Názory k článku
Datové schránky: jak na zneplatněné certifikáty? VII.

I papírový podpis má své nedostatky a je také zfalšovatelný. Je ale třeba chápat, že se podmínky možného falšování papírového podpisu a e-podpisu liší.

Zdravím.
Na počátku byla obrovská chyba, že někdo toto on-line ověření certifikátem nazval podpisem a s tím už se to vezlo. Systém těchto stromově ověřovaných certifikátů má své místo v on-line komunikaci, v šifrování, ale ne jako podpis něčeho trvalého. Nikdo nikdy neměl připustit srovnání mezi ověřením neporušenosti dokumentu během transportu a podpisem tohoto dokumentu. Spíše to mělo být přeloženo jako pečeť. Nic víc, nic míň. Všechno další je jenom zoufalé neporozumnění laiků a počítačových hyperentuziastů, kterým se bez domyšlení souvislostí podařilo vytvořit povědomí že obálka s pečetí je totéž co podpis.

Proto třeba v Německu mají kvalifikované autority povinnost provozovat OCSP.

Moje zkušenost: 602filler má zřejmě jakousi chybu při přebírání nastavení proxy od IE (což je nativní stav, při spuštění fillera pod FF mu nelze podsunout nastavení proxy jinak). Neboli za mojí proxy si z FF datovou schránku nepřečtu. Co budu dělat, až si jednou pořídím "evropské" Windows bez IE nevím.

Jak se vlastně řeší ochrana privátních klíčů na úřadě? Pokud někdo odcizí privátní klíč (např. přes nějaký malware), může jménem oné úřednice rozesílat oficiální dopisy? Pokud mi přijdou dva diametrálně odlišné dopisy podepsané stejnou úřední osobou, jak bude soud rozhodovat o originálu a plagiátu?

Vnitřní předisy by měly být nastaveny tak, aby se daly tyto problémy řešit.
Každý si ručí za své osobní věci /průkazy a pod. / stejně tak nesou úředníci odpovědnost za soukromé klíče ve svých PC. Za chyby ve velkém případě nemůže systém, ale lidi.

Jenže za privátní klíč má nést zodpovědnost úředník, který nemůže na rozdíl od svého osobního průkazu, nijak ovlivnit chod svého PC a tedy nemůže ručit za správné použití svého soukromého klíče. Neinstaluje své PC a NEROZUMÍ TOMU - není IT expert. A i u těch "expertů" dost pochybuji, že znají a myslí na všechno. Po léta jsou privátní klíče uloženy (v mnoha organizacích i nadále) nikoliv na tokenech, ale přímo ve file systému. Může znát obyčejný úředník rizika? Jak se snese bezpečné podepisování a dálková správa PC přes vzdálenou plochu, šmírovací programy sledující zaměstnance atd...

Super série článků, otevírá mi obzory (a způsobuje husí kůži). Dotazy:
1. "Princip práce se seznamy CRL je přitom takový, že tyto seznamy se stahují do počítačů...." Myslím si správně, že na tohle je třeba mít nějaký speciální program, tedy že si to nestahuje na pozadí třeba Acrobat?
2. Bude po 1.11. vůbec nějaká možnost, jak požádat (donutit) úřad (soud), aby vydal (třeba osobně) nějaký dokument v papírové podobě s klasickými podpisy a razítky?
Díky.
W.

ad 1: žádný speciální program by neměl být zapotřebí: pokud nějaký program vyhodnocuje platnost podpisu (a dělá to korektně, včetně kontroly odvolání), pak s CRL musí umět pracovat sám. Jak Adobe Reader, tak třeba i aplikace z balíku MS Office to umějí. Jiná věc je, že někdy to nedělají samy od sebe (protože to nějakou dobu trvá), ale musíte je o to explicitně požádat. To je případ Adobe Readeru, kde musíte dát "Ověřit vše".
ad 2: to je zajímavá otázka: vzhledem k novým pravidlům doručování by to IMHO mohlo jít v případě doručování na místě (které má přednost před doručováním přes datové schránky). Tj. když si sám dojdete na úřad ještě dříve, než on vám to pošle v elektronické podobě do schránky. Další možnost je nechat si schránku deaktivovat (což jde u těch, které jsou zřizovány na žádost).

