Cena a parametry služby MojeID
Poplatek za službu* 1 000 Kč / rok
*Cena je uvedena bez DPH za celou službu MojeID na jeden rok. Službu je možné využít i pro více projektů vedených pod jedním IČ.
Takže se přihlásím do soutěže a bude mne to stát tisícovku na rok? Budu muset využívat služby za tu tisícovku, když vyhraju token nebo tablet?
díky za odpověď
Další aplikaci nepotřebujete, pokud máte právě ten token. Případně lze dnes jako další token použít vestavěný U2F v Androidu, iOS nebo třeba ve Windows.
Podpora opisovacího OTP dříve v MojeID byla, ale v roce 2022 byla zrušena, psali jsme o tom. Neodpovídá totiž současný bezpečnostním standardům a NIA ji odmítá certifikovat pro přihlášení ke službám státu.
Jako proste obecne MFA aplikaci pouzijete. Ale na vysokou uroven overeni vuci statni sprave ten (fyzicky) token potrebujete vzdycky, aplikace na to nestaci...
Jasne, moc egov sluzeb statu to dnes nepotrebuje. Ale asi casem budou pribejvat. A ano, muzete misto toho tokenu lovit ctecku a obcanku s cipem, jen to je na spoustu use-case min pohodlne.
Jako MFA nelze použít MS Authenticator ani nic jiného, co už člověk má.
Já naopak nesnáším, když nějaký web doporučuje nebo dokonce vynucuje 2FA, ale jako jedinou možnost nabízí TOTP (a samozřejmě ani nenapíše, že je to standardní TOTP, ale schovává to za název konkrétní "apky"). S FIDO2 tokenem je autentizace mnohem jednodušší a navíc stejný token můžu pooužívat i pro ssh, takže nevidím důvod, proč to vnímat jako nějaké příkoří. Naopak, TOTP je v praxi daleko otravnější a zdržuje mnohem víc.
A že je potřeba pořídit si "drahý" token? Ten GoTrust, který si z nějakého důvodu tak moc oblíbili u MojeID, stojí na alze 699 Kč, FIDO2 only Yubikey (tj. model bez podpory openPGP) pořídím na yubikey.cz za 774 Kč (na Alze stojí o něco víc, ale zase ho budu mít za pár hodin za rohem v Alzaboxu). Za podobnou cenu pořídím 256GB flashdisk nebo rozumnou kancelářskou myš. Opravdu má smysl řešit takovou "závratnou" částku?
To je sice hezké, ale nějak nemůžu zapomenout, že při mé patálii s debugováním toho, proč mi jejich systém odmítá registrovat můj Yubikey, mi support MojeID ze zoufalství navrhl, že mi pošlou zadarmo ten GoTrust. Radost jsem z toho moc neměl, protože důvodem, proč jsem si ten Yubikey pořídil, bylo (kromě bazírování příslušných systémů na certifikaci) právě to, abych nepotřeboval jeden token na openpgp a druhý na FIDO2 (což v té době Nitrokey nenabízel). A stejně to skončilo něčím v duchu Jo, aha, vy vlastně máte Linux, tak to radši ne, tam jsou s tím GoTrust problémy.
Pokud by to někoho zajímalo: problém s Yubikey spočíval v tom, že kontrola, jestli má token certifikaci, se dělá porovnáním jakéhosi UUID s oficiálním seznamem certifikovaných tokenů od FIDO Alliance. To UUID je ale různé pro FIDO2 a pro U2F - a Yubico na ten seznam z nějakého důvodu pro tuhle verzi tokenu a firmware dalo jen UUID pro FIDO2. A jako na potvoru chromium, pokud token podporoval FIDO2 i U2F, přednostně použilo U2F (i když by to člověk logicky čekal naopak), takže token byl webem MojeID vyhodnocen jako neregistrovaný. Jako workaround, aby nebylo nutné čekat, než Yubico doplní i UUID pro U2F, stačilo tokenu zakázat U2F, tím se vynutilo FIDO2 a token/firmware byl najednou certifikovaný. (Pak jsem ale musel U2F zase povolit, protože některé aplikace bohužel fungují jen s U2F.)
