Názory k článku
Elektronický podpis: první akreditace

Na webu PVT je I.CA uvedena s s rimskou a ne arabskou cislici, web je pak www.ica.cz. Vasi chybou jsem se dostal na web www.1ca.cz, ktery patri uplne jine spolecnosti. Zase jeden clanek psany ve dve rano s jednim okem zalepenym a dryhym zavrenym.

Dobrý den všem,
pan Peterka v článku uvádí zajímavou myšlenku o počínajícím vývoji odlišování certifikátů. Pokud se podíváme do Spolkové republiky, pochopíme, že tento vývoj je zcela přirozený. V Německu je používání elektronického podpisu ve styku se státní správou mnohem omezenější, než s jakým rozsahem se počítá u nás. Analogii však můžeme spatřovat i s jinými agendami. Svoje služby tam poskytuje asi 16x :-) více akreditovaných poskytovatelů a každý z nich se soustředí na jinou oblast (obchodní komora, advokátní komora, poštovní služby apod.). Vydávají kvalifikované certifikáty, které jsou specifické pro dané použití. Neexistuje tedy pouze jeden certifikát, který by byl dostačující všem...
To, že vývoj u nás směřuje k podobnému stavu je pouze přirozené, ale svědčí to i o tom, že se nedokážeme poučit. Odlišnosti identifikátorů pro MPSV a MF jsou jen začátkem. Až dojdeme uvědomění k čemu všemu se dají certifikáty využít a až se služby certifikačních autorit rozšíří, bude odlišnost jednotlivých certifikátů zcela zřejmá. Více o tomto tématu na http://www.mvcr.cz/casopisy/s/2002/0012/info.
S pozdravem
JH

Myslím, že nikde není dáno, že musím mít více certifikátů; podstata, pokud jsem to správně pochopil je, že certifikát má obsahovat dostatečně určující údaje o osobě.
Váš scénář, kdy budu mít různé certifikáty pro každý subjekt (či oblast) , se kterým hodlám komunikovat mi připadá nesmyslný a doufám, že vývoj tímto směrem nespěje...

Každý certifikát se vydává podle předem dané a zveřejněné certifikační politiky. A nejde jen o vydání. Uzavřením smlouvy s poskytovatelem certifikačních služeb (PCS) se Vám daný PCS zavazuje poskytovat další služby v souladu s touto politikou. (Zkontorlujte si smlouvy a přečtěte politiky :-)Jedná se především o služby zneplatněí certifikátu, způsoby publikování statutu certifikátu, poskytované záruky, možnosti rekey a recertifikace, způsoby a náležitosti generování klíčů, možnosti generování časových razítek, možnosti blokování certifikátu a řada dalších služeb. Je velice nepravděpodobné, že by zcela stejné služby (stejné politiky) byly vhodné pro všechny oblasti, ve kterých chcete používat kvalifikované certifikáty. Odělení identifikátoru je skutečně slabým důkazem, v tom s Vámi souhlasím, ale naznačuje cestu...
JH

Pane Peterko,
Díky za zajímavý článek.

Pane Hobzo,
Rád bych doplnil, že správná adresa Vašeho příspěvku ve Veřejné správě je http://www.mvcr.cz/casopisy/s/2002/0012/info.html

ČSOB nabízí majitelm osobních účtů certifikát pro komunikaci s bankou vydávaný via PVT na čipové kartě. Neznám podrobnosti, protože infolinka odkazuje na pobočku s tím, že detaily nemají k disposici. Podle symptomů však usuzuji na ICA a komerční certifikát. Je platný jeden rok a jeho vydání/obnovení stojí 100 Kč. Podle ujišťování pracovníků infolinky je možné jeho použití i pro prvátní účely - například pro autentizaci mailové komunikace.

Otázkou je, jak se bude vyvíjet "proprietárnost" identifikátorů pro jednotlivé subjekty, ale za tuto cenu stojí pořízení za to - na pouhé "hraní si".

ČSOB nabízí též čtečku v USB provedení za 1600 Kč, článek zmiňuje cenu za čtečku 1000 Kč. Za 1000 Kč nabízí ČSOB seriové provedení. Poradí někdo, zda je úroveň kolem 1600 Kč za USB "přiměřená"?

Miroslav Obešlo

No jo, ale mít několik certifikátů a za každý dát 700 je trochu drahá sranda. Cena je nepřiměřená.

Cena je to ukrutna, to jo. Ale z pohledu certifikacni autority myslim, ze neprimerena neni. V UK stoji certifikat, ktery clovek muze pouzit pro komunikaci se statni spravou, asi 20 liber rocne, coz se plus minus rovna cene certifikatu od ICA. Jina vec je ta, ze za takovou cenu nikdo (obcan) komunikovat se statni spravou nebude.

Jedinou resenim, ktere by skutecne otevrelo elektronickou komunikaci je, aby se certifikaty rozdavaly zaroven s obcankou. Tedy aby byly placeny statem a spravovany akreditacnimi certifikacnimi autoritami. To ale zase narazi na problem, kde certifikat bude clovek uchovavat. Disketa, samozrejme; jenze to je pro normalniho (=nepocitacoveho)cloveka tak totalne neprakticke, ze jedinou masovou moznosti jsou cipove karty. Coz je dalsi slusna suma. A i kdyz bude mit clovek cipovou kartu s kvalifikovanym certifikatem, bude mu to na nic, protoze 99% pocitacu nema ctecky, ktere jsou na jejich pouziti potreba.

