10. Instalujte a užívejte pouze legální software z prověřených zdrojů: Riziko plyne i z instalace neznámých aplikací, jejichž původ nebo skutečné funkce nelze prověřit. Nezáleží na popisu těchto aplikací, ale na ověřitelnosti zdroje a jeho zabezpečení. Existuje totiž řada aplikací, jejichž účelem je implementovat do počítače software, s jehož pomocí mohou být zcizena a následně zneužita Vaše osobní data či Vaše identita v počítači uložená. Základním principem zachování bezpečnosti Vašeho počítače je proto bezvýhradné používání pouze bezpečných a legálních aplikací.

Teď musím restartovat kvůli tomu pluginu Firefoxe, zkušenosti sem postnu za chvíli.

[Jendа]

Příloha:

• filler.sh (2755 bytů)

Tohle se nainstalovalo:

-rw-r--r-- root/root       345 2009-05-08 02:04 /usr/share/applications/602XMLFiller.desktop
-rw-r--r-- root/root      1176 2009-06-29 22:48 /usr/share/doc/602xml-filler/copyright
-rw-r--r-- root/root       169 2009-06-29 22:48 /usr/share/doc/602xml-filler/changelog.Debian.gz
-rw-r--r-- root/root     18074 2009-05-08 02:04 /usr/share/pixmaps/602xml_filler.png
-rw-r--r-- root/root     22012 2009-05-08 02:04 /usr/lib/mozilla/plugins/602plugin.so
-rwxr-xr-x root/root      2755 2009-05-08 02:04 /usr/bin/filler.sh
drwxr-xr-x root/root         0 2009-06-29 22:47 /opt/602filler/--- sem komletní WINE

Deb balíček byl vyroben z RPM alienem. Hmm...

Autor balíčku používá Kubuntu a pracuje pěkně do noci Mon, 29 Jun 2009 22:48:23 +0200.

filler.sh vyrobí v ~ .602filler, udělá v něm asi 50 symlinků na všechno možné v systému, nastaví nějaké proměnné a spustí fillera. Ten se rozběhne, ale při každém kliknutí vyblije do konzole několik chyb. filler.sh přikládám, protože to se jentak nevidí.

Připomínám, že plugin do FF mi pořád nejede...

Nedokážu rozjet 32bit .so v 64bit FF. Kdyby byl někdo té lásky, může to zkusit nějak nspluginowrapperovat a napsat návod. Stahuju 32bit FF.

[Jendа]

Příloha:

• defekce.png (20318 bytů)

Monolog ála Grunt pokračuje:

cp /usr/lib/mozilla/plugins/602plugin.so ~/ff-32/firefox/plugins/

Ty jo, vono to spouští ten Filler přes Wine bez dekorace okna uvnitř Firefoxe!

BTW http://www.czebox.cz/static/pages/zadost_formular.html má titulek "Test page 602XML Filler" :)

Ty jo, on je selectbox na té stránce neselectbox, ale čudlítko, které se kliknutím změní v selectbox 8-O Přístupnost, přehlednost a použitelnost 0.

To kalendářové políčko je nějaké defektní a po odeslání formuláře se zobrazilo defektní okýnko s HTML kódem (přikládám). Neznat HTML, vyděsilo by mě to.

Muhehe, Jméno: aaaan5. Jsem asi tak dvoustý?

Defekce: tlačítko "přihlásit" na http://www.czebox.cz/ netlačítkuje. Nebo je chyba na mém přijímači?

UPDATE: políčka ve formíku mají onkeyup="validateLogin()", takže když tam kopírujete ze schránky, musíte tam alespoň jeden znak napsat.

JSEM TAM!!!

[Jendа]

První dojmy: nic moc, ale je to lepší, než jsem čekal.

[Jendа]

http://album.hrach.eu/datoveschranky/

[Jendа]

Aktuální seznam povolených přípon souborů: pdf, xml, fo, zfo, html, htm, odf, ods, ods, txt, rtf, doc, xls, ppt, jpg, jpeg, jfif, png, tiff, gif, mpeg1, mpeg2, wav, mp2, mp3. Co to udělá, když se mu tam vrazí třeba binárka pro okna s příponou jpg neříkají, ale asi nic, když to zjevně neidentifikuje ODT jako ZIP. Vedle je upozornění o spustitelných souborech a archívech, vizte shot 7 na výše uvedené URL.

