Vlákno názorů k článku Datové schránky: pracujeme s epodpisy, II. od MB - ou nou ta hypothetická organisace si sama nevěří...
-
Pro tento účel se podpisový klíč opravdu nehodí, ovšem tato hypothetická organisace si nemusí žádný certifikát kupovat, stačí, když si vygeneruje klíčový pár třeba pomocí openssl (může si vytvořit – zdarma – i vlastní certifikační autoritu).Ale váš argument je s mými námitkami stejně mimoběžný, řešíme, zda lze kvalifikovaný certifikát využívat pro ty dva účely, u nichž pan Peterka napsal, že vyžadují certifikát komerční.
-
MB (neregistrovaný)Čistě prakticky jsou klíče pro podepisování a klíče pro šifrování v jiném režimu. Klíč pro podepisování musí být výhradně pod kontrolou osoby, které byla vydán a spojuje se jen s její osobou (přes certifikát) jako podepisující a to i když podepisuje pro organizaci, ve které je třeba zaměstnána. Po odchodu z organizace se zneplatní, zničí a basta. Můžu totéž říci, pokud osoba spojená s klíčem přes certifikát pro organizaci šifrovala důležité dokumenty? Čili po odchodu certifikát zneplatnit a klíč fyzicky zničit?
-
blabulabul (neregistrovaný)A nejlepší ze všeho je naivita úředníků vydávající pravidla ve smyslu "... osoba, která se autentizuje, podepisuje srozumitelný text, např. „Tímto se přihlašuji k systému….“...", když netuší, že někde pod tím se vytvoří nesrozumitelný hash, který se teprve následně zašifruje soukromým klíčem. Takže neexistuje technický prostředek, který by odpovídal normám. :)
Stejně tak je úžasné zdůvodnění nutnosti šifrovat a podepisovat jiným klíčem ("... v odůvodněných případech, případně i ze zákonných důvodů, nezbytné získat soukromý klíč, který byl používán pro šifrování...") - pokud mám klíč na čipové kartě, neexistuje technický prostředek, jak získat soukromý klíč. -
Děkuji. To stanovisko MV je poněkud zmatené, nicméně pokud mu rozumím správně, má existovat právní povinnost (smluvní závazek) držitele kvalifikovaného certifikátu používat příslušný klíčový pár pouze k podepisování. Ve VOP České pošty jsem ale nic takového nenalezl (možná jsem jen špatně hledal), a faktem je, že jak jsem popsal, technická omezení neexistují: kvalifikovaným certifikátem se přihlašuji do datové schránky a používám ho i k šifrování, dlouho a bez nejmenších problémů. Upřímně řečeno, důvod pro takový zákaz nedokážu dovodit ani z bezpečnostních ohledů: pokud nejde o takovou aplikaci, při které by byl vyzrazován soukromý klíč, risiko kompromitace nevzniká (a žádnou tak šílenou aplikaci ani neznám).
-
Jiří PeterkaPodporovateldobrý den, s možností přihlašování k datové schránce mám vlastní praktickou zkušenost, kterou jsem popisoval v samostatném článku (zde). Jinak doporučuji též stanovisko MV ČR k používání kvalifikovaných a komerčních certifkátů. -
zatímco pro přihlašování k datové schránce je nutný certifikát komerční.
To není pravda, přihlašuji se do datové schránky kvalifikovaným certifikátem. Jak jsem vyrozuměl, prodávat pro datové schránky (za nemalé částky) komerční certifikáty je pouhý marketingový trik České pošty: proč zákazníkům-tupcům nabízet levný a universální kvalifikovaný certifikát, když jim mohu prodat několikanásobně dráž jednoúčelový komerční.