Zacarovany kruh. Myslim, ze na elektronicko-podpisovou nirvanu si jeste chvili pockame.

To co popisujete je celkem problem znamy odborne komunite. Pred par lety si vsichni mysleli, ze jeden certifikat bude stacit, ale jak vyvoj pokracoval, zjistilo se, ze pro kazdou aplikaci, certifikat obsahuje (certifikuje) jine udaje. Jednou to je to ICO, jindy datum narozeni.

V soucasnosti je v tom mismas a clovek musi mit ruzne certifikaty pro ruzne aplikace. V budoucnu se to nejspis podari vyresit rozdelenim certifikatu na dve casti, kdy jedna hlavni obsahuje zakladni identifikacni udaj jednotlivce (tedy neco jako cislo obcanky), druha cast pak libovolny pocet certifikovanych dodatku obsahujicich udaje nutne pro jednotlive aplikace (ICO, rodne cislo, na co si vzpomenete). V zargonu se tomu rika attribute certificates.

Pane Peterko, vcelku dobrý článek, ale vemte prosím na vědomí, že slovo "dceřiná" se opravdu, ale opravdu nepíše se dvěma "n" (tedy dceřinná, jak je to ve Vašem článku). Je fakt, že tuto chybu dělá spousta novinářů i z velkých deníků typu MfD apod., ale tam to ještě lze vysvětlit jejich celkovou nevzdělaností, což vím, že u Vás není ten případ. Zdůvodnění této pravopisné formy je takové, že ke slovu dcera se přidá přípona -ná, a není tedy důvod dávat tam další n navíc (v kořeni slova se žádné n nevyskytuje). Tolik gramatický exkurs, který jsem si už prostě nemohl odpustit :-)))

Možná to autor převzal z webu I.CA, kde to je hned na homepage taky špatně...

Může prosím někdo fundovaně vysvětlit, kdo (kromě CA) může získat informace nad rámec obsahu certifikátu, aby mohl bezpečně identifikovat osobu? A komu takové údaje mohou být vůbec poskytnuty, aby vše nebylo v rozporu se zákonem o ochraně osobních údajů?

Totiž, podle certifikační politiky I.CA, pokud jsem ji pochopil správně, jsou POVINNÉ pouze následující atributy subjektu certifikátu:

1. Jméno
2. Příjmení
3. označení, že se jedná o kvalifikovaný certifikát

Všechny ostatní údaje jsou nepovinné, a ani při jejich uvedení nelze osobu jednoznačně identifikovat. Certifikáty podle všeho NEMOHOU obsahovat ani datum narození nebo RČ.

Kdo akceptuje potom takový certifikát?

To, jaké údaje mají být v certifikátu obsaženy, je především věcí osoby (subjektu) spoléhající se na podpis. Ona stanoví pravidla hry. Pokud tedy adresát mojich emailů například prohlásí, že v certifikátu musím mít i barvu očí či velikost bot, jinak se na mé podpisy nebude spoléhat, pak mám pouze dvě možnosti. Buď tyto údaje bude můj certifikát obsahovat, nebo s daným subjektm nebudu elektronicky komunikovat. Tím nechci nijak omlouvat dodatek § 11. Naopak, výše uvedené je doméhou spíše soukromého práva, kde platí smluvní volnost stran.

Nesouhlasím. Diskutujeme zde o KVALIFIKOVANÝCH certifikátech. Zprávy podepsané těmito certifikáty jsou povinny přijímat orgány státní moci na základě nařízení vlády. Pro ostatní účely, které ponechme stranou, nepotřebujeme kvalifikované certifikáty - můžeme použít nekvalifikované certifikáty nebo také žádné...

Ptám se tedy: vydá mi akreditovaný poskytovatel certifikát, který budu moci při komunikaci s veřejnou správou použít?

Vzhledem k citovanému ustanovení novely se domnívám, že nikoli, protože dle něj "KVALIFIKOVANOST" certifikátu již není postačující podmínkou, aby byl podpis vytvořený s takovým certifikátem akceptován.

Abychom předšli dalším nedorozuměním, pokusím se shrnout Vaše připomínky, jak jim rozumím já: "na jedné straně se říká, že v oblasti orgánů veřejné moci je možné používat jen kvalifikované certifikáty od akreditovaného poskytovatele. Dále se ovšem říká, že kvalifikované certifikáty pro oblast orgánů veřejné moci musí obsahovat jednoznačný identifikátor podepisující osoby. Nestačí tedy pouhá kvalifikace certifikátu, ale je nutné rozšířit jeho obsah." Doufám, že jsem porozuměl dobře...
Nemám nic proti tomu, aby si jednotlivé orgány veřejné moci upravily náležitosti jimi přijímaných certifikátů. Je otázkou, jakým způsobem to provést.
V zákoně nejsou zavedeny kvalifikované certifikáty z toho důvody, aby se určil obsah certifikátů pro orgány veřejné moci. Obecně jsou certifikáty určeny k přenosu veřejného klíče. Kvalifikovaný certifikát má tento přenost zjistit minimálně dostatečným, bezpečným způsobem (alespoň to byl záměr Směrnice 1999/93EC).
Identifikace a následná autentizace osoby pomocí asymetrické kryptografie a certifikátů je o něčem jiném.
S pozdravem
JH

>Nemám nic proti tomu, aby si jednotlivé orgány veřejné
>moci upravily náležitosti jimi přijímaných certifikátů.
to já mám opačný názor. V kamenném světě by to znamenalo, že každý úřad by měl právo si stanovit, jaký občanský průkaz bude požadovat jako průkaz totožnosti (a já si budu pokaždé muset nechat vystavit specifickou občanku pro ten který úkon s tím kterým úřadem).
Obávám se, že to je proti duchu snah o zavedení el. podpisů (tak jak jsem je dosud interpretoval).

