Velký bratr Tě sleduje...

[proforma]

Prave mi prisel mail z Airbank. 2 zpravy - jedna dobra a jedna spatna:

1) Od zacatku dubna zridili bankovni identitu a stavajicim klientum ji automaticky zprovoznili. Bez jakehokoli ptani, jestli o to kdo ma zajem.
2) Jde to vypnout.

Jenom nevim, jestli vypnuti znamena i zruseni zaznamu atd.

[proforma]

Vzor nastvane odpovedi:


Dobry den, 

velice neprijemne mne prekvapila tato vase zprava o zrizeni bankovni identity. Zrizeni nevyzadane sluzby, na kterou jste se mne nezeptali, hodnotim jako neopravneny zasah do mych osobnich dat, ktera spravujete, a tedy poruseni smernice o GDPR, nebot k tomuto vyuziti jsem vam nedala souhlas.

Bankovni identitu jsem v nastaveni ihned vypnula. Timto e-mailem vas chci pozadat o sdeleni nasledujicich informaci:

1) Znamena vypnuti bankovni identity jeji zruseni, nebo je nekde na vasich serverech dale ulozena, byt neaktivni?

2) Mohu vas ucet dale vyuzivat bez teto bankovni identity, tj. bez archivovanych dat k teto identite?

V souladu s GDPR smernici zadam o smazani/zniceni veskerych dat a algorytmu vytvorene bankovni identity. Souhlasim s evidenci a zpracovanim pouze tech osobnich dat, ktera jsou nezbytne nutna k vedeni bankovniho uctu, nikoli k jejich dalsimu zneuziti pro nevyzadane sluzby. Dale zadam o informaci, kdy a jakou formou byla bankovni identita a data s ni souvisejici znicena.

Dekuji, s pozdravem...

[Kotatko]

Jen jim dej. I kdyz neceho nedocilis, je to sypani pisku do toho soukoli, i to je dobre. Jak rikal Gottwald v moskevskem vysilani nasim delnikum pres valku : Kdyz milion ceskych delniku vyrobi denne jen o jeden sroubek mene, znamena to, ze Nemcum na druhy den bude tech milion sroubku chybet...

[proforma]

Predpokladam, ze niceho nedocilim. Ucelem je hlavne ziskat dalsi informace. Pak se uvidi.

[Tazi]

U AirBank jsem byl,...nakonec jsem zrušil účet,...Nyní nemám ůčet žádný,výplatu hezky do ručky,platím v hotovosti,na přihlášené trvalé adrese už pár let nebydlím,nepoužívám žádné věrnostní karty,...mobil mám hloupej tlačítkovej,...Stát (úřady) neví kde fakticky bydlím,neví tudíž ani kde mám "hromové hole",...

[pedro!]

Ono není co mazat. Funguje to zhruba tak, že na https://www.eidentita.cz/Account/SignIn si ty (nebo kdokoli jiný) vybere banku, bude přesměrován na banku, kam zadá své přihlašovací údaje do internetového bankovnictví. A banka e-identitě řekne kdo jsi. Takže jediné co banka může udělat je, že si u tebe poznačí, že identitu poskytnout nechceš a pak e-identitě nic nedat. Druhá možnost co banka má je službu kompletně zrušit a jelikož z toho budou mít časem slušné peníze, tak to neudělají. Žádná jiná možnost, pokud vím, není

Banka si může identitu i vymyslet - může říct, že jsi naprosto kdokoli a to i bez zadání jakýchkoli přihlašovacích údajů. Můžeme jen doufat, že to banka nebo nějaký její zaměstnanec neudělá. A to je vše co můžeme a proto je to průšvih.

[proforma]

E-identita musi byt nejaky SW produkt, klic zalozeny na osobnich datech a mozna jeste necem dalsim (ID mobilniho bankovnictvi? Delka hesla? Cislo smlouvy?...) Cili e-identitu jako nadstavbu nad zakladnimi udaji by melo jit smazat stejne jako napr. dokumenty vytvorene v textaku. Dokument je jen produkt a textak bez nich muze existovat sam o sobe stejne jako s nimi.

