Wow.
Úprimne, som prekvapený.
Bohužiaľ v tom negatívnom zmysle.
Takže sa vychádza z tvrdenia, že to mal byť údajne zdokonalený podpis podľa eIDAS, potom to nie je elektronický podpis, ale autorizácia “klikom”, pričom táto využíva koncept elektronického podpisu? Zaujímavé.
Je asi potrebné sa vrátiť ku dôvodovej správe k novelizácii zákona č. 305/2013, ktorým sa zavádza inštitút autorizácie “klikom”:
"K bodom 36 až 38 (§ 23)
Zmeny v ustanoveniach o autorizácii sú dvojakého charakteru. Hlavnou zmenou je možnosť autorizovať podanie („podpisovať“) aj s použitím funkcionality prístupového miesta, bez nutnosti využiť elektronický podpis. Ide o spôsob, ktorý sa dnes používa napríklad na potvrdzovanie prijatia správ v elektronickej schránke a rozširuje sa aj v osobitných konaniach ako alternatíva k „bežnému podpisovaniu“. Vzhľadom na to, že identita osoby je v danom prípade preukázaná prostredníctvom autentifikátora (dnes najmä občianskeho preukazu) a nie je sporná, je predpoklad, že takýto spôsob autorizácie sprístupní využívanie elektronických služieb aj pre osoby, ktoré z rôznych dôvodov nedisponujú elektronickým podpisom. Navyše, touto zmenou sa dosiahne aj to, že postačí aj občiansky preukaz s elektronickým čipom a osoba bude môcť cez ústredný portál verejnej správy využívať elektronické služby v plnom rozsahu, bez potreby obstarávania ďalších technických, či programových prostriedkov. "
Priblížme si to: ak je to klik, malo by ísť o funkciu prístupového miesta - výhradne (pokiaľ viem tu sa vytvára podpis s kryptomateriálom na telefóne). V žiadnom prípade by sa nemal využívať elektronický podpis resp. jeho koncept pri tomto type autorizácie. Predpokladám, že ak je riešenie postavené na báze AC, potom je vysoko pravdepodobné, že napĺňa definíciu AdES podľa eIDAS - už bola spomenutá iným diskutujúcim vyššie (a na začiatku dodávateľ tvrdil, že ide o AdES). Pripomínam tiež, že elektronický podpis môže používať výlučne iba fyzická osoba (nemôže sa teda jednať o elektronický podpis prístupovým miestom resp. právnickou osobou - v tom prípade by to mohla byť jedine elektornická pečať - ideálne kvalifikovaná). Takže v tomto prípade zrejme používateľ vytvorí “elektronický podpis” (kamuflovaný ako “Klik”) a to navyše tak, že používa ten istý kľúč pre prihlasovanie a ten istý aj pre autorizáciu! Mohli sme si vo videu o aktivácii všimnúť, že sa nastavuje iba jeden znalostný faktor. Pritom odporúčaná prax (schválne, pozrite si videá o Smart-ID, zdieľané p. Sucháľom) mať separátne kryptografické materiály s nezávislým nastavením a overením znalostných faktorov pre autentifikáciu a autorizáciu.
Ako bonus: ak sa používa podpisovanie na účely autentifikácie, tak sa porušuje samotné nariadenie eIDAS, ktoré jasne odlišuje nové nariadenie od predošlej smernice o elektronickom podpise tým, že podpisovanie je možné použiť výlučne fyzickou osobou na autorizáciu (prejav súhlasu nad množinou údajov), nie na autentifikáciu.
Toto nie je možné považovať za dobrý príklad, práve naopak. Pravdepodobne nespĺňa ani požiadavky vyplývajúce zo zákona (a rácio stanovené v dôvodovej správe) a ani požiadavky eIDAS a definovaných konceptov. Preto by ma zaujímalo, aké boli akceptačné kritériá, ako bol preukázaný súlad s legislatívnym rámcom, vrátane eIDAS - vrátane bezpečnostných záruk.
Tým nadväzujem aj na príspevok p. Illeka ohľadom CSIRT, vyhodnocovania atď… Práve preto je kľúčové bezodkladne (už včera bolo neskoro) vytvoriť nejaký hodnotiaci rámec všetkých aspektov elektornických identifikačných schém platný pre všetkých bez výnimky a vyhodnocovanie by malo byť vykonávané kompetentnými odborníkmi v tejto špecifickej oblasti. Takéto faux pas by sa nemalo udiať a ani zopakovať.
Očakával by som väčšiu principiálnosť, konzistentnosť a dôslednosť pri hodnotení takýchto riešení z pohľadu S.D, ktoré zrejme budú mať ambíciu dohodnúť sa s Nases a umožniť využívanie aj na UPVS (alebo dokonca aj na iných prístupových miestach samotných OVM). Tu nejde o piškôrky, ale o práva a povinností F.O. A ešte si na poslednej obrazovke po aktivácii napíšu bez rozpakov: “Odteraz môžete pri elektronickej komunikácii používať svoj občiansky preukaz v mobile…” Možno by stálo za to zodvihnúť “červenú vlajočku”?
Nakoniec, S.D má medzi svojimi členmi aj spoločnosť (sekcia “stredná firma”, s prepojením na dodávateľa riešenia a nedá sa vylúčiť, že pre svoje účely využíva to isté jadro riešenia, ktoré je však používané v inom kontexte a tam to môže byť “v pohode”. Možno je to toto spred mnohých, mnohých rokov (https://www.encapsecurity.com/mtrust-chooses-encaps-software-based-authentication-solution/).
Som zvedavý, či sa bude vyžadovať okamžité pozastavenie používania až do momentu vykonania nápravy a uvedenie riešenia do súladu so všetkými povinnými/mandatórnymi požiadavkami definovanými v národnom a tiež nadradenom legislatívnom akte v podobe nariadenia.
Navyše, som napätý, s čím príde novovzniknutá štátna akciová spoločnosť v KE pre štátne IT, ktorá by mala ako medzi prvými úlohami riešiť aj Mobile ID. Priznám sa, mám obavy - ak “komerčný odborníci” dokázali vyprodukovať tento príklad napriek aspoň akej-takej a predsa nedostatočnej znalosti pomerov a požiadaviek…