[Jendа]

Příloha:

• podminky.txt (7735 bytů)

Nejdelší monolog na ABC. Nechcete někdo na něco z toho reagovat, ať to nevypadá tak blbě?

Přihlásit se dá i bez fillera, akorát pak nejde napsat nová zpráva a změnit některá nastavení. Jestli se dá bez fillera vybrat doručená zpráva nevím, protože mi nikdo nepíše .

Pro Linux je filler-plugin dodáván jako 32bit so, pro okna jako xpi. Zkusil jsem ho narvat do Linuxového 64bit FF:

Doplněk "602XML Filler" nemohl být nainstalováno kvůli nekompatibilitě s typem sestavení aplikace Firefox (Linux_x86_64-gcc3). Prosím informujte autora tohoto doplňku o tomto problému.

Žádost o zřízení testovací schránky jde otevřít rovnou ve filleru i bez pluginu, je potřeba z kódu vypreparovat URL zfo souboru. Jestli by takhle šlo bez toho pluginu normálně pracovat se schránkou nevím...

wget http://www.czebox.cz/static/pages/zadost_test_ds.zfo && filler.sh zadost_test_ds.zfo

Filler po mně při instalaci ani při spuštění nechtěl potvrzení podmínek, ale v Nápověda → O aplikaci jsou. Otázka na Luka: musím se jimi řídit, když jsem je neodsouhlasil?

Byly by moc dlouhé, takže jsou v příloze.

PS nechce to průbnout nějaký místní macochysta?

[Luk]

Jestli se dá bez fillera vybrat doručená zpráva nevím, protože mi nikdo nepíše

Nedá. Zkoušel jsem to v demoverzi.

Otázka na Luka: musím se jimi řídit, když jsem je neodsouhlasil?

To je velmi diskutabilní. Jde o to, že za implicitní lze považovat, že autor s užitím díla nesouhlasí. Na druhou stranu prokazatelně existují veřejné deklarace o opaku. Byl by to zajímavý oříšek pro právníky

[Jendа]

Nedá. Zkoušel jsem to v demoverzi.

Jak se dá udělat, aby mi něco přišlo?

Teď si to tak čtu a je tam několik podivností (IMHO):

• III (d) - co když ho chci dát třeba do kavárny, aby si podnikatelé na dovolené mohli každých 10 dní kontrolovat? Nesmím?
• V ŽÁDNÉM PŘÍPADĚ NEPŘEKROČÍ CELKOVÁ POTENCIÁLNÍ NÁHRADA ŠKODY V SOUVISLOSTI S TOUTO SMLOUVOU ČÁSTKU 10,- KČ. - Proč nemůžou rovnou říct, že vám dáme ho*no?
• Specifikace 602XML asi nikde ke stažení není, co? Je vůbec možné, že stát nutí k používání uzavřeného (sic zdarma) softwaru? Co když je tam backdoor?

[Luk]

Jak se dá udělat, aby mi něco přišlo?

U demoverze tam nějaké došlé zprávy jsou.

III (d) - co když ho chci dát třeba do kavárny, aby si podnikatelé na dovolené mohli každých 10 dní kontrolovat? Nesmím?

Pravděpodobně ne. Jinak veřejné počítače principiálně nejsou příliš bezpečné, proto by reakce SW 602 mohla být, že "je to stejně bezpředmětné".

Proč nemůžou rovnou říct, že vám dáme ho*no?

Tak jako tak by bylo lepší při vzniklé škodě podat žalobu na stát (MVČR), protože ten je správcem systému (§ 14, odst. 2) a má povinnost zajistit náležitá bezpečnostní opatření (§ 14, odst. 5). Má i další povinnosti podle § 20. Určité povinnosti (mj. bezpečnostní opatření) má také provozovatel (tj. Česká pošta), čili při porušení zákona by i ČP nesla odpovědnost za škodu.

Specifikace 602XML asi nikde ke stažení není, co?

