Vlákno názorů k článku První půlrok s nařízením eIDAS: přichází elektronické pečeti od x3 - Pokud vím, tak interní klíč na tokenme slouží...
-
petr_p (neregistrovaný)
Moc by mě zajímalo, jak je ověření původu klíče technicky zajištěno. Nedovedu si představit, jak jinak než přesunutím celého procesu odesílání žádosti dovnitř prostředku toho docílit.
Moje spekulace je, že aplikace iSignum určená k podání žádosti o certifikát prostě nechá vygenerovat klíč uživatele, jím nechá podepsat žádost o certifikát, poté vytvoří HTTPS spojení do PostSigna, kde použije právě onen servisní klíč k autentizaci HTTPS spojení, a sestaveným spojením odešle žádost o certifikát. Důkaz, že klíč uživatele vznikl na prostředku, veskrze žádný. Pouze to, že prostředek byl použit k odeslání žádosti.
V politice pro vydávání prostředků PostSignum tvrdí, že prostředek (nebo autorita?) není kompatibilní s jinými autoritami, pokud se s nimi výslovně nedohodne.
-
Jiří PeterkaPodporovatelobávám se, že jde o obecný princip: autorita musí "znát" konkrétní prostředek a jeho fungování, aby měla jistotu, že soukromý klíč vzniká uvnitř prostředku a nejde ho exportovat. Na druhou stranu se nedomnívám, že je nutná ona vázanost na jediného držitele - jeden kval. prostředek by principiálně mohl sloužit více držitelům současně. To asi nastane u služeb charakteru server signing, které eIDAS připouští, u klasické varianty (podepisuji se sám) to moc smyslu nedává.
-
petr_p (neregistrovaný)
Kejkle se servisním klíčem (dvojitý podpis žádosti o certifikát, vázanost na jediného držitele), jak jsou popsány v návodu k TokenME, jsou specialita autority PostSignum, nebo se jedná o obecný princip pro kvalifikované prostředky (QSCD)?
Ve druhém případě to znamená, že končí svoboda výběru kryptografických prostředků, protože každá autorita bude vydávat certifikáty jen proti svým vlastním prostředkům. Tedy uživatel si již nebude moci zakoupit token od jedné autority nebo dokonce výrobce a certifikáty se nechat vydávat od jiné autority.
