Vlákno názorů k článku S kvalifikovaným certifikátem raději necestujte od Dan Lukes - Tentokrat jste me presvedcil, existence "neosobnich" certifikatu ma...

Tentokrat jste me presvedcil, existence "neosobnich" certifikatu ma smysl, zejmena pro zaruceni integrity predavane zpravy. Nebyl jsem dostatecne seznamem s obsahem novely, ktera je zavedla, zejmena jsem prehledl vlozeny paragraf 3a. Bez nej by "elektronicka znacka" skutecne byla "razitkem bez podpisu osoby" - a v neelektronickem zivote samotne razitko duveruhodnost, autenticitu ani zavaznost zpravy nijak neovlivnuje. Takhle ale vyznam ma.

Trochu informaci na objasneni zahady.
Pak posudte i tu potrebnost...

"Elektronicky firemni podpis" - je to, co je v posledni novele zakona o elektronickem podpisu definovano jako tzv. elektronicka značka. Nejblíže má k této situaci v nedigitálním světě razítko nějakého úřadu.
Hlavní smysl je pro situace, kdy automat v elektronickém styku vygeneruje podle zadanych pravidel standardizovanou odpověď a odešle ji. Vy jako příjemce máte tedy odpověď u které můžete prokázat jeji původ, nemennost atd. Typické použití : elektronické podatelny - vytvoření elektronické doručenky přijetí podání. Zajimave je napr. toto vyuziti - dotaz na katastr nemovitosti, kde se podle dotazu pripravi automaticky odpoved, opatri se elektronickou znackou a odesle se zadateli. (O neco pruznejsi nez, kdyz ceka odpoved ve fronte az nejaky clovek - urednik s podpisovym pravem opatri odpoved uznavanym podpisem, ze ...).
Poznamenejme, ze do teto novely to sice fungovalo obdobne, ale elektronicky vypis z katastru nemovitosti mel pouze informativni hodnotu.

No, zase jsme o krok napred - neelektronicky se firma jako takova podepsat v zadnem pripade nemuze. Jaky pak ma pravni vyznam "elektronicky firemni podpis" je tedy opravdu zahada. Ale kdyz to prosadilo MICR pak to jiste nejaky seriozni smysl ma a jde nepochybne o velmi potrebnou vec ...

Firemní certifikát zase až takový nesmysl není. Od loňské novely ZoEP může být vydán kvalifikovaný systémový certifikát na e-značku i jen právnické osobě, bez uvedení osoby. Tuším je to česká invence made in MIČR.

Pravdepodobne si ne zcela rozumime ve sluvku "anonymni". Mluvime o certifikatu, kde az do soudniho stani nasledujiciho po ospesnem vysetreni podani proti neznamemu pachateli nevite, kdo je drzitelem takoveho certifikatu. Pokud tedy nepocitame s tim, ze podavani zalob na nezname pachatele je vas bezny denni chleba, pak v naproste vetsine pripadu nevite, kdo je drzitelem certifikatu a podpis je pro vas zcela anonymni.

Ja mam dojem, ze rozdil mezi nasimi nazory je velmi maly, ale nedari se mi ho uchopit. Oba souhlasime s tim, ze certifikat nemusi obsahovat verejne srozumitelnou identifikaci a ze i takove maji urcite uplatneni. Oba mluvime o tom, ze principialne certifikat takovou indentifikaci pripadne obsahovat muze. Pak ale prohlasim, ze certifikaty s plnou identifikaci by mely sve, pomerne siroke, uplatneni, oznacim za chybu, ze tento typ certifikatu (ktery, jak pisete, EU zna) my standardizovany vubec nemame - a prohlasim, ze tento nedostatek ma velky negativni vliv na rozsireni uzivani el. podpisu, protoze se domnivam, ze pouzivani techto certifikatu by bylo vetsi nez pouzivani jinych typu - a je po souhlasu. Pricemz ani vase, ani Milosovo argumenty nesmeruji k tomu, ze by z nejakeho duvodu byla standardizace skodliva, nebo, ze se domnivate, ze fakt (ne)standardiace nema na rozsireni zasadni vliv. Jen velmi okrajove se pak venujete tomu, ze se (patrne) nedomnivate, ze by podil pouzivani takovych certifikatu byl az tak velky, jak se domnivam ja. Rekl jsem take, ze jakmile u certifikatu bez plne informace potrebujete overit jakykoliv udaj "navic", je snazsi poridit si certifikat nekvalifikovany, nejlepe vystaveny vlastni CA. Ani to se mi vymluvit nepokousite. Misto toho se branite necemu, co jsem nerekl - ze by se certifikaty bez plne identifikace nemely pouzivat vubec.

