Služba mojeID se napojuje na NIA, její uživatelé mohou plnohodnotně komunikovat se službami státu

Sdružení CZ.NIC oznámilo, že služba mojeID se napojuje na NIA (Národní bod pro identifikaci a autentizaci), její uživatelé tak mohou plnohodnotně komunikovat se službami státu – bodové hodnocení řidiče, osobní list důchodového pojištění, e-recepty nebo potvrzení o studiu.

23.9.2020 13:44 | Ladislav Hagara | IT novinky

Komentáře

[trekker.dk]

Tohle prorůstání soukromého subjektu do státu je fakt výborný nápad...

[To je jedno...]

Tohle prorůstání soukromého subjektu do státu je fakt výborný nápad...

To je naopak nápad geniální. Protože se kromě "státních" najdou i soukromí uživatelů, kteří budou NIA říkat, jaký je to kvalitní kus práce

[PetebLazar]

Jak stát před umožněním přístupu k informacím přes MojeID ověří, že se konkrétní občan skutečně v rámci MojeID registroval(validoval) a ne že si jeho registraci(validaci) při znalosti osobních dat vygenerovali přímo v NIC.cz za účelem získání přístupu k jeho datům (v rámci státu)? Z prohlášení to vypadá, že k přístupu k NIA stačilo uživatelům dosavadní (nejvyšší?) stupeň ověření.

[Marián Kyral]

Účet nelze napojit bez aktivace druhého faktoru a ověření přes jiný, státu známý prostředek - eOP, DS nebo návštěva CzechPointu. K přidání dalšího klíče je pak možné jen přes ten druhý faktor. A ten v MojeID nemají, takže tě nemůžou nijak simulovat.

[PetebLazar]

OK, a po jednorázovém přidání klíče uživatelem bude služba MojeID mít vše potřebné, aby se dostala kdykoli k datům daného uživatele (u státu)?

[PetebLazar]

Nebo k úspěšnému přihlášení k NIA skrze službu MojeID je nutné vložit aktuálně zaslanou autorizační SMS jejíž původce je až NIA?

[Marián Kyral]

Je to HW klíč. Vygenerovaný kód je pokaždé jiný.

[PetebLazar]

Kdo ověřuje správnost tohoto jednorázového kódu (zdroj HW klíč?), je to NIA, nebo NIC.cz?

[Filip Jirsák]

NIA neověřuje od uživatele nikdy nic. Existují externí poskytovatelé autentizačních služeb, kteří splňují potřebná kritéria. MojeID je jedním z nich, dalším je provozovatel eObčanky, další budou třeba banky.

[PetebLazar]

Takže technicky vzato NIC.cz může přístoupit k datům občana (využívajícího MojeID ve vazbě na NIA) i bez jeho součinnosti?

[Filip Jirsák]

Nejen CZ.NIC, ale každý poskytovatel identity. To je princip důvěryhodných poskytovatelů identity – ti dělají to ověření uživatele. Jinak by byli k ničemu.

[Filip Jirsák]

Resp. ne poskytovatel identity, ale poskytovatel autentizačních služeb. Identitu k tomu připojí právě NIA.

[Filip Jirsák]

Přičemž to „může“ se samozřejmě vztahuje na technické řešení. Právně se poskytovatel autentizační služby samozřejmě za nikoho vydávat nemůže a to získání akreditace znamená právě doložit záruky, že nikdo jiný než skutečný vlastník účtu se nepřihlásí.

Mimochodem, tohle je právě důvod, proč je obrovský rozdíl mezi elektronickým podpisem a fikcí podpisu založenou na autentizaci uživatele (kterou praktikují třeba datové schránky). Při autentizaci musíte důvěřovat poskytovateli služby, a už se nikdy nedá zpětně ověřit, zda to přihlášení bylo oprávněné nebo falešné. U elektronického podpisu je to nesrovnatelně bezpečnější. I kdyby certifikační autorita vydala certifikát neoprávněně, pořád ten certifikát bude vydán k jinému veřejnému klíči. Takže i kdyby certifikační autorita selhala, a zjistilo se to třeba až za deset let, pořád budete schopen rozlišit, které podpisy byly vytvořené pravým certifikátem a které falešným. Bohužel tohle málokdo chápe a spousta lidí si fikci podpisu pochvaluje jako úžasné zjednodušení.

