Ty vzdy vytiahnes take info, ze padam na zadok 
… vies ma nasmerovat kde je to povedane ? rad by som si to precital.
Mne tiež padla sánka, ale karty ktoré rozdávajú OVM zamestnancom sa v prípade ukončenia služobného pomeru majú vrátiť a zamestnanec má uviesť aj svoje kódy, aby bolo možné “vymazať” jeho certifikát a opätovne použiť QSCD, poskytnúť ho inému zamestnancovi.
Toto je realita s kvalifikovanými mandátymi certifikátmi.
No a na otázku, ako je doriešená zaručená konverzia je odpoveďou, že konverziu aj tak netreba, lebo máš originál v elektronickej podobe. Načo by si ho potreboval konvertovať do papierovej podoby.
Minister opustí úrad, bude vracať QSCD aj s kvalifikovaným podpisom a kódmi ku karte. 
Treba si uvedomiť, kto vsetko chodí na platformu a číta diskusie.
Môžme sa baviť o konkrétnom OVM, ktorý ma taketo postupy? Lebo toto by nemal byt štandardný postup, ak niekde reálne takýto postup je, tak z môjho pohladu je to veľká chyba v metodike.
QSCD s mandatnyn certifikátom dostane držiteľ s default hodnotami PIN a PUK. Malo by byt jeho povinnosťou si tieto hodnoty zmeniť na vlastne tak, aby zamedzil zneužitiu.
Ked zanikne mandát, sám držiteľ môže, ja si dovolím tvrdiť ze musí, požiadať vydavateľa mandátneho certifikátu o jeho zrušenie. Taktiež si myslím, za všetky komerčne QSCD sa dodávajú s programovým vybavením , ktoré umožňuje jednoduchý manažment karty, pomocou ktorého si môže držiteľ QSCD z neho vymazať kľúče s mandatnym certifikátom. Ked bude zrušený certifikát, vymazaný obsah, nastaví na QSCD default hodnoty a s čistým svedomím môže QSCD vrátiť poverenemu zástupcovi OVM.
2 Likes
Každé podmienky používania kvalifikovaných certifikátov, ktoré som doteraz videl, obsahovali povinnosť držiteľa certifikátu:
- chrániť prístupové kódy pred stratou, odcudzením, prezradením inej osobe
- pri podozrení na kompromitáciu privátneho kľúča povinnosť zneplatniť certifikát
Ak teda niekto “odovzdá” kartu aj kľúče a vopred nerevokoval certifikát, tieto pravidlá [pravdepodobne] porušuje.
1 Like
Zákon č. 272/2016 Z. z., § 8 hovori:
(4) O zrušenie mandátneho certifikátu bezodkladne požiada
a) orgán verejnej moci alebo osoba, u ktorej mandatár vykonával činnosť alebo funkciu podľa odseku 1 po tom, ako mandatárovi zanikne alebo skončí výkon činnosti alebo funkcie podľa odseku 1,
b) mandant po tom, ako oprávnenie mandatára konať za alebo v mene mandanta zaniklo,
c) mandatár po tom, ako sa dozvie, že mandant zomrel, bol vyhlásený za mŕtveho alebo zanikol,
d) mandatár po tom, ako zaniklo jeho oprávnenie konať za alebo v mene mandanta alebo po tom, ako mu zanikol alebo skončil výkon činnosti alebo funkcie podľa odseku 1.
Neviem, ako presne dane OVM postupuje. Pokial zrusi certifikat a nasledne “zrecykluje” podpisovacie zariadenie (“zmaze certifikat” - predpokladam, ze sa reinicializuje karta, resp. zmaze sa privatny kluc, ktory je aj tak na nic a verejny certifikat) a novy pouzivatel dostane novy PIN a PUK, je to asi OK. Ked daju napr. 50-60 EUR za USB token s kartou, je zmysluplne to nevyhadzovat.
Súkromný kľúč by sa nemal vymazávať, mal by ostať subjektu, ktorý ním podpisoval. Certifikát by sa mal iba revokovať tesne pred skončením platnosti.
QSCD zariadenie by malo ostať subjektu, ktorý ho používal na podpisovanie (domnienka nepopieratelnosti - mám zariadenie QSCD pri sebe a poznám PIN a PUK)
- Ako moze sukromny kluc k mandatnemu certifikatu “zostat subjektu, ktory nim podpisoval”, ked musi byt generovany na QSCD a nemoze ho opustit?