Vase letme obvineni s demagogie me velmi mrzi. Zrejme mi ve vyhodach kvalifikovaneho certifikatu oproti certifikatu "prostemu" unika neco tak zasadniho, ze nemuzete uverit, ze to nevidim. Nebo se mozna mylim co se ochoty certifikovanych CA vystavovat po vas certifikaty podle vasich individualnich prani za dostupnou cenu tyce.

Bud' se v diskusi naprosto zasadne mijime - a to uz na urovni toho "o cem je vlastne rec". Nebo se nemijime coz by znamenalo, ze vy, s Milosem, si nemyslite, ze je vazny nedostatek, ze nas zakon certifikaty s plnou identifikaci nestandardizuje a nemyslite si, ze to je vazna prekazka branici sirsimu pouzivani kvalifikovanych certifikatu v mimostatni sfere nebo se domnivate, ze jejich podil by byl marginalni. Jestlize jste se mi snazil oduvodnit "rozumnost" techto nazoru, pak konstatuji, ze jste nebyl uspesny. Ale i tak diky za poksu i vas cas. Necham si to pristi tyden osvetlit od Tondy. Treba zjistim, ze to bylo zcela trivialni nedorozmeni ...

Omlouvam se, ze opet vstupuji (viz naše diskuse na podobne tema o kus dále).
Podporuji pana Mojžíše, má pravdu.

Váš názor : -...Jak uz jsem psal "anonymni" elektronicky podpis NEMA ekvivalent v "pisemnem" svete. .., je již pomalu mimo diskusi, je jemně řečeno chybný ....

Prostě motáte do sebe vlastnosti podpisu a certifikátu. Každý slouží k jinému účelu !

Navic tam zavadite sve dojmologie, ktere misty zacinaji byt trochu demagogicke.

Zaručený elektronický podpis není anonymní (již z jeho definice plyne, že je možné zjistit podepsiující se osobu a ta nemůže odmítnout, že jej vytvořila). My pouze hájíme smysl certifikátů, které v sobě nemají přesnou identifikaci vlastníka certifkátu... (mimochodem neznamená to např. ani to, že komunikující osoby důvěryhodně nevědí, kdo je vlastník certifikátu, ale nekomunikující to nemusí vědět...)

Příklady takové možné komunikace jsme již uvedli.

Vzhledem k tomu, že možnost uvádět v kvalifikovanem certifikátu i pseudonym je zakotven ve Směrnici EU a je převzata do standardů ETSI - je jasne, ze se odbornikum, kteri se na priprave teto legislativy a norem podileli také zda uzitecnost takovychto certifikatu.

Znova opakuji, že ze cmaranice na papire, ktera se nazyva podpis, take nevite, kde podepisujici se osoba bydli apod.
Nemusite to tedy vedet ani primo z certitifikatu....
Zamyslete se nad tim, jak v pripade sporu dohledate osobu, ktera nacmarala na papir to, co se nazyva podpis a jak dohledat osobu, ktera ucinila zaruceny elektronicky podpis zalozeny na kvalifikovanem certifikatu ....

Ještě na úplný závěr:
EU definuje tři typy certifikátů
- s pseudonymem
- s částečnou informací
- s plnou identifikací

Pro různé účely se hodí samozřejmě různé.
Viz také položky v kvalifikovaném certifikátu o tom, zda se používání kvalifikovaného certifikátu omezuje podle povahy a rozsahu jen pro určité použití.....

Např. pro komunikaci s bankou, pokud vydává certifikáty klientům banka, stačí ty s pseudonymem (např. je v položce DN číslo zákazníka). Není přece nutné, aby při analýze transakcí, každý viděl kdo má konto u dané banky a jak často s ním pracuje...

Dopřejte lidem v digitálním světě trochu té anonymity...

No a to je cele...
Proste jsem nevydržel, abych pana Mojžíše a hlavně základní princip fungování PKI alespoň takto nepodpořil.
Ted uz opravdu koncim.

