Platnosť certifikátu pre vydávanie e-podpisu na občianskych preukazoch a cudzineckých dokladoch končí 26. júna

Čo sa deje v e-Governmente
63

ALE JE TO NA DEBATU

Podme teda postupne:
Zákon c. 305/2013 o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente)

§23 ods. 1:

Osoba, ktorá nie je orgánom verejnej moci, vykoná autorizáciu elektronického podania,

a)

ak sa podľa zákona podáva v elektronickej podobe a zákon neustanovuje iný spôsob autorizácie alebo ak je podľa osobitného predpisu náležitosťou podania vlastnoručný podpis

kvalifikovaným elektronickým podpisom17) alebo kvalifikovanou elektronickou pečaťou,18)

použitím na to určenej funkcie informačného systému prístupového miesta a po úspešnej autentifikácii osoby ktorá autorizáciu vykonáva, zodpovedajúcej najmenej úrovni zabezpečenia „pokročilá“ podľa osobitného predpisu,20a) ak sa zabezpečí uvedenie tejto osoby ako odosielateľa elektronickej správy, nemennosť obsahu autorizovaného dokumentu do momentu uloženia v elektronickej schránke adresáta, spojenie autorizovaného dokumentu s identifikátorom osoby odosielateľa a zachovanie väzby medzi nimi, ak to osobitný predpis nezakazuje alebo

uznaným spôsobom autorizácie, ak to osobitný predpis nezakazuje,

IDEME DALEJ.

§23 ods. 2:

Uznaný spôsob autorizácie je taký spôsob autorizácie, ktorý zabezpečuje spoľahlivú identifikáciu osoby, ktorá autorizáciu vykonala, a spoľahlivé zachytenie obsahu právneho úkonu, ktorý autorizovala, ako aj zhodu medzi autorizovaným právnym úkonom a právnym úkonom, ktorý osoba autorizovala. Uznaný spôsob autorizácie môže byť odlišný pre autorizáciu elektronického podania, pri ktorom sa vyžaduje vlastnoručný podpis, a elektronického podania, pri ktorom musí byť vlastnoručný podpis úradne osvedčený.

A TERAZ PRICHADZA POINTA:

§ 59 Splnomocňovacie ustanovenia

(1)

Všeobecne záväzný právny predpis, ktorý sa v Zbierke zákonov Slovenskej republiky vyhlasuje uverejnením úplného znenia a ktorý vydá ministerstvo investícií, ustanoví

.

.

m) uznané spôsoby autorizácie podľa § 23 ods. 2.

TAKZE AK BY MIRRI VYDALO VYHLASKU, SME DOMA A NETREBA MENIT ZAKON :open_mouth: :grinning:

UZ len prilejeme odvar z EIDASu a sme doma:

Nariadenie č. 914/2014 eIDAS:

Článok 3(11)

zdokonalený elektronický podpis“ je elektronický podpis, ktorý spĺňa požiadavky stanovené v článku 26;

Článok 26

Požiadavky na zdokonalené elektronické podpisy

Zdokonalený elektronický podpis musí spĺňať tieto požiadavky:

a) je jedinečne spojený s podpisovateľom;

b) umožňuje určenie totožnosti podpisovateľa;

c) je vyhotovený pomocou údajov na vyhotovenie elektronického podpisu, ktoré môže podpisovateľ s vysokou mierou dôveryhodnosti používať pod svojou výlučnou kontrolou, a

d) je prepojený s údajmi, ktoré sa ním podpisujú, takým spôsobom, že každú dodatočnú zmenu údajov možno zistiť.

64

Tak podme znovu postupne:
EIDAS pozna tri urovne:

  1. elektronický podpis
  2. zdokonalený elektronický podpis
  3. kvalifikovaný elektronický podpis - KEP

Klik je realne len na urovni elektronickeho podpisu, co je v podstate aj sken mojho podpisu, ktory vlozim do dokumentu. Kedze to nie je ani KEP, ani zdokonaleny podpis, nemoze to byt nic ine.

