Hmmm... Tohle je přesně přístup, který od IT (elektronizace) odradí většinu populace. Šance, že si zapamatuji 6 kódů je nulová, tudíž by byly stejné, tudíž bezpečnost a účel zcela k ničemu.
Obávám se, že se bez podobné vymoženosti obejdu... Minimálně 10 let, než budu potřebovat občanku novou.
"je snad natolik svéprávný, aby měl tenhle PUK někde bezpečně uložený."
Bylo by fajn si uvědomit že to má obsluhovat obyčejné BFU. A když mu někdo řekne že do banky se dostane jen přes certifikát který má mít nahraný v OP. Tak to prostě provede...
Tohle je vymyšlené očividně pro lidi co aspoň něco ví o certifikátech. Problém je že to není běžná znalost která se ani neučí na ZŠ....
"Pokud byste ho mohl vyexportovan ven a udělat si jeho zálohu, hrozí, že ho stejným způsobem získá i útočník"
Stejně jako útočník uhádne díky sociálnímu inženýrství BOK PIN qPIN atd... jen protože si tam lidi boudou cpát data narození které jsou na tom průkazu.... Nebo si snad myslíte že když na Vás na úřadě bafne baba zadejte jsem tohle číslo a teď tohle že nad tím bude chtít BFU přemýšlet?
Jelikož nemám čas reagovat na všechno tak jen vypíchnu
"Proto se také všude uvádí, že to máte mít rozmyšlené předem."
WTF jako fakt mi úřad napíše přijďte si vyměnit OP a připravte si sadu minimálně třech číselných kódů. Vážně si myslíte že babka které je 75 bude vědět co po ní chtěj? Nikde mi to neříkají!! Ví to jen lidé co se o to zajímají...
V čipu OP je možné klíčové páry generovat. Lze také klíče (s certifikátem) do čipu importovat.
Generování klíčových párů se používá pro kvalifikované certifikáty.
Privátní klíč nelze z čipu vyčíst, exportovat ani zálohovat. (Bezpečnostní vlastnost, nezbytná pro klíče kvalifikovaných certifikátů.)
Je zde "drobný" rozdíl. Když zapomenu / ztratím PUK k SIM kartě, tak si dojdu k operátorovi a on mi ho prozradí. Pro DOK předpokládám žádnám podobná služba státu nebude (proč by se měl stát starat o blaho občanů, že), takže po zablokování nezbývá než vyměnit OP (a kdo ví, jestli se pak se zablokovaným OP budu moci prokázat při žádosti o OP nový).
To se ale týká PUK pro odblokování PINů pro používání certifikátů. Pokud někdo používá občanku pro uložení certifikátů, je snad natolik svéprávný, aby měl tenhle PUK někde bezpečně uložený. Když si koupíte nějakou čipovou kartu, bude to úplně stejné – jak byste to chtěl řešit jinak? Přidat další PUK2 na odblokování PUK1? Pak by vám zase vadilo, že máte další PIN k zapamatování.
Když to zablokujete, můžete si zaplatit výměnu OP, a nebo si můžete koupit jinou čipovou kartu.
Zálohu privátního klíče byste mít neměl, protože pak nejde o kvalifikovaný prostředek pro vytváření elektornických podpisů. To mi z článku není moc jasné, protože pokud tam privátní klíče nahráváte (a můžete je mít tudíž i jinde a zálohované), a generování privátního klíče na čipu naopak podporované není, nemůže vám na to CA dát certifikát s příznakem, že jím vytvořený podpis je vytvořený kvalifikovanými prostředky.
Ale jinak to, že při zničení karty přijdete o certifikát, je princip všech čipových karet, kde se privátní klíč vytváří na kartě – a je to chtěná vlastnost, protože privátní klíč je chráněný tím, že je uložený v tom čipu, odkud nejde snadno získat. Pokud byste ho mohl vyexportovan ven a udělat si jeho zálohu, hrozí, že ho stejným způsobem získá i útočník.
Myslím, že pro útočníkam pak bude zajímavější použít ten uhádnutý PIN jako PIN k platební kartě.