[Marián Kyral]

https://www.slideshare.net/FIDOAlliance/fido-u2f-specifications-overview-tutorial

[petr_p]

Z vámi jmenované trojice je hardwarový klíč pouze občanka. A té ještě nezbývá jen věřit, protože ovladače k ní jsou proprietární.

[Marián Kyral]

Yubikey není HW?

[petr_p]

Kde v

eOP, DS nebo návštěva CzechPointu

je Ubikey?

A pokud pod názvem Ubikey myslíte OTP (RFC 6328), tak problém je, že na generátoru OTP je hardwarová implementace z hlediska bezpečnosti irelevantní, protože OTP stojí na sdíleném tajemství mezi klientem a poskytovatelem autentizace. Toto tajemství musíte na začátku mezi nimi zkopírovat, čili tam je principiální oslabení, které OTP degraduje na autentizační faktor znalosti (z jinak mnohde chybně uváděného faktoru vlastnictví). Jinak řečeno heslo a OTP nejdou dva faktory, tudíž tato kombinace nemůže aspirovat ani na úroveň zabezpečení značná.

[Marián Kyral]

Aha. Jsem to nepochopil. Někde ta důvěra vzniknout musí. A cznic je pro mne mnohem důvěryhodnější než jiní.

[Odin1918]

Dekuji, nechci. Kombinace statu a neziskovky spravujici ceskou domenu mne desi. Doufam, ze se doziji dne, kdy cznic zmizi jako trapna vzpominka v propadlisti pruseru ceskeho internetu.

[regine2]

Co se týká bezpečnostních průšvihů, není rozdílu. Zatím jistotou je jen certifikace NBÚ, kde z důvodu mezinárodního (NATO a EU), jsou dost tvrdí (stát).

Jen malý dotaz. Heslo u mojeID časem propadá? Už si mi stalo podruhé, že je vyhodnoceno jako neplatné. Přitom ho mám pro mne snadno zapamatovatelné, je uloženo v KeePass, i ručně zapisuji na papír od mojeID.

[Jakub Lucký]

Nepropadá, aspoň mně ne... Mám ho už roky stejná, mám teda ale 2FA...

[Prcek]

Taky jsem se po dlouhé době nemohl přihlásit, i když hesel (a jejich variant) které používám jsem vyzkoušel spoustu. Vypadá to, že přestalo platit, ale na 100 % to říct nemůžu. Nakonec jsem si nechal resetovat heslo.

[STB]

A zanedlouho to bude povinné, jako SPZ, stěry DNA ze slin z testů na covid-19, zachvíli budou vědět skrze kameru na chodníku že v 9:11 šla slečna Nováková pro rohlíky k pekaři co ještě nestihl daňové přiznání...nas*** proto www.blanickymanifest.eu

[j]

Sak to neni zas tak dlouho co soudruzi smiraci a zloteji z NICu vykrikovali, ze je nutny honem zavist tu online identitu, ze jinak to stat stejne naridi a ze se bez toho na net nedostanes ...

Je to ale legracni co, kdyz nekdo kdo vykrikuje jak strasne se stara o tvoji bezpecnost, ti zaroven vnucuje centralni login, to aby az to nekdo hackne, nebo treba i jen tobe slohne to jedno heslo ... se dostal pekne vsude. Neco takovyho muze pouzivat jedine debil (plati samo zcela vseobecne, aneb prihlasovani guuglem/fuckbookem atd atd).

---

Dete s tim guuglem dopice!

[Marián Kyral]

Od toho je tady druhý faktor.

[Odin1918]

Presne. Nebo az cznic konecne zkrachuje a novy majitel se jej rozhodne po zasluze zlikvidovat, prijdou lide o svou centralizovanou identitu.