- Ako sa moze mandatny certifikat zrusit “iba tesne pred skoncenim platnosti”, ak povodna fyzicka osoba uz nema mandat konat a §8 Zákona č. 272/2016 Z. z. jasne hovori, kedy sa ma zrusit?
- Ak je revokovany certifikat, o akej domnienke nepopieratelnosti hovorime?
- Ak si odmyslime predosle body, aky by malo zmysel rusit ho tesne pred exspiraciou a preco by sa nemal nechat exspirovat? Co by sa tym dosiahlo?
- Na zaklade coho by malo QSCD zostat osobe, ktora uz nema mandat zastupovat organizaciu, ak je vlastnikom QSCD dana organizacia?
QSCD zariadenie by malo byť vo vlastníctve podpisovateľa.
Kvalifikovaný certifikát je vždy “majetkom” fyzickej osoby, úplnú dispozíciu so súkromným kľúčom má mať len fyzická osoba, na ktorú znie kvalifikovaný certifikát. Kvalifikovane certifikáty by sa nemali mazať ale mali by sa iba revokovať pred resp. súčasne so skončením platnosti (certifikát by sa mal súčasne so skončením platnosti ocitnúť na CRL zozname).
S kvalifikovanou pečaťou je to iné v tom smere, plní dispozíciu s QSCD zariadením má PO a rovnako aj s certifikátom, to znamená, že napr. personálne oddelenie môže po skončení služobného pomeru revokovať, mazať a to podľa interných smerníc organizácie.
QSCD by malo byť v rukách tej istej osoby na ktorú znie certifikát vzhľadom na domnienky nepopieratelnosti.
OVM nemá možnosť revokovať certifikát, lebo heslo na revokáciu nepozná a nemá PIN ani PUK. kvalifikovaný certifikát zostane navždy FO, lebo je naviazaný len a len na tuto osobu. Povinnosť vydať by mal zamestnanec iba elektronickú pečať a QSCD zariadením pri skončení PP, tieto mu totiž nepatria.
QSCD s mandatnym certifikatom nemoze byt vo “vlastnictve” podpisovatela, ked je to majetok daneho OVM. Moze byt akurat pod vylucnou kontrolou danej FO. V momente, ked certifikat revokujem, straca vylucna kontrola zmysel. Potom je uplne jedno, kto to QSCD ma.
Samozrejme, to, ze OVM moze ten certifikat revokovat sa vobec nevztahuje len na systemovy kvalifikovany certifikat pre pecat. Hore je citat zo zakona. Nie len, ze moze, ale musi. Naviac, ak mam napr. zamestnanca, ktory spacha defraudaciu, nemozem byt zavisly na jeho dobrej voli revokovat certifikat, ktorym som mu udelil nejake opravnenie.
Ako vykoná revokaciu mandátneho certifikátu OVM keď nepozná revokačné heslo a a nemá k dispozícii PIN a PUK? Naviac OVM nie je “vlastníkom” certifikátu. OVM je maximálne vlastníkom elektronickej pečate, nie kvalifikovaného podpisu FO.
Naviac zamestnanec požiada zamestnavatela, aby mu jeho kvalifikovaný certifikát odovzdal, PO zrejme na nemožnosť exportovania súkromného kľúča nebude mat inú možnosť ako odovzdať certifikát aj s QSCD.
Samotný úkon zrušenia certifikátu nevykoná ani držiteľ certifikátu a teda osoba, na koho je certifikát vydaný, ani OVM. Zrušiť certifikát môže len vydavateľ certifikátu. Čo môže držiteľ certifikátu alebo OVM urobiť, je požiadať vydavateľa o zrušenie certifikátu. Kvalifikovaný podpis ani kvalifikovaná pečať sa nerušia, ani nie sú na QSCD zariadení uložené.
Samotný úkon zrušenia mandátneho certifikátu musí byť v zmysle nejakých procesov, ani vydavateľ certifikátu si nemôže len tak zrušiť certifikát. Uvediem dva prípady, kedy sa musí zrušiť - a to je zánik mandátu, toto si viem predstaviť, že dokladá OVM, pokiaľ by žiadal o zrušenie mandátneho certifikátu, alebo potom ďalším dôvodom zrušenia môže byť, keď sa zmení akýkoľvek údaj uvedený v mandátnom certifikáte. Vtedy je povinný požiadať o zrušenie mandátneho certifikátu sám jeho držiteľ.
