Vlákno názorů k článku Česko chystá národní elektronickou identitu a e-občanky od Filip Jirsák - Pro občany, vyšetřovatele i pro stát to bude...
-
Pro občany, vyšetřovatele i pro stát to bude stejné jako dnes – je úplně jedno, jestli na té smlouvě o nákupu hrnců za 40 tisíc je pravý vlastnoruční nebo pravý digitální podpis. Případů zfalšovaných vlastnoručních podpisů dnes soudy moc neřeší – a přitom je triviální zfalšovat vlastnoruční podpis tak, aby to člověk normálně nepoznal.
-
Martan (neregistrovaný)
No právě dnes to není dokonale, ale policajti i soudy to umí zkoumat.
S čipovou kartou a virem, který ovládne komunikaci s kartou to bude vyloženě nebezpečná situace po občany, pro vyšetřovatelé (kteří neoveri co je podvod a co neni) i pro stát, protože ověření občana stojí na hliněných nohach!!
-
lojza (neregistrovaný)
No, tak přijde eIDAS a co se stane? Útočníci budou nadšený, že už se nebudou muset spoléhat jen na sociální inženýrství prostřednictvím obyčejných emailů, kdy jim oběť pošle peníze sama, protože útok na čipovky bude větší zábava? Těm co teď stačilo páchat zločin na kradené doklady zase budou mít radost, že když z majitele dokladů vytlučou i pin k čipu, tak jim to dá víc možností? Nebo co se tím zhorší oproti současnému stavu?
-
Jenže nejde o zneplatnění dokumentu, ale právě o zneplatnění podpisu. Když zneplatním certifikát a následně někdo přijde s tím, že jsem tím zneplatněným certifikátem něco dříve podepsal, bude mít smůlu, protože na tom dokumentu nebude mít časové razítko s údajem před zneplatněním toho certifikátu. Když zneplatním svůj podpisový vzor, a někdo následně přijde s dokumentem, který jsem údajně podepsal před tím zneplatněním, budu velice těžko dokazovat, že ta listina vznikla až později.
Připojení dalšího podpisu a zápis do nějaké knihy, svědek – to je možné udělat i s elektronickým podpisem. Přičemž pořád podepisujete ten jediný konkrétní obsah dokumentu. Na rozdíl od listinných dokumentů, kde podepisujete jenom papír, a pak doufáte, že se nepodaří na ten papír dostat jiný dokument nebo podpis přenést na jiný papír.
-
Peter (neregistrovaný)
Ale vždyť eIDAS je vlastně elektronický podpis v2.0 Jasně je okolo toho mraky právnických papírů, ale základ je stejný pokus o důvěryhodnou identifikaci osob nebo dokonce právně závaný podpis v prostředí, které je absolutně nedůvěryhodné a hlavně ani s použitím antiviráků a dalších ..... nemáte jistotu, že konkrétní soubor skutečně podepsal Jirsák a nikoli někdo kdo získal vládu na jeho čipovou kartou-občankou.
Ten útok na kartu jsem taky už někde četl, nemusí se útočit na kartu stačí odposlechnout komunikaci operační systém - čipová karta. Pak není šance rozpoznat co je pravý podpis a co podvod oba budou vytvořené na počítači poškozeného.
Takhle si já, technický pokrok nepředstavuji. Znova a předělat!!
-
To, že někde vystupují i arogantní a ješitní týpci, nevypovídá nic o technologii jako takové. V téhle diskusi vystupují arogantní a ješitní týpci jen proti elektronickému podpisu, a také to neznamená, že jakýkoli způsob použití elektronického podpisu je bezpečný. Problém komentářů a článků pana Nápravníka není v tom, že by elektronický podpis nebylo možné používat tak nebezpečně, jak popisuje. Problém jeho textů je v tom, že se tváří, jako by bezpečnější způsob používání neexistoval. A přitom zrovna eIDAS a vlastně vše moderní, co se v Evropě kolem elektronického podpisu dělá, ten nebezpečný způsob používání vůbec neumožňuje.
-
Peter (neregistrovaný)
V prostředí s elektronickým podpisem také nemůžete zneplatnit už jednou podepsaný dokument. Ten je prostě podepsaný a ověřovat se bude (má) jestli v době podepsání byl certifikát platný.
