Hlavní navigace

Názory k článku Datové schránky: pracujeme s e-podpisy, I.

  • Článek je starý, nové názory již nelze přidávat.
  • 27. 8. 2009 9:49

    Jiří Peterka
    dovolím si reagovat: zrovna včera jsem si na jedné konferenci o datových schránkách (znovu) vyslechl názor zástupců veřejné správy (počínaje náměstkem Zajíčkem), který zní že nic jiného než PDF nepřipadá v úvahu - a dokonce že když PDF není řádně podepsané, je to neplatný úkon (tj. jako kdyby nic nedošlo).

    Na druhou stranu je pravdou, že pro omezení jen na PDF není opora v zákoně. Volba PDF vyplývá jen z prováděcích vyhlášek k datovým schránkám a jen jako důsledek toho, co je přípustné k autorizované konverzi. Takže si dovedu představit, že někdo přijde (či už přišel) s výkladem, že nemusí posílat PDF, ale že to může být i jiný formát (a třeba pro strukturovaná data by to mělo logiku). A že si to příjemce nebude moci autorizovaně konvertovat, je jeho problém.

    IMHO jde o jeden z "otevřených" aspektů kolem datových schránek, které by bylo záhodno vyjasnit. A to co nejrychleji.

    A BTW, těch 21 formátů co zmiňujete jsou formáty které akceptuje ISDS pro potřeby přenosu. Neodvozoval bych z toho, že právě toto jsou formáty, které vám úřad má/smí posílat (byť "technicky" může, protože mu je ISDS přenese).
  • 27. 8. 2009 9:28

    Jan Frk (neregistrovaný)
    Autora si vážím za veřejnou osvětu aktuální problematiky a srozumitelné články. Nicméně bych rád upozornil na drobnou nesrovnalost.

    Text v článku:
    „Dokumenty, které úřady (orgány veřejné moci) doručují občanům a firmám do jejich datových schránek, by měly mít formát PDF. V zákonech to sice nikde není takto striktně požadováno, ale vyplývá to ze skutečnosti, že jiné formáty není možné autorizovaně konvertovat z elektronické do listinné podoby. Proto se v tomto seriálu omezím jen na formát PDF.“

    Dle přílohy č. 3 k vyhlášce č. 194/2009 Sb. může úřad poslat pomocí datové schránky cca 21 formátů nehledě na to, zda si je příjemce může zkonvertovat či nikoli.
    Nic tedy nebrání tomu, aby úředník napsal ve Wordu rozhodnutí, připojil svůj el. podpis (v praxi bohužel bez čas. razítka) a odeslal do datové schránky. Věřím že tato situace bude nastávat poměrně často (alespoň zpočátku).
    V takovém případě je toto rozhodnutí platné pouze po dobu platnosti el. podpisu úředníka, jelikož nelze dokument autorizovaně konvertovat (po převodu do požadovaného PDF se podpis zneplatní a úředník provádějící konverzi může např. dle zákona 300/2008 §24 odstavec 5 písmena C konverzi odmítnout). Jediná možnost je včasné vložení svého časového razítka, které si musíme zaplatit.
    ale to je již asi do jiné diskuze :-), důležité je však to, že nám do DS nebudou chodit jen formáty PDF.
  • 27. 8. 2009 11:46

    Jiří Peterka
    rozhodně se nechci navážet do informačně zdatných úředníků :-)

    Reaguji na to, jak přistupují k elektronickému podpisu lidé, kteří datové schránky vymysleli a uvádějí je do života. Třeba když hlásají, že "elektronický podpis je platný, dokud někdo neprokáže opak".

    Nebo na způsob, jakým Česká pošta řešila a řeší záležitost se serverovým certifikátem na webovém portále ISDS.
  • 27. 8. 2009 21:23

    Vojtěch Kment
    § 11 zákona č. 227/2000 Sb. by zde rovněž bylo možné argumentovat, jelikož se Váš článek ovšem týká doručování dokumentů vůči soukromým osobám, tak se zpravidla též a především uplatní správní řád, popř. jiný relevantní procesní předpis (občanský soudní řád atp.).

