Datove schranky

Pri prochazeni postupu pro ziskani certifikatu k datove schrance jsem narazil na toto:

Citace:

---

Pracovník České pošty vytiskne protokol o vydání certifikátu a předá vám jej ke kontrole. Opět zkontrolujte uvedené údaje certifikátu. Máte možnost vydaný certifikát přijmout nebo jej odmítnout.

Pokud certifikát přijmete, dojde k podepsání protokolu o vydání certifikátu. Na USB klíčenku je nakopírován vydaný certifikát.

---

Neni to bezpecnostni riziko? Napr. pracovnik ceske posty si certifikat zkopiruje a pak ma pristup k me schrance. Nebo bude mit zavirovane pc a to certifikat nekam posle atd.

Myslím, že bezpečnostních děr tam bude víc.

Díra je už jen to, jak je složité přihlašovací jméno. To jasně povede k tomu, že si to někam lidi napíšou.

A jak znám některé slečny, tak určitě i s heslem na jeden papírek, aby nezapomněly.

a jeste se nesmi zapomenout na ten roztomily problem s nemoznosti ziskat overeny certifikat posty.

edit: http://www.abclinuxu.cz/blog/kacirst...estni-oznameni

Nice...

Na Lupe o D.S. Peterka pise serial - http://www.lupa.cz/autori/jiri-peterka/

JJ, datove schranky jsou na Lupe rozebrany vcelku zevrubne a je to jeden velky bezpecnostni megapruser.

Prdel nastane, az se zacne nekdo kvuli tomu soudit.

Citace:

---

Původně odeslal Jezevec

JJ, datove schranky jsou na Lupe rozebrany vcelku zevrubne a je to jeden velky bezpecnostni megapruser.

Prdel nastane, az se zacne nekdo kvuli tomu soudit.

---

Prdelí bych to také rád nazval, ale přijdemi to spíše smutné a nedej bože jestli se někdo z vás (a věřte že to nikomu nepřeju) stane obětí.... To pak bude horor.

Jop, nastesti nejsem pravnicka osoba a dobrovolne si to rozhodne zrizovat nebudu, ale osobne to vidim tak, ze to bude stat par (desitek) GKc na implementaci a provoz + dalsich par TKc na soudni vylohy a uhrady poskozenym. Vse samo z nasich kapes.

BTW: Kde vyfasuju prispevek na PC, inet + widle ?

Ono nejsmutnější na tom je, že jde hlavně o politickou ptákovinu, která má nalovit body. Těch lidí, co si spočítají jak je to nedořešeno a kolik to přijde je minimum...

A to buďte rádi, že nevidíte víc do pozadí, to by bylo pozvracenejch klávesnic :-(

osobne zavedeni datovych schranek vitam a zridim ji, jakmile k tomu najdu trochu casu (profesne bych ji mel zridit tak jako tak), to zrychleni ve vztahu ke statni moci bude citelny (v prumeru od soudu/jinych uradu chodi veci s jedno az dvoutydennim zpozdenim).
je zapotrebi to srovnat s dnesnim stavem, kdy ti posta proste nedoruci zasilky od soudu, v horsim pripade je preda sousedce, ktere jsi jako na potvoru vcera nakopl kocku. co je lepsi?

btw, ten postup u CP je obdobny postupu, kdyz si u nich clovek zridi kvalifikovany certifikat. ano, urcite tam moznost zneuziti je, ale jaka je pravdepodobnost, ze za prepazkou bude takovy "lovec" udaji? rekl bych, ze nulova...

riksa: Sorry, ale to, že to "bude užitečné" (což v principu nikdo nezpochybňuje) není omluva pro to, že to evidentně není udělané pořádně. A to, že dneska dají dopis sousedce, vážně není omluva pro to, že v DS jsou bezpečnostní díry :roll:

Mě osobně se prostě přístup "sice blbě, ale aspoň že něco" moc nelíbí...

