Hlavní navigace

Názory k článku eIDAS a elektronické podpisy: je vyřešen problém 24 hodin?

Článek je starý, nové názory již nelze přidávat.

  • 1. 8. 2016 9:54

    polikastrát (neregistrovaný) ---.anonymouse.org

    Nikoliv, celé to ukazuje, že mnozí politici to neuměj (zčásti, protože tomu nerozuměj, a zčásti, protože je jim to jedno) zplnohodnotnit, tak jak to dává smysl. A ukazuje to i vykastrovanej eIDAS. Místo, aby to vylepšil, zahrabal to znovu do hnoje.

    DS je paskvil, a jen si na tom někdo nahrabal (a nahrabuje). S mocností e-podpisu a jeho (bezpečnejch a principiálních) možností to má pramálo společnýho (protože to jenom "počesku" někdo zbastlil, a bezpečnostní nedostatky do toho lepili, a ještě blbě, až daleko poté, co to spustili, princip e-podpisu, a časovejch razítek, na hlavu postavujíce).

  • 1. 8. 2016 23:02

    Filip Jirsák

    Revokace certifikátu pro elektronický podpis slouží k tomu, že lze hned technicky zjistit, že podpis není platný. Pokud je elektronický podpis technicky platný, zachází se s ním víceméně stejně, jako s vlastnoručním podpisem - tedy můžete zpochybňovat jeho pravost, můžete zpochybňovat, zda jste se podepsal dobrovolně apod.

    Elektronický podpis má tu výhodu, že je mnohem spolehlivější, než vlastnoruční podpis, a ověřuje se mnohem snáz. Technické ověření dává jistotu téměř 100 % (z praktického hlediska je to 100 %), ty vámi popisované nejistoty tam vnáší ten právní svět okolo. Ale ta technika vám dává další možnosti, jak tu jistotu v právním světě zvyšovat - například smlouvu na velkou částku začnete plnit až týden po podpisu, abyste měl jistotu, že podepisující vzápětí po podpisu neodvolá certifikát.

    v průběhu 24 hodin (cert. autorita si dala načas)
    Nevím o tom, že by některá ze tří českých akreditovaných certifikačních autorit někdy měla problém s vydáváním CRL.

  • 2. 8. 2016 9:15

    Honza (neregistrovaný) ---.112.242.230.static.b2b.upcbusiness.cz

    Jestli jsem to správně pochopil, tak okamžik revokace podle eIDASu je okamžik zveřejnění, nikoliv datum revokace napsaná v CRL listu. OCSP neuvažuji.

    Technicky to tedy autority budou zajišťovat tak, že při vydávání nového mimořádného CRL seznamu S z důvodu přidávání nového revokovaného certifikátu, budou pro tento právě revokovaný zapistovat čas revokace jako čas vystavení CRL seznamu S.

    Je to tak? Jinak si totiž nedokážu představit, jak by se to technicky ověřovalo, pokud by datum revokace certifikátu uvedené v CRL seznamu nebylo rozhodující.

    Situace, kdy by se nemuselo čekat 24h, je tato: Pokud se ověřuje nezneplatnění certifikátu podpisu
    a podpis je opatřen časovým razítkem s časem T1
    a ověřující strana má k dispozici CRL seznam s časem vydání T2
    a T1 + rezerva < T2,
    tak lze prohlásit, že certifikát podpisu nebyl revokován. Rezerva by mohla být třeba 5 minut.

    Stejné pravidlo se musí aplikovat na certifikát časového razítka a mezilehlých (intermediate) autorit. Ale tady se crl seznamy nevydávají častěji než jednou za 12h - zejména to platí pro intermediate autority. Tudíž se stejně musí čekat 24h.

    Asi nám nezbývá nic jiného než OCSP, pokud chceme ověřovat v době do 24h od doby podpisu. Uvidíme, jak to bude s tou povinností zpřístupnit OCSP. I.CA svého času vyžadovala 5 Kč per požadavek.

  • 2. 8. 2016 10:22

    Lol Phirae (neregistrovaný) 2001:470:6f:----:----:----:----:----

    I.CA svého času vyžadovala 5 Kč per požadavek.

    ROFL.

  • 15. 8. 2016 13:21

    Martin Pištora

    Jak dlouho po exspiraci se ještě certifikát na CRL uvádí? Donekonečna jistě ne. Takže pokud chci ověřovat podpisy k starším okamžikům, potřebuji starší CRL. V archivu CA nelze hledat obecně automaticky, takže je lepší mít vlastní archiv ze všech verzí aktuálních CRL z jednoho URL. Co když ale nějaké propásnu? A které z těch archivních CRL je nejsprávnější použít?
    Co se děje s certifikátem revokovaným krátce před exspirací?
    A lze ho vůbec revokovat krátce po exspiraci (když vím, že byl zneužit ještě před exspirací)?
    Co když se CA bude chovat nekonzistentně? Např. v nějakém CRL uvede revokaci nějakého certifikátu a v dalších už ne?

