Szkoda, że PO spotkaniu...
---------- Treść przekazywanej wiadomości ----------
Temat: Data: wtorek, 11 marca 2014, 14:07:04 Od: Dziekańska Iwona
W załączeniu przesyłam Państwu odpowiedź Ministra Obrony Narodowej na wystąpienie z dnia 7 lutego 2014 r.
Iwona Dziekańska
starszy specjalista
Sekretariat Ministra Obrony Narodowej
Zespół Obsługi Korespondencji
tel. (6) 871-733
-----------------------------------------
Dnia wtorek, 11 marca 2014 16:33:55 antoszka pisze:
Tako rzecze rysiek (2014-03-11, 16:15):
Szkoda, że PO spotkaniu...
Ej, miało być bez POlityki.
POzdrawiam myślących.
Oj, bo ja do Ciebie wstanę. ;)
No to nie politykuj. On Mar 11, 2014 4:34 PM, "antoszka" antoni@hackerspace.pl wrote:
Tako rzecze rysiek (2014-03-11, 16:15):
Szkoda, że PO spotkaniu...
Ej, miało być bez POlityki.
POzdrawiam myślących.
-- [アントシカ]
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
Głodnemu chleb na myśli. :-) PO to przede wszystkim podkreślenie okolicznika czasu. Podobnie jak _po_. 11 mar 2014 16:40 "Paweł Zegartowski" pzegar@gmail.com napisał(a):
No to nie politykuj. On Mar 11, 2014 4:34 PM, "antoszka" antoni@hackerspace.pl wrote:
Tako rzecze rysiek (2014-03-11, 16:15):
Szkoda, że PO spotkaniu...
Ej, miało być bez POlityki.
POzdrawiam myślących.
-- [アントシカ]
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
Tako rzecze Marek Zibrow (2014-03-11, 16:42):
Głodnemu chleb na myśli. :-) PO to przede wszystkim podkreślenie okolicznika czasu. Podobnie jak _po_.
Kurwa, ludziki, przecież jaja se robię parafrazując komentarze z „POlskiego internetu”.
Wiem, miało iść na waw-ot z [tag] w temacie, ale mam wysyłanie z mutta hardwired w palcach.
Dnia wtorek, 11 marca 2014 16:45:18 antoszka pisze:
Tako rzecze Marek Zibrow (2014-03-11, 16:42):
Głodnemu chleb na myśli. :-) PO to przede wszystkim podkreślenie okolicznika czasu. Podobnie jak _po_.
Kurwa, ludziki, przecież jaja se robię parafrazując komentarze z „POlskiego internetu”.
Jakby Ci tu...
Q: Quis trollet ipsos trolles? A: A successful troll that is successful.
Wiem, miało iść na waw-ot z [tag] w temacie, ale mam wysyłanie z mutta hardwired w palcach.
No to masz nauczkę. :)
Dnia 11 marca 2014 16:15 rysiek rysiek@hackerspace.pl napisał(a):
Szkoda, że PO spotkaniu...
+1 za odpowiedź -1 za skany w PDF :P
Well, jakiś dziennikarz pewnie i tak zrobi "ręczny OCR". Co by nie mówić, ważne że oficjalna odpowiedź jest.
Dnia wtorek, 11 marca 2014 16:15:13 rysiek pisze:
Szkoda, że PO spotkaniu...
I szkoda, że w postaci skanu. Ech, "cyfrowa Polska" my arse. Odpowiedziałem jak następuje:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Szanowna Pani,
Dnia wtorek, 11 marca 2014 14:07:04 Dziekańska Iwona pisze:
W załączeniu przesyłam Państwu odpowiedź Ministra Obrony Narodowej na wystąpienie z dnia 7 lutego 2014 r.
Dziękujemy serdecznie za odpowiedź. Czy moglibyśmy jednak prosić o przesłanie również wersji elektronicznej, poza wersją zeskanowaną? Ułatwi to znacznie osobom niepełnosprawnym (m.in. niewidomym) zapoznanie się z treścią odpowiedzi Pana Ministra.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
On Tuesday 11 of March 2014 16:41:48 rysiek wrote:
Dnia wtorek, 11 marca 2014 16:15:13 rysiek pisze:
Szkoda, że PO spotkaniu...