Ja si pockam na service pack:D

2riksa: Obecne lze pocitacovy system zneuzit daleko snaz nez system papirovy, ale to jiste velmi dobre vis. Jako bonus ho pak, narozdil od papiroveho, muzes zneuzit ve velkem = muzes zaroven ziskat data/poskodit/... tisice/miliony uzivatelu. U papiru se muzes zamerit maximalne na nekolik malo jednotlivcu.

Mimochodem, pro tvoji informaci, datova schranka != rychlejsi komunikace. Urednici budou muset dokumenty scanovat/tisknout a dorucovat spravnym cilovym urednikum, coz muze (a jiste bude) taky znamenat, ze se dokumenty budou ztracet (stejne jako ted). + sem zvedav, jak budes vyplnovat adresata, kdyz neexistuje a nebude existovat zadny seznam existujicich datovych schranek.

Trochu OT, ale souvisejici. Statni sprave platime MKc za provoz vsemoznych registru. Mimo jine registr vozidel. Prave dnes dostal kolega predvolani, ze spachal prestupek vuz s jeho SPZ. To auto mu stoji pred domem, nikam s nim nejezdi. Po telefonickem rozhovoru se navic zjistilo, ze na fotce je fabie, kdezto SPZ patri BMW => ty dobytci nejsou schopni ani naklipat tech par znaku do registru a overit, ze znacka vozu odpovida SPZ.

ad Jezevec:
A hele, koukam mozna kolega ;-)

Je fakt, ze dosavadni praxe je cca nasledujici:
urednik zpracuje v systemu zpracuje dokumenty (hromadne), system vygeneruje adresy a texty oznameni. Ty musi dalsi urednik v PC odsouhlasit (rozdilne opravneni, vyzaduje zakon). Pak jde system na hromadny tisk, hromada papiru se zalozi do obalkovaciho stroje, ktery vsechno zabali a zalepi do obalek. Pak se pokracuje k frankovacimu a vysledna krabice obalek se zaveze na postu. Mesicne takto jde nekolik tisic dopisu.

Od zavedeni DS (tedy po tom, to tento system vymyslel jeden pan spolu se synem a politici prosadili) se vyse uvedeny postup znatelne zkomplikuje.
- u KAZDEHO je nutne provest nejprve on-line dotaz zda nema DS a jestli neni docasne zneplatnena
- pokud ne, pokracuje se (zatim) klasicky
- po vytisteni se ZNOVU provede dotaz na aktivni DS
- pokud stale nic, dopis pada do posty
- pokud je aktivni DS, je nutne vytisteny dokument naskenovat (rucne), vysledny obraz zkonvertovat do pdf, ten podepsat kvalifikovanym certifikatem opravneneho urednika a pak vlozit do DS. Vytisteny original se opatri carovym kodem a zalozi do spisu.

Pokud nemluvim o tom, ze zatim neni 100% mozne overit zda clovek ma/nema DS, tak je to minimalne dost brutalni zpomaleni celeho procesu.

2David: a ja jsem nekde rekl, ze to je omluva? ja osobne i pres bezpecnostni diry tenhle system vitam, protoze me osobne usetri skutecne spoustu casu.

2Jezevec: i kdyz budou statni urednici nuceni se naucit pracovat se scannerem, bude to stale rychlejsi nez dnes. z vlastni zkusenosti muzu rict, ze za 1,5 mesice existence tohodle systemu jsem usetril 4x postu z opavskeho soudu do prahy (pred tim kazde doruceni 4 az 7 dnu) + 2x obsilku od stavebaku v ostrave (+/- totez). a to nemluvim o tom, ze v nekterych pripadech jde o dny.
navic v systemu DS ti nehrozi (pokud nebudes prebyvat pul roku na cukotce), ze by ti neco nebylo doruceno. to dnes opravdu neni - blby priklad: kdyz budu svine, tak si napisu smenku na tvoje jmeno a podam u soudu; smenecny platebni prikaz NEMUSI byt dorucen do vlastnich rukou a mas jenom 3 dny na podani namitek. zadne pozdejsi namitky ne NEDAJI uplatnit. nevim, jak casto si chodis na postu pro zasilky, ale pokud ne denne, tak mas realnou sanci, ze z tebe ty penize dostanu. btw, samozrejme je to z me strany taky trestny cin.

