pozor ja som nehovoril o nahradeni GUID (BIFO…) a sposobe jeho generovania - pretoze to ako to nakonieco dopadlo BIFO nastudovane nemam.
Ide mi len o to ze napr. na eID moze mat vygenerovany certifikat pre komunikaciu s poistovnou tj. u lekara(specialistu) mozem pouzivat publickey tohoto certifikatu. podla ktoreho si overi ze poistku mam ale uz nebude vediet ze sa volam Jozko Mrkvicka
podla mna toto ma viac vyhod:
jednak poistovne si budu spravovat svoje policko, MV si moze spravovat svoje, dopravny podnik svoje…
zbytocne sa na vsetko nevyuziva ZEP ktoreho bezpecnost klesa kazdym pouzitim.
Už rozumím… každý o něčem jiném já zas mluvil o univerzálním identifikátoru který by mohl být (potencionálně) i propagován i RF cestou.
Takže u lékaře by jsi musel použít svůj privátní klíč který je v kartě pečlivě schovaný a ven se nedostane. Výpočet “podpisu” provádí karta na základě toho v ní a jen v ní uloženého privátního klíče.
Veřejný klíč slouží k ověření, zda byl podpis vytvořen za pomocí soukromého klíče.
Dovolím si zahrát na moudrého a pokusím se (zjednodušeně) popsat:
Jak vzniká elektronický podpis?
je určena asymetrická šifrovací funkce (asymetrická protože k šifrování a dešifrování potřebuju různé klíče - klíčem který zašifruju nedokážu dešifrovat)
poměrně náročným algoritmem se (v našem případě eID čip) vypočítá vhodný klíčový pár - klíč který bude určen pro vytváření podpisu je tvůj privátní, jeho privátnost zajišťuje eID čip - prostě jej ven nepustí, dešifrovací klíč je veřejný
čip poskytne veřejný klíč, CA či ACA k němu vygeneruje certifikát (obsahuje sériové číslo, datum platnosti a další pro samotné podepisování podružné informace) který do eID nahraješ
když potřebuješ podepsat “dokument” příslušný sv z tohoto dokumentu vypočte kontrolní součet (hash, fingerprint), tento pošle eID čipu který vlastní vytvoří podpis (hash zašifruje s použitím privátního klíče) a vrátí ho SW
SW si ještě vyžádá na eID uložený certifikát
SW “zabalí” certifikát + podpis do struktury definované normou případně ještě vytvoří hash takovéhoto “normovaného podpisu” a on-line si vyžádá k tomuto hashi el.značku od TSA(Time Stamping Authority) - většinou poskytují stejné subjekty jako CA/ACA. TSA k hashi připojí údaj o čase ten spolu s hashem podepíše podobně jako dle 4. a 5. a takto podepsané vrátí podepisujícímu SW. Ten to zase to celé “zabalí” do definované struktury.
Výsledek (podpis dle 4. 5.a případně timestamp dle 6) SW “přilepí” nebo “vloží” nebo “přiloží” k dokumentu - zase podle příslušné normy.
Máš “podepsaný” dokument který můžeš uložit, poslat…
Existují i struktury kde se ukládá celá certifikační cesta a platné seznamy odvolání a x dalších rozšíření, ale pro princip to snad stačí.
Jak se ověřuje (ještě víc zjednodušeno, neuvažujeme timestamp)?
Z doručeného dokumentu vybereš “podpisy” - kde a jak tam jsou ti řekne norma…
Z dokumentu bez podpisu vypočteš hash. Hash z podpisu dešifruješ veřejným klíčem (uloženým v certifikátu který jsi dostal s dokumentem).
Ověříš platnost certifikátu - podle údaje o platnosti v něm uvedeného, dotazem na ACA zda nebyl odvolán.
Podobně ověříš platnost certifikátu ACA na který se podpisový certifikát odvolává - ten je buď taky přiložený nebo si jej od ACA vyžádáš on-line nebo ho už máš uložený “u sebe”. Zase dotazem u ACA ověříš jestli nebyl odvolán.
Podobně ověříš platnost root certifikátu (na slovensku NBU) na který se oddvolává certifikát ACA. Ten už by jsi měl mít uložen (třeba certifikáty české I.CA jsou ve woknech uložené přímo od Micro-Softu) u sebe, případně si jej stáhneš z důvěryhodného úložiště (stránek NBUSR1213).
Pokud je vše OK a platné můžeš dokument považovat za důvěryhodný (pokud se neprokáže opak).