    Všechny tyto procesní předpisy vyžadují pro "důležitá sdělení" (usnesení, rozhodnutí) vůči účastníkům řízení datovou zprávu, která je elektronicky podepsaná uznávaným e-podpisem. Procesní předpisy zde navazují na zákon č. 227/2000 Sb.
  • 27. 8. 2009 16:24

    Jiří Peterka
    jde hlavně o paragraf 11 zákona 227/2004 Sb. (o elektronickém podpisu), který přikazuje používat uznávaný podpis "v oblasti orgánů veřejné moci".
    Důsledek je ten, že když jako občan činíte nějaké podání vůči orgánu veřejné moci, musíte ho opatřit uznávaným podpisem (byť zákon 300/2008 z toho činí výjimku, a když podáváte z datové schránky, uznávaný podpis nepotřebujete).
    A naopak: pokud orgán veřejné moci vůči vám vykonává svou působnost (něco vám "úředně" posílá), také to musí opatřit uznávaným podpisem. A jemu zákon 300/2008 výjimku nedává (ani když tak činí skrze datovou schránku).
  • 27. 8. 2009 17:13

    Jiří Peterka
    to je zase důsledek toho, že původní podoba zákona 300/2008 Sb. znemožňovala dělat autorizovanou konverzi bez časového razítka ("konverze se neprovede ... nebylo-li k dokumentu připojeno kvalifikované časové razítko"). Novela k 1.7.2009 tuto pasáž odstranila (a dokument tak může být autorizovaně konvertován i bez časového razítka).
  • 27. 8. 2009 21:51

    Jiří Peterka
    interní podpis je takový, který je přímo součástí podepsaného dokumentu, zatímco externí má samotastný charakter (je například v samostatném souboru).
    Externí uznávané podpisy u nás vyžadují resorty financí a justice (viz například zde), zatímco třeba resort práce a soc. věcí naopak požaduje interní podpis.
  • 27. 8. 2009 13:28

    Jiří Peterka
    u starší verze Adobe Readeru (8.x) se k zobrazení certifikátu dostanete poněkud odlišnou cestou, než u verze 9.0, používané v článku. Ve verzi 8 klikněte pravým tlačítkem na tučnou řádku ("Podepsal Josef Švejk ....") a volte třetí možnost "Zobrazit vlastnosti podpisu". Tam už si na záložce "Přehled" můžete nechat zobrazit certifikát.
  • 27. 8. 2009 22:00

    Jiří Peterka
    > zda software Adobe Reader má určité vlastnosti požadované českým právním řádem

    Obávám se (resp. mám potvrzeno), že náš právní řád v tomto ohledu žádné požadavky nevznáší: "V ČR není nijak upraveno, které aplikace mohou být využívány pro práci s elektronickým podpisem. Tato volba je ponechána zcela v režii podepisující a spoléhající se strany". IMHO je to docela problém ....
  • 27. 8. 2009 9:03

    admin.
    Vzhledem k tomu, že naše certifikované CA nejsou mezi těmi důvěryhodnými, tak se BFU od samého počátku setká s tím, že bude odklikávat certifikáty jako důvěryhodné. A to po každé na jiném PC nebo při vymáznutí profilu (častá to náprava potíží ve firemních sítích). Takže BFU získá pocit, že je odkliknutí nedůvěryhodného certifikátu naprosto v pořádku a tím pádem je to celé k ničemu.....
  • 27. 8. 2009 11:14

    rr (neregistrovaný)
    Zdravím,
    jako obvykle se musím zastat úřadů a říct znova: Do 1.11. je ještě nějaký čas a kritiky úředníků ohledně neznalosti elektronických podpisů se mi zdají nemístné.
    V rámci školení před spuštěním datových schránek má být v provedena série školení a jedním, samostatným, kurzem je právě elektronický podpis. Podkladem pro tyto kurzy jsou osnovy, které vytvořil Intsitut Praha. (je to z toho důvodu, aby mohl úřad na školení čerpat dotace). Samozřejmě, že si k tomu dodájí informatici a implementátoři své nejnovější poznatky, které by právě školitelé měli zapracovat do svých přednášek.
    Nehledě na to, že mnohé spisové služby budou ověřovat podpisy právě vůči autorizovanému vydavateli ihned při přijetí a úředník jako takový se k tomu normálně nemusí dostat (při dobře napsané aplikaci).

    Ad pdf - autorizovaná konverze opravdu nejde z ničeho jiného než pdf (neumožňuje to přímo aplikace v CzP)

    Autora si vážím, přes počáteční nepřesnosti se z něj vypracoval vcelku dobrý odborník, ale skoro v každném článku je jeden odstavec zbytečně útočný.
  • 27. 8. 2009 21:17

    Vojtěch Kment
    Přiznám se, že Vaší terminologii nerozumím. Co míníte rozlišováním "externí x interní" podpisy?

    Též se přiznám, že nerozumím požadavku na "jednu prověřenou aplikaci". Nevím, co by taková aplikace měla provádět a co by to vyřešilo?

    Ad konverze z moci úřední však Vaše obavy sdílím, viz můj předchozí článek.
  • 27. 8. 2009 23:30

    Vojtěch Kment
    Aha. Přiznám se ale, že tato systematika interní/externí je pro mne stále nepoužitelná z hlediska problému o který se jedná, tj. zda e-podpis je/není platný.

    Především většina podpisových formátů zpravidla umožňuje obě varianty (interní/externí ~ zaobalený/odloučený), popř. i ještě divočejší kombinace!

