Odvolací soud v USA rozhodl, že nucené vydání hesla je protiústavní

Federální odvolací soud v USA rozhodl, že obžalovaný nesmí být nucen k rozšifrování dat na disku, jelikož to odporuje pátému dodatku Ústavy (konkrétně právu nevypovídat). Stalo se tak v případě muže z Floridy, který byl kvůli odmítnutí dešifrovat disk uvězněn za pohrdání soudem. Podobný případ se řeší v současnosti v Coloradu, kde byla žena taktéž obviněna z pohrdání soudem kvůli odmítnutí dešifrovat disk. V jejím případě však bylo odvolání překvapivě zamítnuto.

26.2.2012 18:29 | xm | Zajímavý článek

Komentáře

[soda]

Ono to je cele trochu slozitejsi a ac to tak vypada na prvni pohled, tak ty verdikty nejdou proti sobe. Pripad Colorado: policije jiz mela "solidni" informace o tom co presne na tom disku je, takze pozadovat jeho rozsifrovani bylo podle soudu spravne. Pripad Florida: urady nemely zadne konkretni "tuseni" co na tom hardisku je (krome silne nekonkretnich informaci, jako ma tam nelegalni film apod, v tomto pridade neco mene spolecensky prijatelneho), proto bylo rozhodnuto jak bylo rozhodnuto. Vice v clanku na http://arstechnica.com/

[Petr]

Pořád nechápu, v čem je rozdíl. Je úplně jedno co kdo tuší, zrovna tak jako mohou tušit/vědět, že vím kde je tělo a když to neřeknu a stojí na tom případ, musí mě pustit. Prostě mě nemohou nutit vypovídat proti sobě.

[Ondřej Profant]

Což však neřeší případ zapomenutého hesla. Velmi časté mohou být případy, kdy majitel heslo ani nikdy neznal (málokdo tuší, co má v PC - vemte si jen objem dat dodávaných k notebookům.

Stejně tak při dodatečné domovní prohlídce (např kvůli dalším důkazům) asi nechtějí po obviněných klíč (i když je z vyšetřovaní pravděpodobné, že ho někde mají / měli).

[xm]

Mohl jste ten článek alespoň nalinkovat: Appeals court: Fifth Amendment protections can apply to encrypted hard drives

Nicméně je to z mého pohledu nesmysl. I kdyby se ta ženská někde prokecla, že tam inkriminující materiály jsou, tak jako tak by bylo požadovat dešifrování protiústavní. A to i z toho důvodu, že opravdu mohla heslo zapomenout, nikdo jí nemůže prokázat opak.

Ale v USA si bohužel s Ústavou už delší dobu vláda i soudy vytírají zadek. Viz třeba případ H. Beatty Chadwicka, který za pohrdání soudem strávil v rámci rozvodového řízení (tedy jen občansko-právního sporu, nikdy nebyl obviněn z žádného trestného činu) 14 let v kriminále! A to jen proto, že soud po něm požadoval vydat 2,5 milionu dolarů, o kterých jeho exmanželka tvrdila, že je ukryl na zahraničních účtech (on tvrdil, že o ně přišel při obchodní transakci a tedy je nemá).

[mozog]

Prijde to jen me, nebo v dnesni dobe stat akceptuje Lidska prava, Ustavu a pod. jen v situaci, kdy se mu to hodi?

[MMN]

Jo. Ale díky Alláhu za náš ústavní soud. (Možná v dalších letech už to nebude žádná sláva, někteří dobří ústavní soudci končí.)

[juvi]

Podle mě je to ještě trochu jinak: Pomocí tzv. "Lidských práv" si gauneři vytírají zadek společností a dělají na ni dlouhý nos. Statistika zapomínání hesel je mě někde, žvásty o Ústavě (cizí!) mě nezajímají, nehledě na to, že vůbec nezajišťuje spravedlnost. Ostatně ve věci těch 14 let v kriminále, dle mého odhadu, může platit, že "škoda rány, která padne vedle" (o účetnictví ani slovo).

I na západě se říká, že moje svoboda končí tam, kde začíná Tvoje svoboda, lépe to řekl Ho Či Min: Svoboda je poznaná nutnost. To není Marx a Lenin, ale Konfucius a Lao Tse.

Ideály jsme si ovšem mohli dovolit za socializmu, dnes je vulgární doba.

[xm]

S takovými zvrácenými totalitními názory se přestěhuj do Číny nebo KLDR, bude ti tam zjevně lépe a nám bez tebe a tobě podobných taky. Win-win situace.

[LukynZ]

To ale nejsou zvracene totalitni nazory. To je docela hezke zamysleni nad tim, ze hodne lidi (ne-li drtiva vetsina) tyto prava na svobodu vyuziva jen k vyhybani se spravedlnosti a odpovednosti. To je uplne krasna analogie s osobou blizkou u dopravnich prestupku. Znam hromadu lidi, co se na to uspesne vymluvili i kdyz jeli sami a neznam jedineho, u ktereho by platilo at nepraskne rodinneho prislusnika. S temi hesly to bude tak nejak podobne, ze ano. Proto se ani docela nedivim, ze na to tak tlaci. A nejradeji mam ty vykriky ze ztracime nejake prava a svobody. Kdo? Poctivy clovek nebo grazl, ktery by se mohl vyhnout stihani a odpovednosti v ramci svobdy a prav?

[Lol Phirae]

Nesnaž se mě nasrat. Výmluvy na osobu blízkou by neexistovaly, kdyby jaksi policajti pokutovali na místě a přestali si dělat živnost z montování kamer a radarů a posílání dopisů po půl roce poté, co k přestupku došlo. Neschopnost a lenost policie v žádném případě není relevantním důvodem pro omezování základních ústavních práv! Nehledě na to, že trestání někoho za přestupek, který si už vůbec nepamatuje, je z hlediska správního trestání naprosto neefektivní a jeho jediným účelem je inkasovat peníze do státní/obecní pokladny.

