Názory k článku Datové schránky: když už ani časové razítko nepomůže….

Další možností by bylo tenhle ojedinělý experiment stopnout, zrušit povinné datové schránky a nechat jen dobrodruhy, ať si s nimi dobrovolně experimentují.
V rozumnějších zemích unie zatím nezavedli datové schránky zákonem povinně.
Když už za to navíc někdo platit musí a někdo ne, když nejsou vyřešeny základní atributy prokazatelnosti v čase, když není uzákoněna ani povinnost užívání časových razítek, je načase připustit, že se jednalo o ukvapený krok s cílem zviditelnit pár lidí, kteří se chtěli zapsat do historie na úrovni Marie Terezie, a ulít pár miliard firmám, které svoji vděčnost dokáží vyjádřit penězi těm diletantům politikům.

Jsem jen prostý tvůrce internetových řešení pro komunikaci běžných uživatelů, kteří nejsou internetovými fanatiky a během posledního roku se ze mne stal zavilý nepřítel paskvilu zvaného datové schránky. Pokud celé to obludné monstrum nebude uklizeno někam na hodně zasunuté servery, nebo se tím nezačne zabývat normálně uvažující člověk ale bude to fungovat jako výpotek šíleného ajťáka, který za dveře svého zahuleného doupěte moc nechodí, nezbývá než snad vyhlásit akci "ignorujme datové schránky", protože dobrá myšlenka se zvrhla v totální diktát, proti kterému není odvolání. Chci právo volby odmítnout nedomyšlený, arogantní paskvil, který státu nic neušetří a mě stojí čas, peníze, nervy a zakládá obrovský prostor pro budoucí problémy všech "z rozhodnutí státu" uživatelů!!!

A co na to bezny franta instalater?
Ten je proste v haji... rozumet tomu nebude nikdy a bude jen nestastnou obeti bud statu nebo toho kdo tomu rozumi. Horsi na tom je, ze ani stat, ani ten nekdo jiny nemusi byt v tom okamziku "ten hodnej".

Jsem jen hloupý právník a v tomto tématu se (jako valná většina kolegů; čest vyjímkám) dost ztrácím a jen nostalgicky vzpomínám na doby, kdy jsem třeba i třicetistránkový rozsudek dostal od soudu poštou zdarma, pro doložku právní moci jsem si zašel do kanceláře a nemusel řešit časové razítka, PLACENOU konverzi dokumentů a podobné nesmysly...

To se tu tvrdí od začátku tohohle slepence hlouposti, neschopnosti a amatérismu jménem Datový schránky. A nikoho tam nahoře to evidentně nezajímá. A ano, chudáci potom takoví lidé na soudech. A pro zdejší parodii spravedlivýho vymáhání práva stačí shlídnout libovolnej díl třeba Občanskýho juda nebo Černých ovcí. Co se někdy úřady placený z našich daní nebo dokonce soudy rozhodnou vyzvrátit za debilní výlev, to člověk někdy čumí s otevírající se kudlou v kapse.

Jako úředník spíše v "přední linii" sdílím vaše pocity, bohužel zákon mi ukládá tento nedotažený nesmysl používat a dle zákona o úřednících jsem povinen dodržovat zákon. Snažím se posílání zpráv ven z baráku eliminovat správní úvahou schovanou pod "povaha dokumentu neumožňuje", bohužel to neřeší věcí poslané od jiných úřadů k nám. To co při vypravení klasického dopisu, rozhodnutí ..., trvá do minuty, tak pomocí ISDS zabere min. 15 minut. Úřad ušetří pár korun za poštovné, ale můj čas je neefektivně spotřebován na absurdní úkony spojené s odesíláním zprávy. Na druhé straně je šetřen čas adresáta, který nemusí na poštu, to uznávám. Neberte toto prosím jako počátek flamu na téma flákající se úředníci, i na úřadech jsou lidi chovní a tažní, moje oddělení patří mezi tažné. Funguji ve státní správě 7 let, jsem VŠ a začínám uvažovat o komerční sféře - nikoliv z důvodu platových, ale z obecné frustrace z toho, jak je stát neefektivně řízen a rozkrádán. Např. proto, že nějaký hlavoun (duo Langer a Zajíček) se rozhodne postavit si pomník a přihrát před privatizací kšeft České poště a veřejná správa je rozvrtaná na roky dopředu. To nemluvím o paskvilu základních registrů, který skončil na půli cesty, takže např. každá FO si může na evidenci obyvatel nahlásit doručovací adresu, kam je úřad povinen jí posílat poštu (naprosto v pořádku), ale pokud nežije v mém správním obvodu, stát mě k tomuto údaji nepustí on-line. Musím ke každému zvlášť činit písemně dotaz na ministerstvo vnitra, zda náhodou nebydlí jinde (a než dostanu odpověď, může být vše jinak). V praxi při tisících doručování ročně nemožné, tudíž vědomě riskuji, že někdo následně zpochybní doručování na adrese trvalého pobytu. A takhle bych mohl pokračovat do aleluja. A do toho občan nenadává tomu, kdo tohle vymyslel, ale tomu dole, co s tím nic neudělá.

