Pomoc - Otázky a odpovědi

Contents

  1. Pomoc - Otázky a odpovědi
    1. K čemu to vůbec je?
    2. Proč digitálně podepisovat své vlastní e-maily?! (podivínské...)
    3. Jak nás to připravuje k ochraně naší svobody
    4. Proč to už nepoužívá každý?
    5. Proč je digitální podpis označen jako 'neplatný/nedůvěryhodný' [not valid/not trusted]?
    6. Ale, e-e, je to opravdu důkaz Vaší e-mailové totožnosti?
    7. Tak jo, chlape! Jak si udělám svůj vlastní digitální podpis?!
    8. Už se nemůžu dočkat, až začnu posílat zašifrované e-maily!
    9. Poznámky pro zvláště zvědavé
    10. Tak hrome, jaký je pak smysl toho všeho?
    11. Odkazy

K čemu to vůbec je?

Účelem digitálního podepisování je elektronicky prokázat něčí totožnost. Vídáme to na Internetu stále - kdykoli navštívíte zabezpečenou stránku na webu, například pro zadání osobních údajů nebo k zadání objednávky, nebo když denně navštěvujete weby digitálně podepsané certifikační autoritou, která je uznávána jako autorita pro jejich podpis. To vše je pro uživatele neviditelné s výjimkou možného varování, že vstupujete do zabezpečené zóny (například SSL a HTTPS).

Váš prohlížeč standardně obsahuje speciální (kořenové) certifikáty od mnoha těchto 'certifikačních autorit' (CA), a všechny weby používají certifikáty, které jsou ověřeny jednou z těchto společností, jimž Vy jakožto uživatel implicitně důvěřujete pokaždé, když vstupujete do zabezpečené části webu. (Možná se ptáte, kdo ověřuje bezpečnost samotných certifikačních autorit, a proč byste jim měli věřit?!... Dobrá otázka.)

Digitální podepisování tedy poskytuje bezpečnost Internetu.

Proč digitálně podepisovat své vlastní e-maily?! (podivínské...)

E-maily nejsou bezpečné. Ve skutečnosti jsou e-maily VELMI MÁLO bezpečné!

Než se e-mailová zpráva dostane od uživatele Internetu A k uživateli Internetu B, může projít desítkami anonymních [nebo aspoň Vám neznámých] počítačů na Internetu. Tyto počítače 'internetové infrastruktury' mohou připustit prohlížení, ba i změny obsahu Vaší zprávy, jak uznají za vhodné. Vlády systematicky prohlížejí obsah všech e-mailů posílaných do/z/uvnitř svých zemí, například vláda Spojeného království GB a NI to provádí už od roku 2000. (Tak nás vedou k ochraně naší svobody.) Co takhle žádost o zaslání ztraceného hesla e-mailem? Pošlou-li Vám takto heslo, je volně přístupné a k dispozici potenciálním škůdcům.

Jak ví každý, kdo dostal z podivné adresy e-mail s virem, mohou být e-mailové zprávy snadno podvrženy. Totožnost odesilatele lze v e-mailu velmi snadno zfalšovat. Je tedy velkou výhodou, že digitální podpis poskytuje prostředek k zajištění, že e-mail přichází skutečně od osoby, která je uvedena jako odesilatel. Kdyby každý digitálně podepisoval své e-maily, bylo by mnohem snadnější poznat, zda je e-mail legitimní a nezměněn; a k velké úlevě mnohých by bylo mnohem lehčí potírat spamování, a viry falšující adresu odesilatele by šlo snadno zjistit a tím i snadno potírat.

Jak nás to připravuje k ochraně naší svobody

Ale snad nejdůležitější důvod digitálního podepisování je povědomí a ochrana soukromí. Vytváří se vědomí (nedostatku) bezpečnosti na Internetu a nástroje, kterými se můžeme vyzbrojit k zajištění své osobní bezpečnosti. A tím, že se lidé stávají vnímavějšími k digitálním podpisům, získávají vědomí možnosti ochrany soukromí a šifrování.

