Názory k článku Český eGovernment v roce 2020: nové klíče k NIA, spam v datových schránkách i plán na jejich automatické zřizování

Podle mých informací se v tomto roce taková možnost plánuje. Uživatel tedy bude mít možnost si jednotlivé prostředky zablokovat.

Smyšlené jméno není (v tuto chvíli) takový problém – nespojí se to s žádnou identitou, takže se s takovým účtem nic nedozvíte. Mnohem větší problém bude, až někdo získá přístup k cizí identitě a bude moci jeho jménem jednat se státem.

Souhlasím s tím, že banky nebyly motivované ověřovat důkladně, a bylo to dost slabé. Jěště byla alternativní metoda bez kurýra, a to zasláním koruny z účtu v jiné bance vedeném na stejné jméno. To považuji také za slabé.

Předpokládal jsem ale, že identity v NIA vedou až na konkrétní záznam v ROB. Ověření přes ROB, že údaje, které klient předkláda bance, souhlasí se státní evidencí, by pak některé problémy mohlo eliminovat. Např. smyšlené jméno, kradená občanka, jiná adresa apod.
Ještě by se měla kontrolovat shoda biometrických údajů, alespoň shoda fyzického vzezření klienta s fotkou ve státní evidenci. Ta nejspíš není v ROB, ale v evidenci občanek. Asi bude problém ji získat, když i Portál občana místo ní už od počátku zobrazuje jen "Zde bude vaše aktuální státem evidovaná fotografie". Takže banky ji nejspíš také nedostanou.

Martin Pištora: Přístup do ROB s ověřováním nesouvisí. Podstata Bankovní identity (a jakékoli jiné identity v NIA) je v tom, že banka garantuje, že osoba, která se přihlašuje, je ta konkrétní osoba, ke které identita patří. Kdyby se to dělo ve fyzickém světě, garantovala by, že je to ten, komu patří daný občanský průkaz. Problém není v tom, že by banka mohla mít třeba staré údaje (starou adresu trvalého pobytu, staré příjmení, staré číslo OP). Problém by byl v tom, pokud by účet ovládal někdo jiný, než na koho je ten účet oficiálně vedený. Byl by to účet vedený na bílého koně, vytvořený s ukradenou občankou, falešnou občankou apod.

Některé banky dříve umožňovaly (a možná stále umožňují) zřídit účet bez návštěvy pobočky. Něco jste zaklikali na internetu, přijel k vám „školený“ kurýr se smlouvou, tu jste podepsali, ověřil občanku, a bylo to. Nedávno jsem podobný postup absolvoval kvůli kreditní kartě. Kurýr vůbec netušil, jak se to má provést, dvakrát volal kolegovi, a celé to proběhlo stylem „je potřeba nějak vyplnit všechny povinné údaje, aby to šlo odkliknout, že to bylo předáno“. Nedělám si iluzi, že to při zakládání bankovního účtu bylo lepší.

Vždyť přece ten kurýr ověřuje vaši občanku, když vám doručuje balíček z CZC. Tak proč by stejně nemohl ověřit občanku při podpisu smlouvy s bankou. Ostatně bance na tom zas tolik nezáleží, kdo doopravdy jste – hlavně že jí dáte své peníze. Ze zákona sice musí evidovat majitele, ale pokud ten účet bude problematický, tak ho prostě zruší. A pokud by stejně stát něco požadoval, má to banka pokryté procesem a smlouvou s kurýrní společností, takže banka je z obliga. Riziko je sice o něco větší, než když kurýr vy dá zaplacený balíček někomu jinému – ale ne zas o tolik. Nevím, jestli takovéhle ověření bude stačit pro Bankovní identitu. Ale i kdyby ne – povýšení na to, že majitele účtu viděl pracovník banky, bude zase jen formalita. „Vidím tady v systému, že jste účet zakládal vzdáleně – ukažte mi prosím občanku, ať můžeme účet povýšit na plnohodnotný. Ano, výborně, všechno je v pořádku, zaklikávám, že účet je plnohodnotný.“ Myslíte, že bude pracovník na pobočce tu občanku nějak moc zkoumat? Vždyť by banka byla sama proti sobě.