I szkoda, że w postaci skanu. Ech, "cyfrowa Polska" my arse.
A jak inaczej mógłby się podpisać żebyśmy mogli się cieszyć, że nam minister odpisał? :P Ale to prawda to wszystkie papiery płynące z rządu w formie skanów to jakaś żenada.
W dniu 11 marca 2014 16:44 użytkownik piorek piorek@hackerspace.plnapisał:
On Tuesday 11 of March 2014 16:41:48 rysiek wrote:
Dnia wtorek, 11 marca 2014 16:15:13 rysiek pisze:
Szkoda, że PO spotkaniu...
I szkoda, że w postaci skanu. Ech, "cyfrowa Polska" my arse.
A jak inaczej mógłby się podpisać żebyśmy mogli się cieszyć, że nam minister odpisał? :P
Kwalifikowany podpis cyfrowy? Albo skorzystanie z wbudowane w Adobe Reader narzędzie do podpisów (potrafi korzystać ze zdjęć, skanów, tabletów, kamerki internetowej)...
On 11/03/14 20:14, Kuba Niewiarowski wrote:
W dniu 11 marca 2014 16:44 użytkownik piorek <piorek@hackerspace.pl mailto:piorek@hackerspace.pl> napisał:
On Tuesday 11 of March 2014 16:41:48 rysiek wrote: > Dnia wtorek, 11 marca 2014 16:15:13 rysiek pisze: > > Szkoda, że PO spotkaniu... > > I szkoda, że w postaci skanu. Ech, "cyfrowa Polska" my arse. A jak inaczej mógłby się podpisać żebyśmy mogli się cieszyć, że nam minister odpisał? :PKwalifikowany podpis cyfrowy? Albo skorzystanie z wbudowane w Adobe Reader narzędzie do podpisów (potrafi korzystać ze zdjęć, skanów, tabletów, kamerki internetowej)...
-- Pozdrawiam, Kuba Niewiarowski.IT http://Niewiarowski.IT
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE. Profil zaufany już lepiej, ale musielibyśmy zaufać :P a na razie w PLID nie ma certyfikatu.
IMO zwykłe X509 byłoby ok.
Leszek
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Leszek Jakubowski (2014-03-11, 21:34):
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE.
Czemu? (Serio pytam.)
Nawiązując do nieszczęsnego wątku o zamkniętej liście: nie wiem, czy możesz mi zaufać - ale moim zdaniem:
1. Problemy z natury rzeczy (X.509):
- Europejski podpis elektroniczny jest oparty o ceryfikaty X.509, które charakteryzują się hierarchicznym modelem zaufania, czyli mamy zaufany "root" a potem mamy jego "dzieci" a potem "wnuki" itp.
- "root" musi być a priori znany wszystkim użytkownikom
- "root" jest święty - nieautoryzowany dostęp do kluczy roota, czy też uzyskanie nieautoryzowanego podpisu kompromituje całą hierarchię podpisów (unieważnia wszystkie dokumenty?)
- znane są przypadki kompromitacji całego CA (Comodo, DigiNotar)
- X.509 zostało zaprojektowane do offline weryfikacji podpisu, w związku z czym korzysta się z tzw. CRL-i do ich sprawdzenia (kto z Was na bierząco aktualizuje swoje CRL-ki?); zostało to trochę załatane przez OCSP
- nie wiadomo jaki jest długoterminowy status prawny dokumentu podpisanego - co jeśli CA umrze albo po drodze padną jakieś serwery do weryfikacji?
(Polska ustawa o podpisie elektronicznym została uroczyście podpisana przez prezydenta Kwaśniewskiego certyfikatem firmy Signet, która potem została zlikwidowana i certyfikat główny Signetu został nieważniony - czy to znaczy, że dokument jest już nieważny? - szczegóły w CRL na http://nccert.pl/crl.htm)
- Nikt do tej pory nie wykazał, że hierarchia jest potrzebna (typu krajowy root - CA akredytowany przez państwo). Zaufanie do CA jest ostatnio dość wątpliwe i wcale nie jest pewne, czy CA jest pewniejszy od jakiegoś znanego nam kontrahenta biznesowego (całe istnienie CA jest potrzebne, aby weryfikować tożsamość kogoś nam wcześniej nieznanego).