Specifikace? Jaká?

Je vůbec možné, že stát nutí k používání uzavřeného (sic zdarma) softwaru? Co když je tam backdoor?

Stát se může vymlouvat, že k tomu nikoho nenutí. Že jsou zveřejněny specifikace formátu zpráv i rozhraní webových služeb, proto si každý může vytvořit nebo nechat vytvořit klienta pro přístup a žádný uzavřený SW nepotřebuje.

Na druhou stranu, § 20, odst. 3 říká, že "Obsah datové zprávy a všech jejích částí musí být uzpůsoben tak, aby se s ním bylo možné seznámit a dále jej zpracovávat bez zvláštních technických znalostí...". To by v tomto případě (tedy při využití specifikací) rozhodně nebylo splněno, protože práce se specifikacemi vyžaduje značné technické znalosti.

[Jendа]

U demoverze tam nějaké došlé zprávy jsou.

Mě to pro demo poslalo na czebox.cz a tam žádné doručené nejsou.

Pravděpodobně ne. Jinak veřejné počítače principiálně nejsou příliš bezpečné, proto by reakce SW 602 mohla být, že "je to stejně bezpředmětné".

Njn. (umí čipovku?)

Určité povinnosti (mj. bezpečnostní opatření) má také provozovatel (tj. Česká pošta), čili při porušení zákona by i ČP nesla odpovědnost za škodu.

Mám napsat nějaké odpovědné ohledně toho tristního textu, o kterém je blogpost?

Že jsou zveřejněny specifikace formátu

Formát zpráv = XML 602XML Filler, ne? A ta veřejná není.

[Luk]

Mě to pro demo poslalo na czebox.cz a tam žádné doručené nejsou.

Když jsem demo zkoušel před cca 14 dny, zprávy tam byly.

Njn. (umí čipovku?)

Co jestli ji umí? IDSD? Měl by, pokud vím. Ta ale samozřejmě neochrání před případným odchycením citlivého dokumentu na tom počítači.

Mám napsat nějaké odpovědné ohledně toho tristního textu, o kterém je blogpost?

Ten text není zdaleka to jediné, co je tristní. Zítra (2.7.) v 15:00 je na serveru Podnikatel.cz on-line rozhovor s tím člověkem z ČP, který to má na starosti. Nebylo by špatné se ho na to zeptat. Pokud se mi podaří být zítra v tuto dobu u počítače, mám připraven celý kopec dotazů. Nedělám si iluze, že dostanu odpověď aspoň na část z nich, ale stejně se zkusím zeptat.

Formát zpráv = XML 602XML Filler, ne? A ta veřejná není.

Právě že ne. 602XML Filler je jen aplikace, pracuje nad XML soubory, pro něž je specifikace k dispozici. Hlavní pitomost je, že webové rozhraní ISDS neumožňuje bez instalovaného pluginu pro 602XML Filler si ani tu tzv. obálku prachsprostě stáhnout (není potřeba ji otevírat online). Jde to jen přes rozhraní Web Services, které je popsáno ve specifikacích.

[Jendа]

Právě že ne. 602XML Filler je jen aplikace, pracuje nad XML soubory, pro něž je specifikace k dispozici.

Kdekdekde? Jsem slepý?

[Luk]

Kdekdekde?

Tady. Je to ta Příloha 1 a jedná se o normální XML schéma. Pikantní je, že se poměrně divoce měnilo, a to ještě v červnu (částečně i kvůli novele zákona). Celou datovou zprávu systém podepisuje pomocí PKCS#7. Není tam nikde nic tajného, všechno je popsáno v dokumentech, hlavně v DataMessage_ws.pdf.

Jsem slepý?

Ty "inteligentní formuláře" jsou jeden velký průser. Nejde až tolik o to, že je to věc těsně spjatá s 602XML. Jde to to, že se může stát (jako se kdysi stalo například v ČTÚ*), že vznikne formulář, který bude věcně chybný a přitom bude povinnost ho vyplnit. Samozřejmě, že odpovědnost padá na úřad, který to zvoral (nebo to zvorala dodavatelská firma, jako v uvedeném případě, to je jedno), ale pokud půjde o záludnou chybu projevující se jen v malém procentu případů, bude boj s Matrixem dost náročný.

