Vlákno názorů k článku
Velký zájem o eDoklady přetížil Identitu občana
od RRŠ - Zatím jsem narazil na dva blokační body:
nutnost povolit...
-
Zatím jsem narazil na dvablokační body
:- nutnost povolit komunikaci pomocí bluetooth, protože na služebním mobilu máme BT prostě zablokované jako nebezpečné rozhraní (a soukromý smartphone nemám),
- povinné (?) zabezpečení pomocí biometrie, protože ty mobily mi odmítají číst prsty (ani do práce se tak nedostanu) a můj obličej byl nerozpoznatelný i pro iPhone (přesněji: nepozná shodu - ne, že by pustil někoho jiného).
Takže pevně doufám, že s plastovou kartičkou vydržím - až do rakvičky. -
Dotaz - existuje na tuhle věc analýza rizik, a zejména jaké je worst case scenario?
Konkrétně: Mám 0-day root exploit s kompromitací secure enclave. Co nejhoršího mohu provést nositeli? (jak jsem pochopil, tak aplikace běží i offline, a její součástí je i xicht, který se zobrazuje na mém mobilu, plus podepsané údaje, které má předat). -
Nejhorší scénář je, že nositeli zablokujete použití aplikace, tj. nebude se moci občankou v mobilu prokázat. Další nebezpečí je, že útočník získá údaje, které ta aplikace zobrazuje svému uživateli – přičemž ale ty údaje útočník pravděpodobně získá ze spousty jiných aplikací v mobilu.
Pokud by útočník měl i možnost získávat údaje z občanky (tj. byl registrován jako konzument dat), mohl by získat i ty údaje z občanky, na která má oprávnění.
Ta aplikace v mobilu slouží jenom jako nosič těch dat. Za věrohodnost dat není odpovědná ta aplikace, ale poskytovatel dat – aplikací ta data jenom protékají. Proto napadením mobilu nemůže dojít k ohrožení těch dat.
Je to tak z toho důvodu, že když budete v roli ověřovatele, nemůžete se spolehnout na to, že vám někdo předkládá běžný mobil s opravdovou aplikací eDoklady. Nejhorší scénář pro vás jako pro ověřovatele není to, že je útočník někde mezi vámi a uživatelem; nejhorší situace pro vás je taková, že sám uživatel (ten, jehož identitu ověřujete) je útočník. Na to musí být připraveny scénáře použití aplikace. A tím pádem automaticky eliminují i jakékoli zranitelnosti na zařízení uživatele, protože to zařízení ze principu považováno za nevěrohodné. Proto to zařízení funguje jen jako nosič dat, ta data jsou vytvářena a podepsána někde jinde, v důvěryhodném prostředí. A aplikace v mobilu slouží jenom k jejich předání. Kdyby se oželely některé funkce aplikace (aktualizace dat a výběr, která data se mají přenést), nebyla by vlastně žádná aplikace potřeba a stačilo by mít vytištěný QR kód s příslušnými údaji.
-
Ach jo, tak jinak, znovu a podrobnějš.
Ta otázka byla. Vyskytl se exploit, který útočníkovi umožní komplexni export dat z mobilu (včetně těch zabezpečených), aniž by si toho oprávněný vlastník všiml.
Dejme tomu, útočník má k dispozici plný přístup do systému (to znamená, že si může změnit cokoli, co jeho mobil _zobrazuje_. Nemůže ale změnit podepsaná data, která se ověřují jinde.
Takže vynechme školní povídání o tom, jak funguje systém veřejného klíče, a konkrétní otázka: Jaké je worst case scenario, pokud útočník může zmanipulovat cokoli se zobrazuje na jeho mobilu, a má současně podepsanou identifikaci, kterou bude pochopitelně presentovat ověřovateli? Dostane na základě toho (nebankovní) půjčku? Nebo bude si úřednice či notář při ověřování podpisu ověřovat shodu fotky v základních registrech? Jaké další právní úkony by takhle bylo možno provést? Nebo si dokonce na základě toho zařídí bankovní konto (a tím pádem i bankovní identitu oběti).