Ano, u zminenych dokumentu nema prijemce zaruceno vubec nic - a proto je jejich ekvivalentem v elektronickem svete take "vubec nic" - a nikoli "anonymni certifikat". Jak uz jsem psal "anonymni" elektronicky podpis NEMA ekvivalent v "pisemnem" svete. Obyceny podpis propiskou od neznameho cloveka je prakticky nulitni akt. Kdyz bude vedet dopredu, ze te chce podvest, tak ti nepomuze v nicem ani grafolog. Jestlize to tohle v pisemnem svete vetsinou staci, pak i ve svete elektronickem by ti mel staci jakkoliv neautentizovany dokument (maximalne bys overil, ze je platna emailova adresa). Ty tady ale furt konstruujes situace, kdy neautentizovany dokument nestaci, ale soucasne plne postacuje dokument elektronicky, podepsany naprosto neznamou osobou. Ja ti pouze tvrdim, ze tato konstrukce je sice hezka, ale presto ji vidim jako "novou a umelou" a vyjadruji sve presvedceni, ze to s jejim "ujmutim se" bude velmi tezke - prave proto, ze nejde o "elektronizaci" jakehokoliv znameho mechanismu na ktery jsou lide zvykli - ale o neco zcela noveho. Je mile, ze se odvolavas na soudy a policii - ale obavam se, ze na to se ti verejnost docela vykasle. Mechanismus, ktery mi neumoznuje odhadovat rizika dopredu - a podezrele partnery odmitnout a jedine, co mi nabizi je "berte vsechny a pak se obratte na policii" je proste pro praxi tezko prijatelny. Predstavuju si zive, jak mesicne podavas soudu tri zaloby na neznameho pachatele kvuli nezaplaceni 326,30Kc a jsi cely stastny, jak ten system pekne funguje. A navic, az se zjisti, ze uz te zase okradl tentyz clovek, co te okradl vcera, minuly tyden a taky patnactkrat loni, budes si, pravem, pripadat za pitomce. A to je presne to, co ti nabizi "anonymni" certifikat. Nicmene, jak uz tady padlo - jde o dojmologii. Myslim, ze to nelze vyresit diskusi. Nejsnadneji nas spor rozhodne cas ...

Mimochodem, kdyby to ty organizace potvrdili na adresu puvodni, mely by se jim jejich dopisy vratit jako nedorucitelne - ledaze jsi si u posty zaplatil dosilani. Takze to tedou navrhovane "bezpecne" chovani je nelogicke.

Myslím, že lidi netřeba převychovávat, stačí se na věc podívat z jiného úhlu. Pokud dnes pošlu dokument i závažnější povahy (objednávka, reklamace, faktura, daňové přiznání, návrh smlouvy, přihláška na VŠ, nabídka do výběrového řízení atd.) tradiční poštou, příjemce také nemá zaručeno, že jsem to poslal skutečně já - a vydávání se za někoho jiného je zde ještě mnohem jednodušší než v případě elektronické komunikace, kde musí souhlasit alespoň jméno (navíc příjemce může požadovat, aby dodatečné informace - např. rodné číslo - byly uvedeny v těle zprávy).

A přesto drtivá většina výše vyjmenovaných typů korespondence takto zaslána být může, a příjemci to téměř vždy naprosto stačí. Nedávno jsem například měnil trvalé bydliště, což jsem oznámil na všechna potřebná místa písemně. Všechny organizace, které zareagovaly, mi potvrdily přijetí zprávy rovnou na novou adresu, což je, vzato do důsledku, z jejich strany bezpečnostní nonsens (měly mi to potvrdit zejména na adresu původní, abych v případě, že se za mne někdo vydával, mohl tu operaci odvolat).

Navíc v případě běžné papírové komunikace prakticky nelze zjistit, kdo podvrh vyrobil - známé je pouze razítko podávací pošty a tím to zpravidla končí. U elektronické komunikace si ale těžko někdo dovolí vydávat se za někoho jiného (já bych si to tedy netroufnul), neboť policie jej v případě potřeby zjistí za pár minut prostým dotazem na vydavatele certifikátu.

V tom já vidím sílu a užitečnost (vrátím-li se k tématu prvního příspěvku této diskuse) elektronického podpisu oproti papírovému.

Firemní certifikát je terminologický nesmysl, omlouvám se za něj. Měl jsem samozřejmě na mysli certifikát zaměstnanecký. Souhlasím, že nemá smysl diskusi rozbředávat o další prvek.

Problemem neni "moznost pseudonymu" - i kdyz tam bude i jmeno a prijmeni, stale to neni dostatecne identifikace konkretniho cloveka. Lidi se stejnou kombinaci jmen mohou byt spousty.

