Nezajistuji zhola nic.
1) token sam o sobe vam muze byt ukraden (nebo si jej nekdo jen na nejaky okamzik pujci), zjistit vase heslo je pri trose snahy primitivne trivialni (a nemusite si jej psat na papirek). Mimochodem, po mych duchodcich chteli pri vyzvedavani noveho OP aby si zvolili nejaky pin ... vetsi nesmysl uz nikdo vymyslet nemohl, minutu po odchodu z uradu uz si jej samozrejme nepamatovali.
2) kdyz neco podepisujete, musite jej nejak pouzit, a v ten okamzik vam muze kdokoli k podpisu podvrhnout cokoli. Sanci to zjistit mate jen velice omezenou a to i v pripade, ze tomu rozumite.
3) nikoli, neni to jeho problem, je to problem vadneho pristupu. A to je ze vsech potizi asi naprosto nejzasadnejsi - u podpisu na papir si (alespon cast) svepravnych uvedomuje dusledky a pripadna rizika. U e-podpisu drtiva vetsina osob vubec netusi jak to funguje ani jaka rizika hrozi.
Protoze pokud podepisuji papir, vidim text, vidim podpis, vim co podepisuji. Pokud podepisuji elektronicky, nezbyva mi nez verit, ze skutecne podepisuji to, co mi nejaka aplikace tvrdi ze podepisuji.
A pochopitelne zadna tzv "certifikace" nijak nezajistuje bezpecnost. Staci se rozhlednout kolem.
Ostatne, kolik lidi pouziva tzv mobilni ebanking, coz banky vesele podporuji, presto, ze tim naprosto pada jakakoli bezpecnost zajistovana sekundarnim kanalem?
Certifikované externí tokeny to zajišťují. Pokud věříte certifikaci (a tomu, že privární klíč z nich nelze získat, a heslo je - povinně - složité).
Pokud si to heslo pak někdo napíše na papírek, je to z hlediska neodmítnutelnosti (v případě podezření je možné certifikát ihned revokovat) pak už jenom jeho problém.
A kdo tomu nerozumí, a nechce rozumět ani tomu viz výše (hlídat si privátní klíč), ať e-podpis nepoužívá.
Ale samozřejmě vynucovat toto použití, např. ohledně leckteré povinnosti DS, je státní chucpe!
Už pár let se tu také rozmáhá nešvar podpisů stylusem na "e-padu", typicky u plynáren, elektráren, ale např. i DPD ap. Načmáráte podpis na nějaký druh tabletu a co se s ním dál děje, je ve hvězdách.
Nechápu, jak by mohla protistrana později prokázat platnost takového podpisu? Maximálně úsměvným tvrzením: "Náš systém žádnou manipulaci nepřipouští."
Asi jako podepsat prázdný papír, který by si pak protistrana sešívačkou přicvakla k podepisovanému dokumentu...
Moc nechápu, jak je to s praktickou účinností (platností) toho nařízení. Nařízení už platí, ale český zákon ještě není.
Konkrétně: pokud někdo dnes podepíše dokument způsobem platným v jiné zemi EU (řekněme estonskou e-občankou, slovenskou občankou, apod.), tak už to musí v ČR úřady brát jako správně podepsané?
To uznávání již dnes v ČR (dejme tomu estonské e-občanky) plyne z toho zákona 227/2000?
Čili to ČR dělá v předstihu? Neboť dle http://europa.eu/rapid/press-release_MEMO-14-586_en.htm to bude povinné až od 2018, aspoň tak tomu rozumím
Když někdo nevěří (a nebude věřit) ničemu (v souvislosti s IT), a bude neschopen si zajistit koncové zařízení, tak to v blízkém budoucnu jistí třeba jeskyně...
"zjistit vase heslo je pri trose snahy primitivne trivialni"
- S klávesnicí na tokenu? Ještě tu o Sněhurce, prosím...
Jistěže je to možné, ale primitivní určitě ne (teda, při troše snahy, že, ale ze strany uživatele).
kdyz neco podepisujete, musite jej nejak pouzit, a v ten okamzik vam muze kdokoli k podpisu podvrhnout cokoli.
- Viz výše koncová stanice. Je to ten samej blábol, jakože šifrování je k ničemu, protože zjistit heslo je pro malware primitivní.
Samozřejmě, backdoory mohou být i přímo v OS, ale pak asi skutečně jen ta jeskyně (i v uzavřených OS hledá backdoory spousta lidí, natož v otevřených, takže se na to jednou případně stejně kdyžtak přijde).
u podpisu na papir si (alespon cast) svepravnych uvedomuje dusledky a pripadna rizika
- Je 21. století, a hliněné destičky a pazourky tu skutečně nebudou až do konce století jenom pro to, že leckterej lid je línej se naučit cokoliv novýho...
Jedinej souhlas - mobil banking. Ten má (bezpečnostních) problémů (sám o sobě, ten aktuální už z principu) víc než dost...