[pavlix]

+1

[LukynZ]

Myslite ty policajty, kterych uz tak je malo a chteji aby jich bylo jeste mene? To by me zajimalo, jak si to predstavujete. Ja verim, ze anarchie na silnicich by jiste nekterym silencum vyhovovala a docela i vyhovuje, protoze oproti zahranicnim zemim je to u nas porad raj. Kazdopadne udelat prestupek a pak nadavat ze to je nejaka zivnost mi docela logicky erroruje s tim, ze by to bylo ok kdyby vybirali na miste. Penize by po vas chteli tak jako tak, takze v cem je zivnost okamziteho vybirani tak ok oproti zivnosti vybirani z fotozaberu na radaru? A ja si naopak myslim, ze nevedet kdy vas co vyfoti a zmeri je mnohem lepsi pro prevenci, nez vedet podle blikajicich aut ze za rohem jsou policajti nebo to slyset z radia (o byvalych cedulich, ze se meri uz nebudu mluvit vubec) a jinak si jezdit jako hovado.

[Lol Phirae]

takze v cem je zivnost okamziteho vybirani tak ok oproti zivnosti vybirani z fotozaberu na radaru?

V tom, že vím, za co jsem ten trest dostal, a jsem si svého provinění bezprostředně vědom. Tento efekt zcela mizí v případě, že už si ani nevzpomenu, že jsem ten den autem někam jel, natož zda jsem něčeho dopustil. Takový trest je zcela oprávněně vnímán jako bezúčelný a šikanózní. Pro vaši informaci, i soudy ukládají v případě, že od trestného činu uplynulo mnoho let, podstatně nižší tresty - právě s ohledem na to, že ten trest s odstupem času ztrácí svůj efekt. Zkuste si k tomu něco nastudovat.

A ja si naopak myslim, ze nevedet kdy vas co vyfoti a zmeri je mnohem lepsi pro prevenci, nez vedet podle blikajicich aut ze za rohem jsou policajti nebo to slyset z radia (o byvalych cedulich, ze se meri uz nebudu mluvit vubec) a jinak si jezdit jako hovado.

Nojo, cedule vám ležely v žaludku. Ono překvapivě, když tam byla cedule, že se měří, tak lidi zpomalili (vaší terminologií, nejezdili "jako hovado". Když někdo bliká, tak taky lidi zpomalí. A to bylo jejdanánku neštěstí, co na tom, že litera zákona byla dodržena a lidi jeli pomalu, jak měli - ta hrůza, policajti nemohli schování za bukem v příkopu měřit a kasírovat. Kdepak, takhle bychom tu kasu nenaplnili, rychle s cedulemi pryč. Sice budou lidi zase jezdit rychle, ale hlavně že to cinká.

[Lol Phirae]

P.S. Jo, a policajtů je tady víc než dost. Na tisíc obyvatel skoro dvakrát tolik než na Slovensku.

[j]

Myslis ty fizly, kterych mame na hlavu nejvic v cely Evrope? Zajimavy ze kdyz nekde postavis auto nebo jedes o par km rcyhlejs - tedy si nikomu nic neudelal - tak za to ti daj flastr, ale kdyz nekoho naboris - tedy si prokazatelne nekoho poskodil, tak ti flastr ani nedaj, protoze ani neprijedou - pro samy botickovani na to nemaj cas ...

[Bystroushaak]

Myslite ty policajty, kterych uz tak je malo a chteji aby jich bylo jeste mene?

Ehrm ehrm; Pro porovnání počet policistů na 100 000 obyvatel je na Slovensku 250, ve skandinávských zemích 200, v Holandsku 225, v mafiosní Itálii 550, v Portugalsku 465, v hýřivém Řecku 374, v USA 296, v Německu 305 atd. atd. U nás toto číslo vychází na 430 policistů na 100 000 obyvatel, což nás řadí k předním světovým příčkám.

Samozřejmě neručím za hodnověrnost, ale není to jediný zdroj tvrdící to samé.

[trekker.dk]

A ja si naopak myslim, ze nevedet kdy vas co vyfoti a zmeri je mnohem lepsi pro prevenci, nez vedet podle blikajicich aut ze za rohem jsou policajti nebo to slyset z radia (o byvalych cedulich, ze se meri uz nebudu mluvit vubec) a jinak si jezdit jako hovado.

Prevenci proti čemu?

Většinu stacionárních radarů či policajtů najdeš na místech, kde překročení povolené rychlosti nikoho neohrožuje (typické příklady třicítka u školy v noci, železniční přejezd u Mělníka, po kterém x let neprojel jediný vlak, deset metrů před cedulí konec obce kilometr od nejbližší zástavby apod.)

Naopak tam, kde překročení rychlosti je nebezpečné, radar nenajdeš. Proč? Protože ačkoliv se nám Policie a Městské úřady pokoušejí namluvit opak, většina řidičů nejsou hovada, nechtějí se zabít a proto na takových místech rychlost nepřekročí. (A tudíž by se na pokutách nevybralo dost na to, aby se daný radar MÚ a firmě CzechRadar)

Takže ano, pokud mají radary sloužit jako prevence proti tomu, aby řidiči sledovali silnici (protože místo toho koukají na tachometr), tak fungují výborně.

[xm]

roto se ani docela nedivim, ze na to tak tlaci. A nejradeji mam ty vykriky ze ztracime nejake prava a svobody. Kdo? Poctivy clovek nebo grazl, ktery by se mohl vyhnout stihani a odpovednosti v ramci svobdy a prav?

Ah, takže jinými slovy totalitní názor "kdo nemá co skrývat, nemá se čeho bát". V tom případě se s vámi nemám o čem bavit, lidi s takovým názorem jsou mi bytostně odporní a další diskuze by neměla cenu, byl by to jen jeden velký flejm.

[LukynZ]

Za prve bych nepouzival slovo totalitni, kdyz ani poradne nevite jeho vyznam. Za druhe jsem polozil jednoduchou otazku k zamysleni vzhledem k tomu, jak casto a drtive lidi veci jen zneuzivaji. Ale jsem rad, ze jste se ani nezamyslel, protoze dle reakce by z toho stejne nevzeslo nic kloudneho.

