Zopár čísiel k otázke zneužitia elektronickej identitiy
To fakt ideme porovnavat zneuzitie platobnej karty s pripadnym zneuzitim KEP ?
btw, ked uz sa o tom bavime, tak osobne si myslim, ze slusna cast zneuziti bola z dovodu nedostatocnej ochrany zo strany poskodeneho t.j. mam pri karte na listocku pin a podobne…ale neviem, ci sa vedu tak podrobne statistiky…
Pokial niekto nehovori obcanom pri vydavani certifikatov, aby si zapisali cisla na tu tento JEDNOTNÝ farebny k tomu prideleny papierik, ktorym si stat zabezpecuje mensiu navstevnost vydajne certifikatov.
U dodavatelov, ktorym teraz cas medzi odoslanim podania po dorucenku od uradu trva bezne 10 - 60 minut, alebo kde najpouzivanejsia agenda - schranka dorucenych sprav vykazuje X chyb, tak u tych samozrejme ano. 
Nemozno porovnavat uz dlhsie zavedene platobne karty s relativnou novinkou. Podvodnikom tiez chvilu trva, kym sa adaptuju na nove technologie.
Štatistika zahŕňa elektronické incidenty s bankomatom, nákupom v e-shopoch cez internet, iné elektronické platobné operácie napr. cez internet, mobil atď.
Podrobnejšie štatistiky by isto pomohli.
Princíp autorizácie je v zásade rovnaký
1 Like
Tiež som veľakrát o tom rozmýšlal a nebol som s tým stotožnený. Stále s tým mám problém, ale skúsim tu niečo napísať a skúste sa vyjadriť a opraviť moje nepresnosti.
Čo znamená, že notár osvedčí tvoj podpis.
- Prídeš s nejakou listinou k nemu a požiadaš o overenie tvojho podpisu.
- On si zapíše tvoje osobné údaje z predloženého dokladu a potom zapíše údaje o dokumente (nemá obsah celého dokumentu) do svojho záznamu a ty sa tam podpíšes
- Opatrí daný dokument osvedčovacou doložkou.
- Máš dokument a na ňom notárom overený podpis - notár má len záznam s tvojim podpisom.
Čomu sa v tomto prípade verí:
Ad 2) Že, bol overený tvoj doklad notárom a že notár videl resp. overil, že podpis pod dokumentom je rovnaký ako podpis, ktorý si urobil do jeho záznamu. Nie som si istý, že či pri overovaní podpisu sa musí dokument podpísať pred notárom, alebo môžeš prísť s už podpísaným dokumentom a len podpisuješ jeho záznam.
Čo sa deje, keď vyhotovíš kvalifikovaný podpis a opatríš ho kvalifikovanou časovou pečiatkou:
Ad 1) Aby ti niekto vydal kvalifikovaný certifikát pre elektronický podpis je povinný ta autentifikovať a je povinný dohliadať na to, že kľúče pre daný podpis sú generované na kvalifikovanom zariadení a potom to zariadenie máš mať pod kontrolou výhradne ty - ak nie si povinný si dať si certifikát zrušiť. Momentálne prebieha autentifikácia držiteľa výhradne za tvojej fyzickej prítomnosti resp. na základe plnej moci za účast tretej osoby, čo napr u eID nie je možné.
Ad 2) Zoberieš elektronický dokument a vyhotovíš kvalifikovaný elektronický podpis - tu nastáva jednoznačné zviazanie dokumentu s tebou ako fyzickou osobou (tu neuvažujem zraniteľnosť eID karty) - dokonca aj zviazanie obsahu.
Ad 3) Ak dokument opatríš kvalifikovanou časovou pečiatkou, tak využiješ tretiu dôveryhodnú stranu (kvalifikovaný poskytovateľ časovej pečiatky), ktorá osvedčí obsah tebou podpísaného dokumentu a celé to podpíše s využitím svojho súkromného kľúča, čím zabezpečí integritu podpísaného dokumentu. Časovú pečiatku len ťažko “napodobníš”, myslím, že oveľa, oveľa ťažšie ako tú notárovu osvedčovaciu doložku - pečiatku a šnúrku si kúpim ľahko.
Čomu sa verí v tomto prípade:
- Overeniu identity pri vydávaní KC a výhradnému vlastníctvu kľúčového páru.
- Časovej pečiatke, ktorú vydal kvalifikovaný podpisovateľ - tu pôsobí z môjho pohľadu ako notár, dokonca na rozdiel od notára garantuje aj nezmeniteľnosť obsahu - skús časovú pečiatku “fejknúť”.
V čom vidíš z pohľadu overenia podpisu tak zásadný rozdiel?