    V mé terminologii používám pro váš "externí podpis" název "odloučený podpis". Výhodou odloučeného podpisu bývá to, že původní podepsaný dokument zůstává ve svém původním syrovém stavu (jako soubor) a přijímací klient, který není schopen ověřit podpis, je stále schopen aspoň přečíst přiložený dokument (co v něm je). Proto např. pro S/MIME je vhodnější použití odloučeného podpisu, dokument v emailu takto podepsaném přečte každý poštovní klient schopný číst MIME.

    Ale není to vlastnost podpisového formátu, je to volba jednoho profilu v rámci něj, který lze volitelně využít. To zda je použita varianta odloučená nebo zaobalená, je pro úlohu ověření platnosti e-podpisu jen nepatrný technický detail toho, kde se mají hledat podepsaná data - to zvyšuje náročnost asi v takové míře, jako rozhodnutí, zda je soubor na disku D: nebo disku C: (abych to analogií přiblížil).

    Pokud ovšem chcete ověřovat platnost e-podpisu, tak vám volba interní/externí vůbec nic nepřinese! Prostě musíte umět ověřit platnost e-podpisu.
  • 27. 8. 2009 23:37

    Vojtěch Kment
    Zdravím. Nevím od koho je ten citát, ale:

    vydat právním předpisem seznam aplikací, které je možné použít, by podle mne zavánělo porušením soutěžního práva a takto by se rozhodně neměl žádný software vymezovat.

    V právním řádu nicméně jsou příležitostné zmínky požadavků, které při ověřování je třeba splnit. Je věcí podrobnějšího právního rozboru určit, zda jsou vztažitelná na tu kterou situaci. Druhá věc pak je, zda metodika ověřování e-podpisu odpovídá aspoň nějaké rozumné praxi či aspoň logice zdravého rozumu.

    Nechtěl bych se zde dopouštět nějakých kategorických prohlášení, protože taková tvrzení vyžadují poměrně rigidní analýzu ...
  • 27. 8. 2009 23:50

    Vojtěch Kment
    Analogie iuris ve veřejném právu podle mne nepřipadá vůbec do úvahy, zejména může-li být v neprospěch soukromé strany!

    Presumpce správnosti veřejnoprávních aktů platí, ale takový veřejnoprávní akt má určité znaky, které jsou určeny zákonem. Podle těchto znaků se vůbec rozezná, že se jedná o veřejnoprávní akt. Není-li znak přítomen, pak nemůže být za veřejnoprávní akt ani považován, ergo ani nemůže být implikována jeho správnost. Přítomnost elektronického podpisu je právě takovým znakem, přičemž z vlastností skutkové podstaty a z teleologického významu požadavku na přítomnost plyne, že by se mělo jednat o platný elektronický podpis (ačkoliv slovo "platný" v textech zákonů nebývá). Opačný výklad přes reductio ad absurdum vede na situaci naprosté inflace veřejnoprávních aktů, od počátku vydávaných s falešným (neplatným) elektronickým podpisem, které by se měly těšit presumpci správnosti. To je absurdní a proto neudržitelný výklad.

    Argument procesní úpravy ověřování platnosti je také zajímavý, jedná se o zřejmou reflexi potřeby ověřovat platnost e-podpisu.

    By mne zajímalo, kdo argument "elektronický podpis je platný, dokud někdo neprokáže opak" vytasil, na jakou otázku, a v jakém kontextu?
  • 27. 8. 2009 21:04

    Vojtěch Kment
    Tvrzení p. Peterky i p. Zajíčka jsou správná. Asi ze 21 formátů povolených vyhláškou je IMHO možné elektronicky podepsat pouze PDF, resp. je to jediný formát, který kromě formátu pro data (pro obsah) obsahuje i formát pro e-podpis.

    Nu a protože správní řád aj. procesní právní předpisy vyžadují elektronický podpis v elektronickém dokumentu, je e-podpis nutný, ergo PDF jediný možný.

    Jiné formáty povolené vyhláškou sice je možné elektronicky podepsat, ale pouze prostřednictvím nějakého formátu jako je CMS (PKCS#7) nebo Electronic Signature v XML. Jenže tyto nejsou mezi uvedenými formáty ve vyhlášce.

    V korespondenci mezi úřady navzájem může platit i nějaké jiné tvrzení ...

    Jiná věc rovněž je, zda software Adobe Reader má určité vlastnosti požadované českým právním řádem. Zde bych si svou odpověď dovolil rovněž nevyjádřit ...
  • 28. 8. 2009 0:06

    Vojtěch Kment
    > Autora si vážím, přes počáteční nepřesnosti se z něj vypracoval vcelku dobrý odborník, ale skoro v každném článku je jeden odstavec zbytečně útočný.