[xm]

Slovo "totalitní" lze používat v širším významu, než jen jako "nedemokratický" (a běžně se tak používá). Základní lidská práva a svobody jsou tím nejdůležitějším pilířem, na kterém stojí svobodná společnost. Omezovat je jen kvůli možnosti zneužití je rychlou cestou do pekla (k totalitě).

[Ondrej 'SanTiago' Zajicek]

Ono by se hlavne 'totalitni' nemelo pouzivat jako 'nesvobodny', 'nedemokraticky' ci 'autoritarsky'. Totalitni spolecnosti mely specificke znaky, kterymi se odlisovaly od obecnych autoritarskych rezimu (ktere jsou obvyklejsi). Takze tvrdit, ze omezovani svobody nejak automaticky vede k totalite je dost zcestne. Vede tak (bez dalsich faktoru) spis obecne k nesvobodne, autoritarske spolecnosti.

[xm]

Pokud chcete, nahraďte si klidně v mých příspěvcích slovo "totalitní" slovem "autoritářský". Já ta slova používám prakticky zaměnitelně (protože autoritářský režim vede dle mého názoru vždy k totalitě, byť byl třeba zvolen původně demokraticky).

[j]

jen malej pripodotek, prava nelze zneuzivat ... to je jeden z newspeaku ... nejaky pravo bud mas anebo nemas.

[Lol Phirae]

Eh. Zneužívání práva se děje dnes a denně. Konkrétně se tím mj. zabývá §3 odst. 4 stávajícího občanského zákoníku -

"Výkon práv a povinností vyplývajících z občanskoprávních vztahů nesmí bez právního důvodu zasahovat do práv a oprávněných zájmů jiných a nesmí být v rozporu s dobrými mravy."

a zejména pak nově schválený "Eliášův" občanský zákoník, který výslovně stanoví v §8, že "zjevné zneužití práva nepožívá právní ochrany", k čemuž důvodová zpráva praví:

Individualistické pojetí soukromého práva má své limity, které nejobecněji vyjadřuje kritérium svobody jednotlivce, neboť svoboda jednoho končí tam, kde začíná svoboda druhého. Toto kritérium se projevuje i v tom, že nemálo právních řádů bere zřetel na případy, kdy se osoba chová tak, že vykonává subjektivní právo jen zdánlivě; totiž tak, že dovolávajíc se formy, koná za účelem dosažení nedovoleného výsledku. Zneužití práva (abusus iuris) je tak pojato jako reprobované chování a jeho obecný zákaz jako jedna z vůdčích právních zásad, která nalezla své výslovné vyjádření v řadě občanských kodexů (§ 226, 242 a 826 německého, čl. 2 švýcarského, čl. 11 až 15 třetí knihy nizozemského, čl. 7 španělského, čl. 334 portugalského, čl. 7 québeckého atd.), které se v závěru 19. a v průběhu 20. století přiklonily k sociální koncepci subjektivních práv a jejich výkonu.

... Navržené ustanovení bere v úvahu dvě základní pravidla: Neminem laedid qui iure suo utitur (Kdo vykonává svoje právo, nikomu neškodí) a Mal enim iure nostra uti non debemus (Nemáme však zneužívat svoje právo). Z toho důvodu se nezakazuje výkon práva, jímž se právo zneužívá, neboť zneužití není výkonem práva, nýbrž jde o protiprávní (nedovolený) čin, a proto mu nelze přiznat ochranu. Vzhledem k tomu, že i zákaz zneužití může být zneužit, klade se důraz na zákaz činů, kterým je právo zjevně zneužito, protože o naplnění skutkové podstaty nesmí být při právním posouzení pochybnost. Jedná se tedy o takové zneužití, které lze prokázat. Jsou-li pochybnosti, musí být chráněn ten, kdo subjektivní právo má a dovolává se jej. Sankcí za zneužití práva je odmítnutí právní ochrany zdánlivého výkonu práva. Má-li tedy být sankce naplněna, závisí to, ostatně jako ve výrazné většině situací upravených soukromým právem, na vůli osoby zneužitím práva dotčené. Navržená úprava je obecná, netýká se jen majetkových práv, na něž dopadá čl. 11 odst. 3 Listiny základních práv a svobod (Listina v čl. 11 odst. 1 vztahuje vlastnictví k majetku vůbec, nikoliv jen k hmotným předmětům), neboť ke zneužití práva může dojít a dochází i ve sféře práv osobních.

Zvláštním případem zneužití práva je šikana jako chování, jímž se právo zneužívá za tím určujícím účelem, aby druhé straně byla způsobena škoda. Na šikanu pamatují zvláštní ustanovení při úpravě věcných práv a práv obligačních."

[Jendа]

100 % odsouzených využilo práva na advokáta.

(Takže ty tvrdíš, že je lepší občas strčit do vězení někoho nevinného, komu šifrovaný kontejner někdo podstrčil, má na disku náhodná data nebo heslo opravdu zapomněl? Máš na disku nějakou hudbu ve FLACu nebo WAVu? Do jedné minuty se dá ukrýt skoro megabajt šifrovaných dat.)

[Jendа]

Když jsi dával do kufru zavazadlo, všiml sis, že tvůj otec už 14 dní jezdí s prošlou lékárničkou. Půjdeš ho udat?

[Bilbo]

"výmluva na osoba blízkou" je blbost omílaná médii - naopak, pokud člověk policii řekne že řídila "osoba blízká" (čímž si vleze do pasti) a ukáže se že to není pravda (řídil on sám), dostane trest o dost vyšší než kdyby neřekl nic (jelikož navíc k trestu za přestupek dostane trest za křivou výpověď).

Zákon č. 200/1990 Sb., o přestupcích:

§ 60 Podávání vysvětlení

(1) Každý je povinen podat správním orgánům nezbytné vysvětlení k prověření došlého oznámení o přestupku; podání vysvětlení může být odepřeno, jestliže by takovým osobám nebo osobám jim blízkým (§ 68 odst. 4) hrozilo nebezpečí postihu za přestupek, popřípadě za trestný čin nebo by porušily státní nebo služební tajemství anebo zákonem výslovně uloženou nebo uznanou povinnost mlčenlivosti.