Můžete zneplatnit certifikát, ale do zneplatnění jsou provedené podpisy platné.Při použití klasického podpisu máte další možnosti ověření - notář, CyechPoint, další svědek, atd.
-
Peter (neregistrovaný)
Tady někde jsem četl o tom jak dlouho jsou viry. Nikdo to nedokázal nebo nechtěl vyřešit.
Nápravník psal o tom, že počítačové programy jsou čistě lidská práce, takže chyba v programu je výsledkem mizerné lidské práce!!!
To, že někdo nedokáže udělat program bez chyb je jeho problém!!Čet jsem tady o tom jak je možné zkoumat pravost normálního podpisu na papíru a stále se zdokonaluje. Situaci okolo elektronického podpisu a teď e-občanek a eIDAS sleduji dost dlouho.
Vždy tam vydím arogantní a ješitný típky, kteří odmítají připustit názor někoho jiného a když se ukáže, že to jejich řešení je děravý, tak všechno svádí na uživatele. V jaderné elektrárně by jste za takový přístup byli ohodnoceni okovanou botou!! -
Pokud dokáže virus zneužít on-line bankovnictví, tak dokáže zneužít i elektronický podpis, eIDAS, atd.
To tvrzení je úplně stejně pravdivé, jako že když zloděj dokáže překonat bezpečnostní dveře, dokáže překonat i bankovní trezor. Ano, všechno jde udělat špatně, ale také je možné to udělat dobře. Akorát když se to má udělat dobře, je nutné se vyhnout „bezpečnostním odborníkům“, kteří věci moc nerozumějí a zabývají se především vyráběním mediálních senzací, založených na tom, že ignorují to, co se jim nehodí, a zbytek překroutí pro své potřeby.Základ problému je, že vy připouštíte jedině variantu, kdy se nepoužívají jednorázová hesla a privátní klíč má uživatel uložen jako běžný soubor na disku. Což skuteční odborníci v žádném případě nepovažují za bezpečné. Proto také např. elektronická občanka nebude privátní klíč uložený v souboru na disku, ale klíč bude na čipové kartě. I takové zabezpečení se dá prolomit, ale je to řádově složitější, než to, o čem píšete pořád dokola vy.
-
Je to přesně naopak. Vlastnoruční podpis na papíře nezneplatníte, těžko budete dokazovat, kdy vlastně vznikl, a těžko budete dokazovat i to, že není váš. Zneplatnění certifikátu pro elektronický podpis je naopak ve standardech pro elektronický podpis řešeno od samého začátku, a legislativa s tím samozřejmě počítá. Navíc neplatnost certifikátu pro elektronický podpis nemusíte sdělovat každému zvlášť, jednoduše to oznámíte jenom certifikační autoritě, která certifikát vydala.
-
lojza (neregistrovaný)
asi myslíte krádež privátního klíče. Když vám někdo ukradne nějaký vygenerovaný podpis, tak může maximálně louskat kolize.
Co vím se certifikáty vydávají na rok, certifikát se dá zneplatnit a příjemce podpisu má možnost ověřovat, zda certifikát při ověření je nebo není zneplatněn. Spíš pak budete mít opačný problém, prokázat, že váš vlastní platný podpis vznikl ještě za doby platnosti certifikátu.
U papírové občanky se krádež legislativně předpokládat může, to však nebrání případům třeba exekucí na kradené doklady, kdy maj ty lidi docela problém. -
Karel (neregistrovaný)
Prosím, s tímhle opatrně:
"mimochodem je zdvořilé uvést jméno a neschovávat se za přezdívku"Vy jste se také nepodepsal. Schováváte se za ID 652801 a nick "
Uživatel si v profilu nezvolil přezdívku". Předpokládám, že to nebyl úmysl, jen neznalost faktu, že vaše jméno vidí jen přihlášení uživatelé. -
Karel (neregistrovaný)
Tohle není ten problém. Problém je legislativa, která nic takového nepřipouští. Víte, že vám někdo ukradl elektronický podpis? Sdělil jste to policii, finančnímu úřadu, obecnímu úřadu atd.? To je chvályhodné. Platnost vyprší za šest let, tak si pak přijďte pro nový. A ano, je nám líto, že někdo může celých šest let zneužívat váš podpis, ale pravidla jsou pravidla, nic blokovat nemůžeme.