1 Like
áno, u notára necháš v osvedčovacej knihe tvoju biometrickú stopu - podpis, ktorý sa dá grafologicky skúmať, rovnako na podpísanom dokumente je tento biometrický záznam - podpis. samozrejme pri každom overení, vždy čerstvý atrament a jedinečný podpis.
jednoznačné iba na základe fikcie, chýba biometrická stopa - fyzický podpis v jeho jedinečnosti.
časovaciu pečitaku dá AC aj na dokument, ktorý fakticky vyhotovila aj osoba odlišná od osoby na ktorú znie certifikát. a to by sa pri osvedčovaní nemalo stávať.
1 Like
Jasne rozumiem.
Skusme sa na vec pozriet takto.
-
Bezpecnost alebo ochrana pred zneuzitim dokumentov nikdy nebude dokonala. Preto sa okolo spracovania urcitych dokumentov robia urcite opatrenia, ktore s urcitostou nikdy 100% zneuzitiu nezabrania, ale zvysuju pravdepodobnost odhalenia a zabraneniu pokusom o zneuzitie. Preto u klasickeho papieroveho dokumentu ked osvedcuje notar, tak je tam pri kazdom takomto osvedceni pritomny notar aj podpisujuci, notar pozrie na fotku v obcianke a pozrie sa do tvare podpisujuceho, potom prebieha podpisovanie ci overovanie. Cize pri kazdom takomto podpise je dost velka istota ze podpis urobil ten komu patril obciansky preukaz, ze ho podpisal za pritomnosti notara, v danom case a na konkretnom mieste. Samozrejme nevyluci sa tym riziko ak je nepoctivy notar, alebo nedosledne overenie totoznosti.
Cize ak niekto nahradi napr. teba ako podpisujuceho bielym konom, tak stale mas moznost dokazat napr. ze v danom case si bol na uplne inom geografickom mieste a pod.
Ak by ti to vyviedli viac krat za sebou tak sa pravdepodobnost ze sa toto dialo nezakonne pride a bude sa dat lahsie odhalit. Lebo musis viackrat navstivit notara. A ak napr. zle overil tvoju totoznost pri prvom podpise, pri dalsej navstve to moze urobit podrobnejsie…
U elektronickeho podpisu sa vsetko toto udeje iba raz pri podani ziadosti o vydanie kvalifikovaneho certifikatu. Tu ale overovanie totoznosti nerobi notar, ale pracovnik certifikacnej autority, na ktoreho nie su kladene take naroky ko na notara, a robi sa len raz. (nemam na mysli kep na eId, kde overuje totoznost policajt, co je este „kvalitnejsi stupen kontroly totoznosti“). Cize uz tu je urcity rozdiel medzi klasickym osvedcovanim a elektronickym. (Neviem ma napriklad pracovnik certifikacnej autority pristup do databazy ukradnutych a stratenych obcianskych preukazova a pasov?) No a pouzitie bieleho kona je tu rovnako mozne ako pri navsteve notara. Akurat ze ked budes 100x podpisovat tak ak neuvazujeme v prvom pripade nepoctiveho notara, tak je u papiera vyssia pravdepodobnost odhalenia nepraveho obcianskeho alebo nezhodnej podoby podpisujuceho s fotkou v obcianskom. A ak by to robil rovno policajt tak si tam bieleho kona moyu rovno nechat - ciye to bz bola vzsoka uroven istoty ze podpis patri spravnej bytosti. Kdezto u elektronickeho uz len podpisujes a podpisujes a vznika jeden osvedceny podpis za druhym.
Takisto by som uplne nevylucoval rozne zranitelnosti, kedze u mnohych dokumentov je ich hodnota dlhodoba, a technicky pokrok de stale rychlejsie, ale ako vidno aj ti co maju dbat na bezpecnost casto si zlahcia pracu a koli napr. lahsiemu (skrateniu casu generovania) zisku si dakde nejaky algoritmus trochu zjednodušia.
