Názory k článku Ondřej Filip: Jak jsem zažil malé, drobné vítězství

Souhlas. Kolik z vás, kdo se tu posmíváte, že se O.F. nevešel do dvou minut, jste se někdy postavili na stupínek před publikum a měli stručně v kostce promluvit o nějakém příšerně složitém tématu? Já to párkrát zkusil. Víte kolik jsou dvě minuty? 120 sekund? To je k nějakému smysluplnému sdělení absurdně krátký časový úsek ! Tolik prostoru dostane odhadem politik v hlavních zprávách a stihne jednu vtipnou floskuli !

Požadavky na konkrétní stránky (část adresy za lomítkem) z HTTPS zjistit nejde, a je to tak záměrně. Dříve nešlo z HTTPS zjistit ani název serveru (doménu) – mohl jste pouze z komunikace zjistit, s jakou IP adresou prohlížeč komunikuje (takže by se dala zakázat veškerá HTTP/HTTPS komunikace na danou IP adresu, což ale můžete udělat jedině v případě, když bezpečně víte, že na té IP adrese jiný web neběží – což nezjistíte). Dneska už většina prohlížečů posílá v nešifrované části HTTPS komunikace i jméno serveru, aby mohl server vybrat správný certifikát, který prohlížeči pošle (pro případ, kdy na serveru běží víc webů s různými certifikáty).

V tom případě je celé blokování nesmyslné, protože obejít ho může provozovatel a ten k tomu motivaci má.
Ano, je to tak. Pokud provozovatel bude na normálním nehazardním webu https://example.com/ mít hazardní část na https://example.com/hazard/, nemůže ministerstvo nechat zablokovat celý web, ale jen tu adresu. Provozovatelé pak také nemůžou blokovat celý web, ale jenom tu adresu – a protože ji z šifrované komunikace nedokážou zjistit, nemůžou blokovat nic.

Pokud by provozovatel provozoval hazardní web na celé doméně a byly by blokovaná celá adresa https://example.com/, zkomplikuje tím život ISP. Ti budou muset buď kontrolovat každé navázané HTTPS spojení, zda v něm klient neposílá údaj, že chce certifikát pro example.com. To by uživatel mohl obejít použitím prohlížeče nebo proxy serveru, který tuhle informaci posílat nebude. A nebo bude ISP blokovat převod DNS názvu example.com, což už je velmi sporné, protože tím zasahuje i do jiného provozu, než je jen web. Uživatel to opět může řešit tak, že bude DNS překládat jinak. Pokud by ISP modifikoval pouze odpovědi ze svých serverů, stačí uživateli použít třeba servery Googlu. Jejich odpovědi může ISP modifikovat, ale to už je zase zásah, který jde hodně nad rámec blokování webu a ISP k němu podle mne není oprávněn.

Důležité je, že na straně provozovatele hazardu celé blokování jde obejít triviálně tak, že na stránku https://example.com dá něco neškodného, co vůbec nesouvisí s hazardem, třeba chválu na Babiše, a hazard bude na https://example.com/hazard.

Ted se uplne nejsem schopen zorientovat ve Vasich myslenkach. Sdeleni Ondreje bylo v kostce o tom, ze "vyhodime spoustu penez a stejne to nebude fungovat" ...

Toto sdeleni je treba vyfutrovat odbornymi argumenty, coz je ve dvou minutach trosku problem.

Na zakon si budete vzpominat pokazde, az si budete konfigurovat VPN do svobodneho Internetu a nebo dostanete hlasku, ze na prislusny server se nedostanete, protoze ministr financi tak rozhodl.

S prvním bodem souhlasím. Druhý bod – zákon vyžaduje blokování přístupu na danou stránku. Zobrazení jiné webové stránky by pravděpodobně bylo porušením telekomunikačního zákona a v zákoně o hazardu pro to není žádná opora. Navíc obcházet to snadno mohou i provozovatelé hazardu – stačí, že budou stránku provozovat na HTTPS na nějaké doméně, která bude sloužit i něčemu jinému, než hazardu. No a pokud provozovatel nebude mít motivaci blokování obcházet, asi by se jeho web používal z ČR tak málo, že se mu to nevyplatí – a kvůli pár náhodným přístupům mají provozovat blokovací infrastrukturu všichni ISP v ČR?

