Jeden čtenář nám zaslal odpověď Policie ČR na otázku, proč nemá na webu HTTPS. Prý nebyl takový požadavek vznesen, server na to není výkonově připraven a stejně se prý na webu nepřihlašují žádní uživatelé, takže to není potřeba. Nevadí prý ani vyplňování formulářů podání, protože kontaktní údaje jsou vyplňovány do formulářového rozhraní s jednoznačnou identifikací
. Ať už to znamená cokoliv.
My si přesto myslíme, že HTTPS by mělo být všude. Tím spíš na webech úřadů a policie.
Ochranu osobních údajů jsme samozřejmě měli. Nemyslel jsem konkrétní zákon, ale ono vládní prohlášení nebo vyhláška či co to bylo o tom, že úřady veřejné správy musí v nějakém harmonogramu https implementovat...
Tak to už bohužel opravdu nevím.
Já tyto věci neřešil. Já chtěl jen zavést https a ze strany paní ředitelky mi bylo řečeno, že my do této povinnosti nespadáme a proto to neuděláme...
Možná se to netýkalo veřejné správy, ale státní správy...
Ale o to až tak nejde... Princip byl v tom, že dokud nám to stát nenařídí tak neuděláme ani prd navíc...
Paní ředitelka mi sdělila, že když to zákon nevyžaduje tak nic nad rámec dělat nebudeme.
To má ale pravdu. Pro občany platí, že co není zakázáno, je povoleno. Pro veřejné instituce platí opak – co není povoleno, je zakázáno. Veřejné instituce nemohou jen tak utrácet veřejné peníze jenom proto, že se nějaký úředník rozhodne, že by se mu líbily zlaté kohoutky v koupelnách a služební Mercedes pro každého úředníka. (Jiná věc je, zda to úřady opravdu dodržují.)
Nicméně pokud úřad má mít web, jako že asi má, má ten web mít HTTPS. Protože bez toho nedokáže poskytovat ty služby, které poskytovat má. I kdyby sloužil jenom pro informování občanů, má je informovat správně, a to bez HTTPS nejde zajistit – když po cestě může kdokoli obsah přenášených stránek změnit. HTTPS tedy není nic „nad rámec“.
Dříve byly náklady na certifikát, mohly být náklady na zřízení a údržbu (na začátku jste nenapsal, že by to pro úřad bylo zadarmo).
ty ses taky lupic a vyderac ;)
https://www.root.cz/zpravicky/eu-si-zaplatila-studii-o-skodlivosti-piratstvi-ale-nezverejnuje-ji/
Děkujeme za zaslání Vašeho hlášení, které jsme přijali ke zpracování. Nyní bude provedeno jeho vyhodnocení, včetně vyhotovení záloh závadového obsahu.
Ako zavadny obsah som im napisal http://www.policie.cz/
abych uprednostnil tak s "HTTPS by mělo být všude" nesúhlasím... kdyby tam bylo "takmer" tak áno. Ovšem u statických stránok, ktoré iba zobrazujú dáta, majú nulovú interakciu s uživatelom, a nezbierajú žiadne dáta, nieje HTTPS nieje nutnosť. Ovšem súhlasím že HTTPS by malo byť všade tam (a je to morálna nutnosť), keď stránka zbiera nejaké dáta, zaznamenáva interakciu uživatele, alebo proste vždy keď zobrazuje data ktoré sú určené len pre konkrétneho človeka alebo konkrétnu skupinu ludí (nie pre všetkých) [samozrejme v takom prípade je nutná autentifikácia, čož automaticky znamená že je stránka musí zbierať dáta, čož znamená že by tu HTTPS malo byť]...
jak piší ostatní, bezpečnost zadávaných dat je jedna věc, druhá je nezměnnost samotného obsahu stránky při přenosu. Útoků na veřejné wifi, které modifikují obsah nezabezpečených stránek přibývá a není to technicky takový problém.
Je pak možné načítanou stránku libovolně upravit, ať už přidáním škodlivého kódu, tak změnou informací, psaním vlastních tiskových zpráv či jinou záškodnickou činností.
Ja souhlasim s tim "temer", ale v jinem smeru. Chtel bych, aby to prohlizece neresily a nechaly normalne fungovat HTTP (vcetne formularu) pri zadani IP v lokalnim rozsahu. Mam ve vnitrni siti nejaky cidla apod. Nikdy se HTTPS nenauci (maji reportovat kazdych 5s, ale jejich HW potrebuje 12s na vypocitani handshake nebo co to tam pocita).
trochu balamuti, k systemu se prihlasuji, ale tam maji https, avsak self-signed, trebaze pak je nutne certifikat pro prihlaseni, ale opet vydane jen tou autoritou firmy, co to ted zastresuje, jinak verte, ze v tom nechcete nic publikovat, je to neskutecne pomale, polofunkcni a nedomyslene dilo a cely proces vyberu a zmen zastresujicich firem je rozhodne fajn pribeh na dlouhe nocni vecery :)
Podobně jako jsme mohli žít v době, když v noci na silnici nebyla omezená rychlost či železniční přejezdy byly bez jakéhokoliv zabezpečení. Bylo to nebezpečné, ale moc to nevadilo, protože provoz byl slabý a pomalý. Jak začal provoz houstnout a zrychlovat, stal se z toho problém.