No pokud podpis vznikl pred revokaci a je to overeno prilozenym casovym razitkem, tak je snad pak uplne jedno , kdy PO tomto okamziku uzivatel certifikat revokoval... ?

přiřaďte mě k tomu jednomu, kterého uvádíte. Jako advokát mám datovku od chvíle co to šlo a od pátku umím dělat i konverze. :-)

A jak přesně běžný Franta instalatér ověřuje podpis na papíře? Razítko na papíře? Nebo co já vím odznak policisty?

Bylo to myšleno obecně, všechny zde zmíněný minulý problémy, některý vyloženě debilní a některý silně bezpečnostní (antibezpečnostní). Amatérsky vymyšleno i amatérsky implementováno. Nápad dobrej, výsledek příšernej.

Pokud jde o pořady, jde o fakta.
Povětšinou třeba lenost, neschopnost a ignoranci stavebních úřadů. Ty, místo aby řešily z našich daní příslušnej problém, tak mají plnou hubu keců jak něco nejde, a bla bla bla. Buď můžou bejt zkorumpovaný a nebo jsou tam prostě idioti. Pro ani jedno tam takový svinstvo nepotřebujem, natož si to platit z daní.
A jestlis neslyšel žádnej výlev soudu jako imbecilně idiotskej, tak jseš asi hluchej a slepej. Já je slyšim a vidim skoro každej den. A jde o fakta, ne o nějaký umně sestříhaný pořady. Stačí, když mluvčí soudu nebo soudce ten kterej rozsudek zdůvodní, a myslim si, že žiju asi na Marsu, co to blábolí za leda hajzlům stranicí nesmysly.

Situace, kdy "legální vlastník zjišťuje zneužití a certifikát revokuje", měla vlastně být spíše v 6:30 h. Pak je totiž zřejmé nejenom to, že byl certifikát "někdy v inkriminovanou dobu" revokován, ale že navíc byl dokument podepsaný s použitím certifikátu již (půl hodiny) neplatného.

Hm navždy pravý!? To právě bude jen do první kauzy, než nějaký důležitý dokument obhájí resp. shodí jen trochu znalejší právník (pokud tedy bude mít na to pojmout i trochu technického vzdělání). Pak to bude ale precedenc jak hrom.

V běžném životě originály dokumentů neproháním jakousi podivnou transformací založenou na pomíjivosti čehosi na rozdíl od dříve po staletí platných úkonů.

Co více AR je často pro obsluhu ten arbitr, který rozhoduje o platnosti dokumentu ke konverzi.

Na druhé straně PDF, ketré jsou povinné pro orgány veřejné moci mají standard PDF založený na veřejné specifikaci, takže pak by bylo na státu, aby miliony kopl také do nějakého profíka, který to za 2 noci za ty prachy uplácá .-)

System DS do znacne miry spoleha na to, ze Adobe Reader bude stale k dispozici jako bezplatny produkt. Nicmene firma Adobe jej muze kdykoli zpoplatnit, zmenit licenci tak ze jej nebude mozne pouzivat k ucelu DS (to by bylo obzvlaste vesele), zkrachovat atd.

Co bude potom ? Bude stat vyvijet vlastni prohlizec PDF ? Bude odkazovat na jine soukrome subjekty (moc jich neni), ktere mohou a nemusi poskytnout licenci sveho produktu pro tento ucel ?

Nemluve o tom, ze z hlediska bezpecnosti na tom neni Adobe Reader moc dobre. Napriklad ted http://secunia.com/advisories/41340 je v nem jiz nekolik tydnu neopravena velmi zavazna chyba. Tim nechci zavadet debatu na tema "je lepsi PDF prohlizec A nebo B", protoze potencialne nebezpecne jsou samozrejme vsechny a zalezi jen na tom, v kterem se zrovna zase nasla nejaka dira.

Vzhledem k tomu ze specifikace PDF formatu ma kolem 800 stran a jednou z podminek jeho licence je, ze se musi implementovat vsechny vlastnosti, by to asi na 2 noci nebylo :-)

Tak ty elektronické podpisy a časová razítka na elektronických dokumentech ignorujte, a získáte tak stejnou úroveň zabezpečení, jako u papírových dokumentů.

