Na Tomášikovej dnes (2.11.2017) už od cca. 13:00 automaty na časenky nebrali ďalších ľudí (záverečná je o 15:00), od niektorých klientov si to “vyžrala” tetuška, ktorú k automatom postavili. Na Ružinovskej nešiel automat na časenky vôbec, ale išiel som dnu (do dverí na výdaj dokladov, nie na fotenie/nové žiadosti) hneď potom ako vyšiel von prvý človek. Informátor žiaden, takže smerovanie bolo také intuitívne.
Samotný proces trval minimálne 10 minút (zabudol som si odsledovať čas po vstupe), na začiatku sa ma tetuška pýtala, či chcem meniť BOK a ZEP PIN, po negatívnej odpovedi som aj tak zadával nespočetnekrát na striedačku v rôznom poradí BOK, ZEP PIN, ZEP PUK - ten som si ani nepamätal, lebo sa bežne nepoužíva a nikde nepísali, že ho budem potrebovať, takže som sa neunúval dohľadať si ho doma, ale nemal som dojem, že by to v celom procese nejako vadilo - v istom momente som nadobudol dojem, že ich asi aj tak všetky zadávam nanovo, akoby tam nikdy predtým neboli. Či to takto malo naozaj byť, to by som z čírej zvedavosti chcel vedieť. Tých proklamovaných 4-5 minút je na základe mojej osobnej skúsenosti číry marketing.
Ale veď štátna tajomníčka povedala, že je to fakt už len teoretická zraniteľnosť. A pani daňová poradkyňa ďakovala štátu za riešenie tejto situácie 3k bezplatným certifikátom. A v Dobrých novinách SITE a TASRI písali, že nové kľúče sú už naozaj bezpečné.
Prečo, prečo im to takto kazíte!
Teraz naozaj musíte verejne prelomiť 3k kľúč! Už je to nad možnosti akademických výpočtových centier.
Tie kódy sa všetky zadávali nové, pôvodné po mne nikto nechcel. V MA bola jediná výhoda, že tie kódy zadávali priamo pracovníčky, stačilo ich len napísať na papier a potom vziať so sebou, nemusel som to zadávať vôbec (ani ma k tomu nepustila).
Skor som narazal na to, ze udajne ma byt 3k generovane inym sposobom - podla tvrdenia NBU, co sa da teraz lahko overit, kedze false positive detection je prakticky nulova (menej nez 2^-150).
Podla aktualnych dat to naozaj vyzera, ze 3k je safe (pred nasim utokom, dokonca viac safe nez 4k modulus), je tam ale nezanedbatelna strata entropie oproti nahodnemu 3k RSA modulu. Bernstein avizoval 5-25% zlepsenie, co je len maly progress. Sme v ocakavani ci kryptokomunita pride s utokom, ktory by dokazal reudkovat narocnost utoku v rade bitov. Tiez pracujeme na vylepseni ale 3k vyzera mimo dosah.
Zdravím, tak som sa dnes nalogoval do elužieb MinV., reku že či sa tam nedá booknuť časenka na výmenu certifikátu, lebo ráno bolo predomnou 42 ľudí.
A trošku ma prekvapilo, že podľa portálu na OP momentálne nemám žiadny platný certifikát. Nie je náhodou autentifikačný certifikát ten, čo slúži na prihlasovanie sa do služieb (a s ktorým som sa nalogoval aj na samotný portál MinV)?
Nemali revokovať len autorizačné (kvalifikované)?
Ak mám všetky certifikáty zrušené, tak ako to, že som sa prihlásil na ten portál?
Nie je. Na autentifikáciu slúži úplne iná časť eID, používa protokoly podľa BSI TR-03110. Žiadny z X.509 certifikátov nahrávaných do eID sa na autentifikáciu “pomocou BOK” nepoužíva.
V tom obrázku čo si poslal je názov “Autentifikačný certifikát” skrátka chybný. Nie je to ani AC v zmysle zákona o eGov.
