fakt je otravne sa overovat OP a pisat plne moci a podobne kraviny, stacil by jeden private key a potom by som na jendotlive ukony mohol niekoho delegovat tym ze podpisem svojim signature napr email kde uvediem ktore ludia s danymi public keys ma mozu v tej veci zastupovat. Kludne to moze vyuzivat aj externe platformy ako http://onename.com/ alebo http://keybase.io/ a overenie je samozrejme jednoduche. stacilo by raz fyzicky prist urad a uradnik by tym pub key podpisal spravu kt. by ten clovek nasledne musel desifrovat a tym by overil vlastnicto private key k danemu pub key. A na profiloch v tych ext slubach by muselo byt realne meno a fotka danej osoby, simple enough
Nesluzi presne na toto ZEP? Ktory mozes mat uz dnes na OP? Ci aky tam vidis rozdiel?
2 Likes
Co presne nefunguje?
Netreba.
A su na to dobre dovody, ked mozes takym niecim podpisat plnu moc, previest cely svoj majetok alebo robit pravne ukony, tak je dobre, ze to nemozes mat len tak niekde v ~/.ssh/id_rsa.
Snazme sa vsak drzat tuto diskusiu kulturnu.
2 Likes
Ok system sice funguje ale ako kedy sa mu chce co mam potvrdene od viacerych ludi. Napr dnes Riso Kellner pisal ze zrusenie zivnosti mu trvalo 6 hodin… a preco bych to nemholo mat v .gnupg/ henten system sa tiez da expolitnut ked to clovek pouziva minimalne a tak ci tak treba este heslo k tomu - kt je samozrejme slusne silne. A hlavne to nie je opensource proste cisty fail. nie aby dali zdrojaky na github jak normalny ludia. A napr pre fedoru tam nie je balicek, stacilo keby dali 1 pre rhel/fedora/centos a nie robit 3 pre debian based kde staci 1
Tipol by som, ze zrusenie zivnosti pravdepodobne nema problem eID, ale v el. sluzbe, ktora to zabezpecuje, ze? Inak samozrejme suhlasim, ze eID ma limity. Napriklad 4 ciselny a 6 ciselny pin so zufalou entropiou mi pride na prevod celeho majetku dost nebezpecny.
to je urcite 8kb ECSDA so silnym heslom x100 bezpecnejsi. A keby to aspon opensourcli…
Podla mna tu trochu miesame hrusky a jablka.
Ja budem reagovat na bezpecnostne ulozisko (SSCD).
Dufam ze nechceme porovnavat bezpecnost ulozenia privatneho kluca na SSCD vs HDD.
Vsetku kryptografiu vykonava priamo karta. Privatny kluc za ziadnych okolnosti neopusta toto ulozisko.
Neviem ci si to ludia uvedomuju, ale kluce nam NEgeneruje stat a NEnahrava na eID. Kluce sa generuju v karte a privatny kluc ju nikdy neopusta.
S roznou urovnou zabezpecenia suhlasim, bolo by vhodne keby mam na karet minimalne viac klucov a tie pouzivam podla bezpecnostenho rizika.
Na druhu stranu aby sme len nekritizovali dnes obycany podpis bez bio dat tiez nieje superbezpecne riesenie.
Karticku ti ukradnu/poškodí sa/zabudnes a pod. Plus, ak chcem integrovať ZEP na podpisovanie emailových správ, ako to mám urobiť? Berme do úvahy moderné spôsoby komunikácie prostredníctvom iPad/iPhone/Android a pod. Zabezpečenie cez TouchID (secure enclave) mi príde rozumnejšie riešenie ako kartička a 6miestny kód…
to, že to funguje “poriadne” iba na Windowsoch je pravda. JKM vyžaduje IE a Windows. A ostatné služby sú také ťažkopádne, pomalé a neefektívne, že mi je z toho doplaču. eID appka by mala byť natívne pre hlavné platformy (Win/OSX/Linux) a mala by obsahovať možnosti dávkového podpisovania a integrácie s emailovými klientami.