... takže pokud přijde člověku oznámení o přestupku, tak odmítne dle § 60 zákona č. 200/1990 Sb. podat vysvětlení. Jestli je to proto, že ho spáchal sám, nebo to byla osoba blízká, nebo jestli je to služební tajemství už nemusí vysvětlovat.

Pokud policajti mají dostatek důkazů (např. fotku hříšníka za volantem, případně dotyčného zastaví na silnici) tak tahle obezlička nezachrání.

V každém případě ale nemohou člověka potrestat za to, že odmítl vypovídat proti sobě (případně proti osobě blízké, pokud přestupek opravdu spáchala osoba blízká).

Kdyby policajti nebyli lemplové a uměli si sehnat pořádné důkazy tak se tohle nemusí vůbec řešit.... :)

[Milan Jurik]

xm se pasuje do pozice lepšího znalce Ústavy USA než vláda a soudy USA. Dále je expert ohledně jednotlivých případů, včetně pana Chadwicka, zná jednotlivé spisy a taktéž vystudoval americké právo. Koukám, že xm je opravdu znalec a divím se, že ztrácí svůj drahocenný čas tady na českém abclinuxu.

[pavlix]

A teď něco k tématu, ne? :)

[Milan Jurik]

Debata k tématu, o kterém žádný z přítomných nemá pořádně žádné informace? To jen tak mimochodem, když se tu někteří tolik rozohňují ohledně vlády a soudů v USA.

[pavlix]

Chápu. Když nemáš co říct, tak si aspoň přijdeš užít tu možnost někoho urážet :).

[Milan Jurik]

Pouze zpochybění tvrzení:

Ale v USA si bohužel s Ústavou už delší dobu vláda i soudy vytírají zadek.

Je mi líto, že vám to nedošlo.

[xm]

To tvrzení se zakládá na faktech. Poslední případ je třeba schválený zákon NDAA 2012, který umožňuje ozbrojeným silám bez soudu věznit občany USA podezřelé z podpory terorismu po neomezeně dlouhou dobu. Na tom že to je protiústavní se shoduje celá řada právníků a organizací (a upřímně každý kdo není slepý musí vidět, že je to totalitní praktika jak vyšitá).

Takových případů byla v posledních letech spousta, stačí si projít archivy EFF a/nebo ACLU, jak proti nim protestovali a bojovali u soudů. Jen díky nim se třeba podařilo po letech zrušit jakožto protiústavní některé části profláklého zákonu Patriot Act.

Vláda USA (Republikáni i Demokraté) se neustále snaží prosazovat protiústavní zákony a daří se jí to. Se soudy je to trochu lepší, Nejvyšší soud občas nějaké zákony či jejich části jakožto protiústavní zruší. Ale co se týče soudů nižších instancí, tak tam je případů kdy de facto ignorují Ústavu v posledních letech taktéž hromada.

[Milan Jurik]

Soudním systém USA je hodně rozdílný od našeho. Více závisí na postojích poroty a soudce, což je dáno jejich právním systémem, a nedá se tomu zabránit sebelepším výběrem. Takže může docházet k častějším přehmatům z našeho pohledu, protože vycházíme z jiného zázemí. Na druhou stranu je ten systém schopný silné korekce, ve valné většině i bez zásahu Nejvyššího soudu.

Co se týče NDAA 2012, dokud nebude uplatněn a jeho uplatnění schváleno soudním systémem, tak je to jen další ze zvláštních zákonů, které občas každému parlamentímu systému upadnou z talíře. Je to špatně, ale dokud neovlivní život lidí, tak tam jen "je". Nemusí se mi líbit, nemusím s ním souhlasit, ale nepovažuji vládu a soudy USA za to, co ty.

[xm]

Napsal jsem jasně "z mého pohledu". Neříkám nikde že je to jediný možný pohled, třeba zastánci velkobratrských řešení a totalitního státu na to samozřejmě budou mít pohled jiný.

Jinak co se týče případu Chadwicka, tak nemusím být expert na to, abych viděl jak je zvrácené když někdo kdo nebyl ani obviněn z jakéhokoliv trestného činu (natož za něco odsouzen) stráví ze zlovůle soudu 14 let v kriminálu.

[Milan Jurik]

Kolik toho víš o případu pana Chadwicka? Četl jsi ten soudní spis?

[xm]

Samotný spis jsem nečetl, pouze články o onom případu (z různých zdrojů). Stále nechápu, jak můžeš být tak slepý, že tam nevidíš tu zrůdnost. Říká ti vůbec něco princip proporcionality?

[Milan Jurik]

Sorry, ale články novinářů nejsou validním zdrojem informací, abych pohrdal soudním systémem USA.

[xm]

Opakuji: "nemusím být expert na to, abych viděl jak je zvrácené když někdo kdo nebyl ani obviněn z jakéhokoliv trestného činu (natož za něco odsouzen) stráví ze zlovůle soudu 14 let v kriminálu"

Pokud v tomhle nevidíš nic zvráceného, pak asi nemá smysl se dále bavit. Btw. ten člověk mohl klidně zůstat v kriminále až na doživotí, žádný zákon soudce totiž neomezuje v tom jak dlouho může za pohrdání soudem člověka věznit. Soud ho po těch 14 letech propustil jen proto, že se prostě rozhodl, že už ho nemá cenu dále věznit, že ty peníze asi opravdu nemá (respektive že je asi stejně nevydá).

[Lol Phirae]

Soud ho po těch 14 letech propustil jen proto, že se prostě rozhodl, že už ho nemá cenu dále věznit, že ty peníze asi opravdu nemá (respektive že je asi stejně nevydá).

Já bych to upřesnil. On byl propuštěn, protože bylo zřejmé, že dalším vězněním nelze sledovaného účelu dosáhnout - tedy, že nelze dosáhnout vynucení toho, co od něj požadoval - a v takovém případě ho již dál nelze legálně věznit. (Nemám čas dohledávat momentálně rozhodnutí a citovat to tady přesně.) Že takové kritérium je samozřejmě zcela nesmyslné a že totéž bylo zjevné již např. před 10 lety, to je pochopitelně další věc. A to, že vůbec zákon něco tak úchylného umožnuje, je problém základní.