Ještě pořád jim chodí z podpory e-maily s rozbitým kódováním? Před rokem se vymluvili na out-sourcing.

to nikoho nenapadlo davat do odkazu k CRL treba rok? pak neni problem aby tam byla cela historie... kazdy certifikat muze mit jine CRL.

Ale tenhle system ma jeste horsi chybu - co se stane za takovych 10 let, az budu mit bezne k dispozici vypocetni vykon na zfalsovani podpisu? Zfalsuju si podpis, klidne i casove razitko... jen tak na to nekdo neprijde...

DS jsou kazdopadne svinstvo. Uplne stacilo aby kazdy kdo chce elektronicky podpis nebo DS pouzivat dorucil statni sprave do evidence aktualni PGP klic nebo public key - a je uplne jedno od koho. Porad je to prukaznejsi nez propiskou nacmarany klikyhak na papiru a technicky jednoduche.

Problém vyrobit takový dokument by nebyl, kdyby časová razítka byla cenově dostupná běžným lidem. Jenže autority je prodávají jen po velkém za velké peníze.

Pak i drahá konverze na žádost do papíru vyjde běžného občana levněji.

Možná by to chtělo se podívat v zahraničí. Aspoň by se vyzkoušelo, jak české úřady nepřijímají zahraniční kvalifikované autority :(

Certifikáty i časová razítka mají omezenou platnost, mimo jiné právě proto, aby se ošetřil problém s rostoucím výkonem. Za deset let, až budete mít dostatečný výkon, byste měl mít všechny potřebné dokumenty přerazítkovány novým razítkem s delším klíčem, které bude zase nějakou dobu bezpečné.

Je to jen brloh na průtok financí:
http://vlk.blog.respekt.ihned.cz/c1-45941850-informatika-na-praze-4

Existuje 100% způsob, jak technicky ověřit elektronický podpis – samozřejmě je to ve skutečnosti méně podle toho, jak silné zabezpečení zvolíte, ale výhoda elektronického podpisu je ta, že ta bezpečnost je docela dobře definovaná, např. pravděpodobností, že se najdou dva dokumenty se stejným hashem.

To, co je popisováno v článku, se týká ověřování v jednom konkrétním programu – a pokud ověřujete stovky zpráv denně, asi to nebudete dělat klikáním v Adobe Readeru. Jinde se to dělá třeba tak, že se CRL archivuje a při ověřování podpisu se vždy čeká až na CRL následující po rozhodném datu.

no koukam ze ten problem je jinde a vedsi nez tusite

Podle me resime uplne jiny problem. Ten skutecny problem je, ze certifikaty jsou vydavany s platnosti na 1 rok. Ma-li byt platnost a archivovatelnost dokumentu napriklad 5 let, necht CA vydavaji certifikaty s platnosti na 5 (lepe treba 6 nebo i 10) let. Protoze to je to co fakticky chci - byt schopen za 5 let overit platnost podpisu.

Mozna jeste upravit podepisovaci software, aby doporucil
treba v polovine platnosti si vyzadat novy certifikat.
Ale to samozrejme neni mozne, protoze by tim CA prisly o podstatnou cast zakazek.

Cely system datovych schranek a vlastne i cele PKI je jen zasterka pro to, aby si CA namastily kapsu.

Otázka je, s jakou přesností se to stáří dá určit – a také jak je to u různých materiálů. Možná by stačilo archivovat si prázdné listy a ty pak popsat a podepsat nějakým „inkoustem“ speciálně určeným pro stálost v čase. Navíc takovéhle expertízy nejsou zrovna levná záležitost. Takže zatímco u vlastnoručního podpisu se normálně kontroluje jenom přítomnost čehokoli, co připomíná podpis, u elektronického podpisu může i laik mít na jedno kliknutí k dispozici výsledky dost pečlivé kontroly.

Některé (běžné správní) dokumenty se archivují třeba 80 let, a daná věc může být „živá“ třeba dvacet let. Navíc v mnoha případech nerozhoduje jen platnost dokumentu, ale také čas. Třeba u potvrzení od finančního úřadu, že jste podal daňové přiznání, vám nestačí podpis, ale potřebujete tam také údaj o tom, že jste to potvrzení dostal před půlnocí 31. března. Dříve se to řešilo otiskem gumy potřené inkoustem, dnes máme přeci jen věrohodnější metody.