Cize ak by bolo vsetko idealne tak ano KEP s KCP okrem miesta kde bol podpis vyhotoveny poskytuje to iste ako notarske osvedcenie, ale kedze najvacsi problem nie je technologia ale ludia a ich spravanie, tak tomu elektronickemu osvedceniu chyba ako keby to kazde osvedcenie pri kazdom jednom podpise. -
No a dalsim problemom je to ako je zakon napisany. Casova peciatka sa da pripojit rozne (k dokumentu, k podpisu, k viacnasobnemu podpisu, k podpisu aj dokumentu). Cize napr. ty podpises svojim KEPom a nedas tam casovu peciatku. Nejedna o osvedceny podpis a ani si nechcel povodne osvedcovat. Ten dokument niekam odosles alebo ulozis a nikdy si nemal potrebu z neho robit osvedceny. No niekto druhy si si spusti softver a pripoji k podpisu kvalifikovanu casovu peciatku a ziska tak osvedceny podpis. No ale on to moze urobit az do konca platnosti tvojho certifikatu. Cize moze to byt napriklad az za skoro 5 rokov po tom, co ty si dokument podpisal a uz ani nepametas ze nieco take si robil. A ta tretia osoba si urobi tvoj osvedceny podpis-bez tvojho vedomia, ona sama si ho uradne osvedci. Mozno ak by existovala nejaka moznost overitelnym sposobom urobit podpis aj s peciatkou, kedy by bolo zarucene ze vznikli naraz tak ano, ale to, ze sa to da robit kedykolvek po podpisani az do doby skoncenia certifikatu podpisu, vidim ako problem, lebo vlastne to uradne osvedcenie vznikne aj bez mojej ucasti.
Povodne som nemal umysel vyrobit dokument, ktory sa da pouzit tam, kde sa vyzaduje uradne osvedceny podpis.
1 Like
ano, musis podpisovat pred notarom.
Ono, dat cloveku buchacku k hlave, posadit ho k notebooku a usmiat sa ze “sem strc eid a podpisuj” je asi jednoduchsie ako spravit tento trik s buchackou a danym clovekom u notara v kancelarii.
notar predstavuje prekazku a tak znizuje riziko, ale ved sa pozrime na historiu kreditiek. Ich riziko zneuzitia je dost vysoke, ale aj klienti aj banky su ho ochotne niest, pretoze napriek tomu je prospesne pre obe strany.
Dnes sme v sutuacii ked EID sa este nezneuzilo, hladat ako do buducnosti znizit rizika je fajn. Ale nie s premisou ze vsetko je zle a podme to zrusit.
Napriklad biometria sa da zakomponovat, mozeme povedat ze na prevody nehnutelnosti to chce zvlast certifikat mimo EIDASu a musi byt ulozeny na zariadeni s ochranou co je dnes kazdy lepsi smartfon, Atd.
Na druhej strane ma IUS pravdu v tom ze EID je v skutocnosti na urovni bankomatovej karty, cela kryptografia konci na tom ze staci zadat PIN ci BOK a mozes konat, a kedze ludia si cisla malokedy pamataju tak ich maju niekde zapisane. Riziko zneuzitia bude teda podobne ako uvadza.
Ale nesuhlasim s tym ze ze sa nemas ako branit, za prve tu karticku ti museli zobrat, ostavaju elektronicke stopy odkial sa to dialo, samotny prevod potrebuje aj dalsie dokumenty aby to sud nezastavil atd.
1 Like
Mas uplnu pravdu. Kedze elektronicke dokumenty prinasaju so sebou uplne ine rizika ako klasicke papierove. Bolo by na mieste urobit samostatnu studiu na tuto temu a na zaklade nej potom s vyuzitim roznych opatreni ako je napr. obmedzenie pouzitia certifikatov, a pod. nadefinovat opatrenia ktore by eliminovali rizika, ktore vzdy budu ci sa nam paci alebo nie. Zatial to vyzera tak, ze sa snazime na klasicke procesy s papierom napasovat procesy s elektronickym dokumentom. Elektronicky podpis ma spolocne s klasickym podpisom iba to slovo podpis. Ale medzi tymito dvomi sposobmi podpisania je vela odlisnosti a praktickych a technickych detailov kedy sa neda dat medzi dva poojmy znamienko ==.
Vobec nejde o to zakazat, zrusit a pod. iba definovat ake riziko je s tym spojene, dat vediet zrozumitelnym sposobom obcanovi ze taketo riziko tu je a ak sa ho rozhodne ignorovat tak je to jeho zodpovednost.
Ale aj snazit sa poskytnut ludom moznosti ochrany. Napr. zavedenim atrigutu v certifikate ktory by tam bol povinne a v nom by bolo uvedene ze “Nema obmedzenie”, alebo ma obmedzenie take a take.
Cize ak ja chcem podpisovat napr. podania voci danovemu uradu, ale nechcem aby bol moj podpis akokolvek pouzitelny/zneuzitelny voci napr. katastru, alebo inemu zavazku, tak si urobim certifikat na tento ucel a bez obav ho budem pouzivat a vobec ma nebude trapit napr. podobny problem ako u rsa2048 kluca. Ked ten atribut tam bude povinny tak prve co bude ked dostanem od niekoho podpisany dokument tak po overeni platnosti sa pozriem na tento atribut a viem ze podpisujuci pouzil podpis za spravnym ucelom. A pod. Riziko tu bude vzdy. Banky to vyriesili tak ze ked dojde k zneuzitiu napriklad pri bankomate tak ti skodu nahradi banka. Ale pri podpise sa neda predpokladat co to bude za skodu a kto by mal takuto skodu nahradit - a bude vobec ochotny ju nahradit?