V zmysle nariadenia eIDAS predstavuje elektronický podpis údaje v elektronickej forme, ktoré sú pripojené alebo logicky pridružené k iným údajom v elektronickej forme, a ktoré podpisovateľ používa na podpisovanie. Najjednoduchším príkladom využívania elektronického podpisu v praxi je uvádzanie mena a priezviska na konci emailovej komunikácie za účelom identifikácie autora emailovej správy

K obavam v kliku sa da tazko vyjadrovat zmysluplne, pretoze

  • to vlastne este nikto poriadne nevidel,

  • nejaky automatizovany system nieco nejako overi, ze kto ukon vykonal a spoji ho s obsahom. Len nikto nepovedal, ze ako. Ja kliknem, dokument som mozno ani nevidel, - lebo netreba, niekto dokument zoberie a opecati udaje o mojej osobe a mozno mi to posle do schranky. Super. A ak nemam schranku aktivovanu. Este doplnim. A kto zaruci, ze ak som to aj nahodou videl pred autorizaciou, ze to iste mi pride aj do schranky ako autorizovane a opecatene. Prevadzkovatel?

  • nikto poriadne nedefinoval co sa bude povazovat za spolahlivu identifikaciu osoby, ktora nespochybnitelne autorizaciu vykonala, ona sa pravdepodobne ani velmi nebude robit, staci ze je “jasny” odosielatel a prijimatel.

  • ako sa bude riesit sposob preukazovania, ze ju nemohol vykonat nikto iny a je teda tento ukon autorizacie nespochybnitelny. EiDAS to pre najnizsiu uroven “elektronicky podpis” ani nevyzaduje. Takze nech vznikne cokolvek, vlastne to bude dobre. V zmysle, ze je to LEN “elektronicky podpis”.
    Len treba mat jasno v tom, co to vlastne ten len " elektronicky podpis" v skutocnosti je. Je to na urovni mailu, mam odosielatela a prijimatela. Nieco som poslal a niekto prejavil volu. A mozno aj nie. Mozno len odklikol nejake tlacitko rovnako ako dnes odklikava cookies a GDPR na webe. Mozno na webe, mozno v mobile.

  • sa uvazuje o tom, ze kazdy spravca sluzby v ramci vlastnych elektronickych sluzieb moze implementovat autorizaciu kliknutim (mozno aj kazdy inak).

  • tu neexistuje ziaden relevantny standard ako na urovni PKI infrastruktury, o ktory by sa dalo opriet.

  • na konci mi mozno pride potvrdenie do schranky, ze sa nieco take udialo. A mozno sa ani o nej nedozviem, pretoze notifikacie funguju tak ako funguju a obcas aj nefunguju. Takze ak si zrovna so zeleznou pravidelnostou nekontrolujem schranku na slovensko.sk, mozno sa ani nedozviem. Pridame do hrnceka fikciu dorucenia a je navarene. Budem parafrazovat jednu pani ministerku. “Skoda bola napachana, mlieko je rozliate”.

Ideme riesit nieco, co sa pohybuje z hladiska prava a standardov vo cistom vakuu.

A teraz realna situacia, ktora velmi napadne pripomina podpis klikom, aj ked bol vykonany fyzicky. Moja realna skusenost. Da sa overit u mobilneho operatora.

Prisiel som k nim , ze novy pausal. Pokecali sme, vybral som si. Ujo ma nechal urobit podpis na signature pade - ze sa jedna o podpisovy vzor. Tak som ho urobil. Povedal, ze chce este raz. Tak som urobil znova.
A on na to: “Zmluvu mame podpisanu a pride vam mailom, to je vsetko”.
A ja na to, ze COOOO. To teda nemame. Za prve som ju nevidel. Pretoze nieco klikal u seba v PC a a ani mi ju neukazal ani len na monitore. Za druhe ma uviedol do omylu, pretoze nebolo jasne, ze teraz podpisujem zmluvu.

