Rizika - Odpovědnost - Závazky

Obsahuje definici nezapojených osob (NRP)

"Membership has its rewards." - "Členství má své odměny/přednosti/výhody."

Podílet se na CAcert přináší i rizika, odpovědnost a závazky. Tato stránka popisuje rizika, odpovědnost a závazky ve tvaru formuláře KONCEPT. Je primárně řízena kritériem Davida Rosse (DRC) A.6.

Strana	Rizika	Odpovědnost	Závazky	Poznámky
CA	ztráta/prozrazení kořenových klíčů; nedostupnost systémů; krádež/prozrazení databáze uživatelů	nápravy nařízené arbitrem	zajištění DR, zajištění Doc, ochrana systému, Výbor je připraven zálohovat vše ostatní	Management je nedostačující
Nezapojená osoba (NRP)	je zneužita, SPOLÉHÁ nevhodně mimo licenci distribuce kořenových certifikátů (RDL) a Dohodu komunity CAcert (CCA)	vlastní akce	"žádné" Protože nezná CAcert, nemůže být "vázána".	"Babička": jakožto člen veřejnosti, používá prohlížeč, ale nezná CAcert.
Člen	je zneužit; ztratí/prozradí data uživatele; certifikát se ukáže být nespolehlivý	může ztratit přístup, může ztratit hodnotu	uvedeno v Dohodě komunity CAcert (CAcert Community Agreement, CCA)	nový člen komunity
Anonymní odběratel	Krádež privátního klíče, prozrazené uživatelské jméno,	odvolání, ztráta přístupu, ztráta bodů	mít klíč utajený, používat ho odpovědně	Používání anonymního certifikátu může probíhat s ohledem na vyšší stupeň odpovědnosti kvůli ochraně, kterou přináší anonymita.
Pojmenovaný odběratel	Krádež privátního klíče, prozrazený ID a údaje	totéž	totéž
Registrační autorita (RA): zaručovatelé	mizerně vedené zaručení	může ztratit body zaručení i stav zaručovatele - podle nařízení arbitra	nejvyšší pečlivost při zaručení, uschovat si formuláře	Registrační autority jsou ti, kteří kontrolují "nacionále" odběratelů. V tomto případě jsou to zaručovatelé CAcert
Všichni Členové	předmět rozhodnutí arbitra v řešení sporu (DR), právní žaloba od NRP mimo naši jurisdikci, soudní obsílka/příkaz od NRP	nápravy nařízené arbitrem nebo soudem (v případě procesu NRP/"babičky")	akceptuje CCA, CPS, PP atd., jednat podle nich, pracovat ku prospěchu CAcert a držet se ducha principů	pokrývá všechny registrované a tedy přihlášené
Každý, kdokoli		je odpovědný za zločiny

Termíny:

CA = Certifikační autorita (Certification Authority)
CCA = Dohoda komunity CAcert (CAcert Community Agreement)
CPS = Přehled postupů certifikace (Certification Practise Statement)
DR = Řešení sporů, "v domě" (domácích)
ID = Identifikace, identifikátor, nebo identita (totožnost)
NRP = Nezapojená osoba (Non-related person)
PP = Zásady ochrany soukromí (Privacy Policy)
RA = Registrační autorita (Registration Authority)
RDL = Licence pro distribuci kořenových certifikátů (Root Distribution License)

Specifická rizika a specifické závazky u certifikátů pro podpis kódu (CSC)

Přehled diskuse o certifikátech pro podpis kódu (Code Signing Certificates, CSC)

Strana	Rizika	Odpovědnost	Závazky	Poznámky
Podepisující	Klíč může být prozrazen a použit k podpisu škodlivého kódu (malware)	Odpovědnost za kód podle vlastního licenčního prohlášení	Udržujte klíč zabezpečený, odvolejte prozrazený; pište svou licenční dohodu v souladu s dohodou o podpisu kódu s CAcert	Může se týkat "distributora"?
CAcert		asi bude muset odpovídat za nároky NRP, prodejce	Musí vydávat certifikáty podle zásad	musí rozdělovat R/O/Z mezi Podepisujícího na jedné straně a prodejce na straně druhé
Prodejce OS / prohlížeče		asi bude muset odpovídat za nároky NRP	Může pouze vkládat kořenové certifikáty, které souhlasí s jeho zásadami; musí nabízet licenci kompatibilní s licencí CA koncovým uživatelům; měl by koncovým uživatelům umožnit kontrolu certifikátů na název CA,
Zaručovatel	je oklamán autorem škodlivého kódu	k arbitrovi	speciální zaručení CSC	speciální zaručení CSC je až dosud jen spekulace!
Člen	Může spustit škodlivý kód		Musí se rozhodnout, zda je podepisující důvěryhodný
NRP	Může spustit škodlivý kód			Nemůže spoléhat na certifikáty vydávané CAcert

Termíny:

CA = Certifikační autorita (Certification Authority)
NRP = nezapojená osoba (Non-Related Person)
R/O/Z = rizika / odpovědnost / závazky (R/L/O, Risks / Liabilities / Obligations)
OS = operační systém (Operating System)

Otázky

Chceme-li, aby podepisovatel kódu uzavřel dodatečnou smlouvu, co by měla obsahovat? Některé náměty:

