Vlákno názorů k článku Datové schránky: pracujeme s e-podpisy, I. od petr_p - Vybrat si jeden konkrétní program a na něm...
-
petr_p (neregistrovaný)
Vybrat si jeden konkrétní program a na něm věci ukazovat je názorné zjednodušení, nicméně přesto a možná i proto je zde řada problémů, které tento konkrétní program neřeší:
Odvolané certifikáty – Zákon požaduje kontrolu na odvolání, definuje periody v kterých musí účastníci obnovovat CRL. Jak vysvětlíte tomuto konkrétnímu programu, že má dvakrát denně obnovovat CRL? Co se stane, když se obnovení nepovede? Jak program pozná, že došlo k porušení politiky a že z hlediska zákona se podpis nepodařilo ověřit?
Použití jednotného úložiště certifikátů – Jak bylo napsáno, posílání jen PDF je zbožné přání. Ze strany úřadu to může být milé, avšak nelze si to od něho vynutit. Nehledě na to, že nestačí jen PDF, ale je nutné dodržet i minimální verzi. (Mimochodem ohánět se zákonem o elektronické spisové službě a archivu je na nic, protože ten zná jen PDF/A, který digitální podpis nemůže obsahovat z definice.) Tudíž bude nutné, aby správně ověřovat podpis umělo více programů. Hlídat je všechny je nepraktické. Jednotné úložiště a jednotné politiky je nutnost. Umí to komentovaný program?
S tím souvisí problém externích a interních podpisů. Systémově čisté řešení jsou externí podpisy. Jedna prověřená aplikace může zpracovat libovolný datový formát. Nevím, proč se tomu všichni brání.
Rozlišení kvalifikovaných autorit od ostatních – v praxi se vedle kvalifikovaných používají i vnitřní nebo jiné nekvalifikované autority. Umí program je od sebe rozlišit nebo bude muset uživatel studovat otisky kořenových certifikátů ručně? Český zákon o elektronickém podpisu si vymyslel textový dovětek do certifikátů, přitom existuje oficiální OID, které má stejnou funkci a moderní programy mu rozumí.
A nakonec si položme otázku, kdo a jak bude podepsané (a orazítkované) dokumenty vyrábět. A hlavně kolik ho vrtochy ministerských úředníků budou stát. Jsou třeba programy na konverzi do (Zajíčkova) jediného správného formátu (ano, různé textové procesory nebo scannery vyrábějí různé verze PDF). Programy na jeho interní podepisování. (Razítko zatím doplňuje ISDS, nicméně pak je nutné tahat s sebou obálku zprávy a razítkování přes hash přílohy v obálce pedantický právník rozcupuje.)
Taky se můžeme podívat na konverzi z moci úřední. Vyhláška říká, že tak lze činit pouze prostřednictvím Czech POINTu. Musejí si úřady pořizovat pracoviště tohoto systému? Poslední novinky z vnitra věc vyjasňují – úřad bez pracoviště Czech POINTu si zažádá o účet do systému omezený za tímto účelem a pak pomocí CzechPOINT@Office bude provádět konverze. Co to je? Je to software? Kde se vezme? Kolik stojí? Jen pro Windows? Autentizace jen nezaručeným komerčním certifikátem od pošty? Znamená to, že úřad bude po 128kb/s ADSL lince nahrávat megabajty scanů někam do centrály, kde se převedou na jediný správný a podepsaný formát (PDF-1.7) a pak zase poputují zpátky?
-
MB (neregistrovaný)Já myslím, že přesně tento příspěvek popisuje i moje nezodpovězené otázky. Jako odpověď se oficiálně vsouvají jen nedořešená řešení, za kterými jsou vidět spíše zájmy dvou tří firem, než nějaký odborný systematický přístup.
Už dávno není tajemství, že zvlášť pokud to půjde takto divoce, to bude drahé a drahé a ještě jen z části funkční resp. zákon stejně nebude moci být dodržen.
Externí podpisy jsou z hledika automatického a univerzálního ověřování perspektivní, ale znamená to posílat 2 soubory a to ISDS po spuštění neuměl respektive nesměl. -
Přiznám se, že Vaší terminologii nerozumím. Co míníte rozlišováním "externí x interní" podpisy?
