Informuje Česká pošta uživatele datových schránek korektně ?
V minulém týdnu byla zveřejněna první statistika o startu datových schránek. (ČTK – informace od České pošty).O zřízení datové schránky si zažádalo na 2500 osob a 220 datových schránek je už aktivováno.
Počet žádostí o zřízení je relativně vysoký již proto, že se jedná nutně o subjekty, které si schránku zřizují téměř výhradně na žádost. Jde hlavně o fyzické osoby a menší počet poměrně specifických právnických osob (většině právnických osob a orgánům veřejné moci jsou datové schránky zřizovány automaticky). Jedná se pravděpodobně o úspěšně přijaté žádosti, jelikož první týden po rozjezdu datových schránek byly s jejich příjmem jisté problémy.
Prvotní problémy s přijímáním žádostí přes CzechPointy se tedy daří úspěšně eliminovat. I počet dosud aktivovaných datových schránek je poměrně vysoký vzhledem k tomu, že jde jen o první týden, kdy se teprve rozebíhalo samotné zřizování schránek a rozesílání přístupových údajů. Jistě by bylo velmi zajímavé zjistit, jak je tato suma (220 úspěšných aktivací) rozložena mezi 1.variantu, tj. schránku zřizovanou na žádost a 2.variantu, tj. schránku zřizovanou automaticky a vlastně kolik schránek bylo již skutečně zřízeno (nikoliv pouze aktivováno).
Lze usuzovat, že většina z těchto aktivací připadá spíše na schránky zřízené některými nadšenci z řad fyzických osob, kteří si chtějí vše co nejdříve otestovat v praxi. Pro ně je to jistě snazší než třeba pro orgány veřejné moci,které s aktivací své schránky budou raději čekat až na nejzazší možný termín (přelom října a listopadu). Nejméně jeden orgán veřejné moci si už svou datovou schránku aktivoval: veřejný ochránce práv. Jeho kancelář to oznámila v tiskové zprávě 7. července. U žádného jiného orgánu veřejné moci takové oznámení nebylo dosud zaregistrováno.
Česká pošta ale dosud uspokojivě nevyřešila problém s neznámým certifikátem, který webové prohlížeče hlásí uživateli při přístupu na web datových schránek a ve svém doporučení zpočátku dokonce radila věci, před kterými by měla spíše varovat. Jedná se přitom o problém, o kterém se zmínil pan Peterka ve svém článku už počátkem června v souvislosti s první demoverzí datových schránek (viz článek: Datové schránky mají své demo ). Už tehdy byl server, na kterém demo verze běžela, opatřen serverovým certifikátem od certifikační autority PostSignum, provozované Českou poštou.
Vzhledem k tomu, že kořenové certifikáty CA PostSignum nejsou obsaženy ve „standardní výbavě důvěryhodných certifikátů“ v žádném z běžně používaných prohlížečů, při první návštěvě na uživatele vyskočilo varování, které upozorňuje na problém s neznámým serverovým certifikátem od neznámého vydavatele. Provozovatel informačního systému datových schránek realizoval následující řešení: server „ostré verze“ datových schránek je vybaven certifikátem, vydaným kvalifikovanou certifikační autoritou PostSignum, a paralelně uživatelé by měli být informováni o tom, co to znamená a jak by se měli chovat.
Jenže právě ve způsobu informování vznikl problém. V okamžiku, kdy se případný uživatel přihlásil v prvních dnech “ostrého“ provozu na webové stránky informačního systému datových schránek, dočkal se následující hlášky:
Při pokusu o přihlášení do systému ISDS se může objevit varování, upozorňující na problém s bezpečnostním certifikátem stránky. Toto je způsobeno nepřítomností certifikátu ve standardní instalaci MS Windows či jiných operačních systémů. Upozornění je nutno ignorovat; vstup na stránku je zcela bezpečný, neboť používaný certifikát je vydán kvalifikovanou českou certifikační autoritou. Volbou přidání certifikátů k důvěryhodným certifikátům či pokračováním na stránku ISDS nevzniká žádné bezpečnostní riziko.