BTW, když se o tomto aspektu diskutovalo na tiskovce I.CA, šéf UOOU Neuwirt zmiňoval, že by se vše dalo vyřešit zavedením tzv. národního identifikátoru (jak to po nás ostatně chce EU). Tím by asi nemělo být rodné číslo, ale mohlo by jím být např. číslo soc. pojištění (nebo něco jiného, hlavně ale bezvýznamového). Až se podaří uzákonit národní identifikátor, mohl by on být tím jednoznačně identifikujícím údajem ve všech certifikátech, které by pak mohly být univerzálně použitelné ...

Možná se vyjadřuji příliš obecně, nebo mluvíme o něčem jiném :-) Pokud budeme rozumět certifikátem určitý bezpečnostní obal veřejného klíče, pak si strana, která se spoléhá může stanovit svá pravidla, za jakých se bude na náš podpis spoléhat. Pokud budeme certifikátem rozumět prostředek k identifikaci a podpisem prostředek k autentizaci, pak Vám dávám za pravdu a certifikát musí obsahovat údaje, které jednoznačně identifikují osobu. A jistě by národní identifikátor byl vhodnou položkou. Zřejmě je to jen o přístupu. Myslím, že naše názory se tolik neliší.

položím tedy otázku jinak: bude-li úřad A trvat na údaji X a úřad B na údaji Y, a já budu chtít komunikovat el. cestou s oběma úřady, co k tomu budu potřebovat? Půjdu za akreditovaným poskytovatelem certifikačních služeb a nechám si za úplatu vystavit jeden kvalifikovaný certifikát, který budu moci použít pro komunikaci s úřady A i B? Nebo bude muset mít akreditovaný poskytovatel v nabídce více různých kvalifikovaných certifikátů (minimálně jeden pro úřad A a druhý pro úřad B), a já si budu muset pořídit oba dva? Nebo bude akreditovaný poskytovatel vydávat takové kvalifikované certifikáty, které obsahují údaj X a současně údaj Y? Když si pak vzpomene úřad C, že by tam rád měl údaj Z, budu si muset nechat vystavit nový certifikát?

Můžu po úřadech požadovat, aby si své certifikáty doplnily o mnou požadované údaje, abych mohl úředníka jednoznačně identifikovat?

Novela se týká všech certifikátů používaných v oblasti orgánů veřejné moci, tedy, chápu-li to dobře, i certifikátů příslušných úřadů....

Dobrý večer snad již naposledy
Hodně jste mi to ulehčil :-) Záleží na dohodě úřadů, na konceptuálním přístupu celé státní správy. Pokud budou trvat na svých identifikátorech (například z důvodu, že ve svých registrech používají každý různé klíče), co nám zbude? Snadnější a pro všechny občany přijatelnější by jistě bylo zavedení jednotného identifikátoru, který jste zmiňoval.
Hezký večer
JH

Vy tvrdíte, že el. podpis ve spojení s certifikátem může nebýt prostředkem pro autentizaci zpravy (resp. subjektu, ktery ji vytvoril)??????

Pak doporucuji precist zacatek samotneho zakona:

"certifikátem datová zpráva, která je vydána poskytovatelem certifikačních služeb, spojuje data pro ověřování podpisů s podepisující osobou a umožňuje ověřit její totožnost,"

dále

" a) elektronickým podpisem údaje v elektronické podobě, které jsou připojené k datové zprávě nebo jsou s ní logicky spojené a které umožňují ověření totožnosti podepsané osoby ve vztahu k datové zprávě,"

----
Dále mylně uvádíte, ze certifikat je bezpecnostnim obalem klice. Certifikat je bezpecnostnim obalem trojice {klic; identifikace subjektu; dalsi potrebne info}. Zabalit bezpecne JEN klic nefunguje a doufám, že vite proč...
Doporucuji Vam prostudovat prislusne TECHNICKE normy, napr. PKI X.509.

Dobrý večer i Vám,
nechci se již po sté zapojovat do příspěvků, ale dovolím si ještě jen pár slov k Vaší reakci.
"...umožňuje ověřit totožnost" není to samé jako prokázání totožnosti :-)
Netvrdím, že el. podpis ve spojení s certifikátem může nebýt prostředkem pro autentizaci zprávy.
Elektronický podpis, tak jak je definovaný v zákoně, může mít skutečně mnoho forem a z toho vyplívajících způsobů ověření totžnosti.
RFC2459 si čtu každý večer na dobrou noc :))
Mějte se a přeji vše nej
JH

Klídek Pavle, klídek. Přítomnost certifikátu stejně neříká nic o tom, že by snad došlo k platnému a vědomému aktu podepsání či odsouhlasení obdržených informací. Je to jenom automatizovatelný akt proveditelný bez přítomnosti člověka.