[xm]

Tak nějak jsem to myslel (proto to upřesnění v závorce). Ale děkuji za zpřesnění, alespoň třeba nebude Milan Jurik tolik atakovat na základě neznalosti detailů

[Milan Jurik]

Je otázkou, proč k tomu nedošlo dříve a právě proto, že neznám ten případ, tak nedělám okamžitý odsudek. Zjevně ten případ byl dost silně sledován a bylo by třeba projít například průběhy odvolání Chadwicka. Soudní omyly jsou krutá, přímo hrůzostrašná věc, o tom žádná. Ale myslím si, že xm by měl občas své odsudky zakládat na něčem věrohodnějším.

[inkvisitor]

Stále si myslím a myslet budu, že není rozdíl mezi kapitalismem-demokracií, komunismem a fašismem. Ve všech zmíněných systémech se páchali a páchají justiční vraždy i jiná svinstva. Na jedné straně jsou lidé a na druhé presidenti, justice, policie, armáda, tajné služby,.... zkrátka systém moci a tyranie. Naštěstí lidí je většina a je otázkou, co si všechno nechají od systému líbit.... Je zároveň paradoxní a komické, že více výhod pro běžný život, poskytl lidem systém fašistický a komunistický. Kromě zbytečných válek, pochopitelně. Zbytečné války vedou ale i systémy kapitalistické-demokratické.

[mrf]

...nebyl tatínek komunista ??

[jos]

mírná analogie: pamatuju si jeden film (podle skutečnejch událostí), děj se odehrával tušim někdy ve třicátejch letech v Austrálii a šlo o devizový půjčky pro farmáře; šlo o to, že banka tlačila dál tyhle půjčky i když už věděla že to bude poděl (špatnej výhled kurzu jejich měny) a jeden farmář se s nima o to soudil; nakonec od nějakýho insidera získal interní oběžník ve kterým se to všechno píše; soud to sice neuznal jako důkaz (byl získanej nelegálně), ale ta banka celou dobu popírala jeho existenci, načež soudce řekl že ten oběžník existuje a musí ho soudu vydat; takže happyend

[pavlix]

Analogie mezi jakýmkoli řízením s právním subjektem s bankovní licencí (případně jednotlivými svědky) a trestním řízením s jednotlivcem je natolik slabá, že to asi nemá cenu řešit.

[regine2]

V naší firmě je zcela běžné, že lidé si zapomínají hesla ke svým účtům. A to nemají žádný evidentní zájem na znepřístupnění si svých dat. Právě naopak, jsou z toho přímo zoufalí. Statisticky na asi 200 lidí je měsíčně zapomenuto heslo asi ve 3 až 4 případech.

V našem případě si běžně musí pamatovat 2 až 5 nezávislých hesel (kontrolováno SW) a obměna hesla na 12 míst je vynucována za 3x28 dní a nesmí se opakovat.

V mém případě (běžně užívám na USB-flešce TrueCrypt) jsem už jednou zapomněl heslo k kryptovanému souboru. Ale lepší je zapomenutí přístupu, než ztráta flešky s otevřenými daty.

[mozog]

V našem případě si běžně musí pamatovat 2 až 5 nezávislých hesel (kontrolováno SW) a obměna hesla na 12 míst je vynucována za 3x28 dní a nesmí se opakovat.

Timhle IMO jen uzivatele dotlacite do stavu, ze si sice vymysli silna hesla, ale budou si je psat na papirek a nalepi na monitor. Protoze neni v lidskych silach pamatovat si kazde 3 mesice 5 novych slozitych hesel o delce 12 znaku. Klobouk dolu pred tim, kdo to dokaze.

[R]

Pokial sa nekontroluje podobnost hesiel, tak sa tento pripad riesi tak, ze clovek pouziva stale rovnake heslo, len meni nejaku jeho cast. V extremnom pripade staci expirovane heslo zmenit na lubovolne ine a vzapati naspat na povodne. Zvysenie bezpecnosti nulove, otravovanie ludi maximalne.

[regine2]

Opakování hesla nebo jen podobnost je blokována na 2 roky a databáze "snadných hesel" blokuje jejich použití. Jen dodávám, jedná se o utajované/trusted data.

Ale pokud hovořím s lidmi z IT, tak zapomínání hesel ve firmách je docela běžná záležitost i na obyčejných systémech.

[BoB]

Pokud se jedná o data, která jsou o národní bezpečnosti (nebo minimálně o potenciální miliardové škody), tak je zabezpečení pouze heslem hodně slabé.

A pokud se nejedná, tak je tato politika dost na hlavu - takhle si budou všichni hesla psát na papírky, což bezpečnost velmi sníží. "Bezpečáky", který jsou schopní vymyslet takovouhle politiku bych na místě střílel...

[mozog]

+1, sam bych to lepe nerekl

[daneel]

Neměl byste tipy na nějaké zdroje, kde by člověk mohl načerpat základní myšlenky, jak v konkrétních případech k bezpečnostní politice přiměřeně přistupovat? Ideálně i s komentáři, proč se zrovna jiný běžný způsob nehodí apod.

[regine2]

Hovořil jsem o heslech obecně - jak k účtům na serverech (ty jsou pod kryptem), tak k šifrovaným souborů (Truecrypt například).

1) V bezpečnostní politice je vždy uvedeno, že user má vytvořené heslo napsat -> zalepit do zapečetěné obálky -> archivovat (například u nadřízeného/majitele, doma osoby, která může má data vidět - manžel/manželka ??? ). Komisionálně se obálka otevírá v případě například úmrtí, nemoc ...

2) Není problém si heslo napsat (do kalendáře) a vědět, že mám prohozenou jedenáctou a druhou pozici, či zaměněna čísla/písmena například vždy 8 za 3. Zpravidla při třetím neplatném pokusu o zneužití je heslo zdiskreditováno, účet zablokován a musí se v případě účtu bezpečnostním správcem nově generovat. U krypto-souborů to však samozřejmě nejde.