Tak sme pokracovali v diskusii, ze ci tento ich postup ideme riesit s pravnikom, kedy by sa mohlo jednat aj o pokus o podvod, zamerne uvedenie do omylu. Podpis zmluvy, kde podpisujete, ze som sa oboznamil s obsahom, ale operator a jeho pracovnik Vam nedal ani len sancu na nahliadnutie. Ano, maju moj podpisovy vzor. Ale ja dodnes tvrdim, ze zmluvu som s nimi nepodpisal.

A co myslite, ako ten operator funguje dalej. Presne rovnako. Mimochodom zmluva mi do mailu prisla az po mesiaci. Ak by som im zadal nespravnu mailovu adresu, alebo sa pomylil ja ci dany pracovnik, nepride mi nikdy. A som presvedceny o tom, ze aj pri pochybnej urovni prava a sudnictva na slovensku by som spor o tom, ci som danu zmluvu podpisal - ak by som tvrdil, ze nie - vyhral.

Zatial aspon tolko k potrebe psychologa.

65

Vobec nespochybnujem, ze su tam aj relevantne sluzby. Aj ked teda netusim, co je “potvrdenie prítomnosti pacienta”.
To co mi vadi, je ze SVM z pohladu podpisu vlastne nic neriesi. Vznikne aplikacia s klikom, kde budem vediet urobit nieco, ale stale bude na urcite ukony, kde bude potrebna vyssia uroven, potrebovat citacku, eID, SW, drivery a vsetko ostatne. Vysledok je, ze mam dalsie nepouzitelne riesenie za vela penazi.

Tym bluznenim o mnozstve sluzieb, ktore nastrkame do SVM som mal na mysli to, ze to neriesi zakladny problem. Ako spopularizovat elektronicke sluzby a penetrovat tym vacsie mnozstvo obcanov, ked uz tam islo tolko penazi. Hnacim motorom budu pre bezneho cloveka prave komercne subjekty ako su banky, poistovne, operatori. Nechcem chodit a stav v rade u operatora. Nechcem ist a cakat v banke. Preco je v Estonsku mozne komunikovat pomocou eID aj s bankou a vybavit si uver, ak chcem. Preto som v argumentacii s Luborom uvadzal aj komercne subjekty. Nechem nutne, aby to stat platil. Ale ak ma nieco vzniknut, co sa naozaj bude pouzivat, ma to byt nieco, co budu ludia sami chciet.

Estonci problem QSCD zariadeni vyriesili pomocou bezpecnych sim kariet a mobilu. No dnes je uz toto riesenie trosku za zenitom. Beznymi sa stavaju eSIM a bude to pokracovat, QSCD zariadenia maju obmedzene trvanie z pohladu certifikacie - cim sa vraciame aj k problemu eID u nas a k tomu, o com je tato diskusia. Aj preto som pisal o tom, ze ak chceme dosiahnut ciel, potrebujeme spopularizovat eSluzby beznemu obcanovi a to formou, ktorej bude rozumiet a obcanom je aj uradnik. To je to, kde som narazal na to ako vyzera sluzba informativneho overenia podpisu na slovensko.sk a argumentoval, ze aj pre uradnika sa da urobit nieco, co mu nevybije poistky v hlave, ked to uvidi a ze sa nemusi stat ani raketovym vedcom ani jadrovym fyzikom, aby zvladal svoju pracu, ked mu pride podanie elektronicky.

66

Tuto debatu sme tu uz mali tisic krat a teda po tisici prvy krat.

Ako presne sa toto dnes deje pri KEP, ktory ma ucinky uradne osvedceneho podpisu, ktorym mozem nezvratne prepisat svoj majetok na niekoho ineho?

Stiahnem si nejaku appku z webu slovensko.sk, ktorej bezvyhradne verim (!!!), ze nerobi nic podivne. Preco teda neverim, ze na tom istom webe slovensko.sk mi nikto nepodvrhne nejaky dokument, ktory akoze klikom autorizujem a pritom to ma ucinky vlastnorucneho podpisu a funguje to len voci podaniam toho isteho uradu? Ak toto genialne skomplikujeme v el. svete kadejakymi podpismi, tak utocnik jednoducho vytlaci papier s mojimi kredencialmi, da tam nejaku “skrabanicu” perom a hodi do do podatelne na urade. Na co sa tu hrame?