Petře, já vám vůbec nerozumím. Zprávu podepisuji já jako odesílatel a tím, že ji příjemce obdržel a zkontroloval, potom považuje můj právní úkon za platný, jak nyní umožňuje ObčZ. Po příjemci vůbec nechci, aby cokoli podepisoval nebo schvaloval. Ten může maximálně souhlasit nebo nesouhlasit s obsahem mé zprávy, ale to je tak všechno ;-)

Hypotetický příklad, kterého bych se nerad dočkal:

Přijdu do I.CA, zažádám o kvalifikovaný certifikát, zaplatím nemalý obnos 700 Kč, a nadšený už si nesu domů kvalifikovaný certifikát, jedině u kterého mi vláda garantuje, že s ním můžu komunikovat s veřejnou správou. Vyplním daňové přiznání, podepíšu jej elektronicky a posílám emailem na FÚ. Další den mi FÚ odpoví, že můj certifikát je sice kvalifikovaný a platný, ale nedostačující, protože obsahuje jméno, příjmení a adresu ale chybí v něm datum narození nebo rodné číslo a že toto nemohou akceptovat, neboť nejsem jednoznačně identifikován.

I.CA mi lepší kvalifikovaný certifikát nevydá a jiná akreditovaná CA neexistuje, takže mám smůlu a v každém případě jsou to vyhozené peníze....

Skutecne rozumite spatne. To, ze je zprava podepsana elektronickym podpisem - a to uvazujme hypoteticky pripad, ze je (prijemci) znama identita osoby ktere byl takovy podpis vystaven - nedokazuje, ze danou datovou zpravu skutecne podepsala ona osoba. A vetsina zakonych norem je postavena na "vuli" prislusnych subjektu, nikoli na " podpisu" - ano, pritomnost podpisu je (jednim a pomerne zavaznym, ale nikoli samostatne postacujicim) zpusobem jak potvrdit projev vule. Napriklad i nepochybne vlastnorucne podepsana smlouva bude neplatna, pokud se ukaze, ze ji dotycny podepsal omylem (napriklad byl ve stavu kdy nebyl schopen rozpoznat co vlastne dela, nebo byl podveden co se obsahu smlouvy tyce a pod.). Totez plati i pro podpis elektronicky, kde navic lze namitnout, ze podpis byl "odcizen" a zneuzit jinou osobou (u vlastnorucniho podpisu by to zrejme vyloucil grafolog). Pak je proste takovy dokument "nepodepsany". Ano, je pravda, ze drzitel podpisu odpovida za jeho zneuziti - to ale znamena, ze nahradi prokazatelne zpusobenou skodu, nikoliv, ze budou platne i ty smlouvy, ktere vlastne "nepodepsal". Myslim, ze predevsim o tom byl prispevek na ktery reagujete.

To, o cem mluvite vy je zase o necem jinem - tedy o tom, zda statni organ bude povinen prijmout dokument opatreny kvalifikovanym podpisem podle prislusneho zakona jako "podepsany", nebo zda si bude moci klast na "nalezitosti" podpisu dalsi pozadavky. A to je o trochu necem jinem ...

Děkuji pane Lukeš. To je přesně ta pointa. Myslím že nebude dlouho trvat a objeví se užitečné viry schopné podepsat za kohokoliv cokoliv....

Toho se, popravde receno, za svoji osobu nijak zvlast neobavam (tim ale netvrdim, ze takovy virus nebude ohrozovat laickou verejnost) - certifikat musi byt chranen pred pouzitim, napriklad heslem a to samozrejme viru nereknu, takze virus bude moci certifikat poskodit, smazat, nekam odeslat, ale nemel by byt schopen ho pouzit. Ano, dovedu si predstavit, ze bdue napriklad ve vhodnou chvioi "odezirat" co pisu na klavesnici - ale tak jako je ma starost zajistit, ze mi nikdo nebude stat "za zady" tak je uplne stejne moje starost abych neco takovehleho proste nepripustil take (a ja vim, ze se pred necim takovym neda chranit definitivne, ale da se pred necim takovym chranit VELMI ucinne). Vychazim ze sve zkusenosti, ktera rika, ze prakticky nejsem zadnymi viry napadan - ackoliv zrovna moje el. adresa je pomerne exponovana (a nevyzadanych dopisu dostavam denne nekolik desitek, skoro stovku) a ackolvi se nezrikam zcela pouzivani programu, ktere sezenu "nekde po Intenetu".

Samozrejme, pokud nekdo svuj elektronicky popdis umisti na pocitac, kde spousti "kde co" ziskane "kde mozne", nez trochy soudnosti klika na kazdou prilohu, ktera mu prijde, pouziva Outlook (Express) ackolvi je jasne, ze drtiva vetsina utoku je smerovana PRAVE na uzivatele tohoto MUA - tak ten skutecne napaden byt muze a nemuze se divit. Asi tak jako se nemuze divit ten, komu jsou ukradeny a zneuzity platebni karty, ktere bezne nechava valet ruzne volne po stolech a nebo mu vycuhuji ze zadni kapsy kalhot.

Je jasne, ze tam, kde neni zakladni gramotnost nutna pro zachazeni s pocitacem, tam je pouziti "pocitaoveho" podpisu velice problematicke a nebezpecne. Takze tento pripad jsem ani na mysli nemel. Ja mel na mysli zejmena zamerne zneuzivani ze strany opravneneho drzitele podpisu, ktery ma, de-facto, moznost platnost sveho podpisu kdykoliv odvolat. A to me pripada jako podstatne zavaznejsi problem nez ten, ktery jste mel na mysli vy, protoze mnou popsany problem nepostihuje samotneho "vinika", ale nekoho jineho - druhou stranu ...

• Zakon o el. podpisu stanovi, ze zaruceny el. podpis umoznuje identifikaci podepisujíci osoby ve vztahu k datove zprave.
• Certifikatem pak je "datova zprava, ktera ... spojuje data pro overovani podpisu s podepisujici osobou a umoznuje overit jeji totoznost".
• Zakon o ochrane osobnich udaju povazuje za osobni udaj "jakykoliv udaj tykajici se urceneho nebo urcitelneho subjektu udaju".