Vydavateľa certifikátu nezaujíma PIN a PUK k zariadeniu, ale procesne musí vydavateľ certifikátu splniť resp. dodržať isté podmienky, ktoré má uvedené v podmienkach poskytovania služieb. Čiže to nefunguje tak, že ktokoľvek zavolá, napíše ACA, že zrušte tento mandátny certifikát, a on ho zruší.
Asi nebudem od pravdy ďaleko, keď napíšem, že každý OMV, ktorý kupuje QSCD zariadenia pre svojich zamestnancov a platí im aj mandátne certifikáty, má vo svojich interných procesoch zadefinované, akým spôsobom a za akých spôsobov odovzdá zamestnanec QSCD zamestnávateľovi. Z môjho pohľadu je výlučne na držiteľovi mandátneho certifikátu, aby si tento certifikát spolu s kľúčmi z QSCD sám vymazal.
Zoberme si ministersku spravodlivosti, skončí jej funkcia, osobný úrad dňom skončenia funkcie požiada ACA o revokaciu jej certifikátu. Tento bude revokovaný (neviem síce ako, ale budiť) . Ministerska spravodlivosti však bude trvať na tom, že súkromný kľúč je jej vlastníctvom. Žiada teda aby jej bol súkromný kľúč odovzdaný. Ako bude postupovať osobný úrad? Na karte za 4 roky má už 4 súkromné kľúče. Všetky si chce ponechať.
- Ako bolo uvedene, certifikat revokuje CA, ktora ho vydala a to ze nepotrebuje PIN ani PUK vychadza z toho, ze ho revokuje publikovanim prislusneho CRL alebo OCSP, naco pristup k zariadeniu nepotrebuje.
- Sukromny kluc je vygenerovany na QSCD a cele QSCD je o tom, aby sa odtial sukromny kluc nedal dostat. Ak si ministerka nechava vydavat sukromne certifikaty na QSCD, ktory je majetkom ministerstva, tak
a) si moze zariadenie odkupit za nejaku zostatkovu hodnotu a vyradi sa z majetku ministerstva
b) ma proste smolu
Ked si da nasrobovat na svoje sluzobne auto nejaky tuning, ma kvoli tomu to auto automaticky dostat?
Lenže súkromný kľúč jej mandatneho kvalifikovaného certifikátu je jej vlastníctvom lebo zo zákona je s ňou jedinečné spojený navždy a naveky . Problém je teda v tom, že svoj súkromný kľúč mandatneho certifikátu má uložený na karte, ktorá je naopak vo vlastníctve ministerstva. A tento kľúč nevie kartu opustiť. Ktorú múdri hlavu napadlo tlačiť certifikáty do QSCD zariadení s vlastníctvom odlišným od vlastníka certifikátu.
Inak to iste platí aj o certifikátoch na eID - QSCD.
cize problem sa vola ako znicit kartu a potom ju odovzdat:) alebo ako ju odivzdat a trvat na jej zniceni. karta je petsonalizovana a aj tak sa neda inak pouzit. ak niekto pouziva usb token, tak ten sa da sformatovat a znovu pouzit.
To, ze je nieco s tebou jedinecne spojene neznamena, ze je to tvoj majetok.
Kto tvrdí, ze sa nedá použiť. Buď sa z karty manuálne vsetko vymaže, alebo sa reinicializuje a nastavia sa pritom nový PIN a PUK.
ak je tam fotka a vytlacene meno, tak tazko
Nepredpokladam, ze sa nejaka organizacia snazi znovupouzit personalizovane smart karty s potlacou…
Kvalifikovaný certifikát je jedinečné spojený s osobou, ktorej je vydaný. Takže súkromný kľúč musí zostať vo faktickej moci tejto osoby.
Asi ťa sklamem ale ministerstvo nie je vlastníkom súkromného kľúča ministerky spravodlivosti.
Rovnako úrad vlády nie je vlastníkom súkromného kľúča premiéra, úrad vicepremiéra nie je vlastníkom súkromného kľúča podpredsedu vlády. Najvyšší sud nie je vlastníkom súkromného kľúča predsedu súdu.