V situaci, kdy se uživatel od prohlížeče dozví, že nezná certifikát právě navštíveného serveru ani jeho vydavatele, už není rada „upozornění je nutno ignorovat“ jen nějakou „prázdnou informací“, která sice nic nového neřekne – ale také neublíží, neuvede nikoho v omyl, resp. nezvýší riziko. Zde se už jedná o zcela zásadní chybu, resp. velmi zavádějící informaci, jdoucí proti všem zásadám a pravidlům bezpečnosti. Stejně jako konstatování, že „Volbou přidání certifikátů k důvěryhodným certifikátům či pokračováním na stránku ISDS nevzniká žádné bezpečnostní riziko“. A přitom podvrhnout nějaký server není zase až tak neuskutečnitelné. Stačí na to zprovoznit falešné stránky ISDS na některé „podobně znějící“ internetové doméně (podobné k mojedatovaschranka.cz) a čekat, až se někdo uklikne.
Provozovatel systému ISDS na výše uvedené argumenty zareagoval a postupně několikrát nahradil výše uvedené hlášení a 8. července večer se na webu ISDS objevila přece jen korektnější hláška, která již nenabádá k bezhlavému klikání a ignorování bezpečnostního varování:
Při pokusu o přihlášení do systému ISDS se může objevit varování, upozorňující na problém s bezpečnostním certifikátem stránky. Nejde však o vyjádření toho, že by stránky ISDS byly nedůvěryhodné: váš prohlížeč vám pouze dává najevo, že není schopen ověřit, zda vám ukazuje skutečné stránky ISDS a nikoli nějaké podvržené stránky, které by se za stránky ISDS jen vydávaly. Aby toho byl váš prohlížeč schopen, musíte mu dodat (nainstalovat do něj) potřebné certifikáty kořenové a podřízené certifikační autority PostSignum, podle kterých již dokáže stránky ISDS spolehlivě identifikovat. Postup instalace certifikátů je popsán zde. Po jejich nainstalování se již upozornění na nedůvěryhodnost stránky nebude ve webovém prohlížeči objevovat. Při instalaci certifikátů nezapomeňte na ověření jejich pravosti.
Ale ani tato verze není však zcela ideální, přestože zmiňuje potřebu ověření pravosti instalovaných certifikátů.Neříká ale, co je dostatečně spolehlivým ověřením pravosti. Tím rozhodně nemůže být pouhé stažení těchto certifikátů přímo z webu, bez další kontroly.
Určitě dostatečně spolehlivé je, jestliže si uživatel pro kořenové certifikáty CA PostSignum zajde přímo na pracoviště samotné certifikační autority PostSignum nebo navštíví nějakou provozovnu České pošty. Za důvěryhodný se dá považovat certifikát autority, který vám osobně předá operátorka na pracovišti České pošty.
Existují však i další řešení, která nevyžadují „fyzickou“ návštěvu provozovny České pošty. Česká pošta by mohla distribuovat kořenové certifikáty svých CA spolu s přihlašovacími údaji k datovým schránkám na nějakém malém nosiči (CD) vloženém do obálky se žlutým pruhem. Ale to nedělá. Příslušné certifikáty si může uživatel i stáhnout z webu za podmínky, že následně dostatečně spolehlivě ověří jejich pravost – porovnáním otisku stažených certifikátů s hodnotou získanou z dostatečně spolehlivého zdroje. Tím by mohla být opět tzv. PIN zásilka – obálka se žlutým pruhem, pomocí níž Česká pošta rozesílá přístupové údaje k nově zřízeným datovým schránkám.
Takže snad poslední rada pro uživatele, kteří si již jednou nějaký certifikát do svého počítače nainstalovali, třebaže i méně důvěryhodným způsobem : odinstalovat a nahradit instalací certifikátu, který již získáte dostatečně důvěryhodným způsobem.
Zdroj :http://www.lupa.cz/clanky/stalo-se-ceska-posta-neradila-spravne/
Odpovědět na příspěvek