Názory k článku
Identita občana mění design a dočasně vyškrtla mojeID z možností přihlášení

¨To je teda zase vylepšení!
Takže zatímco doteď mi stačilo jedno kliknutí, abych se k "MojeID" (nebo bankovní identitě) dostal, teď to jsou dvě. A kognitivní zátěž se snížila tím, že musím přemýšlet, kam která z identit patří...
No - hlavně nezblbnout!

Na konci září jsme doplnili přihlašování přes NIA při podávání přihlášek na školu a i pro přihlašování do studijního systému. A protože máme i zahraniční studenty studující na anglických programech, tak mne zajímalo i jak bude vypadat přihlášení přes NIA z jejich pohledu. Ještě upozorním, že pokud má cizinec povolení k pobytu na dobu delší než 3 měsíce, tak se může hlásit s identitou přidělenou českým státem.

Přihlašovací stránka není plně přeložena do angličtiny - i na anglické verzi je popisek "MojeID úroveň vysoká", nápověda (malé i v kroužku) občas také není přeložena. Upozornění "Nový vzhled Identity občana je na cestě ..." i na anglické stránce zůstává v češtině. Tento problém je v původním i v novém vzhledu. Posílal jsem prosbu o nápravu na DIA - bez odpovědi.

Větším problémem v původním i novém vzhledu je následující krok. U přihlášky ke studiu lze předat atributy při přihlášení, např. Jméno, Příjmení či Datum narození. Předání atributů je potřeba potvrdit - tato stránka včetně názvů atributů a voleb je pouze v češtině, nelze přepnout do angličtiny. Připomínka na DIA opět bez odpovědi.

Pro přihlášení do studijního systému nelze použít bankovní identitu. Dříve se nenabízela, nyní se u ní zobrazí upozornění, že ji pro přihlášení ke službě nelze používat dle zákona. To vítám. Pod tím je pravděpodobně odkazy na založení mobilního klíče eGovernmentu či NIA SMS (odkazy nejsou funkční). Zde by mohlo být i MojeID, které lze též založit bez fyzické návštěvy CzechPoint.

Pro cizince z EU (např. pro občany Slovenska) je v novém vzhledu možnost přihlášení přes mezinárodní bránu utopená mezi ostatními prostředky - nenajdou ji. Toto je z jejich pohledu i z pohledu služeb i pro cizince z EU velká chyba návrhu.

Pro přihlášení přes NIA k zahraničním službám, např. europass.eu (možnost spravovat životopisy v různých jazycích) lze použít pouze Mobilní klíč, eObčanku a obě varianty MojeID. Zůstává zde Bankovní identita s upozorněním (a včetně nesmyslné možnosti registrace NIA SMS), obdobné upozornění se ale nezobrazuje pro další nepoužitelné prostředky (NIA SMS, Starcos).

NIA by měla preferovat metody ověření, které lze použít při ověření k zahraničním službám. A nemást cizince z EU, kteří se chtějí přihlásit k českým službám. Z tohoto pohledu by se v prvním seznamu měl zobrazit Mobilní klič eGovernmentu, eObčanka, obě možnosti MojeID a mezinárodní brána. Ve druhém by byla bankovní identita (používá se velmi často) a ve třetím zbývající (NIA SMS, Starcos). Z bezpečnostního pohledu není vhodné podporovat zakládání a používání SMS pro ověření. A pokud Starcos půjde použít pro zahraniční služby, tak ho přesunout do prvního seznamu.

Hlavně je smutné, že MojeID je AFAIK pořád jediná možnost, jak se do NIA autentizovat civilizovaně, tedy pomocí FIDO2 tokenem jako druhého faktoru. A zatím to nevypadá, že by se to v dohledné době mělo změnit.

Ne, že bych byl škodolibý a CZ.NICu jsem to přál ... jsem jedním z prvních uživatelů mojeID. Ale je vidět, že i když se CZ.NIC zaprodal sám sobě a šel státu na ruku s vypínáním "dezinformačních" webů, stát je kobylka proradná a když CZ.NIC nepotřebuje ke svým nekalým zájmům a praktikám, klidně ho vesele kopne do pr...e (obrazně řečeno) a prosazuje si jiné ... v danou chvíli "oblíbené" koně. Což nic nemění na tom, že služba MojeID je kvalitní a promyšlená a zasloužila by si širší podporu jak na straně uživatelů, tak i poskytovatelů

4. 11. 2023, 13:32 editováno autorem komentáře

Mojeid sklízí od státu zaslouženou odplatu za zlo, které způsobilo svým "průkopnictvím v online ověřování". Kdokoli chce nyní používat/zneužívat možnost/povinnost online ověřování, má díky práci mojeid svou snahu výrazně usnadněnou. A komerční i státní subjekty za to poděkují tak, jak je pro ně přirozené - nijak.
Mojeid a jeho uživatele ale nelituji, jsem stále přesvědčen, že dát státu a bankám něco takového jako online identita do rukou, bude lidem víc k zlému než k dobrému.