- Mojego zaufania nie poprawia w ogóle, że niektóre CA mają gdzieś wersjonowanie dokumentu zwanego polityką certyfikacji, w ogóle bardzo ciężko dotrzeć do tego dokumentu (który mówi, "co i dlaczego podpisujemy") na podstawie nadanego OID (Zadanie domowe - pobrać dowolny certyfikat Sigillum i zobaczyć, czy da się programowo określić, jaka polityka ma zastosowanie).
2. Problemy wynikające z "zaufanego urządzenia"
Przepisy wymagają stosowania "zaufanego urządzenia" i wchodzi w to oprogramowanie do generowania i weryfikacji podpisu. W praktyce wygląda to tak, że każdy CA sprzedaje swoje karty procesorowe i oprogramowanie do nich. Jest bardzo trudne wykonanie podpisu taką kartą własnym oprogramowaniem (SDK do kart są zwykle bardzo drogie, a oprogramowanie przez siebie napisane nie będzie już "zaufane").
Praktycznie nie ma możliwości użycia karty CA numer 1 z oprogramowaniem CA numer 2 (wiem co mówię, bo posiadam dwie karty z podpisami kwalifikowanymi od dwóch CA).
W ten sposób o jakikolwiem free software do podpisu można zapomnieć; moim zdaniem jest to też powód, dla którego nikt nie akceptuje podpisu nigdzie - bo zaimplementowanie weryfikacji tożsamości np. w sklepie internetowym to jakaś masakra.
Praktycznie nie ma możliwości przechowywania podpisu kwalifikowanego w tokenach software'owych, potrzebna jest karta procesorowa lub tzw. HSM (sprzętowe kryptowadełko).
Do tego dochodzą problemy z certyfikatem instytucji (nie osoby fizycznej jej reprezentującej) - w praktyce jest tak, że pracownicy podpisują kartą pana dyrektora, który jest niejako "zakładnikiem" ustawy i pracowników. Albo podpisuje sam pracownik - zobaczcie, kto podpisuje Dzienniki Ustaw. Co będzie, gdy podpis pana Paczkowskiego zostanie unieważniony, bo urzędnik przestanie być urzędnikiem?
3. Kompletny brak interoperability między CA i krajami
Z powyższych powodów (zamknięty soft i hardware) oraz z ogromnych różnic między krajowymi CA nie da się użyć karty z kluczem z jednego kraju do podpisu w drugim. Sprawdziłem. Praktycznie każdy podmiot musi nauczyć się rozpoznawać każdy z "akceptowanych" CA - czyli polskie urzędy przyjmują polskie CA itp. To jest związane m. in. z konieczością określenia zaufanego roota. (Niemcy np. mają wszystkie CA w "zaufanym" katalogu LDAP, a nie w jednym pliku .crt jak u nas).
4. Europejski podpis kwalifikowany jako zabawka
Europejski podpis został skonstruowany jako "niewielkie" rozszerzenie do X.509, więc istniejący software ma niejakie problemy z wykorzystaniem tych certyfikatów. Moją ulubioną cechą jest to, że dodaje się w polskich certyfikatach ograniczenie użycia klucza (KeyUsage) z wartością ustawioną na nonRepudation, co powoduje, że oprogramowanie takie jak NSS nie rozpoznaje tych certyfikatów jako ważnych do podpisu np. zwykłego emaila. Gdzieś czytałem zresztą, że tak ma być, bo szlachetny certyfikat kwalifikowany ma być używany do szlachetnych celów, a nie np. na co dzień do podpisywania maili. (polskie CA sprzedają tzw. certyfikat zwykły, który do maili się nadaje, ale nie jest kwalifikowany).
Tu jest opis dodatkowych cech podpisu kwalifikowanego:
http://www.etsi.org/deliver/etsi_ts/101800_101899/101862/01.03.01_60/ts_1018...
Praktycznie sprowadza się to do dodania jednego atrybutu (OID 0.4.0.1862.1.1), który znaczy "uwaga, jestem kwalifikowany". Certyfikat może opcjonalnie zawierać ograniczenie kwoty podpisywanej transakcji, jednak nikt nie wie, jak taką kwotę się wylicza ani jak to kontrolować.