Tak teď vidíte proč HTTPS nemají. Ale dotaz podle 106-ky není žádná "call-to-action". Musíte jim sdělit, kterým zákonem se neřídí, když mají pouze HTTP.
Někdo se zeptejte ve státní správě tam, kde HTTPS zavedli, který zákon jim to nařídil... Jinak na to byly prostředky vynaloženy nezákonně. Ta odpověď by mě zajímala.
To použití HTTPS plyne už ze samotné podstaty toho, že má úřad nějaký web. I pokud ten web slouží jenom pro sdělování informací občanům, asi má sdělovat ty informace, které úřad publikuje – a ne cokoli, co někdo po cestě změní. Takže aby ten web plnil svou funkci, musí být dostupný přes HTTPS. Nebo-li pokud má úřad nějaké důvody k tomu, aby měl web, ty samé důvody má k tomu, aby měl web na HTTPS.
Pokud má úředník možnost něco neudělat protože není zákon který by to vysloveně nařizoval nebo takový zákon neobsahuje konkrétní termín a postih tak to neudělá. Že to je to porkyto jiným zákonem ho nezajímá do doby než vyjde závazný prováděcí předpis. Existují výjimky, ale ty jsou výjimečné. Mimochodem většina uředních webů neslouží pro sdělování informací občanům, ale pro to aby se splnila zákonná povinost. Scanovaný dokument v pdf hozený pod nic neříkající číslo je sice lepší než nástěnka někde na úřadě, ale stejně v tom něco hledat a hlavně v termínech sledovat je docela výkon..
Vím, že přirovnání digitálních věcí k fyzickým vždycky v něčem hapruje. Ale stejně to zkusím: když mají mít fyzickou nástěnku, na kterou vyvěšují trvale dostupné informace, je nezákonně vynaložený prostředek, když si kvůli tomu úřad pořídí vitrínu se zámečkem? Nebo se to rozumí tak nějak samo sebou v pořádku, že si zařídí aspoň základní ochranu prostoru, na kterém informace sdělují?
V tomto případě je srovnání na místě. Takže jeden úřad argumentuje tím, že žádnou vitrínu se zámečkem pořizovat nebude, protože mu to zákon nenařizuje.
Druhý úřad si tu vitrínu pořídí a bude tvrdit,
1) že se to zabezpečení nástěnky rozumí samo sebou
2) že dle zákona ručí za informace na té nástěnce
3) ?
Mě zajímá co řekne, v každém případě, ať to poví tomu prvnímu úřadu.
Ve skutecnosti je vse jinak. Policie nema HTTPS, aby mohla odposlouchavat, co jim lide na webu delaji. Kyberrozvedku to zamestna a navic nikdo nemusi zjistovat, kde jsou na serveru logy.
BTW, jak je to s tim vykonem serveru? Kdyz bych treba mel server, jako je Root a chtel ho preklopit na sifrovane spojeni, co muzu ocekavat jako HW naroky oproti verzi bez sifrovani?
Asi budu vypadat jako idiot, ale HTTPS na úředních stránkách skoro nemá cenu... Jen z důvodu, že ti zaměstnanci vynáší tolik informací, že i hacker si radši zaplatí někomu za informaci (ikdyž hacker bude mít minimum práce) přímo na tom daném místě.
Já osobně můžu říct, že já jako student jsem se dostal k věcem tipu finanční náklady města a mnohému jinému (jako třeba úřední plány, katastr, majetkové složky, archiv celkově atd.). Kdybych si tam cokoliv pozměnil pro své, tak nikdo se to nedozví a jen bych vidělal, nikdo totiž nekontroluje editace složek a mnohé změny. Jako třeba kam odchází peníze (u příkazů v informaci je jen napsáno na co, ale případná kontrola je až za hodně dlouho či nikoliv, prostě bez ověření).
A jenom k věci... katastr je dost slušnej... (ironicky) Udělějí se plány, pak z toho sejde a pak se udělá nové řízení a použijí staré plány s tím, že je zaplatí opět (nebo se jen třeba o metr posune budova či výstavba) a ten dotyčnej zkásne znova.
> Jen z důvodu, že ti zaměstnanci vynáší tolik informací, že i hacker si radši zaplatí někomu za informaci (ikdyž hacker bude mít minimum práce) přímo na tom daném místě.
Vypada to ze se vyznas ... jak se spravne "naznacuje" urednikovi ze nemas problem si priplatit prosimte? Co jsem si vsiml tak se dneska dost boji