Je to zvláštní, ale u papírového/plastového občanského průkazu se legislativně předpokládá, že ho můžete ztratit, že vám ho mohou ukrást, že ho může někdo zneužít. Jenže pak slyšíte úředníka, jak se těší na elektronickou občanku, protože tu už ztratit nejde, nejde ji ukrást a díky moderním technologiím ji nelze zneužít. A běhá vám mráz po zádech.
-
Ondra.kl (neregistrovaný)
Zjednodušujete si situaci. Na základě kamerového systému lze jistě dokázat že jste tam byl, že jste něco podepsal ... ale i tak ona protistrana bude stále tvrdit že jste podepsal to co říká ona, ne to co říkáte vy.
Závěr bude na soudci a znalcích ... můžete jen doufat že to dopadne tak jak je to podle vás správně.
-
1, současné občanské průkazy mají čtecí zónu pro načtení údajů o držiteli. Jedinou čtečku jsem za posledních 10 let našel na vrátnici Senátu. Takže pro současné řešení není vybudována infrastruktura a nedělám si iluze, že s nástupem čipu se to změní.
2, privátní klíč uložený (nebo i vygenerovaný) na čipové kartě je podobně zneužitelný jako právě zmiňované on-line bankovnictví. Navíc při objasňování podvodů se nenajde odlišnost od korektní operace!!
Jak je to možné ?
Útok není zaměřen na kartu. Proč také, když je karta, přes čtečku připojena k děravému OS. Takže útočníkovi stačí získat přístup na počítač oběti nebo počítač úředníka MÚ, atd. Tam nainstalovaný virus odposlechne přes veřejně známé API komunikaci mezi OS a čipovou kartou, včetně zadání PINu. Pak už je to jasné.Při vyšetřování se zjistí, že podvodná operace byla provedena z počítače oběti, v době kdy oběť byla u počítače a měla kartu ve čtečce. Jak v takovém případě odlišíte korektní jednání uživatele (občana, voliče) od toho co jeho jménem a přes jeho počítač provedl počítačový podvodník??
-
Ano, částečně souhlasím.
Jenže ona je jedna věc, kolik je ochoten za málo / méně peněz udělat programátor a za kolik dělá "programátor v PowerPointu". Stačí si porovnat OpenCard a Lítačku nebo InKartu ČD.
V případě kdy požadují dlouhodobou možnost ověření podpisu (souhlasu) uživatele, tak tam musí SW tvůrci změnit své uvažování. Názor, že lépe to udělat nejde nebo že je uživatel lajdák není řešení problému, ale výmluva, že jej neumím vyřešit.
Zrovna řešení elpodpisu, eIDAS atd. musí být svým způsobem šmírovatelné. Vyšetřovatel, auditor z úřadu (prostě oprávněná osoba) musí mít možnost zpětně spolehlivě ověřit kdo, kdy, odkud a co podepsal nebo kam se přihlásil.
-
krakonoš (neregistrovaný)
Jde jen to, co je zákazník ochoten zaplatit. A vždy platilo, že za málo peněz málo muziky. A už vidím státní správu, jak platí za opravdu dokonalý SW odpovídající částku, navíc aby byl jakýkoli SW opravdu neprůstřelný, nesměl by být šmírovatelný a to by se státním orgánům opravdu, ale opravdu nelíbilo.
-
Tak to už chápu Vaše duševní pochody. Uvažujete jak má bejvalka - "Přesně vím jak to má dělat ten druhý. Do toho co dělám já mi nikdo nesmí mluvit"
Takže speciálně pro Vás (mimochodem je zdvořilé uvést jméno a neschovávat se za přezdívku).
- Pokud dokáže virus zneužít on-line bankovnictví, tak dokáže zneužít i elektronický podpis, eIDAS, atd.
- Pokud útočník použije 0-day útok, tak poškozený nemusí chodit na žádné porno stránky apod. to jsou akorát výmluvy lidí, kteří odpovědnost za svoji mizernou práci chtějí svádět na toho posledního v řadě - uživatele.