[Zopper]

A kolik lidí má ty hesla napsané na papírku pod klávesnicí/na monitoru...? Nemyslím to ofenzivně, jen mě zajímá, jestli někdo má konkrétní čísla

[otula]

Tak třeba ženských, které mají všechna hesla na jednom místě ve svém bloku je cca 90 % Ty aspoň vědí, kde je najdou.

Chlapi jsou větší bordeláři, takže pokud si je píšou, mají pak stejně problém je i sami najít. Ale třeba jeden bývalý kolega si je psal do stolního kalendáře (vcelku dobré místo, neb si tam psal skoro všechno, a i když člověk to heslo viděl, tak by nikoho nenapadlo, že se jedná o heslo)

[dementni.lojzik]

a i když člověk to heslo viděl, tak by nikoho nenapadlo, že se jedná o heslo

jestli mel hesla typu !!12:00_preventivni_zubarska_prohlidka!!, tak me to prijde jako vcelku dobry napad

[otula]

No, myslím, že ta hesla byla podstatně kratší

Já mám většinu důležitých a málo používaných hesel v KeepassX (nakolik bezpečné to je, nemám tušení), ale pokud někdy mám potřebu si poznačit heslo na papír, vypadá to pak například nějak takto: Prodléval-inf*O, což by pak představovalo Pnk.S,zpsklsp.Zpstdop:rj2ppsvn.*71 Jestli to zde někdo dekóduje, tak ho při jeho návštěvě Brna pozvu na panáka

[Mti.]

hm, taky sem znal jednoho s kalendarem... bylo mi divne, ze se cca 1x za rok domaha seznamu hesel...

[Jan]

Jak moc se kontroluje podobnost?

Kdyby se vyžadovalo pouze jiné heslo, tak stačí jednoduché řešení: na konec si přidám číslo a budu ho každou změnu inkrementovat.

[Jendа]

Předpokládám, že se spočítá levenshtein vzdálenost řetězců. Vedlejším efektem je, že se archiv hesel musí držet v čitelné podobě :).

[Tomáš]

Já jsem jednou zapomněl heslo a pan IT mě seřval, že ho nemá jak změnit/resetovat. Nakonec to změnil přímo v databázi. Byla to aplikace psaná vnitřními zdroji.

[Lol Phirae]

Buď rád, že bylo aspoň v databázi a nemuseli kvůli tomu překompilovat celou aplikaci.

[R]

januar_2012, februar_2012, ... nekonecne mnozstvo slabych hesiel. Ak by to bolo kratke, tak staci pridat prefix, napriklad nazov systemu, do ktoreho to heslo patri...

[Milan Jurik]

Kristovanoho, ten, kdo přišel s takovým systémem zabezpečení, by měl být okamžitě propuštěn pro vážné ohrožování bezpečnosti ve firmě. Taková politika hesel vede jen a pouze ke katastrofě, vynecháme-li vyjímečné případy pro jednotlivce.

[daneel]

Zdravím, jelikož v této problematice nejsem kovaný, ale rád bych získal správný přístup, chtěl požádat, jestli byste neměl odkazy na nějaké zajímavé zdroje v jakých případech a jakým způsobem bezpečnostní politiku nastavovat...

[Lol Phirae]

Takový odkaz sice nemám, ale jako příklad toho, jak ji zcela jistě nenastavovat, bych uvedl datové schránky.

[pavlix]

Já osobně teď zdroj nedodám, žádný po ruce nemám. Ale do začátku doporučuju používat zdravý rozum a porozhlédnout se okolo sebe a uvědomit si, jak se lidi chovaj.

Jasně, existuje pár základních pouček ohledně uživatelských přístupech. Jakože sdílená hesla odstraňují pocit zodpovědnosti, protože se nikdy neví, kdo to heslo leaknul. Že většina uživatelů si za všech okolností buď vybere stupidní heslo, opakovaně stejné heslo nebo heslo s minimální obměnou, nebo heslo napsané. Že přihlašovací karta s klíčem všechno toto řeší, ale zas už je to kus hw a sw, takže může trpět hw i sw slabinami...

Bezpečnostní politika se vždy řeší s ohledem na cennost chráněných objektů, na cenu splněné té bezpečnostní politiky a na způsobu práce dotyčných osob (třeba aby po nasazení bezpečnostní politiky vůbec mohli ještě svoji práci vykonávat).

Pak jsou na to nějaké standardy, takovéty oficiální knížečky.

[Milan Jurik]

Už tu padlo pár drobností. Klíčovou slabinou zde zmíněné šílené (ano, šílené) politiky ohledně hesel je její vysoká složitost, která vede jen k tomu, že:

1) lidé budou si hesla psát na snadno dostupná místa (v lepším případě každý do svého sejfu s jedním přístupovým heslem a tedy proč jich mít tolik)

2) lidé musí co pár týdnů vymýšlet sérii nových hesel, relativně dlouhých. Takže buď si vytvoří nějakou formu "inkrementálních pravidel", což nabourává smysl častého přegenerování hesla, nebo si vezmou nějaký zdroj hesel typu oblíbené knihy, což je také forma "inkrementálních pravidel"

Sám užívám i velmi dlouhá hesla, ale na specifických místech s pomocí osobních velmi obskurdních pravidel zažitých cca 15 let a ty měním pouze vyjímečně (po letech, v případě, že mohlo dojít k jejich kompromitaci).

Takže, v případě vnitrofiremních hesel pro klasická data se vyplatí samozřejmě užívatele nutit heslo měnit jednou za čas, ale ten čas opravdu nekrátit na více než 2-3 do roka. A umožnit jim užívat jedno heslo do více systémů - jaký smysl má například nutit uživatele mít jiné heslo pro přihlášení k počítači a jiné do informačního systému? Je-li kompromitováno jedno, dříve nebo později budou i další. Raději jedno heslo a pořádně.

Pro citlivější zdroje (například i VPN) jsem zažil one-time-password s pomocí kalkulaček a dost se to osvědčilo. O něco lépe se tím předchází kompromitaci skrz špatně zabezpečené počítače mimo firmu.