*ČTÚ měl v roce 2007 statistické formuláře, kde bylo špatně přednastaveno vykazované období, čili formulář nešel vůbec vyplnit. Změnit hodnotu přímo v XML nepřipadalo v úvahu, formulář byl podepsán a zásah do něj by tedy znamenal, že by byl hlášen jako pozměněný a úřad ho tedy nemusel přijmout.

[Jendа]

pokud půjde o záludnou chybu projevující se jen v malém procentu případů, bude boj s Matrixem dost náročný.

Proto IMHO tlačí "jeden software pro všechny" - je slušná pravděpodobnost, že když budou mít všichni Jeden Filler, tak to bude (ne)fungovat všem stejně. Samozřejmě to předpokládá, aby všichni měli verzi 3 a ta byla udržoována jako stable.

[Martin Doucha]

Ta příloha 1 ale stačí jen na validaci značkování a přečtení obsahu. Chybí tam formáty pro samotný obsah jednotlivých značek, takže se z toho kompletní náhrada za 602Filler pro ISDS napsat nedá.

[Luk]

Mimochodem, balíček mi to nabízí k tahání přes http, musel jsem si ručně doplnit s-ko.

Kontrolní otázka - copak je na URL https://www.datoveschranky.info?

[Max]

Certifikát je platný pouze pro webmail.e-webmastr.cz
Pěkný :)
Zdar Max

[Luk]

...a hlavně tam místo webu datových schránek běží Horde Čili tak kritický web, jako je ten o datových schránkách (protože většina lidí k nim bude zřejmě přistupovat přes www.datoveschranky.info), běží na sdíleném hostingu, kde je ještě leccos dalšího. Ono by totiž ten celý projekt určitě ekonomicky zabilo, kdyby se to řešilo pořádně, na dedikovaných serverech a s redundancí (nejlépe na geograficky vzdálených místech - pořád se hovoří o riziku terorismu, ale tady by stačila malá bombička k docela slušné pasece v naší ekonomice).

Jen pro zajímavost - IP adresa je 82.208.28.233, reverzní záznam vede na ns.e-websolutions.eu. Celkem běží na stejné IP adrese cca 69 domén (spíše více).

[Jendа]

Ono by totiž ten celý projekt určitě ekonomicky zabilo, kdyby se to řešilo pořádně, na dedikovaných serverech a s redundancí (nejlépe na geograficky vzdálených místech

Někde jsem četl, že to stálo nějaké desítky milionů nebo tak. V tom se snad nějakých deset dedikovaných serverů po 5k měsíčně ztratí, ne?

Celkem běží na stejné IP adrese cca 69 domén (spíše více).

Jak může jeden server utáhnout ke všem těmto webům ještě systém, který bude muset používat každá firma v ČR!? DNS round robin to nebude, taky mi to přeložilo na 82.208.28.233.

[Ladicek]

Kucí, ale že celý systém ve skutečnosti běží na mojedatovaschranka.cz, kam vás ostatně pošle první klik z datoveschranky.info, pomíjíte proč? A že na stroji dosažitelném z internetu v žádném případě neběží celý systém, ale jenom frontend? Oj oj oj.

[Luk]

Kucí, ale že celý systém ve skutečnosti běží na mojedatovaschranka.cz, kam vás ostatně pošle první klik z datoveschranky.info, pomíjíte proč?

Protože tam halda lidí (možná většina) poleze přes www.datoveschranky.info. A když jim to nepojede, tak budou zhusta zcela bezradní (zejména, pokud budou chtít něco vyřídit na poslední chvíli, jak je dobrým zvykem).

A že na stroji dosažitelném z internetu v žádném případě neběží celý systém, ale jenom frontend?

Nikdo netvrdil, že na onom stroji běží celý systém! Běží na tom ale hlavní web (filosoficky řečeno) celého ISDS, jeho vstupní stránka. Například na daňový portál také lezu přes web ministerstva financí, protože nějakou specifickou stránku na obskurní doméně si nechci ani pamatovat, ani si ji dávat do záložek (už proto, že se občas mění).

