Vlákno názorů k článku Datové schránky povinně pro všechny. Nahrávka ministerstvu vnitra? od karelbarel - Kašlu jim na ně. Pokud přijde nějaká obálka...

MOc se nekasej.....když to povinně zaváděli pro s.r.o., tak po určitém datu byla DS aktivována automaticky...takže tak....a jim je jedno, jestli DS nevybíráš, po 10 dench mají doručeno a za kretčí konec taháš Ty.....

To, co jste napsal, je z velké části špatně. Ano, každý certifikát je podepsán certifikační autoritou (nebo self-signed certifikát sám sebou), a aby prohlížeč důvěřoval nějakému certifikátu, musí najít cestu od předloženého certifikátu až k nějakému, který má zařazen mezi důvěryhodné.

To, jestli nějaký prohlížeč má nebo nemá nějaký certifikát zařazený mezi důvěryhodné, není obecná vlastnost toho prohlížeče. Každý uživatel si může seznam důvěryhodných autorit libovolně upravovat – a správně by ho měl mít na začátku prázdný a doplnit jen ty autority, jejichž certifikační politiku si přečetl a kterým opravdu důvěřuje. Ve skutečnosti prohlížeče přicházejí s už naplněným (dlouhým) seznamem důvěryhodných certifikátů, ale to neznamená, že by se dalo obecně říci „prohlížeč nemá k dispozici certifikát CA“. Navíc mezi důvěryhodnými certifikáty nemusí být jen kořenové, běžně jsou tam i intermediate certifikáty.

Server cert.mojedato­vaschranka.cz má ten samý certifikát, jako www.mojedatovaschranka.cz (ten certifikát má ve skutečnosti 6 aliasů – mojedatovaschran­ka.cz, a k tomu domény třetího řádu www, cert, reg, ws1 a ws1c), takže pokud váš prohlížeč důvěřuje některé z CA, která vydala certifikát, pro www.mojedatovaschranka.cz, důvěřuje i cert.mojedato­vaschranka.cz. (To platí dneska, v neděli bude mít produkční prostředí nový certifikát, ale předpokládám, že to bude zase stejné – jeden certifikát s 6 aliasy).

Pokud máš k dispozici linux/mac, může přesný problém zobrazit příkazem "openssl s_client -host cert.mojedato­vaschranka.cz -port 443"
Technicky tam žádný problém není. Jediný „problém“ je asi v tom, že nemáte potřebný komerční certifikát. Já takový certifikát mám, takže se na stránku https://cert.mojedatovaschranka.cz bez problémů dostanu.

Já jsem ale reagoval na to, že pro přihlášení k datovým schránkám klientským certifikátem je potřeba komerční certifikát od některé ze tří českých certifikačních autorit, které zároveň vydávají kvalifikované certifikáty. To omezení je dané především technicky, protože HTTPS umožňuje jen přihlášení certifikátem, nestačí jen klíčová dvojice (jako to má třeba SSH). Server pak posílá klientovi seznam certifikačních autorit, jejichž certifikáty pro přihlášení akceptuje – takže do tohoto seznamu je nutné nějaké autority vybrat, a výběr těch tří českých komerčních je v takovém případě logická volba (protože pokud už někdo v ČR má komerční certifikát, bude to většinou právě jeden z nich – už jenom proto, že ho někde může získat zdarma ke kvalifikovanému).

Jo, to mě taky vadilo. Vysvětlení je prý takové, že nevěří běžným kořenovým autoritám, proto si zavedli vlastní, takže to ani není chyba, ale feature. To že jediný způsob, jak jí pak do firefoxu dostat je ručně jí tam naimportovat stažením z nějakého smradlavého webu jim asi nedochází.

Ve skutečnosti je to tak, že pro přihlášení certifikátem potřebujete přihlašovací („komerční“) certifikát od některé ze tří českých autorit, které zároveň vydávají kvalifikované certifikáty. Právně to žádný význam nemá a umožnit použití certifikátů pouze těchto tří společností by se dalo chápat jako omezování konkurence. Bohužel je to technický problém, protože HTTPS umožňuje pouze přihlášení certifikátem, neumožňuje pouze přihlášení klíčovou dvojicí (přestože datové schránky v tomto případě nepotřebují z certifikátu žádnou informaci). Teoreticky by server mohl posílat prázdný seznam certifikačních autorit povolených pro přihlášení, ale je otázka, zda by to fungovalo se všemi klienty (zda by pak některý klient nedovolil vybrat žádný certifikát, místo kýženého výběru ze všech certifikátů).