-
Teď popisujete jinou situaci, než jste popisoval prvně. Teď popisujete situaci, když osoba, jejíž identita se ověřuje, je zároveň útočník. Ten může mít klidně svůj vlastní zmanipulovaný mobil, zmanipulovaný třeba už na úrovni hardwaru. To je přesně ta situace, která se u každého takového systému řeší. A řeší se tak, že ověřující osoba nevěří ničemu, co zobrazuje mobil osoby, jejíž identita se ověřuje. Ověřující věří svému zařízení a věří podpisu. Ten mobil uprostřed je jenom prostředník, který jenom přenáší podepsaná data.
Takže já můžu třeba v té bance předložit správně podepsaná data, bankovní úředník si porovná fotografii a případně další údaje a podle toho ověří mou totožnost. Stejně, jako by to dělal s plastovou občankou. Nebo předložím data bez podpisu nebo se zfalšovaným podpisem – taková data musí bankovní úředník odmítnout. Stejně jako odmítne padělaný občanský průkaz – akorát u té mobilní aplikace je triviální to rozpoznat, v případě plastové občanky bude problém kvalitní padělek poznat. Nebo předložím podepsaná data někoho jiného, pak je to stejné, jako kdybych v bance předložil cizí občanský průkaz – je na tom, kdo ověřuje totožnost, aby podle fotografie a případně dalších údajů poznal, že to nejsem já.
Jinak ta banka je zatím čistě teoretická věc. Aktuálně mají povinnost akceptovat eDoklady jen ústřední orgány státní správy, tedy např. ministerstva. Od poloviny roku to bude i Policie a od příštího roku ostatní orgány veřejné moci. O tom, že by byla povinnost to akceptovat v soukromém sektoru, byť třeba jen v bankách, zatím vůbec nebyl řeč. A pravděpodobně k tomu dojde až někdy v rámci jednotného řešení v celé EU.
-
Nerad bych se myli, ale nemaji od 1.1.2025 povinnost prijmat eDoklady i soukrome osoby, kterym pravni predpis uklada overit totoznost? Fakt je, ze nevim, zda banka musi ze zakona treba pri zakladani uctu overit totoznost, ale celkem bych to predpokladal. Kdyz vezmeme, ze existuji veci jako BankID, tak bych cekal, ze nejaka povinnost overeni existuje.
-
Máte pravdu, od 1. 1. 2025 mají tu povinnost všechny osoby, kterým zákon ukládá povinnost ověřit totožnost (což není třeba prodej alkoholu, tam se neověřuje totožnost, ale jen věk). V případě bank to určitě je při zakládání účtu (kvůli AML).
Vlastně nevím, na základě čeho je ta posunutá účinnost (na polovinu roku a příští rok), protože v zákoně je ta povinnost elektronické doklady přijímat napálená rovnou pro všechny orgány i osoby, kteří mají povinnost ověřovat totožnost.
-
Ja to zuzil na totoznost, ale v zakone je:
"Právo na využití digitálního stejnopisu průkazu
§ 9a
(1) Vyžaduje-li právní předpis nebo výkon působnosti prokázání totožnosti nebo jiné skutečnosti předložením průkazu, který je veřejnou listinou, nebo umožňuje-li právní předpis prokázání totožnosti nebo jiné skutečnosti předložením průkazu, který je veřejnou listinou, lze totožnost nebo jinou skutečnost prokázat digitálním stejnopisem průkazu.."
https://www.zakonyprolidi.cz/cs/2020-12#f7849641
Teoreticky bych to chapal, ze ta jina skutecnost, kterou zakon umoznuje prokazat predlozenim prukazu by mohl byt i vek. Nejsem pravnik. Fakt je, ze se zatim nikde nehovorilo o tom, ze by to mely uznavat restaurace nebo obchody. Mozna to jen spatne chapu, mozna je zatim nechteji desit ;-)V zakone je prechodne ustanoveni:
"Přechodné ustanovení zavedeno zákonem č. 1/2024 Sb. Čl. II
Totožnost nebo jinou skutečnost lze prokázat digitálním stejnopisem průkazua) od 1. ledna 2024 pouze vůči ústředním správním úřadům, s výjimkou zastupitelských úřadů,
b) od 1. července 2024 rovněž vůči orgánům veřejné moci...
