Názory k článku
Proč nemá Policie České repubiky na webu HTTPS?

Podobně jsem dopadl, když jsem chtěl zavést https na webu Agentury pro regionální rozvoj Moravskoslezského kraje (krajem zřizovaná regionální agentura).
Paní ředitelka mi sdělila, že když to zákon nevyžaduje tak nic nad rámec dělat nebudeme.

Ochranu osobních údajů jsme samozřejmě měli. Nemyslel jsem konkrétní zákon, ale ono vládní prohlášení nebo vyhláška či co to bylo o tom, že úřady veřejné správy musí v nějakém harmonogramu https implementovat...

Nevíš, o jaké nařízení se jednalo? Protože nařízení vlády podle mě nemůže postihnout úřady veřejné správy, ale jen ministerstva a ústřední orgány státní správy, pro všechny ostatní se může jednat maximálně tak o doporučení.

Tak to už bohužel opravdu nevím.
Já tyto věci neřešil. Já chtěl jen zavést https a ze strany paní ředitelky mi bylo řečeno, že my do této povinnosti nespadáme a proto to neuděláme...
Možná se to netýkalo veřejné správy, ale státní správy...
Ale o to až tak nejde... Princip byl v tom, že dokud nám to stát nenařídí tak neuděláme ani prd navíc...

A jaké náklady to znamená? I nyní když na https přistoupili tak je to certifikát od let's encrypt...
A prace byla v nákladech moji pracovní smlouvy.

Tak napriklad naklady na vyssi dimenzovani serveru kvuli vytizeni sifrovanim

Zruseni ministerstva informatiky byla chyba. Kyberprostor nas pohlcuje a neni tu nikdo rozumny, kdo by to na vladni urovni umel rozumne resit. Proto vim koho budu volit.

ty ses taky lupic a vyderac ;)
https://www.root.cz/zpravicky/eu-si-zaplatila-studii-o-skodlivosti-piratstvi-ale-nezverejnuje-ji/

Nic jako kyberprostor nikdy neexistovalo a zatim neexistuje. Je to jen hloupy vymysl novinaru a lidi milujicich cyberpunk.

Alespoň si dalo pár lidí práci odpovědět. No co už...

No a jak poznám, že statická stránka není podvržená, nebo že do ní někdo něco nepřidal?

A stojí za to to řešit pro těch pár webů, kterým by to stačilo? Ušetří se tím něco? Není to nakonec polovičaté řešení?

Bezne na letistich ve svete, kde ti davaji reklamu do stranek kdyz se pripojujes pres jejich hotspot.

jak piší ostatní, bezpečnost zadávaných dat je jedna věc, druhá je nezměnnost samotného obsahu stránky při přenosu. Útoků na veřejné wifi, které modifikují obsah nezabezpečených stránek přibývá a není to technicky takový problém.

Je pak možné načítanou stránku libovolně upravit, ať už přidáním škodlivého kódu, tak změnou informací, psaním vlastních tiskových zpráv či jinou záškodnickou činností.

Autentizace může být třeba přes klientský certifikát nebo Kerberos, kde nevadí, když ji útočník zachytí.

HTTPS by mělo být všude, protože existence HTTP vnáší díry do zabezpečení (SSL-stripping) a soukromí (HSTS supercookie).

"Už jen to, jaké stránky navštěvuješ"
To jiste a proto to soudruzi vymysleli tak, ze se prave tahle cast posila zcela nesifrovane i pres https.

trochu balamuti, k systemu se prihlasuji, ale tam maji https, avsak self-signed, trebaze pak je nutne certifikat pro prihlaseni, ale opet vydane jen tou autoritou firmy, co to ted zastresuje, jinak verte, ze v tom nechcete nic publikovat, je to neskutecne pomale, polofunkcni a nedomyslene dilo a cely proces vyberu a zmen zastresujicich firem je rozhodne fajn pribeh na dlouhe nocni vecery :)

Jak jsme dotez mohli zit bez vseho na HTTPs...

Podobně jako jsme mohli žít v době, když v noci na silnici nebyla omezená rychlost či železniční přejezdy byly bez jakéhokoliv zabezpečení. Bylo to nebezpečné, ale moc to nevadilo, protože provoz byl slabý a pomalý. Jak začal provoz houstnout a zrychlovat, stal se z toho problém.

Driv jsme treba take zili bez ridicich letoveho provozu na letistich i ve vzdusnem prostoru. Pak se parkrat neco srazilo a najednou to byla take nutnost :)

Az prijde plne nasazeni NEXTGENu, tak prakticky vymizi a bude stacit jeden clovek na x letist. Ufff. Pripadam si jak Ivan Novy ;-)
Akorat ze v letectvi nejsou nagelovani, nazehleni startupovi new feature hnupove, co musi rozbit fungujici system. Takze to chvilku potrva...