Jenomže to už hovoříte o cíleném podvodu - tady se hovoří o běžných situacích. Navíc dnes je kriminalistika na takové úrovni a má takové prostředky, že zfalšovat starý dokument lze opravdu velmi těžko - tedy za předpokladu, že se bude chtít důkladně zkoumat.

Tak tak, vžijte se do situace, že za 80 let budou další restituce a bude potřeba vytahovat nejméně 80 let staré smlouvy, dědická rozhodnutí, výpisy z pozemkových knih, rozhodnutí pozemkových soudů ....

Běžné situace jsou takové, že se vlastnoruční podpis nekontroluje vůbec a ani není způsob, jak jej zkontrolovat. Naproti tomu zkontrolovat alespoň základním způsobem elektronický podpis je snadné, a jde to kdykoli zopakovat se stejným výsledkem.

Omezená časová platnost je jedna z mnoha výhod elektronického podpisu vůči vlastnoručnímu. Když někdo získá váš podpisový vzor, nemůžete jej revokovat žádným způsobem.

No pokud je tou komtrolou zelená fajfka v AR, tak to často raději ten vizuální podpis.

U starších listin mohu sledovat celý rukopis. Já už často podle napsané adresy na obálce identifikuji osobu, jež mi píše. Prostě když nám zástupce ředitele napsal na školu svým nenapodobitelným písmem Dnes není škola, nemusel se ani podepisovat a nikdo nepochyboval o pravosti zprávy.

To ale máte založeno na předpokladu, že někdo "neočekávaně" nezneplatní svůj certifikát předčasně. Pak je tento algoritmus mimo. Jeden úřad nám poslal v datové zprávě časové razítko 16 hodin před expirací. Navíc na konci pracovní doby...

Opravdu? To by mne zajímalo, jak poznáte, jestli tohle je nebo není můj podpis: http://www.executivesearchjm.cz/images/podpis.jpg

Poznáte taky, že se ten rukopis pokusil někdo napodobit? A myslíte, že to mohou poznat úředníci, kteří mají tisíce klientů?

Dneska by si tu ceduli „dnes není škola“ někdo okopíroval nebo vyfotil, a za týden by tam visela zase – a nikdo by nepochyboval o její pravosti. I s podpisem. Akorát by jí vyvěsil nějaký vtipálek a ne zástupce.

To pořád platí stejně pro listinné dokumenty i pro ty elektronické. Časové razítko se přidává navíc, aby se usnadnila ta případná následná analýza. To ale samozřejmě nikomu nebrání ověřovat platnost k podpisu k datu uvedenému v tom dokumentu.

A co víc - nějaký zaměstnanec referent musí těmto pseudobezpečným životním cyklům Postsigna slepě věřit. Třeba některý narazí na osvícenější politiku jiné CA, ale zaměstannec na výběr nemá. Já narazil i na sw řešení jedné firmy, kde se prostě privátní klíč měl nahrát do filesystému, naštěstí jen od konkrétní CA. A bohužel to zaměstnanci slepě požadují, protože to přece funguje bez problémů...

Obhajujete, ale přitom spíše fantazírujete.
Priváítní klíč má převážná část lidí bohužel ve Windows systému. To je realita a ti lidé za to nemohou, ani tomu nerozumí.

Pokud budu tvrdit, že vlastním Karlštejn, je těžká a drahá analýza takového listinného dokumentu jen maličkost.

Vždyť i certifikát TSA, kterým je podepsáno časové razítko, má omezenou platnost a může být revokován

Pokud by byl revokován, nebude to rozhodně s platností několika let zpět. Nevím, jaká jsou pro to přesně pravidla, ale rozumně můžete čas revokace certifikátu nastavit do minulosti nejdále těsně po vydání posledního CRL.

např. v důsledku pomsty propuštěného zaměstnance, který se ho zmocní a vystaví jej na netu

Privátní klíč je uložen v nějakém hardwarovém zařízení, ze které jej nelze dostat nijak snadno.

No a toto implikuje, že dokument v elektronické podobě je ekvivalentem své listinné formy pouze tehdy, pokud existuje nekonečně mnoho certifikačních autorit udělujících časová razítka za nulový poplatek.

Vzhledem k tomu, že datovat listinnou formu můžete jedině chemickou analýzou, a to dost draze a dost nepřesně, je ekvivalentem listinné formy dokument v elektronické podobě bez jakéhokoli časového razítka. Časové razítko zabezpečení rázem zvýší na takovou úroveň, které budete v listinné podobě dosahovat jen velmi těžko a draho.

je třeba celý eGovernment neprodleně zrušit, vč. veškeré veškeré národní legislativy o digitálním podpisu a členství v EU, která na to má taky svoje paragrafy

Jistě, a nejlépe se vrátit k tesání do kamene, protože papír přece taky nic nevydrží, dá se snadno přenést či zlikvidovat, takže ve srovnání s poctivým šutrákem je to zoufale nepoužitelné.