Totez lze aplikovat pres DS, staci az si odjedes na dovolenou. V cizine se z kavarny nepripojis ani kdybys chtel (instalace te sragory od 602 tam neprojde) a ntb/pda/... s vlastnim pripojenim sebou vozi malokdo. Pri vhodne zvolenym nacasovani prijedes do bytu vybraneho exekutorem.

to ale miris na jiny pripad - ja tvrdim, ze u DS se nestane, aby ohledne tebe kdokoliv vedl rizeni aniz bys o tom vedel, kdyz mas moznost se k DS dostat. u dorucovani postou se ti tohle stat velice snadno muze (viz thread o dorucovani u CP v mise).

btw, uprimne mi DS pripadaji jako logicky krok. nevidim duvod k tomu, aby v dobe, kdy naprosta vetsina lidi ma pristup k internetu a bezne ho jako medium vyuziva, odpovidalo veskere oficialni dorucovani ze strany statu stavu, kdy franz josef I. oteviral prvni zeleznici u nas...

Problem nejsou DS jako takovy, problem je jejich realizace. Rikso, predpokladam ze mas dost prehledu na to abys vedel jak probiha zavadeni vetsich systemu do firemniho prostredi. Stat neni nic jinyho, jen nekolikanasobne vetsi. Normalne se cele mesice/roky ladi a testuje. Tady se netestuje nic, lidem se to predhodi, v naprosto nevhodne a nepouzitelne podobe podobe, s bezpecnostnimi riziky ktera by obcan nepostoupil ani u uctu s 10Kc a ladi se to zapochodu.

BTW: Pokud po me tedy stat chce, abych komunikoval elektronicky, nech mi mily stat zaplati odpovidajici zarizeni a konektivitu. On mi totiz ten net taky klidne mesic nemusi fungovat, PC mi muze vyhoret ... pripadne mi ISP zablokuje prislusny server kvuli detskemu pornu.

A ani v tom nemas pravdu, ze ti zprava do DS vzdy dorazi. Viz diskuse tu, na Lupe a jinde. Urady sice maji povinost, ale zadne sankce, takze ti klido muzou prislusny dokument poslat na papire. Nikdo nevi (vskutku tristni), zda bude takove zaslani platne nebo ne, obecne se predpoklada ze asi bohuzel ano. Tudiz, presto ze mas DS a logicky predpoklada komunikaci do ni, muze ti urad, na zaklade vlastni libovule, poslat dokumenty na papire. A ty pak ... viz tvoje zminka o dorucovani postou.

Jen takova mala slovni hadanka na zamyslenou:
Na urade sedi 30 uredniku. Z toho 10 vedoucich pracovniku a 5 pomocnych profesi (ridici, vratny, uklizecka,..). Fakticky zustava 15 urednic. Z toho 4 maji pred duchodem a tudiz se odmitaji ucit cokoliv noveho, natoz s pocitacem. Mame tedy 11 pracovniku.
Mesicne urad odesle 8000 dopisu. Zpracovani posty je automatizovane, k jejimu zpracovani dojde ve dvou vyplatnich terminech. Zpracovani zabere 3 urednikum asi 2 dny.