- V minulém roce i dříve bylo zaznamenáno mnoho případů, kdy se pro útok na počítače uživatelů použily na první pohled bezproblémové a důvěryhodné web servery letiště, zpravodajského serveru, atd. Takže argument, že uživatelé chodí na podezřelé stránky nebo si do počítače nainstalují vše co stáhnou je pouze výmluva toho kdo nechce (nebo nedokáže) řešit základy problému !!!
-
Lol Phirae (neregistrovaný)
To, že sis lozením po pornostránkách nechal zavirovat počítač a pak jsi zadával k internet bankingu heslo odchycené trojanem, nemá s elektronickým podpisem zhola nic společného. Mimochodem, v té době kolem roku 2000, pokud mi chabá pamět slouží, měla bezpečně použitelné internetové bankovnictví akorát tam eBanka - buď přes OTP "kalkulačku", nebo přes SIM toolkit.
-
Ano a zápis v notářské knize, biologické stopy na papíru, atd. a to vše i s odstupem mnoha týdnů a měsíců.
V případě elektronického podpisu, eIDAS se jedná pouze o matematické funkce a v případech kdy je možné vykrát bankovní účet, tak v takovém prostředí je možné zfalšovat i podpis pro komunikaci s e-Gov.
-
1, ...napsat takový SW, který bude naprosto neprůstřelný.... to je sice částečně pravda, ale SW firmy a programátoři by se měli snažit takový cíl dosáhnout. Názor, že to nejde je pouze výmluva.
2, Je možné vytvořit sytém, který pozná, že se do operačního systému pokouší dostat nebo volat jeho funkce neautorizovaný program(knihovna, atd.) - http://www.slideshare.net/JiNapravnik/the-thee-laws
3, Pokud tvůrce ví, že základ řešení je nedokonalý, tak by neměl odpovědnost přenášet na někoho (uživatel, admin), který to nedokáže vyřešit.
-
V prostředí on-line bankovnictví se používají stejné technologie (PKI) jako v případě elektronického podpisu.
Pokud někdo dokáže zneužít on-line bankovnictví, tak to je důkaz, že je možné zneužít i elektronický podpis, eIDAS, atd.
Pokud banky opakovaně odmítají reklamace a jasné preventivní kroky (nemyslím PR akce výrobců antiviráků), tak je velmi pravděpodobné, že do stejných a horších situací se dostane občan nebo podnikatel, kterému budou zneužity prostředky pro elektronický podpis nebo eIDAS.
-
1, má osobní zkušenost z roku 2003. Vyšetřovatel mi předal počítač poškozeného, kterému byl vykraden účet. Při prvním zkoumání několik antiviráků nenašlo nic podezřelého. Asi po 4 týdnech, před vrácením počítače jsem udělal ještě jednu kontrolu s novou antiviráckou databází a pak tam byl nalezen Trojan, přestože byl počítač měsíc vypnutý a v regále.
2, jak Vy nebo i jiný uživatel poznáte pochybnou app? Je to velmi podobná situace jako v tom roce 2003, kdy byl virus lepší než antiviráky a jejich databáze.
3, další oblast představuje útok přes 0-day slabiny. Tam se uživatel, admin a většina bezpečáků nechytají.
-
Před víc jak 10 lety jsem psal o zneužitelnosti elektronického podpisu a tedy i zaručeného elektronického podpisu.
Tehdy se mnoho pseudoodborníků urazilo, že kazím jejich úžasné plány. Jenže mezitím počítačové viry ukázali, že se dokáží bez pochybení uživatele i správce sítě dostat i do relativně dobře zabezpečeného systému, PC, telefonu i SCADA/ICS aplikace.
Důkaz? Vykradené účty přes internetové bankovnicví, počítačový virus v síti Ministerstva zahraničních věcí, později na Nejvyšším státním zastupitelství, atd., atd.Takže tragická situace v oblasti bezpečnosti a důvěry v prostředí Internetu ukazují, že elektronický podpis, eIDAS a další řešení jsou dobré pro B2B aplikace, ale nikoliv v situacích kdy je nutná spolehlivá, důvěryhodná nebo dokonce právně závazná identifikace uživatele.