67

V pohode. Nemusime rozvijat debatu po 1001 krat. Argument beriem. Ale pri podpise klikom nikto negarantuje, ze len slovensko.sk moze byt prevadzkovatel. Alebo sa mylim? Preto som sa pytal vseobecne na prevadzkovatela.

2 Likes
68

Ale teda skusme na to ist naopak. Kde v komercii sa masovo, naozaj masovo pouziva nejaka forma podpisovania cez Advanced signature/KEP a nie je len vynutena statnou regulaciou?

1 Like
69

Myslim, ze zrovna pandemia ukazala, ze by sa priestor nasiel. Len nas zastihla nie celkom na tuto temu pripravenych a firmy samotne zatial sami netusili, co by mohli a co vsetko by sa dalo. A o to predsa ide. Ak chceme aby sme zacali komunikovat elektronicky, v com ja osobne vidim vela prinosov a aj preto tu o tom diskutujeme, tak ciel nema byt vynutenie statnou regulaciou. Preco ludia dalej chodia na urad. Lebo dostavaju polena pod nohy v podobe niecoho, co je pre nich zlozite. Nevidia v tom prinos. Chodia tam aj preto, ze vyplnit formular je nadludske usilie a teta na urade im s tym pomoze. Ale motivacia komercneho sektora je zasadne ina ako statu. Oni chcu usetrit sebe a aj ludom. Prejavuje sa to napr. v bankach, kedy navsteva pobocky a riesenie mimo internetbanking zacina byt vlastne pokutovana poplatkami. Banky maju enormnu snahu znizit pocet zamestnancov na pobocke a tomu prisposobuju vsetko, vratane toho, ze vyplnit formular tam znamena, ze ho niekto robil pre ludi. V statnej sprave je to o tom, ze ho robil uradnik, ktory tomu rozumie a nepozera sa na to, ci to budu ludia zvladat. Dalsi priklad. Dnes sa bezne hovori o tom, ze napr. pracovne zmluvy z HR by sa dali riesit na dialku. Tam mi asi klik stacit nebude, ale nemusi to nutne mozno byt KEP. Komunikacia s DSS. Zmena zdravotnej poistovne je nieco, co si viem predstavit. Urcite by sa naslo aj viac. Cesi realne funguju na zdokonalenom podpise. Skoro so vsetkym. Tak preco to u nas nejde?

70

Skusim este raz. PKI, karticky, mobily a Advanced signature nie su nejaka novinka pocas pandemie ale mame ich tu snad uz cez dekadu. Takze kde su tie masove priklady pouzitia toho kde to v komercii funguje?

71

Aj ked to nieje uplne k teme, neda mi to:

  • TLS a web PKI
  • Cryptocurrencies a podpisy okolo toho
  • U2F a FIDO veci (ten druhy faktor nieco podpisuje ale robi aj ine krypto operacie)
  • Credit/Debit karty a ich mobilne varianty ako Google Pay atd.
  • ePassport (ok nie uplne komercia)

Digitalne podpisy samotne imo niesu problem, ich aplikovanie v spravnych pripadoch a hlavne zaistenie ich usability je problem.

72

Ved ano presne tam smerujem, lenze videl si niekde v komercii, ze by sa riesila nejaka vizualizacia a garantovanie toho, ze to co podpisujes je to co naozaj to co sa podpise? Okrem nejakych hw kryptopenazeniek? Lebo samozrejme PKI nespochybnujem, ale drviva vacsina webu a komercie konci pri autentifikacii a potom nejakej forme “kliku”.

73

Skusme vratit debatu tam, kde bola na zaciatku.