Pokud nasadime DS s uvazovanym (zatim 1%) skutecnych adresatu na DS, situace se zmeni nasledovne.
U kazdeho klienta je nutny 2x on-line dotaz, ktery trva v prumeru do 15sec, spolu s obsluhou pocitejme idealne 25sec (vybrat osobu, kliknout na dotaz, potvrdit). To dela 55hodin cisteho casu jen na dotazy. Ty je nutne delat pouze v neurednich dnech. Pokud dal uvazuju 1% majitelu DS, kdy vytisk, naskenovani a podepsani jednoho dokumentu dela priblizne 5minut. Tedy asi 6-7h navic.
Aby tato prace navic byla zvladnutelna mame nasledujici moznosti:
- zaukolujeme vedouci pracovniky (nerealne a to nejen mezi uredniky)
- prijmeme brigadniky (nelze, nejsou penize, chybi certifikaty, prace s osobnimi udaji)
- zkratime uredni hodiny (hmm, to by si bulvar a opozice smlsnuli, kdyz DS je "zrychleni")
- nebudeme stihat (realita ?)

takze v dusledku varianta viz Jezevec

Citace:

---

Původně odeslal chinook

Pri prochazeni postupu pro ziskani certifikatu k datove schrance jsem narazil na toto:

Neni to bezpecnostni riziko? Napr. pracovnik ceske posty si certifikat zkopiruje a pak ma pristup k me schrance. Nebo bude mit zavirovane pc a to certifikat nekam posle atd.

---

Zde se o žádné riziko nejedná, protože to, co se zde předává (tzn. to co je zde nazýváno "certifikát") je v podstatě jen veřejný klíč + iniciály + potvrzení o krytí oficiální CA. Když něco "digitálně podepíšeš", tento certifikát musí být v nějáké podobě k podepsané zprávě přiložen, aby bylo možno podpis ověřit, čili naopak je v tvém zájmu, aby strana s kterou komunikuješ k němu měla přístup.

K přístupu ke schránce je nutné vlastnit privátní klíč.

jak to tedy funguje? protoze je normalni ze dostavas par klicu = 2 = privatni a verejny a ze podepisujes privatnim klicem

U DS nic nepodepisujes, posilas to pres jistou obskurni aplikaci do obskurniho a spatne zabezpecenyho systemu. Ten si to "jako ze podepise". Vystup pro tebe = bezceny shluk dat. Muzes si to sice nechat za 30Kc/A4 vytisknout, ale ziskas tim tak maximalne bezcenou hromadku papiru.

Citace:

---

Původně odeslal Jezevec

U DS nic nepodepisujes, posilas to pres jistou obskurni aplikaci do obskurniho a spatne zabezpecenyho systemu. Ten si to "jako ze podepise". Vystup pro tebe = bezceny shluk dat. Muzes si to sice nechat za 30Kc/A4 vytisknout, ale ziskas tim tak maximalne bezcenou hromadku papiru.

---

eh, co to znamena? k cemu to potom cele je probuh? ps:nebylo by teda rozumnejsi kdyby ten system nekdo zrusil? :D

Jelikož vidím do pozadí vzniku DS, dovolím si odpovědět

Citace:

---

Původně odeslal sasha

eh, co to znamena? k cemu to potom cele je probuh?

---

No, ČP nemá už takový kšefty co dřív i přes uměle udržovanej monopol, tak se jim musel přihodit další job za státní peníze. Nový lidi, novej systém, nová technika a opravdu hodně velký balík peněz jištěný smlouvou na roky dopředu.

Citace:

---

Původně odeslal sasha

ps:nebylo by teda rozumnejsi kdyby ten system nekdo zrusil? :D

---

Rozhodně ne, mediální masáží zpracovaní voliči věří, že jde o úsporu a urychlení - alespoň kromě těch, co s tím musí pracovat. Jinak je to docela dobře maskovanej tunel.

no prave kvuli tomu tunelu ;) a aby se volici probrali :D

Citace:

---

Původně odeslal Aigor

Rozhodně ne, mediální masáží zpracovaní voliči věří, že jde o úsporu a urychlení - alespoň kromě těch, co s tím musí pracovat. Jinak je to docela dobře maskovanej tunel.