Ta dualita atestací U2F a FIDO2 je bohužel peklo a vyřeší se asi až časem kdy U2F úplně zanikne. Pokud vás to zajímá, tak situace je ještě komplikovanější a chování Chrome se liší podle toho jestli máte nastavený PIN nebo ne. Nicméně vývojáři Google to berou jako feature a nikoliv jako bug a ani společný tlak CZ.NIC a Yubico zatím nevedl k opravě.
https://issues.chromium.org/issues/324027363
Co ale popisujete neni chyba na strane MojeID, ale na strane prohlizecu. Ve Firefoxu to jeden cas nefungovalo vubec - krom jineho ve finale i proto, ze se neumel zeptat na PIN. A bavime se tady o dost low-level vecech, co se i blbe debuguji i z pozice te podpory. A podivejte se, kdy ten bug byl otevreny... a kdy vyreseny.
Mimochodem Yubikey5 a certifikace... s "FIPS" verzi na uroven vysoka dosahnete, s obycejnym (aka ne-FIPSovym) nikoliv. Pritom uvnitr to pohani Infineon SLE78. Proste ho Yubico na FIDO L2 certifikovat nenechal - zatimco obycejnejsi/levnejsi SecurityKey tu certifikaci ma...
No ale MojeID je tady v obecne rovine proste vazano nejakymi podminkami akreditace od MVCR. Je to mozna opruz, ale tohle fakt nevznika v CZNICu, ale na nasich slavnych uradech...
Co ale popisujete neni chyba na strane MojeID, ale na strane prohlizecu.
Netvrdil jsem, že to byla chyba na straně MojeID, spíš to beru jako takovou nešťastnou shodu několika okolností. Tím, že jsem nakonec po mnoha roundtripech se supportem MojeID našel vysvětlení, a tím i funkční workaround, jsem to nakonec pustil z hlavy. Ale je trochu alarmující, že k vyřešení problému s dost možná nejběžnějším tokenem bylo potřeba množství úsilí, vytrvalosti a znalostí, které lze očekávat jen od velmi malého zlomku uživatelů.
Ve Firefoxu to jeden cas nefungovalo vubec - krom jineho ve finale i proto, ze se neumel zeptat na PIN.
No, ona to bohužel pořád není žádná sláva. Verze 115esr už se sice na PIN zeptat uměla, ale byla tam chyba, kdy se ten pop-up pro zadání PINu musel odeslat kliknutím na tlačítko, protože když se jen stiskla klávesa Enter, vyhodilo to nějakou krytpickou chybu. Teď se do Leapu dostala 128esr a... jediný rozdíl je v tom, že místo chyby se při použití Enter ten pop-up suše zobrazí znovu. :-( V chromiu sice Enter funguje tak, jak by člověk čekal, ale zase většinou trvá neuvěřitelně dlouho, než se ten pop-up vůbec zobrazí.
OK, tady asi nezvladam fundovane soudit. Mac jsem chvili z donuceni (zamestnavatele) mel... prezil jsem to nejak diky neoficialnimu "pivovaru" (brew...), coz ale fakt neni cesta pro kazdyho...
Ja sam mam u rodicu radsi Windows. Je to smutny. Ale je to proste jednodussi cesta. Ale z "covid" casu mam i pribeh, kdy mi (jiny) uzivatel Windowsu podekoval... ze mu me doporuceni mojeID nakonec zjednodusilo zivot/fungovani v ty dobe.... byt puvodne se taky tvaril... kysele. Nekdy je clovek rad, ze i to sve okoli nevystavi problemu, ktere my Linuxaci resime. A zase viz vyse... nekdy proste cekame dost dlouho, nez se ten "nas" problem vyresi...
Zrovna mit moznost se nejak alternativne prihlasit (nejen) ke sluzbam statu se ale hodi. A treba i z pohledu poskytovatele (komercnich) sluzeb muze implementace MojeID proste snizit naklady na zabezpeceni... kdy se nemusite na kolene crcat s multifaktorovou autentizaci svych zakazniku. A porad plati - cele je to moznost, nikoliv povinnost.... nikdo prece nikomu nic nenuti. Pokud se vam to nelibi, tak bezte o dum dal....
