Vlákno názorů k článku Stalo se: Česká pošta neradila správně od Vojtěch Kment - O serverových certifikátech (pro SSL) se naše legislativa...
-
O serverových certifikátech (pro SSL) se naše legislativa nevyslovuje (as far as I know), takže pro server by asi certifikát třeba Verisign použitelný byl. Pro každý český úřad nicméně toto by byla poměrně nestandardní situace a instinktivně dá přednost domácímu řešení (z důvodů právních i technických). Použití zahraničního certifikátu by si vyžádalo poměrně hlubokou právní analýzu a technická podpora je přeci jen pro českého úředníka rovněž dostupnější domácí.
Nicméně pro vytváření elektronických značek (které se v rámci Datových schránek používají) již je nutné použít kvalifikované certifikáty poskytovatele certifikačních služeb akreditovaného v ČR. Ti jsou nyní tři. Z obchodních důvodů, když za provozovatele Datových schránek byla vybrána Česká pošta, s.p., pak myslím celkem plyne, proč byla následně zvolena certifikační autorita Postsignum, tj. služba podniku Česká pošta, s.p.
Faktem je, že používat odlišnou certifikační autoritu pro vnitřní provoz datových schránek (PostSignum) a jinou pro vnější přihlašování přes SSL (např. Verisign) by bylo poměrně nepraktické. Takto jsou uživatelé nuceni ještě před prvním přihlášením si doinstalovat certifikáty pošty (zejména kořenový certifikát), což by později stejně museli, akorát by to pro ně byl možná ještě větší zmatek - nechápali by proč a co mají činit.
Zda to je dostatečně dokumentované, bezpečné a user-friendly ovšem netuším, neboť jsem žádné relavantní materiály ČPošty v rukou neměl. Jiří Peterka to zkoumal a lze mu důvěřovat, že to košer není. Navíc si lidé z ČPošty problému nejsou vědomi. -
U ČSOB jste ale bez telefonu nahraný, tam by si rybář moc nepomohl, když nemá zabezpečený kanál u mobilního operátora do GSM bankingové aplikace.
Pokud to správně chápu, tak kromě napadení stránek, by musel znát moje telefonní číslo a mít kanál do GSM bankingu a nebo mi fyzicky ukrát mobil, znát identifikační čislo a heslo do bankingu a znát alespoň můj MPIN, lépe i PIN.
Zabezpečený kanál do GSM bankingu myslím nepřipadá v úvahu, to si banky a operátoři ohlídají, takže zbývá pouze fyzicky ukrát mobil, a na to přijdu poměrně brzy :) -
Jmeno Prijmeni (neregistrovaný)Ve skutečnosti ověření přes SMS je dostatečné i proti MitM, jen musí být ověřována každá jednotlivá transakce (nikoliv celá relace jen jednou SMS) a musí v každé SMS být alespoň číslo účtu příjemce (lépe i částka, ale tam už je riziko jen v tom, že by útočník převedl na správný účet špatnou částku, což by mu nic nepřineslo).
-
Jmeno Prijmeni (neregistrovaný)Nicméně, kdyby nebyli diletanti na poště, tak by zvolili cestu č. 3 z článku, tj. distribuci certifikátu do prohlížečů. Může být, že to mělo zařídit už dávno předtím ministerstvo vnitra a zajistit tak jednu "státní" certifikační autoritu pro "státní" potřeby.
Když se jim to nepovedlo/se na to vykašlali, byla by asi lepší varianta č. 1 (můj zběžný názor bez právního či jiného rozboru).
Oni se místo toho rozhodli pro variantu č. 2, kterou nadto ještě totálně zpackali. :-( -
Lol Phirae (neregistrovaný)Presne jsem nekontroloval, ktere CA uznava nase legislativa jako ty jediny spravne, nicmene zcela bezpecne vim, ze podobne idiotske postupy, o kterych hovori clanek v pripade PostSignum, praktikuje uz leta CSOB se svym internetovym bankovnictvim. Oni chudinky asi nemaji na certifikat normalni CA, jejiz certifikaty jsou distribuovany v 99% procentech prohlizecu, takze misto toho vynakladaji miliony rocne na neustale se opakujici dotazy na helpline a vytvareji FAQ vysvetlujici, jak jsou uplne neschopni vec resit systemove. (A propos, v pripade CSOB neni k problemu overeni certifikatu ani slovo.)
-
Ještě by byla možnost (už dost komplikovaná), že by se hash dal ověřit přes stránky podepsané známou autoritou (VeriSign).
Každopádně jestli jsem problém certifikátů dobře pochopil, tak datové schránky nemohly být zabezpečeny jiným certifikátem, než PostSignum (nebo I.CA, ale to si nejsem jistý), protože jiné certifikáty naše legislativa neuznává.
Problém si myslím tedy není dán použitým certifikátem, ale právě u té informovanosti ... buď lidí kteří mají certifikát používat (a všichni se rozhodně nedoví, jak jej mají používat), nebo zákonodárců, kteří jmenovali nejdůležitější autoritu PostSignum, avšak nikdo jiný na světě jí neuznává ...
Můj názor je, že PostSignum by se měla co nejdříve ověřit a podřídit VeriSign, nebo zařadit do všech browserů jako důvěryhodná. Nedokážu si ale představit, že by každý stát měl v browseru jednu nebo více autorit ...