---

vzhledem k tomu, ze pro nase klienty nektere DS spravujeme, muzu rict, ze zrychleni a jistota dorucovani jsou pro me jako uzivatele podstatne.
1) dorucovani od soudu je oproti dorucovani klasickych pisemnosti rychlejsi;
2) jistota dorucovani je vetsi a dukazni situace je (obzvlast u vycuranku, kteri se dorucoveni vyhybaji) mnohem lepsi.
pro me jako finalniho uzivatele to je krok dopredu i pres vsechny detske nemoci, ktere si to s sebou nese. zijeme v 21. stoleti a dorucovat si korespondenci se statem jako za Franze Josefa je proste anachronismus.

Ale jistě, já netvrdím že to není krok správným směrem. Jen říkám, že někdo musel dostat parádně zaplaceno, aby z logické myšlenky a přirozené potřeby prokazatelné komunikace vyrobil takovýto zmetek. Krom toho to teď zaměstnává téměř o 30% víc lidí a stojí řádově stovky milionů ročně.
Přitom e-mail i princip veřejných klíčů je tady s náma spoustu let. Proč něco ale dělat jednoduše, že ;)

Napad DS neni vubec spatny, osobne jsem ho na zacatku vital, ale ted protoze s tim delam, tak to proklinam.
1. Prace, ktera zabrala cloveku okolo 5 minut ted trva 15, protoze system neni mozne zatim propojit s DS potazmo se spisovkou v GINISu. Takze prepisovani CJ/udaju o adresatovi, odesilateli atd.
2. Certifikaty, (QCA Postsignum), ktere nikdo na svete nezna me fakt dojima, to je takovy problem si udelat cert u Verisignu? Odbouraly by se tim tupe hlasky o neznamem certifikatu. Ano staci nasinstalovat prislusny certifikat, ale kdyz ted preslu na SHA2 tak at si to zkusi udelat pro 500 stanic. Zabit malo
3. 602 XML FIller dalsi super vec, ktera se neumi aktualizovat pokud user nema admin prava, takze dalsi drbacka navic nikde zadne info o tom, ze je potreba aktualizovat, proste ti to vyblije zpravu o posahanem certifikatu a ukonci se. Fakt super

Citace:

---

Původně odeslal riksa

vzhledem k tomu, ze pro nase klienty nektere DS spravujeme, muzu rict, ze zrychleni a jistota dorucovani jsou pro me jako uzivatele podstatne.
1) dorucovani od soudu je oproti dorucovani klasickych pisemnosti rychlejsi;
2) jistota dorucovani je vetsi a dukazni situace je (obzvlast u vycuranku, kteri se dorucoveni vyhybaji) mnohem lepsi.
pro me jako finalniho uzivatele to je krok dopredu i pres vsechny detske nemoci, ktere si to s sebou nese. zijeme v 21. stoleti a dorucovat si korespondenci se statem jako za Franze Josefa je proste anachronismus.

---

Sem zvedav co budes za 5, 10let rikat jakozto ucastnik sporu, ve kterem budou vystupovat prave zpravy pres DS, ktere dorazily, ale nekomu jinemu, ktere jsou bezcenym zhlukem dat, protoze podpis davno expiroval, pripade ktere jsou bezcenym carem papiru 30Kc/A4 vyfasovanym na poste.

DS ve stavajici podobe jsou OK tak maximalne na duruceni neceho, co ma platnost do 30ti dnu.

Edit: 2geeker, a ty veris nejakemu cerifikatu ktery ti do systemu prasknul M$ nebo kdokoli jiny ? To ses teda hrubej naivista. Pokud chces jakoukoli rozumnou uroven zabezpeceni, tak musis vsechny certifikaty osobne proverit => defaultne vsehno smazat a nedopustit zadnou automatickou instalaci.

Tak nejsem paranoik, ani specialista na certifikaty, ale predpokladam, ze kdyz je certifikat vydan autorizovanou cert autoritou a zaroven sedi otisk certifikatu, tak je snad vydany certifikat duverychodny ne? Rad se necham poucit pokud je to jinak.

hmm a co je to podle tebe autorizovana certifikacni autorita ? Kdybych chtel tak ti zitra zprovoznim web, kterej pobezi pres https a tvuj prohlizec ti k nemu praskne zeleny zakrtitko, jako ze je duveryhodnej a klido na nem budu mit nakyho cervika. K ziskani "duveryhodnyho" certifikatu staci poslat email(a pripadne par dolacu). A prave proto mas ty ofiko certifikaty "neduveryhodny", protoze zachazeni snima je dany zakonem, narozdil od zachazeni s "duveryhodnyma", ktery je dany jen a pouze libovuli daneho vydavatele.