PIN u eOP může posloužit k uzavření úvěru nebo vypůjčení třeba auta aniž by člověk měl dostupné prostředky, naopak výběr z karty je omezen pouze dostupnýmí prostředky, což může být jen pár tisíc.
Ale nemyslím si, že by většina lidí měla jako PIN k platební kartě své datum narození.
PIN k platební kartě lidé dostávají na lístku vygenerované, drtivá většina ho nemění (informace z bank). Tady si ho musí volit, tak použijí to nejjednodušší číslo, které mají k dispozici.
To že byl klíč generovaný na čipu musí podle příslušných standardů umět "říct" QSCD prostředek sám a CA si to může ověřit na dálku. Tohle platí i pro českou eOP. Uvidíme jestli a kdy to budou umět autority využít - ve spojení s funkcí elektronické identifikace tak lze vydat i kvalifikovaný certifikát na dálku. Včetně označení, že leží na QSCD.
Jinak článek docela hezky napsaný, Tedy až na tu velmi zavádějící informaci, ze které se vyvozuje, že nelze klíče na čipu generovat.
Každý lidský vynález se dá zneužít proti lidem. A tohle bude zneužitelné tak moc, že si to většina z nás ani nedovede představit. Protože pokud stát zjistí, že má k dispozici nástroj pro dokonalou kontrolu občanů, (už dnes je šmírovacích systémů tolik a tak sofistikovaných, že StB by mohla jen žhavě závidět), bude jen otázka času, než tyto možnosti vy,- nebo spíš zneužije. Čipová karta znamená, že pokud budeme chtít vědět, kde občan je a co tam dělá, stačí ho donutit k tomu, aby ji zasunul do nějaké vhodně nakonfigurované díry. Už dnes jsou nová auta povinně vybavovaná GSM modulem, který, (prý), při aktivaci airbagu zavolá na 112. Co všechno ten modul umí, nebo časem bude umět, navíc, nikdo neví a těžko někdy někdo zjistí. Takže pokud jde o mne: Svého soukromí si cením natolik, že tuhle hru hrát odmítám a takováto zařízení hodlám nemilosrdně likvidovat.
V čipu OP je možné klíčové páry generovat.
V článku je právě napsáno, že to zatím nelze.
Lze také klíče (s certifikátem) do čipu importovat.
Ten klíč má tedy nějaký příznak, zda byl vygenerován v čipu? Protože jinak by CA nedokázala rozhodnout, zda má vydat jen kvalifikovnaý certifikát, nebo kvalifikovaný certifikát s privátním klíčem uloženým v kvalifikovnaém zařízení.
„CA si to může ověřit na dálku“ je myslím nepřesná fomulace (zní to, jako by CA v okamžiku ověřování přes internet komunikovala s tím QSCD). CA tuhle informaci musí dostat už spolu s žádostí – přepdokládám, že je to nepovinný atribut žádosti o certifikát, ve kterém bude veřejný klíč (ke kterému se žádá o certifikát) podepsaný nějakým privátním klíčem samotného QSCD, u kterého pak lze asi přes certifikáty výrobce ověřit, že je to skutečně QSCD.
To už si ale CA mohou udělat jak jim to vyhovuje.
Aha, myslel jsem, že je na to standard, který říká, jak přesně to má být v žádosti uvedeno. Do teď bylo víceméně možné žádost o certifikát vygenerovat nezávisle na CA, třeba pomocí OpenSSL. Pokud si předání „důkazu použití QSCD“ bude každá CA řešit jinak, bude to komplikace pro používání univerzálních nástrojů.
Když vy pořád vycházíte z předpokladu, že toto opatření má nějak pomáhat občanům. Jenže toto opatření má jen zlegalizovat další šmírování občanů, že to někde pomůže je jen a jen záminka k jeho zavedení. Ano, ve svých výhradách máte pravdu, ale když si uvědomíte, že primárním cílem není zajistit rychlou pomoc při havarii, tak pochopíte, proč to je navrženo takto nesmyslně.
