Sanca, ze KaliNAKA vypatra, kto to faktorizoval a kto este ten ziskany podpis potom “zneuzil” je takmer nulova.
Myslim, ze by uplne stacilo, keby sa tym jeho podpisom autorizovala pozvanka na tlacovku a poslala do vsetkych medii 
1 Like
Ano, nejaka neskodna, ale dost preukazatelna akcia, je najlepsi sposob. Na trestnosti to ale nic nemeni. Zanechas stopy, napriklad potreba vypoctoveho vykonu a s tym spojene naklady, hradene elektronicky, su celkom podstatne kroky. To, ze tomu nikto nerozumie neznamena, ze nevysetria co treba. Kali povie ze on to nebol a skutok sa stal. Na tvojej strane.
Postvit ochranu asymetrickeho sifrovania na tom, ze public kluc je skryty a tazko sa ziska je dost nezmyselne zabezpecenie. Bez public kluca sa neda overit platnost podpisov a teda je to proti principu takychto sluzieb.
Public je preto public, ze jeho zverejneie neohrozuje funkcnost a bezpecnost.
Inak keby mala nejaka certifikacna autorita podobny problem ako eID, tiez by ochranu riesili skryvanim public key aby ju niekto nahodou necrackol?
2 Likes
Ano, toto je dokonaly dokaz nekompetencie. Problem je, ze sa to zle vysvetluje. Rovnaky dokaz nekompetencie je ze od novembra sa bude vydavat iny certifikat. Bez vyjadrenia sa k tomu co ti, co uz maju kompromitovatelny. Estonci skryli DB public keys ako docasne riesenie podla dostupnych info. Nasi sa chvalia ze ju ani nemali… Lenze, vysvetli to ludom a si kral.
1 Like
Ja napr. cakam, ake riesenie navrhne stat pre ludi, ktorym sa budu revokovat kluce. Nie vsetky dokuenty asi mali casovu peciatku, takze aky postup bude navrhnuty na to, aby sa dalo podpisat novymi klucmi dokumenty pred tym ako sa stare kluce revokuju.
Inak v juni sme mali debatu na podobnu temu tu: GovBox: Overovanie podpisov podpísaných dokumentov a nikto netusil, ako aktualne to uz bolo.
1 Like
No ano, casove peciatky su samostatna tema. Nastastie sa ma to netyka a netusim, no bude zaujimave to sledovat. Najhorsie je ze na minv aj nbusr strankach sa “nic nedeje”…
Stacilo by, aby ukony, pri ktorych hrozi vacsia majetkova skoda, cize napr. prevody nehnutelnosti a obchodnych podielov,nemohli byt realizovane bez osobneho overenia identity predavajuceho.
Vsetky ostatne ukony voci verejnej sprave su z hladiska zneuzitia bezvyznamne a KEP je pre ne prilis “silny” a bohuzial pre dva spominane ukony zase prilis “slaby”…
1 Like
Sveto, zabudas na jednu dolezitu vec. Ak overujes podpis, tak verejny kluc podpisovatela vzdy mas a nie je skryty, lebo je nevyhnutnou sucastou podpisu. Na verejny kluc je totiz naviazany cerifikat, aby si vedel, kto to podpisal. Ina vec je, ak by si chcel ziskat verejny kluc inej osoby, od ktorej nemas podpisany dokument, len tak, aby si ho mal. Taka moznost nie je, pokial Ti ho samotny drzitel neposkytne, alebo Ti niekdo nepodhodil nim podpisany dokument. Pokial nepotrebujes overit autora podpisu, tak Ti je vlastne verejny kluc k nicomu. Ak by si ho aj mal a nemal k nemu certifikat, ktory bol nan vydany, ani by si nemal sancu zistit, komu patri.
Ved to pisem, proste to je nutne mat z principu.
Ale ta moznost by mala byt, su databazy verejnych klucov a nikomu to nevadi (teda ak nie je problem s klucmi). To ze u nas sa verejny kluc dava do dokumentu je len jeden zo sposobov sirenia, iny by mohol byt dat do dokumentu len identifikator v databaze klucov.
Je to dolezite nemat reverznu sluzbu? Je to podobne ako telefonne cisla, tiez sa poskytuju len meno->cislo u nas, ale cislo->meno sa utajuje ako by to bol osobny udaj.
Priklad pouzitia: mam dokument, kde je verejny kluc a dokument sa tvari, ze je to od osoby A a overil som, ze to bolo podpisane vlastnikom verejneho kluca. Ako overim, ze verjny kluc patri osobe A, teda, ze to podpisal ten co ocakavam, alebo niekto iny?