Tož já to mám přesně naopak: datová schránka žádná a bankovní identity jsem u všech bank, kde mám účet, deaktivoval (pro použití vůči státu) - a kam se přihlašuji, tak vždy přes MojeID, s tokenem.
Má to tu výhodu, že pokud by někde bylo jednáno na základě bankovní identity
, je zcela jisté, že jsem to nebyl já. ;o)
Nic z toho neposkytuje úroveň záruky vysoká (pokud si tedy k té občance nepořídíte čtečku). Nic z jmenovaného nevyužijete pro autentizaci u soukromoprávních subjektů a u veřejnoprávních nestátních subjektů (třeba zdravotní pojišťovny) můžete použít bankovní identitu jen tehdy, pokud za to ty subjekty platí nemalé peníze. Nic z toho také nepoužijete v zahraničí (v EU).
Já se na to dívám přesně opačně – proč bych se tady přihlašoval bankovní identitou, támhle jménem a heslem, jinde občankou, když tam všude můžu použít MojeID?
Ale nikdo vás nenutí MojeID používat.
Datové schránky slouží pro zasílání zpráv, ne pro autentizaci. To, že se někde používají i pro autentizaci je historický omyl, který nemá žádnou perspektivu.
To o dost přicházíte. Zkoušel jste eRecept - https://pacient.erecept.sukl.cz/? Portál dopravy - https://portaldopravy.cz/login? Dipsy - https://dipsy.cz/prihlaska/intro? Ten seznam by byl hodně dlouhý. S datovou schránkou se prostě do spousty systémů nedostanete a těch kam se dostanete bude zaručeně ubývat.
18. 9. 2024, 20:38 editováno autorem komentáře
Ten způsob zveřejňování komentářů je tady fakt roztomilý. (když jsem odpovídal níže, tento komentář, který údajně vznikl dříve ještě nebyl viditelný...)
Každopádně všechny 3 odkazy jsem teď zkusil a všude se dostanu s datovkou. resp. s datovkou a/nebo bankovní identitou si zřídím potřebný klíč, nebo se přihlásím rovnou tou bankovní identitou. Tzn. stále platí, že je lepší přihlásit se tam napřímo, než si napřed zřídit mojeid a teprve s ním se přihlásit. Je to prostě zbytečný krok navíc.
18. 9. 2024, 22:18 editováno autorem komentáře
"Ten způsob zveřejňování komentářů je tady fakt roztomilý. (když jsem odpovídal níže, tento komentář, který údajně vznikl dříve ještě nebyl viditelný...)"
Souhlasím. Způsob schvalování komentářů na iinfo.cz dost odrazuje kohokoliv od diskutování pod články.
"Každopádně všechny 3 odkazy jsem teď zkusil a všude se dostanu s datovkou. resp. s datovkou a/nebo bankovní identitou si zřídím potřebný klíč, nebo se přihlásím rovnou tou bankovní identitou."
Ve vašem komentáři píšete explicitně o datovce. Bankovní identita je to samé jako MojeID a pokud nepatříte mezi skupinu lidí, kterým byla zřízena bez jejich vědomí, tak musíte na pobočku banky si ji zřídit.
Portál občana - normálně se tam přihlašuju klíčem získaným přes datovku, pojišťovny datovka, nebo bankovní identita. Přihlašovat se tam není problém, mojeid je jen "něco navíc" mezi mnou a pojišťovnou, raděj se přihlásím rovnou do té pojišťovny.
btw. většina asi pochopila, že otázka směřovala na tu vysokou úroveň ověření. K čemu to v běžné každodenní praxi je, jakou mi to dá výhodu..? Používám online služby státní správy celkem často a nikdy jsem nic jiného, než datovku, nebo bankovní identitu nepotřeboval a to občas proklikávám i věci, které nepotřebuju jen tak ze zvědavosti, jestli to (ne)funguje.
Děkuji za potvrzení, že se do uvedených aplikací datovkou nepřihlásíte. Ano, můžete si s pomocí datovky zřídit nějakou identitu – třeba MojeID – a tu pak používat pro přihlašování na úrovni záruky „značná“, což ve většině případů stačí.
