Bajecny svet elektronickeho podpisu | online podpora stejnojmenne knihy z Edice CZ.NIC

5.4.3.2         Statut autorit, jejichž certifikáty nejsou zařazeny do úložišť

Na předchozím obrázku si můžeme zdůraznit jednu velmi významnou skutečnost, kterou jsme si nepřímo již několikrát naznačovali: pokud kořenový certifikát nějaké certifikační autority není již „od počátku“ zařazen v úložišti certifikátů, rozhodně to neznamená, že by příslušná certifikační autorita byla nedůvěryhodná, a tím byly nedůvěryhodné i všechny certifikáty, vydané touto autoritou či některou z jí podřízených autorit[10].

V případě CA PostSignum to tedy neznamená, že by certifikáty vydané původními podřízenými certifikačními autoritami CA PostSignum (PostSignum QCA, PostSignum VCA, na obrázku vlevo) byly nedůvěryhodné.

To, že (některé či všechny) certifikáty nějaké konkrétní certifikační autority nejsou zařazeny do „počáteční náplně“ používaného úložiště certifikátů, můžeme interpretovat pouze tak, že o jejich důvěryhodnosti nejsou k dispozici žádné informace. Tím pádem nejsou k dispozici žádné informace ani o věrohodnosti certifikátů, které takováto certifikační autorita vydala[11].

Pro dokreslení si uvědomme, že žádný tvůrce programu, který připravuje „počáteční výbavu“ úložiště certifikátů pro svůj program, nemá z principu šanci posoudit důvěryhodnost všech již existující certifikačních autorit a rozhodnout o zařazení jejich kořenových certifikátů do svého úložiště. Natož pak důvěryhodnost kořenových certifikátů, které teprve budou vydány. Proto může do „počáteční výbavy“ zařadit jen některé kořenové certifikáty a nikoli všechny.

Zdůrazněme si ještě jednou, že nedostatek informací k posouzení se nerovná tomu, že něco je nedůvěryhodné.

Pravdou ale je, že nejrozšířenější webové prohlížeče tuto důležitou skutečnost až tolik nerespektují. Pokud totiž narazí na server, který se jim prokazuje takovým certifikátem, u kterého nedokáží posoudit jeho důvěryhodnost, chovají se skoro tak, jako kdyby šlo rovnou o nedůvěryhodný server.

Prohlížeče uživatele před vstupem na takovýto server varují (což je na místě), ale zdůvodnění tohoto varování není správné. Místo upozornění na nedostatek informací vytváří dojem, že jde o nedůvěryhodný či přímo podvodný server. To může být, ale také nemusí být pravda. A nedává to uživateli dostatečně najevo, že je na něm, aby dodal chybějící informace.

Asi nejlépe to bylo patrné při spuštění datových schránek v roce 2009. Server, na kterém běžel webový portál informačního systému datových schránek (ISDS), se prohlížeči prokazoval pomocí (systémového) certifikátu, který mu vystavila ještě původní („jedničková“) CA PostSignum (tj. PostSignum Root QCA). Příslušný kořenový certifikát této certifikační autority ale nebyl součástí „počáteční výbavy“ důvěryhodných certifikátů žádného prohlížeče (ani systémového úložiště MS Windows). A tak  - pokud si jej uživatel nedoplnil sám – jeho prohlížeč ho před vstupem na webový portál ISDS varoval, jako kdyby šlo o nedůvěryhodný server. Jak, to ukazují následující dva obrázky.

Pro obrázek ve větší kvalitě klikněte na odkaz pod číslem obrázku v legendě

Reakce Internet Exploreru na serverový certifikát, jehož důvěryhodnost nedokáže posoudit

Obrázek 5 - 33: Reakce Internet Exploreru na serverový certifikát, jehož důvěryhodnost nedokáže posoudit

Pro obrázek ve větší kvalitě klikněte na odkaz pod číslem obrázku v legendě

Reakce Firefoxu na serverový certifikát, jehož důvěryhodnost nedokáže posoudit

Obrázek 5 - 34: Reakce Firefoxu na serverový certifikát, jehož důvěryhodnost nedokáže posoudit

Jako uživatelé bychom tedy měli chápat „počáteční výbavu“ každého úložiště certifikátů jen jako určitý základ, na kterém bychom měli dále pracovat. Tedy doplňovat ho o další certifikáty, kterým my sami chceme důvěřovat.

Žádná „počáteční výbava“ ale nemůže být nikdy úplná. Přesto má svůj význam, protože dokáže uživatelům – zvláště těm méně zkušeným - usnadnit život tím, že nemusí sami přidávat různé „dobře známé“ certifikační autority (přesněji ty, které jako důvěryhodné vybral již tvůrce programu).

Pokud by se Česká pošta bývala včas dohodla s Microsoftem na zařazení kořenového certifikátu její CA PostSignum do programu MRCP (a tím i do „počáteční výbavy“) systémového úložiště v MS Windows, nemusela by alespoň část uživatelů datových schránek při prvním přístupu narážet na varování prohlížeče (viz výše)[12]

Existence „počáteční výbavy“ úložišť certifikátů má ale i své nástrahy. Kritéria důvěryhodnosti, které aplikuje autor programu, se nemusí nutně shodovat s kritérii, která hodlá aplikovat uživatel. Ten to pak může řešit i tak, že některé certifikáty z „počáteční výbavy“ zase smaže.

Extrémem je pak takový přístup, kdy uživatel vůbec nedůvěřuje tomu, co za něj vybral a prohlásil za důvěryhodné autor programu. Všechny certifikáty z „počáteční výbavy“ proto nejprve odstraní, a teprve pak začne plnit úložiště takovými certifikáty, které si vybral (a považuje za důvěryhodné) on sám.


[10] Za nedůvěryhodné můžeme považovat pouze ty certifikáty, které jsou uloženy ve složce „Nedůvěryhodní vydavatelé“ v systémovém úložišti MS Windows, viz výše, nebo od nich odvozené certifikáty (tj. certifikáty jejichž certifikační cesta vede k těmto nedůvěryhodným certifikátům).

[11] Zcela přesně bychom měli hovořit o certifikátech, jejichž elektronická značka je založena na předmětném certifikátu certifikační autority. Jedna a táž certifikační autorita totiž může vydávat různé certifikáty a podepisovat (označovat) je s využitím různých svých certifikátů.

[12] Konkrétně ti uživatelé, kteří používají operační systém Windows a prohlížeč Internet Explorer



© Jiří Peterka, 2011, profil na Google+
Valid HTML 4.01 Transitional Ověřit CSS!
3A2E
5665
6E6F
7661
6E69
2E3A
0D0A
5475
746F
206B
6E69
6875
2076
656E
756A
6920
7376
6520
7A65
6E65
2049
7265
6E65
2C20
7379
6E6F
7669
204A
6972
696D
7520
6120
6463
6572
6920
4576
652E
0D0A
5620
5072
617A
652C
204C
5032
3031
3020
4A69
7269
2050
6574
6572
6B61