Třetí bod – ne, vysoké úspěšnosti nelze dosáhnout nízkými náklady. Musíte být schopen monitorovat veškerý provoz a část z něj zablokovat. To přináší většinu nákladů. Jakým způsobem se to blokování bude provádět, to už je málo podstatný detail. Uvědomte si, že tu blokovací infrastrukturu musíte mít nakoupenou od začátku účinnosti toho zákona, i kdyby se nakonec ukázalo, že na tom seznamu nebude žádný web.

Zaslechl jsem, že některé kavárny apod. veřejné konektivity mají nasazenu transparentní HTTP+HTTPS proxy, která na HTTPS bez nějakých servítků páchá nepokrytý "MITM útok" - takže v dnešní době, kdy některé megakorporace tlačí "HTTPS šmahem všude", prakticky musíte vypnout ověřování certifikátů, pokud si chcete vůbec někam zabrowsit :-(
Taky soudím, že by se naše státní správa měla přece jenom rdít, chtěla-li by problém řešit tímto způsobem, ale u státní správy jeden nikdy neví...

Ale CZ.NIC to psal v jejich dopisu poslancum "Blokování vybraných internetových stránek tak, jak je upraveno v § 82, představuje nesystémové řešení, které bohužel s vysokou pravděpodobností nepovede ke kýženému výsledku. Ten by bylo možné zároveň dosáhnout mnohem efektivnější cestou a to prostřednictvím blokování plateb na účty vybraných provozovatelů. " a nemelo to zadny smysl. Navic v dnesni dobe, kdy se penize daji prevadet milionem ruznych zpusobu nez jen na ucet... Proste tady neni reseni a jakykoliv zakon bude tak deravy, ze dodrzet nepujde.

Tady jde o to, ze dohled muzou mit jen nad ucty v CR. Nad virtualni predplacenou kartou vystavenou na nejakem ostrove nekde daleko ne. Samozrejme cim vetsi poskytovatel, tim vetsi sance blokace. PayPal by asi neodmitl zadost o blokace z CR, u bitcoinu je to asi jedno...

No a prakticky to dopadne tak, ze ministerstvo financi bude udrzovat seznam domen, ktere se nebudou resolvovat a/nebo bude vydavat filtr na konkretni IP/IPv6 adresu.

Kolateralni skody nikoho z predkladatelu nezajimaji.

Blokování plateb ten zákon také řeší.

Kolateralni skody nikoho z predkladatelu nezajimaji.
Já si myslím, že tohle naopak nahrává ISP. Obecné zákony podle mne ISP znemožňují, aby jen tak o své vůli blokoval nějaký provoz (pokud to samozřejmě nemá ve smlouvě se zákazníkem). Teď by tenhle zákon nařídil nějaké blokování. V tomhle speciálním případě má tedy to blokování přednost. Tím pádem první pravidlo je, že ISP nesmí zablokovat nic jiného. Druhé pravidlo je, že musí (s přiměřeným úsilím) blokovat určené weby, ale pořád musí být splněno to první pravidlo, které má přednost.

Nebo-li to, že kolaterální škody předkladatele nezajímají, je jeho mínus, protože ISP je způsobit nemůže, a tím pádem se mu omezuje prostor, jak weby ze seznamu blokovat.

ministerstvo financi bude udrzovat seznam domen, ktere se nebudou resolvovat a/nebo bude vydavat filtr na konkretni IP/IPv6 adresu.
K tomu ale zákon MF neopravňuje. MF vydává seznam webových stránek – IP adresa ani doména rozhodně nejsou „webová stránka“.

Přesně tohle mě napadlo, když jsem viděl poprvé příslušnou formulaci v návrhu zákona, nakonfigurovat server tak, aby pro libovolný request generoval totéž, je triviální, a hodně štěstí s vytvářením seznamu závadných adres. A navíc uživatelům můžu dát "fixovaný" přístup třeba tak, že na microsite dané hry (jen reklama, ne závadná hra samotná) hodím odkaz s dostatečně dlouhou náhodně generovanou částí.