    Komplimenty od anonymů bohužel nemají tu přesvědčivost jako od osoby, jejíž osobní kredit je znám, přesto vězte, že nás autory potěší více než kritika z podobných zdrojů. Je třeba nás autory z 99% chválit :-) a pouze zbylé 1% věnovat na připomínkování možných zlepšení, nebo upozornění na informace, jichž jsme si nebyli vědomi.

    Jako faktickou poznámku bych uvedl, že systém DS byl již spuštěn od 1.7.2009, do 1.11. pouze probíhá velmi vágně definovaná přechodová fáze, do kdy si bystřejší (soukromé) subjekty mohou náběh oddálit.

    Naopak, vůči těm subjektům, které si již DS zpřístupnily, mají již ty úřady, které již rovněž svou DS zpřístupněnu mají, POVINNOST komunikovat prostřednictvím DS, včetně připojeného e-podpisu, pochopitelně.

    Nemyslím si ale, že by za současný stav mohl typický úřad, i když i ten pochopitelně vždy měl a má možnost se nějak připravit, najmout si odborníky jako je p. Peterka kupř. atp.
  • 28. 8. 2009 18:00

    bez přezdívky
    Zdůraznil bych "bez vašeho vědomí". Zatímco pokud někdo nakládá s vaší rukou, zpravidla si toho všimnete, certifikát v počítači může být zneužit nepozorovaně. Po X letech se těžko budou shánět důkazy, že jste to nemohl být vy.
    V tomhle je elektronický podpis mnohem nebezpečnější. Navíc obyčejnému podpisu rozumí skoro každý, zatímco všechny bezpečnostní nuance elektronického podpisu jsou záhadou pro většinu laiků. Jejich podpis může být zneužit i přímo před jejich očima, aniž by cokoliv namítali (např. jsou zvyklí na jednu konkrétní aplikaci, ale když jim na počítači spustím skript, který udělá totéž, nic nebudou namítat a ještě pomůžou)
  • 27. 8. 2009 9:46

    MB (neregistrovaný)
    Úřadům lze nařídit PDFko povinně nejen kvůli možnosti konverze ale i archivace. A podle všeho tak činí vyhláška č.191/2009 Sb. v § 20. Ale opačně od fyzických a právnických osob to nepůjde. Takže na straně OVM vzniká problém s konverzí mnoha typů dokumentů včetně vyhodnocení různě implementovaných e-podpisů.
  • 27. 8. 2009 10:09

    Jan Frk (neregistrovaný)
    Máte jistě pravdu že zákon č.191/2009 Sb. v § 20 nařizuje výstup v PDF, nicméně v zákoně 190/2009 Sb. v § 75 Čl. II odst. 2 je uvedeno, že určení původci uvedou své spisové služby do souladu se zákonem do 3 let.

    Jinými slovy na to mají 3 roky.
  • 27. 8. 2009 11:00

    Jan Frk (neregistrovaný)
    Pan Zajíček má jistě dobré vize a logické myšlenky (též jezdím na jeho prezentace).
    Jestliže však předčasně tvrdí (jak zde píšete), že odesílaný dokument musí být ze strany úřadu pouze ve formátu PDF a jiný nepřipadá v úvahu - a dokonce že když PDF není řádně podepsané, je to neplatný úkon, tak nemá (dle mých informací) oporu v zákoně a je to pouze zbožné přání.
    Bohužel úřady mají 3 roky možnost posílat stále podepsaný doc soubor a je to platný dokument. Přiznejme si též, že především malé úřady nebudou s tímto moc spěchat a budou posílat stále např. odt formáty.
  • 27. 8. 2009 14:12

    MB (neregistrovaný)
    Já myslím, že přesně tento příspěvek popisuje i moje nezodpovězené otázky. Jako odpověď se oficiálně vsouvají jen nedořešená řešení, za kterými jsou vidět spíše zájmy dvou tří firem, než nějaký odborný systematický přístup.

    Už dávno není tajemství, že zvlášť pokud to půjde takto divoce, to bude drahé a drahé a ještě jen z části funkční resp. zákon stejně nebude moci být dodržen.

