Elektronické občanské průkazy vydávané od 1. července 2018 obsahují certifikáty, u kterých si nelze pravost ověřit, protože stát odmítá vydat veřejné klíče, kterými státní tiskárna cenin certifikáty podepisuje.
V odůvodnění nezapomíná stát připomenout, že certifikáty v občanských průkazech jsou pouze pro jeho interní využití a občan nemá právo si jejich pravost sám ověřit. Přečtěte si kompletní odůvodnění.
Tato zprávička byla zaslána čtenářem serveru Root.cz pomocí formuláře Přidat zprávičku. Děkujeme!
Prece nechcete jit na urad se zeptat zda je vas certifikat opravdu platny. Certifikaty jsou vytvorene tak aby se dali matematicky overit bez nutnosti chodit na urad nebo verit treti strane (napr. eidentita.cz)
Vas prohlizec taky overuje platnost certifikatu automaticky, proc to neni mozne i s obcankou?
S tím souhlasím, ale to opravdu neznamená že si nelze ověřit pravost. Jen si ji nelze ověřit pohodlně.
Z matematickeho hlediska si skutecne overit platnost certifikatu nemuzeme. Protoze se musime spolehnout na treti stranu. Estonsko napr. uverejnuje certifikaty zde: https://www.sk.ee/en/repository/certs/ . V Cesku si o nich muzeme zatim jen povidat na forech.
Matematicky to samozřejmě ověří i na tom úřadě, pochybuju že to budou počítat ručně. A i když klíč bude volně ke stažení, tak jeho ověření budete taky potřebovat HW a SW nějaké třetí strany, pokud si obě nevyrábíte na koleni, stejně jako když přijdete na ono ORP.
Souhlasím že je debilní kvůli ověření chodit na úřad, ale oznámení "platnost nelze ověřit" je zavádějící. Lze - na tom úřadě. Ale uznávám, že text zprávičky kde by se psalo že "... občanky lze ověřit jenom na úřadě ..." nebude tak bombastický. Za to by ale byl přesnější ...
Když s občankou musíte na úřad, ztrácí se tam efekt té elektronické komunikace, že to můžete dělat na dálku. Proto se vůbec nějaké certifikáty zavádějí. Navíc vám ověří certifikát na vaší vlastní občance, a předpokládám, že vy sám sobě věříte, že je to vaše občanka.
Na druhou stranu, tenhle certifikát je opravdu určen jen pro autentizaci vůči státu. Pro autentizaci vůči ostatním (lidem, firmám) by měl sloužit autentizační certifikát, který si případně můžete pořídit od komerční certifikační autority – a pokud to bude certifikát od kvalifikované autority, můžete si ho nahrát i na eOP. Takže chtít někoho ověřovat podle toho státního identifikačního certifikátu je takové očůrávání „není to k tomu určené, ale je to zadarmo, tak to nějak přiohnem“.
Důvod, proč je nevydat, je ten, že by to někdo mohl začít používat, případně používat špatně, a pak si bude stěžovat na MV. Nebo si bude stěžovat, až MV něco změní. A že by je někdo používal špatně je dost pravděpodobné, napovídá tomu už jenom tahle zprávička, odkazovaný dokument a tahle diskuse. Samotný certifikát certifikační autority je totiž k ničemu, potřeba je znát také certifikační politiku. A na tu se nikdo neptal…
Kdyby to nefungovalo vůbec, tak proč by tam ty certifikáty byly? Navíc přihlašování k NIA funguje (alespoň jsem nezaznamenal, že by se někde objevil opak), a tam se tyhle identitní certifikáty používají – takže to nejspíš funguje.
Nevidím důvod, proč by tu službu měl provozovat stát, když jí můžou provozovat komerční certifikační autority. Navíc ty to budou poskytovat tak, aby to vyhovovalo jejich zákazníkům, takže ten komerční přihlašovací certifikát můžete klidně použít v ČR, v Německu i v USA. Kdyby to poskytovala ČR, nemá žádný důvod řešit, jestli vám ten certifikát uznají i v Německu nebo USA.
Ne, stát provozuje jinou službu.
Myslím, že je zbytečné, abyste mé komentáře svým „osobitým“ stylem potvrzoval. Dejte vědět, až byste se mnou v něčem souhlasil, nebo až byste napsal komentář bez sprostých slov – já to pak promyslím, kde jsem asi udělal chybu.
@martinpoljak
"Jasnš. Takže tam, kde by stát mohl poskytovat službu jako v této oblasti přirozená autorita sama o sobě, tam vás odkáže na komerční certifikační autoritu. Doufám, že to nenazýváte pokrok."
To by stát musel ručit za spoustu věcí navíc. To zatím není potřeba, IMO není na to připraven ani technicky, ani legislativně. Nechal bych to za pár let ...