Lidé by většinou měli námitky, kdyby zjistili, že klasickou poštou odeslané dopisy vláda otevírá, čte a snad si je i kopíruje, než je předá adresátovi znovu uzavřené a/nebo zapečetěné, jako by se nic nestalo. A zatím se to denně děje s e-mailovými zprávami (v UK). Někteří lidé protestují proti takovému vpádu do soukromí, ale jejich hlasy jsou slabé a volají do hluchých uší. Ovšem nejefektivnější způsob boje proti tomuto porušování soukromí je změnit uzavřenou obálku v miniaturní bankovní trezor, tedy zašifrovat Váš e-mail. Kdyby byly všechny e-maily zašifrované, bylo by pro vládu, jinou organizaci nebo jednotlivé škůdce mnohem těžší až nemožné sledovat širokou veřejnost. Měli by, zcela realisticky, dostatek prostředků jen pro sledování důvodně podezřelých osob. Proč? Protože zašifrování může být prolomeno, ale stojí to množství výpočetního výkonu a toho by nebyl dostatek pro sledování celé populace jakékoli země.

Digitální podpisy nás připravují na šifrování, protože kdyby měl každý schopnost generovat své vlastní digitální podpisy, bylo by technicky velmi snadné udělat další krok - od digitálních podpisů k šifrování. A to by bylo výborné pro ochranu soukromí, boj proti spamování a pro bezpečnější Internet.

Proč to už nepoužívá každý?

Z hlavních důvodů, proč s tím většina lidí ještě nezačala, je (kromě technického) nejdůležitější finanční náročnost. Potřebujete mít svůj vlastní certifikát pro digitální podepisování svých e-mailů. A certifikační autority žádají peníze za to, že Vám ho poskytnou. Dalších slov netřeba. Děkuju, nechci - jdu raději domů. Přesto vznikají organizace, které poskytnou obyčejnému pouličnímu prosťáčkovi bezplatnou alternativu. Avšak vzhledem ke zřejmému nedostatku příjmů a potřebě finančních výdajů nemají tyto organizace ještě peníze na to, aby se staly důvěryhodnými certifikačními autoritami. Důvěra k nim je tedy v současnosti nízká. Je na každém jednotlivci rozhodnout se, zda bude důvěřovat neznámé certifikační autoritě. Ovšem jakmile dáte důvěru certifikační autoritě, můžete implicitně důvěřovat digitálním podpisům generovaným za použití certifikátů tou autoritou vydaných. Jinak řečeno, důvěřujete-li certifikační autoritě, kterou používám (a přijmete od ní certifikát), můžete automaticky důvěřovat mému digitálnímu podpisu. Věřte mi!

Proč je digitální podpis označen jako 'neplatný/nedůvěryhodný' [not valid/not trusted]?

K plnému pochopení čtěte předchozí sekci. Já používám bezplatnou certifikační autoritu, aby mi poskytla schopnost digitálně podepisovat e-maily. Ale tato certifikační autorita není (zatím) uznávaná mým e-mailovým softwarem - je to nová organizace, které ještě není úplně zavedena, ačkoli je už pravděpodobně zařazována do prohlížeče Mozilla. Pokud chcete, můžete navštívit její web CAcert.org a instalovat si kořenový certifikát. Možná se Vám bude hlásit, že ten certifikát není důvěryhodný - to je normální a já navrhuji, abyste přesto pokračovali v instalaci. Uvědomte si, že to zahrnuje Váš souhlas, že důvěřujete jejich (CA) bezpečné distribuci a ukládání digitálních podpisů, například toho mého. (Už to přece děláte celou dobu.) Kořenový certifikát CAcert.org pak bude automaticky poskytovat bezpečné ověření mého digitálního podpisu, který je také odvozen od mojí důvěry k nim. Nebo si prostě řeknete, že jste čtením tohoto článku jenom ztráceli čas, a neuděláte nic (je to švindl!). V tom případě se styďte! :-)

Ale, e-e, je to opravdu důkaz Vaší e-mailové totožnosti?