Podle mě je důležité také to, že TENTO zákon neopravňuje "vedlejší ztráty". Máme ale jistotu, že až nabude účinnosti a ukáže se, že to, co požaduje, ISP opravdu zajistit nezvládnou, nebude následovat novela ve stylu "blokujte domény druhého řádu/IP adresy serverů, pokud je na nich závadná stránka"? A tak, jako se ISP budou starat o blokování, budou se potenciálně ohrožené subjekty snažit, aby "na jejich adresách nebydlely vyvrhelové".

Ano, ten zákon (tedy aspoň těch pár kontroverzních paragrafů) je špatně teď, ale i z hlediska deklarovaného záměru (blokování hazardu), až nabude účinnosti, ukáže se, že je k ničemu. Pak jsou dvě možnosti, buď ho zahodit, nebo nějak vylepšit.

Přijde mi, že argument "dnes neúčinný zákon, zítra účinná novela" je z trochu jiného soudku než "dnes jen hazard, zítra cokoliv, co se 'někomu' znelíbí".

Shodou okolností jsem asi před týdnem narazil na zajímavou debatu pod jedním článkem na TheRegisteru - téma článku je pro mě osobně dost nezajímavé a v našem kontextu off topic, ale debata pod článkem se výtečně stočila na téma britské horní komory parlamentu (House of Lords). A přestože její historický vznik, vývoj a schéma doplňování je zjevně dost odlišné od našeho senátu, spousta postřehů je třeskutě podobná naší tuzemské debatě o našem senátu. Kdo umíte anglicky a máte čas, velmi doporučuji - je to myslím zábavné čtení.

Nemohu zadat absolutní odkaz, protože má v URL nějaká klíčová slova, která se šprajcnou v krku lupímu antispam filtru - takže skrz Google.

Považte - to srovnání našeho postsocialistického písečku s fungováním horní komory v tak tradiční a letité demokracii (čert vzal, že se jedná nominálně o konstituční monarchii).

O cem ma byt demokracie? O neodpovednosti politiku a elity? Na jedne velmi stare knize je napsano "modli se a doufej"...to je genialni epigraf pro ceskeho volice.

Radsi si prectete vysvetleni terminu "ideal democracy" v Encyclopaedia Britannica. Najdete tam definici, ktera se vzdalene podoba systemu rizenemu referendy.

Ano, ale ignorovani elementarnich definic jiste nema s demokracii nic spolecneho.

Sepsali slohove cviceni a overili jeho neefektivitu. Predkladatele se tedy neptali a ani nepresvedcili zadneho poslance, aby se ptal misto nich?

Muzete prosim specifikovat jakymi miliony zpusobu prijimaji platby zahranicni sazkove agentury? Ja vim jen o platbe kartou nebo prevodem na ucet, coz je pro samotny dohled prast jako uhod.

A kdy byl trestne odpovedny napriklad soudce, kdyz by to misto urednika mel rozhodovat prave soud? V teto zemi je bohuzel neporadek a nejenom na urovni uredniku.

Je usmevne jak se medialni cliche stava argumentem. Jak jste dospel k nazoru, ze by se melo hlasovat zrovna o tomhle? Nenechte demagogii zbytecne cloumat Vasim majestatem.

Tak at predkladatel zakona zduvodni proc chce jeste blokovani webu.

Proc stale chteji antikampanisti vest komplikovanou diskuzi s laiky ohledne problematiky filtrovani TCP/IP, kdyz muzou na predkladatele tlacit na srozumitelnejsim a slabsim miste?

Sdeleni samotneho pana Filipa je odlisuje od toho, jak to ted reformulujete. Ja tam ovsem nebyl, vychazim jen z toho jak to popisuje on, a z toho jake mam zkusenosti z podobnych sezeni.

Vas posledni odstavec mozna emocionalne rozhodi divaka TV Nova, ktery nema skoro 25 let praxe v oboru a netusi, ze svobodny internet je jen lakava iluze z americkych filmu :-) Uz vidim jak ministr financi kuje pikle, aby udelal tu nejlepsi reklamu jakemukoliv alternativnimu zdroji informaci a dal ho na index.

Napsáno je to v zákoně, § 82, odst. 1: Poskytovatelé připojení k internetu na území České republiky jsou povinni zamezit v přístupu k internetovým stránkám uvedeným na seznamu internetových stránek s nepovolenými internetovými hrami […]

Nic jiného než internetové stránky tedy blokovat nelze.