Skutek dodania tego artybutu - "embrace and extend" - jest taki, że nie podpiszemy kwalifikowanym zwykłego maila (patrz uwagi wyżej co do NSS i Mozilli) ani dokumentu w OpenOffice, który umożliwia złożenie podpisu elektronicznego w .odt (i nawet fajnie do działa, sprawdziłem!), ale to będzie normalny podpis XmlDSig, bez europejskich kwalifikowanych (i bezużytecznych) dodatków zdefiniowanych dopiero w standardach ETSI jak np. XADES http://www.etsi.org/deliver/etsi_ts/101900_101999/101903/01.04.02_60/ts_1019...
A na koniec należy dodać, że w ogóle milczy się o podstawowym zastosowaniu kryptografii klucza publicznego, czyli o szyfrowaniu dokumentu - dzięki atrybutowi "nonRepudiation" oprogramowanie nie powinno nam pozwolić zaszyfrować dokument w postaci do odczytania przez posiadacza podpisu kwalifikowanego.
Po latach zajmowania się podpiselem doszedłem do wniosku, że podpisywanie czegoś offline jako dokumentu jest użyteczne tylko do potwierdzenia, że nie został on później zmodyfikowany (w ten sposób podpisywałem niektóre dokumenty ODT).
Kryptografia klucza publicznego jest super do zabezpieczenia "tu i teraz" - czyli podczas transmisji, do autoryzacji jednego połączenia (SSH, HTTPS, ...) ale nie do przechowywania elektronicznych dokumentów z X.509 na długie lata.
[ Jak ktoś chce więcej pointerów, to jako ISOC Polska opublikowaliśmy w 2006 r stanowisko http://www.isoc.org.pl/bariery_podpisu_elektronicznego ]
//Marcin
Dnia środa, 12 marca 2014 08:00:51 Marcin Cieslak pisze:
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Leszek Jakubowski (2014-03-11, 21:34):
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE.
Czemu? (Serio pytam.)
Nawiązując do nieszczęsnego wątku o zamkniętej liście: nie wiem, czy możesz mi zaufać - ale moim zdaniem:
DO NOWEGO WĄTKU Z TYM.
Srsly.
Dnia środa, 12 marca 2014 09:08:32 rysiek pisze:
Dnia środa, 12 marca 2014 08:00:51 Marcin Cieslak pisze:
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Leszek Jakubowski (2014-03-11, 21:34):
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE.
Czemu? (Serio pytam.)
Nawiązując do nieszczęsnego wątku o zamkniętej liście:
nie wiem, czy możesz mi zaufać - ale moim zdaniem:
DO NOWEGO WĄTKU Z TYM.
Srsly.
Ok, jestem ciulem, nie zauważyłem zmiany tematu. O 9:08 rano nie funkcjonuje mi chyba mózg, muszę powstrzymać się od pisania maili o takich chorych godzinach... Przepraszam.
Dzięki za litościwe nie wytykanie mi tego. -_-'
Tako rzecze rysiek (2014-03-12, 14:23):
Dnia środa, 12 marca 2014 09:08:32 rysiek pisze:
Dnia środa, 12 marca 2014 08:00:51 Marcin Cieslak pisze:
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Leszek Jakubowski (2014-03-11, 21:34):
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE.
Czemu? (Serio pytam.)
Nawiązując do nieszczęsnego wątku o zamkniętej liście:
nie wiem, czy możesz mi zaufać - ale moim zdaniem:
DO NOWEGO WĄTKU Z TYM.
Srsly.
Ok, jestem ciulem, nie zauważyłem zmiany tematu.
Zmiana tematu to nie zmiana wątku:
https://antoszka.pl/tmp/6a178ff6cc9e487841dd1b1fe51333cc0d25b2c3.png ← @podświetlenie
trzeba wyciąć In-Reply-To: oprócz zmiany tematu (a nawet przede wszystkim).
Tako rzecze Marcin Cieslak (2014-03-12, 08:00):
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Leszek Jakubowski (2014-03-11, 21:34):
Nie kwalifikowany, bo to jedno z gorszych rozwiązań w UE.