Máte pravdu, majitel privátního klíče TSA může vytvořit časové razítko s jakýmkoli časovým údajem, proto v případě úniku privátního klíče TSA se žádné razítko jím podepsané nelze považovat za důvěryhodné. To se dá řešit častou rotací privátního klíče TSA nebo pravidelným vydáváním seznamu vydaných razítek (který musí být opět podepsán a orazítkován, ale jinou autoritou). Není tedy nutné vícenásobně razítkovat každý jednotlivý dokument, stačí razítkovat ten seznam vydaných razítek.

Ohledně možnosti selhání lidského faktoru máte pravdu, ale tak jednoduché, že si zhrzený zaměstnanec prostě odnese privátní klíč, to snad nebude.

Akreditovaná autorita časových razítek má jiné požadavky na zabezpečení, než převážná část lidí.

Naprogramovat správné ověření elektronického podpisu včetně časového razítka a CLR bude nejspíš pořád levnější, než ta chemická analýza listinného dokumentu, a navíc ten software pak můžete používat opakovaně.

á osobně jsem se teda s bezpečnou implementací PKI v praxi ještě nesetkal, vždycky to narazí na ty lidi. Jako třeba v historce z jedné firmy, kde přikázali zaměstnancům povinně mít osobní certifikát (kdyby to náhodou bylo na něco potřeba), pro jistotu na tokenu, ať je to bezpečné... No a hromadné vyřízení proběhlo tak, že posbírali jejich údaje, jeden zaměstnanec vygeneroval klíče pro všechny, pak to firmy přišel člověk z Postsigna ("Mobilní registrační autorita")... a spolu s tím jediným zaměstnancem upekli certifikáty pro všechny zaměstnance. Pak ten chlap s Postsigna prodal tomu z firmy HW tokeny, ten na ně nahrál certifikáty i s klíčema a rozdal je kolegům. Soubory s klíčema pak možná smazal, teda pokud na to nezapoměl. Fakta typu že po smazání obsah souboru zůstane na disku, nebo že klíče můžou být i ve swapu, nebo že ten komp může být hacknutý apod. prý nikoho nezajímala. Vždyť my máme cerfikát na hardvérovém tokenu, nám přece nic nehrozí!

Elektronický dokument je platný právě tehdy, pokud podpisy nikdo nezpochybní nebo pokud znalec příslušného oboru prohlásí, že jsou platné. U listinné formy dokumentu je možnost ohrožení platnosti tehdy, pokud podpis někdo zpochybní a znalec prohlásí, že podpis je zfalšovaný. U elektronické formy je možnost ohrožení tehdy, pokud podpis někdo zpochybní a znalec prohlásí, že je podpis zfalšovaný. Jediný rozdíl je ten, že u elektronického dokumentu dokáže pomocí softwaru s docela velkou jistotou to rozhodnutí znalce předjímat i laik, u listinného dokumentu vám nezbývá, než toho znalce zaplatit, nebo to prostě risknout bez něj a bez nějaké možnosti podpis ověřit.

Nápodobně. Jakmile dojde na dlouhodobé podepisování, tak se vždycky najde něco, co celý ten koncept vypadající krásně na papíře v reálném světě poruší. PKI, jako každá věc založená na matematice, funguje jen když jsou splněny všechny předpoklady.


Nejlepší jsou hlášky typu "tenhle systém používá i jedna švýcarská banka, takže musí být spolehlivý a bezpečný".

Jak je na tom státní správa? Státní správa přece buduje národní digitální archiv...

Ale při nějaké velké katastrofě, jako třeba povodeň v Praze, část archiválií prostě uplave, ať jsou v listinné nebo digitální podobě. Teda pokud má někdo nezálohované datové úložiště v zátopové oblasti - nedělejme si iluze o skutečném stavu věcí.

Ono vůbec nemusí dojít ke zneužití takto vydávaných privátních klíčů, a přesto může být problém. Stačí když zaměstnanec bude tvrdit, že podpis není jeho a dokáže, že nemohl mít kontrolu nad svým certifikátem. Třeba, že mu ho ajťák vygeneroval (nebo doporučil vygenerovat) napřed na jeho pc do úložiště w a pak teprve byl přestěhován na token (rovněž častý případ).