Vysokou záruku požadují některé aplikace – vím o aplikaci, která se týkala státních dluhopisů (osobně mi to v tomto případě připadalo zbytečné). Dovedu si představit, že by se to používalo třeba pro některé operace na katastru nemovitostí (pro převod nemovitostí jim ale nestačí ani vysoká úroveň záruky), nebo třeba při žádostech o nějaké větší dotace. Zkrátka u věcí, kde by na dotyčného mělo velký dopad, pokud by se za něj vydával někdo jiný.
Vysokou záruku požadují některé aplikace – vím o aplikaci, která se týkala státních dluhopisů (osobně mi to v tomto případě připadalo zbytečné).
Myslím, že tam to bylo napůl, že "vysoká" byla potřeba jen na prvotní zřízení účtu (ale stoprocentně jistý si tím nejsem). V každém případě na další nakládání s účtem včetně objednávky dluhopisů (dokud to šlo) stačila a stačí i úroveň "značná".
Stát zřídil za miliardy Datové schránky. Propagoval je jako super věc, která zjednoduší a zefektivní kontakt občana se státem. Nanutil je každému OSVČ a spoustě dalších skupin lidí. Každý, kdo má Datovou schránku, musel přijít na Czech Point, aby se identifikoval. Takže je úplně jednoznačné, kdo danou schránku vlastní. Zprávy v Datové schránce podléhají fikci doručení, takže je evidentní, že stát počítá s tím, že tu danou schránku daný občan také obhospodařuje.
A teď ten samý stát vymýšlí další státní elektronické identifikace. Ne jednu další, ale více dalších. Kromě toho ještě ty nestátní. A pak samozřejmě bankovní identity, které se v médiích masivně propagovaly.
Co to je za blbce, kteří ještě předtím, než se konkrétní věc vůbec rozšíří a začne běžně používat, vymýšlejí nové a nové identifikace a nedokáží stávající systém třeba upravit? Přemýšlí někdo nad tím, že Běžný Franta Uživatel je z toho totálně magor a vůbec nechápe, která bije?
Celá ta myšlenka autentizace pomocí přihlášení do datové schránky byla od začátku jen takový rychlý dočasný hack a náhražka za chybějící eIdentitu (nebo Identitu občana nebo jak se to dneska jmenuje).
Z logiky věci to má fungovat přesně naopak: mám jeden SSO autentizační mechanismus (to je ta Identita občana), kde si navíc můžu vybrat z několika možností konkrétní metody ověření, a pomocí něj se můžu přihlásit všude, ať je to Portál občana, portál daňové správy, ČSSZ, ... a samozřejmě i do samotné datové schránky.
To, že stále do určité míry funguje i opačný model, kdy se přihlásím k datové schránce jejím vlastním autentizačním mechanismem, a to mi pak funguje jako autentizace pro další služby, je historický relikt udržovaný jen pro pohodlí těch, kdo si to tak kdysi zvykli dělat a ze setrvačnosti ještě nepřešli na normální model. Otázka je, jak dlouho tahle možnost ještě bude fungovat. Osobně hlavně doufám, že co nejdříve, protože i ta anomálie, že se kvůli přechodu z jedné datové schránky do druhé musím znovu přihlašovat, je jedním z důsledků.
Advocatus diaboli: existuje ovšem případ, kdy přihlášení přes NIA sice funguje, ale operaci nelze dokončit. Musíte se přihlásit přes DS.
Děkujeme, ČSSZ, za tento nesystémový krok.
Takže jsem na jaře v termínu podal přehled o příjmech a výdajích, odeslal, a nevšiml si, že tam celkem nenápadně bylo napsáno, že nic a musím přes datovku.
V srpnu výzva na podání chybějícího přehledu - a fakt, znovu. Všiml jsem si, takže potřetí vyplněný přehled a konečně i odeslán.
Datové schránky jsou česká cesta, v mnoha ohledech problematická. A datové schránky nebyly vymyšlené jako způsob autentizace, ale pro doručování. Pro autentizaci se to zneužilo dodatečně a ještě víc nesystémově, než jsou samotné datové schránky.
U datové schránky je sice jednoznačné, kdo ji formálně vlastní – ale pořád se tam můžete přihlašovat i jen jménem a heslem, takže záruka toho, že k datové schránce nemá přístup někdo jiný neoprávněně, není nijak silná. Už to, že se datové schránky berou jako ekvivalent úrovně značná, je podle mne špatně – protože přihlášení jen jménem a heslem je slabé zabezpečení, slabší už by bylo jen žádné zabezpečení.
