Názory k článku
Obslužné aplikace eObčanky jsou k dispozici pro Linux

Potvrzuji, funguje vč. přihlášení na Portál občana i práci s certifikáty na kartě.
Vyzkoušeno s Chromium na elementary OS 5 Juno (based on Ubuntu 18.04 LTS) a čtečkou eObčanky +iD.

Napevno zadratovane OpenSSL ve verzi 1.0.2g z brezna 2016 a ovencena hromadou znamych CVE ... no to nam to moooc pekne zacina :)

Tak ta binarka pri je opatchovana. Z informaci, ktere SZR dnes upustila jde ale porad o binarku z Ubuntu 17.10, kteremu v cervenci oficialne support uz taky skoncil. Proc to jejich vyvojari tedy rovnou neresili s Ubuntu 18.04, ktere uz par mesicu venku je je ovsem zahadou.

Smysl má, a naopak zveřejněním té veřejné části klíče byste nezískal nic užitečného.

Z toho, že něco může být veřejné, ovšem nijak neplyne, že to má být veřejné nebo že to nemá smysl, pokud to není veřejné.

Jenže ten identifikační certifikát na občance není váš, je to certifikát Ministerstva vnitra. Na té občance je nahraný jenom jako technická pomůcka pro Ministerstvo vnitra, která mu umožní ověřit vaší identitu i na dálku. Že je to tam uložené ve formě certifikátu je dané jenom technickými důvody – existují standardy a infrastruktura na používání certifikátů, takže nebylo potřeba vymýšlet nic nového. Ve skutečnosti by pro identifikaci úplně stačil veřejný a soukromý klíč, a MV by v databázi mělo vedle čísla vaší občanky ještě ten veřejný klíč.

Akorát dokazujete, že nezveřejňovat ten certifikát CA je rozumné, protože by se lidé (stejně jako vy) pokoušeli ty certifikáty používat k něčemu, k čemu se použít nedají, a spoléhali by na něco, co nikdo nezaručuje.

PKI (Public Key Infrastructure) je systém, který deklaruje, že je bezpečný a důvěryhodný, i když veřejnou část klíče může znát kdokoli. Jeho síla nespočívá v sdílení nějakého tajemství mezi komunikujícími stranami, ale v tom, že každá strana má svoji soukromou a veřejnou část klíče. Síla PKI spočívá hlavně v algoritmech, které může znát každý a přece je systém stále bezpečný, když strany udrží v tajnosti pouze soukromou část klíče. Utajování veřejných klíčů a nota bene certifikátů je podezřelé.

Nemohl byste si to ověřit. Ale to byste musel aspoň tušit, co znamená certifikát.

Má to nějakou otevřenou specifikaci, že by někdo udělal něco jako Datovku pro datové schránky, tedy něco, co se dá používat místo této obludy?

Ahoj,
rozproudila se zde docela výživná diskuse, nicméně dokázal by mi někdo říci jestli je používání této aplikace bezpečné, nebo by to bylo jen hádání z křišťálové koule, když nejsou k dispozici zdrojáky ?
Bezpečnou - tím myslím jestli hrozí reálné nebezpečí, že první sript kidies dokáže vytunelovat z apky certifikát, nebo tak podobně.

Díky.

Krátká verze – ne, takové nebezpečí v žádném případě nehrozí.

Dlouhá verze – Celá technologie asymetrické kryptografie je postavená na tom, že pro šifrovaná data nevzniká žádné nebezpečí tím, když veřejný klíč zná kdokoli. A certifikát není nic jiného, než veřejný klíč, k němu přidané další veřejné informace, a to celé podepsané certifikační autoritou. Takže i certifikát je zase veřejný. Např. když se díváte na web Root.cz, používáte protokol HTTPS, a tam při každém navázání spojení prohlížeče se serverem server posílá svůj certifikát (vystavený na jméno www.root.cz) a k němu i certifikát certifikační autority. Takže získáním certifikátu žádné kryptografické nebezpeční nehrozí.

