NECROMAN: OK - takze se jenom spekuluje a vlastne nikdo nema realne podchycene, jaky cert tam vlastne byl. No nic, to tady nevyresime...
A spis bych se venoval ty aktualni asi cinknuty zakazce na magistratu - k tomu mas nejaky info? ;-)

Nasazení certifikátu z jiného rootu proběhelo na produkci 10. 6., nyní je na produkci opět starý certifikát č. 431015727, serial number 06db0aea5a1ec8a213b240b08973bb31 co vyprší za pár dnů, od
C=US, O=DigiCert Inc, OU=www.digicert.com, CN=GeoTrust TLS RSA CA G1

Na testu je již nový od stejného rootu vydaný 11. 6., č. 1565541100, serial number 0b37af63a5878a71c21ee43da8527ca3 od
C=US, O=DigiCert Inc, OU=www.digicert.com, CN=GeoTrust TLS RSA CA G1
Tento předpokládám hodí za pár dnů i na produkci.

Před ním zkoušeli(?) na produkci nasadit jeden z těch tří, co jsou vydané pod novým rootem a na tom jim to předpokládám kikslo:
C=US, O=DigiCert Inc, OU=www.digicert.com, CN=GeoTrust EV RSA CA 2018

NECROMAN: OK, takze jeden tweet "piratskeho" experta bez dukazu staci... fer :-) Jaktoze teda maji na testu certifikat vystaveny 11.6. ve dve rano...? Kdyz problemy na produkci s "novym" certifikatem byly az mezi 8-11 dopoledne... A ten certifikat, co (uz z te noci) na testu je prokazatelne ze stejne CA (root i intermediate certifikat ma stejny serial number 03:3A:F1:E6:A7:11:A9:A0:BB:28:64:B1:1D:09:FA:E5). Prolustrovat si to muzes sam na https://www.ssllabs.com/ssltest (pg.eet.cz i prod.eet.cz) - tam se tyhle informace zobrazi v zasade v realnem case ;-) Tady nekdo z lidi dela hodne velkyho blbce. Ten root CA certifikat pouzity na testu i produkci ma platnost do roku 2038, mezilehly do roku 2027... takze spousta casu.
Bych teda cekal, ze nominant a "ICT expert" Piratu pres tyhle veci nasazeny mj. do Operatora ICT ma trosku lepsi analyticky mysleni :-) Ocekaval bych treba schopnost pracovat s casovou osou. Hypoteticke verze, ze nekdo "ze supliku" vytahnul certifikat od stejne CA vygenerovany jeste pred incidentem na produkci a honem ho nasadil na testovaci prostredi se dost dobre verit totiz neda.

DANYSEK: zdroj:
https://twitter.com/michalblaha/status/1138464830283767810

NECROMAN: ale to jsem psal, ze na pg.eet.cz je stejnej root jako na prod.eet.cz ... a na pg.eet.cz je ten novej certifikat (s obema alt-name, takze se sdili jak na testovacim, tak i produkcnim prostredi). Muzes ozdrojovat to sve tvrzeni o jinem CA rootu? ;-)
Jakej racionalni duvod by mel mit pinning na urovni aplikace? Krome security through obscurity? Pripadne pominu-li zajem vyrobce pokladniho SW tahat z koncovych uzivatelu dalsi prachy za "support". Ve specifikaci pro vyvojare ten "vymysl" neni...

DANYSEK: myslel jsem publik key pinning na úrovni aplikace.
Jinak problém se už podařilo vysvětlit. Provozovatel EET si nechal vystavit nový certifikát sice od stejného poskytovatele, ale založený na novém rootu. A jak se zjistilo, mnohé terminály měly integrovaný jen jediný root a to ten starší. Proto muselo proběhnout vystavení dalšího certifikátu, který byl trusted od toho předchozího rootu.

To bude zajimavy pozorovat, jak tohle dopadne :) ..."zhavym" kandidatem firma zalozena sotva pred rokem... to zavani zakazkou psanou tradicne "na miru"... jeste ani neni verejne zadani, ale uz se mluvi o konkretnim produktu :-)
Obří centrum s kamerami. Zakázka zastarala, Praha musí vypsat nový tendr - iDNES.cz
https://www.idnes.cz/...ka-technologie-vybaveni-krizove-centrum-dispecink.A190606_121505_domaci_lesa

NECROMAN: to jako myslis HPKP? To poradne nepodporovaly ani browsery (a ustupuje se od toho) a s toho jak tam maj nastaveny SSL obecne bych usuzoval, ze o HPKP tvurci portalu ani nevedi ze existuje. V hlavickach na pg ani prod nic takovyho kazdopadne neni. Zadratovanej konkretni serverovy certifikat v aplikaci (tedy na urovni ty pokladny) je cunarna... a to cune neni MFCR, ale autori tech aplikaci - co jsou zase papeztejsi nez papez a delaji security through obscurity. Kdyz bude potreba z jakyhokoliv (bezpecnostniho) duvodu vymenit. tedy revokovat ten puvodni... tak se bude dit co....? Podotykam, ze rec je o serverovych certifikatech - nikoliv klientskych. Ve specifikaci zadnej konktetni otisk certifikatu rovnez neni, explicitne je zde odkazano pouze na root certifikat CA - a ten je porad stejnej.
Jinak pisou, ze do 20.6. ten certifikat stejne nasadej... do ty doby maj podpory eet pokladen co delat... muzou hasit pruser, co si svym diletantismem zpusobili :D

DANYSEK: jestli náhodou některé terminály nepoužívají public key pinning nebo certificate pinning, tj mají whitelistovaný jen konkrétní klíč či certifikát, proti kterému dovolí komunikaci?