Co se tyce ostatni argumentace, zda se mi, ze to je predevsim o pocitech a dojmech. Ty mas proste Milosi dojem, ze touha znat identitu protistrany je relikt - a vychovou to z "vadne naucenych" lidi dostaneme - a pak nastane zlaty vek uzivani certifikatu. Jo - s tim ja nepolemizuji. Kdyz lidi prevychovas, je mozne vsechno. Ja mluvil o tom, ze jak ja se rozhlizim po soucasnem realnem svete, tak se mi zda, ze certifikaty jako takove maji velmi omezene pouziti. Tam, kde je dotycnemu jedno, kdo je protistrana, tam jde obvykle o tak zanedbatelne hodnoty, ze neni potreba jakakoliv identifikace ani zaruka; tam, kde uz o neco skutecneho jde, tam se realne pozaduje skutecna znalosti identity protistrany - ne jen efemerni slib, ze "kdyby k necemu doslo" tak "podate zalobu na neznamenho pachatele" a "soud identitu zjisti". To je, pro prakticky zivot, dost tezkopadne (ale je mozne, ze opravdu lze lidi prevychovat tak, aby jim to nevadilo) - a proto se "anonymni" osobni certifikaty nedockaly masoveho rozsireni - a podle meho - ani nedockaji. Ale to je zase moje dojmologie ...

Co se posledni vety dotyce - nevim, v jakem vyznamu presne pouzivas pojem "firemni certifikat" - jestli myslis, ze je to osobni certifikat, ve kterem je vyznaceno, ze dotycna osoba je zamestnancem nejake firmy, tak nevim, v cem je to s nim slozitejsi. Ale to uz bychom, myslim, zbytecne rozbredali ...

Tohle lze snadno eliminovat tím, že druhá strana zakáže použití pseudonymu. Direktiva EU jasně říká, že pokud má být certifikát typu pseudonym, musí to být v něm také uvedeno, takže není možné se skrýt za pseudonym a neříci to o sobě.

Paralela s notářem mi taky připadá trochu nepřesná, právě z důvodu absence identity na certifikátu - když podepíšu něco u notáře, tak na dokumentu, který jsem podepsal, jsou všechny moje základní identifikační údaje opatřené potvrzením notáře, že tyto údaje patří osobě, která dokument podepsala. To je dost velký rozdíl, neboť v případě podpisu elektronického tyto údaje zdaleka tak jednoduše dostupné nejsou (v jednom z příspěvků bylo správně uvedeno, že CA je sdělí pouze orgánům činným v trestním řízení).

Základní otázkou podle mne spíše je, kdy a proč bych přesnou identitu dotyčného potřeboval znát. V případě kvalifikovaného certifikátu vím, že identitu někdo spolehlivě ověřil a toto vědomí mi může stačit. A jsem přesvědčen, že pro naprostou většinu případů toto opravdu stačí. To, že každej prďola po vás dneska chce při každé možné i nemožné příležitosti občanku, je byrokratická relikvie z dob naštěstí minulých.

A to malé procento případů, kdy tu idetitu skutečně potřebuji spolehlivě znát, se pak dá řešit tak, jak píše Dan - ověřím si ji sám a pak samozřejmě dotyčný nepotřebuje kvalifikovaný certifikát. Nicméně je třeba ještě podotknout, že se stále bavíme o certifikátech pro fyzické osoby. U certifikátů firemních je to o něco složitější.

Ne, v certifikatu nic takoveho napsano neni, nebo, prinejmensim, byt nemusi. Neni tam zadna jednoznacna identifikace drzitele - a s ohledem na to, ze tam nemusi byt ani jmen, staci psaudonym - nemusi tam dokonce byt ani jakekoliv jmeno. Podotykam, ze jednoznacna identita je "prosta" identita - to jest - kazdy clovek ma PRAVE JEDNU identitu - nikoliv jednu identitu o jedne CA, druhou identitu u druhe. Kdyz jednomu smluvnimu partnerovi odmitnete poskytovani sluzeb proto, ze je nespolehlivy a neplni smluvni podminky, jiste si neprejete uzavrit s timtez clovekem smlouvu jen proto, ze si sezene podpis od jine CA - a vy nepoznate, ze je to tataz osoba ...

Takze zadny omyl - ano - CA je skutecne notar. A ona (jedina) zna totoznost vaseho partnera. Vy ne.

Souhlasím s KIXem.
Je to asi tak, že buď jsem Váš příspěvek nepochopil, anebo jste Vy nepochopil princip fungování PKI systémů a roli CA v tomto systému.

Vaše paralela je proto zcela mylná. Píšete:
"kvalifikovany certifikat je jako smlouva podepsana u notare - kde ve smlouve neni vubec napsano, kdo je vasim smluvnim partnerem"

Ale to je právě zásadní omyl, v certifikátu je napsáno (a "notářsky-CA" ověřeno), kdo je Vaším smluvním partnerem. "Notářem", který ověřuje totožnost Vašeho partnera je právě CA!

Vždycky jsem se domníval, že při ověřování podpisu notář opatří dokument ověřovací doložkou, kde je přesná identifikace podepisující osoby (jméno, příjmení, RČ, tituly a bydliště). Není tomu tak?