Toto ale nemyslis vazne ze by si si ZEP vdaka ktoremu mozes predat majetok dal do uloziska iphonu, androidu…? - absolutne nebezpecne.
Taktiez snad nemyslis vazne podpisovanie dokumentov len na zaklade otlacku palca?! - podobne, resp. este nebezpecnejsie, otlacok clovek nevymeni na za iny.
Celkom by ma ale zaujimalo k comu by si potreboval podpisovat kazdy email ZEPom?
Na podpisovanie faktur a emailov by si mal pouzit Osobny certifikat.
“Certifikát pre elektronický podpis vydaný v zmysle §7 zákona č. 215/2002 Z. z. o elektronickom podpise použiteľný napr. na podpisovanie e-mailov alebo elektronických faktúr.”
Tento typ sa nemusi vydavat na SSCD, (to iste plati aj pre certifikat pre server napr. pre SSL).
Staru karticku OP ti ukradnu stratis… ?
je to offtopic ale suhlas
to je hlupost, kazdy dokument pred podpisom musi clovek vizualne verifikovat (ani zmluvu nepodpisujes tak ze by si si pozreli len patu papiera a podpisal),
emaily som spominal, ZEP na toto skutocne nieje.
tak to uz je na tebe kde si ten kluc das, ale jedine ozaj bezpecny je linux (mozno cyanogenmod nightlies) a “conscious” user. Kluc sice neopusta kartu ale co ak ti hacknu tu apku - desktop klienta ( neviem co s tym mozu robit to je skor otazka.) btw bitcoin trezor je o niekolko krokov vpred - uz funguje ako login do mnohych sluzieb a je ovela viac “versatile”. A da sa spravit odstupnovanie na niektore ukony ti staci private key len tak v .gnupg a na “vaznejsie” (teda kde ide o $ resp nad urcitu sumu ) tak ten HW
Ano, a ulozeny podpis na karticke s 6miestnym kodom je bezpecne 
Do Androidu by som si to nedal, tam je to inherentne non-secure, ale napr. TouchID je funguje na principe HW uloziska, ktore je sifrovane a nieje moznost, aby sa k tomu dostal niekdo iny, co napr. o karticke eID povedat nemozeme. Takze ano, TouchID JE objektivne bezpecnejsi sposob autentifikacie ako 6miestne heslo na karte.
Diky za tip, skusim.
Komercne softvery umoznuju davkove podpisovanie, takze tam by som problem nevidel. Neviem ako ty, ale ja si vsetky zmluvy a dokumenty co podpisujem precitam, a je jedno ci ich mam 5 alebo 100. Rovnaky princip plati aj pri ZEP. Skor som narazal na to, ze ako idiot musim cez zep.disig.sk uploadnut dokument, invokovat podpisovanie, autorizovat sa kodom, vybrat podpisovy certifikat, podpisat, opat verifikovat kodom a potom ulozit. A to iste ak mas opakovat pri 15tich dokumentoch, ktore predkladas v zalobe, tak ver tomu, ze mas chut roztrieskat pocitac a ist osobne vyfackovat cloveka co tento system vymyslel. Stacila by aplikacia, ktora umoznuje ponahravat vsetky dokumenty do zasobnika a po prvej autorizacii odklikat vsetky dokuemnty po “precitani” a podpisat naraz.
