Hlavní navigace

Názor k článku S kvalifikovaným certifikátem raději necestujte od Pavel Vondruška - Dalo by se zajimave regaovat na radu predlozenych...

  • Článek je starý, nové názory již nelze přidávat.
  • 27. 1. 2005 16:08

    Pavel Vondruška (neregistrovaný)
    Dalo by se zajimave regaovat na radu predlozenych tezi.

    Alespon z casovych duvodu k tomuto :
    >>>> Ad kvalifikovaný certifikát: myslím, že ze ZoEP ani prováděcích předpisů nijak neplyne ZÁKAZ používání kvalifikovaného certifikátu pro něco jiného než podpis. Že není kryptograficky vhodné míchat použití jediného klíče se shodneme.

    Zákaz použití soukromého klíče pro jiné účely než podepisování se obecně dovozuje z :
    zákona č.227/200 Sb. , § 5 , Povinnosti podepisující osoby, odts. (1) Podepisující osoba je povinna...

    MI ČR (a před nim UOOU) tento výklad také zastává ...

    --
    Pokud jde o kryptografickou vhodnost míchání klíče... Ta hlavní "finta" proč se to nechce není přímo v tom, že by to bylo kryptograficky nevhodné ...
    Jde totiž o to (zjednodusene), že Directiva EU (a nasledne jednotlive legislativy clenskych zemi) zavadi pojem SSCD (prostredek pro bezpecne vytvareni a overeni podpisu) - pozadavky najdete v prilohach 3 a 4 ve vyse zminene smernici.
    Tyto prostredky jsou hodnoceny z hlediska bezpecnosti a funkcionality pro overeni a vtyvareni podpisu - nikoliv pro sifrovani :-).
    Jinymi slovy sifrovani neni upraveno ...
    Pouziti soukromeho klice v jinem prostredku nez k tomu urcenem, pak muze vest ke kompromitaci klice v situacich, ktere proste nepodlehaly hodnoceni a testovani....
    ---
    >>> Proto můj doporučený postup v příspěvku výše je, ověřit si politiky všech CA a druhů certifikátů, které chci přijímat a přijímat jen ty.

    Tady souhlasím. Jen upřesním, že vůbec nehájím kořenové certifikační autority. Chtěl jsem jen na příkladu Slovenska upozornit na možné modely.
    Ve vašem návrhu je drobný problém ... (.. ověřit si politiky všech CA a druhů certifikátů, které chci přijímat a přijímat jen ty...) - ne každý subjekt, který chce provádět elektronický job toto umí. Navíc je potřeba provádět hodnocení politik opakovaně a hlavně zjišťovat, zda se podle techto politik take poskytovatele chovaji (:-)- psal jsem o tom, jak ani certifikacni autority ktere jsou defaultne v korenovem ulozisti Windows - nevydavaji vcas podle sve politiky CRL - viz valicert.org , ktery zverejnuje chovani nekterych CA). Chybi zde totiz dohled a dozor...
    Vyhodnejsi je toto hodnoceni ponechat na nekom jinem - specializovanem.
    Sam jsem zastancem Mustkovych certifikacnich autorit, ktere volne sdruzuji autority, ktere splnily spolecnou certifikacni politiku. Tato mustkova CA pak garantuje, ze sdruzuje jen ty autority, kde politika splnuje vyhlasene zasady a ze dochazi ke kontrole chovani techto CA. Navic se zjistuje technicka kompatibilita a nabizi se dalsi spolecne sluzby (vyhledavni certifikatu u vsech CA v tomto bridgi atd. atd.). Psal jsem na toto tema v DSM 5/2003 a 6/2003.
    Takove Bridge CA jiz funguji (Federal bridge v USA, v EU je jedna velka komercni a jedna se buduje pro vymenu podepsanych dokumentu mezi clenskymi staty ...)
Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).