Tak teď vidíte proč HTTPS nemají. Ale dotaz podle 106-ky není žádná "call-to-action". Musíte jim sdělit, kterým zákonem se neřídí, když mají pouze HTTP.
Někdo se zeptejte ve státní správě tam, kde HTTPS zavedli, který zákon jim to nařídil... Jinak na to byly prostředky vynaloženy nezákonně. Ta odpověď by mě zajímala.

Pokud má úředník možnost něco neudělat protože není zákon který by to vysloveně nařizoval nebo takový zákon neobsahuje konkrétní termín a postih tak to neudělá. Že to je to porkyto jiným zákonem ho nezajímá do doby než vyjde závazný prováděcí předpis. Existují výjimky, ale ty jsou výjimečné. Mimochodem většina uředních webů neslouží pro sdělování informací občanům, ale pro to aby se splnila zákonná povinost. Scanovaný dokument v pdf hozený pod nic neříkající číslo je sice lepší než nástěnka někde na úřadě, ale stejně v tom něco hledat a hlavně v termínech sledovat je docela výkon..

Vím, že přirovnání digitálních věcí k fyzickým vždycky v něčem hapruje. Ale stejně to zkusím: když mají mít fyzickou nástěnku, na kterou vyvěšují trvale dostupné informace, je nezákonně vynaložený prostředek, když si kvůli tomu úřad pořídí vitrínu se zámečkem? Nebo se to rozumí tak nějak samo sebou v pořádku, že si zařídí aspoň základní ochranu prostoru, na kterém informace sdělují?

V tomto případě je srovnání na místě. Takže jeden úřad argumentuje tím, že žádnou vitrínu se zámečkem pořizovat nebude, protože mu to zákon nenařizuje.
Druhý úřad si tu vitrínu pořídí a bude tvrdit,
1) že se to zabezpečení nástěnky rozumí samo sebou
2) že dle zákona ručí za informace na té nástěnce
3) ?
Mě zajímá co řekne, v každém případě, ať to poví tomu prvnímu úřadu.

Prosímtě, neřiď se Jirsákovými mimózními plky.

jo a pak mas web co je https ale vlastne neni.

To je zase blábol. A ještě se pod to ten chlápek podepíše.

Je to marné - vysvětlovat účel HTTPS je jako vysvětlovat čtyřkařům, k čemu že je vlastně ta IPv6.

Přesně. Odvést!

HTTPS všude, naprosto bez jediné výjimky. Kdo nerozumí proč je to potřeba, nechť si doplní technické vzdělání.

Na ty čidla je potřeba se dívat přes webový prohlížeč?

Mimochodem existuje keep-alive, který slouží právě pro případy, aby se nemusel handshake pořád přepočítávat.

Asi budu vypadat jako idiot, ale HTTPS na úředních stránkách skoro nemá cenu... Jen z důvodu, že ti zaměstnanci vynáší tolik informací, že i hacker si radši zaplatí někomu za informaci (ikdyž hacker bude mít minimum práce) přímo na tom daném místě.
Já osobně můžu říct, že já jako student jsem se dostal k věcem tipu finanční náklady města a mnohému jinému (jako třeba úřední plány, katastr, majetkové složky, archiv celkově atd.). Kdybych si tam cokoliv pozměnil pro své, tak nikdo se to nedozví a jen bych vidělal, nikdo totiž nekontroluje editace složek a mnohé změny. Jako třeba kam odchází peníze (u příkazů v informaci je jen napsáno na co, ale případná kontrola je až za hodně dlouho či nikoliv, prostě bez ověření).

A jenom k věci... katastr je dost slušnej... (ironicky) Udělějí se plány, pak z toho sejde a pak se udělá nové řízení a použijí staré plány s tím, že je zaplatí opět (nebo se jen třeba o metr posune budova či výstavba) a ten dotyčnej zkásne znova.

> Jen z důvodu, že ti zaměstnanci vynáší tolik informací, že i hacker si radši zaplatí někomu za informaci (ikdyž hacker bude mít minimum práce) přímo na tom daném místě.

Vypada to ze se vyznas ... jak se spravne "naznacuje" urednikovi ze nemas problem si priplatit prosimte? Co jsem si vsiml tak se dneska dost boji

Pan Daněk by se měl vrátit zpět do obory a my ostatní bychom měli být rádi, že policie nějaké stránky má, protože neznám nikoho, kdo by u ní chtěl za stávajících podmínek pracovat.

tak proc u ni pracujes? ;)