NECROMAN: OK, takze jeden tweet "piratskeho" experta bez dukazu staci... fer :-) Jaktoze teda maji na testu certifikat vystaveny 11.6. ve dve rano...? Kdyz problemy na produkci s "novym" certifikatem byly az mezi 8-11 dopoledne... A ten certifikat, co (uz z te noci) na testu je prokazatelne ze stejne CA (root i intermediate certifikat ma stejny serial number 03:3A:F1:E6:A7:11:A9:A0:BB:28:64:B1:1D:09:FA:E5). Prolustrovat si to muzes sam na https://www.ssllabs.com/ssltest (pg.eet.cz i prod.eet.cz) - tam se tyhle informace zobrazi v zasade v realnem case ;-) Tady nekdo z lidi dela hodne velkyho blbce. Ten root CA certifikat pouzity na testu i produkci ma platnost do roku 2038, mezilehly do roku 2027... takze spousta casu.
Bych teda cekal, ze nominant a "ICT expert" Piratu pres tyhle veci nasazeny mj. do Operatora ICT ma trosku lepsi analyticky mysleni :-) Ocekaval bych treba schopnost pracovat s casovou osou. Hypoteticke verze, ze nekdo "ze supliku" vytahnul certifikat od stejne CA vygenerovany jeste pred incidentem na produkci a honem ho nasadil na testovaci prostredi se dost dobre verit totiz neda.

DANYSEK: zdroj:
https://twitter.com/michalblaha/status/1138464830283767810

NECROMAN: ale to jsem psal, ze na pg.eet.cz je stejnej root jako na prod.eet.cz ... a na pg.eet.cz je ten novej certifikat (s obema alt-name, takze se sdili jak na testovacim, tak i produkcnim prostredi). Muzes ozdrojovat to sve tvrzeni o jinem CA rootu? ;-)
Jakej racionalni duvod by mel mit pinning na urovni aplikace? Krome security through obscurity? Pripadne pominu-li zajem vyrobce pokladniho SW tahat z koncovych uzivatelu dalsi prachy za "support". Ve specifikaci pro vyvojare ten "vymysl" neni...

DANYSEK: myslel jsem publik key pinning na úrovni aplikace.
Jinak problém se už podařilo vysvětlit. Provozovatel EET si nechal vystavit nový certifikát sice od stejného poskytovatele, ale založený na novém rootu. A jak se zjistilo, mnohé terminály měly integrovaný jen jediný root a to ten starší. Proto muselo proběhnout vystavení dalšího certifikátu, který byl trusted od toho předchozího rootu.

To bude zajimavy pozorovat, jak tohle dopadne :) ..."zhavym" kandidatem firma zalozena sotva pred rokem... to zavani zakazkou psanou tradicne "na miru"... jeste ani neni verejne zadani, ale uz se mluvi o konkretnim produktu :-)
Obří centrum s kamerami. Zakázka zastarala, Praha musí vypsat nový tendr - iDNES.cz
https://www.idnes.cz/...ka-technologie-vybaveni-krizove-centrum-dispecink.A190606_121505_domaci_lesa

NECROMAN: to jako myslis HPKP? To poradne nepodporovaly ani browsery (a ustupuje se od toho) a s toho jak tam maj nastaveny SSL obecne bych usuzoval, ze o HPKP tvurci portalu ani nevedi ze existuje. V hlavickach na pg ani prod nic takovyho kazdopadne neni. Zadratovanej konkretni serverovy certifikat v aplikaci (tedy na urovni ty pokladny) je cunarna... a to cune neni MFCR, ale autori tech aplikaci - co jsou zase papeztejsi nez papez a delaji security through obscurity. Kdyz bude potreba z jakyhokoliv (bezpecnostniho) duvodu vymenit. tedy revokovat ten puvodni... tak se bude dit co....? Podotykam, ze rec je o serverovych certifikatech - nikoliv klientskych. Ve specifikaci zadnej konktetni otisk certifikatu rovnez neni, explicitne je zde odkazano pouze na root certifikat CA - a ten je porad stejnej.
Jinak pisou, ze do 20.6. ten certifikat stejne nasadej... do ty doby maj podpory eet pokladen co delat... muzou hasit pruser, co si svym diletantismem zpusobili :D

DANYSEK: jestli náhodou některé terminály nepoužívají public key pinning nebo certificate pinning, tj mají whitelistovaný jen konkrétní klíč či certifikát, proti kterému dovolí komunikaci?

Jinak zde je certificate transparency log. Podle všeho jim několik certifikátů vyprší asi za 10 dnů, tak jsem zvědavý, jak se s tím poperou :)
crt.sh | prod.eet.cz
https://crt.sh/?q=prod.eet.cz

HONCKA: pokud vím tak v pirátském programu je ponechání EET platformy na dobrovolné bázi s tím, že je třeba ji změnit tak, aby lidé měli motivací jí používat a EET pro ně bylo přínosem, třeba díky zjednodušení účetnictví a posílání kontrolních hlášení, a ne přítěží navíc.