Czemu? (Serio pytam.)
Nawiązując do nieszczęsnego wątku o zamkniętej liście: nie wiem, czy możesz mi zaufać
Trolololo.
- ale moim zdaniem:
- Problemy z natury rzeczy (X.509):
[…]
Dzięki za świetne podsumowanie (lepsze niż cała moja poranna prasówka, serio).
Nie zdawałem sobie sprawy z tej masy drobnych fuckupów, które się faktycznie składają na dużą bezużyteczność systemu.
Co do koncepcji oparcia się o CA/root-cert – polemizowałbym: ma swoje wady, ale nie widzę specjalnie w sztywnych administracyjnych strukturach opierania się na modelu WOT. Oczywiście mogą być pewnie alternatywne/kombinowane struktury zaufania, ale ich nie znam.
Pozdr.,
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Marcin Cieslak (2014-03-12, 08:00):
Dzięki za świetne podsumowanie (lepsze niż cała moja poranna prasówka, serio).
Dzięki za dzięki. Nie ma to jak wolny poranek :)
Co do koncepcji oparcia się o CA/root-cert – polemizowałbym: ma swoje wady, ale nie widzę specjalnie w sztywnych administracyjnych strukturach opierania się na modelu WOT. Oczywiście mogą być pewnie alternatywne/kombinowane struktury zaufania, ale ich nie znam.
Profil zaufany to taki trochę urzędowy WOT. Ma sporo wad no i dużym problemem jest centralizacja i inne fuckupy ePUAP, ale nie ma problemów z X.509. (Ale jest "przypomnij hasło na maila", eh).
//Marcin
Rozumiem, ze "przypomnij hasło na maila" po prostu generuje nowe hasło? Nie trzymają tam możliwych do odzyskania poświadczeń?
zegar
2014-03-12 11:42 GMT+01:00 Marcin Cieslak saper@saper.info:
On Wed, 12 Mar 2014, antoszka wrote:
Tako rzecze Marcin Cieslak (2014-03-12, 08:00):
Dzięki za świetne podsumowanie (lepsze niż cała moja poranna prasówka, serio).
Dzięki za dzięki. Nie ma to jak wolny poranek :)
Co do koncepcji oparcia się o CA/root-cert - polemizowałbym: ma swoje wady, ale nie widzę specjalnie w sztywnych administracyjnych strukturach opierania się na modelu WOT. Oczywiście mogą być pewnie alternatywne/kombinowane struktury zaufania, ale ich nie znam.
Profil zaufany to taki trochę urzędowy WOT. Ma sporo wad no i dużym problemem jest centralizacja i inne fuckupy ePUAP, ale nie ma problemów z X.509. (Ale jest "przypomnij hasło na maila", eh).
//Marcin
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
On Wed, 12 Mar 2014, Paweł Zegartowski wrote:
Rozumiem, ze "przypomnij hasło na maila" po prostu generuje nowe hasło? Nie trzymają tam możliwych do odzyskania poświadczeń?
http://niebezpiecznik.pl/post/zaufany-profil-epuap-nie-jest-bezpieczny-twier...
na dole znalezisko "Kuby".
//Marcin
No można sie było tego spodziewać. Ktoś kto to zrobił wyszedł z założenia, że fakt, iż ktoś udostępnił swoją skrzynkę mailową osobie trzeciej to jego odpowiedzialność i admini epuap'u są czyści.
2014-03-12 12:15 GMT+01:00 Marcin Cieslak saper@saper.info:
On Wed, 12 Mar 2014, Paweł Zegartowski wrote:
Rozumiem, ze "przypomnij hasło na maila" po prostu generuje nowe hasło? Nie trzymają tam możliwych do odzyskania poświadczeń?
http://niebezpiecznik.pl/post/zaufany-profil-epuap-nie-jest-bezpieczny-twier...
na dole znalezisko "Kuby".
//Marcin
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
Cóż, generalnie dostęp do skrzynki mailowej jest ważniejszy od dostępu do portfela czy hasła do banku, o czym wiadomo od dawna. Trzeba ludzi uczyć, że ich główny adres e-mail jest jedną z najważniejszych rzeczy, jakie posiadają, i powinni ją należycie chronić.
