eDoklady odstartují až po půlce ledna, aplikace čeká na schválení zákona

Psal jsem v minulosti na DIA.
Mimo jiné odpovědi na mé dotazy odpověděli takto.

Pro fyzické ověření totožnosti a jiné skutečnosti pomocí aplikace eDoklady budou povolené dva scénáře:

Ověřující subjekt je v prvním scénáři vybaven mobilním zařízením s nainstalovanou
ověřovací aplikací. Obě strany, tedy prokazující (výlučně fyzická osoba) i ověřující, jsou
vybaveny mobilními zařízeními (telefon, tablet). Tento scénář nutně nevyžaduje při
prokazování připojení k internetu ani jedné ze stran, pouze připojení přes Bluetooth. Ověření totožnosti může probíhat následovně:

1. Ověřující subjekt (úředník, policista, ...) vyzve uživatele (fyzickou osobu) k
prokázání totožnosti nebo jiné skutečnosti.
2. Uživatel otevře mobilní aplikaci eDoklady a zobrazí QR kód obsahující informace
pro ustavení přenosu dat.
3. Ověřující subjekt načte QR kód pomocí čtecí aplikace na svém mobilním
zařízení.
4. Obě aplikace ustaví vzájemnou šifrovanou komunikaci přes Bluetooth. Následná
komunikace probíhá již pouze tímto kanálem.
5. Čtecí aplikace pošle základní informace o subjektu ověřovatele a výčet
požadovaných údajů.
6. Aplikace eDoklady zobrazí uživateli obdrženou žádost o souhlas s předáním
požadovaných údajů.
7. Uživatel potvrdí, příp. žádost zamítne (v případě zamítnutí žádné údaje z
průkazu ověřujícímu subjektu odeslány nejsou).
8. V případě potvrzení aplikace eDoklady odešle požadované údaje.
9. Čtecí aplikace zobrazí stav průkazu a předané údaje ověřujícímu subjektu,
zatímco aplikace eDoklady zobrazí uživateli informaci o úspěšném přenosu.

Ve druhém scénáři je ověřující subjekt vybaven počítačem (PC nebo notebookem) s připojením k internetu. Zde je pouze uživatel (fyzická osoba) vybaven mobilním zařízením (telefon, tablet). Ověřujícímu subjektu postačí počítač (PC, notebook nebo jiné zařízení s nainstalovaným webovým prohlížečem). V tomto scénáři je vyžadováno od uživatele připojení k internetu. V případě ověřujícího subjektu se rovněž vyžaduje připojení k internetu (LAN, mobilní data, veřejná wifi, hotspot, ...) nebo připojení do Centrálního místa služeb v případě úřadů. Tento scénář je vhodný především pro přepážková (stabilní) pracoviště a ověření totožnosti bude zjednodušeně probíhat dle ukázky níže:

1. Ověřující subjekt (úředník, policista, ...) vyzve uživatele (fyzickou osobu) k prokázání totožnosti nebo jiné skutečnosti. V této souvislosti upozorní uživatele na QR kód, který je viditelně umístěný např. na přepážce.
2. Uživatel otevře mobilní aplikaci eDoklady a zvolí akci pro předání průkazu on-line.
3. Aplikace eDoklady spustí fotoaparát pro naskenování QR kódu.
4. Uživatel naskenuje QR kód na přepážce.
5. Aplikace eDoklady naváže na pozadí on-line spojení se čtecí aplikací (konkrétně se serverem).
6. Server pošle základní informace o ověřujícím subjektu a výčet požadovaných údajů.
7. Aplikace eDoklady zobrazí uživateli žádost o souhlas s předáním požadovaných údajů.
8. Uživatel potvrdí, příp. žádost zamítne (v případě zamítnutí žádné údaje z průkazu ověřujícímu subjektu odeslány nejsou).
9. Aplikace eDoklady odešle požadované údaje. Obdržené údaje se předají do webové ověřovací aplikace.
10. Ověřujícímu subjektu se ve čtecí aplikaci zobrazí stav průkazu a předané údaje.

Podmínkou pro fyzické ověření totožnosti a jiné skutečnosti pomocí aplikace eDoklady dle výše uvedených scénářů, je provedení registrace do aplikace a vybavenost ověřujícího subjektu spojené se zákonnou povinností přijímat pro fyzické ověření totožnosti i aplikaci eDoklady. Občan s aktivovanou aplikací eDoklady bude mít technicky možnost být ověřen při využití obou scénářů. Ověřovatelé budou mít na výběr implementaci buď jednoho nebo obou z povolených scénářů. Ověřovatel tedy nemusí aplikovat oba scénáře.

