Vlákno názorů k článku
Identita občana vyměnila certifikát, portály státu kvůli tomu postihl výpadek [AKTUALIZOVÁNO] od Danny - Pokud system nedokaze "odrotovat" podpisove klice tak, aby...

Pokud system nedokaze "odrotovat" podpisove klice tak, aby to nezhaslo X systemu na X hodin, pak je to spatne navrzene.

Menit podpisovy klic v osm vecer je spatne i procesne - opet, pokud je na to navazane X dalsich systemu, tak smerovat to do doby, kdy 9/10 uz nepracuje je taky spatne.

Ve finale si tu hrajeme na buhvico, ale informaci o tom, jaky certifikat se pouzije na podpis si mame stahnout z webu, ktery ma i DNS servery buhvikde (u komercniho registratora) - tedy cela "bezpecnost" toho cirkusu stoji a pada s tim, jak zabezpecene to ma ten registrator. A stahovat se to ma z webu, kde se pouzivaji zastarale kryptograficke algoritmy (vc. 3DESu).

Presne tak, informovanost je jedna vec a implementace druha pokud nekdo implementuje kontrolu certifikatu pres serial number tak si nic jineho nez vypadek sluzby nezaslouzi. Tady je krasne videt jak stat sice tlaci lidi do pouzivani DS ale zaroven sam stat nema vyresene zakladni procesy jako monitoring a incident response.

Že se měla informace o výměně certifikátu zveřejnit dříve, o tom asi není pochyb.
Na druhou stranu jedná se o certifikát, kterým národní bod podepisuje tokeny, které vyrábí v rámci autentizace a které nakonec předá uživateli aby je předložil příslušnému kvalifikovanému poskytovateli. Ten si ověřuje že token je podepsaný někým, komu důvěřuje, v tomto případě národním bodem. Pokud kvalifikovaný poskytovatel dostane token podepsaný jiným certifikátem, měl by na pozadí spustit minimálně kontrolní proces, jehož výsledkem může být informace že došlo k výměně podpisového certifikátu.
Jednou stránkou je tedy nedostatečná informovanost a druhou je nevhodná implementace. I kdyby byl kvalifikovaný správce včas upozorněn, dojde k výpadku přihlašování v čase, kdy bude měnit ručně certifikát (nebo automaticky v časovém intervalu kontroly). Při vhodné implementaci k výpadku buď nedojde, nebo alespoň bude uživateli předána smysluplná informace s požadavkem na opakování přihlášení.

Zverejnit novy certifikat a rovnou ho nasadit a jeste v prubehu vecera je ponekud diletantismus. Kdyz je na to navazano tolik veci okolo. Ten certifikat meli k dispozici uz od puli prosince... ale ty data v predstihu soudruzi nezverejnili.

Subject: C = CZ, organizationIdentifier = NTRCZ-72054506, O = Spr\C3\A1va z\C3\A1kladn\C3\ADch registr\C5\AF, OU = Odd\C4\9Blen\C3\AD architektury a anal\C3\BDzy, CN = GG_FPSTS, serialNumber = S275730
Not Before: Dec 15 09:51:11 2022 GMT
Not After : Jan  4 09:51:11 2024 GMT