Z toho ja, jako pravni laik dovozuji - ze "certifikat", u kteho neni mozne overit totoznost osoby, ktera jej drzi vubec neni certifikatem ve smyslu zakona o el. podpisu. Je ale pravda, ze zakon nerika KOMU ma byt jednoznacna totoznost zrejma - to zrejme znamena, ze postacuje, pokud je presna identita znama prislusne CA - a ta neni povina tuto informaci v zasade nikomu sdelovat, tj. pri prijemce podepsanych zprav je jednoznacna identita osoby nezjistitelna. Ani zakonna povinnost zajistit provozovani bezpecneho a verejne pristupneho seznamu vydanych kvalifikovanych certifikatu vec neresi, protoze zakon neupravuje co presne ma byt jeho obsahem. To se, zrejme, pokousi upravit prave zminovana novela, kdyz uvadi, ze Pokud je zaručený elektronický podpis zalozený na kvalifikovaném certifikátu uzíván v oblasti orgánů veřejné moci, musí kvalifikovaný certifikát obsahovat takové údaje, aby osoba byla jednoznačně identifikovatelná. - jenze s ohledem na uz puvodni dikci zakona tedy, ze certifikat (osoby) umoznuje overit jeji totoznost nejde o zadny pokrok, protoze to dle meho nazoru rika (pro urcitou skupinu certifikatu) naprosto totez co v zakonu je jiz ulozeno pro vsechny certifikaty. Ovsem, ani tuto novelu nelze dle meho nazoru chapat jako obecne zmocneni pro jednotlive konkretni urady aby si urcovaly dalsi nalezitosti certifikatu "po libosti" - tj. pokud budu mit ve svem kvalifikovanem certifikatu jmeno a rodne cislo, pak tento certifikat naprosto jednoznacne identifikuje moji osobu jakemukoliv organu - a to vcetne vsech organu statnich. Domnivam se tedy, ze urad bude povinen, pokud je vybaven elektronickou podatelnou a prijima elektronicky podepsana podani, takovou zpravu prijmout a zpracovat, protoze bude mit vsechny nalezitosti stanovene zakonem. Urad nepochybne muze stanovit, ze doplnujici udaj musi byt obsazen v samotne datove zprave (napriklad se da ocekavat, ze financni urad bude vyzadovat aby v danovem priznani bylo uvedeno danove identifikacni cislo), neni, dle meho ale opravnen vyzadovat aby nejaky konkretni a zakonem nevyzadovany udaj byl obsazen primo v certifikatu samotnem.

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Kolize se zakonem na ochranu osobnich informaci podle meho nazoru ale nemuze nastat prakticky v zadnem pripade - pokud ja, jako zadatel pozadam o vydani kvalifikovaneho certifikaty, pak jsem nepochybne srozumnen s tim, ze zadam o vydani certifikatu podle platneho zakona o el. podpisu - z nehoz je zrejme, ze udaje umoznujici jednoznacne identifikovat moji osobu musi byt dostupne prinejmensim vsem osobam, vuci kterym takto ziskany podpis pouziju. To lze, dle meho, povazovat za souhlas (vyzadovany zakonem o ochrane osobnich dat) s predavanim techto dat v rozsahu vyzadovanem zakonem o el. podpisu.

Abych to shrnul - tim, ze pozadate o certifikat (podle meho nazoru dokonce nejen kvalifikovany), davate tim souhlas ke vsem potrebnym a souvisejicim ukonum - a k nim poskytovani urcitych osobnich udaju tretim osobam patri.

No podle mne vam unika jeden podstatny detail a to ze Certifikacni autorita ICA jako takova neni schopna uzivatelum dokazat svoji autoritu(Identitu).
Jednak Root certifikat I.CA neni distribuovan zadnou solidni cestou je pouze stahnutelny z webu ICA.cz a PVT na svych strakach nenabizi zadnou metodu jakou by bylo mozne certifikat overit. V tom to pripade muze dojit k tomu ze kdokoliv kdo napadne DNS servery muze lidem podstrcit sve neplatne certifikaty.
Zvlaste nebezpecne je toto u bank napriklad CSOB/IPB( pouzivala tuto funny metodu pro ovreni sve identity tim ze prohlasovala to jsem ja a pokud si chcete byt skutecne jisti ze komunikujete se mnou tak si tady od sud stahnete muj funny certifikat) coz je silena lamerina.
Intituce jako banka by mnela pouzivat autoritu ktera je schopna klienta identifikovat nebo aspon zvolit takovy spusob overovani klientskych certifikatu aby klienti mneli zaruceno ze citlive informace skutecne posilaji do sve banky. nebo by mnela dat zakaznikum jednoduchy prostredek jak si muzou platnost takovehoto funny certifikatu overit.
Jinak je zajimavy spusob jakym NBU vydal akreditaci pro I-CA ocekaval bych ze klic CA urceny pro autentizaci obcanu bude podepsany certifikatem statniho organu.

Jen pro doplneni - CSOB/IPB tento zpusob "neoverovani" používá i nadále - stále je to stará dobrá I.CA, která zajišťuje certifikáty i pro ČSOB Homebanking 24.

Taky mě docela překvapilo, že akreditují CA, které používají neověřitelné certifikáty. Možná se státu jen nechtělo investovat do Root CA, ale to by nám mohl vysvětlit třeba pan Hobza, který je nejspíš z UOOU?