Bezpečnost je vážná věc. Aby mohla certifikační autorita vydat nějaké osobě digitální certifikát s plnými právy, musí být provedeny přísné testy, včetně setkání s fyzickou osobou pro ověření její totožnosti. V této chvíli dosud autorita CAcert.org neověřila moji fyzickou totožnost, ale ověřila moji e-mailovou adresu. Instalace jejích kořenových certifikátů (viz výše) Vám tedy automaticky umožní ověřit si můj digitální podpis. Pak si budete jisti autenticitou mojí e-mailové adresy - pouze já mohu digitálně podepsat své e-mailové zprávy použitím svého certifikátu od CAcert.org, takže dostanete-li e-mail, který jsem digitálně podepsal a který je ověřen Vaším e-mailovým softwarem použitím kořenového certifikátu CAcert.org, který jste si nainstalovali, pak víte, že ten e-mail je ode mne. (Dostanete jednoduchou viditelnou indikaci, že můj e-mail je podepsán a důvěryhodný.) Technicky vzato, oni neověřili, že já jsem opravdu já! Máte však záruku, že e-maily z mojí adresy odesílá osoba, která fyzicky spravuje tuto adresu, tedy já! Jediný způsob, jak by někdo mohl zfalšovat můj digitální podpis, by byl, kdyby se přihlásil k mému domácímu počítači (mým uživatelským jménem a mým heslem) a spustil můj e-mailový software (zase pod mým heslem), aby Vám z mojí adresy poslal digitálně podepsaný e-mail. Ačkoli jsem už zahlédl (čtyřnohé) kočky sledující, jak se přihlašuji...

Tak jo, chlape! Jak si udělám svůj vlastní digitální podpis?!

Snadno - jako nic. Jděte na web autority CAcert.org, nainstalujte si její dva kořenové certifikáty a pak postupujte podle instrukcí, jak se přidat ke komunitě. Jakmile to máte, vyžádejte si z menu klientský certifikát. Dojde Vám e-mail s odkazem na certifikát. Klikněte na ten odkaz ze svého e-mailového softwaru a tím se doufejme Váš certifikát hladce nainstaluje. Dále jděte do bezpečnostní části nastavení svého e-mailového softwaru a konfigurujte digitální podpisy použitím certifikátu, který jste si právě stáhli. Hm. Pokud chcete, zavolejte mi, já Vás tím provedu.
[Někde v procesu připojení je schován postup s ping e-mailem, který Vám po vytvoření účtu přijde a jímž ověříte svou e-mailovou adresu.]

Už se nemůžu dočkat, až začnu posílat zašifrované e-maily!

Nic na tom není. Myslím to doslovně, už je můžete začít posílat. Ovšem za předpokladu, že máte svůj vlastní digitální podpisový certifikát (třeba ten, o kterém je řeč výše) a osoba, které chcete poslat zašifrovaný e-mail, má také digitální podpisový certifikát a právě Vám poslala jím digitálně podepsaný e-mail, k němuž je ten její certifikát připojen. Jsou-li uvedené podmínky splněny, musíte jen změnit nastavení svého e-mailového softwaru na odesílání zašifrovaných e-mailů a je to! Váš e-mailový software (asi Outlook, uhodl jsem?) by měl zařídit zbytek.

Poznámky pro zvláště zvědavé

Dáváte svoji důvěru lidem, které neznáte!

Člověk předpokládá, že má-li web SSL certifikát (ten, který umožňuje zabezpečenou komuunikaci pro výměnu osobních údajů, čísel kreditních karet atd., a dává ikonu 'zámku' do řádku adresy v prohlížeči), že majitel webu obdržel ten certifikát ze spolehlivého zdroje (certifikační autority), který má patřičně přísné kvalifikace pro vydávání něčeho tak zásadního, životně důležitého pro zabezpečení na Internetu a bezpečnost Vaší komunikace. Asi jste si ještě nepoložili otázku, kdo rozhodl o důvěře k těmto certifikačním autoritám, protože Váš prohlížeč přišel s jejich (kořenovými) certifikáty již předinstalovanými, takže jakýkoli web, který navštívíte a má SSL certifikát podepsaný jednou z těch CA, je automaticky považován (Vaším prohlížečem) za důvěryhodný.

Položme si tedy tu uvedenou otázku. Zřejmě předpokládáte, že lidé, kteří vytvořili software prohlížeče, také pečlivě stanovili, která že je důvěryhodná certifikační autorita. Je ale dost směšné, že ty přední, nejrozšířenější prohlížeče historicky neměly veřejné zásady ohledně určování, zda kořenový certifikát té které certifikační autority přidají do svého prohlížeče. Všechny certifikační autority, které figurují v prohlížečích, jsou "velká jména", pravděpodobně s velkými zisky (takže jistě dělají svou práci dobře!).