Branit sa da vzdy a otazka je ako uspesne. Najhorsi je pripad ked sa o tom ze si o nieco prisiel dozvies az ked je o pripade davno rozhodnute. Preto najlepsie je predchadzat tomu tak ze sa budeme snazit eliminovat rizika - ludsky faktor je ludsky faktor. V elektronickom svete sa da predpokladat ze zneuzivat bude niekto kto ma potrebne odborne a pravne znalosti na vysokej urovni.
Nemyslel som pripadovu studiu pouzitia. Skor studiu zameranu na mozne rizika a zranitelnosti elektronickych dokumentov v dnesnej spolocnosti a ich dopadu v suvislosti s nasimi pravnymi normami. Cize nie na to ako je to vyhodne a bezpecne ale kde ako sa to da zneuzit a ako eliminovat tieto nedokonalosti.
Nemusis:
Legalizáciou notár alebo ním poverený zamestnanec osvedčuje, že osoba, ktorej podpis má byť osvedčený v jeho prítomnosti, listinu vlastnoručne podpísala alebo podpis na listine uznala pred ním za vlastný.
3 Likes
Mna ta pani u notara raz sprdla ked som jej doniesol uz mnou podpisanu vec ze to sa tak nema robit.
listinu nemusis, ale do knihy sa musis vzdy podpisat nanovo (a aj aspon podobne :D)
O podobnosti podpisov nic neviem.
Ze samotni notari (presnejsie not. koncipienti, ked nie len obyc. sekretarka) nevedia vlastne pravidla, ma neprekvapuje, aj mne raz jedna povedala, ze to nemoze overit, ked som to uz doniesol podpisane.
Celkovo je pouzivanie listinnych podpisov u nas viac zvykove pravo ako pozitivne. Nikde nie je uvedene, ze pan Kovac sa musi podpisovat ako Kovac alebo ze musi mat vzdy rovnaky, prip. podobny podpis, dokonca ani to, ze vobec nejaky podpis mat musi. Casto byva samozrejme upravene, ze prejav vole musi potvrdit podpisom, ale ci sa realne podpise xxx, KOVAC alebo nejakou cmaranicou, je len na nom.V tomto je uprava elektronickeho podpisu ovela podrobnejsia a presnejsia (co paradoxne vyvolava dalsie otazky a obavy).
Ja naozaj nerozumiem, preco sa tu stale snazia niektori prikladat vlastnorucnemu podpisu a podpisu “pred notarom” nejaky zasadny bezpecnostny vyznam.
V prvom rade vlastnorucny podpis nie je ziadna biometricka stopa, z hladiska grafologickeho skumania je v pripade podpisu velmi tazke robit nejake zavery. Podpis je velmi kratky a spravidla nacivceny vzor. Grafologia ma vyznam najma pri skumani dlhsich textov a skumaju sa najma sklon, velkost, sirka, tlak, tah a riadkovanie pisma…
Co sa tyka podpisovania “pred notarom”, tak uz som to pisal vyssie - ziadne podpisovanie pred notarom. Podpisujes resp. vyhlasis podpis na listine za vlastny spravidla pred zamestnancom poverenym notarom. Su ich tisice.
Dokonca nemusis preukazat totoznosti ani obcianskym, staci ked dvaja svedkovia potvrdia, ze si to ty.
A je tu stale druha moznost, ist podpisat na hocijaky obecny alebo okresnym urad pred uradnikom…
Stale si myslim, ze ovela tazsie je zmocnit sa niekoho elektronickej identity ci uz ziskanim priamo jeho eID a prislusnych klucou alebo ziskanim jeho verejneho kluca a refaktorovanim privatneho…
2 Likes
K tomu by som len dodal, co si malokto uvedomuje, ze vlastnorucny podpis nie je definovany ziadnym zakonom t.j. neexistuje pravna uprava, ktora by ho definovala, ako spravne uvadza HANK. Je to skutocne len zvykove pravo. Ak vyhlasis XXX za tvoj podpis je to tvoj podpis. V elektronickom svete to tak nejde.
Mal by byť podpis niekde definovaný?
Malo by byť predpísné ako sa máju ľudia podpisovať?
Alebo mali by sa ľudia vlatnoručne podpisovať na súkromné účely inak ako pri výkone povolania?
Vlastnoručným podpis ti vedia znalci spoľahlivo preskúmať.
Znalci si však nevedia poradiť s elektronickými operáciami pri zneužití bankových kariet. Aj preto je objasnensoť pri elektronických transakciách nízka a spôsobená škoda vysoká.