Takže jsme se salámovou metodou dostali od toho, že kurýr, jehož hlavní kvalifikace je to, že umí jezdit na kole, který ověřuje občanku proto, aby balíček nedal moc často někomu jinému, ověřuje stejným způsobem identitu osoby pro přístup do informačních systémů veřejné správy. Buď přímo, nebo to po něm musí ověřit ještě bankovní úředník, který ale hlavně chce co nejméně otravovat klienta.

Podle mne není dostatečná ani možnost zablokovat u své banky použití Bankovní identity. Podle mne by mělo jít na úrovni NIA explicitně určit, kteří poskytovatelé identity mohou poskytovat mou identitu. Víc než toho, že se někdo do NIA přihlásí účtem z mé banky, se bojím toho, že se tam za mne někdo přihlásí z banky, u které účet nemám.

Přístup do ROB dostaly, i když teoreticky pro tohle nebyl potřeba, protože ostatní si (např. MojeID) musí vystačít s rozhraním, které pro IdP poskytuje NIA a přes které se ověřování provádí (v podstatě taková proxy s omezeným přístupem do ROB).
Naopak je s podivem, že si banky prolobovaly přístup do ROB a neplatí to obecně pro všechny IdP, aby byly rovné podmínky.

Zde považuji za největší průšvih to, že jsem odkázán pouze na bezpečnost mého bankovního účtu a nemohu žádným způsobem ovlivnit, aby se (v případě hacku) nešlo přes ten účet přihlásit třeba do mé datovky, což v kombinaci s naší (censored) fikcí podpisu může udělat pěknou paseku (na Slovensku fikci nemají, tam se zprávy v datovce podepisují, takže by tam tento scénář nehrozil). Stačí nějaký odpadní/nezají­mavý/zapomenu­tý účet v bance, kde mám 500 Kč a který pravidelně nesleduji a přes který se to třeba může stát.

Někdo by mohl namítat, že je to má chyba, že si mám hlídat své přihlašovací údaje, ale já opravdu nechci, aby, pokud si to nepřeji, šlo přes můj bankovní účet tohle provádět. Od toho ten účet nemám. Na akce se státem mám vyhrazenu eObčanku nebo MojeID a banka ať je bankou a kvůli bezpečnosti to chci mít zcela oddělené, protože vyluxování bankovního účtu a jako bonus k tomu krádež mé identity vůči státu se mi moc nelíbí.

Banky sice musí projít akreditací, ale že jsou tyto věci v podstatě neoddělitelně spojeny považuji za zásadní zásah. Chápu, že se stát snaží rozšířit používání elektronické identity, ale pokud to chce dělat až takto, tak já zase chci, aby mě chránil a já si mohl v eIdentita.cz (nezávisle na bance) nastavit, že v mém případě bude akceptovat určité pouze IdP, třeba eObčanka a MojeID a žádné jiné, aby tohle nemohlo nastat.

Pokud to stát myslel tak, že si mám teď zkusit najít banku, která nebude poskytovat bankovní identitu nebo nebude mít aktivaci bankovní identity automatickou nebo jenoduše zapnutelnou v internetovém bankovnictví a její zapnutí bude vyžadovat nové ověření totožnosti (jako to dělá např. MojeID), tak mu pěkně děkuji.

A to nemluvím o SONIA, tam žádný centralizovaný prvek, kde by to případně mohlo jít obdobně zaříznout, vůbec není.

Když jsem v dřívějších diskuzích o bankovní identitě také namítal, že mě banka nemá dostatečně identifikovaného, tak někdo psal, že součástí procesů bankovní identity bude nově pro banky přístup do ROB a další povinnosti s ověřováním.

Zřídil jsem si eOP, abych nemusel s kazdou volovinou na úřady. Pomocí ní jsem si zřídil datovku. V dobré víře, že si budu moci vyřídit online třeba duplikát rodného listu. Ale bohužel mi bylo úředníci na liberecké matrice řečeno, že to takhle nejde.
Tak k čemu to je vlastně dobré, když tam stejně musím osobně?