  • 15. 8. 2016 13:52

    Martin Pištora

    Ano, nejde jen o hodiny po revokaci, ale i před revokací. Zejména v situaci, kdy držitel klíče/certifikátu ví, že byl zneužit.
    Technicky by to šlo vyřešit tak, že držitel by měl možnost revokovat certifikát k libovolnému okamžiku jeho platnosti a to i po skončení jeho platnosti. Mělo by to ale nevýhody:
    Ověření platnosti by nikdy nebylo finální - každé pozdější ověření, by mohlo přinést zjištění, že podpis není platný.
    Ztratila by se "nepopiratelnost" - zneplatněním by se zneplatnily i všechny podpisy, které provedl držitel.

  • 30. 8. 2016 10:50

    Honza (neregistrovaný) 94.112.242.---

    Poslední CRL, ve kterém expirovaný certifikát je uveden, je první následující pravidelně vydávaný. Některé autority nemažou expirované vůbec z CRL, ale na to se nedá spolehnout. Ono to zase vede k tomu, že tuším CRL od estonské autority má 14 MB.

    Bohužel ani u OCSP si nepomůžete. Tam je zase cut date, spodní hranice, od kdy se OCSP služba nevyjadřuje.

  • 1. 8. 2016 8:51

    A.S. Pergill (neregistrovaný) ---.med.muni.cz

    nekvalitu a neplnohodnotnost el. podpisu, který se v podstatě k ničemu praktickému nehodí a musí být lidem násilně vnucován. Kdyby představoval větší kvalitu než podpis reálný, tak by na něj lidé přecházeli sami (kdyby nebylo např. povinných datových schránek, byl by el. podpis pořád jen záležitostí pro pár stovek psychopatických ajťáků).

  • 1. 8. 2016 7:41

    karel (neregistrovaný) ---.net.upcbroadband.cz

    Otočit oněch "24 hodin" obráceně (uživatel <=> CRL) je podle mě hodně velká hloupost... Jack Bauer by jim srovnal pérka!

  • 1. 8. 2016 22:19

    Honza (neregistrovaný) 77.240.103.---

    El. podpis nepoužívám, takže mi možná uniká něco zcela zjevného.

    Předpokládám, že podpisy od okamžiku ukradení dále jsou v našem právním řádku také neplatné (stejně jako když někdo ukradne mojí občanku [a já to ještě nenahlásím] a zfalšuje můj podpis pod půjčku) a typicky se bude muset prožít velmi nepříjemné chvilky se soudním systémem ke zrušení, zainteresovat policie atd.

    V pondělí mi ukradnou podpis, použijí ho k převodu majetku. Nic nevím, nic není revokováno. Peníze jsou převedeny a já třeba dostanu mailem avízo. Sakryš, ukradli mi podpis. Požádám cert. autoritu o podpis. Certifikační autorita má zrovna špatný den, jedno dat. centrum je zrovna pod vodou a na druhé spadl meteorit. Nezvládne vydat hned včas revokační seznam. Teď zloděj zkusí vybílit druhý účet a povede se mu to, protože nebyl vydán revokační seznam.

    Může se to stát? Ano, může. Stejně jako že slečna na lince blokování karet se překlikne a zablokuje špatnou kartu a zloděj bude vesele platit dál.

    Mám pocit, že se autor snaží odstranit veškerou možnost chyb a zneužitelnost technickými prostředky. Je to nějak binární, teď je to platné a teď už přesně ne. Z mého pohledu jsou kradené a neplatné oba, jen v jednom případě to někdo zvrtá a nestihne to revokovat (jako překlep slečny na lince blokování karet). V okamžiku krádeže je prakticky nevyhnutelný styk se soudním systémem a zrovna tenhle problém nebude ten hlavní (předložit důkaz o žádosti o revokaci a zrušit cokoli se s tím podpisem udělalo).

    Nějaká míra chybovosti vždy bude. Co když mi hned potom, co revokuji původní el. podpis ukradnou nový podpis a hned ho použijí? Co když má SW ověřující platnost chyby? Co když atd.

    Zeptám se takhle: el. podpisy zde máme již nějakou dobu, už se alespoň jednou stalo, že někdo uzavřel smlouvu kradeným el. podpisem po revokaci v průběhu 24 hodin (cert. autorita si dala načas) a u soudu to nebylo zrušeno?