Daňový portál - elektronické podání a bezpečnost

James Deer

Dneska jsem po dlouhém boji s Java Applety na Linuxu uskutečnil své první elektronické podání podepsané kvalifikovaným certifikátem.

V principu je to jednoduché - vložíte certifikát, zadáte heslo k certifikátu, žádost by se měla podepsat a je to. Vedle kolonky na heslo byl ještě nápis "heslo se neukládá". Pro jistotu jsem si otevřel Developer Consoli a prohlížel Network záložku. Co myslíte?

Při odeslání podání jde v jednom formulářovém poli certifikát a ve druhém heslo v plaintextu. Začínám uvažovat o tom, co je smyslem takového podepsání? Vždyť když vám pošlu certifikát i s heslem, můžete si podepsat, co budete chtít a tvrdit, že jsem to podepsal já.

Mě se to nelíbí. Vám?


mhi_

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #1 kdy: 21. 06. 2016, 22:18:29 »
Ten applet by mel podani jen podepsat, klic/heslo se nikam (doufejme) neposila.

U celniku je to resene pres ActiveX a dokonce to i ukazuje podepisovane XMLko. Bezpecnost je v obou pripadech zalozena na tom, ze duverujete nejakemu programu/appletu, ktery je pofiderne podepsany...

JardaP .

  • *****
  • 11 064
    • Zobrazit profil
    • E-mail
Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #2 kdy: 21. 06. 2016, 22:25:56 »
Citace
U celniku je to resene pres ActiveX.....

Wow, to tedy asi bude drsne multiplatformni reseni!

James Deer

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #3 kdy: 21. 06. 2016, 22:53:36 »
Ten applet by mel podani jen podepsat, klic/heslo se nikam (doufejme) neposila.

To právě nedoufejte. Já jsem to viděl na vlastní oči - heslo odchází tak jak je z vašeho počítače!

James Deer

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #4 kdy: 21. 06. 2016, 23:08:37 »
Důkaz místo slibů (ono se to dokonce odešle, pokud vyplníte heslo a kliknete na tlačítko Zpět, takže lze odeslat i špatné heslo, jako jsem to udělal já):



txt

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #5 kdy: 21. 06. 2016, 23:23:40 »
A co teda dělá applet, pokud se odesílá kompletní p12 balík na server? Je li to tak pak to se svet v zadek obrací...

mhi_

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #6 kdy: 21. 06. 2016, 23:33:53 »
To mate nejake "divne", me formular odeslat nejde kdyz zadam spatne heslo ?! Resp. nevidel jsem, ze by to pri overovani neco posilalo. Zkoumal jsem to ale dost davno, mohu se mrknout az budu odesilat kontrolni hlaseni.

mhi_

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #7 kdy: 21. 06. 2016, 23:43:52 »
Citace
U celniku je to resene pres ActiveX.....
Wow, to tedy asi bude drsne multiplatformni reseni!

Ano, mam kvuli tomu nainstalovane IE nejake historicke verze, ve kterem navic uz ani ten klient nechodi uplne dobre. Navic se obcas deji takove veci, ze neco prestane chodit, nebo nove vydany certifikat ma spatny "format" a jejich ActiveX odmita podepisovat (ale nerekne - ve volani API selhalo to a to, proste hlaska je "nepodarilo se podepsat") . Na to dokonce udelali diagnostickou aplikaci ;-).

Importni cla jsou resena pres silverlight, dalsi perlicka.

Zavolejte si na helpdesk ECR a tam Vam vysvetli, ze to vsem funguje, ze IE je jediny spravny prohlizec, ve kterem lze takovou vec realizovat, ze ostatni prohlizece nesplnuji standardy, atd. Cloveku je k bliti kdyz toto slysi. nejlepsi je, ze v IE ten jejich system funguje hur nez ve Firefoxu, ale bohuzel ve Firefoxu nelze udelat ten zasadni krok, podepsat deklaraci.

Driv jsem zabrednul do jedne causy s e-podanim na justice.cz, k soudu  bylo potreba vyjadreni jak to funguje (pres 106/1999) a nestacil jsem se divit (logy nemame, cas podani nikdo negarantuje-pritom na tom zavisel uspech zaloby, kdyz neco zvoraji na podatelne neni jak zjistit co se vlastne stalo, urednice z podatelny samozrejme nepriznala chybu, atd.). Odvolaci senat tomu vubec nerozumel, jenom precetli vyjadreni min. spravedlnosti, ze ktereho vlastne nic nevyplyvalo, ale rozsudek nakonec stejne potvrdili. Stesti, ze se zalovany nedovolal k NS, kdyby k tomu prisel nejaky znalec, tak byla dukazni nouze.