Asi som sa zle vyjadril. Súčasťou podpisu musí byť vždy certifkát, ktorý obsahuje verejný kľúč podpisovateľa, tak verejný kľúč z princípu máš vždu k dispozícii a nemusíš to ešte ťahať z nejakej databázy, zbytočný krok.
Databaza verejnych klucov by Ti velmi nepomohla, ak uz, tak databaza vydanych certifikatov. Ta vsak u nas nie je verejna, kedze kvalifikovane certifikaty stale obsahuju citlive osobne udaje.
Jednoducho, mas spolu s verejnym klucom aj certifikat a v certifikate mas meno podpisovatela, ktore garantuje vydavajuca certifikacna autorita. Ak overis podpis t.j. zistis, ze prilozeny verejny kluc patri k sukromenmu klucu, ktory bol pouzity pri vyhotovovani podpisu, tak potom mas istotu, ze to podpisala ta osoba, ktorej meno je v certifikate. Ak neoveris podpis z dôvodu, ze verejny kluc nezodpoveda sukromenmu klucu pouzitemu na vyhotovenie podpsiu, tak jednoducho vies, ze nieco nie je v poriadku a jednoducho takemu podpisu a podpisovatelovi neveris.
To je princip PKI, ktory je zalozeny na dovere, ze vsetci konaju, tak ako maju.
Mozete mi vysvetlit, preco chcete zverejnit postup zneuzitia - VEREJNOSTI - ci si uvedomujete, ze sa tym dostavate za hranicu zakona? Opakujem VEREJNOSTI, cize hackerom dodate postup, ako mozu zistenu zranitelnost zneuzit proti obyvatelom Nemecka, Rakuska, Estonska a Slovenska? Uvedomujete si, ze takto postupuju teroristi? Informacie o zranitelnosti maju byt dodane zodpovednym statnym instituciam, a nie desit beznych ludi a zverejnovat hackerom presny postup, ako poskodzovat obyvatelov viacerych krajin. Je neuveritelne, ze sa nikto nepozastavuje nad tym, ze sa chystate poskytnut hackerom postup, ako poskodit statisice obyvatelov viacerych krajin. To je sialane a trestuhodne.
Ak to zoberieme prísne formálne, tak revokácia (zrušenie) certifikátorv sa musí riadiť podľa Cerfikačnej Politiky, ktorou, je v tomto prípade CA Disig. Ich CP pre eID je prístupná na: https://www.slovensko.sk/_img/CMS4/Certifikacna_politika_pre_vydavanie_certifikatov_na_eID.pdf
a podľa toho, čo je v nej uvedené, tak zrušiť certifikáty je možné len osobne (článok 4.9.3).
Celé to vyzerá akoby to bolo písané horúcou ihlou, navyše je tam kopec gramatických chýb. Ako príklad ďalšej blbosti, ktorú tam majú je prvý bod článku: 4.9.5 Čas na zrušenie CERTIFIKÁTU:
"Poskytovateľ musí zrušiť CERTIFIKÁT, čo najneskôr od momentu prijatia platnej žiadosti o zrušenie,"
čo je proti legislatíve, lebo to musí urobiť do 24 hodín, ale aj proti logike. (Zrejme tam malo byť slovo najskôr, ale úplne to zmenilo význam.)
Keďže píšeš, že zrušenie prebehlo korektne a rýchlo, predpokladám, že tu ide len o amaterizmus autora a preberateľa tohto dokumentu.
2 Likes
Zaujímavý pohľad na vec 
Povedzme si, že keby sa takéto zistenia nezverejňovali, tak by výrobcovia a príslušné inštitúcie nemali príliš veľa motivácie s tým niečo robiť.
Stačí sa pozrieť na náš štát, im dokonca nevadí ani to, že za dva týždne je to vonku, aj tak neriešia a bagatelizuju problém.
Plačete na nesprávnom hrobe.
1 Like
Co by sa malo stat? Podat trestne oznamenie na ludi, ktori na konferencii zverejnia navod pre hekerov a podvodnikov, ako zneuzit verejne kluce na ziskanie privatnych.
@Milan_Kovac, toto je rovnaka logika, ako “podme vymahat skodu od meteorologov za to, ze predpovedali prichod hurikanu”. Myslim, ze taketo postupy sa uplatnovali v stredoveku 
Vyskumnici svoje zistenia oznamili pred vyse pol rokom vyrobcovi chybnych cipov a ten nasledne vsetkym zakaznikom (cize zrejme aj nasej vlade). Okrem toho spoliehat sa na bezpecnost niecoho len preto, ze sa utaji chyba, je uplny nezmysel.