Elektronická identifikace na základě eIDAS je věc EU, která funguje v rámci celé EU. Bankovní identita je zase specifická česká cesta částečně naroubovaná na tu evropskou identitu, takže se dá použít v rámci NIA, ale jen pro ČR a jen pro státní a podobné instituce (nelze ji použít pro komerční instituce, třeba zdravotní pojišťovny).
A informace od toho statu jste si prostudoval? :-) On vam jasne rika, ze s DS vsechny ukony neudelate, protoze za dostatecne bezpecny zpusob prihlasovani to nepovazuje. A ano, jen kombinace jmeno + heslo (a nic vic k tomu) bezpecna proste a jednoduse neni. To se vi cele roky a divim se ze vas to v roce 2024 prekvapuje ;-)
Lepsi token nez muj ksicht a podpis jeste nikdo nevymyslel. Dokazte mi, ze jsem tehdy u Vas byl, ja mam svedky, ze ne. Ukazte mi podpis, ja si zaplatim grafologa.
S e-identitou ? "Je nam u prdele kde jste byl nebo nebyl, co a jak jste si zabezpecil nebo ne, my tu mame platny e-podepsany dokument, a ostatni si reste sam pres PCR a soudy, ale za sve"
Diky, ale to nikdy.
Nechapete vubec nic. Digitalnich stop muzu zanechavat kolik chci, vcetne white-noise. S tim nemam zadny problem.
Problem je, ze identita neni jen digitalni stopa. Identita je, z pohledu govermentu a prava, totez co Vy sam. Digitalni identita pak znamena, ze celou svou existenci (postupne) davam vsanc zabezpeceni par bytes nejakeho privatniho klice.
To znamena, ze moje komplet existence (napriklad ucty, katastr, smlouvy) pak zavisi nebo casem budou zaviset i na zabezpeceni poskytovanem treti osobou nebo subjektem (stat, komercni firma/banka, mojeID), nad kterym ale nemam kontrolu. Pri pripadnem zneuziti zpochybnit platnost mohu az nasledne, ale fakticky marne - a navic jeste ponesu veskerou dukazni tihu, s tim, ze kde jsem se fyzicky v danou dobu nachazel nebo ne, jestli jsem mel pristup k siti a pocitaci nebo kolik na to mam svedku nebude prakticky hrat zadnou roli.
Fyzicke overeni totoznosti a podpis pred svedky zaknihovany notarem ma jista nezpochybnitelna kouzla a vyhody. Nehodlam je vymenit za nejistotu a risk jen proto, ze jsem liny nekam zajit, a nehodlam dovolit statu, aby e-identita byla jedinym moznym zpusobem pristupu k sprave mych zalezitosti (jak se uz bohuzel u nekterych statnich instituci bezne deje).
Zabezpečení privátním klíčem a poskytované třetí stranou (banka, MojeID) je podstatně bezpečnější, než podpis před notářem. Navíc zdaleka největším rizikem tam není ani ten notář, ale vy.
Další věc je – kolikrát jste něco podepisoval před notářem? A chtěl byste to absolvovat pokaždé, když zadáváte příkaz k úhradě, když podáváte daňové přiznání, když si vyzvedáváte úřední dopis?
Tak to v podobném duchu, ale na druhé straně technologického spektra, je ale takovým technickým šamanismem i použití DNA stop.
Zvlášť když často OČTŘ používají (možná používaly) zkratku "DNA podezřelého nalezena = vinen" a vůbec neřeší možnost, že se tam mohla dostat i jinak než činem.
Ve stejné souvislosti mám jisté pochybnosti o výhodnosti digitalizace úplně všeho, včetně právních aktů, kdy se člověk dokáže na zbytek života zničit i jediným digitálním podpisem. Sice technologie může být jakkoli bezpečná, ale rubberhose cryptoanalysis funguje i tak.