Zdokonaleny podpis ako som ukazal sa mohol pouzivat aj na SK uz davno a evidentne nie je potrebne menit zakon. Staci vydat vyhlasku. Riesilo by to aspon cast problemu, ktory tu mame teraz s eID. Ano. Potreboval by som nutne QSCD zariadenie. Mozno na par ukonov par krat za zivot. Inak nie. Potreboval by som nutne citacku, mnozstvo SW a neviem coho este. Nie. Stacil by mi aj mobil, tvrdim ze ano.

Ak sa ma pytate, kde v komercnej sfere by sa naslo uplatnenie, tak sa treba pozriet napr. do Estonska, alebo do Svedska. Priklad Svedska je, ze bankova asociacia (resp. konzorcium bank) zaviedla digitalnu identitu, ktora sa nasledne zacala vyuzivat aj na statnych uradoch. Nie je to nahodou komercna sfera.

Priklad Estonska je podobny, pripravili digitalnu identitu, ale hlavne otvorili toto riesenie aj tretim stranam. Komercnemu sektoru, bankam. Umoznili bud cipovu kartu obdobnu nasmu eID ale aj sim kartu do mobilu. Priblizili sa k ludom. Ale zachovali zmysluplnu mieru bezpecnosti a pravnej istoty. Pretoze netreba riesit citacky, ovladace a ine srandicky. Vyriesili to eSimkou. Su dnes dalej ako my co i len snivame po dekade a milionoch. Su.

Problem je, ze putujeme z extremu do extremu. Z extremu KEP a slovenskych vymyslov nad ramec ucelnosti do opacneho extremu. SVM a Kliku. Ktory pre zmenu podpis riesit nebude. A stale zabudame, ze existuje aj nieco medzi, nieco co v dostatocnej miere riesi bezpecnost, pravnu vymozitelnost a pohodlie pre koncoveho uzivatela.
Overene standardami, ktore ani za dekadu nikto zasadne nespochybnil.

Tak snivajme dalej o tom, ako za 10 rokov SVM a Klik penetruje 90% populacie a “vyrazne” zlepsime prostredie elektronizacie. Nalejme tam dalsie miliony a dufajme ze presun z extremu KEP do extremu “elektronicky podpis” ala Klik - nech je to cokolvek, nas spasi.

A teraz nieco z mojho realneho zivota: Moja osobna potreba komunikovat so statom alebo komercnym subjektom za tento rok:
Pocet - 3x

  • Jeden krat - Poistovna(komercna sfera) - zdokonaleny podpis - potreboval som textovy editor “malej-softwarovej” nemenovanej firmy, PC a podpisal mobilom oskenovanim QR kodu.K privatnemu klucu som pristupoval zodpovedne, pomocou dostatocne silneho a bezpecneho hesla.
  • Jeden krat - DSS - KEP - Textovy editor rovnakej nemenovanej firmy, potreboval som citacku, eID, bezny suboj s kartou - vytiahni, vloz znovu - nech sa spropaguju certy. BOK 2x. Asi som nemal stastie. PIN.
  • DU - odlozenie danoveho priznania - hadajte co. Zrazu stacil aj mail. Lebo pandemia. Nie ze by predtym tiez nestacil. Len zrazu niekto prisiel na to, ze by nemusel nasrat vsetkych volicov a daniarov pocas lockdownu.

Skore 2:1 v prospech komercnej sfery.

Ake je vase skore?

Na co by mi ten Klik vlastne bol? DSSke ani poistovni by zrejme nestacil, potrebovali v mojich ziadostiach hodnoverne overit moju identitu. A statu evidentne zrazu stacil aj mail. Ok. Klik je taky lepsi mail.

PS. Na zaver uz len k novinkam vo svete technologii. Nepouziva tak nahodou FIDO2 prave PKI? Nie je k tomu aj nejaky standard? Nie je to cesta ako sa zbavit mena a hesla, alebo pinu, aby to nebolo o jednoduchom odpozerani mojou malou dcerou, alebo odchyteni. Nemohol by privatny kluc byt bezpecne ulozeny napr. v secure enclavach v mobiloch - aj ked nie su QSCD.

