Vlákno názorů k článku Datové schránky: když už ani časové razítko nepomůže…. od já - Představte si situaci: 0:00 h: Certifikační autorita vydává (pravidelný)...
-
já (neregistrovaný)Představte si situaci:
0:00 h: Certifikační autorita vydává (pravidelný) aktualizovaný CRL - označme si ho např. pořadovým číslem 123;
6:00 h: útočník získává přístupová data k cizímu podpisovému certifikátu;
7:00 h: útočník vytváří pdf dokument a podepisuje ho získaným cizím certifikátem; do dokumentu vkládá i poslední CRL (č. 123), podle kterého je podpis platný
8:00 h: legální vlastník zjišťuje zneužití a certifikát revokuje
12:00 h: je vydán další CRL (č. 124), který již zahrnuje i předmětný certifikát.
13:00 h: máme podepsaný dokument a chceme ověřit jeho platnost. Co udělá uživatel?
1. BFU: Adobe Acrobat i Adobe Reader mu hlásí: "Podepsáno a všechny podpisy jsou platné". BFU je spokojený, vše je přece správně.
2. Pokročilý uživatel: zobrazí si vlastnosti podpisu , zkontroluje datum a čas podpisu proti datu a času vloženého CRL a zavětří, že by teoreticky nemuselo být něco v pořádku. Klikne proto na "Ověřit podpis", ale podpis se opět ověří pouze proti VLOŽENÉMU CRL a jako výsledek se proto zobrazí "Certifikát autora podpisu je platný a nebyl odvolán". Takže uživatel ještě zvolí "Zobrazit certifikát", záložka "Odvolání", a pokusí se kliknout na tlačítko "Zkontrolovat odvolání" - to je ale neaktivní. Uživatel tedy sice tuší, že možná něco nemusí být v pořádku, jak se ale ujistit?
Nebo dělám něco špatně? Pane Peterko, je to námět pro Vás, kdyby Vám téma připadalo zajímavé. -
No vidíte, ono když člověk chce, tak vždycky najde někde trhlinu, to nás poctivce by tohle ani nenapadlo :-) Takhle si myslím, že by měl přemýšlet tvůrce datových schránek a podobných systémů, vidět to taky z druhé strany. Jinak k Vašemu bodu 2 si myslím, že takových uživatelů, kteří by se v tom takto hrabali je opravdu málo, na CzechPointech sedí většinou lidé, kteří jsou rádi, že podpis najdou a pokud je zeleně odškrtnutý, tak tradá konvertovat, nějaká hloubková kontrola nehrozí a pokud toto bude jen na lidech, tak bude vždy určité vysoké procento chyby, která může véct k tomu, že se nepravý dokument stane navždy pravý! -
já (neregistrovaný)Situace, kdy "legální vlastník zjišťuje zneužití a certifikát revokuje", měla vlastně být spíše v 6:30 h. Pak je totiž zřejmé nejenom to, že byl certifikát "někdy v inkriminovanou dobu" revokován, ale že navíc byl dokument podepsaný s použitím certifikátu již (půl hodiny) neplatného.
-
anonymníJediná možnost je "ověřit platnost certifikátu k současnému datu, nebo zjistit datum a čas revokace - přímo u CA". Pokud vidíte, že certifikát byl odvolán v době "blízké" podepsání dokumentu, můžete požádat "podepisaného" o vyjádření k pravosti a nechat si tuto informaci případně potvrdit.
To patrně uděláte jen je-li to ve vašem zájmu. Řešení nastalé situce ale bude plně v kompetenci toho komu byl podpis zfalšován. Vy osobně se zachováte podle vlastního uvážení s přihlédnutím ke znalosti situace.
Doporučuji postupovat jako v běžném životě, když nemáte důvěru v platnost dokumentu/podpisu.
P.S. Vložení historického CRL nehraje žádnou roli. Navíc, i zde se mohou dít chyby a vznikají opravy. Je třeba vždy kontrolovat oproti aktuálnímu CRL vydanému danou CA. -
xpckar (neregistrovaný)Jistě. Jenže se koukněte na implementaci, a jak jí ty idioti udělali. Jak bylo již několikrát řešeno - nejdřív podpis, pak časový razítko, jinak je taková implementace bezpečná a vůbec použitelná jako bábovičky 5-letýho kluka. A už dnes to jsou desítky milionů zpráv, a možná kolizní žaloba vyčůránků na nebohý uživatele nebo firmy každným dnem narůstá.