Bitcoin a opensource asi nie Resp. iba ak by to bola jedna z moznosti a ludia chcu riskovat.
trezor je daleko bezpecnejsi ako ta citacka ktore sa na 100% da lahsie exploitnut a este ked to pouzivas na nejakom wine ako 90% ludi. Trezor ma aj display a HW tlacitka a kazdu operaciu tam musis potvrdit to je neprelomitlene aj ked mas zavireny komp
som na OSX a iOS a na iOS je ZEP absolutne nepouzitelny…mne teda pripada Touch ID so secure enclave ako najbezpecnejsie riesenie. Ziaden dalsi HW nepotrebujem, vsetko mam k dispozicii uz teraz.
bezmecnost systemu je silne zavisla od znalosti uzivatela
bezpecnost ktora sa MS taha uz nejaku dobu nieje tak uplne v samotnom jadre ako v sposobe pouzivania ( kazdy pracuje pod rootom/Administratorom)
Dovolim si tvrdit ze linux/OSX v rukach neznaleho ktory ma root pass je vacsie bezpecnostne riziko ako MS s Admin pass.
a v neposlednom rade vzdy si to predstav tak ze by to mali pouzivat tvoji rodicia
Apku ti hacknu v linuxe, droide, MS, iOS, OSX ak im to dovolis. Preto ako sme riesili inde by mohlo byt riesenim mat to vsetko pekne vo VM, ke by si mal vsetko predinstalovane a pripravene.
https://www.google.sk/search?q=TouchID%20hack
sorry ale na temu bezpecneho ulozenia klucov inde ako v SSCD sa uz nechcem vyjadrovat, pretoze na to aby si mohol podpisovat potrebujes kartu, ostatne riesenia su o tom ze ukradnes certifikat a okradnuta osoba o tom ani nevie, a ty veselo podpisujes.[quote=“Marty_MacFly, post:12, topic:1323”]
Skor som narazal na to, ze ako idiot musim cez zep.disig.sk uploadnut dokument, invokovat podpisovanie, autorizovat sa kodom, vybrat podpisovy certifikat, podpisat, opat verifikovat kodom a potom ulozit.
[/quote]
v tomto plne suhlas aplikacia je tarbava, a je jedno ci pouzivas Qsign, zep.disig.sk, … ale to nieje vec eID karty, preto je to v tomto pripade offtopic
zase sa najde kopec ludi co povedia od statu nejaku krabicku, tomu neverim, to nemoze byt bezpecne urcite v nej maju nejaky backdoor a mas to…
zo secure enclave tazko ukradnes certifikat + aby tie niekdo pouzil touch ID, potrebuje okrem tvojho otlacku aj tvoj telefon (otlacok narozdiel od inych rieseni nieje zalhovany na cloud, je pevne spojeny s konkretnym HW). ak by si mal login do eID poisteny este aj heslom, tak naozaj si neviem predstavit nich lepsie.
jasne backdoor, ked je to opensource aj openHW 
co ta pridrbana apka k tomu ZEP nie je
to sa nevylucuje, to ze to je openHW a aj opensource neznamena ze s krabickou ti niekto nemusel manipulovat, predsa len s kartou si to viem predstavit ako vacsi oriesok.
Ja som samozrejme za openXY, ale podla mna tadialto cesta nevedie, ako som uz pisal predstav si ze tvoji rodicia a stary rodicia maju pri sebe nosit este aj nejaku krabicku? Ked kopec z nich dnes nema ani ucet v banke. To musi byt hned jednoduche a hlavne blbuvzdorne riesenie.
to znamena teda ze touchID je len nahrada pinu(preto sa nikam nezalohuje) povecme. Ak spravne chapem to ulozisko je teda ale v cloude nie v zariadeni?
Kazdopadne toto riesenie ma velky problem, nanutis celemu slovensku iphone ? alebo zacneme vyrabat vlastne telefony s podobnou tech. ? (ale kto vie, na plastovych oknach si to mozeme vyskusat…)
Pani sorry ale toto je podla mna cesta daleko zarubana, a skor ako vymyslat koleso by sme sa mali sustredit na to, ako pracovat s tym co mame, a ako to mozeme vylepsit.
Inak povedane eID uz mame a nic na tom nezmenime, no mozeme pracovat s technologiou ktora tam je a ohnut ju tak aby robila to co potrebujeme v max. moznej miere.
Napr. aby sme nemali dalsiu “eID” vo forme ePP kedze posluzit nam vie bez problemu to co uz mame.