    Externí podpisy jsou z hledika automatického a univerzálního ověřování perspektivní, ale znamená to posílat 2 soubory a to ISDS po spuštění neuměl respektive nesměl.
  • 27. 8. 2009 16:07

    jenicek (neregistrovaný)
    To je hezký, že bude školení, ale to je takovej manažýrkovskej přístup "měli školení tak to přece umí". Mít školení a něco rutině a správně umět a ovládat jsou různé věci
  • 27. 8. 2009 17:42

    PK (neregistrovaný)
    Velice děkuji za osvětlení. Právní změť není mým šálkem kávy.
    PS: Jako zaměstnanec st. úřadu Vám chci poděkovat za sérii článků, týkajících se datových schránek. Je to momentálně jediný zdroj informací.
  • 27. 8. 2009 20:22

    Jenda (neregistrovaný)
    Nechtěl byste z té konference napsat reportáž? :-)

    Probíraly se tam problémy s tím, že PostSignum není ve většině prohlížečů, takže uživatel certifikát "odklikne"? Já se na to ptal pana Stieglera v chatu a jeho odpověď byla trochu... éé... mimo.
  • 27. 8. 2009 22:12

    Jason (neregistrovaný)
    Jenomže ono to (že je ohledně řady věcí, zejména povahy zasílaných el. dokumentů a nutného způsobu práce s nimi, stále velmi mlhavo) pro nás jakožto pro příjemce, problém je. Zejména pro větší PO.
    I nám budou aktivovány 1.11. schránky, ať se nám to líbí nebo ne, a pokud mají od tohoto datumu začít chodit nějaké, zatím neupřesněné, elektronické ekvivalenty listinných dokumentů a to v řádu desítek nebo stovek měsíčně, pak jen těžko lze začít stranu příjemce řešit až poté, co si strana OVM "udělá jasno". I my se musíme předem připravit, a potřebujeme vědět na co se přesně máme připravit.

    Problém by to býval nebyl, kdyby systém nabíhal logicky, tj. nejprve jen pro komunikaci mezi OVM a až po tom, co si to "sedne", se rozšířil na veřejnost (jak to ostatně prý prapůvodně bylo i zamýšleno).
  • 28. 8. 2009 2:36

    anonymní
    PDF/A zakazuje šifrování dokumentu, nikoliv jeho elektronický podpis(y).

    Ono by jaksi bylo jako archivační norma poněkud k ničemu, pokud by znemožňovalo archivovat podepsané dokumenty :-)
  • 28. 8. 2009 17:26

    Vidící to bledě (neregistrovaný)
    Lze dnes někde získat zdarma (zpravidla na rok) digitální ID takové aby bylo vhodné i ke zpetnému šifrování vzkazu se šifrou silnější než 40-bitů a dále k podepisování Office 2007 dokumentů.

    Má to být pouze pro soukromé účely a musí to být zdarma. Angličtina nevadí.
    - U Comoda jsem opakovaně narazil na problém se zabezpečením stránek, nebo jejich nefunkčností.
    - ChosenSecurity TrustCert funguje nějak divně (pouze při podepisování e-mailů pomocí WinMail, podepisování dokumentů zdá se funguje dobře), ale pravděpodobně to bude tou slabou sílou klíče.

    P.S.: V nejhorším se zase vrátím k self-signed certifikátu s uvedeným tel. číslem. Ideální to sice není, ale situace se bohužel během posledních deseti let vůbec nezlepšila.
  • 28. 8. 2009 18:00

    Vidící to bledě (neregistrovaný)
    Také by mě zajímal váš názor na sílu šifry 40-bitů pro nebankovní použití, řekněme mezi členy domácnosti a jejich přáteli. Fungují-li s tím vůbec dnešní aplikace.
    Kdysi, ale opravdu hodně dávno, jsem tuto sílu šifry používal aby mi zaměstnavatel nemohl číst soukromou poštu.

    Jinak se panu Peterkovi omlouvám, že se nedržím zcela tématu článku. Momentálně však řeším nějaké problémy a už se dlouho nestalo, že by se tolik lidí bylo ochotno zamýšlet nad problematikou digitálního podpisu. Čí služeb, jaké CA využíváte vy?
  • 31. 8. 2009 10:37

    Major Z. (neregistrovaný)
    Přatelé, tady se mlží s pojmy, termíny. Česká pošta se stala ústavní institucí a dává výklad zákona, různí autoří píší různě, dle toho, kde naslouchají. V poslední době i zástupci MV ČR dávají různé informace. Naštěstí MV má ještě z dob, kdy existovalo ministerstvo informatiky pár kvalitních materiálů, doporučuji k přečtení:

    http://www.mvcr.cz/clanek/metodicky-pokyn-pouzivani-elektronickeho-podpisu-pri-preshranicnim-styku-v-oblasti-verejnych-zakazek.aspx

    pár dobrých rad, nechcete to poslat na poštu, aby se vzpamatovali ?
  • 31. 8. 2009 13:16

    MB (neregistrovaný)
    Opravdu pár dobrých rad? Nebo jen pohádka? V případě, že se na základě uvedeného postupu nepodaří s dostatečnou spolehlivostí ověřit, zda se skutečně jedná o kvalifikovaný certifikát, je možné se obrátit na Ministerstvo informatiky – na e-mailovou adresu lenka.vasakova@micr.cz nebo vaclav.sopr@micr.cz, do přílohy uložit certifikát připojený k doručené zprávě ve formátu PKCS #7, tedy s příponou .p7b, a to s celou certifikační cestou. Pracovníci ministerstva budou kontaktovat kolegy ze sdružení FESA a zjistí od nich, zda je připojený certifikát kvalifikovaným certifikátem v jejich státu.