A oficiální doporučení neznám, vycházím jen z osobní zkušenosti a z lidí okolo.

P.S.: Už vůbec nedávám doporučení ohledně délky hesla, to je silně závislé na aplikaci.

[Zopper]

+1, tohle tak nějak vystihuje i můj názor (a pozorování).

[mozog]

Takže, v případě vnitrofiremních hesel pro klasická data se vyplatí samozřejmě užívatele nutit heslo měnit jednou za čas, ale ten čas opravdu nekrátit na více než 2-3 do roka.

Osobne bych uzivatele spis prinutil vymyslet si jedno silne heslo a toto zmenit jen v pripade, ze mohlo dojit k pruniku nebo vyzrazeni.

A umožnit jim užívat jedno heslo do více systémů

U systemu pristupnych pouze uvnitr firemni site bych pouzil nejakou centralni autorizaci (jako treba LDAP).

[Milan Jurik]

Takže, v případě vnitrofiremních hesel pro klasická data se vyplatí samozřejmě užívatele nutit heslo měnit jednou za čas, ale ten čas opravdu nekrátit na více než 2-3 do roka.

Osobne bych uzivatele spis prinutil vymyslet si jedno silne heslo a toto zmenit jen v pripade, ze mohlo dojit k pruniku nebo vyzrazeni.

Znalé uživatele ano, u neznalých (valná část nás) to bohužel vede k tomu, že použijí to samé, co mají na svém soukromém účtu na seznamu/facebooku/čertví kde, případně ho občas použijí třeba z internetové kavárny. Není to moc dobrá úroveň obrany, ale na lepší jsem nepřišel.

A umožnit jim užívat jedno heslo do více systémů

U systemu pristupnych pouze uvnitr firemni site bych pouzil nejakou centralni autorizaci (jako treba LDAP).

Souhlas. IDM, nejlépe v kombinaci s SSO.

[mozog]

Znalé uživatele ano, u neznalých (valná část nás) to bohužel vede k tomu, že použijí to samé, co mají na svém soukromém účtu na seznamu/facebooku/čertví kde, případně ho občas použijí třeba z internetové kavárny. Není to moc dobrá úroveň obrany, ale na lepší jsem nepřišel.

U neznalych uzivatelu je potreba delat osvetu.

[Milan Jurik]

Bohužel ale nemáte možnost zpětného ověření účinnosti takové osvěty a riziko úniku dat není malé.

[Martin Mareš]

Můžete jim heslo vygenerovat a udělat ho tak ošklivé, že se nikomu nikdy nebude chtít použít ho pro nějaký jiný účel ;)

[mozog]

$ pwgen -sy 64 1
|3:3Q^dL]PX@SIIPTN;C"Wf}u>o$Zf,E$P5)5;v@O*VU1Y0koC5OcWl'd^&Mm\3;

[Jendа]

Ne. Firemní aplikace se jim může pomocí zadaného hesla zkusit přihlásit do Facebooku, a když se to povede, tak je donutí heslo změnit .

[Milan Jurik]

A jméno uživatele zjistíte tak, že bude šmírovat, co vše na počítači dělají?

[Milan Jurik]

Jenže k čemu jim generovat složitá hesla, která si pak zapíšou na papírek na stole, do kalendáře, mobilu atd...

[Bystroushaak]

Mohu potvrdit. V současnosti pracuji ve firmě, kde máme asi 20 IT systémů, jenž každý chce jiné heslo, 8+, alfanumerické + speciální znaky podmínkou. Výsledek je takový, že úplně všichni, včetně mě (a to se považuji za paranoidního ajťáka) mají hesla _někde_ hromadně napsané, protože tolik hoven si prostě nezapamatuje nikdo bez autismu a člověk na těch systémech potřebuje pracovat.

Paradoxně jsou tak požadavky na sílu hesla dokonale kontraproduktivní, protože případnému útočníkovi se stačí vlámat do mailu (kterým jsou nová hesla doručovány), nebo se nechat nabrat jako uklízeč a prostě si je opsat z papírů co se povalují kolem.

Dokážu pochopit požadavky na sílu hesla (i když to je často taky kravina, protože delší [janavojnunepojedu,janavojnunepujdu] je obecně lepší než složitější [83Dj*a]), ale důvod proč je jich 20 nebo 30 rozdílných do každého systému fakt nechápu. Mnohem smyslnější a bezpečnější by bylo zavést ověřování certifikátem nainstalovaným na pracovních počítačích.

[regine2]

1. V případě méně významných dat lze heslo zaslat i mailem, ALE platnost se zpravidla nastaví na 1 den a při prvním užití user musí zadat své nové heslo při prvním přihlášení.

2. Proč různá hesla? Majitel si to určitě nevymýšlí, stojí ho to peníze. Nedostatek je v tom, že když se zkompromituje jeden ze systému v případě stejných účtů/hesel/přístupů, tak tím pádem jsou kompromitovány i ty ostatní.

3. I světové certifikační autority jsou již kompromitovány (některé jsou i zbankrotovány), takže i certifikát je někdy nejistý.

Závěr. - Pokud vlastník/majitel uzná, že musí být silné heslo či rozlišné účty (aby nepřišel na buben), tak to zaměstnanci musí dodržovat. Zpravidla v rámci školení je jim sděleno, jak si heslo mají pamatovat, je určena metoda obnovy dostupnosti (viz výše můj příspěvek o zalepených obálkách). Jinak si mohou z firmy odejít. Nebo to dopadne jako v současnosti mediálně propírané kauze IT sociálních dávek ministra Drábka, kdy údajně osobní údaje může vidět až 6 tisíc lidí.

[regine2]

Jen tak mimo mísu. -> Zaregistroval jsem již na spoustě internetových obchodů či například i na FACEBOOKu jeden podvůdek.

Máte si vytvořit účet a na stránce pro registraci jsou první tři řádky:

Váš účet ve formě e-mail adresy:
heslo:
ověřte heslo:

A hádejte, co jsem již několikrát viděl? Ano, lidé naivně tam zadávají své heslo ke své poštovní schránce. Když jsem to jedné osobě řekl, že musí zadat jiné heslo než heslo ke svému mailu, tak to nechtěl pochopit.