c) od 1. ledna 2025 rovněž vůči ostatním orgánům veřejné moci a vůči osobám uvedeným v § 9a odst. 2 větě druhé zákona č. 12/2020 Sb,..."
https://www.zakonyprolidi.cz/cs/2020-12#f7849774Citace jsou zkraceny.
cely zakon: https://www.zakonyprolidi.cz/cs/2020-12
novela, kterou se menil: https://www.zakonyprolidi.cz/cs/2024-1
Mate-li chut to studovat ;-)
-
Věk by mohl být jiná skutečnost, kterou zákon vyžaduje prokázat předložením průkazu, ale rozhodně jím není (při nákupu alkoholu). To by pak nebylo možné chtít občanku jen po těch, kteří vypadají, že je jim méně než 18, ale bylo by nutné ji chtít po všech. (Což by v ČR znamenalo přinejmenším pád vlády, jak ukazuje diskuse na Lupě.)
Odkazy znám, ale i tak díky :-) Porovnával jsem jen znění zákona k lednu příštího roku a aktuální, nenapadlo mne, že to bude v přechodných ustanoveních takto. Obvykle se to dělá tak, že se rozdělí účinnost novely pro různá ustanovení, tohle je trochu prasárna…
-
Nevychazim z te casti, kde pravni predpis vyzaduje, ale z bezprostredne nasledujiciho: "nebo umožňuje-li právní předpis prokázání totožnosti nebo jiné skutečnosti předložením průkazu" a ja bych si myslel, ze pravni predpis umoznuje obcankou prokazat vek, ale konkretni zakon hledat nebudu. Nejspis uvidime za rok, coz je z geologickeho pohledu velmi kratka doba.
-
To říká, že se můžete eDokladem prokázat, ale neříká, že ho protistrana musí akceptovat. Nebo-li odstavec (1) říká, že když někde jiný zákon říká, že můžete např. věk prokázat občankou, můžete ho prokázat i eDokladem a zákonu to vyhoví také. Neříká to ale nic o tom, že protistrana musí eDoklad akceptovat – to řeší právě až odstavec (2).
-
Někdo má povinnost akceptovat digitální stejnopis od nějakého termínu (třeba OVM, později banky). Kdokoli se ale může rozhodnout akceptovat je dřív. A tohle ustanovení říká, že akceptací digitálního stejnopisu je splněna zákonná povinnost ověřit skutečnost na základě průkazu totožnosti. Aby pak někdo nepřišel a neříkal „vy jste to měl ověřit na základě občanky, ale ověřil jste to jen na základě nějaké aplikace v mobilu, čímž jste nesplnil svou povinnost“.
-
To je ale hlava 22. Osoba A má sice právo se tím prokázat osobě B, ale osoba B nemá povinnost to akceptovat. K čemu je tedy vlastně právo, když ho druhá strana nemusí respektovat? To je jako by ve vyhlášce bylo "auto na hlavní silnici má přednost v jízdě, ale auto na vedlejší silnici mu přednost dát nemusí".
Doufám, že takhle to tedy není.
-
Pote, co mi pan Jirsak pomohl se v tom zorientovat, se prikladnim k tomu, ze to tak je. Bohuzel jsem v duvodove zprave nenasel (coz neznamena, ze to tam neni), proc. Osobne se domnivam, ze by to bylo proti tem, kteri potrebuji napriklad jen overovat vek, prilis prisne.
To, ze je definovana moznost, ale nikoli povinnost, je nejspis nutne, aby to slo aspon dobrovolne. -
Ne, není to tak. Už jsem to popisoval. Pokud Osoba B nemá povinnost to akceptovat, osoba A se tím nemůže prokázat (resp. prokazovat se může, ale bude jí to houby platné). To druhé ustanovení říká, že když osoba A má povinnost něco prokázat občankou, může tuto povinnost splnit i tím, že předloží digitální stejnopis – za splnění ostatních podmínek, například toho, že osoba B digitální stejnopis akceptuje. Nebo-li když má osoba B povinnost něco zkontrolovat na základě občanského průkazu, potřebuje teď mít zákonem řečeno, že svou povinnost splní, i když to zkontroluje na základě digitálního stejnopisu.
ČLÁNKY DO MAILU