autorizovana konverze, treba na checkpointu

Autorisovaná konverze: Viz kasuistika autora základního článku, kdy mu autorisovaně zkonvertovali např. pozměněný dokument atd. Já osobně, pokud dostanu do schránky něco důležitého, např. rozsudek, budu hodně stát o to vlastnit pokud možno originál na papíře. Vše ostatní se dá celkem hravě kdykoli zpochybnit.

Podle mne by bylo lepší, kdyby některé dokumenty ze své povahy neměly být doručovány přes datové schránky a měly by se doručovat nadále v listinné podobě. Zákon to však neumožňuje. Jde zejména o ty, které budou muset být průkazné i ve vzdálenější budoucnosti. Sama konverze pozměňuje dokument natolik, že shoda s originálem je jen iluzorní. Právě třeba pro prokazatelnost podpisu a razítka. Převádět například osvědčení s vodoznakem do elektronické podoby a posílat ho přes ISDS také není to pravé.

...zkuste ještě rozmazat číslo na razítku ;)

ok, rozmazáno :-)

Maji nekde stranku, kam muze uzivatel prohlizecem najet a ono mu to ukaze, zda ma nainstalovan ten zatraceny activex ?

V nabídce MSIE je to:
Nástroje/Možnosti Internetu, tlačítko Nastavení, tlačítko Zobrazit objekty a v seznamu byl měl být řádek Active602XMLFiller.

http://www.mojedatovaschranka.cz/static/pages/doplnek_pro_windows.html

https://www.mojedatovaschranka.cz/static/pages/testform.html

na stranku byl dokonce nove pridan text:
'Pokud se žlutý pruh neobjevil, instalace doplňku ani po několika minutách neproběhla a nezobrazilo se Vám o ní potvrzení na této stránce, požádejte o součinnost vašeho správce IT nebo kontaktujte informační linku datových schránek.'

Coz je dobre, protoze instalace projde pouze pokud je clovek prihlasen jako admin... v normalne fungujicich firmach jsou lide jen USERi a koukaji tak v pripade 'instalace/neinstalace' na donekonecna pobihajici zlute kosticky, ale info o upgrade nikde.
Neplanuje vydat 602 vlastni 'WSUS'? ;-)

Dnes moc pěkně napsaný článek.
Ale chtěl bych se zastavit u důvodů pro jednoletou platnost certifikátů. Podle mne jde pouze o příjmy certifikačních autorit a nikoliv o bezpečnost. Vycházím z předpokladu, že podvržený (dopočítaný) dokument musí zapadat do souvislostí. Když například v takomém „pravém“ dokumentu bude, že jsem si jako obyčejný úředník nechal někdě na Kamčatce vykopat obrovskou díru do nebe, do které se vejde 2,5 atomové ponorky, poháněné pracovními svábi a to vše psané v botswanštině, tak „pravost“ bude evidentní hovadina. Dokument musí zapadat do kontextu, mít hlavu a patu, být napsán česky nebo v jazyce, ve kterém jsem schopen korespondovat atd. To útočníkům drasticky omezuje vstupní data pro výpočet. Což v důsledku znamená, že druhý dopis je ve valné většině případů vyloučený. Podle mne by certifíkáty klidně mohli platit alespoň 5 možná i 10 let, pak by byla výměna povinná. Přitom by ale nikdo nebránil paranoikům, aby si klíče měnili kdy to na ně příjde. Tady se směšuje bezpečnost a bezpečnost. Takováto nadstandartní bezpečnost je samozřejmě nutná pro někoho kdo „šťourá do tisíce věcí“ po celém světě, je pořád na cestách, mluví pěti a koresponduje deseti jazyky apod. U něj se významně zvětšuje množina vstupních dat pro výpočet a proto je na místě vyšší zabezpečení ve formě jednoletého certifikátu. Ale kolik lidí to je? 1%? Nebo ještě méně? A kvůli 1% bude 99% uživatelů certifikátů chtě-nechtě pod nadstandartní ochranou a HLAVNĚ si za ni chtě-nechtě připlatí. To je zase jeden ze superkšeftů - platit za ochranu před něčím, co nikdy nepříjde.