"Snížit kognitivní zátěž", to zní jak politická fráze.

Pat a Mat vymýšleli kolo.

Zrovna v pripade eidentita.cz je to ukazkovy fail toho, jak migrace nedelat. Opustit behem par mesicu domenu bez redirectu na "nove reseni" u tak klicove veci, jako je prihlasovani k portalum statni spravy - to je maximalni diletantismus, to rozhodne neni normalni.

A jestli to pod .gov.cz bude fungovat lepe se teprve ukaze. Ono tam muzou vznikat pasticky stylem, ze se domena treti urovne pod .gov.cz oddeleguje na nejaky 3rd party nameserver.... a pri opusteni tam proste navzdy zustane oddelegovana. A tam je to jeste vetsi problem - 2nd level domena aspon vyexpiruje, ale ty 3rd level... tam muzou hnit navzdy.

To je v uplnem poradku. To jenom stat dokonale naplnuje usneseni vlady o tom, ze vsechny svoje domeny chce poslat pod .gov.cz ...

To usneseni prijde na radu po uspesne implemantaci usneseni vlady o tom, ze vsechny sluzby vlady maji byt pristupne po IPv6 a dalsim, ze maji mit zabezpecenou zonu pomoci DNSSEC.

Holt papírek je už několik let starý a nikdo se neobtěžoval odkazy aktualizovat.

www.datoveschranky.info už bylo sloučeno s www.mojedatovaschranka.cz (nesmyslné oddělení informačního webu se napravilo, mánie institucí pojmenovávat internetové domény „moje“-něco přežila).

eidentita.cz bylo přesunuto na identitaobcana.cz (vzhledem k tomu, že stát vlastnil jen jednu ze skupiny podobných domén, a jednu z podobných domén používá kvalifikovaná certifikační autorita, což je trochu konkurence, bylo opuštění téhle značky rozumné – když už se teda ten průzkum neudělal před jejím zavedením).

Že si veřejné instituce pravidelně nechávají utéct domény, které opustily, hned, jakmile skončí jejich předplacené období, to je bohužel v ČR normální. Lidé, kteří o tom rozhodují, nechápou, proč by si měla instituce dál držet doménu, kterou už nepoužívá. A ti, kteří to chápou, asi mají lepší věci na práci, než to vysvětlovat šéfům projektů, auditorům, kontrolorům…

To bude jedna z výhod domény gov.cz, že tam opuštěné domény okamžitě nezaberou spekulanti.

Jasne... a ze to otestovali v NAKITu je prece etalonem kvality :-)

A jako asi fakt nebudeme tady srovnavat ridici system Airbusu ci jaderne elektrarny s tim, ze se umaze tlacitko na prihlasovacim formulari, ktere precijen "par" lidi pouziva.

Krecovita snaha o zmeny zrovna na casti, ktera to potrebovala nejmene je spise o vykazovani cinnosti (jak typicke pro statni uredniky) - po uspesnem prihlaseni je ta kognitivni zatez v ramci tech ruznych portalu podstatne vetsi. Jenze tam to prekopat je problem, kdyz se defacto jen "digitalizuji" procesy vznikle za c.k. monarchie, ze? :-) Ale "PR" se na tech jednoduchych zmenach vykazovat muze...

Dneska jsem si byl pro eobčanku a dostal jsem následující papírek:


eidentita.cz
KLÍČ K ELEKTRONICKÝM SLUŽBÁM
Informace, které se týkají
občanského průkazu s čipem,
jeho aktivaci a využití najdete na
následujících internetových adresách:
www.gov.cz
www.info.eidentita.cz
www.datoveschranky.info
www.czechpoint.cz
www.mvcr.cz


je trochu překvapující kam vedou weby:

http://identita.cz
http://eidentita.cz
http://e-identita.cz
A odkaz z papírku výše:
http://www.info.eidentita.cz

Kdepak. Je to ustaleny terminus technikus -> cognitive load. A i ten cesky preklad je tentokrate docela dobre prelozeny.
Kazdy kdo mel co docineni treba s vytvarenim UI nebo bezpecnosti kritickeho provozu vi o co se jedna. Nektere obory jako napriklad letectvi maji velmi prisne pozadavky na snizovani kognitivni zateze.
Na druhou stranu v automotive a rizeni dopravy panuje proti tomu, zejmena u nas, relativni bordel.

Ano, my vime jak se NUKIB taky utrhnul z retezu... :-) A kdyz teda dostal moznost resit transpozici NIS2, tak si tam neopomel prihrat nesouvisejici polivcicku a prilepit si tam par veci tak trosku navic... lidi si zanadavaji na EU, ze? ;-)

Jenze resortismus (aka ta autonomie uradu) je problem, proc nas stat nefunguje. V nicem. A ani v tom odrazeni kybernetickych incidentu, protoze si kazdej urad hraje na svym pisecku - a jinak se rad vymlouva na to, ze to je prece zodpovednost nekoho jineho.