Mimochodem certifikát I.CA má poněkud zvláštní název (tedy pokud je to opravdu certifikát I.CA, což nelze ověřit)

"I.CA - Qualified root certificate (kvalifikovaný certifikát poskytovatele) - PSEUDONYM"

No UOOU je fakt sranda instituce podle mne by se nad sebou mneli prehodnotit pristup k utakovanym skutecnostem. Nez zvraceny pristup typu vsechno je tajne a k informacim ma pristup jen par vyvolenych tak je lepsi informace bez jakekoliv selekce zverejnit. Prostez pocinani UOOU mam pocit ze jim nejde ani tak o ochranu osobnich udaju ale spis o to aby omezily pristup k informacim jako takovym.

Certifikát kořenové certifikační autority je nutně self-signed, už jaksi z principu, jinak by nebyla kořenová. Pokud si ho nenahrajete na disketu přímo u nich v kanceláři, pak nemáte příslušnou jistotu nikdy. Jakou jinou metodu distribuce nebo ověření byste si představoval?

Myslím, že tady není rozporu, autor se, podle mě zcela oprávněně pozastavuje nad tím, že Vás I.CA vyzývá, abyste si její certifikát nainstaloval zcela nezabezpečenou cestou, namísto toho, aby jej I.CA vůbec na www.ica.cz nevystavovala.

Mimochodem, oni Vám jej na RA nahrají na disketu automaticky....

Instalace nezabezpecenou cestou nevadi, pokud pote spolehlivym kanalem overite fingerprint. Nicmene, na to vas ale neupozornuji, coz je rozhodne (bezpecnostni) chyba ...

Pokusil jsem se o overeni Fingerprintu pres telefon :) ale na jejich infolince netusily o co go :) a odkazali mne na email :-)

To mi vypravejte. Jednou jsem (uz pred cca dvema lety) zkousel fingerprint overit u instituce, ktera primo uvadela, ze to telefonicky udelat mam - tak jsem to zkusil. Trvalo to pres dvacet minut a nakonec (jak jsem pozdeji zjistil) ziskali fingerprint tak, ze se sami podivali na svuj WWW a primo z nej mi ho precetli - ovsem, vzhledem k tomu, ze jsme vlastne overovali, zda onen WWW neni "podvrzeni", bylo to dost usmevne ...

Mimochodem, samostatne hodnotnou informaci bylo, ze jsem po vice nez roce a pul provozovani one sluzby byl prvni klient ktery o takove overeni projevil zajem (a to neslo o zadny web, kde o nic nejde - slo o spravu uctu) ...

Pokud občan ČR podniká jako fyzická osoba a stane se plátcem DPH, je mu finančním úřadem přiděleno daňové identifikační číslo. Kmenová část DIČ (číslo za pomlčkou) je u fyzických osob tvořena rodným číslem, přestože podnikající fyzická osoba má svoje IČO.

Důsledkem je, že rodné číslo takové osoby je uvedeno ve veřejně přístupné databázi ministerstva financí (rejstřík plátců DPH). Podnikatel je také povinnen uvádět DIČ na daňové doklady, takže je vlastně zákonem donucen "rozdávat" svoje rodné číslo téměř komukoliv.

Proč se DIČ přiděluje právě tímto pochybným způsobem mi není známo. Snad jen pro pohodlí finančího úřadu, jehož úředníci na první pohled mohou poznat, zda jde o právnickou či fyzickou osobu. Rodné číslo navíc zdaleka není tak jedinečným identifikátorem, jak si někteří lidé myslí.

No, popravde receno, me neni zas az tak moc jasne co je vlastne na rodnem cisle az tak osobniho aby to muselo byt nejak zvlast utajovane - ja osobne povazuji sve rodne cislo asi tak stejne osobni a tajne, jako svoje jmeno. Jeste bych chapal, ze jej za citlivy udaj povazuji damy (obzvlaste ty drive narozene), ale u nas, panu opravdu zadny zvlastni duvod pro tajeni opravdu nevidim (myslim vetsi duvod nez pro tajeni jmena a prijmeni).

Netvrdil jsem, ze RČ je citlivým údajem. Je však nepochybně osobním údajem (alespoň ve smyslu zákona o ochraně osobních údajů).

Ještě malá otázka (jistě prominete, že trochu osobní a doufám, že ne citlivá:)): narodil jste se v severních Čechách?

To, ze jde o citlivy udaj jste netvrdil vy, to jsem skutecne tvrdil ja - a v pripade, kdy rodne cislo patri dame. Z textu vam snad muselo byt jasne, ze vyraz "citlivy udaj" nepouzivam ve v tom vyznamu jak jej definoval prislusny zakon ...

Co se tyce zaverecne otazky - tak ani misto narozeni mi nepripada jako udaj hodny nejakeho zvlastniho utajovani - takze nemam problem odpovedet - ano, narodil jsem se v Teplicich.

Teplice - já jsem si to myslel :-)
Samozřejmě nemám přístup k nějaké evidenci obvyvatel, nikdy jsem Vás neviděl (pokud ano, tak nevím, že jste to byl Vy) a Vaše jméno znám pouze z diskusí na Lupě. Místo narození se při troše šikovnosti dá zjistit z části rodného čísla za lomítkem (pouze u novějších rodných čísel). A já jsem si ještě donedávna myslel, že se pouze generuje na modulo 11...