Jacek Złydach, http://temporal.pr0.pl/devblog | http://esejepg.pl | http://hackerspace-krk.pl TRC - Bringing you tomorrow's solutions yesterday.
2014-03-12 12:41 GMT+01:00 Paweł Zegartowski pzegar@gmail.com:
No można sie było tego spodziewać. Ktoś kto to zrobił wyszedł z założenia, że fakt, iż ktoś udostępnił swoją skrzynkę mailową osobie trzeciej to jego odpowiedzialność i admini epuap'u są czyści.
2014-03-12 12:15 GMT+01:00 Marcin Cieslak saper@saper.info:
On Wed, 12 Mar 2014, Paweł Zegartowski wrote:
Rozumiem, ze "przypomnij hasło na maila" po prostu generuje nowe hasło? Nie trzymają tam możliwych do odzyskania poświadczeń?
http://niebezpiecznik.pl/post/zaufany-profil-epuap-nie-jest-bezpieczny-twier...
na dole znalezisko "Kuby".
//Marcin
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
-- Pozdrawiam, Paweł Zegartowski
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
2014-03-12 12:49 GMT+01:00 TeMPOraL temporal.pl@gmail.com:
Cóż, generalnie dostęp do skrzynki mailowej jest ważniejszy od dostępu do portfela czy hasła do banku, o czym wiadomo od dawna. Trzeba ludzi uczyć, że ich główny adres e-mail jest jedną z najważniejszych rzeczy, jakie posiadają, i powinni ją należycie chronić.
Trolololo.
Porównanie: - hasło do banku - posiada je bank i ja - hasło do skrzynki mailowej - posiada je firma obsługująca serwer mailowy i ja - klucz ePUAP - posiada go urząd i ja, może zmienić go firma obsługująca serwer mailowy i ja
Firmy obsługujące serwery mailowe nie mają regulacji prawnych ani podejścia do bezpieczeństwa jak banki, nawet, jeśli im za usługę płacisz. Na przykład, banki już dawno nie stosują gołych hasełek. (są tokeny, "tokeny" na komórce, klucze jednorazowe, etc.) Większość serwerów mailowych jest uwierzytelniana zwykłym hasłem. (przynajmniej nie przesyłanym plaintext... z reguły) Do tego ma przecież służyć ten klucz, jako drugi czynnik uwierzytelnienia. Jeśli można go zmieniać jak byle hasło, to trochę się mija z celem. Równie dobrze mogą przyznawać hasła.
Co ciekawe, w sprawie bezpieczeństwa serwerów mailowych, Google prowadzi: można włączyć uwierzytelnianie dwuskładnikowe, cała komunikacja jest domyślnie porządnie szyfrowana. Ta firma ma niestety ciekawe podejście do prywatności...
-- Pozdrawiam, Radek
Żeby tylko uściślić: zmienić można jedynie hasło do epuapu.
Posiadając hasło do epuapu można zarządac jednorazowego klucza do podpisu konkretnego dokumentu na maila. To troche jak autoryzacja kodem sms, tylko, że zamiast komórki dostajesz kod na maila, czyli w to samo miejsce, które umożliwia Ci odzyskanie hasła do miejsca z którego możesz zażądać jednorazowego kodu autoryzacyjnego (do platformy epuap). Na tym polega słabość.
zegar
2014-03-12 13:02 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
2014-03-12 12:49 GMT+01:00 TeMPOraL temporal.pl@gmail.com:
Cóż, generalnie dostęp do skrzynki mailowej jest ważniejszy od dostępu do portfela czy hasła do banku, o czym wiadomo od dawna. Trzeba ludzi
uczyć, że
ich główny adres e-mail jest jedną z najważniejszych rzeczy, jakie posiadają, i powinni ją należycie chronić.
Trolololo.