Mas v podstate jedinou moznost - duverovat pouze konkretnimu certifikatu, kterej si overis jinou cestou nez pres web. Duverovat nekomu, kdo certifikaty vydava, je uz horsi moznost, protoze nikdy nevis, estli nevyda certifikat nekomu na cizi jmeno. DS jsou toho zarnym prikladem, chodily lidem domu pristupy do cizich DS a to !!! s tim !!! ze tim padem mohli jeho jmenem konat pravne platne ukony. Docela by me zajimalo, jak by se postizeny branil.

Citace:

---

Původně odeslal Geeker

1. Prace, ktera zabrala cloveku okolo 5 minut ted trva 15, protoze system neni mozne zatim propojit s DS potazmo se spisovkou v GINISu. Takze prepisovani CJ/udaju o adresatovi, odesilateli atd.

---

gordic neumi napojeni na DS? mam pocit ze jsem byl na jednani kde se pani chvastali ze maji...
btw resili jste nekdy s gordicem, ze chcete vysypat svoje data z ginisu nekam ven ze systemu ?

Citace:

---

Původně odeslal Jezevec

hmm a co je to podle tebe autorizovana certifikacni autorita ? Kdybych chtel tak ti zitra zprovoznim web, kterej pobezi pres https a tvuj prohlizec ti k nemu praskne zeleny zakrtitko, jako ze je duveryhodnej a klido na nem budu mit nakyho cervika. K ziskani "duveryhodnyho" certifikatu staci poslat email(a pripadne par dolacu). A prave proto mas ty ofiko certifikaty "neduveryhodny", protoze zachazeni snima je dany zakonem, narozdil od zachazeni s "duveryhodnyma", ktery je dany jen a pouze libovuli daneho vydavatele.

Hmm. Pravda z teto strany jsem se nad tim nikdy nezamyslel. V tom pripade je to, ale uplne jedno jestli to budes mit http nebo https protoze 90% uziatelu datovych schranek o tom nemaji ani paru. Nejakych 5% vi tak asi jako o co jde, ale to je tak vsechno a 1% jako ty vi ze to stoji za prd ..

Mas v podstate jedinou moznost - duverovat pouze konkretnimu certifikatu, kterej si overis jinou cestou nez pres web. Duverovat nekomu, kdo certifikaty vydava, je uz horsi moznost, protoze nikdy nevis, estli nevyda certifikat nekomu na cizi jmeno. DS jsou toho zarnym prikladem, chodily lidem domu pristupy do cizich DS a to !!! s tim !!! ze tim padem mohli jeho jmenem konat pravne platne ukony. Docela by me zajimalo, jak by se postizeny branil.

---

Citace:

---

Původně odeslal pajkus

gordic neumi napojeni na DS? mam pocit ze jsem byl na jednani kde se pani chvastali ze maji...
btw resili jste nekdy s gordicem, ze chcete vysypat svoje data z ginisu nekam ven ze systemu ?

---

Napojeni u mi a dokonce to i funguje i kdyz cely ten system je pomerne neprehledny, ale zase je fakt ze z toho neleze to co tu prezentoval Jezevec v tematu Helios Green. Bohuzel nas IS ve kterem mame urcitou agendu nelze zatim s Ginisem propojit. navic se pouzivaji jine cisla jednaci u pisemnosti. Ale je vule to do 2 let resit :D

trocha novych informaci...
http://www.lupa.cz/clanky/datove-sch...snbsparbitrem/

http://www.abclinuxu.cz/zpravicky/li...specifikace-ds