Celá věc totiž naráží na mantinelu ve smyslu - lehce použitelné x absolutně bezpečné.

Buď bude celý systém absolutně (v rámci možností) bezpečný - pak ale bude pro praktický život nepoužitelný ANEBO jej budou obyčejní lidi používat tak, aby je co nejméně obtěžoval (včetně psaní hesel na papírek, ukládání všeho do PC) - ale to nebude nikdy bezpečný a bude možnost zneužití.

DVD je NEMP/EMP safe nebo ne?

Ale hlavně je u elektronické formy platnost zcela v háji a už navždy neověřitelná poté

Kde pak. V takovém případě se teprve dostáváme do stavu, že je platnost prokazatelná stejně těžko, jako u listinné podoby, a musí se dokazovat různými nepřímými způsoby.

Elektronická forma prostě MÁ SVÉ ÚSKALÍ A NEVÝHODY, a proto by měla být VOLITELNÁ

Listinná forma má těch nevýhod a úskalí ještě daleko víc, také by tedy měla být volitelná… Navíc ta elektronická forma dnes volitelná je, takže nevím, v čem je problém.

je nezbytné před jeho umožněním OVĚŘIT, ŽE JSOU SCHOPNÍ JEJ BEZPEČNĚ POUŽÍVAT

U listinných podob dokumentů to také budete požadovat? To by je rázem smělo používat jen těch pár soudních znalců…

revokace TSA certifikátu nezneplatňuje časová razítka učiněná s tímto certifikátem před revokací

Za prvé to takhle obecně neplatí, záleží na důvodu revokace. Za druhé pokud vím, český právní řád s revokací certifikátu TSA nepočítá, a případná revokace by neznamenala automatické zneplatnění všech dokumentů opatřených časovým razítkem s tímto certifikátem.

Jenomže soudy (a jistě i zbytek státní správy) během minulých století bojoval zejm. s požáry - takže má zkušenosti, jak rekonstruovat spisy. Těžko si ale uděláte úředně ověřenou kopii ze souboru s neplatným/prošlým certifikátem/podpisem; u kterého nikdo nepředpokládal, že jej bude potřeba ještě po 5/10 letech nutno použít.

A to byl právě příklad těch restitucí - nikdo (asi jen málokdo) v 50. letech předpokládal, že za 40 let bude muset vytahovat smlouvy z 1. republiky.

A když přijdou islámisti (jakože to je jen otázka času) obdobně jako přišli komunisti - tak spíš ukryju papír než počítač. A ve chvíli, kdy z nějakého důvodu přestane fungovat centrální autorita (PostSignum), tak mají VŠECHNY dokumenty problém.

To bude slušný chaos - až za mnou přijde exekutor a jámu řeknu, že právě předevčírem vypršela platnost certifikátu/podpis rozsudku a že nemá v ruce platný originál ....

Trochu číst umím, tím to nebude :-) Psal jsem o jiném problému - z pozice příjemce podvrženého dokumentu: i když bude uživatel poměrně zkušený a dostatečně paranoidní, aby na "podezřele starou verzi CRL vloženou do dokumentu" přišel, jaké má prostředky pro ověření podpisu? Ani Adobe Acrobat, ani Acrobat Reader (ve verzích a konfiguracích, keré jsem testoval), v takovém případě online kontrolu certifikátu neumožní (neaktivní tlačítko).

V příspěvku z 5.10., 12:31 h někdo radí, ověřit revokaci přímo u CA - tedy zřejmě v CRL na jejich webu. To je určitě rada správná a řešení spolehlivé, ale samozřejmě časově náročné a nepohodlné.

Proč tedy software od Adobe sice zobrazí varování "Protože v tomto certifikátu jsou vložené informace o jeho odvolání, je možné, že digitální identifikátor autora podpisu byl použit pro falšování podpisu před objevením a rozšírením informací o jeho odvolání", avšak nenabídne možnost "online překontrolování"?

Budoucnost mám nulovou,
nechci schránku datovou.
Pane Langře smějte se mi,
ostudou jsem naší zemi....
...Ale nikde v cizině
nemaj schránky povinně. :-)
Papír skončí natotata,
potomkům předáme data....
V muzeích maj na ukázku
děrný štítek nebo pásku.:-)
Kdo mi garantuje k dnešku,
za sto let, že přečtou flešku?
Naše data skvěle chrání,
podpisy a šifrování...
Všichni trochu pochybují,
klíče stále prodlužují..
Když to praskne, končí hned
bezpečných dat dnešní svět.
Nový Einstein když se zrodí,
závislosti neodvodí???
Reklama mi říká zas,
schránka šetří prachy, čas...
Je to blbost! Budu platit,
pokud nechci data ztratit.
Drahý archiv datový
bude brzo hotový.
Úřad píše že jsem v právu,
- datovou posílá zprávu...
Na CzechPOINT poputuji,
tam si zprávu "zkonvertuji".
Ne zadarmo Ivánku,
chtěj tři pětky za stránku! :-(
Já, ač je to k nevíře,
chci mít vše na papíře!
Svých práv domohu se hned,
i když smlouvu sepsal děd....
Zkus to jinde Ivánku,
já nestojím o schránku!!!

