Názory k článku
FedEx dává klientům slevu za instalaci Flashe

Sorry, nedoslo mi ze mluvis o slovensky Raifce. Ceska pouziva lety provereny (i kdyz kdes uz dost zastaraly) interface ebanky postaveny ciste na HTML+JS.

Nevím, zda to umí Flash, ale umí to Java a HTML5 s JavaScriptem ne – podepisovat nebo šifrovat/dešifrovat pomocí klíčů uložených v systémovém úložišti certifikátů nebo třeba na čipové kartě.

Nad tím jsem nedávno taky přemýšlel, jak to udělají provozovatelé těch tržišť se státními poptávkami :D, když Java už je fuj i ve Firefoxu.

Já to samozřejmě ve FF zatím taky umím řešit, ale je to jen dočasné prodloužení toho, že to nakonec stejně típnou úplně...

Java jako applet v prohlížeči nejspíše byla myšlena.

Podle mě si to musí instalovat do Java úložiště s certifikáty nebo zadáním cesty k souboru s certifikátem. Každopádně Java v prohlížečích už je pasé, protože NPAPI.

Ano, Java applet má/měl přístup do systémového úložiště certifikátů a klíčů.

Java Applet byla normální javovská aplikace, která běžela v javovském sandboxu (stejně jako Java WebStart aplikace), takže měla taková oprávnění, jaká jí uživatel schválil (v Javě, ne v prohlížeči). Pokud si požádala o veškerá oprávnění a uživatel je schválil, bylo to prakticky stejné, jako kdyby tu aplikaci spustil přes java -jar xxx. Takže prohlížeč neměl žádný vliv na to, co ta aplikace může nebo nemůže. Jediné, co bylo v appletech navíc, bylo to, že se aplikace vykreslovala v okně prohlížeče a mohla komunikovat s webovou stránkou, ze které byla spuštěna. To WebStart přímo nemůže, tam se to musí obcházet pomocí WebSocket komunikace, kterou zprostředkuje server.

Myslím, že nemáš až tak úplně pravdu.

https://developers.yubico.com/U2F/Libraries/Using_a_library.html

Myslím, že nemáš až tak úplně pravdu. https://developers.yubico.com/U2F/Libraries/Using_a_library.html
Kvůli formátování diskuse není jasné,kdo by asi neměl mít pravdu – nicméně i tak se dá vyhodnotit, že je váš komentář chybný, protože o dvoufaktorové autentizaci pomocí U2F nebyla v tomhle vlákně vůbec řeč. Pro U2F potřebujete podporu v prohlížeči, v současné době to podporuje jenom Chrome a Opera.

Ten protokol umožňuje přistoupit ke klíči uloženému na externím kryptozařízení, takže to byla reakce na to, že javascript neumožňuje přístup k externímu uložišti certifikátů. Navíc to perfektně splňuje potřeby s vyšší bezpečností, než má ten java aplet.
A že to má podporu jen v Chrome a Opeře? Java taky potřebuje podporu prohlížeče, je to totéž. Rozdíl je v tom, že Java tu podporu postupně ztrácí, zatímco U2F ji získává. Díky knihovnám není problém tuto autentikaci přidat do jakékoliv web aplikace.

ivoszz: Bavili jsme se o elektronickém podpisu. U2F neumožňuje přistoupit ke klíči uloženému v externím kryptozařízení (ostatně to by bylo zásadní oslabení celého systému – základní princip těchhle externích zařízení je v tom, že z nich privátní klíč nelze rozumně dostat). U2F je jenom způsob, jak získat ze zařízení kód pro dvoufaktorovou autentizaci. To, že se při ní používá nějaký klíč, je jenom implementační detail, který ani v tom protokolu natož v API v prohlížeči není vidět. Ostatně běžné implementace dvoufaktorové autentizace používají symetrickou kryptografii, pro elektronický podpis potřebujete asymetrickou.

Takže to, že to má zatím podporu jen v Chrome a Opeře, je jen nepodstatný detail. Podstatné je to, že s pomocí toho nevytvoříte elektronický podpis ani dnes, ani nikdy v budoucnosti, protože je to určené k něčemu jinému a dělá to něco jiného.