    V tomto případě pošta nezaspala. Ta nemá na starosti legislativu.
  • 27. 8. 2009 11:07

    anonymní
    Takže na jedné straně názor zástupců veřejné správy, že pokud to není řádně podepsaný PDF, je to neplatný úkon...Názor toť pěkný, hezky se to bude šířit internetem jako hoax , ale jak se má pak chovat uživatel? Stačí aby měl špatné nastavení v počítači, takže podpis bude vyhodnocen jako nedůvěrohodný - má v takovém případě právo dokument odmítnout jako neplatný úkon?
    NA druhé straně , co znamená řádně podepsaný, když už při samotném vstupu do datové schránky se uživateli hlásí, že jedná o nedůvěryhodný zdroj, jehož kořenové certifikáty si má sám nainstalovat?? Podobný postup pak může použít kterýkoliv úřad.. Hlásí se uživateli jeho elektronický podpis v dokumentu jako nedůvěryhodný?? Stačí přeci použít postup na webové stránce....xxx, dohrát si z uvedeného místa kořenové certifikáty (i třeba nikoliv od certifikované autority..)..A je vymalováno....
  • 28. 8. 2009 16:17

    Vidící to bledě (neregistrovaný)
    Byl by nějaký problém s podepsaným XPS-kem?

    Microsoft XPS dokument writer i reader je standardní součástí Windows Vista, a předpokládám že bude i součástí Windows-7. Tento formát se mi líbí více než PDF.
  • 27. 8. 2009 9:15

    MB (neregistrovaný)
    On je problém i opačný, kdy BFU bude mít nahrané "naše" certifikované autority (zařídí správce systému) a nebude umět odfiltrovat při kontrole podpisu ty ne "naše". Už jsem se setkal s obojím, kdy úředník odmítl podaní s "naším" e-podpisem a naopak potvrdil nesprávně dokument podpsaný od "cizí" certifikační autority.

    No jsem zvědavý, jak problém vyřeší další díly seriálu.
  • 27. 8. 2009 11:36

    podpis (neregistrovaný)
    Ale autor vytýká nízkou osvětu u občanů a firem, nikoliv u úřadů - pokud vím, tak úřady (resp. úředníci) dokumenty musí elektronicky podepisovat, pokud je chtějí občanům či firmám přes ISDS posílat, což se předpokládá, že budou umět, ale veřejnost nemá dostatečné znalosti pro správné ověření jeho platnosti. A na to právě autor podle mého názoru správně poukazuje.
    Bylo by podle mě vhodné, pokud je konsenzus na jediném formátu, tj. pdf, aby stejně jako v Itálii bylo ve spolupráci s Adobe vytvořeno prostředí, kdy budou moci být důvěryhodně ověřovány kvalifikované certifikáty relativně uživatelsky přívětivou formou (s ověřením samotného podpisu není podle mě problém, asymetrická kryptografie funguje pořád stejně, ale problém je v určení, který certifikát je kvalifikovaný - to si sice může každý zjistit, ale již to vyžaduje určitou znalost - a uživateli by to mělo být usnadněno, zvlášť, když nyní poprvé nejde o jeho výběr - datové schránky jsou některým subjektům zřizovány povinně). Myslím, že je zde jako obvykle problém s časem - vše se dělá strašně narychlo, aby to nějak bylo, ale nikdo neuvažuje, jak si na tom uživatelé můžou vylámat zuby - teď je sice jakoby čas do listopadu, ale tak rychle se to podle mě nedá všechno zařídit...
  • 27. 8. 2009 12:07

    radonx (neregistrovaný)
    Je nutno oddělit otázku právních úkonů, které OVM činí vůči OVM a třetím osobám (tj. otázku platnosti právního úkonu) a otázku "technické platnosti". U dokumentů zasílaných neOVM subjekty je právní fikce kval.el.podpisu na jakémkoli dokumentu poslaném přes DS, a tedy právní úkon je učiněn zasláním jakéhokoli přípustného formátu, ať už je podepsán či nikoli.
    Přejděme tedy k OVM. OVM může také zaslat jakýkoli přípustný formát, ale jeho důsledky se budou lišit podle toho, zda se má činit právní úkon OVM, či se jen zasílá nějaká informativní zpráva či dokument či jen nějaká příloha k dokumentu, která slouží jen jako podkladová informace. Má-li být dokument projevem právního úkonu OVM, musí být tak či onak opatřený příslušnými náležitostmi podle právních norem. Není-li tomu tak, jde sice o "platný dokument" (tj dokument s přípustným formátem, popř. obsahem), ale neplatný právní úkon. Podmínky platného právního úkonu OVM v současné době splní ty datové formáty, které umožňují dokument elektronickým podpisem podepsat, tedy např. PDF, DOC MS Word, ODT (který lze podepsat v OpenOffice i vícenásobně). Avšak vzhledem k tomu, že povinnost používat elektronické kvalifikované časové razítko OVM nemají, vzniká problém časové platnosti právního úkonu v souvislosti s vypšením platnosti kval.el. podpisu a s tím související právní otázky, např. nárok na náhradu škody. Právní platnost dokumentu z hlediska nezávisloti na času platnosti el. kval. podpisu lze nyní (nejpozději od doby, kdy OVM bude DS aktivována automaticky) technicky zajitit pouze autorizovanou konverzí, a to jedině v případě použití formátu PDF od v. 1.3 výše.
  • 27. 8. 2009 16:11