Chápu, že třeba Vám to nepřipadá jako nějaká tajná informace (jinak byste ji asi nepsal do diskuse). Z předchozí diskuse mi však připadá, že nejsem sám, kdo nepovažuje rodné číslo za vhodný identifikátor osoby (a zdaleka se to netýkalo těch dam :)). Prostě si nejsem úplně jistý, jestli je v pořádku, že na základě údajů z veřejně přístupné databáze lze poměrně snadno zjistit osobní údaje.

A k tomu rodnemu cislu jste se dostal, odhaduji, v obchodnim rejstriku. Pak ale jste se soucasne dostal k daleko zajimavejsimu udaji - mistu, kde jsem hlasen k trvalemu pobytu nyni (coz alespon me pripada jako podstatnejsi informace, nez misto narozeni). Shrnul bych to takto - ano, z rodneho cisla lze poznat vek, pohlavi a dohonce misto narozeni. Vsech techto udaju si cenim zhruba stejnym zpusobem jako vlastniho jmena a prijmeni - takze, kazdemu komu vubec sdelim sve jmeno uz jsem v podstate ochoten rict bez omezeni i rodne cislo, a tomu, komu se nejsem ochoten ani predstavit - ten zase tezko rodne cislo ziska (kdyz ani nevi s kym mluvi). Takze, rodne cislo opravdu nepovazuji za udaj vhodny jakehokoliv utajovani vetsiho, nez samotne jmeno. Chapu ale, ze nekdo jiny muze mit jiny nazor - chapu, ze si proste muze neprat aby se obecne vedelo jak je stary, nebo kde se narodil. Ja se ale domnivam, ze "magicnost" rodneho cisla se vseobecne precenuje.

To, ze ve verejnych databazich jsou osobni udaje je zrejme neodstranitelna vlastnost - prinejmensim tech databazi, ktere eviduji cokoliv tykajici se lidi. Osobnim udajem je totiz vsechno co se tyka urcene nebo urcitelne osoby - a tak telefonni seznam, alespon ta cast, kde jsou fyzicke osoby je plny osobnich udaju - jsou tam preci jmena, adresy bydliste a dokonce telefon, domovni zvonky take maji na sobe jmena osob, ktere v dome bydli - proste, jakmile verejna databaze obsahuje neco o lidech, je krajne nepravdepodobne, ze by byla prosta osobnich udaju. Databaze bez udaju by, jaksi, nebyla k nicemu. Ano, muzeme diskutovat o tom, co ma byt v jake dababazi ivedeno a zda ma takova databaze vubec existovat - ale jakmile je jednou rozhodnuto, ze databaze s nejakym obsahem je verejnem zajmu, pak neni na miste spekulovat nad tim, jestli nektere v ni obsazene udaje nejsou nahodou osobni - zrejme jsou ...

Mimochodem, s tou delitelnosti 11 to neni az tak jednoduche. To pravidlo, ma-li byt spravne a uplne je o neco slozitejsi. Dovolim si vam nabidnout odkaz.

S tím obchodním rejstříkem to odhadujete správně. Co se týče telefonního seznamu, tak s tím nemohu úplně souhlasit. Existuje totiž možnost (Český Telecom to nazývá službou, aby si za to mohl říci o peníze) neuvedení účastníka v telefonním seznamu. A na zvonku již Vaše jméno vůbec být nemusí, pokud nechcete (ale možná budete mít problém s doručováním pošty - tedy té papírové :)).

Osobně si myslím, že zveřejnění obchodního rejstříku (a dalších podobných databází) je spíše jevem pozitivním. Jaké údaje by měly být veřejně přístupné a které ne, je opravdu věcí názoru. Adresa trvalého pobytu je zřejmě věc, bez které by taková databáze opravdu byla k ničemu. Naproti tomu si dovedu docela snadno představit, že by v OR nebyla rodná čísla. Stejně je tam trochu chaos, většina lidí tam sice má RČ, ale někdo pouze datum narození a někdo ani to ne. Jednoduchým řešením by mohlo být přeprogramování webového rozhraní tak, aby se z RČ vypočítal (a zobrazoval) pouze rok narození. Myslím, že by to nikomu neublížilo a (snad) by to ani nebylo moc drahé.

S těmi DIČ (u podnikajících fyzických osob) by to asi tak jednoduché nebylo, protože ta se musí uvádět na kdejakém daňovému dokladu. Nejschůdnější řešení by IMHO bylo, kdyby ministerstvo financí nařídilo, že se nové DIČ bude tvořit z kódu finančního úřadu a IČO podnikatele. Sice by to znamenalo, že by finanční úřady musely všem fyzickým osobám (plátcům DPH) dát nové osvědčení o registraci, ale zřejmě se tomu stejně časem nevyhneme (a nové občanské průkazy jsou jistě výrazně dražší).

Jinak děkuji za zajímavý odkaz.

Pouze upřesnění - DIČ mají všichni podnikatelé, bez ohledu na to, jestli jsou nebo nejsou plátci DPH. Všichni jsou totiž plátci daně z příjmů.

Mimochodem, proč je v DIČ zahrnunta jakási identifikace finančního úřadu? Domnívám se, že je naprosto nadbytečná...