Možná jste myslel, zda nedokáže útočník získat privátní klíč. Proti tomu vás zase chrání toto konkrétní kryptografické zařízení (tj. česká občanka s čipem), které má certifikaci na to, že z něj za vynaložení rozumných nákladů nejde privátní klíč získat (s neomezeným rozpočtem by to samozřejmě možné bylo, ale nikomu se to nevyplatí). To znamená, že kryptografické operace, které potřebují pracovat s privátním klíčem, probíhají přímo v tom zařízení, a ven se dostane jenom výsledek. Jak jsem psal, tohle je vlastnost přímo toho zařízení, takže ani sebehorší software na počítači nemůže způsobit únik toho privátního klíče.

Ten software zajišťuje komunikaci té občanky s okolním světem (tj. např. s vaším počítačem, jeho operačním systémem a aplikacemi v něm běžícími). Takže to nejhorší, co by mohl s tou občankou udělat, je tam uloženým privátním klíčem podepsat nebo zašifrovat něco jiného, než vy podepsat nebo zašifrovat chcete, případně by si mohla někam uložit váš PIN a pak něco podepsat nebo zašifrovat bez vašeho vědomí.

Jako větší riziko bych viděl to, že je to aplikace, kterou obvykle spouštíte pod svým běžným uživatelským účtem, takže vidí všechny vaše soubory a dokumenty, může je přepisovat a mazat, může komunikovat přes internet, může číst historii vašeho prohlížeče atd.

A to víte odkud, že používá zastaralé součásti se známýma chybama? Staré verze programů používá asi většina linuxových distribucí – akorát se snaží ty známé chyby patchovat (a vyrábět tak nové chyby). Jak víte, že tady to nemají udělané stejně? Já tenhle přístup backportování „bezpečnostních“ záplat považuju za špatný, ale ve světe linuxu je to standard…

> program pouziva zastarale soucasti se znamyma chybama atd.?

Záleží také, jakým způsobem jsou dané součásti používány. Že mají bezpečnostní chyby obecně neznamená, že lze těchto chyb v daném případě zneužít.

Jelikoz nemam ani Artful, ani Bionic, tak to zkousim rozjet v dockeru. Zatim jen s castecnym uspechem (aplikace se spusti, vidi ctecku, ale uz ne kartu v ni).

Zavislosti deb balicku jsou ponekud nekompletni, ja musel na cistem ubuntu:bionic docker image doinstalovat jeste:

apt install locales desktop-file-utils xorg libqt5webengi­necore5 libglib2.0-bin libgtk2.0-0

Kdyz se pusti kontejner s par parametry v konzoli, kde bylo spustene `xhost +all`, tak se aspon ukaze aplikace:

docker run -it -v /tmp/.X11-unix:/tmp/.X11-unix -v /dev/bus/usb:/dev/bus/usb -v /run/pcscd:/r­un/pcscd --privileged=true -e DISPLAY=unix$DIS­PLAY --net=host eobcanka-image

Ale jak pisu uz vyse, nekdy nevidi ani ctecku, ani kartu, nekdy vidi ctecku, ale kartu v ni ne... Pritom pcsc_scan kartu normalne vidi.

Kdybyste se nekdo chtel vydat stejnou cestou, budu rad za sdileni napadu :)

A jak to chcete overovat, kdyz ta informace o pouzitych verzich knihoven neni nikde uvedena? 250+ MB knihoven je v binarni podobe odkudsi vykopirovano bez udani zdroje a toto "reseni" se jeste oficialne oduvodnuje stabilitou a bezpecnosti. V praxi klasicka security through obscurity.

To by mě zajímalo, z jakého důvodu vlastními silami patchovat OpenSSL kvůli práci s certifikáty a podpisy.

Jak jste přišel na to „vlastními silami“?

Cizími silami by bylo ještě pošetilejší.

Už vás chápu. Použít OpenSSL opatchované vlastními silami je špatně. Použít OpenSSL opatchované distribucí je také špatně. Použít OpenSSL opatchované vývojáři OpenSSL je také špatně. Takže je vlastně špatně jakékoli použití OpenSSL. A předpokládám, že totéž by se vztahovalo i na jakoukoli jinou SSL knihovnu a špatně je už to, že autoři vůbec něco dělají.