(tím neříkám, že se podvody nedají dělat i fyzicky, jen že je snadnější se bránit, když na úřadě bude záznam z kamery etc. než v důkazní nouzi prokazovat, že když jsem ten dokument digitálně podepsal, tak mi někdo držel nůž na krku)
Jaký jeden podpis vám může zničit zbytek života? Pokud by vás někdo donutil podepsat se, asi vás u toho nebude natáčet. A pokud vám někdo bude držet nůž na krku, je úplně jedno, zda se budete podepisovat na papír nebo digitálně. Rozdíl je jenom v tom, že pro výrobu vašeho vlastnoručního podpisu vás nikdo ani nepotřebuje.
A pokud vám někdo bude držet nůž na krku, je úplně jedno, zda se budete podepisovat na papír nebo digitálně. Rozdíl je jenom v tom, že pro výrobu vašeho vlastnoručního podpisu vás nikdo ani nepotřebuje.
Ten příspěvek je dost zmatený a přesně tohle mne také napadlo. Ale jestli jsem to dobře pochopil, myšlenka asi byla v tom, že online lze vyřídit i některé věci, které bych "papírově" musel buď vyřídit osobně na úřadě nebo by na tom papíře nestačil samotný podpis, ale musel by být přinejmenším úředně nebo notářsky ověřený. Oboje by použití nože na krku trochu komplikovalo (ale úplně nevyloučilo).
musel by být přinejmenším úředně nebo notářsky ověřený
Pokud by se toho opravdu někdo bál, nemusí zveřejňovat svůj kvalifikovaný certifikát v Registru obyvatel (přes Portál občana). Což je jediný způsob, jak může samotný podpis založený na kvalifikovaném certifikátu nahradit ověřený podpis. Pokud certifikát v ROBu nemáte, potřebujete pro náhradu „papírového“ ověřeného podpisu ověřený elektronický podpis, tj. zase tam musí být ta další ověřující osoba.
O frenologii nevím naprosto nic kromě toho, že existuje takže nemohu soudit. Na druhou stranu třeba já osobně jsem během krátké chvíle podle vzhledu schopen nahrubo odhadnout charakter člověka; pomohlo mi to už mockrát a v životě pomáhá denně. Takže bych jistou pochybnost taky mohl najít. Ono ne vše, co se nedá exaktně změřit neexistuje, jak se snaží zvlášť a nejen zde různí lidé tvářit.
Takze jestli to dobre chapu, tak bez androidu (iOS) si neskrtnu? Postup je vytvorit si MojeID, pak zabezpecit se 2. faktorem, coz je bud appka nebo, bezpecnostni hw klic. Ovsem pokud ten hw klic nemam, tak to musi byt appka na androidu (iOS).
Fuj. Mobilu neverim, nevim proc bych mel uzavrenemu systemu ke kteremu nemam ani spravcovske heslo sverovat svoji bezpecnost.
To prave chapete spatne. HW tokeny s MojeID funguji nezavisle na Androidu/iOS, aplikace je pouze jeden z moznych prostredku - nikoliv jediny, natoz pak povinny. Aneb nepotrebujete zadnou aplikaci, jen ten privesek na klice. Kdyz neverite svemu mobilu, tak si tam tu aplikaci instalovat nemusite. Pouzivejte s MojeID jen HW token... a chcete-li byt paranoidni, tak klidne z nejakeho live-distra v prohlizeci.
No a jak to mam teda udelat? Tady:
https://overeno.mojeid.cz/cs/
je napsany postup jak na to. Krok c. 2 je: "Zabezpečíte účet druhým faktorem:
aplikací MojeID Klíč nebo bezpečnostním tokenem."
Z te vety mi vyplyva, ze pokud jeste ten token nemam (ten teprve dostanu, jak je napsano ve zpravicce), tak musim pouzit aplikaci MojeID. A co jsem nasel, aplikace je jen pro android nebo iOS.
Ajo fakt:
"Váš počítač s OS Windows 10 a výš (Windows Hello) nebo mobilní zařízení s OS Android v. 7 a vyšším."
Takze ten navod na strance akce je jen polovicaty. Jasne, clovek si ma precist i stranku MojeID, a buhvico jeste.
No ale nejak bych od CZ.NIC cekal trochu vic nez jen podporu uzavrenych systemu. Mel jsem za to ze v linuxu apod. jedou vic. Kdyz treba delaji Datovku i pro linux.