Dokud tady budeme fungovat timhle stylem, stat proste fungovat nebude - jednotlive urady si musi uvedomit, ze jsou tu pro obcany a ne proto, aby souperili mezi sebou.

to je maximalni diletantismus, to rozhodne neni normalni

Dovolím si drobnou opravu: to je diletantismus, který bohužel je v této oblasti (státní IT služby pro občany) naprosto normální.

Nektere urady DNSSEC (uz cele roky) maji. Ale vzhledem ke stylu implementace by udelali lepe, kdyby ho nemeli. Ono nestaci si jen udelat fajfku "mame DNSSEC" - tak jak to na nekterych uradech pojali - a to stylem, ze kdyby povolili AXFR na svych DNS, vyslo by to nastejno...

Bohuzel s tim nedelaji ani samotne instituce po explicitnim upozorneni, a ani NUKIB - ktery u afektovanych instituci upozorneni dostal uz pred lety. Ono ten nas "kyberurad" je vubec celkove tak nejak spise fraskou... na to kolik tam z nasich dani platime lidi.

Tohle ani v zahraničí obvykle není žádná velká sláva. Sám občas potřebuju vyhledat informace v nějaké zahraniční databázi, která se navenek tváří, že je po přihlášení/ověření přístupná pro kohokoliv, a výsledkem je pak možnost přihlášení pouze s nějakým místním národním prostředkem. Přihlášení nějakým eIDAS prostředkem buď úplně chybí, nefunguje nebo není na ekvivalentní úrovni s národním prostředkem.

To je nepochopení pojmu „stát”. Každý úřad ve státě má vysokou míru autonomie. To že nějaká organizace pomůže v čemkoliv jedné organizační složce státu vůbec neznamená, že jiná organizační složka státu se bude touto pomocí zavázána.

A překvapující (?) je i stránka https://www.datoveschranky.info/

Doufejme - taky by to mohla být změna k horšímu, ve smyslu: už žádná možnost...

Ja to chapu - jen poukazuju na to, ze dnesni "zjednodusujici" doba jde po nejakem check-listu aka si neco nekde odskrtnout - a u toho neresit, ze vysledek je mozna i horsi. A ty sam dobre vis, ze ja jsem clovek, co se hrabe v tech low-level detailech... co se tam "nahore" prehlizi :D

Abych zjednodusil pochopeni, tak jsem si dovolil vynechat kritiku implementace :-)

Tak eidentita.cz už drahnou dobu vede na půjčky od Zonky. To určitě není větší problém...

To je sice dost nešťastné (a trapné), ale úplně zásadní problém v tom nevidím. Dokázal bych si představit daleko nebezpečnější způsoby, jak by se získání takové domény dalo využít.

Není to větší problém, právě naopak. Protože delegaci můžete zrušit lusknutím prstu – nebo dobře, vzhledem k okolnostem se budu držet při zdi – delegaci můžete zrušit. Expirovanou doménu vzápětí koupí nějaký překupník a její zrušení mohou být právní tahanice na roky.

Tak eidentita.cz už drahnou dobu vede na půjčky od Zonky. To určitě není větší problém... opravdu geniální, asi byl problém zaplatit pár stovek ročně.

8. 11. 2023, 08:53 editováno autorem komentáře

delegaci můžete zrušit

Může, ale bohužel to nemusí vždycky stačit. To jsme takhle jednou měli autoritativní nameserver domény u jistého většího ISP a po čase příslušnou službu ukončili a převedli jinam. O několik měsíců později, když se změnila IP adresa webového serveru, přestal najednou určítému nemalému procentu zákazníků web fungovat. A ukázalo se, že ten původně autoritativní nameserver se jednak jako autoritativní choval dál, jednak zároveň fungoval jako forwarder pro všechny zákazníky onoho ISP, takže jim dotazy odpovídal podle staré verze zóny místo té aktuální "oficiální". Naštěstí se je celkem rychle podařilo přesvědčit, že je sice od nich zdánlivě hezké, že nám dál poskytují službu, kterou už dávno neplatíme, ale že už by toho fakt měli nechat. :-)

Uspornou variantu pripousti i autori nove vznikajici knihy o DNS. Ono samozrejme ta puristicka varianta s oddelenymi servery dle role s sebou prinasi naklady navic, o ty servery se nekdo musi taky nekdo starat. A ty naklady na spravu dalsiho serveru budou nepochybne vyssi, nez je rocni poplatek za prodlouzeni nejake domeny. A dosah chyby s neodkonfigurovanou zonou v pripade te usporne varianty je stale velmy omezeny a nejde srovnavat s tim, co se deje pote, kdyz urady usetri dve stovky na nespravnem miste.

Setkal jsem se s tím samým, akorát tenkrát to byla trochu i moje chyba – zrušil jsem delegaci, ale nezrušil jsem zónu u toho ISP. Daniel J. Bernstein už minimálně před čtvrt stoletím tvrdil, že autoritativní DNS server má být oddělen od forwarderu, a tohle je právě jeden z důvodů.