A co se týče zátěže pro mobilní operátory - pokud řidič při jízdě poslouchá streamovanou hudbu, a síť to utáhne, tak těch pár bytů navíc je opravdu zanedbatelných. A navíc to operátoři zadarmo dělat nebudou.
Vypadá to tak, že pro transport důkazu o původu klíče bude muset být žádost o certifikát specificky zakódována (typicky do specifického atributu ASN.1 struktury žádosti).
Certifikační autority asi dodají specifické aplikace pro vygenerování žádosti.
I.CA už takový nástroj uvádí na https://www.ica.cz/Ziskat-kvalifikovany-certifikat-na-eop
I když ani inzerovaný nástroj neumí do žádosti zakódovat důkaz původu klíče - tím pádem nebude vydán certifikát pro kvalifikovaný podpis, ale "jen" pro zaručený podpis.
Použití univerzálních nástrojů pro generování žádosti tím skutečně bude upozaděno. (Ale možná některá z CA zvolí nějaký jiný způsob registračního procesu.)
"Už několik let se při výměně OP volí ten BOK"
Mr Jirsak a 100% lidi tam neco (naproco cokoli) namacka, v nejkratdsi mozne variante (tzn 4 cisla), a obratem to pusti z hlavy. Urednice se hodne divila, kdyz jsem zadaval 10, coz je maximalni delka, ale vzhledem k tomu ze de jen o cisla, tak je bezpecnost stejne nulova.
Nadto stejne nikdo nema kontrolu nad tim, jak se s tim hausnumerem dal pracuje, klidne muze byt ulozeno jako prosty text.
Predevsim aby to auto nekam zavolati mohlo, musi v nem byt telefon a ten telefon je v provozu, je tudiz videt v siti a lze urcovat jeho polohu. Zaroven musi byt vuz vybaven GPS, aby v pripade nouze tu polohu odeslal "presnou" a ta GPS musi byt pochopitelne take neustale v provozu, jinak by trval dlouho fix. Zcela urcite pak lze onen telefon na dalku donutit k tomu aby poslal ty GPS souradnice kdykoli. Prvni s cim stat prijde bude samozrejme zcela dobrovolna moznost za nejakou tu "slevu" na dani/mytu/... a do par let budou vsechna auta posilat polohu povinne a neustale.
Zminene automaticke pokutovani bude nasledovat. A v ramci vylepseni se to rovnou bude strhavat majiteli/provozovateli z uctu, protoze o nic jineho nez vyber penez stejne nejde. At si on sam pak resi kdo za prestupek vlastne muze.
fd:
GSM modul volá 112, takže k tomu SIM kartu nepotřebuje. A doplnit k jednoduchému pseudomobilu GSM štěnici, (ty už jsou dnes také běžné a policajti je mají k dispozici), bude to nejmenší. Takže největší problém bude, zajistit napájení toho sajrajtu i v případě, že při havárii dojde ke zkratu, nebo odpojení akumulátoru.
Auto údaje o svém poloze vysílá trvale.
Na to jste přišel jak? A vědí o tom mobilní operátoři? Protože budou muset výrazně posílit mobilní sítě, aby ty přenosy zvládly. A také jistě budou požadovat nějkaé platby za ty přenosy – protože něco jiného je současné občasné volání na tísňovou linku, případně vylepšené o zaslání SMS, a něco úplně jiného by byl kontinuální přenos polohy.
Oficiálně to je proto, aby bylo možné auto lokalizovat i při havarii v tunelu (kde GPS signál není).
Pro lokalizaci auta v tunelu úplně stačí vědět, ke které BTS je zařízení přihlášené. Navíc i kdybyste chtěl odesílat z tunelu GPS souřadnice, poslední známou polohu si může pamatovat systém v autě, nemusí být v žádné centrále.
Zkrátka to vypadá, že si jen vymýšlíte, protože to, co jste napsal, nedává žádný smysl.
Nevím, co máš za křáp, ale to počítáš nějaké jiné GPS nebo přenosy za co?