Tato situace se změnila. Internet Explorer, nejvýraznější příklad, trvá nyní na tom, aby byly certifikační autority are 'auditovány nezávislou organizací', to jest Americkým institutem pro certifikované veřejné účetní (American Institute for Certified Public Accountants, AICPA). Takže teď, máte-li ovšem potřebný obnos (od US$ 75000 po US$ 250000, i více), si můžete najmout tyto účetní, kteří toho jistě vědí hodně o penězích, aby prověřili, že máte požadovanou technickou infrastrukturu a provozní procesy, abyste mohli být certifikační autoritou. A za to dostanou pěkný svazek bankovek ke svému potěšení. A certifikační autority vlastně dostanou jistý druh monopolu, žádají za vydané certifikáty hodně peněz a získají také pěkný svazek bankovek. A všichni jsou šťastní a spokojení.

A se všemi těmi penězi a s tou odpovědností musí věnovat velkou péči zabezpečení, aby certifikační autority dělaly svou práci dobře a dělali ji dobře trvale, je to tak? Opravdu?!

Ale oni dělají chyby!

Takže: neprojdete-li auditem, nestanete se certifikační autoritou. A abyste prošli auditem - no, musíte prokázat, že umíte dobře vydávat certifikáty. Že jsou bezpečné, že je dáte pouze těm správným lidem, atd. A co se stane, když uděláte chybu a ta způsobí, že vydáte certifikát, který ohrozí celou populaci brouzdající Internetem, jak se to stalo CA Verisign? No, ehm, vlastně nic. Oni už za audit zaplatili, a hrome, už jsou tak velcí, že jim snad ani nemůžeme zrušit statut certifikační autority. (V sázce je příliš mnoho peněz!)

Tak hrome, jaký je pak smysl toho všeho?

Jádro pudla je, jak si teď věci stojí, že byste si měli dát pozor, zda někdo nerozhoduje za Vás (tedy předinstalovává do Vámi používaného prohlížeče certifikáty určitých CA) a také byste měli být opatrní, pokud jde o certifikáty, které si instalujete, a které patří jiným osobám. Ale na konci dne se to všechno svaří v důvěru. Zdá-li se Vám nezávislá certifikační autorita seriózní, solidní, a našli jste důkazy podporující toto prohlášení, není žádný důvod, abyste jí nedůvěřovali - stejně, jako když implicitně důvěřujete lidem, kteří již udělali chyby.

Odkazy

[
Ze šesti odkazů už pět nefunguje, mj. oba o "špehovacím zákonu". Jsou i další indicie:

(Poznámka překladatele.)
]

Deset rizik PKI: Co Vám neřekli o infrastruktuře veřejných klíčů (Public Key Infrastructure, PKI) - http://www.counterpane.com/pki-risks.pdf

/!\ WebTrust pro certifikační autority - http://www.webtrust.org/certauth.htm

/!\ Chybné Verisignem vydané digitální certifikáty nesou riziko podvržení - http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-017.asp

/!\ Program kořenových certifikátů Microsoftu (Root Certificate Program) - http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/news/rootcert.asp

/!\ Nařízení zákona o vyšetřovacích pravomocích (Regulation of Investigatory Powers Act, RIPA) ("Špehovací zákon" ('Snooping Bill'), oficiální vládní web, UK) - http://www.homeoffice.gov.uk/crimpol/crimreduc/regulation/index.html

/!\ Britský špehovací zákon o e-mailech prošel (UK) - http://www.cnn.com/2000/TECH/computing/07/28/uk.surveillance.idg/

Dementi: Autor předkládá v tomto článku své názory, které byste neměli považovat za 'pravdu', aniž byste si je osobně ověřili. Autor mohl pochybit a jakékoli chyby ochotně opraví, když kontaktujete správce elucido.net a uvedete své údaje z běžné informační služby registrace domény (například whois.net). Nelze vyvozovat a není záměrem doporučit instalaci kořenového certifikátu konkrétní certifikační autority.

Kopie stránky je umístěna na CAcert.org s výslovným povolením autora. Autorské právo na obsah tohoto článku má (jméno autora na vyžádání).

HELP/2/CZ (last edited 2016-03-19 18:11:06 by AlesKastner)