Pomocou tohto certifikátu sa dá vytvárať klasický elektronický podpis (nie kvalifikovaný), v eGov službách som ho dosiaľ nevidel nikde použitý.
Áno, takto to bolo oficiálne komunikované. Zjavne nepravdivo, zasa raz…
No veď. Tá “strata entropie” je dosť veľká. Bežne ak klesne pod 100 bitov, treba (preventívne) prejsť na iné riešenie. Čiže 3k kľúč je na hranici, a to sa zjavne sústredená pozornosť na túto vec iba začala.
aka velka je strata entropie ? Podla obrazkov je to povedzme 99 %, co sice znie hrozne ale prakticky to nie je problem. ci mas odhadovany cas na prelomenie 10 na 25 rokov alebo 10 na 23 rokov nehra rolu, obe su nedosiahnutelne. Ak rozumiem tak v skutocnosti tak problem bol ze vdaka chybe slo o pokles entropie o desiatky radov.
Ďakujem, lebo v oficiálnych komuniké sa vždy oháňali tým, že autentifikácia nie je zraniteľná, tak som myslel, že to je práve ten cert. Keďže v podpisovacích appkách vidím na EID len dva certy, tak som myslel, že toto je ten tretí ktorý v zásade sám od seba nemám ako použiť, iba na request eGov stránok…
Keďže infraštruktúra nezvláda žiadostí o vydanie nových (cez appku), do 5.11. si nové môžu zriadiť iba tí “who must use their ID card actively in their work” - 35k používateľov.
Všetko sa snažia zvládať, ale “However, some disruptions may occur in hospitals in the coming weeks, which is why we ask for understanding from patients – this step will protect your data”. Neviem ako v EE, ale takáto tlačová správa u nás by znamenala že v nemocniciach bude ozaj vážny problém.
Nie je jasne, či ich idú naozaj ihneď rušiť, lebo spomínajú “the suspension of ID-card certificates”, čo nie je to isté ako zrušenie.
Tiež by som pridal jeden príklad z Estónska k tomu čo uviedol Lubor, ak si niekto v tejto diskusii myslí, že sa takáto situácia, aj keď sa na ňu dlhšie pripravuješ, dá zvládnuť ľavou zadnou
“From Friday noon to Monday morning remote updating will only be available to those who use ID-card every day at work: first and foremost people working in the fields of medicine, rescue, judicial and law enforcement, but also people who use their ID-cards every day. These people will be notified directly. Everyone else who do not use mobile-ID or other authentication methods and are in urgent need to update their certificates during that period, are kindly asked to go to Police and Border Guard Board service halls.”
Vyborne napisane. Malo by to byt povinnym citanim pre tie “odborne autority” ktore disigu radili ze sa nic nedeje ze je to len teoria. Hlavne tu cast o tom ze k svojmu podpisu musime mat prislusnu doveru, takze ak algoritmus sa sice tvari ako RSA, ale neposkytuje zaruky ktore su na maximalnej urovni dnesnej doby, tak je to iba hracka ktora sa tvari ako seriozny podpisovaci system.
Zaroven by sa mali kompetentni vazne zamysliet nad bezpecnostou celeho slovenskeho digitalneho sveta. Ak v takychto pripadoch budeme vzdy cakat na to ci certifikacna autorita laskavo zastavi system ktory ma narusenu bezpecnost, tak sa raz dockame neprijemneho prekvapenia.
Ide sa spustat zdravotnicky system tam su este dovernejsie udaje o nas vsetkych. A nad tymto vsetkym by mal existovat nezavisy bezpecnostny organ - skupina ludi, ktora kedykolvek ked zisti podobne narusenie bezpecnosti, ci dovery jednoducho aj o polnoci stlaci cervene tlacidlo a ohrozeny system zastavi bez strachu ze tym niekomu moze sposobit skodu. Toto ziadna certifikacna autorita kedze je priamo v probleme zainteresovana nikdy neurobi rychlo a nekompromisne - vzdy bude vahat ako vahala aj v tomto pripade.