Aky standard definuje Klik. Ziaden. Aj tu sa bavime, ze “vsetci” riesia “nejaku formu” kliku. No lebo nemaju nic zmysluplne k dispozicii a zakaznika v komercnej sfere urcite nechcu trapit KEPom. Pri sucasnej penetracii u obyvatelstva by to bola asi aj dost marna snaha. Namiesto toho, ako priblizit elektronizaciu ludom tu riesime nove a nove SK standardy a verime, ze “ono to raz pride”.

A po dekade tu mame toto a divime sa, ze tomu uradnik nerozumie.

image
image1294×696 48.4 KB

1 Like
74

Priznám sa, že ma toto začína už riadne nebavit. Samozrejme, že na mobilnú identitu potrebujeme hlavne autentifikáciu, kde napríklad ja osobne tlačím na to, aby sa trebárs používalo webauth. Čo je svetový štandard adoptovany Google, Microsoft, Apple, fido2… Robí sa tam nejaká autorizácia? Nie, je to celé autentifikácia. A potom sa niekde klikne.

Čiže skusme túto debatu rozdeliť na tri časti:

  • ako sa udeje enrollment (osobná návšteva, biometria alebo federácia cez nejaké bankid?)
  • kde sa uloží kľúč v mobilnom zariadení?
  • ako sa deje autorizácia úkonu? Čím sa to vizualizuje? Ako to je chránené? Na toto žiadny štandard, ktorý by bol masový neexistuje ani v komerčnom svete.

Čiže výsledkom použitia advanced signature v mobile, by síce bolo, že to nejako zapadne do nášho ekosystému, ale netvarme sa, že to je nejaká super výhra oproti prihláseniu a kliku. Opäť zdôrazňujem, že naša pozícia pri kliku je to, že to má byť čo najjednoduchšie a dokonca, že sa ani žiadny komplikovaný štandard na to robiť nemá.

Chápem, že disig má riešenie na mobil pre advanced signature, takže by bolo vhodné priznať aj trošku konflikt záujmov.

75

Mohli by sme sa bavit o konfilkte v pripade, ze by to bolo komercne riesenie. Toto je ale poskytovane zadarmo. Mohli by sme sa o tom bavit v pripade, ze by to bolo zle riesenie a len by sa ho niekto snazil pretlacit za kazdu cenu. Ja ale obhajujem zdokonaleny podpis a nie pre to, ze niekto ma mobilne riesenie. Ja obhajujem zdokonaleny podpis v diskusii k eID a v suvislosti k problemom, ktore s nim aktualne su. Treba vnimat kontext, v ktorom sa bavime. Ja ho obhajujem preto, ze si myslim, ze by to naozaj riesilo minimalne cast problemov, ktore tu dnes mame. A ano, dalo by sa podpisovat aj v mobile. Tak preco tomu branime.

Ja by som sa tiez teraz mohol pytat, koho zaujem je/bol presadit Klik a preco. Rovnako by som sa mohol pytat, preco je donekonecna bezhlavo obhajovany z kazdej strany vratane clenov slovensko.digital. Najprv sa tu tvrdi, ze treba zakon, potom ma niekto posiela k psychlogovi, potom sa staca argumentacia uplne mimo temu. A ked uz dojdu vecne argumenty, posunieme to do roviny konfliktu zaujmov - lebo nejaka mobilna aplikacia zadarmo. Keby som chcel lobovat, ako to tu robi par trolov, tak si tu nedam fotku a nick, ktory je jasne poznatelny.

Uprimne, ani mna uz tato diskusia nebavi. Skor som smutny z toho, kam sa toto cele ubera v elektronizacii ale aj tu.

A ked uz sme pri tom spomenutom mobilnom rieseni, zajtra ho moze mat 10 dalsich konkurencnych firiem, ak bude chciet.To je svet podnikania, to je podnikatelske prostredie. Ak tam niekto vidi prilezitost a vie to robit lepsie, tak ju vyuzije. Lenze tu ju ziadna firma okrem vizii ziadnu prilezitost ani nevidi. Ale nie preto, ze by tam nebola, ale preto, ze stat nevytvoril pre to podmienky, aj ked uz davno mohol napr. tak ako su nastavene v CR. Nie, nevyriesi to problem celeho sveta, ani vsetky, ktore mame v elektronizacii ci uz verejnej spravy, alebo sukromneho sektora. Rovnako, ako to nevyriesi klik a SVM.