Toto je určitě další z otazníků. Pokud banka např. viděla klienta na pobočce naposled před 5 lety tak asi má pořád správné údaje ke ztotožnění s ROB, ale pokud si klient před 2 lety aktivoval dvoufaktorový prostředek na dálku, bez návštěvy pobočky, tak už vůbec nemusí platit, že to je jedna a ta samá osoba, což je dost zásadní požadavek. Lze jen doufat, že toto je v nezveřejněných podmíkách nějak ošetřeno a vyloučeno.

Nemyslím si, že to stát udělá, ale je to určitě zajímavý výklad. Banka jakožto vydavatel prostředku může být zároveň tím "kdo umožňuje prokázání totožnosti podle zákona upravujícího elektronickou identifikaci". A dá se celkem předpokládat, že již při aktivaci prostředku směrem ke správci národního bodu byl tento prostředek "vůči bance" použit. V takovém případě by nějaký mazaný Perry Mason možná obhájil interpretaci umožňující zřízení datové schránky okamžitě při aktivaci, kterou budou banky hromadně nastavovat všem svým klientům.

Celkem zajímavá je také situace, jak se tento paragraf vztahuje na množství existujících držitelů elektronických prostředků, u kterých toto "první" použití již proběhlo v minulosti. Zde se nabízí výklad, že těmto uživatelům to bude zřízeno automaticky a nebudou tomu, na rozdíl od nových uživatelů, moci jakkoliv zabránit.

> Asi to bude banka od banky, ale nečekám, že to banky plošně spustí ve smyslu
> mám přihlašovací údaje do internetového bankovnictví = mám automaticky aktivní
> "bankovní" identitu (ono se to u každé banky jmenuje jinak).

Právě že ano. Banky to spustí tak, že všem automaticky aktivují používání přihlašovací údaje pro bankovnictví i pro NIA. Jediné omezení je, že musí být ten klient dostatečně ověřený, což nejspíš znamená, že byl někdy na pobočce. Pokud to klient nechce, bude muset aktivně tuto funkcionalitu vypnout. Pokud to ale půjde vypínat a zapínat se znalostí stejných přihlašovacích údajů, je klient trochu v pasti. Bude určitě zajímavé to sledovat, zejména pokud se takto automaticky aktivují prostředky postavené jen na bezpečnosti SMS.

Já si právě vůbec nejsem jistý tím, zda mne má banka dostatečně identifikovaného a ztotožněného v ROB (banky snad dříve do ROBu neměly přístup). Banky potřebují ze zákona identifikaci na nějaké úrovni spolehlivosti – a i to pokud vím banky napínaly až kam to šlo, když šlo založit účet, aniž by mne kdokoli z banky viděl.

Pořád mám pocit, že bankovní identita spočívá v tom, že jsme se salámovou metodou dostali od prakticky žádného ověření identity až na úroveň „značná“. Když k tomu přidám ještě fakt, že je teď snaha všude nahrazovat podpisy autentizací…

Lidé nepoužívají e-government proto, že neposkytuje žádné výhody (v praxi spíš nevýhody) a jsou to jen dílčí služby, takže se papíru člověk stejně nevyhne. Tím, že se výrazně oslabí spolehlivost základních prvků e-governmentu, se tenhle problém nevyřeší.

Na jednu stranu souhlas, ale na druhou by to byl začarovaný kruh a pokud by byl potřeba jiný NIA IdP k aktivaci bankovního ID a nestačila by má předchozí identifikace ze strany banky (musí to tak jak tak provádět ze zákona), tak by to bylo z hlediska počtu aktivací a tím využívání z bláta do louže.

Identifikace v bance v podstatě nahrazuje toho "kočkopsa" přes CzechPOINT nebo datovou schránku (což je z mého pohledu také kočkopes). Pokud mě má banka dostatečně identifikovaného a ztotožněného v ROB (kde je má identita), tak je použití dalšího NIA prostředku nadbytečné.

To si nemyslím. Pokud půjde přihlášení přes NIA, tak platí §15 odstavec c).

Ale k přihlašování k soukromoprávním SeP bude sloužit SONIA, která je bokem od NIA a NIA/SZR (Správa základních registrů, správce NIA) o takovém přihlášení vůbec nebude vědět a datovku tak zakládat nebude. Je to vidět na obrázku v článku Pana Peterky .