To právě bohužel není pravda. Protože se může najít nějaký trouba provozovatel hazardního webu, který to bude provozovat na jedné statické doméně a přes HTTP. Tenhle jediný záznam si dá MF do svého registru, a pak může začít od ISP vybírat ty milionové pokuty.

To je nesmyslný argument. Každý zákon můžete novelou zkazit. Proto se mi nelíbí ten 4 bod v prohlášení. Ten zákon je špatně teď, tak je potřeba kritizovat tu jeho současnou podobu, ne nějakou imaginární budoucí novelu zákona.

Priznavam, je to zaujatost, ktera prameni z teto casti od pana Filipa: ... jsem se mohl soustředit především na techniku a ekonomiku navrhovaného řešení blokací. Vypíchl jsem nedostatečnost analýzy dopadů regulace na podnikatele, tzv. RIA, a vysvětloval jsem, že kvůli zájmům české hazardní lobby zatížíme 2000 ISP a také jejich zákazníky. Ja bych pri necem takovem usnul, ale mohlo se samozrejme stat, ze senatori bedlive naslouchali.

NIC.CZ by mel byt seriozni instituci a neklesat svym vystupovanim na uroven "protivniku". Antikampan je manipulativni jak uvodni otazkou, tak i otazkou v ankete. Proste tohle bude mit jen ten vysledek, ze na zakon si par tydnu nikdo ani nevzpomene a z jednani NICu zustane uz natrvalo pachut v ustech.

Pokud 200 zastupitelskych mozku nedokaze pracovat kvalitne a potrebuje kontrolu dalsimi 81 zastupitelskymi mozky, tak je mozna efektivnejsi at to ma rovnou moznost korigovat cca 8 milionu volicu prostrednictvim obecneho referenda.

Kolik lidi ma postaveni jako sef NIC.CZ? To on na to musi mit profesionalni dovednosti, ne jeho podrizeni nebo nahodni kolemjdouci. Tady nehodnotime nejakeho tiskoveho mluvciho, ktery by snad neumel v kostce vysvetlit fungovani BGP na nahodnou otazku z plena.

Zřejmě umíte číst lépe, než já, a můžu se to od vás naučit. Kde je tedy v mém komentáři nebo v zákoně napsáno něco o identifikátoru?

Co to prestat resit technicky a zatit to resit prakticky? Proc proste nezablokuji platby na ucty tech hazardnich spolecnosti z uctu u domacich bank? Ziskat je mohou trivialne a pokud tam lide nebudou moct vlozit penize, tak si tam mistni gambleri nezahraji.

Podle mne je důležité také to, že zákon neopravňuje žádné „vedlejší ztráty“ (samozřejmě až na nějaké marginálie, které nikdo nemusí očekávat). Takže podle mne třeba není možné blokovat IP adresu, protože ISP nemůže vědět, zda na té IP adrese není provozován i jiný web – a k blokaci toho jiného webu není oprávněn. Ze stejného důvodu podle mne není reálně možné použít ani blokaci na úrovni DNS záznamů – protože ty DNS záznamy může používat i jiná služba.

Ne.

Nechci pana Filipa srazet kvuli 2m nebo 3m, protoze se jiste snazi podle svych schopnosti a moznosti. Ovsem z jeho vlastniho popisu jsem nabyl neochvejne presvedceni, ze to byly 3 minuty nudy a pojmu, kterym posluchaci nerozumeli a ani nemohli rozumet. Presne tohoto typu "prodlouzeneho" projevu technicky fundovanych lidi jsem byl nescislne-krat svedkem. Antikampan spustena spolecenstvim NIC.CZ je navic silne zavadejici a manipulativni, a to take nepomaha seriozni diskuzi o tematu. Za jeji uroven rovnez nese svuj dil odpovednosti pan Filip.

Srazel by to pouze pokud by narazel na skutecnost, ze pan Filip nedokazal vmestnat svuj projev do pridelenych 2 minut a ze byl po treti minute zastaven. Vysoce postavenemu manazerovi se tohle stat nema, protoze to ukazuje male profesionalni kvality a mnohdy to byva povazovano dokonce za neslusne.