Jasne tak 10-20 let hned po MEGA-SLOZITEM projektu digitalizace dalnicnich znamek ;-). To je z "Yes, Prime Minister". Pise se rok 2038, ministr prestrihava pasku pred mega-modernim hyper-cloudem 6te generace a slavnostne rika "Spoustime digitalni dalnicni znamky". Za chvili se osmeli prvni novinar a rika, pane ministre ale vsichni jiz letaji osobnimi drony :-)
Overi naprosty prdlajs, protoze vubec netusi jak by to meli udelat. A i kdyby tusil, tak ty ani ten byrokrat nemas paru, jestli se vubec neco pocita nebo jestli si to z tebe jen strili. Proto se klice zverejnujou aby si to matematicky overeni moh udelat kdokoli.
Tohle je asi tak stejne bezpecny, jako ze se utaji, kde stoji venca na vaclavaku.
Platnost vašeho dokladu je relativní vzhledem k tomu, kdo vám ho vydá. Pokud vám úřad řekne, že je platný, tak to platí, protože to úřad určuje platnost. Platnost certifikátu je daná docela komplexním matematickým problémem, tzn. úřad si může říkat co chce rozhodující je výstup algoritmu. Btw. pokud zatajujete veřejný klíč, tak to zavání nějakou nepravostí.
Tudíž je vaše námitka totálně mimo mísu.
To není pravda. Ověřit si pravost v těchto záležitostech, znamená možnost si ji ověřit i na neutrálním zařízení. Ověřování na zařízení vydavatele je směšné a proti důvěryhodnosti. K pochopení tohoto argumentu je ovšem nutná základní znalost o PKI, to že ji neznají úředníci co mají pravomoce rozhodovat, to mě neudivuje. ale to že ji neznaji někteří zde, to mě opravdu mrzí.
@i
K pochopení toho argumentu je hlavně potřeba pochopit co je podle tebe "neutrální zařízení" a v čem je lepší než zařízení ke kterému není přístup random komukoliv, což je třeba takové to "doma" kde se lozí po warezech, pornech, stahují a otvírají se přílohy kolujících mailů, kde by sis (resp. občan) ověřoval ten certifikát sám ... ano, znalost KPI
Ked nie je zverejnena ani verejna polovica, tak je lamanie narocnejsie.
Opravdu? V čem je náročnější?
Ako zistite, co lamat? Inak povedane, ani kvantovy pocitac s nekonecnym vykonom na toto nestaci.
To si odmyslam drobnosti ako ze sa kluc da zlomit rychlejsie, lebo by bol nahodou zranitelny na novu verziu ROCA alebo coho. V tom pripade sa oprava stale hodi, ale netreba sa s nou tam ponahlat.
Jo, jenže to, že si ji nelze ověřit pohodlně taky může znamenat, že je to mimo státní použití naprosto zbytečná věc. A takyže v tomto případě znamená.Tam, kde by stát mohl poskytovat třeba komerčním subjektům službu v podobě možnosti vás identifikovat bez kopírování občanek a posouvat digitalizaci vpřed, tam zavře dveře.
- hele Franto oni chtějí nějaký klíče
- co který zase?
- asi ty co jsem ti včera posílal na tem mail na seznamu
- to ne ty jsou tajný, starej říkal že je nesmíme nikde nechávat
- aha tak to musím říct manželce ať mi vrátí tu flashku
- v klidu, hlavně neodpovídej na tu žádost
- když oni tady píšou že je to veřejný a že jako mají právo
- nic jim nedávej, jsou to nějaký hackeři nebo co, ještě nám to tu nabouraj
- jasně dám to právnímu jako posledně, oni jim odpoví proč to nejde
Hele to je stejne divny, proc netajej jak vypadaj bankovky? Proste by sis vytisk papirek, na nej numero - trebas 200 000 000Kc ... a kdyby se nekdo ptal jestli je prava, tak mu reknes, at si dojde do ty tiskarny, ze tam si to muze overit ... mno a tamni uklizecka samozrejme svato svate prohlasi, ze je.
@xyz
To o dobrém slovu tvrdíš ty.
No jestli to nebude tím, že sis někde vysnil, že když si ten doklad přijdeš ověřit na úřad, tak tam sedí úředník/úřednice, která neumí do pěti napočítat a místo ověření dokladu si hodí mincí pokud Siderické kyvadlo nemůže najít. A na celém tom stojí tvoje teze o neověřitelnoti úředníkem. Jinak samozřejmě úřednice použije nástroj na ověření který k tomu dostala. Což ty uděláš taky. Jenom jiným.
Úplně stejně bys mohl argumentovat o cestovním pasu. Tam ti taky stát nedává možnost použít "nějakou sadu na domácí ověření" ale prostě si ho musíš nechat zkontrolovat, případně si ho stát kontroluje kdy chce při nějaké příležitosti.