Prajem pekny den.

76

A este predsa len jeden dovetok.
Preco by stat nemohol na eID vydavat certifikat pre zdokonaleny el.podpis bez RC, ktore prave mnozstvu ludi prekaza a preco ho MiRRI nechce posvatit ako doveryhodny sposob autorizacie. Pomohlo by to elektronizacii na slovensku, alebo nie? Bez ohladu na to, kto ma ake riesenie.

77

Takže ešte raz, vecný argument, na ktorý tu nie je odpoveď.

V komercii funguje autorizácia väčšinou takto:

  • človek sa prihlási (autentifikácia)
  • človek si vyberie akciu ktorú chce spraviť
  • človek klikne a tým akciu autorizuje.
  • ak je to senzitivna operácia tak sa zvykne vyžiadať autentifikácia znova alebo nejaký druhý faktor (napr sms)

Kde presne tu je advanced signature na autorizáciu?

Prečo si to chceme komplikovať? Nemali by sme sa skôr blížiť komerčným riešeniam ako sa od nich vzďaľovať?

78
  • A preco sme utiekli od eID a jeho problemom, co je predmetom tejto diskusie, znovu ku kliku.
  • Preco sa tvarime, ze len nieco potvrdime, ale realita je, ze nieco vyplnam, zadavam a az nasledne autorizujem.
  • Preco mi na nieco, co len potvrdzujem, nestaci napr. aj mail.
  • Preco povazujeme “nejaky” druhy faktor napr. sms za bezpecne riesenie a pri akych ukonoch sa o tom bavime?
    Diabol sa skryva v detailoch.
79

V kľude tie detaily rozoberme. Len by som čakal, že nebudete odskakovat od témy. To sa potom ťažko diskutuje.

80

Pre zaujimavost. Do CZ schranky sa da dostat cez FIDO2/mojeid. A maju tam autorizaciu kliknutim.

81

Toto by sa hodilo na podpisovanie faktúr, alebo zmlúv. Namiesto RČ by mohol byť jeden certifikát vydaný na IČO.
Niečo podobné som videl na podpísanom PDF z Česka, vydavateľom certifikátu bola pošta.

82

Tak sa k tej teme vratme. ALE TEMA JE V NADPISE:
“Platnosť certifikátu pre vydávanie e-podpisu na občianskych preukazoch”, ku ktorej sa to snazim opakovane vratit. A problem je expirovana certifikacia eID karty ako QSCD zariadenia.

Moje prispevky zacinali tym, co by stat mohol urobit a mal urobit uz davno, keby chcel. Podpisovanie v mobile som spomenul len preto, ze potom napr. aj toto by bolo mozne robit a vyrazne jednoduchsie, prave pre problem s QSCD vseobecne a jeho certifikaciou a platnostou danej certifikacie. Problem so SVM obzvlast a klikom vidim uplne inde. V tom, ze riesi jednu vec a druhu nechava uplne ladom. Podpisovanie samotne. Bankam ani poistovniam a dalsim take riesenie stacit nebude. Preto to dnes riesia mozno este horsie a pokutne. Verim v to, ze stat a komercny sektor mozu zmysluplne spolupracovat. Verim v to, ze niektore veci moze roztlacit stat, ine zas komercny sektor. Ak verime/ verite ze vsetko nam vyriesi klik, tak ja si to nemyslim.

Tak sa skusme vratit k teme, ze by tu mohol existovat aj zdokonaleny podpis, ktory by riesil problem expirovanej certifikacie QSCD, lebo vela nam k tomu netreba.

Nemam nic proti FIDO2, prave naopak. mojeID poznam. Asi by bolo zle, keby som o nom nevedel. :open_mouth: