Zmeny v autorizácii elektronickej úradnej komunikácie

Čo sa deje v e-Governmente
41

Ono je to o nastaveni pravidiel.
napr. v usa ked firma zacne krachovat a niekto znici poznamkovy blok riaditela (bezne lezi na stole) ide do vazenia, cize kazdy system ma svoje a treba ho chapat v celom kontexte.
U nas mozes zrusit cele uctovnictvo aj dokumentaciu o verejnej zakazke alebo aj celu registraturu a maximalne dostanes nejaku pokutu…

Ok mas pravdu. Ja vidim trochu problem v tom ze vtedajsi politici a ludia co mali zodpovednost za elektronizaciu z nejakeho dovodu vytvorili atmosferu, ze ked sa zavedie elektronizacia, ze vsetko bude pericko. Zrejme sami podlahli tejto euforii.
Potom prisiel sok. Napr. So schrankou mal problem stolar aj informatik Naraz ludia zistili ze vsetko je inak. Uradnici zistili ze to co bezne v manualnych procesoch robili za hodinu teraz robia v radoch dni.
Obcan sa tesil ze nemusi ist na urad a ani vo sne ho nenapadlo ze tam stejne bude musiet ist a naviac aj poriadne nastvany. Lebo jemu sa nepodarilo rozbehat ZEP/KEP, alebo ze uradu podpis funguje iba v IE a on pouziva nieco ine.
Nehovoriac ze zrejme nikoho nikdy nenapadlo napr. to ze uradnik vytvara rozhodnutia hromadne. Tj. ked potrebuje vydat 1000 rozhodnuti nemoze na jednom 8x kliknut aby sa dostal k jeho spracovaniu. A medzi kazdym klikom cakat niekedy aj desiatky sekund, ved zabudne co chcel povodne robit. O nejakom hromadnejsom nahravani predpripravenych sprav sa nam ani nesniva. Toto je ten problem ta atmosfera znechutenia ktoru to ako to “fungovalo” vyvolala. Clovek sa je schopny naucit aj zlozitejsiu vec ktora ked sa opakuje vsade tak je to v poriadku, ale tu co mi na jednom webe staci, na inom webe musim robit inak lebo oni to za tie roky nedokazali preklopit.

Takze nielen KEP je tazko uchopitelny cely ten gumovy moloch je tazko uchopitelny a to jak pre obcana, PO, organizacie tak aj pre OVM- miesto jednoducheho a efektivneho pouzitia ci na strane uradu alebo obcana tu mame nieco kde aj informatik potrebuje casto asistenciu klientskeho centra.

A chudak KEP sa v tom celom ako jeden zo zlozitejsich problemov iba zviezol.

Preto aj tuto diskusiu vnimam ako jeden z dobre myslenych pokusov veci zjednodusit. Len niekedy neni dobre ist od jedneho mantinela k druhemu.

42

Pouzitelne by to bolo, len bolo to treba mat od zaciatku na zreteli.
Ved iniciativy MOREQ a eIDAS to cele vyriesili na pozadovanej urovni. Bolo to len treba vhodnym sposobom implementovat. tj. zamerat sa na to co potrebujem uchovavat z hladiska registratury a za akym ucelom. Lebo Lehota ulozenia sluzi k uchovaniu po dobu dokial to organizacia potrebuje pre svoju cinnost. Tu bolo treba iba zanalyzovat pre aku cinnost - ak pre pravne ucely napr. pre riesenie sporov v buducnosti- potom musim urobit tie zlozite ukony lebo nic ine mi nezostava ak nechcem v sudnom spore tahat za kratsi koniec. Ak je tou ciinnostou organizacie myslene iba uchovat pre potreby vyradovacieho konania, tak plne postaci to overenie pri vstupe dokumentu do registratury.

Inak ak NBU archivuje trvale teda na vzdy udaje o vydanych certifikatov vratane doby ich platnosti (teda aj kvalif. certifikatov tsp - neviem ci je to tak, z paragrafu v zakone to neviem odvodit co presne sa archivuje), mohlo by to na koniec sluzit k tomu aby sa podstatne mohli zjednodusit naroky na overovanie a predpopisovanie.
Cize su na svete zaznamy podla ktorych sa da o dokumente aj dnes aj v buducnosti prehlasit ze je platny. Co by sa stalo ak by sme ich vyuzili aj na overenie podpisov? nebolo by to sice podla postupov ktore sa teraz pouzivaju ale je to technicky mozne. A hlavne by to zabranilo tomu nabobtnavaniu LTA dokumentov a pre pravne ucely by sa uchovavalo v prislusnej sluzbe. A sustredit sa iba na ochranu pred starnutim alebo prelomenim algoritmov.

K tomu co pises tomu treba pricitat to ze elektronicky dokument je tisickrat zranitelnejsi a jednoduchsi na sfalsovanie ako klasicky papierovy…
Ale s tym nic nenarobime svet ide do predu a my sa musime prisposobovat a hladat cesty aby to co potrebujem na pravne ucely preukazat v buducnosti som mal s istotou pouzitelne.V tomto smere musi kazdy mysliet na seba nikto to za neho neurobi. Nie iba nadej ze niekomu to bude stacit, lebo inemu to stacit nemusi a ja potrebujem preukazat svoj zaujem - vymoct si ze to plati ak niekto tvrdi opak. Moj protivnik v spore bude tvrdit skoro vzdy opak.

43

Vyborne - vida aj oni sa musia nieco od nas ucit :grinning:
eIDAS nedovoluje odmientut vybavenie dokumentu len preto ze je elektronicky podpisany.
Mozno tam bol nejaky neskuseny uradnik. Prave toto je asi jednym z dovodov preco to do eIDAS dali takto. Aby ta nemohli odpalkovat zvlast koli koncovke ktora je pre celu eu zavazna - vychadzajuca z vlastnych noriem.

44

No ono pre potreby registratury spravidla staci mat zaznam ze v case vstupu do registraturneho systemu bol dokument platny.
Ale ak sa zacneme bavit o pouziti na pravne ucely za povedzme 5-20 rokov kedy papierovy original napr. uz davno neeistuje ak vovbec existoval, tak aj dokaz o overeni podpisu uz nie je technicky mozne preukazat ze to co povazoval vtedy pracovnik evidujuci zaznam za overene bolo skutocne pravda. To by ten system registratury musel poskytovat nejake zaruky ktore by uznavali vsetky strany sporu ktory sa moze odohrat po 10 rokoch. Pokial nedojde k spochybneniu tak sa nic nedeje. Ja spominam iba pripad ak niektore strana sporu podpis napadne. Potom musi existovat nieco co vsetci musia objektivne uznat.
Takze tie dokumenty bud si pomocou LTA natahujem, alebo ich dam niekomu kto poskytuje kvalifikovanu sluzbu uchovavania podpisov. Tam uz spravidla asi lta nepouziva ale skor nieco cim podpise viac napr. typov hash a pod. s cielom natiahnut podpuis a zvysit odolnost.

45

To sa uz robilo v case bajneho OPISu.
http://www.informatizacia.sk/ext_dok-usmernenie_10_pki_analyza/17876c
a tu je presne ta tabulka
http://www.informatizacia.sk/ext_dok-usmernenie_10_pki_analyza_priloha_1_a_2/17877c

1 Like
46

Ano podobna analyza so zohladnenim novych sposobov autorizacie by bola na mieste.
A v buducnosti ak sa objavia nove sposoby tak znovu s cielom pozriet sa na to ci sa daju niekde vyuzit.

47

a sme tam kde sme boli :wink:

48

co ked budem mat podpisovy cert z ceska ? Akoze QTS my davame z ceska … tak take asi NBU nearchivuje …

49

Ok tam to bude zlozitejsie. V pripade komunikacie pomocou eID a schranky by to vsak mohlo postacovat - obcan by sa nad otazkou platnosti stiahnutej spray nemusel vobec zamyslat.
Alebo ak by napriklad kazdy rok na zaciatku roka v CEP nastavili vzdy novy certiffikat TSP na novych povedzme 5-7 rokov, odbremenilo by to obcana od nutnosti starat sa o caste prepodpisovanie dokumentov zo slovensko.sk. vedel by som ze o dokument sa nemusim 5 rokov vobec starat. Kedze pocitam ze u vacsiny tych 5 rokov by bolo postacujucich. A prepodpisoval by si iba tie co potrebuje dlhsie. Ja len naznacujem ze stat by mozno vedel trochu obcanom a PO pomoct aj tym ze ma nejake udaje k dispozicii, alebo urobi nejaky ustretovy krok, ktory v konecnom dosledku usetri naklady obcanom a PO a organizaciam. Ked uz im nikto nepovedal o dosledkoch preslej platnosti certifikatu. Obcan by len vedel iba to ze ak chce ich mat platne dlhsie ako 5 -7 rokov tak sa musi o to postarat uz sam.

50

Prišiel mi link na túto diskusiu a v prvom príspevku je odkaz na materiál v ktorom: Podľa splnenia jednotlivých kritérií bude spôsobu autorizácie priradená úroveň autorizácie nasledovne:
Názov úrovne (1-Osvedčená, 2-Kvalifikovaná, 3-Dôveryhodná, 4-Pokročilá a 5-Nízka).

Ak máte možnosť prístupu k aktuálnej diskusii revízii nariadenia eIDAS, napr. launched tak tam sa vyhodnocujú dopady na používanie len dvoch úrovní namiesto troch, aby to bolo ako je aj s KEP, buď ho treba alebo KEP netreba v závislosti od typu úkonu.

Inak povedané, ak potrebujem istotu že to konkrétna osoba potvrdila, použijem KEP. Ak viem akceptovať aj prípadné chybné, podvodné údaje, na ktoré sa neskôr môže prísť, nemusím požadovať KEP ale môžem. Teda úplne postačujú len dve úrovne. Prvá má presne definované pravidla, pričom druhá nemá - ani sa nedajú určiť pre všetky iné situácie.

“Merging levels of assurance (LoA) “substantial” and “high” for eID so that LoAs are reduced from three to two, similar to the qualified/non-qualified status used for trust service providers[***].”

Teda celý návrh v prvom príspevku ide opačným smerom než ide eIDAS a namiesto sprehľadnenia a zjednodušenia zavádza až 5 nejasných úrovní strachu úradníka a občana, či si vybral dobrú, dostatočnú a či zlú úroveň.

Nariadenie eIDAS už zaviedlo pre cezhraničnú identifikáciu pravidlá, ktoré zjednodušene sú postavené na zaregistrovaní identifikačnej schémy, z ktorej vyplýva aj zodpovednosť aby:

  • Prostriedok identifikácie poskytoval len niekto kto môže dostať pokutu/sankciu ak nesplní čo sa v schéme očakáva a
  • prostriedok identifikácie je možné použiť len u toho, kto garantuje overenie identity po použití prostriedku identifikácie v súlade s notifikovanou schémou, inak dostane pokutu/sankciu.

Na národnej úrovni by sme sa mohli poučiť a používať podobný systém notifikácie identifikačných schém národnej úrovne, dohliadať nad poskytovateľom identifikačného prostriedku a dohliadať nad poskytovateľom zabezpečujúcim overenie identity použitím identifikačného prostriedku.

Zároveň obaja poskytovatelia by povinne viedli záznam, kedy bol identifikačný prostriedok použitý. Databáza ako napr. register osôb, by pre každú osobu viedol históriu, kedy v akom období mala osoba aký identifikačný prostriedok.

Veľa by sa tak zjednodušilo a sprehľadnilo, no hlavne by sa dala preukázať zodpovednosť, čo v návrhu uvedenom v prvom príspevku nie je nijak uvedené a teda ide úplne smerom míňania prostriedkov na nový systém, ktorý nemá definované parametre, zodpovednosť a umožňuje nekonečný príjem pri opravách niečoho čo sa šetrne ani nesmie uviesť aby bol príjem z opráv nekonečný.

5 Likes
51

Presne tak. Mozno povedane z opacnej strany by sa to dalo nadefinovat. Napr. ze ta druha kategoria ani nevyzaduje v buducnosti ziadne preukazovanie udajov ktore som v danej odosielal.
Bud nepotrebujem mat istotu ze iba presne ta konkretna osoba to potvrdila, alebo nebudem potrebovat v buducnosti nic (myslim udaje) preukazovat.

52

okrem toho nastane miš maš v pojmoch… na stupňovanie autorizacie sa tu používajú pojmy ako
Dôveryhodná - čo sa bude mýliť s pojmom dôveryhodná služba (služba vytvářejíci dúveru), a Kvalifikovaná - čo sa zas bude mýliť s pojmom Kvalifikovaný podpis, ktorý je podľa eIDAS najvyššou možnou vyžadovanou formou podisu/pečate …

No prosto gratulácia autorom.
Hlavne že sa nepodpísali.
Ja neviem … , ak aj sú právnici … to nemajú okolie , rodinu ? zeby videli, ze veci musia byť v reálnom živote dvojstavové, nanajvýš (ak je tam miera neurčitosti) trojstavové ? Viac ani náhodou, lebo to nik nepochopí… okrem tých čo to vymysleli a bude to v praxi nepoužiteľné.

To dúfam niekdo zhodí zo stola …

53

Cize v CZ staci na prihlasenie do portalu obcana, datovej schranky FIDO2 level1 certifikovany autentifikator (cize android, windows hello, pripadne nejaky druhy faktor). Este raz mi vysvetlite, preco u nas to nejde?

1 Like
54

No, tak som sa sem zasa asi po mesiaci pozrel. Na to aká je tu búrlivá diskusia (to je fajn) som našiel primálo argumentov (to je škoda).

Takže prosím všetkých nadšencov KEP, aby reagovali na moje presvedčenie, že autorizácia kliknutím poskytuje vo všetkých aspektoch vyššie bezpečnostné záruky ako vlastnoručný podpis. (viď. môj post z 18.8.)

Preto netreba teraz robiť žiadne nové “analýzy” a “klasifikácie” a je ho možné okamžite použiť pre všetky úkony, kde je vyžadovaný iba vlastnoručný podpis.

A ešte jeden príklad ako KEP v skutočnosti nie je až taký super spoľahlivý ako si ho idealizujeme:

V podstate je to problém vizualizácie. S tým odjakživa problémy boli a budú. Je to slabé miesto elektronického podpisu. Dokonca ani štandardy pre KEP túto oblasť skoro vôbec neriešia, a teda že v iných aspektoch sú super podrobné.

2 Likes
55

Ale ved to je v poriadku, že vidím tvoje ID, ved ID si ty. To, že máme aj meno a priezvisko je síce OK, aby sme tomu ľudsky chápali a nevolali sa ID123. ale v skutočnosti je každý slovak ten ID123.

ak teda chceme, aby sa vedelo kto podpísal, tak je správne, ak tam to ID123 je. Pointa je asi v tom, že nikto iný ako ja nemôže získať KEP v ktorom je to moje ID123 :slight_smile:

Nerozumiem, prečo sa tam zase vrta do toho, bude to stáť kopu penazí na prerábanie, zase sa rozvrta ako tak stabilizovaný systém a čo a tým porieši? aké riziká dnes sú slabým miestom?

56

tu ale treba ustanoviť jasne spôsob vytvárania podpísaného dokumentu, t.j. že musí vizuálny a obsahový byť v súlade a toto podpísať.Doteraz nie je toto došpecifikované, teda treba urobiť štandard ako vytvárať podpísaný dokument.

Ako si isto dobre spomínam, pdf nie je štandardom pre el.komunikáciu, teda také riziko to nie je u nás hlavne pre tvorbu EUD. Pri el.podaniach treba zabezpečiť na strane štátnych organizácií, aby dokázali korektne aj pdf čítať.

stále ale je otázka, prečo meniť zase spôsob autorizácie?

57

Mam na to iny pohlad. Uz to ze pises “kde je vyžadovaný iba vlastnoručný podpis” mi nepasuje. Lebo vlastnorucny podpis je dnes asi jedna z najvyssich foriem autorizacie (uradne osvedceny podpis je v principe to iste len casova peciatka je pred podpisom). Takze tam by sa patrilo napisat miesto slovicka iba slovicko az.

Skusim uviest dva priklady:
Povedzme ze zase je kriza COVID a stat sa rozhodne poslat firmam financnu pomoc.

  1. Priklad je ze ju dostanu vsetky firmy - staci iba klik
    Ktorykolvek zo statutarov sa prihlasi do schranky, tam otvori formular a kliknutim ho autorizuje. Vsetko je v poriadku a kliknutie skutocne staci.
  2. Priklad je podobny ale pomoc dostanu iba firmy ktore mali stratu 100 000 eur. Jednou z koloniek na formulari bude uvedenie sumy ktoru firma utrpela ako stratu. No a teraz sa do schranky prihlasi nejaky vykuk ktory mal stratu povezdzme 14000 eur. A povie si ze peniaze sa hodia a rychla pozicka od statu nezaskodi. V najhorsom ich vratim a ked tak dostanem aj splatkovy kalendar. Takze sa prihlasi do schranky vyplni formular a do kolonky strata napise o jednu nulu viac teda 140 000. Kliknutim autorizuje a pridu mu peniaze.
    Stat bude ked to situacia dovoli kontrolovat ci vsetci co dostali pomoc aj na nu mali narok.
    No a az tu vznika konflikt. Dotycny bude tvrdit ze on skusil podat ziadost a ked mu peniaze prisli v dobrej viere ich uzil. Stat mu bude oponovat ze nemal narok a ze uviedol nepravdivu sumu. On bude argumentovat ze on urcite do kolonky strata napisal pravdu teda 14 000 a ze k chybe muselo dojst na strane vybavujuceho uradnika a ten mu nemal peniaze posielat ked videl ze nesplna kriteria.
    Takze spor teraz nie je o autorizaciu ale o to ako sa tam nespravna suma objavila. Kazda strana si bude tvrdit svoje. A sudca ktory nie je ani na jednej strane musi aj po rokoch dostat take dokazy aby rozhodol spravne.

Cize niekedy ano je kliknutie moznou nahradou, ale niekedy ak je v buducnosti potrebne prekukazovat bud nejake udaje alebo musi sa preukazat ze to bola iba ta konkretna osoba a nikto druhy uz klik nebude postacovat.

Nejde o idealizovanie. Tieto veci co pises su len o aplikacii tych standardov, ak budes mat akykolvek iny system presne rovnake zranitelnosti budu hladat aj na tomto systeme. To neni argument aby sa nieco zahodilo, ale aby sme sa to co uz existuje naucili spravne pouzivat.

58

No KEP toto “vyriesil” naozaj bravurne. Proste prehlasi, ze je tam tvoj podpis a teda to plati. Nikoho nebude zaujimat, ci podpisovac zobrazil co zobrazit mal (presne tak ako v pripade podpisu klikom). Mozes sa aj na hlavu postavit, nikto ti nebude verit, ze si tam zadaval nieco ine. Kde presne vidis rozdiel?

1 Like
59

V tom ze eIDAS toto ako nadriadena legislativa v celej EU uzakonil tak ako hovoris.
Cize uz to neni len v urovni stadnardov a doporuceni ale je to zakon.
To ze ti moze zobrazovat iny obsah sa da strasne jednoducho vyriesit. Nechat softver overit akreditovanou skusobnou.

60

Ved aj “podpis klikom” mame v zakone.

Nemohla by nejaka skusobna pozriet aj ten softver co robi ten podpis klikom?