Ono se není čemu divit, když takovej, a zvlášť na milionech zařízeních neaktualizovanej Android, je sám o sobě backdoor jako poleno...
ad "Co elektronické podpisy umí...":
Overeny podpis je (fakticky) vzdy vyrazne nejde jinde, nez jakykoli elektronicky podpis. Z prosteho duvodu. Samotneho aktu podpisu se ucastni minimalne dve osoby.
Je uplne jedno jakym typem elektronickeho podpisu je co podepsano, nikdy nikdo neni schopen zjistit, kdo to tim podpisem podepsal.
Proto je naprosto vporadku k libovolnemu e-podpisu pristupovat stejne, jako k libovolne "muri nozce" na papire. Naopak, pristup k e-podpisu jako nezpochybnitelnemu nastroji je naprosto vadny, protoze ani nekdo, kdo tem vecem rozumi, neni schopen zajistit, ze mu nekdo ten privatni klic neukradne.
On mr Jirsak, jak je u nej bezne, vubec nechape, o cem mluvi.
Existuje totiz overeny podpis, a uznany podpis. Nuance, ale v nekterych pripadech uznany podpis nestaci. A na tom papirku, ktery vam tam nalepi je to napsano.
Pokud pak je pozadavkem onoho ukonu kuprikladu notarsky overeny podpis, tak to pred tim notarem (a pripadne svedkem) musite vlastnorucne podepsat. S jiz podepsanym dokumentem vas notar vyhodi.
Duvodem je pak predevsim to, ze pokud by doslo k pripadnemu sporu, a doslo na zkoumani pravosti podpisu, mohlo by se ukazat, ze podpis na tom dokumentu vubec nepatri vam. Coz by pochopitelne vedlo ke zpochybneni ukonu.
To pak můžeme zrušit třeba platební karty. Tu musíte mít taky výhradně pod vlastní kontrolou a musíte zamezit jejímu zneužití. Takže pokud si někdo zřídí e-podpis a nedokáže si ho ochránit přes zneužitím, tak je to stejné jako krádež karty. Je to chyba vlastníka. Není důvod proč z tohoto důvodu zpochybňovat existenci elektronického podpisu (myšleno uznávaného kvalifikovaného podpisu)
Nikoli, existuje úředně ověřený podpis, který může vzniknout dvěma způsoby – buď se žadatel před ověřující osobou vlastnoručně podepíše, nebo podpis uzná za vlastní. V některých případech může být požadována pouze ta varianta, že se dotyčný před ověřující osobou vlastnoručně podepsal, nicméně obecný termín „ověřený podpis“ nebo „úředně ověřený podpis“ zahrnuje i uznaný podpis.
Zákon č. 21/2006 Sb.
Zákon o ověřování shody opisu nebo kopie s listinou a o ověřování pravosti podpisu a o změně některých zákonů (zákon o ověřování)
Legalizace
§ 10
(1) Legalizací se ověřuje, že žadatel listinu před ověřující osobou vlastnoručně podepsal nebo podpis na listině uznal za vlastní.
Pokud dnes někdo podepíše dokument způsobem podle nařízení, musí se to brát jako správně podepsané. Různé státy mohou navíc definovat své vlastní způsoby podepisování, které ale jiné státy neuznávají (např. náš podpis s privátním klíčem uloženým v souboru na disku nebo podání přes datovou schránku).
Jinak kvalifikované certifikáty z jiných států EU u nás byly uznávány už podle předchozího zákona.
Ano, uznávání zahraničních certifikátů plyne ze zákona 227/2000, konkrétně z § 16. Ale myslím, že je to už v té směrnice EP, kterou zákon implementuje, a že obdobná ustanovení měly ve svých zákonech i ostatní státy EU.
§ 16
Uznávání zahraničních kvalifikovaných certifikátů
(1) Certifikát, který je vydán poskytovatelem certifikačních služeb usazeným v některém z členských států Evropské unie, jiném smluvním státu Dohody o Evropském hospodářském prostoru nebo Švýcarské konfederaci jako kvalifikovaný, je kvalifikovaným certifikátem ve smyslu tohoto zákona.
(2) Certifikát, který je vydán jako kvalifikovaný ve smyslu tohoto zákona v jiném státu, než který je uveden v odstavci 1, je kvalifikovaným certifikátem ve smyslu tohoto zákona, pokud
a) poskytovatel certifikačních služeb splňuje podmínky práva Evropských společenství1) a byl akreditován k působení jako akreditovaný poskytovatel certifikačních služeb v některém z členských států Evropské unie, jiném smluvním státu Dohody o Evropském hospodářském prostoru nebo Švýcarské konfederaci,
b) poskytovatel certifikačních služeb usazený v některém z členských států Evropské unie, jiném smluvním státu Dohody o Evropském hospodářském prostoru nebo Švýcarské konfederaci, který splňuje podmínky práva Evropských společenství,1) převezme odpovědnost za platnost a správnost certifikátu ve stejném rozsahu jako u svých kvalifikovaných certifikátů, nebo
c) to vyplývá z mezinárodní smlouvy.
Seznamy všech autorit EU vydávajících kvalifikované certifikáty najdete zde: https://ec.europa.eu/digital-single-market/eu-trusted-lists-certification-service-providers