Nesmí používat CSC k podpisu malware (Snad je trochu hloupé toto požadovat, protože je to evidentní, ale možná to bude potřebné)
Může používat CSC pouze k podepisování určitého softwaru (musí být svobodný, nesmí být životně důležitý, bez škodlivého dopadu na prostředí, ...)
Musí potvrdit, že přijímá odpovědnost za podepsaný kód
Musí souhlasit, že osobní údaje mohou být zveřejněny v případě sporu (i když je tento požadavek už obsažen v Zásadách ochrany soukromí [PP], myslím, že je lépe vyjádřit ho zde znovu a výslovně)
Musí potvrdit, že zná potenciální širší rizika

Další nápady

"Výzva podepisovatele kódu", test podobný Výzvě zaručovatele
Rozšířené ověření a vysledovatelnost podepisovatelů kódu, například: kopii ID musí ověřit a uschovat zaručovatel

Řešení sporů

Nápravy jím stanovené může arbitr nařídit kterémukoli uživateli:

odstranění/blokování přístupu k systému
ztrátu bodů
odvolání certifikátu
ukončení registrace jako uživatele CAcert
publikace nebo upozornění na akce
a jiné, jak je přinese rozvoj koncepce

Řešení sporů je popsáno na fóru arbitráže

NRP - Babička [ze Šumavy]

V rámci R/O/Z bylo Nezapojeným osobám, jinak zvaným Babičky, nařízeno (x AD1 20606xx):

Babička může POUŽÍVAT certifikáty, ale nemá povoleno SPOLÉHAT na ně. To odpovídá normálnímu paradigmatu prohlížečů, kde si může stáhnout a instalovat bezplatný software, ale bez jakéhokoli vztahu k dodavateli. Nese veškeré riziko své činnosti.

Dementi a licence pro Babičku je v RDL (Licenci šíření kořenových certifikátů, Root Distribution License).

Přeje-li si Babička SPOLEHNOUT (RELY) a vznést nějaký nárok na CAcert, musí se připojit, tj. stát se Členem.

Problém: Jestliže se nám podaří dostat kořenové certifikáty CAcert do některého prohlížeče, pak ten prohlížeč (a tedy mnoho nezapojených osob - NRP) může SPOLEHNOUT (RELY) na certifikáty vydané autoritou CAcert.

Rizika odpovědnosti pro zaručovatele

Přesná odpovědnost zaručovatele je v jakémkoli konkrétním případě určena především řešením sporu u CAcert a může být určena rovněž vnějším soudem v případech zločinů nebo u nezapojených osob (NRP).

Následují poznámky jen jako vodítko:

Zaručovatel(ka) postupoval(a) správně. Doklady byly platné a osoba je správná. ==> Zaručovatel(ka) není v nebezpečí, neboť odvedl(a) dobrou práci.
Nastaly menší závady. například: doklady byly právě prošlé, ale osoba je správná. ==> Výsledek byl správný, nedošlo k porušení, takže případný spor osvědčí kvalitu.
Zaručovatel(ka) se skutečně pokusil(a) pracovat poctivě, avšak předložené doklady byly velmi kvalitně zfalšovány. ==> Obtížný případ. Arbitr musí rozhodnout, zda zaručovatel(ka) správně ověřuje doklady, které vidí jako "vyhlížející opravdu správně".
Zaručovatel(ka) pracoval(a) nedbale. Například zaručil(a) někoho bez kontroly checking the dokladů, nebo byly předložené doklady na první pohled zfalšovány. ==> Toto je případ hrubé nedbalosti, který Vás obvykle učiní odpovědným za narušení způsobené touto akcí. Řešení sporů CAcert může tento případ pokrýt, pokud je založen spor a neprobíhá žádný spor u externích soudů.
Zaručovatel(ka) vědomě provedl(a) nesprávné zaručení ("Ach, on si jen chtěl z někoho vystřelit!") ==> Vytvořit falešné prohlášení s úmyslem podvést je podvod (nebo prvek podvodu), což je zločin. Zločinný podvod, hrubá nebo zločinná nedbalost leží obecně mimo civilní fóra jako je řešení sporů CAcert. Arbitr může vynést nařízení, ale to v žádném případě nechrání zaručovatele před dalšími postihy.

Dá-li se zaručovatel učinit odpovědným, je další otázkou, do jaké míry. Jedno z hledisek může být k odstranění následků jeho akcí. To nesmí pokrývat "odkup babiččina domu", protože Babička nemá povolené SPOLEHNUTÍ. Členové CAcert jsou zavázáni nespoléhat se příliš.

Hlediska státu

Uvědomte si, že jurisdikce pro zaručování je především arbitrážní systém řešení sporů CAcert a zákon je především ten, který platí v Novém Jižním Walesu (NSW) v Austrálii.

Avšak existují určité výjimky: Oblast zločinů, případy NRP a státy, které nemají zákon o arbitráži (rozhodčím řízení).

Více informací k tématu odpovědnosti/nedbalosti:

https://cs.wikipedia.org/wiki/Nedbalost - "rozcestník" o nedbalosti a odpovědnosti
http://de.wikipedia.org/wiki/Schadensersatz - pěkný přehled německých zákonů o odpovědnosti
http://en.wikipedia.org/wiki/Negligence - podobný přehled zaměřený na americké zákony
http://frankbold.org/poradna/kategorie/odpovednost/rada/spravnepravni-trestni-a-civilni-odpovednost-kterou-zvolit - článek v češtině s přehledem českých zákonů

==> Přidejte sem odkazy na hlediska (zákony) dalších zemí. <==