Názory k článku ISSS 2003: Ministerstvo informatiky poprvé skládá účty II.

Mel jsem tu cest ucastnit se konference v HK. Zde jsou me poznatky z teto konference:

1/ p. ministr za nic nemuze, vse prevzal od svych predchudcu, nic nemuze zmenit, jen se pokusi vse zlepsit - coz se mu dari

2/ elektronicke trziste pro organy statni spravy je super, jen chudak uzivatel nema 1 centralni obchod, ale se svou poptavkou musi navstivit nekolik ruznych obchodu, na ktere je ze stranek ministerstva odkaz

3/ problematika zadosti o socialni prispevky elektronickou cestou je velmi zhava - uz vidim davy zajemncu, kteri potrebuji pomoc v tizive situaci, jak si porizuji elektronicke podpisy - samozrejmne ze ne zdarma - a palti za internetove pripojeni

4/ v cem spociva univerzalni pripojka? V tom, ze ma zajemce slevu ze standardnich cen Telecomu? A to ma byt vse?

a tak by se dalo vesele dal pokracovat.

I ten portal verejne spravy stoji za to - doporucuji navstivit

Tak ta nase socialisticka republika vymyslela dalsi zlodejinu....proc platit za internetovou pripojku obce 1 - 6000 lokalnim providerum kdyz je mozne platit 15 - 30 000 za pripojku monopolu...........

Jednoznačný identifikátor, nejlépe uzákoněný, je velmi potřebný. V článku se píše, že kvalifikovaný certifikát od akreditovaného poskytovatele obsahuje jméno, příjmení a adresu. Ani to ale nemusí obsahovat! Povinné položky jsou pouze jméno, příjmení a e-mailová adresa. Pátrejte pak, o kterého Jana Nováka s e-mailem jan.novak@post.cz se vlastně jedná.

Já mám jiný názor. Domnívám se , že elektronický podpis by měl sloužit především k vlastnímu podpisu, a jednoznačná identifikace podepisující osoby je až jeho doplňková vlastnost.

Potřebujete opravdu vědět, který Jan Novák zprávu podepsal? Dva argumenty:

1) samotná datová zpráva úplnou identifikaci subjektu obsahuje nebo ji může obsahovat. Např. formulář jakékoholi přiznání k dani obsahuje vše potřebné, často i nadbytečně.

2) u papírových podání většina úřadů identifikaci podepisující osoby vůbec nepožaduje (např. nikdo nijak nezkoumá kdo podepsal nebo podal Vaše daňové přiznání).
Proč u elektronických podání je jiný "metr"?

To, co jste napsal v bodě (1) myslíte opravdu vážně? Takže podle vás by bylo v pořádku, pokud by Jan Novák č. 1 podepsal daňové přiznání Jana Nováka č. 2. Finanční úřad by po Janu Novákovi č. 2 chtěl nesmyslně vysokou daň a on by se nemohl bránit, protože to přeci nějaký Jan Novák podepsal...

V případě papírového podání by to skončilo dokazováním, zda to dotyčný opravdu podepsal. Ne že bych byl stoprocentně přesvědčen o neomylnosti grafologů, ale soudy jejich analýzu jako důkaz berou.

Myslím to vážně. V případě elektronického podpisu by to taky skončilo dokazováním s tím rozdílem, že by se jednoznačně prokázalo, že Jan Novák č.2 je v tom nevinně.
CA totiž na žádost soudu úplné identifikační údaje majitele použitého certifikátu vydá.

V každém případě zkuste najít nějaký reálnější příklad než pana Nováka, který se chce pomstít svým jmenovcům a podává za ně přiznání, nic z toho nemá, a navíc ví, že se na to přijde :)

Tady nejde jen o podání, když Vy nějaké údaje "hlásíte", ale o případy, kdy Vy nějaké údaje získáváte.
Dám Vám reálnější příklad. Naše zdravotní pojišťovna (Hutnická zaměstnanecká pojišťovna) provozuje Elektronickou přepážku na základě elektronického podpisu. Pokud byste byl naším pojištěncem, můžete dostat elektronicky seznam všech zdravotních výkonů, všech léků atd., které jste čerpal (lépe řečeno - které na Vás vykázali lékaři). Bylo by Vám milé, kdyby tyto údaje získal Váš jmenovec? Asi ne. Proto jsme nuceni sepisovat před "vpuštěním" do této aplikace s klienty smlouvu, bychom si jednoznačně přiřadili osobu a certifikát. Pokud by certifikát jednoznačnou identifikaci obsahoval, bylo by to hlavně pro klienty jednodušší, nemuseli by chodit osobně podepisovat smlouvu. A proč taky, když osobně už byli na CA...

Jednoznačný identifikátor v certifikátu veřejného klíče skýtá řadu problémů (praktičnost, ochrana soukromí). Přitom existují řešení, která je odstraňují, jenom na ně přijít.

Uvedl jsem je (problémy i řešení) ve svém článku, jenž vyšel v časopise Computer World č. 4/2003 pod redakčním názvem "ePodpis v praxi s komplikacemi", a na webu ho naleznete např. zde: Jednoznačná identifikace se zachováním soukromí".

Bohužel, Ministerstvo informatiky a ani jiní informatici (včetně pana Peterky) asi ComputerWorld nečtou. Tak snad aspoň takto.

Souhlasím s tím, že identifikátor klienta by v podpisovém certifikátu být neměl. Atributový certifikát se jeví jako dobré řešení.
Rád bych ještě upozornil na problém s časem podpisu, který se v současné době řeší tak, že klient podepisuje data přímo v aplikaci na Webu.
Pokud podepíši dokument před odesláním na úřad, nedá se zjistit, kdy se tak skutečně stalo.
To mne přivádí k otázce data a času podání dokumentu např. na podatelně úřadu, bude-li se jednat třeba o e-mail, a potvrzení o přijetí (převzetí úřadem) pro kontrolu klienta, plynutí správních lhůt....

Mohla by existovat nějaká CA, která by zajišťovala nezávislé časové razítko?