1 Like
To je velmi mylny postup, ze ked sa to nezverejni, budu obyvatelia ochraneni. Vola sa to Security through obscurity - Wikipedia a nefunguje to.
A postup toho timu je ukazka, ako sa to ma spravne robit, aby sa zabranilo velkym skodam. Oznamili to vcas kompetentnym (vyrobca, jeho zakaznici) a dali im cas niekolko mesiacov, aby nasli riesenie.
Vyrobca ma riesenie (rsa update - Infineon Technologies), Estonsko ma riesenie, Lenovo ma riesenie (RSA Keys Generated by Infineon TPMs are Insecure - Lenovo Support SK), … .
Len nase MINV sa zda informacie ignorovalo a teraz to bagatelizuje.
2 Likes
Ocakaval som presne takto falosnu odpoved, ktorej zakladnym predpokladom je uz neprecitanie a nepochopenie prispevku, na ktory reagujes. Teraz by som mal vysvetlovat rozdiel, medzi ucelom predpovede pocasia a zverejnenim postupu a navodu, ako poskodit statisice obyvatelov EU. Dobre, urazim vas tym, ze budem vysvetlovat nieco, co normalne nie je potrebne vysvetlovat: Ucelom predpovede pocasia je ZABRANIT skodam. Ucelom zverejnenia BEZNEMU OBYVATELSTVU (hadaj, preco som to napisal velkym psimom, a aj tak to zignorujes) postupu ako okradnut tisice obyvatelov je spristupnit zlocincom postup ako vykonavat zlocin, a poskodit obyvatelov viacerych krajin.
To, ze vyskumnici zistenia zverejnili statom a a zakaznikom je presne to, co je spravne ze urobili. Ak ale zverejnia postup aj beznej verejnosti - dopustia sa zlocinu - a budu spolupachatelmi znueiziti, na ktore naviedli zlocincon uverejnenim postupu ako zlocin spachat. Povedzte mi, preco je vam nutne vysvetlovat aj tak proste veci?
Na zlocin nabada jedine Kalinak tym, ze vyzyva ludi aby ziskali hodnotu kluca, ktora ma byt ziskatelna len z jeho OP ktory si ma nadovsetko chranit… Bez zverejnenia nemoze vzniknut tlak, ako bolo spominane. Naviac, ak uz dotknute strany spravili opatrenia, na co mali dost casu. Cize problem je u nas, salamova metoda a vyhovorky, ako tu uz tiez bolo spominane. Je to velmi slabo zdoraznovane, media tomu nerozumeju a ta tlacovka v stredu bola hroza. Za vsetko:
“Ti ludia, ktori uz vlastne v danom, vo svojom, obcianskom preukaze v cipe ten certifikat nahrany maju, tak v kratkodobom horizonte, kedy sa vlastne upgradne ten system, budu automaticky na dialku mat uz ten novy certifikat s novymi pravidlami, ze ten retazec nebude 2048 bitovy ale bude ovela dlhsi, kde to riziko toho hacknutia sa absolutne anuluje.”
Moj pohlad je zaujimavy - zial. A to preto, ze tak malo z vas si vo svojej nenavisti uvedomuje spolocensku zodpovednost. To, ze staty a zodpovedne organizacie nemaju motivaciu s tym nieco robit je bullshit. To, ze vyskumnici zverejnia - BEZNEJ VEREJNOSTI - postup ako pachat zlociny, je trestny cin. A ja dufam, ze v takom pripade bude vyvodena trestnopravna zodpovednost.
hlozo, vinnikom situacie je dodavatel kniznice na tvorbu klucov. A on takisto nedokaze okamzite vytvorit novu a opravenu verziu tej kniznice - on novu verziu nema. Ani on nema carovny prutik. Na toto riesenie sa caka. Da sa pouzit starsia kniznica, ale to nie je ako vymenit stiahnuty film za stiahnuty film v tvojom pocitaci. A kedy nastane skutocny problem? Ked na konferencii bude sirokej verejnosti zverejneny postup pre hackerov “tu mate - takto mozete pachat zlociny”. Mne je jasne ze sa tu da krakat nezmysly donekonecna. Ale verim, ze ste aspon poniektori pochopili tu prostu vec, ze zverejnenei postupu ako pachat zlociny je trestny cin.
Mimochodom, co presne si nepochopil na tom citate ktory si uveidol vo svojom prispevku?