Pomohlo to někomu? Odborníci nekamenujte mně, snažil jsem se maximálně zjednodušit…
(posloupnost kroků, příslušnost k HW/SW nemusí být přesná atd…)
EDIT: TOHLE MOŽNÁ PATŘILO SPÍŠ K ZEPu ALE TEN FINGERPRINT MNĚ ZMÁTL… když tak poprosím o přesun kam to patří…
Je třeba si uvědomit, že jde o skutečně public - veřejný klíč a veřejný tak že doslova. Tím klíčem disponuje kdokoli kdo kdy přišel do styku s tvým certifikátem. Takže podvrhnout čipovou kartu která bude bude vracet tvůj certifikát nebo veřejný klíč je brnkačka pro studetnta střední elektrotechnické…
Podstatné je, o co u doktora a ePP jde? Myslím že především o dvě věci:
zajistit aby za ošetření dostal platbu od ZP - tedy aby ZP byla schopná identifikovat komu byla péče poskytnuta a autentifikovat že se skutečně jednalo o tuto osobu - jejího pojištěnce.
podepsat “informovaný souhlas” aby měl doktor klid když mu přijde kontrola.
doktor by (asi, v některých případech) měl mít jistotu že skutečně vyšetřuje toho koho má - kdo se mu kartou proukázal… jsem bacilonosič žloutenky, tak k doktorovi pošlu pro zdravotní průkaz souseda se svou kartičkou… Doktor ho vyšetří, nechá udělat rozbory a vystaví mi zdravotní průkaz že můžu pracovat s potravinami. Nastoupím do školky jako kuchař… Říznu se při krájení cibule…
Na základě certifikátu můžeš identifikovat - pokud certifikát obsahuje identifikační údaje. (identifikovat - získat tvrzení že jsem osobou XY), nemůžeš autentifikovat - ověřit že je to pravda.
Na základě privátního klíče (který je vždy jen a jenom u tebe a nikdo ani ty ho nikdy neuvidí či nepřečte) se pak provede autentifikace - ověření že jsi to opravdu ty (certifikát není podvrh, disponuješ privátním klíčem.)
To se dělá tak, že ověřující systém vygeneruje nějaký řetězec (text) a požádá tvůj čip aby jej “podepsal” - asymetricky zašifroval tvým priv.klíčem. Pak skontroluje jestli po dešifrování tvým veřejným klíčem dostane stejný text jaký poslal k zašifrování.
Proto bývá zvykem k autentifikaci používat jiné certifikáty než k podepisování - abych ti neřekl že ověřuju pravost tvého eID a při tom si nenechal podepsat směnku na 2 mln €. Případně autentifikace proběhne tak, že onen “nějaký řetězec (text)” je “lidsky čitelný a smysluplný”, případně některé formáty “ukládání” komplexních umožňují určit “účel podepsání” … (vše zase extrémně zjednodušeno!)
Ano, vždy a všude jde především o stupeň důvěry, důvěryhodnosti a složitosti podvrhu.
Kdysi stačily papírové pasy s nalepenou fotkou, nějakými podpisy a razítky… Dneska se vše ověřuje na x krát, v pase máš hologram, forka je natištěná na plastové kartě… A podpis ani razítko tam není žádné (jen tvůj v podstatě jako “biometrický údaj”), protože jsou extrémně snadno podvržitelné a problematicky se ověřuje jejich pravost. Tudíž jsou zbytečné…
Ak to vysvetlenie ako ZEP funguje bolo premna myslim ze to nieje potrebne, pretoze tuto problematiku poznam, isteho casu som dokonca spolupracoval s Disigom- v case ked este obcianske nemali cip no pojem ZEP uz v legislative bol.
Aby sme sa netocili v kruhu:
V tomto pripade sa zamyslam nad tech. riesenim toho ako zabezpecit:
aby dochodcovia a kto kolvek nemusel poznat 10pinov, tj tam kde to nieje nutne vyuzit identifikaciu z pasivnej casti (nieje myslene v zmysle Jozko Mrkvicka ale skor v zmysle zistenia od AAA ci ma dana osoba na ukon,sluzbu…etc. opravnanie)
aby bola len jedna karta na vsetko
aby si kazdy subjekt vedel spravovat svoju cast
eliminovanie pouzivania ZEPu na ukony na ktore ho vyslovene nieje treba
v pasivnom mode zobrazovat len data ktore su nevyhnutne a neprezradzaju priamo osobne udaje
teraz to funguje podla RC pricom preukaz poistenca je bez fotky.
