Vlákno názorů k článku
Obslužné aplikace eObčanky jsou k dispozici pro Linux od Nstorm - Spis by me zajmalo, kdy daj přístup k...

Asi jste nikdy veřejné toalety neviděl. Bývá tam také napsáno „muži“ nebo „ženy“, „otevírací doba“ nebo „ceník“. A když některou z těch podmínek nesplníte, tak nemůžete. Navíc byste neměl jen tak přenášet jednu vlastnost z předmětu na předmět jenom proto, že mají v názvu stejné slovo. To, že po použití veřejné toalety pocítíte úlevu, neznamená (pro slušné lidi), že stejnou úlevu pocítíte po použití veřejné dopravy nebo veřejného klíče.

Tady se ale nebavíme o technologické stránce PKI, ale o její legislativní stránce. V čem je to utajování veřejných klíčů podezřelé? Ve nevěříte bezpečnosti používaných algoritmů? Nevím, proč by utajování certifikátů mělo být ještě podezřelejší, zvlášť, když žádný certifikát nemusí existovat.

Vzhledem k tomu, že to používá smart karty, pscp a PKCS#11 API, tak se to nabízí. Pokud ne, tak zase objevujeme kolo. A jak už tu Danny napsal bylo by to security by obscurity a rád bych viděl, jak autoři prokazují bezpečnost a důvěryhodnost systému.

Vy k podpisu certifikátu potřebujete privátní a veřejný klíč certifikační autority a její certifikát? Já k tomu tedy certifikát certifikační autority nepotřebuju, stačí mi privátní a veřejný klíč. A vám by měl stačit taky – zkuste si někdy vytvořit self-signed certifikát.

Kdo se baví o podepisování certifikátu? Bavíme se o tom, že naše (strana naštěstí už ne) vláda vyrobila bastl, jehož důvěryhodnost nelze ověřit. Navíc ty čtečky, co k tomu tady někdo inzeroval, nemají pinpad, takže lze snadno zaútočit proti PINu. A pak - děj se vůle páně. A jestli si někdo myslí, že nás proti tomu ochrání utajování veřejného klíče, je dost bláhový. Jen to prudí lidi, kteří nemají dost znalostí a technických prostředků. S čímž útočníci většinou problém nemají.

Díky za odpověď, je to tam pěkně popsáno. Přijde mi však, že státním orgánům na bezpečnosti zas tak moc nezáleží. Vzhledem k tomu, co vše lze s občankou dělat a do budoucna možné bude, by měly vyžadovat pinpad s firewallem (nelze podstrčit PIN z PC).

A jestli používají on-board generated klíče, nebo má státní správa někde kopii vašeho privátního klíče... Radši nedomýšlet...

>
> především musí pro podepisování používat certifikovanou aplikaci
>

Můžete mi přiblížit, co to jako znamená ta certifikace aplikace? Zda aplikace vloží do signedInfo požadované informace? Pokud mám přece validní PKCS#7 a jsou tam všechny potřebné informace pro ověření, to by mělo stačit, ne?

Také pro dosažení tohoto "titulu" musel občanský průkaz splnit řadu požadavků, především musí pro podepisování používat certifikovanou aplikaci - jak je uvedeno v předchozím linku.
Tohle jste trochu zamotal. Kvalifikovaný prostředek musí splňovat určité podmínky, aby dostal certifikaci, že je kvalifikovaný – především musí umět nějak věrohodně informovat, že příslušná klíčová dvojice byla vygenerována na daném prostředku, a pak musí garantovat, že běžnými prostředky nepůjde takto vytvořený privátní klíč z toho prostředku získat.

Když už ale takový prostředek máte, můžete s jeho pomocí podepisovat v jakékoli aplikaci, která ho umí používat. Tedy pokud má ten prostředek např. minidriver pro Windows, půjde s jeho pomocí vytvářet kvalifikované podpisy založené na kvalifikovaném prostředku v libovolné aplikaci, která umí používat systémové úložiště certifikátů Windows.

Má to ještě jeden háček – to, že byl podpis vytvořen s pomocí kvalifikovaného prostředku, je uloženo jako příznak podpisového certifikátu. Je to logické – privátní klíč nejde z daného zařízení vyexportovat, tedy každý podpis, který byl s pomocí daného privátního klíče (a jemu příslušnému certifikátu) vytvořen, tedy musel být vytvořen kvalifikovaným prostředkem. Do toho certifikátu ten údaj ovšem může dát jen certifikační autorita, protože ona za ten certifikát ručí. Aby to mohla udělat, musí příslušný kvalifikovaný prostředek znát – musí vědět, že je kvalifikovaný (což není problém, to zjistí z příslušného registru), a také musí vědět, jak pozná, že privátní klíč byl vytvořen v tom kvalifikovaném prostředku a nejde z něj vyexportovat ven. Proto se i české certifikační autority musely naučit, jak poznají, že privátní klíč byl vytvořen na české občance – I. CA a PostSignum už to umí, jak je na tom eIdentity nevím. Je pravděpodobné, že jiné certifikační autority, které necílí na český trh, nebudou toto umět rozpoznat, takže i kdybyste si od nich nechal vystavit kvalifikovaný certifikát, bude to obyčejný kvalifikovaný certifikát, bude mu chybět ten příznak, že podpis spojený s daným certifikátem byl vytvořen kvalifikovaným prostředkem.

Jenže v tomto případě to, co stát tvrdí, tím tvrzením vytváří. Není tedy vůči čemu byste to kontroloval, protože stát je ta autorita. Je to jako kdybyste chtěl kontrolovat registr domén, že obsahuje správné domény.

Navíc ten identifikační certifikát na té občance patří Ministerstvu vnitra, je to malý kousek jejich databáze uložený ve vaší občance, který spolu s tím privátním klíčem umožňuje na dálku ověřit, že je to opravdu od nich a ne od někoho cizího. K čemu ten certifikát slouží a jaké informace nese ví ale jen MV.

Kontrolovat stát je správné, ale v tomto případě není na konkrétní občance co kontrolovat.