Ta případná prodloužená životnost certifikátů stejně neřeší problém jako celek. Pořád se nemohu spolehnout, že jednou podepsaný dokument bude mít zítra ještě platný podpis. To je zásadní rozdíl od klasického podpisu. Já se třeba nepodepisuji inkoustem, který ani ne do roka z papíru vyprchá. I když v nějakých filmových komediích jsem takto podepisované šeky viděl.

Jinak je správný postřeh, že případný padělaný dokument obvykle nezapadne do kontextu. Stačí třeba, že na úřadě je časová posloupnost přidělování čísel jednacích a originál má vždy úřad. Ale je také spousta případů, kdy to padělání vyjít může, kontext není zřejmý anebo nevratná škoda může nastat, ještě než se začne pátrat po neplatnosti podpisu.

Pokud správně rozumím Vaší poznámce, pak z toho, že na úřadě existuje "originál" vyvozujete, že úřad má pravdu.

Pokud se správně pamatauji, tak tuto teorii už Ústavní soud několikrát vyvrátil. Úřad je na tom v tomto ohledu úplně stejně jako vy.

Pokud je úřad původce dokumentu, tak snad uznáte, že Černý Petr je vždy na počátku na druhé straně, která teprve musí dokázat, že jde o podvrh.

A v odpovědi šlo spíše o to, že pokud má úřad časově vzestupnou nebo dokonce souvislou řadu čísel jednacích, tak tam nějaký dokument jednoduše bez nějakých dalších machinací nevložíte. Tedy nestačí jen podvrhnout e-podpis.

Myslím, že většina dokumentů je dnes v dalších elektronických systémech jako spisová služba a případné agendové sw. Dost dokumentů je hned v několika sw. Ano, nevím jak to bude za 10 či 20 let, ale dost z toho by mělo být archivováno a tedy prokazatelnější než nějaký soubor s propadlým e-podpisem.

Asi jsem nečetl pořádně můj příspěvek.

Taková změna dokumentu ne naprosto vyloučená!!!, protože vstupní množina nových dat je příliš malá na to aby bylo možné dopočítat stejný podpis.

Jediná teoretická možnost by byla pouze při získání privátní části klíče, protože pak by při prověřování pravosti muselo přijít na řadu časové razítko a padělat i to, takového koumáka bych rád viděl.

To je sice pravda, ale řešit podpis 1x za 10 let a 10x za 10 let je slušný rozdíl. A kolik starostí s prošlými certyfikáty se ušetří.

Take mi to tak prijde....

Možnosti vytvořit elektronický podpis s využitím již prošlého certifikátu ale není možné v principu zabránit. I když se většina programů bude chovat korektně a neumožní to, stejně nezabrání vzniku jiných programů, které to umožní. V neposlední řadě si někdo takovou aplikace může napsat sám, podle toho, jak a co potřebuje. O to více by se proto mělo dbát na platnost certifikátu při vyhodnocování elektronického podpisu.

Nestacilo by k podepsani se zestarlym certifikatem hodiny v pocitaci posunout zpet do doby kdy byl jeste platny?

Samozřejmě to stačí.

autorizovaná konverze na CzechPointech je anonymní: nezjišťuje se, kdo si konverzi nechává dělat.