Ak ma lekar k dispozicii RTG nevidim dovod aby tam nemal aj foto
Vseobecny lekar bude mat samozrejme vsetky data, uz dnes z nich viac robia uradnikov ako lekarov.
Ako priklad pouzivam ePP ale nasledne by rovnaky model mohol ist pouzit na ostatne sluzby, napr. aj ta verejna doprava (predstav si ze mas pri vstupe do kazdeho prostriedku zadavat pin)…
Mám pocit že za chvilku spadneme do problémů jako BIFO, JIFO, SIFO a podobné:
Jak na jednu kartu narvat věci ke kterým mají mít různé subjekty různá oprávnění ke čtení (nemluvě zápisu/změně) bez aktivní spolupráce jejího držitele… A to pokud možno off-line - jinak jejich uložení na kartě postrádá smysl…
Zatím je to řešeno takto tuším:
Bez zadání pinu si nikdo ani neškrtne (mimo MV pochopitelně).
Po zadání PIN u se spřístupní - tuším - podpisový a šifrovací certifikát a to včetně možnosti šifrování.
Pro požití certifikátu pro ZEP je potřebný další PIN.
Kde je hranice toho co přesně dělá karta, co “eID klient” a co “propagátor certifikátů” fakt netuším.
Pro off-line odlišení které údaje poskytnout mně napadá fakt jen ten PIN, a ten aby jsi měl fakt pro každého extra…
Nebo on-line - lékař se přihlásí/ty se přihlásíš a on-line přijdou informace o tobě které potřebuje přihlášený doktor podle své specializace (chirurg asi nepotřebuje informace o oční vadě, oční o tom že ti chirurg vybral slepé střevo…).
Další komplikace - potřebuje chirurg tvoje informace o alergiích? Ne, pokud ti nechce předepsat lék na který jsi alergický… Potřebuje oční informace o lécích které bereš? … Ne, pokud nemohou ovlivňovat tvé vidění a ostatní léky taky ne, pokud ti nechce naordinovat lék který by s nimi mohl nevhodně reagovat…
Jedna věc ohledně použitelnosti eID jako ePP by mně docela zajímala - kolik klientú SK zdrav.pojišťoven má (používá) EU průkaz? On možná ten čip navíc při použití stejné výrobní technologie s vynecháním od pasu 90% ochranných prvků na kartě by zas nemusel být tak velký náklad.
V česku chtěli na eOP dávat řidičáky (pochopitelně jen pro vnitrostátní použití) … došli k závěru že náklady by byly vyšší než přínosy, protože drtivá většina řidičů aspoň občas jede do zahraničí a plast akceptují všichni účastnícci vídeňské smlouvy… takže někde miziové procento by mělo jen ŘP na eOP, zbytek by stejně měl i ten plast (no aspoň by ho ssebou nemusel tahat… to už nikdo neřešil, že každý kus plastu navíc ve šrajtofli už začíná být na obtíž…).
Už roky dozadu som apeloval aby sa nekodili aplikácie “multiplatformovo”, tz. najnižší spoločný menovateľ. Po rokoch vydali eID pre OSX a využíva to Java plugin v browseri. Teraz budú musieť zaplatiť opäť za vývoj aplikácie nanovo. Efektivita. Niekdo im prosím navrhnite natívnu OSX/iOS appku napísanú vo Swifte nech to konečne na úrovni. Dik
Ta možnost je - ovšen jen pro cizince s povoleným/registrovaným pobytem A notářsky ověřeným dokumentem že máš na Slovensku kde bydlet (nájemní smlouva s ověřeným podpisem majitele + ověřený výpis z katastru) - pak, pokud si zažádáš o “pobytový preukaz cudzinca” ti ho vydají a na něm už čip je stejně jako na slovenské občance…
Neviem si celkom predstaviť fotku v eID mojej dvojmesačnej dcéry - lepšie povedané, ak nemám s dieťaťom každý rok, dva, chodiť vymieňať eID len kvôli novej fotke, tak si myslím, že na identifikačné účely to má rovnakú hodnotu ako eID bez fotky. Iná téma je, či fotka na súčasnom OP dospelého človeka zpred 5 rokov je na tom lepšie, ale to tu riešiť nemusíme.