Jenze zakon vas nuti mit oznaceny - kdyz ne zvonek, tak schranku - nezapomente, ze spousta dulezitych pisemnosti se povazuje (se vsemi nasledky pro vas z toho plynoucimi) i tehdy, pokud se je vubec dorucit nepodari - a tak je ve vasem silnem zajmu sve jmeno v ramci domu netajit (muzete ale urcite, podobne jako v pripade telefonniho seznamu zaplatit poste, ze si vas budou "pamatovat" i kdyz schranku ani zvonek oznaceny mit nebudete - a pokud ne s postou, tak s postackou urcite). Kazdopadne, ano, ja obecne souhlasim s tim, ze osobni udaje by se bez dobreho duvodu zverejnovat nemely a obecne souhlasim i s tim, ze odvodit DIC primo od RC je spise zbytecnym zverejnovanim. Nicmene, ze vsech moznych "povinnych" lec "zbytecnych" zverejnovani osobnich udaju (nebo takovych, ze tomu sice muzete zabranit, ale za penize, jako v telefonnim seznamu) mi zrovna pripada jako pomerne nepodstatne. Krome toho mam dojem, ze se RC skutecne priklada neprimereny vyznam a pripomina mi to precenovanou hodnotu "razitka" pro pravnicke osoby. Tak jako razitko nevypovida nic o mem vztahu (tim mene k opravneni za ni jednat) k firme, ktere je na razitku, i kdyz ho drzim, napsane, stejne tak znalost RC nemuze nikdy slouzit jako autentizace osoby - a tedy by nikdo nemel povazovat osobu za autentickou na zaklade toho, ze je schopna prerikat "(udajne) sve" rodne cislo. Obecne ale s vami samozrejme souhlasim ...

Pár přípodotků:

1) Fyzické osoby, které nejsou plátci DPH, DIČ (s r.č. uvnitř) nutně nemají. Stačí jim IČ (dříve zvané IČO). Ovšem jejich rodné číslo stejně používá třeba VZP, FÚ ho chce na daňové přiznání, atd.

2) Rodné číslo není samo o sobě jako údaj až tak kritické, problém je, že se bohužel používá všude a že přes něj lze spojit údaje z více databází, což se sice podle zákona nesmí, ale technicky to je snadné provést, komerčně to je lákavé, a na druhé straně je obtížné se současnými technologiemi databáze ochránit před odcizením dat.

3) Obchodní rejstřík je aplikace chvályhodná, rodné číslo a domácí adresa osob by však v on-line anonymně dostupné verzi být nemusely, nebo jen na zvláštní, registrované doptání v případě prokázaného právního zájmu. Bylo by však třeba nahradit domácí adresu a rodné číslo unikátní identifikací osob v rámci OR, tj. abych poznal, že Jan Novák z firmy ABCDEF je totožný Jan Novák, jako z firmy XYZ (nebo taky ne). Možná by stačilo narychlo udělat vhodnou hashovací funkci z rodného čísla. Asi to je taky věc znění zákonů.

Jinak zajímavá diskuse na téma PKI.

K bodu 1) DIČ je opravdu povinné pro všechny podnikatele, podívejte se na kterékoli novější osvědčení o registraci. Každý plátce daně z příjmů je povinen si o DIČ zažádat. To je také logické, neboť veškeré platby daní FÚ identifikuje podle kmenové části DIČ, takže FO-podnikatel nemající DIČ ani nemůže zaplatit např. daň z příjmů! (Prakticky ji asi zaplatí, použije-li své rodné čislo, ale...)

> Každý plátce daně z příjmů je povinen si o DIČ zažádat.

Máte pravdu, nějak jsem se pozapoměl, zažádat o DIČ si sice nejste povinen, ale jste povinen se registrovat u správce daně a ten DIČ nato automaticky přidělí.

Povazujete rodne cislo za nedulezity udaj. To je dle meho nazoru do znacne miry vazna chyba. Znam minimalne jednu spolecnost, ktera poskytuje software pro obce(registry atd.)cca 150 uradu, vcetne nekterych casti Prahy. Podle jejich slov, je RC v podstate hlavni identifikacni udaj a opiraji se USIS. Jak zde bylo zmineno, tak i VZP pouziva RC jako identifikator. Myslim, ze RC ma mnohem vetsi vyznam nez mu prikladate.

To si nerozumime - vy mluvite o dulezitosti "pro ostatni" - ano, zde s vami mohou souhlasit, RC je skutecne dulezitym a identifikacnim udajem, opira se o USIS a dokonce ma v seznamu prvku USIS prideleno cislo "1" (tedy, presne AA0001) - takze zrejme skutecne jde o hlavni a velice vyznamny udaj. Predevsim pro statni spravu. Tato debata se ale tykala dulezitosti "pro me" - a ochrany tohoto udaje. A tam tvrdim, ze vsude, kde nevystupujete anonymne uz muzete rovnou sdelovat i RC - tedy, ze RC neni v zasade duvod tajit vice nez jmeno a prijmeni - bud jednam anonymne (a pak nereknu ani jmeno) nebo jednam neanonymne - a pak uz neni duvod RC tajit.

Zdravim pritomne a chci se amatersky zeptat:

Jak a cim se lisi "podpisovy certifikat" vydany I.CA pro ucely IPB od certifikatu pro komunikaci se statni spravou?

Certifikát pro účely IPB není "kvalifikovaný", tedy není možné ho použít pro komunikaći se státní správou.

Jak se ovšem zdá, kvalifikovanost bude zřejmě nutnou, avšak nikoliv postačující podmínkou pro použití v oblasti orgánů státní moci...

Nicméně I.CA říká, že vydává kvalifikované certifikáty "zejména pro komunikaci v oblasti orgánů veřejné moci". Uvidíme...

Dole pod článkem, po odkazu na www.ica.cz

Vede na změny týkajíc se nějakých zákonů o auditorech. Víte někdo to URL správně?