Porównanie:
- hasło do banku - posiada je bank i ja
- hasło do skrzynki mailowej - posiada je firma obsługująca serwer mailowy
i ja
- klucz ePUAP - posiada go urząd i ja, może zmienić go firma
obsługująca serwer mailowy i ja
Firmy obsługujące serwery mailowe nie mają regulacji prawnych ani podejścia do bezpieczeństwa jak banki, nawet, jeśli im za usługę płacisz. Na przykład, banki już dawno nie stosują gołych hasełek. (są tokeny, "tokeny" na komórce, klucze jednorazowe, etc.) Większość serwerów mailowych jest uwierzytelniana zwykłym hasłem. (przynajmniej nie przesyłanym plaintext... z reguły) Do tego ma przecież służyć ten klucz, jako drugi czynnik uwierzytelnienia. Jeśli można go zmieniać jak byle hasło, to trochę się mija z celem. Równie dobrze mogą przyznawać hasła.
Co ciekawe, w sprawie bezpieczeństwa serwerów mailowych, Google prowadzi: można włączyć uwierzytelnianie dwuskładnikowe, cała komunikacja jest domyślnie porządnie szyfrowana. Ta firma ma niestety ciekawe podejście do prywatności...
-- Pozdrawiam, Radek
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
Oczywiście fakt, że admini epuap'u mogą zrzucić na usera odpowiedzialność za udostępnienie swojej skrzynki e-mail osobie trzeciej nie zmienia tego, że bezpieczny system nie powinien być zaprojektowany w taki sposób.
@TeMPOral - Czynnik ludzki zawsze będzie zawodny nie ważne jak długo będziemy go uczyć, jak istotna jest skrzynka mailowa i jak trzeba chronić dostępu do niej. Więc epuap nie powinien ułatwiać exploitowania czynnika ludzkiego w ten sposób.
2014-03-12 13:09 GMT+01:00 Paweł Zegartowski pzegar@gmail.com:
Żeby tylko uściślić: zmienić można jedynie hasło do epuapu.
Posiadając hasło do epuapu można zarządac jednorazowego klucza do podpisu konkretnego dokumentu na maila. To troche jak autoryzacja kodem sms, tylko, że zamiast komórki dostajesz kod na maila, czyli w to samo miejsce, które umożliwia Ci odzyskanie hasła do miejsca z którego możesz zażądać jednorazowego kodu autoryzacyjnego (do platformy epuap). Na tym polega słabość.
zegar
2014-03-12 13:02 GMT+01:00 Radoslaw Szkodzinski astralstorm@gmail.com:
2014-03-12 12:49 GMT+01:00 TeMPOraL temporal.pl@gmail.com:
Cóż, generalnie dostęp do skrzynki mailowej jest ważniejszy od dostępu
do
portfela czy hasła do banku, o czym wiadomo od dawna. Trzeba ludzi
uczyć, że
ich główny adres e-mail jest jedną z najważniejszych rzeczy, jakie posiadają, i powinni ją należycie chronić.
Trolololo.
Porównanie:
- hasło do banku - posiada je bank i ja
- hasło do skrzynki mailowej - posiada je firma obsługująca serwer
mailowy i ja
- klucz ePUAP - posiada go urząd i ja, może zmienić go firma
obsługująca serwer mailowy i ja
Firmy obsługujące serwery mailowe nie mają regulacji prawnych ani podejścia do bezpieczeństwa jak banki, nawet, jeśli im za usługę płacisz. Na przykład, banki już dawno nie stosują gołych hasełek. (są tokeny, "tokeny" na komórce, klucze jednorazowe, etc.) Większość serwerów mailowych jest uwierzytelniana zwykłym hasłem. (przynajmniej nie przesyłanym plaintext... z reguły) Do tego ma przecież służyć ten klucz, jako drugi czynnik uwierzytelnienia. Jeśli można go zmieniać jak byle hasło, to trochę się mija z celem. Równie dobrze mogą przyznawać hasła.
Co ciekawe, w sprawie bezpieczeństwa serwerów mailowych, Google prowadzi: można włączyć uwierzytelnianie dwuskładnikowe, cała komunikacja jest domyślnie porządnie szyfrowana. Ta firma ma niestety ciekawe podejście do prywatności...
-- Pozdrawiam, Radek
General mailing list General@lists.hackerspace.pl https://lists.hackerspace.pl/mailman/listinfo/general
-- Pozdrawiam, Paweł Zegartowski
2014-03-12 13:09 GMT+01:00 Paweł Zegartowski pzegar@gmail.com:
Żeby tylko uściślić: zmienić można jedynie hasło do epuapu.