A-GPS - nepoužívám, když nejsem na wifi (stejně v mobilu musím megovou aplikaci jen na to , aby dokázala udělat z wifi spojení virtuální APN připojení, protože nějaký chorý mozek z nokia vymyslel, že GPS musí být paketový připojení)
-mapy online nepoužívám
samotné gps přijimá data z družic
Při vydávání následného certifikátu se obvykle vše děje elektronicky na dálku, jenom podepíšete původním certifikátem novou žádost. Já jsem při vydávání následného certifikátu nikam nechodil, a to mám RA v baráku. Navíc u RA jde jenom o ověření osoby, nikdo není zvědavý na to, že tam teprve začnete generovat klíčový pár a vyplňovat žádost – zvlášť když na to RA ani nemusí být vybavená.
Mr jirsak, ze vy o tom zase nic nevite? Vite kolik dat spotrebuje GPS v aute za mesic? Cca 10MB. Tudiz by ty +-2 miliony vozu v CR generovaly neco kolem 20TB dat mesicne, naprosto k smichu. Realne by to bylo mene, nebot muj udaj vychazi ze spotreby firemnich vozu, ktere najezdi o rad vice, nez bezny soukromy automobil.
To bude daleko vetsi problem samotny fakt navyseni mnoztvi aktivnich pristroju v siti.
Vite kolik dat spotrebuje GPS v aute za mesic? Cca 10MB.
Ano. Třeba u spedičních služeb, které posílají souřadnice jednou za čas. Ne u pohádkového systému, který by odesílal polohu několikrát za minutu, aby dokázal detekovat nehodu v tunelu i bez signálu.
neco kolem 20TB dat mesicne, naprosto k smichu
Vám dá nějaký operátor 20 TB dat měsíčně zdarma?
To bude daleko vetsi problem samotny fakt navyseni mnoztvi aktivnich pristroju v siti.
Ne „bude“, ale „byl by“, kdyby se realizoval ten nesmyslný systém, který si někteří vymysleli. eCall je ve skutečnosti založený na normálním tísňovém volání, vedle kterého se ještě pošlou data o aktuální poloze. Žádné další přístroje v síti tedy běžně aktivní nebudou, eCall se přihlásí do sítě jenom v okamžiku uskutečnění toho tísňového volání. Úplně stejně, jako kdybyste měl mobil bez SIM karty a v případě nehody zavolal z něj. Dokud vám ten mobil bez SIMky leží někde zapnutý, do sítě nijak přihlášený není.
Když jste pracoval v týmu, tak asi budete vědět, co ten tým implementoval – jestli část v autě nebo část v dispečinku IZS.
Pokud v tunelu není GSM signál, je z hlediska bezpečnosti provozu v tunelu nejlevnější tam ten signál zavést. Sledovat délku výpadku komunikace by teoreticky jistě bylo možné, ale pak už by v tom tunelu mohla být nějaká hlídka trvale, a vyšlo by to nastejno (stejně by tam jinak byla hlídka trvale kvůli falešným poplachům). Nezpomínejte ale na to, že vy si můžete navymýšlet jaké hlouposti chcete, ale praktická realizace je něco jiného.
V mobilní síti nejde jen o samotná zasílaná data – mobil, který chce tou sítí něco přenášet, musí být do sítě také zaregistrován. A těch pár bajtů na minutu na auto – v ČR je registrováno přes 5 milionů osobních aut. Představte si, že vy v jednom okamžiku bylo v ČR v pohybu jenom milion aut a každé auto by poslalo 10 bajtů jenom jendou za minutu. To bude od mobilních operátorů na dispečink čistý datový tok 1,3 Gbit/s. Myslíte, že by to operátoři provozovali jen tak z lásky k automobilům?
A když mu někdo řekne že do banky se dostane jen přes certifikát který má mít nahraný v OP. Tak to prostě provede...
To je ovšem věcí banky a s eOP to nijak nesouvisí. A banka by si tím dost zkomplikovala život. Navíc banka stejně nemá jak ověřit, že ten autentizační certifikát je zrovna nahraný v eOP nebo někde jinde.