[Ladicek]

Nijak zvlášť se o to nezajímám, ale i já jsem zaregistroval, že přístup k datovým schránkám přes web bude na doméně mojedatovaschranka.cz. Jak tomu rozumím já, datoveschranky.info je nějaký informační portál, který může běžet skoro na čem chce, pokud použité CMSko není úplný paskvil

Nikdo netvrdil, že na onom stroji běží celý systém!

Jenom jsem chtěl korigovat tuhle domněnku:

Jak může jeden server utáhnout ke všem těmto webům ještě systém, který bude muset používat každá firma v ČR!

A když jsem to odeslal, ještě jsem si uvědomil, že jsem se unáhlil, s největší pravděpodobností to nebude ani frontend, ale spíš load balancer. No, to už je skoro detail

[Luk]

přístup k datovým schránkám přes web bude na doméně mojedatovaschranka.cz

To ano, ale už řadu měsíců se všude inzeruje web www.datoveschranky.info. Proto je logické, že budou lidé používat tuto doménu.

Jak tomu rozumím já, datoveschranky.info je nějaký informační portál, který může běžet skoro na čem chce, pokud použité CMSko není úplný paskvil

To není "nějaký" informační portál, to je informační portál k velmi zásadní věci. K věci, která znamená naprostou změnu v komunikaci s veřejnou správou. Navíc o kvalitě CMS (resp. hlavně o nastavení) si nedělám velké iluze, stačilo mi se podívat na to, jakým způsobem posílá PDF a ZIP soubory (v praktickém důsledku tak, že s tím mají některé prohlížeče problémy) nebo že "by default" vkládá PHP session ID přímo do URL.

[Jardík]

No vidíte, takovýhle kraviny s certifikátem na mě na stránkách ČVUT vyskakují denně

[jan.xxx]

Tak kdy vytvoříme vlastní program pro komunikaci s ISDS? Popis WS rozhraní existuje.

[jan.xxx]

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:v20="http://isds.czechpoint.cz/v20">
   <soapenv:Header/>
   <soapenv:Body>
      <v20:CreateMessage>
         <v20:dmEnvelope>
            <v20:dmSenderOrgUnit>?</v20:dmSenderOrgUnit>
            <v20:dmSenderOrgUnitNum>?</v20:dmSenderOrgUnitNum>
            <v20:dbIDRecipient>?</v20:dbIDRecipient>
            <v20:dmRecipientOrgUnit>?</v20:dmRecipientOrgUnit>
            <v20:dmRecipientOrgUnitNum>?</v20:dmRecipientOrgUnitNum>
            <v20:dmToHands>?</v20:dmToHands>
            <v20:dmAnnotation>?</v20:dmAnnotation>
            <v20:dmRecipientRefNumber>?</v20:dmRecipientRefNumber>
            <v20:dmSenderRefNumber>?</v20:dmSenderRefNumber>
            <v20:dmRecipientIdent>?</v20:dmRecipientIdent>
            <v20:dmSenderIdent>?</v20:dmSenderIdent>
            <v20:dmLegalTitleLaw>?</v20:dmLegalTitleLaw>
            <v20:dmLegalTitleYear>?</v20:dmLegalTitleYear>
            <v20:dmLegalTitleSect>?</v20:dmLegalTitleSect>
            <v20:dmLegalTitlePar>?</v20:dmLegalTitlePar>
            <v20:dmLegalTitlePoint>?</v20:dmLegalTitlePoint>
            <v20:dmPersonalDelivery>?</v20:dmPersonalDelivery>
            <v20:dmAllowSubstDelivery>?</v20:dmAllowSubstDelivery>
            <!--Optional:-->
            <v20:dmOVM>?</v20:dmOVM>
         </v20:dmEnvelope>
         <v20:dmFiles>
            <!--1 or more repetitions:-->
            <v20:dmFile dmMimeType="?" dmFileMetaType="?" dmFileGuid="?" dmUpFileGuid="?" dmFileDescr="?" dmFormat="?">
               <!--You have a CHOICE of the next 2 items at this level-->
               <v20:dmXMLContent>
                  <!--You may enter ANY elements at this point-->
               </v20:dmXMLContent>
              