To nevim, protoze se v tehle oblasti vubec nevyznam. Ostatne proto jsem se na zacatku ptal.
Proste se jen divim, ze v tehle zabave s linuxem neuspeju.
Jinak predpokladam ze to od tebe byla jen recnicka otazka. Jenze ony ty recnicke otazky fakt nepomahaji. Stejne jako Dannyho prvni reakce na muj prvni prispevek, ktery byl sice dlouhy, ale vubec nepomohl a nic nevysvetlil.
Já nevím, jestli něco takového v Linuxu je. Docela by mne to překvapilo, protože si moc nedovedu představit, jak to udělat bezpečně – musel by to být nějaký podobný hack, jako u Secure Bootu. Jenže Secure Boot si řešíme jenom my ajťáci mezi sebou, použití Windows Hello pro MojeID je něco, na co někdo musí dát kulaté razítko a zaručit se, že je to bezpečné.
Takže opačně – pokud si někdo stěžuje, že MojeID nepodporuje Linux, čekal bych, že má ověřeno, že Linux takovou technologii podporuje.
AFAIK se dá v instalaci Linuxu pomocí TPM2 a nástroje fido2-token vytvořit FIDO2 klíč, který se dá potom používat k autentizaci. Nikdy jsem to nezkoušel, ale vím, že lidi z našeho identity managementu na tom pracovali, aby pak bylo možné zajistit, že se uživatel přihlašuje jen ze schváleného počítače.
Jak se to popere s certifikacemi, netuším. Počítám, že na úroveň "vysoká" to nemá šanci, ale možná té základní by to mohlo vyhovět.
Na úroveň vysoká nedosáhne ani Windows Hello. Obávám se, že bez nějaké záruky to nedosáhne ani na úroveň značná. A úroveň nízká splní i jméno a heslo… Každopádně když jsem to psal, říkal jsem si, že by možná RedHat mohl v budoucnosti udělat něco, co na tu úroveň značná dosáhne (tj. bude to stejně důvěryhodné, jako Windows Hello), ale myslím si, že by to stejně bylo jen něco v RHELu – v OSS variantách a klonech by možná by mohla být implementace, ale neměla by to razítko.
Nemůžete úroveň zabezpečení vyčarovat z ničeho, tedy ani ze slabší úrovně zabezpečení. Teď se přihlašujete nějakým způsobem, který stačí na úroveň značná. Ale pro úroveň vysoká to nestačí – můžete to brát třeba tak, že se předpokládá, že pro přístup k věcem vyžadujícím úroveň vysoká už by to někdo mohl prolomit. Takže když chcete vyšší úroveň zabezpečení, musíte nějakým dostatečně bezpečným způsobem (alespoň na té úrovni vysoká) prokázat, že jste to opravdu vy. Můžete tedy použít jiný prostředek na úrovni vysoká (třeba občanku s čipem), a nebo fyzické ověření u důvěryhodného ověřovatele (CzechPoint).
Představte si to třeba tak, že by po vás v bance chtěli pro příkazy k úhradě do sto tisíc podpis, a pro větší převody podpis a otisk prstu. A v tuto chvíli by měli jen váš podpisový vzor, ne otisk prstu. Pak nemůžete zvýšit úroveň zabezpečení tak, že byste jim poslal dopis se svým podpisem a s otiskem prstu, ať si ho zařadí do své databáze. Protože to by mohl udělat i nějaký útočník, který umí zfalšovat váš podpis – a ta vyšší ochrana má zajistit, že takový útočník neuspěje, musel by umět zfalšovat váš podpis i otisk prstu. Takže ten otisk prstu musíte bance předat na vyšší úrovni zabezpečení, alespoň na úrovni toho podpisu a otisku – takže třeba osobně po předložení dokladu.
Pokud si třeba pro přihlašování k e-mailu přidáte k heslu ještě druhý faktor, děláte to tak, že zadáte heslo a tím potvrdíte to zapnutí druhého faktoru. To je ale jiný případ – tam ty přístupové údaje chráníte sám pro sebe, takže sám sobě věříte, že po zadání hesla jste to vy, abyste mohl přidat druhý faktor. MojeID je ale zabezpečení vůči třetím stranám, a ty nevědí, jestli jste to vy nebo ne – to zjistí až na základě toho, že se přihlásíte. A přihlásit se můžete různými způsoby, na třech různých úrovních bezpečnosti nebo spolehlivosti, tedy na na třech různých úrovních toho, jak moc se dá věřit tomu, že jste to opravdu vy.