Já sice taky nechápu proč to nezveřejní, ale když už se tak rozhodli, tak nebudu tvrdit jak retard, že stát nedokáže ověřit dokument jenom proto, že nezveřejnil sadu na jeho domácí ověření - v tomto případě veřejný klíč.
Oni jsou <b>verejna</b> instituce, tak mozna maji pocit, ze jim <b>verejne</b> klice patri a nemaji je nikomu davat.
Kazdopadne za tohle mizerne technicke povedomi o vecech se kterymi dotycni statni urednici pracuji bych vyhazoval na hodinu. Je videt ze statni sprava je plna idi*tu, kteri na svych mistech nemaji absolutne co pohledavat.
To je takový začarovaný kruh - nikdy tam nebudou dostatečně erudovaní lidé - prostě nikdy.
Buď tam budou karieristi, kteří v tom vidí možnost ovládat ostatní, případně možnost si někde líznout. Nebo tam budou idealisti, které to přestane za chvíli bavit, až uvidí co za to dle platové třídy dostanou.
Prostě ten systém je tak nastavený a nikdy fungovat nebude. Je udělaný jen tak, aby se posunoval jakože aby se neřeklo, ale nepočítejte s tím, že se to někdy zlepší s tím elektorátem co je k dispozici.
Nemá smysl proti tomu bojovat - je to už takový moloch, že se to nepovede nikdy rozmotat - jedině nějakým resetem - ale pak to začne nanovo - a do několika dekád to bude ve stejném svrabu.
Stačí na to prdět a zařídit se sám podle sebe - život máte jen jeden, tak fakt nemá smysl hledat nějaké rozumné východiska. Nelze to změnit. :-)
Tak především je to další tunel na prachy...
Pokud mohl sloužit OP k ověření identity osoby mimo kyberprostor, týž účel je témuž prostředku v kyberprostoru násilně odňat, aby mohl být zpoplatněn jako "nadstandard" a tedy zpřístupněn jen těm, kdo takto vynuceně přispívají k dobývání renty trvalou (opakující se) platbou (za podpisový certifikát).
Tak na co si ku*va ty nekřesťanský daně platíme?
Stat v tomhle proste selhal. Cokoliv verejneho na obcance ma byt k dispozici. Stat by mel mit v zakone definovane minimalni technicke parametry, pak at si kazdy bastli nad tim co chce. Proc bych nemohl podepisovat dokumenty obcankou? Proc bych nemohl ... dalsich milion zpusobu jak ji vyuzit... ale presne vim jak to vznikalo a kvuli nda nepovim proc to je tak zkurvene.
eObčanku nemám, takže nemohu posoudit, ale nejsou na těch certifikátech uvedeny také (citlivé) osobní údaje? Pak by jejich nezveřejnění dávalo smysl.
> Proc bych nemohl podepisovat dokumenty obcankou?
Já bych třeba rád podepisoval kód, ideálně pro Windows kernel. Nemusel bych se starat o extra smartcard navíc. Jenže pro podepisování kódu (zvláště toho jaderného) jsou trochu jiné požadavky než pro dokumenty (a i u toho kódu je několik úrovní).
Stát by sice mohl nějaký takový certifikát dodávat zdarma, ale netrefil by se do potřeb všem. A pokud podepisovat chcete, myslím, že poplatek není tak hrozný (spíš mi přišel otravný samotný proces získání a importu certifikátu, ale to už bylo před lety, třeba se zlepšili).
Samozrejme na te obcance muze bych tech certifikatu vicero a samozrejme kazdy muze mit jine pouziti. Ty moznosti certifikatu jsou vicemene dane, takze mit tam 5 ruznych certifikatu pro ruzne ucely pouziti by nemel byt technicku problem. Na smart karte mam taky vicero certifikatu pro ruzne pouziti. V tom certifikate nepredpokladam ze je neco citliveho, respektive bude tam smaximalne stejna informace jako na obcance v textove forme.
> Samozrejme na te obcance muze bych tech certifikatu vicero a
> samozrejme kazdy muze mit jine pouziti. Ty moznosti certifikatu
> ...
Já jsem to myslel tak, že i když by tam stát nějaký certifikát dal zdarma (kromě toho svého), nepomůže všem (tady je otázka, co by slovo "všem" přesně znamenalo) a celá ta věc bude o ten certifikát dražší.
Ta občanka není vaše, je státu. Ten certifikát není váš, ale státu.
Pokud občanku ztratíte, tak dostanete novou. S novým certifikátem.
Pokud bude mít stát nějaký problém, tak vám může třebas certifikát přepsat.
A teď se děsím toho, že bych tím jejich certifikátem měl něco podepsané. Vy snad ne?