Protoze kdyby to melo byt jenom overeni na zaklade hesla do bankovnictvi, takovej deravej system by nemohl navrhnout snad ani IT ve statni sprave...

[pedro!]

e-identitou myslím státní informační systém napojený na základní registry. A stát se rozhodl, že bankám bude věřit, udělal si na to zákon a banky mají přístup do registru obyvatel. S žádným číslem smlouvy o vedení účtu nebo tak to spojené není. Stát uvěří bance, že jsi to ty, a to i tehdy, když jsi v bance nikdy účet neměla. Stát to neví (jestli máš s bankou smlouvu) a nikterak to nekontroluje. Banka si může najít kohokoli v registru obyvatel a "identifikovat" ho. Přečti si tu diskusi u pirátů, co jsem odkazoval. Jeden z nich to tam vysvětluje podrobně.

Jinak já čekám na svoji první e-občanku, asi příští týden. Je to také pěkná taškařice https://github.com/ParalelniPolis/obcan ... 9ejn%C3%A9 , ale takový děs jako bankovní identita to zase není.

[steve_michalik]

Viz ta e-obcanka...

Ministerstvo vnitra však žádost zamítlo s odkazem na sérii předpisů, které údajně znemožňují veřejné klíče poskytnout, a samotné zveřejnění označilo za bezpečnostní riziko. „Poskytnutí požadovaných certifikátů považujeme za možné riziko pro bezpečnost systému elektronické komunikace,“ uvedl Ing. František Varmuža, ředitel Odboru centrálních informačních systémů Ministerstva vnitra ve své odpovědi.

[proforma]

Jo, tu diskusi jsem cetla, i vsechny jejich namitky. Ale proste mi nesedi, ze by banka jenom na zaklade myho prihlaseni do bankovnictvi mohla potvrdit, ze jsem to ja. Mela jsem za to, ze tam musi byt nejaky jistici mechanismus, napr. pri prihlaseni z mobilu otisk prstu nebo tak neco. Protoze kdyby to bylo tak jednoduchy a potvrdilo to jako mne kazdyho, kdo se prihlasi do myho bankovnictvi, tak na tom IT experti nemusi stravit 4 stranky diskusi. To prece musi byt jasny i prvnakovi, ze jenom na zaklade loginu a hesla banka nemuze tvrdit, ze za klavesnici jsem ja... Mela jsem za to, ze ty diskuse jsou o prekonani nejakyho slozitejsiho postupu (protoze jakekoli zabezpeceni jde hacknout, jde jen o to, jak moc jim to zneprijemnime).

[pedro!]

což je ovšem blábol, protoře článek pokračuje

Ministerstvo vnitra buď nerozumí základům kryptografie a bezpečnosti, nebo jde o skrytý záměr, jehož cílem je vytvoření role centrálního ověřovatele (prostor pro další zakázky). Veřejné klíče k e-dokladům přitom bez problémů zpřístupnilo například Slovensko nebo Estonsko, kde žádné bezpečnostní riziko neidentifikovali.

Veřejné klíče se jmenují veřejné proto, protože jsou veřejné. Hint: certificate transparency

[pedro!]

Těžko k tomu psát moc víc. Chápu, že je pro tebe obtížné tomu uvěřit, protože ono to je neuvěřitelné, bohužel však pravdivé. Bude-li vše fungovat jak má, banka potvrdí tvoji identitu když zadáš přihlašovací údaje do IB. Já nevím jak se přihlašuješ, jestli jméno a heslo, nebo k tomu SMS nebo Yubikey a otisk prstu. To vš ty
Tvé bance však zabrání tomu, aby se její zaměstnanec vydával za mě jen její vnitřní kontrolní mechanizmy a nic jiného. Jasně, jsou tam nějaké certifikace (platné v daném okamžiku), že vnitřní procesy nastavené v bance jsou OK.
Následným vyšetřováním (trvajícím 10 let ) by se třeba podařilo vyvrátit, že jsem to já nebyl. Ale to už můžu mít po exekuci a sedět v base.
Kdyby šlo u státu nastavit, že zakazuješ jinou identifikaci než e-občankou, tak by bylo vše v pohodě a bylo by na každém, co si vybere. Jenže to nelze; fakt ne, na mou duši, psí uši a Burešovo svědomí. Můžeš to "zakázat" u banky a doufat, že to bude banka respektovat.