Párování bankovní identity s „NIA identitou“ bude provádět sama banka? Dosud (v případě I.CA nebo MojeID) to přece bylo tak, že jsem se musel přihlásit k NIA jiným způsobem (ponechme teď stranou kočkopsa s autorizací přes datové schránky) a pak autorizovat nový způsob přihlášení.

Proč musíme pořád prozkoumávat naše specifické české cesty…

Asi to bude banka od banky, ale nečekám, že to banky plošně spustí ve smyslu mám přihlašovací údaje do internetového bankovnictví = mám automaticky aktivní "bankovní" identitu (ono se to u každé banky jmenuje jinak).

Např. ČSOB píše "Klient, který má ČSOB Identitu, může funkci ČSOB eID využívat a nemusí. Zároveň si ji může v Portálu ČSOB Identity i sám vypnout nebo kdykoli později znovu zapnout.".
Spořka píše "Pokud jste naším klientem a využíváte naše internetové bankovnictví, budete ji mít k dispozici v průběhu ledna 2021." https://www.csas.cz/cs/o-nas/bezpecnost-ochrana-dat/bankovni-identita.

Na druhou stranu, pokud někdo překoná něčí přihlašování do banky, tak si to bude moci v bance zřejně zapnout, i kdyby to majitel aktivní neměl. A pokud to bude aktivní, tak nejde už nijak říct eIdentita.cz, že já se chci hlásit pouze přes eOP. Nejdou tam nastavit identifikační prostředky, které já povoluji, že se s nimi chci přihlašovat. Přihlášení funguje přes všechny prostředky, které jsem si zřídil.

Je tam ještě tzv. úroveň důvěry (LoA). Rozlišuje se nízká, značná, vysoká. Zjednodušeně řečeno nízkou splní jméno+heslo, značnou jméno+heslo+sms a nejbezpečnější, vysoká, vyžaduje certifikovaný HW prostředek (dnes pouze eOP nebo karta I.CA.). Banky si většinově vyřizují certifikaci na úroveň značná. Takže pokud bude někde pro kritické úkony vyžadována úroveň záruk nysoká (např. podle § 6 1b) https://www.zakonyprolidi.cz/cs/2020-12#p6-1-b ), tak to přes bankovní identitu neuděláte, protože ta má pouze značná (nižší jak vysoká).

PS: Přihlašování přes jméno+heslo+sms nabízí i sama eidentita.cz (tzv. NIA ID).

Ještě by mě zajímálo, jestli jako uživatel mohu zablokovat příhlášení přes bankovní identitu. Např. uživatel má eOP s vysokou zárukou, ale nechce povolit přihlášení přes bankum jméno, heslo a podobně.

U mnoha bank jde jne o jméno/heslo a SMS, což není tak bezpečné jako eOP.
Teoreticky by někdo mohl s ukradenými přihlašovacími údaji od banky se přihlásit do služeb státu.

Třeba jako eOP funguje vždy a vše ostatní se dá povolit/zakázat. Zajímave by mohlo být i filtrování dle jednotlivých bank.

Přijde mi, že někdo chce lidi od elektronizace odradit. Kdo se bude chtít přilašovat k portálu občana, kde momentálně moc služeb není a navíc mu s tím vziknou povinosti o které nestojí?

Btw, omluvte případnou neznalost , ale v tom citovaném znění navrhované právní úpravy "..§ 3 Datová schránka fyzické osoby.. atd.." skutečně bohužel není ani ono dále předpokládané ".. jakékoli přihlášení „přes NIA“, a ale ani " přihlašování k některým konkrétním službám ->veřejné správy<- touto cestou. Tak jestli by extenzivní výklad (který by stát jistě rád využil) nezněl, i tedy jen "takový prostředek vydaný a použitý pro identifikaci při komunikaci klienta s jeho bankou (či jiným subjektem) Tedy za budoucího předpokladu, že by tato identifikace byla dostačující pro vstup do NIA (jak diskutováno výše)..Jinak řečeno, potom stát by mohl zřídit datové schránky naprosté většině lidí, a bez jejich souhlasu, aniž by o to nejen měli zájem, ale dokonce se o tom třeba vůbec nedozvěděli?