Neco vam uniklo - ja jsem psal, ze pro vetsinu situaci vam udaje uvedene v certifikatu nestaci - takze ten ci onen kontakt musite se zakaznikem stejne provest (a nemuze to byt jen kontakt eletronicky, protoze ony "dalsi" udaje potrebujete take overene). No a jestli vam behem takoveho kontaktu preda jen ony potrebne doplnujici informace - nebo jestli vam pri te prilezitosit preda vsechny, vcetne certifikatu generovaneho kymkoliv (to, ze je jeho si pri te prilezitosti uz overujete sam), to uz je dost jedno.

Takze diskuse nad tim, zda jsou nebo nejsou udaje v certifikatu dostatecne na identifikaci zcela konkretni osoby jsou pro debatu o realne pouzitelnosti kvalifikovaneho certifikatu zcela klicove.

Ale mate naprosto pravdu - popsany system skutecne neresi situace, kdy potrebujete znat identitu druhe komunikujici osoby - bez toho, ze dojde k nejakemu neelektronickemu kontaktu, coz muze byt pri velkych vzdalenostech obtizne. Jenze, to neresi ani kvalifikovany certifikat.

Pochopte, ze samotny kvalifikovany certifikat je jako smlouva podepsana u notare - kde ve smlouve neni vubec napsano, kdo je vasim smluvnim partnerem kterym smlouvu podepisuje a vy to nevite. Notar to sice vi, ale nerekne vam to. V kolika pripadech by vas takova "anonymni" smlouva uspokojila ?

To vám tedy nerozumím... Můžeme se bavit o tom ,že jestli údaje ve kvalifikovaném certifikátu jsou zcela dostatečné, či nikoliv, ale přece jenom je zde jistota, že údaje jsou pravdivé, certifikát platný (neb akreditovaná CA funguje závazně podle pravidel a norem schválených státem)
Vy preferujete jakési certifikáty vydané neznámými osobami, nebo dokonce podepsané zákazníky samotnými - tam se přece spolehlivým způsobem o identitě nedozvíte vůbec nic. Takové certifikáty nemají přece smysl vůbec, protože, jak píšete, si je musíte ověřit sám. Mimo to nechápu, jak to uděláte, když jste zákazníka třeba v životě neviděl a je na druhém konci Evropy.
Čili domnívám se, že váš způsob je pro amatérské použití v malém měřítku použitelný, ale systémovým řešením není.

Pravdepodobnost, ze byste nabizeli nejake zasadnejsi sluzby a vystacili si u odberatele pouze s identifikaci pomoci kvalifikovaneho certifikatu mi pripada dost mala. Kvalifikovany certifikat totiz vam neumozni zjistit, kdo vlastne je vasim partnerem. Sice budete vedet, ze je to stale tataz osoba, ale nebudete vedet kdo to je. A to vam nekdy mozna stacit muze, vetsinou vam to ale stacit rozhodne nebude (a kdyz, tak uz by mohl byt vas partner zcela anonymni).

To znamena, ze v mnoha pripadech budete zjistovat skutecnou identitu sveho partnera. At uz to udelate jakymkoliv zpusobem (a presny zpusob zalezi na pozadovanem stupni bezpecnosti), tak kdyz uz to delate, muzete pri te prilezitosti vzit jakykoliv certifikat, ktery vam dotycny nabidne - a zacit ho pro podepisovani pouzivat. Muze byt vystaven jakoukoliv autoritou - a muze byt i self-signed. Vzdyt vite, ze patri prislusne osobe. Nic vic od nej obvykle stejne nechcete.

Nemluve o tom, ze kdyz uz stejne musite zjistiti totoznost osoby, nemate duvod zbytecne zvysovat riziko - a spolehat se na nejake overovaci procedury nezname treti organizace (byt operujici podle zakona) - je to zcela zbytecne riziko, je bezpecnejsi, kdyz si prislusnost jakehokoliv certifikatu k prislusne osobe overite sam.

Vsak si take povsimnete, ze kdyz uz nekdo v soucasnosti vyzaduje identifikaci elektronickym podpisem, obvykle jde o podpis, ktery vystavil on sam (nebo organizace, kterou na to ma nasmlouvanou). Idea kvalifikovaneho certifikatu je totiz z teoretickeho hlediska pekna, ale bohuzel, prakticke pouziti takoveho certifikatu je dosti male. Tam, kde potrebujete bezpecny podpis, tam obvykle potrebujete vedet i kdo podepisuje. A to vam kvalifikovany certifikat nerika.