[bivoj]

...zadam o smazani/zniceni veskerych dat a algorytmu...

Když uz člověk píše rádoby odbornou výtku, měl by psát gramaticky správně...

[steve_michalik]

Pedro:
Ja to chápu. Nejsem sice IT bezpečnostní expert, ale základům kryptografie rozumím. Mě spíš fascinuje ta nekompetemce. Když někdo, kdo si říká Ing., do veřejného prostoru vypustí toto. Otázka jestli to je pouze neschopnost, nebo záměr. A jak to funguje v jiných oborech, do kterých nevidím.

[pedro!]

Samozřejmě si nemyslím, že by na vnitru nerozumněli základům kryptografie. Myslím, že je to záměr. Důvodem mohou být peníze a příležitosti pro kamarádíčky, ale ani to si nemyslím, že je ten pravý důvod.

Skutečným důvodem bude záměr zabránit používat státní identifikaci nelicencovanými/neprověřenými soukromými subjekty. Ačkoli se mi velmi nelíbí ti soukromí poskytovatelé identity (cznic, banky atd.), musí splnit alespoň formálně nějaké požadavky. Při otevření systému občanek by to mohl využívat kdokoli - e-shopy, poskytovatelé "výhodných" půjček, telco operátoři, finanční poradci, energošmejdi a další mraky šmejdů. Přitom IT gramotnost není na takové úrovni, aby si lidé plně uvědomili, co dělají, když strkají občanku do čtečky a zadávají pin (IOK).

Datové schránky fungují už nějakou dobu jako identity provider - můžeš se přes ně přihlásit např. na Českou správu soc. zabezpečení. Svého času mě možnost použít datovky jako IDP docela zaujala a studoval jsem možnost to využít komerčně (nešmejdským způsobem). Ovšem narazil jsem na předpisové bariéry. Ono by to nakonec i nějak šlo, ale byla tam řada překážek typu prověřování (podobně jako se prověřují banky a MojeID) a ve výsledku by to stálo strašně času a peněz.

Možná je tedy za tím celkem bohulibý záměr chránit lidi s nižší IT gramotností. Vnitro si chrání, aby nebylo Malých bratrů, ale aby byl jen jeden Velký bratr (ono samo) . Na druhou stranu tím zabíjejí spousty možností...škoda

[bacil]

Jestli si někdo myslí, že "vnitro" IT a bezpečnosti nerozumí, tak je na hodně velkém omylu. Co je veřejné je jiné, než co není veřejné a o tom se nesmí mluvit. Proto si pak nejsou ani jisti s tím co můžou pustit ven za termity a mluví jak dementi.

[proforma]

https://www.idnes.cz/technet/internet/t ... ternet_vse

V GB zaluji cinsky TikTok za nezakonne shromazdovani udaju o detech.

[Paul]

K přihlášení ke službám Googlu budete brzy potřebovat mobil nebo otisk

https://www.idnes.cz/technet/internet/g ... ternet_vse

V Google přituhuje, další a další nesmysly a snaha identifikovat člověka s účtem. Už před časem jsem začal migraci z gmailu k český firmě, kde se dá alespoň něčeho domoci v případě problémů.

To samé na youtube, tam nově vyskakuje okýnko ověření identity, když se chcete podívat na video, kterým bylo někým označeno jako "závadné".

[Audis]

Ke které firmě ?

[Paul]

Co se týče emailu pro formální účely, mám to nastavený přes Wedos (poskytovatel hostingů) a ještě mám starý email klasicky na Seznamu.

Emaily jsou vopruz, poskytovatel vidí co je u něj na serveru, stejně jako operátor si může číst SMS, nemluvě pokud to chodí nezašifrovaný tak si to přečte každej. Problém Googlu navíc je, že nemají u nás ani pobočku a že postupně dělají tu službu nedostupnou, neustále stupňují pravidla jak to používat.