    PK (neregistrovaný)
    "Opět to sice není přímo požadováno v zákoně, který zavádí datové schránky do praxe (tj. v zákoně 300/2008 Sb.), ale vyplývá to z jiných právních předpisů." - mohl byste prosím pane Peterka přiblížit uvedené právní předpisy. Nějak se k tomu nemohu dohledat. Děkuji
  • 27. 8. 2009 11:59

    petr_p (neregistrovaný)

    Vybrat si jeden konkrétní program a na něm věci ukazovat je názorné zjednodušení, nicméně přesto a možná i proto je zde řada problémů, které tento konkrétní program neřeší:

    Odvolané certifikáty – Zákon požaduje kontrolu na odvolání, definuje periody v kterých musí účastníci obnovovat CRL. Jak vysvětlíte tomuto konkrétnímu programu, že má dvakrát denně obnovovat CRL? Co se stane, když se obnovení nepovede? Jak program pozná, že došlo k porušení politiky a že z hlediska zákona se podpis nepodařilo ověřit?

    Použití jednotného úložiště certifikátů – Jak bylo napsáno, posílání jen PDF je zbožné přání. Ze strany úřadu to může být milé, avšak nelze si to od něho vynutit. Nehledě na to, že nestačí jen PDF, ale je nutné dodržet i minimální verzi. (Mimochodem ohánět se zákonem o elektronické spisové službě a archivu je na nic, protože ten zná jen PDF/A, který digitální podpis nemůže obsahovat z definice.) Tudíž bude nutné, aby správně ověřovat podpis umělo více programů. Hlídat je všechny je nepraktické. Jednotné úložiště a jednotné politiky je nutnost. Umí to komentovaný program?

    S tím souvisí problém externích a interních podpisů. Systémově čisté řešení jsou externí podpisy. Jedna prověřená aplikace může zpracovat libovolný datový formát. Nevím, proč se tomu všichni brání.

    Rozlišení kvalifikovaných autorit od ostatních – v praxi se vedle kvalifikovaných používají i vnitřní nebo jiné nekvalifikované autority. Umí program je od sebe rozlišit nebo bude muset uživatel studovat otisky kořenových certifikátů ručně? Český zákon o elektronickém podpisu si vymyslel textový dovětek do certifikátů, přitom existuje oficiální OID, které má stejnou funkci a moderní programy mu rozumí.

    A nakonec si položme otázku, kdo a jak bude podepsané (a orazítkované) dokumenty vyrábět. A hlavně kolik ho vrtochy ministerských úředníků budou stát. Jsou třeba programy na konverzi do (Zajíčkova) jediného správného formátu (ano, různé textové procesory nebo scannery vyrábějí různé verze PDF). Programy na jeho interní podepisování. (Razítko zatím doplňuje ISDS, nicméně pak je nutné tahat s sebou obálku zprávy a razítkování přes hash přílohy v obálce pedantický právník rozcupuje.)

    Taky se můžeme podívat na konverzi z moci úřední. Vyhláška říká, že tak lze činit pouze prostřednictvím Czech POINTu. Musejí si úřady pořizovat pracoviště tohoto systému? Poslední novinky z vnitra věc vyjasňují – úřad bez pracoviště Czech POINTu si zažádá o účet do systému omezený za tímto účelem a pak pomocí CzechPOINT@Office bude provádět konverze. Co to je? Je to software? Kde se vezme? Kolik stojí? Jen pro Windows? Autentizace jen nezaručeným komerčním certifikátem od pošty? Znamená to, že úřad bude po 128kb/s ADSL lince nahrávat megabajty scanů někam do centrály, kde se převedou na jediný správný a podepsaný formát (PDF-1.7) a pak zase poputují zpátky?