Navíc je to kšeft jako hrom. Předražený podpisy, extrémně předražený časový razítka, předražený jednotlivý zprávy, extrémně předražený, a ani tak přitom bezpečnostně nedotažený konverze... A tenhle neotestovanej amatérskej alfa hnůj vnutili stejně jako stejně smradlavou OpenCard. -
Filip Jirsák (neregistrovaný)Otázka je, s jakou přesností se to stáří dá určit – a také jak je to u různých materiálů. Možná by stačilo archivovat si prázdné listy a ty pak popsat a podepsat nějakým „inkoustem“ speciálně určeným pro stálost v čase. Navíc takovéhle expertízy nejsou zrovna levná záležitost. Takže zatímco u vlastnoručního podpisu se normálně kontroluje jenom přítomnost čehokoli, co připomíná podpis, u elektronického podpisu může i laik mít na jedno kliknutí k dispozici výsledky dost pečlivé kontroly.
-
Filip Jirsák (neregistrovaný)Opravdu? To by mne zajímalo, jak poznáte, jestli tohle je nebo není můj podpis: http://www.executivesearchjm.cz/images/podpis.jpg
-
MB (neregistrovaný)U starších listin mohu sledovat celý rukopis. Já už často podle napsané adresy na obálce identifikuji osobu, jež mi píše. Prostě když nám zástupce ředitele napsal na školu svým nenapodobitelným písmem Dnes není škola, nemusel se ani podepisovat a nikdo nepochyboval o pravosti zprávy.
-
Filip Jirsák (neregistrovaný)Poznáte taky, že se ten rukopis pokusil někdo napodobit? A myslíte, že to mohou poznat úředníci, kteří mají tisíce klientů?
Dneska by si tu ceduli „dnes není škola“ někdo okopíroval nebo vyfotil, a za týden by tam visela zase – a nikdo by nepochyboval o její pravosti. I s podpisem. Akorát by jí vyvěsil nějaký vtipálek a ne zástupce. -
Možná by to chtělo zopakovat čtení pane "já" :
-=================================================-
V souvislosti s právě popsanou možnosti si řekněme, že k podpisům na PDF dokumentech lze vkládat informace o revokaci (kopie seznamů CRL) jak při jejich vzniku (tj. v okamžiku podepisování), tak i kdykoli později. Z pohledu naší legislativy ale vkládání v okamžiku vzniku podpisu moc nepomůže, protože naše certifikační autority mají až 12 či dokonce 24 hodin na to, aby se informace o revokaci objevila v aktuálním CRL seznamu.
Stále ale zbývá možnost vložit do PDF dokumentu potřebné revokační informace později, s dodatečným odstupem (12, resp. 24 hodin). Zajímavé je, že tuto možnost nabízí i Adobe Reader, když se mu podaří ověřit platnost podpisu – a v nabídce, aktivované pravým tlačítkem, nabízí možnost „Přidat informace o ověření“.
-=================================================-
takže nic objevného :):):) -
já (neregistrovaný)Trochu číst umím, tím to nebude :-) Psal jsem o jiném problému - z pozice příjemce podvrženého dokumentu: i když bude uživatel poměrně zkušený a dostatečně paranoidní, aby na "podezřele starou verzi CRL vloženou do dokumentu" přišel, jaké má prostředky pro ověření podpisu? Ani Adobe Acrobat, ani Acrobat Reader (ve verzích a konfiguracích, keré jsem testoval), v takovém případě online kontrolu certifikátu neumožní (neaktivní tlačítko).
V příspěvku z 5.10., 12:31 h někdo radí, ověřit revokaci přímo u CA - tedy zřejmě v CRL na jejich webu. To je určitě rada správná a řešení spolehlivé, ale samozřejmě časově náročné a nepohodlné.
Proč tedy software od Adobe sice zobrazí varování "Protože v tomto certifikátu jsou vložené informace o jeho odvolání, je možné, že digitální identifikátor autora podpisu byl použit pro falšování podpisu před objevením a rozšírením informací o jeho odvolání", avšak nenabídne možnost "online překontrolování"?
ČLÁNKY DO MAILU