Tedy, děkuji za vyčerpávající informace. Moje nejčernější obavy se potvrdily. Bude to určitě stát pěknej balík na technických úpravách těch úředních pracovišť.
V čem je to tragické, že to je naprosto zbytečné - úřední místa totiž vůbec žádná data z té e-občanky tahat nepotřebují, pro ně a jak jsem psal i výše postačí čistě jako identifikátor té konkrétní osoby, co stojí před nimi a vše ostatní o ní si už dnes mají načíst ze státních registrů, které mají přístupné přes svou úřední síť..
Totiž, z tohoto pohledu naprosto zbytečný projekt, který se bude udržovat pro naprosté minimum klientů. Jak i vyplývá z harmonogramu, nejméně ještě rok, budou stejně muset mít všichni občané na prokazování (na poště, v bance, aj..) i tu starou plastovou. Od roku 2026 se bude stejně připravovat jiné, celoevropské řešení. Takže proč a pro koho?

K tomuhle nemám přesné informace, nedostali se ke mně. Mohu to jen odhadnout.

Celý proces bude fungovat tak, že pobočka si v systému vyplní jednotlivé překážky (či kontrolní místa) a akce, které bude chtít dělat (ověření věku, plnoletosti, přečtení všeho atd.), ke každému místu dostane speciální QR kód, ten na přepážku nalepí. Obsluha zadá v systému, že chce ověřit klienta přes e-občanku a vybere jaké ověření se má provést (např. ověření plnoletosti), vyzve klienta k naskenování QR kódu v aplikaci Edoklad. V QR kódu jsou obsaženy informace, jak se má aplikace spojit se systémem, aby se mu prokázala (tady v našem prostředí je možnost Bluetooth a internet přes OICD ověření), klientovi se zobrazí co vlastně za údaje předá, potvrdí předání a obsluze se zobrazí jen ty vyžadované údaje (např. že je klient plnoletý, vůbec se nemusí dostat k osobním údajům, záleží na akci, kterou požaduje).

Celé to je navržené, že to může fungovat přes internet. V technických diskuzích jsme hlavně řešili zabezpečení přes bluetooth (dostatečné), přes nfc (nedostatečné a nebude se podporovat), wi-fi (jako lokální síť; problematické, snad v budoucnu). Bluetooth je vhodný na přenosné stanice, na překážky už tak ne. Pokud teda vysloveně nikde nepíšou o potřebě mít bluetooth na stanici, pravděpodobně pro prvotní implementaci zvolil přenos přes internet a je tedy potřeba, aby klient měl datové spojení nebo byla dostupná zdarma wi-fi.

Ale nevím přesně, nepracuji na téhle prvotní implementaci na prvních pár úřadů.

tohle je ale asi úplně něco jiného, ne? To, že auta mají otevřený BT, na který se můžeš relativně snadno připojit a posílat na CAN nějaké zprávy je jedna věc, to že hodláš číst BT komunikaci dvou zařízení a poté obejít asymetrické šifrování uvnitř aplikace s validací certifikátů je druhá věc.

Edoklad aplikace nespoléhá na zabezpečení BT, ale sama si tvoří bezpečný kanál s ověřením druhé strany přes certifikáty a klíče (podobně jak funguje HTTPS), viz specifikace ISO 18013/5.

Vypadá že rozumíte o čem je řeč, tak bych se zeptal Vás, zda víte, jak na tom je státní správa s technickou implementací tohoto řešení na přepážkách úřadů.
Protože , to co popisujete se týká přímo smartphonů a tabletů, které tu technologii implementovanou maji - potažmo tedy hovoříme o té aplikaci eDokladovka, která se do něj dá stáhnout a s ní pak ručně ověřit. Což bude tak nouzovka, leda tak pro hospodské, když budou chtít zkontrolovat jestli je klukovi 18, aby mu mohl nalít.
Ale v případě přepážek úřadů se dá dočíst na odkazovaném https://edoklady.gov.cz/ doslova toto "Co potřebujete:"
počítač s připojení do internetu nebo CMS... Nic víc..To fakt stačí??