Jinak zde je certificate transparency log. Podle všeho jim několik certifikátů vyprší asi za 10 dnů, tak jsem zvědavý, jak se s tím poperou :)
crt.sh | prod.eet.cz
https://crt.sh/?q=prod.eet.cz

HONCKA: pokud vím tak v pirátském programu je ponechání EET platformy na dobrovolné bázi s tím, že je třeba ji změnit tak, aby lidé měli motivací jí používat a EET pro ně bylo přínosem, třeba díky zjednodušení účetnictví a posílání kontrolních hlášení, a ne přítěží navíc.

NECROMAN: no oni ten certifikat na testu (pg.eet.cz) maji - a stejnej ma byt i na produkci (prod.eet.cz) - kde ho stahli a vratili puvodni. V AltName jsou obe pouzivany domeny - tedy sdili jeden certifikat na testu i produkci, to ze se vraceli zpet hadam bude mit jiny priciny - asi se ozvalo nadkriticke mnozstvi tech, co maji ten certifikat natvrdo zadratovany ve svych aplikacich... oni prece nikde nepisou, proc to vlastne rollbacknuli - o tom se nikdo nezminuje. O kvalite SW komunikujiciho s portalem bych si taky iluze nedelal. Te moji teorii nasvedcuje i text na etrzby: Vzhledem k tomu, že některá pokladní zařízení nejsou dosud na tuto změnu připravena. Z toho lze dovodit, ze autori nekterych pokladnich systemu nechapou fungovani PKI a proste do tech svych bastlu natvrdo cpou az ten koncovy certifikat... dobrej zpusob, jak tahat z lidi prachy za "podporu", zeano :D Nastesti novej certifikat je na 2 roky, ten predchozi byl jen na rok. V tomhle pripade VYHULENY_UFO vytahnul pekny bulvarek... v tomhle pripade jsou blbci jinde nez na MFCR.

HONCKA: to je jasny, protoze uz od zacatku sem neveril, ze sliby z vezenskeho autobusu jsou urceny ke splneni :D

VYHULENY_UFO: To je tvuj problem

HONCKA: ja to mam zatim v kategorii odsouzeni sobotky za okd, kalouska za padaky a andyho za capak.

VYHULENY_UFO: Pirati jim beze vseho pomuzou ten nesmysl zrusit :)

//tak nevim, ale pirati mohli trochu pomoci. vymenu certifikatu by mel zvladnout kazdy...

Výměnu SSL certifikátu EET provázely problémy, co s nezaevidovanými tržbami? - Podnikatel.cz
https://www.podnikatel.cz/...nu-ssl-certifikatu-eet-provazely-problemy-co-s-nezaevidovanymi-trzbami/
Finanční správa dnes v ranních hodinách sice dle plánu nasadila nový SSL certifikát, u některých pokladních zařízení však vznikly problémy s navázáním spojení s příjmovou stranou systému EET. Finanční správa proto raději instalovala původní SSL certifikát.

Plánovaná výměna SSL certifikátu se odkládá - Novinky 2019 | Daně elektronicky | Finanční správa
https://www.financnisprava.cz/...nicky/novinky/2019/planovana-vymena-ssl-certifikatu-se-odklada-9808

Lidsky podlé a nízké tvrzení, kritizovalo ministerstvo pro místní rozvoj Michálkovy výroky | Domov | Lidovky.cz
https://www.lidovky.cz/...nisterstvo-pro-mistni-rozvoj-michalkovy-vyroky.A190610_181617_ln_domov_vlh
...se asi moc nepovedlo... kopnout si do maroda ;-) A v pripade tech CD... Pirati se bojej, ze to probehne stejne jako ta jejich vyberka na Magistratu, kdy se kandidati budou prezkusovat mimo jine z volebniho programu jedne z vladnoucich stran...? ;-)

DANYSEK: já se tě nesnažím přesvědčit, nejsem naivní. Jen prezentuji své stanovisko, a tím jsem skončil.

Kdyžtak napiš SZ, tady akorát tapetujeme svým dialogem.

KEMAL: a co jineho to tedy podle tebe bylo? Soustavna a systematicky vykonavana cinnost? Mimoto, Cesko-nemecka deklarace se i problematice povalecnych odsunu venuje a mas zde projevenou litost ceske strany. Vazne nemuzes tvrdit, ze by se Cesi nikdy formalne nezabyvali... i v tomto pomerne zasadnim textu podepsanym obema stranami se slovicko "exces" v teto souvislosti objevuje.

Jak cert krizi se ale vyhejbas te problematice vzdelavani. Otazkam budoucnosti. To je to, co by meli Pirati i v politice resit... a ne nejaky gesta ve vztahu ke spolkum, kde lze pochybovat, ze tu tlustou caru vyjadrenou Cesko-nemeckou deklaraci skutecne prijali za svou.