Na tu občanku si samozřejmě můžete nahrát i certifikáty jiné, vlastní. A hlavně zálohované.
Na tu občanku si samozřejmě můžete nahrát i certifikáty jiné, vlastní. A hlavně zálohované.
Podle zákona si tam můžete nahrát jen kvalifikované podpisové certifikáty a autentizační certifikáty od kvalifikovaných autorit.
Nahrát si tam kvalifikovaný certifikát pro elektronický podpis, od kterého máte zálohovaný privátní klíč, samozřejmě můžete, ale přijdete tím o to nejpodstatnější, proč mít podpisový certifikát nahraný právě na občance – nebudete moci vytvářet elektronický podpis založený na kvalifikovaném certifikátu a vytvořený kvalifikovanými prostředky (takový podpis je uznáván v celé EU). Budete moci vytvářet pouze elektronický podpis založený na kvalifikovaném certifikátu, který je po přechodnou dobu uznáván českým státem, ale obecně v EU neplatí. Z hlediska důvěryhodnosti podpisu je to stejné, jako kdybyste měl privátní klíč uložený v souboru na disku.
> Chápu dobře, že vydání veřejného klíče brání obava, že by to pak
> umožnilo šifrovat např email a nikdo kromě příjemce s eOP by se k
> němu nedostal ? Jsem se asi zasnil... :-)
Ten certifikát bude mít v sobě (v extensions) specifikováno, k jakým účelům se může používat. Většina programů toto nastavení respektuje, takže vám šifrovat nedovolí, pokud to certifikát nepodporuje (pokud obsahuje veřejný klíč, kterým se vůbec dá šifrovat vzhledem k použitému algoritmu).
Tak samozrejme stat bude pro interni potrebu obcas potrebovat vyrobit nejake falesne doklady tak, aby nebylo mozno ukazat na padelatele prstem. Situace, ze si kazdy moula za 30 sec overi pravost dokladu a soucasne ze jedinym moznym padelatelem byl stat je pro ucely internich bezpecnostnich agentur nocni murou.
Proč by stát vytvářel doklady s falešným certifikátem, když může vytvořit doklady s pravým certifikátem?
Preco by mali byt dane certifikaty dostupne?
Jednak su jednoucelove a urcene na autorizaciu voci statnym subjektom, aj tak ich nemozete pouzit na nic ine.
Taktiez ako clovek nemate overovat obciansky podla tohhto certifikatu, to je z hladiska PKI uplna blbost. Ak si chcete ako sukromna spolocnost overovat cloveka podla obcianskeho pouzite na to kvalifikovany podpis.
https://www.egovernment.cz/soubor/edoklad-petr-fikar/
Uz to ma nejaky ten patek, ale snad nekomu pomuze pochopit jak je STC technicky zapojena do eOP.
Podobne se daji najit plany s NIA a vztahy k eIDAS.
V nalinkovane prezentaci se jako priklad pouziti uvadi i Office365. Cili je spravne eOP chapat jako sluzbu. Zajimavy bude vyvoj ohledne predavani zdravotnicke dokumentace, jak je taktez planovano. To uz neni legrace.
A to je zase jednou nesmyslný státní bastl. Namísto aby stát podpořil eGovernment tím, že občanům vydá kvalifikované podpisy, zase se spokojí s drahým bastlem, který je sice určitě "založen na moderních technologiích", ale je tak nedomyšleně proveden, že se dá využít jen na 10%...samozřejmě při plné pořizovací ceně :/
Kdy už se ve státní správě konečně najde někdo s vizí...tedy jinou, než týkající se vlastního prospěchu.
Proč nezveřejní certifikát?
1) stát ho má a celé to navrhuje hlavně pro sebe
2) pokud někdo chce, může použít komerční cert
3) pokud by stát certifikát zveřejnil, všichni kdo by byli schopni načíst OP by také mohli získat identitu dotyčného. Ale dle zákona nemají běžné subjekty právo nás legitimovat. A to ani tajně, když z OP čtou legálně svůj certifikát.
1) může jít ale o formu veřejné kontroly
2) to nemá vůbec vliv na to, jestli ten svůj interní sdělí
3) to mohou i tak, tím certifikátem není nic šifrované, ale podepsané a bez té "veřejné" části nelze ověřit, že podpis sedí, ale údaje přečíst lze
Copak nestačí zákonem zakázat používat interní certifikát, musí k tomu dělat ještě technické obstrukce? Jedná se pouze o veřejný klíč. Pokud již teď někoho napadne tohle dělat, tak si prostě z více občanek získá otisk veřejného klíče a bude očekávat, že ho stát nebude tak často měnit a může ověřovat certifikáty :). Výsledek bude naprosto stejný, prostě k ničemu.
