Vlákno názorů k článku České poště nefungovaly weby, online služby byly nedostupné od Gigolo - Doufám, že budou padat hlavy!! Ráno jsem se...

Jo jo, když chcete vidět splašený certifikát, musíte si nejprve vyplnit formulář. Ten vám pak potvrdí pan doktor. Já vím.

Platnost certifikátů PostSignum se ověřuje oproti off-line CRL a ověřuje se zpětně, někdy můžete čekat na potřebné CRL až 24 hodin (pokud okamžik podpisu bude hned po platnosti předchozího CRL). Takže zdržení pár hodin se nijak nepozná, obvykle se schová do té lhůty, kdy čekáte na CRL novější než je podpis.

nemá nakešované platné CRL v počítači
No právě. Jenže CRL se vždy kešuje, protože se vůči němu ověřuje offline a zpětně. PostSignum vydává CRL jednou za 24 hodin, takže stejně musíte až 24 hodin čekat – pár hodin nedostupnosti CRL není nijak kritické, jak už jsem ostatně psal v předchozím komentáři.

V komentáři o něco výše jsem popsal, jak se elektronický podpis ověřuje – když už mermomocí musíte diskutovat o něčem, o čem nic nevíte, tak si to tam alespoň dostudujte. Pak přijďte s popisem toho, jak nedostupnost CRL v uvedeném období ověřování zkomplikovalo – pokud tedy stále ještě budete mít pocit, že k něčemu takovému došlo.

Kdybyste aspoň tušil, o čem se tady diskutuje, věděl byste, že jediný popis nestandardní situace tady byl "certifikáty šílely". Další popsaná situace - nebylo možné ověřit podpis, protože nebylo možné ověřit platnost certifikátu - je při ověřování podpisů zcela normální stav. Dokonce, pokud podpisy ověřujete hned po přijetí dokumentu, projde tímto stavem alespoň jednou v praxi každý dokument.

Jediný problém, který mohl mít reálný dopad, mohl nastat, pokud chtěl někdo, kdo podpisy ověřuje jen příležitostně a neměl stažené poslední CRL, ověřit platnost starého podpisu - staršího, než to poslední platné CRL. Ovšem to by byl problém pouze z organizačního hlediska, z technického pohledu je to pořád situace "nemáme aktuální CRL, ověření podpisu musíme odložit na dobu, až aktuální CRL budeme mít".

Jenže to není pravda, že by někdo nemohl nic dělat. Výpadek webu pošty správné ověřování certifikátů neovlivnil. Ovlivnit by mohl mizivé množství případů, pokud někdo ověřuje certifikáty jen příležitostně – pokud by nefungoval ani web externí firmy, na kterém jsou CRL PostSignum také zveřejněné. O výpadku toho dalšího webu postsignum.ttc.cz tu ale žádná informace není.

Pokud někdo ověřuje certifikáty špatně, problém mít mohl – ale pak má soustavně daleko větší problém v tom, že důvěřuje podpisům, které mohou být vytvořené na základě revokovaného certifikátu.

Reálný problém byla nedostupnost služby časových razítek, protože u té každý předpokládá, že časové razítko dostane hned. Oni to sice mají ošetřené v politice autority, že časové razítko vydají bezprostředně po přijetí žádosti, a když nejde web, není možné ani podat žádost, takže oni nic neporušili… Na druhou stranu, TSA PostSignum má občas předem hlášené odstávky, takže jejich zákazníci jsou na to, že časové razítko nemusí vždy dostat hned, zvyklí.

Podsunutý argument je jedním z argumentačních klamů. Co kdybyste místo toho zkusil skutečné argumenty?

Proto je ten CRL na třech místech. Navíc s případem „nemám aktuální CRL“ se počítá, protože k němu dochází dnes a denně. A případ „nemám aktuální CRL, protože nemám žádné CRL“, je pouze speciálním případem toho obecného, se kterým se počítá.

Asi jste svůj komentář zařadil do špatného vlákna. Já argumentuju tím, jak se podpisy ověřují správně podle práva a jak je to zorganizované. Řešení zabývající se pouze technickou stránkou věci by bylo rychlejší, stáhlo by aktuální CRL z webu a pokud by tam certifikát nebyl, prohlásilo by ho za platné. Pak by opravdu aktuální nedostupnost CRL na webu byl problém. Pokud měl někdo s CRL v době výpadku problémy, pak právě proto, že řeší jenom technickou stránku věci a neřeší ty ostatní.