Pokud byste radi ulevili sve mysli vystresovane datovymi schrankami :), doporucuji navstivit neoficialni adresu http://ict-law.blogspot.com/2010/11/formular-pro-prakticke-podnety-k.html, kde muzete napsat vase podnety a zkusenosti k datovym schrankam pro vyzkumne ucely.

Dobrý den, zkouším štěstí v této diskusi, protože popravdě nevím, kam jinam se obrátit. Řeším technický problém. Když se reader pokouší ověřit platnost podpisu v pdf dokumentu, kdy certifikat podpisu uz vyprsel a casove razitko, kterym byl dokument rovnez opatren take vyprselo, overeni takoveho dokumentu bez ohledu na jeho velikost trva 5 i vice minut. kontroloval jsem, ze CRL listy se stahnou.... pak nevim, co se deje dal, ale kdyz jsem se dival na sitovy provoz, Reader se snazi v tomto pripade pristoupit na servery postsignum na vzdalenem portu 389, coz je jak znamo LDAP. Firewall mu to samozrejme zakazuje. Nicmene nechapu, proc se snazi reader pristupovat pres port 389? Nedava to smysl .... nesetkal jste se s tim nekdo? Diky Michal Král

CRL:
"Že to není ihned (ale může to trvat třeba až 12 či dokonce 24 hodin), je také nepříjemným problémem."
- Většina CA jistě vydává CRL při revokaci certifikátu z vážného důvodu - ztráty, krádeže, možné kompromitace... "ihned". Příslušný časový limit (12/24h) je jen pro běžný vydávání CRL.

Mluvíte mi z duše. Není jediný vyspělý stát, který by jen uvažoval o tak absurdní digitalizaci postavené na principech pošty s kořeny v devatenáctém století.

Omyl, právníci (soukromí) se - s jedinou výjimkou znalcem s oboru, který propaguje jedno komerční řešení - zavedení DS brání. Marně.

A většina právníků ani netuší, o čem se tu píše. A jsem zvědav, jak budou naprostí laici - soudci rozhodovat spory o platnost či neplatnost dokumentů.

S tímto názorem plně souhlasím. Docela slušně nedotažené vše spojené s el. podpisem, předražené a mizerně fungující služby CA... Opravdu ideální podmínky pro zákonem násilně vynucenou "elektronizaci národa".
Zkuste si v tomto období prodloužit platnost certifikátu napříklat u CA PostSignum - bude to trvat okolo deseti dnů. Ani na jejich placenou linku technické podpory se nemáte šanci dovolat (zhruba od zavedení DS), když budete operativně potřebovat řešit problém, máte smůlu.

Takže abych se ujistil, nexistuje 100% způsob jak ověřit eletronický podpis, resp. pravost dokumentu?

Mám na mysli to, že pokud zpracovávám stovky zpráv denně nemám čas hrát si, ale potřebuji nějaký nástroj, který dokáže ověřit pravost na 100% v řádu sekund a pokud možno for free?

Proč provozovatel DS stále na konferencích (a že jich poslední dobou je) polemizuje neustále o tomto problému, ale po roce běhu DS neexistuje řešení (nebo se mýlím)?

Popřípadě, co říkáte na ověřovací formulář od firmy Software602 (viz http://www.bezpapiru.cz/overovani)? Jedná se o stejný princip CRL listů?

No ten papír a inkoust na dokumentu prokazatelně stárne. Paradoxně se starému dokumentu možnost padělání podpisu s časem snižuje.

Zdarma jste ho zcela urcite nedostal, naklady na vytisteni, odeslani a doruceni nesl stat, potazmo danovy poplatnik

Ne ze by DS odstranili tu finacni spoluucast poplatniku, alespon si vsak na "sve" dokumenty prispeji i ti, kterych se to tyka

Jistě. Jenže se koukněte na implementaci, a jak jí ty idioti udělali. Jak bylo již několikrát řešeno - nejdřív podpis, pak časový razítko, jinak je taková implementace bezpečná a vůbec použitelná jako bábovičky 5-letýho kluka. A už dnes to jsou desítky milionů zpráv, a možná kolizní žaloba vyčůránků na nebohý uživatele nebo firmy každným dnem narůstá.
Navíc je to kšeft jako hrom. Předražený podpisy, extrémně předražený časový razítka, předražený jednotlivý zprávy, extrémně předražený, a ani tak přitom bezpečnostně nedotažený konverze... A tenhle neotestovanej amatérskej alfa hnůj vnutili stejně jako stejně smradlavou OpenCard.