James Deer

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #8 kdy: 21. 06. 2016, 23:50:16 »
To mate nejake "divne", me formular odeslat nejde kdyz zadam spatne heslo ?! Resp. nevidel jsem, ze by to pri overovani neco posilalo. Zkoumal jsem to ale dost davno, mohu se mrknout az budu odesilat kontrolni hlaseni.


No odeslat nejde,ale když kliknete vpravo na tlačítko Zpět, odešle se HTTP POST požadavek, ale správnost hesla se nekontroluje. Zkuste si to.

mhi_

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #9 kdy: 21. 06. 2016, 23:55:16 »
Vyborne .. odesilam KH za jednu firmu...

adisepo.mfcr.cz uses an invalid security certificate. The certificate is not trusted because the issuer certificate is unknown. The server might not be sending the appropriate intermediate certificates. An additional root certificate may need to be imported. Error code: SEC_ERROR_UNKNOWN_ISSUER

Dale potvrzuji, ze pri odeslani se ve formulari skutecne ponecha heslo a posle na web MFCR !!!!

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #10 kdy: 22. 06. 2016, 07:02:26 »
A co teda dělá applet, pokud se odesílá kompletní p12 balík na server? Je li to tak pak to se svet v zadek obrací...
Applet to elektronicky podepíše. Pokud se heslo a/nebo privátní klíč odesílají na server, je to proto, že autoři aplikace zapomněli, že údaje zadané do webového formuláře se odešlou, i když je nezajímají – že je musí před odesláním vymazat. A nebo je také možné, že je mažou, ale k tomu je samozřejmě potřeba zapnutý JavaScript – je možné, že James Deer má JavaScript vypnutý.

adisepo.mfcr.cz uses an invalid security certificate. The certificate is not trusted because the issuer certificate is unknown. The server might not be sending the appropriate intermediate certificates. An additional root certificate may need to be imported. Error code: SEC_ERROR_UNKNOWN_ISSUER
Vy nedůvěřujete certifikační autoritě, která vydala serverový certifikát. S tím nic neuděláme ani my ani MF ČR, to si musíte rozmyslet vy, jestli budete důvěřovat certifikační autoritě, které ze zákona důvěřuje celá EU.

JardaP .

  • *****
  • 11 064
    • Zobrazit profil
    • E-mail
Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #11 kdy: 22. 06. 2016, 07:48:14 »
A co takle vznest dotaz nekde primo u soudruhu z financaku? Treba odpovi nejakou zajimavou buresovinu.

James Deer

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #12 kdy: 22. 06. 2016, 08:15:19 »
[quote author=Filip Jirsák link=topic=13426.msg169690#msg16969A nebo je také možné, že je mažou, ale k tomu je samozřejmě potřeba zapnutý JavaScript – je možné, že James Deer má JavaScript vypnutý.
[/quote]

JavaAcript mám zapnutý, bez toho by to snad ani nefungovalo. Ale i kdyby to bylo tak, jak popisujete, stejně by to bylo lajdáctví.

JardaP .

  • *****
  • 11 064
    • Zobrazit profil
    • E-mail
Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #13 kdy: 22. 06. 2016, 08:18:52 »
Tak kdyz to posila Java applet, tak by se snad o to nemel starat JS, ale ten Java applet a ten by mel schopen si poskladat odesilana data z toho, co je potreba. Pokud tam soudruzi odesilaji i heslo, tak to vzbuzuje otazku, nac to heslo potrebuji.

Re:Daňový portál - elektronické podání a bezpečnost
« Odpověď #14 kdy: 22. 06. 2016, 08:58:55 »
Ale i kdyby to bylo tak, jak popisujete, stejně by to bylo lajdáctví.
Jistě. Ale diskusemi na Rootu se to nespraví. Spraví se to, pokud použijete odkaz na podporu, který máte na té stránce uveden.

Pokud tam soudruzi odesilaji i heslo, tak to vzbuzuje otazku, nac to heslo potrebuji.
Jak jsem psal, nepotřebují ho na nic. Prostě si jenom někdo neuvědomil, že když do webové stránky vloží formulářový prvek, jeho obsah se odešle, bez ohledu na to, jestli ho k něčemu potřebujete nebo ne.