Též se přiznám, že nerozumím požadavku na "jednu prověřenou aplikaci". Nevím, co by taková aplikace měla provádět a co by to vyřešilo?
Ad konverze z moci úřední však Vaše obavy sdílím, viz můj předchozí článek. -
Jiří PeterkaPodporovatelinterní podpis je takový, který je přímo součástí podepsaného dokumentu, zatímco externí má samotastný charakter (je například v samostatném souboru).
Externí uznávané podpisy u nás vyžadují resorty financí a justice (viz například zde), zatímco třeba resort práce a soc. věcí naopak požaduje interní podpis. -
Aha. Přiznám se ale, že tato systematika interní/externí je pro mne stále nepoužitelná z hlediska problému o který se jedná, tj. zda e-podpis je/není platný.
Především většina podpisových formátů zpravidla umožňuje obě varianty (interní/externí ~ zaobalený/odloučený), popř. i ještě divočejší kombinace!
V mé terminologii používám pro váš "externí podpis" název "odloučený podpis". Výhodou odloučeného podpisu bývá to, že původní podepsaný dokument zůstává ve svém původním syrovém stavu (jako soubor) a přijímací klient, který není schopen ověřit podpis, je stále schopen aspoň přečíst přiložený dokument (co v něm je). Proto např. pro S/MIME je vhodnější použití odloučeného podpisu, dokument v emailu takto podepsaném přečte každý poštovní klient schopný číst MIME.
Ale není to vlastnost podpisového formátu, je to volba jednoho profilu v rámci něj, který lze volitelně využít. To zda je použita varianta odloučená nebo zaobalená, je pro úlohu ověření platnosti e-podpisu jen nepatrný technický detail toho, kde se mají hledat podepsaná data - to zvyšuje náročnost asi v takové míře, jako rozhodnutí, zda je soubor na disku D: nebo disku C: (abych to analogií přiblížil).
Pokud ovšem chcete ověřovat platnost e-podpisu, tak vám volba interní/externí vůbec nic nepřinese! Prostě musíte umět ověřit platnost e-podpisu. -
anonymní
Externí podpis je univerzální. Interní je specifický pro daný formát. Nejde o platnost podpisu, ta s tím nemá co dělat. Jde o ryze praktický problém.
Chcete-li ověřit platnost externího podpisu, stačí na to jeden nástroj (bez ohledu, v jakém formátu jsou podepsaná data, protože jemu není potřeba rozmět).
Chcete-li ověřit vnitřní podpis, musíte nejprve rozumět formátu dokumentu, pak musíte jeho podepsané části převést do kanonického tvaru (opět závislé na formátu) a teprve pak můžete ověřovat platnost podpisu. Vnitřní podpis podporuje nejen PDF, ale i ODF, obecně všechny formáty založené na XML (takže i MS-OOXML), všechny formáty používající strukturování MIME (e-mail, HTTP).
A teď si vezměte, jak těžké je udělat správnou kryptografii (už třeba jen problémy, které jsem výše popsal, jako práce s CRL, rozlišení kvalifikovaných autorit od ostatních) a s interním podpisem byste musel tohle všechno strkat do každého prohlížeče konkrétního formátu. Jistěže na to existují knihovny, ale i jejich správné použití není jednoduché.
Proto jsem hovořil o jedné prověřené aplikaci, která by implementovala všechny zákonné požadavky, ale sama by nemusela rozumět rozličným formátům. Prostě by ověřila externí podpis a pak zavolala konkrétní prohlížeč, ať ukáže uživateli dokument. Takový systém je snazší vytvořit, je méně náchylný na chyby, je modulární (nevytváří zbytečné závislosti, umožňuje výměnu jednotlivých částí) a je i levnější.
Samozřejmě že „jednou“ aplikací nemyslím, že smí existovat jen jediná. Tím jsem myslel, že uživateli stačí jedna aplikace a může ověřovat podpisy všech dokumentů.
ČLÁNKY DO MAILU