  • 27. 8. 2009 16:39

    PK (neregistrovaný)
    OK tomu rozumím a souhlasím. Kde, ale dle vás došlo ke změně zákona z pohledu nutnosti a nyní (po 1.7.2009) nenutnosti použití časového razítka? § 11 zák. 227/2000 Sb. (asi jste myslel taky, ale máte ho popsán jako 227/2004 Sb.) v původním znění obsahuje pouze stroze:
    "V oblasti orgánů veřejné moci je možné používat pouze zaručené elektronické podpisy a kvalifikované certifikáty vydávané akreditovanými poskytovateli certifikačních služeb."
    Po novele přibyl další text, ale o časovém razítku opět ani zmínka.
  • 27. 8. 2009 22:31

    radonx (neregistrovaný)
    To

    "elektronický podpis je platný, dokud někdo neprokáže opak"

    je snaha přenést důkazní břemeno na osobu neplatným elektronickým podpisem dotčenou. Tato snaha je ale pouhým "salónním" výkřikem, protože nemá oporu v obecně závazných právních normách, naopak, ověření platnosti elektronického podpisu je v několika normách důležitá procesní součást rutinního postupu. Vím odkud vítr fouká, pánové při onom tvrzení použili analogii juris, tj. využili obecné zásady správního práva, jíž je presumpce správnosti správních rozhodnutí. Takovéto využití "vypůjčených" zásad však v případě elektronického podpisu kulhá na obě nohy právě proto, že se lze opřít už o více norem, kde je procesní nakládání s elektronickým podpisem popsáno.
  • 28. 8. 2009 16:49

    Johnnik (neregistrovaný)
    Dost mne pobavila věta, zejm. konec: Na jedné straně, když už ho někdo „zvládne“, je jeho použití příjemně jednoduché, rychlé a současně i mnohem bezpečnější než klasický podpis.

    Není bezpečnější, než klasický podpis. Elektronický podpis znamná pouze to (a nic jiného), že dokument byl poslán z PC opatřeného příslušným certifikátem. Zatímco ruku vám dost těžko může někod ukrást nebo s ní nakládat bez vašeho vědomí, s PC to lze dost často jednoduše - ať už v důsledku nezabezpečeného PC jako takového nebo, nezabezpečené kanceláře, cizích návštěv atd. atd. A opět nastává to klasické - PC zabezpečené tak, aby nebylo zneužitelné, je pro běžnou práci nepoužitelné
  • 29. 8. 2009 0:09

    radonx (neregistrovaný)
    Abych nebyl příliš OT, vybral jsem si jen argumentaci procesní úpravy ve vztahu el.podpisu. Jinak souhlasím s Vámi, díky za doplnění, i když to bude pro mnohé zde už "silnější káva".

    Pokud jde o kontext použití argumentu "elektronický podpis je platný, dokud někdo neprokáže opak", možná si pan Peterka vzpomene, ale já už jsem to také slyšel, nicméně jako nemístnému vtipu jsem tomu nevěnoval dále pozornot. Pokud to ale zaznělo na více místech, je to už na pováženou.
  • 29. 8. 2009 21:12

    anonymní

    Externí podpis je univerzální. Interní je specifický pro daný formát. Nejde o platnost podpisu, ta s tím nemá co dělat. Jde o ryze praktický problém.

    Chcete-li ověřit platnost externího podpisu, stačí na to jeden nástroj (bez ohledu, v jakém formátu jsou podepsaná data, protože jemu není potřeba rozmět).

    Chcete-li ověřit vnitřní podpis, musíte nejprve rozumět formátu dokumentu, pak musíte jeho podepsané části převést do kanonického tvaru (opět závislé na formátu) a teprve pak můžete ověřovat platnost podpisu. Vnitřní podpis podporuje nejen PDF, ale i ODF, obecně všechny formáty založené na XML (takže i MS-OOXML), všechny formáty používající strukturování MIME (e-mail, HTTP).

    A teď si vezměte, jak těžké je udělat správnou kryptografii (už třeba jen problémy, které jsem výše popsal, jako práce s CRL, rozlišení kvalifikovaných autorit od ostatních) a s interním podpisem byste musel tohle všechno strkat do každého prohlížeče konkrétního formátu. Jistěže na to existují knihovny, ale i jejich správné použití není jednoduché.

    Proto jsem hovořil o jedné prověřené aplikaci, která by implementovala všechny zákonné požadavky, ale sama by nemusela rozumět rozličným formátům. Prostě by ověřila externí podpis a pak zavolala konkrétní prohlížeč, ať ukáže uživateli dokument. Takový systém je snazší vytvořit, je méně náchylný na chyby, je modulární (nevytváří zbytečné závislosti, umožňuje výměnu jednotlivých částí) a je i levnější.

    Samozřejmě že „jednou“ aplikací nemyslím, že smí existovat jen jediná. Tím jsem myslel, že uživateli stačí jedna aplikace a může ověřovat podpisy všech dokumentů.

Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).