NECROMAN: no oni ten certifikat na testu (pg.eet.cz) maji - a stejnej ma byt i na produkci (prod.eet.cz) - kde ho stahli a vratili puvodni. V AltName jsou obe pouzivany domeny - tedy sdili jeden certifikat na testu i produkci, to ze se vraceli zpet hadam bude mit jiny priciny - asi se ozvalo nadkriticke mnozstvi tech, co maji ten certifikat natvrdo zadratovany ve svych aplikacich... oni prece nikde nepisou, proc to vlastne rollbacknuli - o tom se nikdo nezminuje. O kvalite SW komunikujiciho s portalem bych si taky iluze nedelal. Te moji teorii nasvedcuje i text na etrzby: Vzhledem k tomu, že některá pokladní zařízení nejsou dosud na tuto změnu připravena. Z toho lze dovodit, ze autori nekterych pokladnich systemu nechapou fungovani PKI a proste do tech svych bastlu natvrdo cpou az ten koncovy certifikat... dobrej zpusob, jak tahat z lidi prachy za "podporu", zeano :D Nastesti novej certifikat je na 2 roky, ten predchozi byl jen na rok. V tomhle pripade VYHULENY_UFO vytahnul pekny bulvarek... v tomhle pripade jsou blbci jinde nez na MFCR.

HONCKA: to je jasny, protoze uz od zacatku sem neveril, ze sliby z vezenskeho autobusu jsou urceny ke splneni :D

VYHULENY_UFO: To je tvuj problem

HONCKA: ja to mam zatim v kategorii odsouzeni sobotky za okd, kalouska za padaky a andyho za capak.

VYHULENY_UFO: Pirati jim beze vseho pomuzou ten nesmysl zrusit :)

//tak nevim, ale pirati mohli trochu pomoci. vymenu certifikatu by mel zvladnout kazdy...

Výměnu SSL certifikátu EET provázely problémy, co s nezaevidovanými tržbami? - Podnikatel.cz
https://www.podnikatel.cz/...nu-ssl-certifikatu-eet-provazely-problemy-co-s-nezaevidovanymi-trzbami/
Finanční správa dnes v ranních hodinách sice dle plánu nasadila nový SSL certifikát, u některých pokladních zařízení však vznikly problémy s navázáním spojení s příjmovou stranou systému EET. Finanční správa proto raději instalovala původní SSL certifikát.

Plánovaná výměna SSL certifikátu se odkládá - Novinky 2019 | Daně elektronicky | Finanční správa
https://www.financnisprava.cz/...nicky/novinky/2019/planovana-vymena-ssl-certifikatu-se-odklada-9808

Lidsky podlé a nízké tvrzení, kritizovalo ministerstvo pro místní rozvoj Michálkovy výroky | Domov | Lidovky.cz
https://www.lidovky.cz/...nisterstvo-pro-mistni-rozvoj-michalkovy-vyroky.A190610_181617_ln_domov_vlh
...se asi moc nepovedlo... kopnout si do maroda ;-) A v pripade tech CD... Pirati se bojej, ze to probehne stejne jako ta jejich vyberka na Magistratu, kdy se kandidati budou prezkusovat mimo jine z volebniho programu jedne z vladnoucich stran...? ;-)

DANYSEK: já se tě nesnažím přesvědčit, nejsem naivní. Jen prezentuji své stanovisko, a tím jsem skončil.

Kdyžtak napiš SZ, tady akorát tapetujeme svým dialogem.

KEMAL: a co jineho to tedy podle tebe bylo? Soustavna a systematicky vykonavana cinnost? Mimoto, Cesko-nemecka deklarace se i problematice povalecnych odsunu venuje a mas zde projevenou litost ceske strany. Vazne nemuzes tvrdit, ze by se Cesi nikdy formalne nezabyvali... i v tomto pomerne zasadnim textu podepsanym obema stranami se slovicko "exces" v teto souvislosti objevuje.

Jak cert krizi se ale vyhejbas te problematice vzdelavani. Otazkam budoucnosti. To je to, co by meli Pirati i v politice resit... a ne nejaky gesta ve vztahu ke spolkum, kde lze pochybovat, ze tu tlustou caru vyjadrenou Cesko-nemeckou deklaraci skutecne prijali za svou.

KEMAL: a jestli chces politickou inspiraci pro Piraty, tak se podivej na to, jak se k tomu postavil Rakusan ze STAN. To co navrhuje on je rozhodne lepsi...

KEMAL: a v kterem bode konkretne ty zlociny omlouvam? Ja naopak psal. ze se cele te problematice venuje min (medialniho) prostoru, nez by bylo zadouc (na nedostatek prilezitosti si nikdo stezovat nemuze).. i v reakci na tve narky o tom, ze bysme meli neco udelat. Ze se nic nedela neni pravda, ale reseni fakt nejsou v divadelnich gestech typu toho, co predvedli Pirati nebo KDU-CSL. A nikoliv, ty excesy v Sudetech nejsou o nejake uzce vyprofilovane elite, ten problem tam krystalizoval dele (odrazilo se mj. na volbach v roce 1935) - tedt uz v dobe jeste pred Mnichovem, ale do toho jsem vubec zabihat nechtel. Ty ses bohuzel zaseknul jen u toho, co se delo po '45, kolem toho se celou dobu tocis - ale zkoumat tech 10 let nazpet a zamyslet se nad motivaci tech, co to spachali nechces. Vlastne jen ocekavas, ze se budou Cesi omlouvat driv nez Nemci, kdyz si tvuj pristup zjednodusim... jenze i k te omluve je treba pracovat na vzdelavani spolecnosti - mezery tam jsou obrovsky. Z jednoduchych gest typu to, co predvedli Pirati se toho lidi fakt moc nenaucej a systemovej problem to rozhodne nevyresi.