Jinak pro Javu žádnou podporu v prohlížeči nepotřebujete – stačí, když umí stáhnout JNLP soubor na disk. Vlastně ani to není potřeba, stačí javaws napsat URL toho JNLP souboru na příkazové řádce. Což už je ale pro uživatele trochu nepohodlné.

@Jirsák: Neumí to náhodou JavaScript přes Web crypto api?

https://www.w3.org/TR/WebCryptoAPI/#concepts-key-storage
https://www.chromium.org/blink/webcrypto
https://developer.mozilla.org/en-US/docs/Web/API/Web_Crypto_API

Neumí to náhodou JavaScript přes Web crypto api
Neumí.

Fakt. Na vytvoření podpisu, když máte v aplikaci data privátního klíče, nepotřebujete žádné speciální API, to se dá v JavaScriptu naprogramovat i bez toho. Já jsem ale psal o přístupu do systémového úložiště certifikátů nebo k certifikátům uloženým na čipové kartě nebo tokenu. To je totiž rozumně bezpečný přístup, protože se aplikace vůbec nedostane k privátnímu klíči. Mít privátní soubor v souboru na disku není moc bezpečné (a eIDAS už takhle vytvořený podpis ani nepovažuje za kvalifikovaný, na to zase v ČR musíme mít výjimku, abychom to s tou bezpečností moc nepřeháněli). Dávat ten privátní klíč dokonce webové aplikaci je, řekněme, odvážné. O to smutnější je, že je to dnes jediný způsob, jak ve webové aplikaci bez dalších doplňků něco elektronicky podepsat.

@NULL: Já taky preferuju Javu před JavaScriptem a určitě před Flashem. Akorát teda když už se všechno dělá jako webové aplikace, tak bych byl rád, aby tam i ten podpis fungoval normálně. Nakonec v tom není takový rozdíl, jestli ten podpis svěřím Javové aplikaci nebo JavaScriptu, obojí mi poslal webový server a v obou případech můžu akorát věřit tomu, že ta aplikace nepodepíše něco jiného. JavaScript je teoreticky snazší zkontrolovat (nemusím ho dekompilovat), ale jakýkoli kryptografický kód bude vždy komplikovaný a ukrýt tam nějakou nekalost nebude tak těžké. V tom by byla implementace v prohlížeči lepší, protože bych mohl věřit tomu, že na můj pokyn prohlížeč podepsal právě jeden hash. Takže když mi pak aplikace dá k dispozici dokument s mým podpisem, mám docela dobrou jistotu, že si někde bokem nepodepsala ještě něco jiného.

Co se týče bezpečnosti, pokud je privátní klíč uložen na čipové kartě nebo v USB tokenu, musel byste cracknout tu čipovou kartu – což prakticky znamená, že byste se k ní musel fyzicky dostat, vypreparovat ten čip a z jeho paměti ten klíč získat. Lepší zařízení, která splňují nějaké normy, by v případě pokusu o fyzické napadení zařízení údaje v paměti znehodnotila. Třípísmenkové organizace by si s tím asi poradily, kdyby chtěly, ale rozhodně to není nic pro běžného zlodějíčka.

Systémové úložiště (Windows nebo Apple) je jenom kus software ve složitém systému, ale i tak je to řádově bezpečnější, než naservírovat aplikaci privátní klíč v souboru.

DRM. :/ Mám ho sice rád asi jak osinu v prdeli, ale obsah kde na tom vlastník práv trvá hraje buď přes Flash, Silverlight, což je ještě větší peklo, nebo vůbec.

Docela hodně mě to sere u Google Play Music, kde si hudbu na počítači oficiálně přehraji pouze v Chrome, nebo skrze Flash. Ostatní služby se streamovanou hudbou za paušál jsou na tom podobně.

https://www.googleplaymusicdesktopplayer.com/

sice je to Electron, takže „Chrome“, ale alespoň se to v systému chová jako normální desktopový přehrávač (vidí ho applety a tak…)

Dell i SuperMicro dokazují, že to jde i bez pluginu.