Takže spousta lidí má dnes kompromitovanou svoji mail-adresu a pracovníci FACBOOKu či jiných internetových služeb mají otevřený přístup k jejich mailům.

[Milan Jurik]

Jak šokující... Až na to, že valná část takových uživatelů sama s chutí předala FB svůj e-mailový účet. A jinak, pokud čtete ty komentáře tady, tak jsme to tu také zmínili.

[Milan Jurik]

1. V případě méně významných dat lze heslo zaslat i mailem, ALE platnost se zpravidla nastaví na 1 den a při prvním užití user musí zadat své nové heslo při prvním přihlášení.

Ne, že by se to nedělo, ale 1 den je neskutečně dlouhá doba, otevírající extrémně velký prostor pro napadení. Zaslat e-mailem, ale jen ve chvíli, kdy mám toho příjemce "online" a mám od něj potvrzeno přijetí a okamžité uplatnění.

2. Proč různá hesla? Majitel si to určitě nevymýšlí, stojí ho to peníze. Nedostatek je v tom, že když se zkompromituje jeden ze systému v případě stejných účtů/hesel/přístupů, tak tím pádem jsou kompromitovány i ty ostatní.

Už jsem vám tu jednou napsal, že pokud dojde ke kompromitaci jednoho hesla (typicky je to buď přístup k VPN nebo e-mailu nebo počítači), tak je jen otázkou času získání přístupu k ostatním. A obvykle nelze okamžitě zjistit, že bylo heslo kompromitováno. Takže je to nezcela validní argument.

3. I světové certifikační autority jsou již kompromitovány (některé jsou i zbankrotovány), takže i certifikát je někdy nejistý.

Ověřování certifikátem instalovaným na počítači je hračička s nulovým přínosem. Jeho síla je dána jen ochranou počítače. Skutečná řešení závisí na externích modulech typu kalkulačky či výpočetní čipové karty. A větší paranoia pak už jen biometrie

Závěr. - Pokud vlastník/majitel uzná, že musí být silné heslo či rozlišné účty (aby nepřišel na buben), tak to zaměstnanci musí dodržovat.

Silné heslo jasně, vynucovat rozličné je obvykle hloupé a rychlé střídání dementní. Ať si vlastník/majitel myslí co chce. Je to jeho věc a jeho firma. Já tam naštěstí pracovat nemusím.

Zpravidla v rámci školení je jim sděleno, jak si heslo mají pamatovat, je určena metoda obnovy dostupnosti (viz výše můj příspěvek o zalepených obálkách). Jinak si mohou z firmy odejít. Nebo to dopadne jako v současnosti mediálně propírané kauze IT sociálních dávek ministra Drábka, kdy údajně osobní údaje může vidět až 6 tisíc lidí.

Což vůbec nesouvisí se sílou hesla

[Jendа]

Zaslat e-mailem, ale jen ve chvíli, kdy mám toho příjemce "online" a mám od něj potvrzeno přijetí a okamžité uplatnění.

V e-mailu se určitě najde i spousta jiných citlivých informací, než je heslo. Jeden by tedy očekával, že lepší bude zabezpečit e-mail…

[Milan Jurik]

Jen pokud e-mail putuje nejkratší možnou cestou (tj. mailserver je pro oba účastníky konverzace stejný, což u rozsáhlejších organizací rozhodně neplatí). A obecně posílat e-mailem citlivá data je otázka pohodlnosti a ne bezpečnosti.

[Jendа]

A co třeba maily šifrovat?

[Jendа]

kutečná řešení závisí na externích modulech typu kalkulačky či výpočetní čipové karty. A větší paranoia pak už jen biometrie

A pak si uvědomili, že přihlášení je sice bezpečné, ale ta data se pořád zpracovávají na tom nedůvěryhodném počítači, a byli tam, kde začli.

[Milan Jurik]

A to říkal kdo, že se na takovém počítači zpracovávají?

Nemluvě o tom, že vám nic nebrání tak zabezpečit ten samotný počítač takto. Rozhodně bezpečnější řešení než hromada rádoby kvalitních hesel.

[Bystroushaak]

1. V případě méně významných dat lze heslo zaslat i mailem, ALE platnost se zpravidla nastaví na 1 den a při prvním užití user musí zadat své nové heslo při prvním přihlášení.

No, tj pěkné, ale tady všechna hesla chodí emailem a málokteré se dá vůbec změnit.

2. Proč různá hesla? Majitel si to určitě nevymýšlí, stojí ho to peníze. Nedostatek je v tom, že když se zkompromituje jeden ze systému v případě stejných účtů/hesel/přístupů, tak tím pádem jsou kompromitovány i ty ostatní.

No, tj sice úžasný, ale tady stačí sebrat kus papíru, nebo se dostat do mailu a máš je taky. Je to úplně virtuální pocit bezpečí. Jinak k většině systému se stejně nedostaneš z venčí, jedou jen v intranetu.

3. I světové certifikační autority jsou již kompromitovány (některé jsou i zbankrotovány), takže i certifikát je někdy nejistý.

Heh :) Tuhle aféru sleduji, ale běžný haxor k tomu má daleko jako kráva ke hvězdám.

Zpravidla v rámci školení je jim sděleno, jak si heslo mají pamatovat

No, to sice může, ale je to úplně k ničemu. Ty hesla jsou nezapamatovatelná. Nedokážu si je zapamatovat ani já a to běžně čtu technické knihy na jeden zátah a nedělám si poznámky, znám stovky unixových příkazů, několik programovacích jazyků a jejich API. Když jsem mluvil o 20 systémech, nedělal jsem si legraci, fakt je jich 20+.

[Filip Jirsák]

I světové certifikační autority jsou již kompromitovány (některé jsou i zbankrotovány), takže i certifikát je někdy nejistý.

Stačí nekontrolovat údaje na certifikátu, ale přímo jeho veřejný klíč. Pravda, ten certifikát je tam pak k ničemu, ale třeba v HTTPS je přihlašování certifikátem definováno, přihlašování jen veřejným klíčem ne.