Vaše logika mi unikká: V článku je jasně napsáno, že v systému datových schránek tento problém není a ověření podpisu funguje i po ukončení platnosti certifikátu.

Kromě toho hledat ve Vámi jmenovaných pořadech (a v televizi vůbec) zdroj relevantních informací je pošetilost vyššího řádu.

CA, která nemá nikoho, kdo by revokaci obstarával okamžitě, 24/365/366, je parodie na CA.

Druhej odstavec souhlas. To ale na bezpečnostní parodii výše nic nemění.

No jo, ale já státu platím soudní poplatek za tuto jeho činnost.

Ono to celé má ještě jiný rozměr než uvádí ctěný kolega shora. Práce odsýpá jen potud, pokud pokud práci s DS zvládá rychle a kvalitně sekretářka. V kanceláři mám schránku zatím sám, ale starostí je v tom víc než dost. To co přijde je potřeba vytisknout, uložit zprávu na disk a zapsat do došlé pošty. Ne že by v tom byl nějaký problém, ale zabírá to o trochu víc času než práce s obyčejnou poštou.

Teď když advokátní komora konečně domluvila možnost provozovat czechpoint pro konverze se těším na zábavné scénky ze soudních jednání, kdy celou žalobu včetně důkazů pošlu elektronicky. Takové jednání, kdy soudce bude číst důkazy a já mu nedám listiny, ale jen podepsaná PDFka, která budou muset mít sílu důkazu bude pikantní. Jednak co do pochopení, že nic dalšího nedostanou a jednak třeba v případě, kdy v mezidobí skončí platnost mého podpisu. :-) Nedejbože abych zkonvertoval z listiny směnku a poslal na soud s žádostí o SPR.

Představte si situaci:
0:00 h: Certifikační autorita vydává (pravidelný) aktualizovaný CRL - označme si ho např. pořadovým číslem 123;
6:00 h: útočník získává přístupová data k cizímu podpisovému certifikátu;
7:00 h: útočník vytváří pdf dokument a podepisuje ho získaným cizím certifikátem; do dokumentu vkládá i poslední CRL (č. 123), podle kterého je podpis platný
8:00 h: legální vlastník zjišťuje zneužití a certifikát revokuje
12:00 h: je vydán další CRL (č. 124), který již zahrnuje i předmětný certifikát.
13:00 h: máme podepsaný dokument a chceme ověřit jeho platnost. Co udělá uživatel?

1. BFU: Adobe Acrobat i Adobe Reader mu hlásí: "Podepsáno a všechny podpisy jsou platné". BFU je spokojený, vše je přece správně.

2. Pokročilý uživatel: zobrazí si vlastnosti podpisu , zkontroluje datum a čas podpisu proti datu a času vloženého CRL a zavětří, že by teoreticky nemuselo být něco v pořádku. Klikne proto na "Ověřit podpis", ale podpis se opět ověří pouze proti VLOŽENÉMU CRL a jako výsledek se proto zobrazí "Certifikát autora podpisu je platný a nebyl odvolán". Takže uživatel ještě zvolí "Zobrazit certifikát", záložka "Odvolání", a pokusí se kliknout na tlačítko "Zkontrolovat odvolání" - to je ale neaktivní. Uživatel tedy sice tuší, že možná něco nemusí být v pořádku, jak se ale ujistit?

Nebo dělám něco špatně? Pane Peterko, je to námět pro Vás, kdyby Vám téma připadalo zajímavé.

Pletete si formát PDF a jednu implementaci prohlížeče tohoto formátu. Formát PDF je otevřený standard, jeho prohlížečů existuje spousta. Existuje také varianta PDF/A (jsou na něj kladeny přísnější požadavky), která je speciálně navržena pro dlouhodobou archivaci. V současné době je PDF z široce používaných formátů zdaleka ten nejlepší, který lze pro dlouhodobou archivaci použít.

Pokud jde o bezpečnost softwaru a dlouhodobou podporu, mnohem víc než o prohlížeč PDF souborů bych se bál o prohlížeč samotných datových zpráv Datových schránek…