Ale ale, máme tu skutečného odborníka... Můžete mi prosím popsat, jak přibližně to vaše "hackování" brzd přes bluetooth má fungovat? Rád bych se poučil.

Umim pres BT zabrzdit brzdy nekterych aut ... jakpak je asi tak zabezpeceny BT telefonu ... aha, nijak.

Dira v implementaci tohoto nesmyslu bude znama do hodiny od spusteni.

data jsou plně šifrovaná, využívá se PKI a state of art algoritmy, aplikaci se nejdříve musíš prokázat platným podpisem aby s tebou vůbec začala komunikovat. Takže ne, nemůžeš si jen tak přečíst kdokde bydlí.

Jak prosímtě svým skenerem zjišťuješ LTK (v rámci bluetoth 4.2)? Rád bych se poučil. BT komunikace není plně bezpečná, ale její odposlech zrovna není triviállní záležitost nějakého pasivního skeneru. Ano, máme tady věci jako BLURtooth, ale to jsou vše MitM útoky a ještě se splněním určitých podmínek.

celé to je založeno na standardu ISO 18013/5 a OpenID4VP, podporovat se bude pouze párování přes QR kód a přenos dat přes bluetooth (wi-fi se zatím neimplementuje, možná v pozdější fázi, NFC je zavrhnuto kvůli bezpečnost a nepodpoře u iOS). Klientská aplikace v prvotní fázi vyžadovala bluetoth zapnuté a přítomné.

K tomu PC by měl přibýt bluetooth modul (pokud ještě nemají). Byl jsem na podzim u nějakých technických konzultací. Nejspíš ani v dalších fázích by se neměl měnit nosný kanál a měl by zůstat bluetoth s tím, že se to možná rozšíří na internet přes openID Connect.

Ano, díky tomu, že by se dveře měly otevřít i dalším tvůrcům aplikace, může se rozšířit způsob ověření.

Podle postupů popsaných v důvodové zprávě k zákonu (viz článek https://www.lupa.cz/clanky/digitalni-obcansky-prukaz-v-mobilu-se-blizi-aneb-jak-budou-fungovat-ceske-edoklady/) bude aplikace pro úřad na přepážce běžet primárně na PC. Celá komunikace proběhne prostřednictvím serveru. QR kód slouží pouze pro "spárování" aplikace s konkrétní instancí pracoviště (aplikace čte QR kód nalepený na přepážce).

V poslední verzi zákona, která byla schválena, přibyla pozměňovacím návrhem možnost, že aplikaci pro ověřování implementuje kdokoli a je možné ji po schválení od DIA používat. Cílem je mimo jiné umožnit integraci a přímé zpracování údajů načtených z dokladů v ověřovací aplikaci.

Ve skutencosti je to uplne jedno, jedine naprosty hlupak dovoli jakemukoli cizimu zarizeni se pripojit na bt. Na druhou stranu, uz se tesim ze sase vytahnu svuj scanner .... budu rovnou vedet, kde kolemjdouci bydli, ja se jmenuji ... kdy se narodili ...ono se jich najde dost.

Tedy jestli se můžu zeptat, zda redakce nemá nějaké zákulisní informace ohledně technické implementace pro příjem těhle eDokladů na přepážkách úřadů.
Protože, se sice původně předvádělo že ta jejich identifikace a kontrola se bude provádét přes QR kódy - což samozřejmé tamní čtečky, zvládnou. Jenomže a psalo se to myslím i tady, že pro další komunikaci mezi tím smarphonem a příjemcem se použije bluetooth. A tu se obávám, že většina čteček na úřadech nemá, protože jí nepotřebují. A předělávat je všechny (a během půl roka) , to by se snad ani nestihlo, a stálo by to biliardy...

A asi by bylo dost tragické, kdyby pan Bartoš doporučoval úředníkům, ať si tu kontrolní apku nahrajou do svýho smartphone, (kde ten bluetooth je), s tím pak zkontrolovali občanovi jeho EDoklad a toto pak přepisovali ručně do státní evidence :))))

Muzete mit RFID cip pod kuzi, privesky v uchu jsou uz prekonane :-)

proč podle přívěsku? Podíváte se do kamery a bude...

Prokazování mobilem nepovažuji za pokrok ale pouze za alternativu.Pořád ale budu u sebe muset něco mít.Jsem za to rád protože se děsím doby kdy mne identifikují pomocí přívěšku v uchu jako dobytče,ale nebudu muset mít doklad.