Posiadając hasło do epuapu można zarządac jednorazowego klucza do podpisu konkretnego dokumentu na maila. To troche jak autoryzacja kodem sms, tylko, że zamiast komórki dostajesz kod na maila, czyli w to samo miejsce, które umożliwia Ci odzyskanie hasła do miejsca z którego możesz zażądać jednorazowego kodu autoryzacyjnego (do platformy epuap). Na tym polega słabość.
To ja jeszcze dodam, że jest wybór czy chcemy "podpisywać" mailem czy smsem. Moim zdaniem sms jest całkiem bezpieczny (nie sprawdziłem czy nie mają baga w logice biznesowej i np nie pozwalają zmienić sposobu podpisywania z pomocą maila).
Mega dziwne, że jest opcja mailowa a jeszcze dziwniejsze, że znam osoby bardzo techniczne i preferują opcję mailową...
On 12/03/14 20:30, Maciej Sawicki wrote:
Mega dziwne, że jest opcja mailowa a jeszcze dziwniejsze, że znam osoby bardzo techniczne i preferują opcję mailową...
Żadna z tych opcji nie jest bezpieczna, ale jest IMO bezpieczniejsza niż bazgroł na kartce :)
Przez ePUAP można najczęściej załatwić podstawowe sprawy, albo przygotować sobie dokumenty przed wybraniem się osobiście do urzędu. Dlatego jestem w stanie zaakceptować większe ryzyko w przypadku profilu zaufanego.
Ad. Podpisu kwalifikowanego to przypominam jeszcze, że co najmniej w 2 przypadkach dostaje się kartę chipową z już wygenerowanym kluczem prywatnym lub po rejestracji wgrywa się na kartę klucz+certyfikat (z dokumentacji nie wynika wprost co się dzieje). W obu wariantach CA ma dostęp do klucza prywatnego.
W standardach (np. PKCS11) nie bez powodu generowanie klucza prywatnego odbywa się na karcie dopiero po tym gdy kartę otrzyma ostateczny użytkownik.
Pozdrawiam
W dniu 12 marca 2014 13:02 użytkownik Radoslaw Szkodzinski < astralstorm@gmail.com> napisał:
Co ciekawe, w sprawie bezpieczeństwa serwerów mailowych, Google prowadzi: można włączyć uwierzytelnianie dwuskładnikowe, cała komunikacja jest domyślnie porządnie szyfrowana. Ta firma ma niestety ciekawe podejście do prywatności...
Outlook.com również to ma (i również wykorzystuje ten sam token programowy, lololo).
W dniu 12 marca 2014 09:00 użytkownik Marcin Cieslak saper@saper.infonapisał:
Nawiązując do nieszczęsnego wątku o zamkniętej liście: nie wiem, czy możesz mi zaufać - ale moim zdaniem:
(words)
Dzięki! Dobra, treściwa lektura, świetne podsumowanie i prasówka na początek dnia.
Joł,
Dołączam się do głosów w sprawie świetnej lektury, ale chciałbym pójść za jednym z wątków:
Dnia środa, 12 marca 2014 08:00:51 Marcin Cieslak pisze:
Skutek dodania tego artybutu - "embrace and extend"
- jest taki, że nie podpiszemy kwalifikowanym
zwykłego maila (patrz uwagi wyżej co do NSS i Mozilli) ani dokumentu w OpenOffice, który umożliwia złożenie podpisu elektronicznego w .odt (i nawet fajnie do działa, sprawdziłem!),
Faktycznie, jest pozycja "Podpisy cyfrowe..." w menu "Plik" w LibreOffice. Czy masz jakieś info więcej? Np. jak tam importować certy, czy da się użyć kluczy PGP, itp?
-
antoszka -
Kuba Niewiarowski -
Leszek Jakubowski -
Maciej Sawicki -
Marcin Cieslak -
Marek Zibrow -
Mateusz Kita -
Paweł Zegartowski -
piorek -
Radoslaw Szkodzinski -
Robert Partyka -
rysiek -
TeMPOraL