Nemusíte na Czech Point, pokud máte jiný způsob ověření s úrovní vysoká, typicky e-občanku.
Pak ale ještě k tomu tokenu musíte mít nastavený PIN, jinak skončíte na úrovni značná (což zatím stejně všude stačí).
Zálohovat nemusím nic, protože mám ten token a e-občanku (a pokud nepřijdu o mobi, i ten Mobilní klíč)
Nakonec ten mobilní klíč je nejpohodlnější - ukážu mu QR kód, mobil mám skoro vždycky po ruce.
Tak PIN si musíte pamatovat tak jako tak.
Že musíte mít čtečku jsem psal (i když třeba můj Elite Book ji má v sobě).
Čistě prakticky, běžně používám Mobilní klíč e-governmentu, jen ho musím při výměně mobilu ověřit - tak na to tu občanku vytáhnu a čtečku připojím.
E-občanky by teď snad už měly být i bezkontaktní, tak ta čtečka odpadá. Ale i tak, občanku mám v peněžence a tu doma ani v práci po ruce nemám, na rozdíl od mobilu. A token MojeID na klíčích. To je docela dost alternativ.
PIN si musíte pamatovat jenom tehdy, když čip v občance používáte. Myslím, že většina lidí vůbec netuší, co si tam nastavila.
I pro bezkontaktní čipy potřebujete čtečku, i když může být integrovaná v jiném zařízení, třeba v mobilu. Nicméně na webu identity občana se o bezkontaktním čipu nic nepíše, nemyslím si, že by to občanky podporovaly.
Uff, nadpis mi nějak připomněl
https://www.youtube.com/watch?v=TTUp6D9NzpU
:)
Snad se jim podaří nalákat nové uživatele.
Rád bych se ověřil. A podle https://www.mojeid.cz/cs/verejna-sprava/vysoka/ to jde pomocí datovky. (Což by dávalo smysl.) Ale nemám tušení, jak toho docílit, webová aplikace MojeID mě vytrvale posílá na Czechpoint. (A při každém kliknutí po mně chce komplet novou autentizaci HW klíčem _a_ PINem. OMG. Ano, je pravda, že bezpečnost někdy nutně snižuje uživatelské pohodlí. Ale určitě neplatí, že každé snížení pohodlí zvyšuje bezpečnost. Někdy právě naopak.)
Do souteze je treba se (aktivne) prihlasit. Samo od sebe se to neprihodi.
To je dnes bohužel standard, že firmy se chovají mnohem lépe k potenciálním klientům než k věrným, které už (dlouho) mají. Stačí se podívat, co nabízejí banky nebo mobilní operátoři. A pak se diví, že se u nich klienti dlouho neohřejí a při první cool nabídce utečou ke konkurenci (která se chová stejně). No a ti nepřelétaví mají holt smůlu, protože u těch se počítá, že když neutekli doteď, tak to hned tak neudělají, tak proč se snažit.
Tak ja si tohle rikam casto. Ale takhle mam z jedne akce tablet taky. Uziva ho manzelka a ted je to i sikovny device pro pousteni pohadek (treba o masinkach) pro ditko...
Jasne, vsechno si muzu koupit. Za penize jde vsechno.
To, kde je mojeID je hodne ovlivnene politikou. Technika problem neni. Z pohledu legislativy je ale podle me vetsi opruz ziskat validovanou identitu u nezavisleho poskytovatele... nez nekde jinde. Chyba je to, ze BankID ma jiste "vyhody"... ale do zakona to holt proslo... a nikdo to neumu zmenit.
Díky za skvělou zprávu. Hned jsem založil a ověřil, abych zjistil jak to přesně funguje. Snad to bude praktičtější než e-občanka nebo bankovní identita. Pak by se to hodilo i pro méně počítačově zdatné, kde jen zapojí token a můžou procházet portál občana. I samotná appka dosti zjednodušuje přihlášení.