            </v20:dmFile>
         </v20:dmFiles>
      </v20:CreateMessage>
   </soapenv:Body>
</soapenv:Envelope>

[tomvec]

Celá tato záležitost okolo datových stránek působí pro mne (a možná nejen pro mne) poněkut chaoticky, nedotaženě a některé věci jsou poněkud prapodivné. Je-li pravda to, že oficiální adresa pro vstup do datových stránek bude hůře napsatelná www.mojedatovaschranka.cz místo logické www.datoveschranky.info? Proč .info a ne .cz? A jo, on si to nějký koumák z Prahy 4 zaregistroval dřív To už je trochu matoucí, ale proč se z pohledu uživatele při zadání https://www.datoveschranky.info  nezobrazí přímo přihlašovací dialog v designu vlastnich stranek ale jakýsi zmršený přihlašovací dialog na Horde, který si těžko spojím s datovými schránkami? A když podlehnu paranoie a dám si do whois datovestranky.info vypadne informace o registraci adresy na nějakou pro mne neznámou firmu kdesi na Praze 5, začínám mít pocit, že se stávám obětí ukrajinských nebo bulharských hackerů...

[Luk]

Celá tato záležitost okolo datových stránek působí pro mne (a možná nejen pro mne) poněkut chaoticky, nedotaženě a některé věci jsou poněkud prapodivné.

Čím dál víc, jak se odhalují jednotlivé souvislosti.

Je-li pravda to, že oficiální adresa pro vstup do datových stránek bude hůře napsatelná www.mojedatovaschranka.cz místo logické www.datoveschranky.info?

Zatím se za oficiální adresu považovala www.datoveschranky.info. To je také důvod, proč mi tolik vadí, jakým způsobem je tento web provozován, přestože vlastní datové schránky běží jinde.

Proč .info a ne .cz? A jo, on si to nějký koumák z Prahy 4 zaregistroval dřív

Typické Tak jako si České dráhy nechaly vyfouknout některé zajímavé domény, tak i jiné úřady a státní instituce stále opakují stejnou chybu, takže se k doménám dostane někdo jiný. Možná to i někdy někdo dělá schválně, že třeba doporučí kamarádovi, aby si zaregistroval doménu s názvem připravovaného projektu, aby z toho případně něco káplo.

A když podlehnu paranoie a dám si do whois datovestranky.info vypadne informace o registraci adresy na nějakou pro mne neznámou firmu kdesi na Praze 5, začínám mít pocit, že se stávám obětí ukrajinských nebo bulharských hackerů...

To nejsou datové stránky, nýbrž datové schránky Ale i tak. Doména, jak je zvykem, vůbec nepatří ministerstvu vnitra, nýbrž oné firmě, která web provozuje. To je, s prominutím, ze strany státní správy trotlovina. Trochu to zmírňuje jen fakt, že to jiné státní orgány dělají také. Doména mojedatovaschranka.cz sice patří MVČR, ale tatáž v TLD .info patří opět nějakému vykukovi, protože ji chytrolíni z vnitra zapomněli nebo nechtěli zaregistrovat. Je mi špatně z toho, co si svými daněmi platíme...

[bubak]

Ono jde podepsat certifikat vice autoritami, ale to by asi moc stalo

[Petr Tomášek]

Mno, konecku ony celé ty DS vypadají spíš jako „penězovod“, než seriózní podnik

[JB]

Mohl by totiz vyznit stejne avsak bez negativnich emoci.

 

Co tak:

Riziko: Postsignum ceske posty nesplnilo bezpecnostni zasady ani jednoho internetoveho prohlizece!

 http://hecker.org/mozilla/ca-certificate-policy

[Václav "Darm" Novák]

Jestli ono to není tím že nejde o článek, ale o blogpost :)

[Petr Tomášek]

P. S.: Tak podle mozillí bugzilly se PostSignum ani neobtěžovali o přidání svého kořenového certifikátu. U „Prvni certifikacni“ tam je tento tento bugreport, jhož autorem (tj. žadatelem o zařazní) není představitel CA...