Doplňujúca otázka: existuje iný biologický (alebo akýkoľvek iný) znak, ktorým by sa jednoducho dalo overiť, že preukaz, ktorý mi človek podáva, naozaj patrí jemu? Alebo sa toto rieši pomocou pinu? Pre prípad rozoberaný vyššie - ako zaručím, že susedove choré dieťa nešlo na preukaz môjho dieťaťa k doktorovi vybaviť kamarátovi PNku? Hlúpy príklad, ale chcem poukázať na všeobecný princíp.
eID je celkom dobrý nápad v období pred X rokmi. V prípade, ak primárne používam smartfón alebo tablet, tak je pre mňa projekt nepoužiteľný. Ešte sa mi nepodarilo pripojiť čítačku Gemalto USB do môjho iPhone. Asi by bolo vhodné ubrať sa iným smerom. Bolo tu už uvedené, že ľudia nedostávajú ZEP automaticky, lebo to dlho trvá. teraz čítam, že PIN má iba pätina konateľov, hoci veľká časť z nich má nový čipový občiansky. problém so zahraničnými konateľmi, legislatíva to veľmi nedomyslela. problém s Občianskymi združeniami. Problém kde sa len pozriem. A projekt stále podľa mňa žerie peniaze z rozpočtu. Estónci majú eID na open source a dokonca dali zdrojáky na GitHub. Prečo my používame proprietárne uzavreté systémy ? Ktoré licenčne stoja veľa peňazí ?
Hlavny problem je UX. Vidno, ze na tych veciach pracuju firmy z 90tych rokov, co poznaju iba .NET a Windows programovanie. Tiez by som velmi bral moznost podposivat dokumenty cez iPad, ale co uz…ta tu nejaky expert odkaze na Android tablet s Chrome browserom a nejakymi hackami.
@PeterVe a @Marty_MacFly suhlasim s vyhradami, ale pointa tohto vlakna je uplne inde. Ak uz karty mame a nic nenasvedcuje tomu, ze sa ich ideme nadobro zbavit, tak by bolo fajn ich aspon mat moznost vyuzit na maximum. Tieto zmeny nevyzaduju ziadne extremne naklady.
Čital som prvotné zadanie vlákna. Pravda, pointa vlákna je niekde inde ako som písal podĺa všetkého. Nie však úplne. Dorobenie požadovanej funkcionality v zadaní vlákna podľa mňa v použitej technológii bude stáť neskutočné peniaze. Už len prvotné spustenie projektu podľa MV stálo tuším okolo 46 mil EUR, dodatky som nevidel. Podľa dostupných informácií v Estónsku stál eID rádovo pár miliónov. Zdrojáky sú v GitHube. Chcel som povedať, že eID ako základný nástroj ZEP je vynikajúci, sám momentálne nepoznám lacnejší spôsob na ZEP. Ale pre bežných ľudí je zbytočne drahý systém a zbytočne komplikovaný. Osobne by som navrhol niekoľko drobných úprav ako to doriešiť bez toho, aby sa znížila funkcionalita a bezpečnosť celého systému. a je to v podstate v súlade s požiadavkami vlákna.
A prečo nepoužiť pas, ked ten už má male dieťa?? ved keby mal bezdrôtový čip, tak sa dá použiť, či nie? ZEP aj tak nepotrebuje… ale zase podľa mňa haluz, proste dieťa ked ide lekárovi, tak načo je mu eID - proste rodič dá prístup lekárovi k jeho dátam - obdoba dnešnej dohody s lekárom o poskytovaní zdrav. starostlivosti a hotove… čo ešte sa chce riešiť. Ak príde dieta ku lekárovi, tak len ukáže svoju normálnu papierovú kartičku a hotove, lekár ho zoberie a ošetrí tak, ako dnes.
to isté aj pacientom, eID má slúžiť u lekára len na potvrdenie tej dohody s lekárom a hotove, nič viacej podľa mňa. Ak človek nemá eID, tak to urobí lekár písomne a potom pošle do poisťovne / NZCI , kde to verifikujú a hotove…
Svet sa celý elektronizovať proste nedá. nemôže predsa firma dodávateľ eID určovať všeopoužitie svojho nástroja rovnako ako ani štát. Proste sú nejaké limity a je nejaký vývoj.
Je to ako s mobilmi, dnes máme smartfony, pred 10rokmi tehly s anténami
já zas mluvil o univerzálním identifikátoru který by mohl být (potencionálně) i propagován i RF cestou.
Odborníci nekamenujte mně, snažil jsem se maximálně zjednodušit…
náklad.