Tohle je vymyšlené očividně pro lidi co aspoň něco ví o certifikátech.
Ne, o certifikátech nemusí vědět vůbec nic. Musí vědět, že když mají nějaký PIN, PUK a další kódy, mají si je někam bezpečně uložit. To zvládají u platebních karet, u SIM karet, u alarmů…
jen protože si tam lidi boudou cpát data narození které jsou na tom průkazu
Myslím, že pro útočníkam pak bude zajímavější použít ten uhádnutý PIN jako PIN k platební kartě. Ale nemyslím si, že by většina lidí měla jako PIN k platební kartě své datum narození.
Nebo si snad myslíte že když na Vás na úřadě bafne baba zadejte jsem tohle číslo a teď tohle že nad tím bude chtít BFU přemýšlet?
Proto se také všude uvádí, že to máte mít rozmyšlené předem. Navíc jediný pevně daný je asi BOK, protože ten musí být myslím uveden i v centrálním registru. Ale zase se dá změnit návštěvou úřadu. Ostatní PINy a PUKy přepdokládám půjdou změnit v aplikaci pro správu eOP. A ty PINy a PUK pro podpisový a autentizační certifikát zadáváte (vytváříte) až když chcete certifikáty použít, takže při přebírání občanky si občan ve skutečnosti musí povinně zvolit jen BOK (a to už platí několik let), a když bude chtít používat i elektronickou identifikaci, pak také IOK a DOK. To není o nic složitější, než když si zakládáte účet v bance.
také cituji ze článku <i>"Pokud byste ho zadali nesprávně celkem 5×, máte smůlu – dojde i k jeho zablokování a žádné odblokování PUKu už není možné. Nicméně eOP jako taková (i se svými identifikačními funkcemi) bude i nadále použitelná."</i>
Takže ano budu mít nějaký kus plastu podle kterého mne ztotožní VB. Ale už tím nemůžu podepisovat... A musím počkat na výměnu OP? A když nemám zálohu certifikátů tak o ně přijdu?
novou budu potřebovat až v r. 2024. A hned, jak ji vyfasuji, zapnu laboratorní zdroj, spojím oba díly do serie, takže z něj půjde 60 V DC, proudové omezení nastavím na maximum, čili 1 A a pečlivě oťukám všechny piny na čipu systémem každý proti každému. Jsem si na 100% jist, že ten čip to nepřežije. A policajti se při kontrole budou muset spokojit s vytištěnými údaji.
Ano, obsahuje informaci, že podpis byl vytvořen pomocí QSCD prostředku (klíče byly generovány na tomto prostředku, tzn. karta, token apod.).
Nikoli, samotný podpis takovou informaci neobsahuje, není kdo by jí tam věrohodně dal. Tu informaci o použití kvalifikovaného prostředku obsahuje certifikát, do kterého ji vloží certifikační autorita (která je důvěryhodná). CA ji tam dá na základě toho, že ví, že privátní klíč byl vygenerován v kvalifikovaném prostředku, privátní klíč z něj nemůže být vyexportován, tudíž podpis vytvořený privátním klíčem příslušným k danému certifikátu bude vždy vytvářen na kvalifikovaném prostředku.
Já jsem se ptal na to, jak certifikační autorita pozná, že privátní klíč byl opravdu vygenerován na čipu eOP, když zároveň existuje možnost privátní klíč na čip eOP naimportovat. Protože neplatí předpoklad, že privátní klíč v čipu eOP byl vygenerován v čipu eOP, nebo-li může existovat kopie toho privátního klíče, můžu ho mít třeba v souboru na disku. Certifikační autorita tedy musí být schopna nějak věrohodně získat informaci, zda byla klíčová dvojice vygenerována přímo na čipu, nebo zda tam byl privátní klíč naimportován. (Což neznamená, že se mne jenom někdo zeptá: „Vygeneroval jste klíče přímo na eOP?“ To by celý ten kolotoč s kvalifikovanými prostředky ztratil smysl.)