[LUGOS] Re: firefox edavki game over

[Andraz Tori]

On pon, 2006-04-10 at 10:41 +0200, Rok Krajnc wrote:
> Ne ne. Ko se prijaviš v sistem, je to analogno temu, da se osebno
> pojaviš na banki. Potem hočeš opraviti neko storitev, recimo prenesti
> denar iz enega računa na drugega. Če si fizično na banki, izpolniš nek
> obrazec, *se podpišeš*, daš na okence in dobiš kopijo obrazca. V spletni
> banki, če parafraziram, pomoliš nepodpisan listek, in ti pač zaupajo (in
> ti njim!, kar je po moje še bolj pomembno, če se nekje znajde kakšna
> transakcija, ki je sploh nisi opravil), ker prepoznajo tvojo 'faco'.

Ta analogija ne bo držala. Analogija prijavi v sistem preko SSL je, da
prideš do šalterja in NAJPREJ pokažeš osebno izkaznico, ki jo uslužbenec
preveri in te potem za časa 'seje' ne preverja več. Nato mu daš bančno
kartico s tvojim imenom in poveš kam bi rad prestavil denar. Uslužbenec
od tebe ne bo zahteval nobenega podpisa ali dokumenta več.


> Ko se podpišeš na nek dokument, to v bistvu pomeni, da se strinjaš s
> tistim, kar je na njem napisano. Zato davčna (ali kdorkoli drug)
> *potrebuje* tvoj podpis. To je bistvo vseh pogodb in podobnih
> dokumentov. Ko se ti s svojim certifikatom prijaviš v sistem, s tem še
> nisi podpisal dokumenta. To je isto, kot da se osebno zglasiš  na davčni
> in nič več. Šele podpisana pogodba (ali v tem primeru napoved) ima veljavo.

Torej bančna transakcija, ki je nastala brez takšnega podpisa po tvojem
nima pravne veljave?

(malce pravociram - hočem zgolj pokazat na dejstvo, da je država svojim
e-državljanom zakomplicirala življenje s to rešitvijo - lahko bi si
izbrala enako enostavno pot kot banke in potem bi bila številka namesto
2.8% elektronsko izpolnjenih dohodnin morda 6% ... )

> Drugače je pa postopek, uporabljen pri oddaji dohodnine, čisto običajen
> za podpisovanje dokumentov. To si ni izmislila davčna ali naša država.
> Tisti SSL in tvoja 'prijava' s certifikatom sploh nimata nobene veze
> (razen če gre za zaupne dokumente). Postopek je tak: dobiš nek XML
> dokument, ki je lahko že podpisan in s tem zagotavlja, da je njegova
> vsebina prava. Tako ti veš, da izpolnjuješ pravi dokument. Potem ga ti
> izpolneš in podpišeš s svojim ključem - s tem zagotavljaš, da stojiš za
> napisanim in preprečuješ komurkoli, da bi dokument spreminjal (tudi če
> bi ga 'man-in-the-middle dobil v roke, mu to nič ne pomaga, ker ne more
> potvoriti tvojega podpisa). S tem podpisovanjem v bistvu bolj ščitiš
> sebe, ker potem nihče ne more potvoriti podatkov. Dokument oddaš (magari
> preko HTTP), kjer ga mora (teoretično - nekako tako kot radius) časovno
> podpisati zaupanja vredna tretja oseba. Podpiše ga lahko še izdajatelj
> in s tem je stvar opravljena. Tako kot odgovarjaš za lastnoročni podpis,
> ravno tako odgovarjaš za elektronski podpis (in varnost svojega ključa).

vse lepo in prav, a trenutna infrastruktura e-davkov ne zagotavlja, da
bi lahko prišel do vsega potrebnega softwara po varni poti. odpira pot,
da postane ves ta teoretično varen postopek povsem neuporaben.

V resnici bi bil najbolj vesel, ko bi imeli vsi brskalniki/OS ustrezne
komponente za delo s temi standardnimi podpisi že privzeto vgrajene in
mi tako ne bi bilo potrebno nameščati nobenega softwara, klikati nobenih
Ok in prepisovati nobenih CAPTCHA kod... 

Mimogrede, a zna kdo razložit čemu koristi prepisovanje tiste številke,
preverjanju vida mogoče?

> Drugače pa ... kot je že nekdo pred mano omenil ... pripravite se na
> DRM, ker bo v eni ali drugi obliki slej ko prej prišel. Mogoče je res ta
> postopek s certifikati in podpisovanjem preveč zakompliciran za
> navadnega uporabnika. Preveč stvari gre lahko narobe, preveč različnih
> oken in napak se lahko pojavi, da bi se dalo v nekih preprostih
> navodilih to razložiti. Zato bo DRM v bistvu rešitev za non-geek
> uporabnike, ker bodo lahko brez problemov uporabljali vse e-soritve, ki
> jih bo (upajmo) naša država ponudila. Drugi se pa bomo (boste) že nekako
> temu ognili :)

... težko verjamem, da bomo lahko pod katerimkoli 'non-proprietry' OS
čez 10 let elektronsko poslovali s komerkoli... pa najsibomo geeki ali
ne.

bye
andraž