Электронная подпись и голосование через интернет

[Darsh]

Однако, я бы не вводил электронное голосование, т.к. всё равно полностью мы на него не перейдём, поэтому придётся поддерживать обе системы, что удорожит и без того достаточно накладную процедуру.

Электронное голосование разгрузит участки. Надзор же за ним можно поручить группе профессионалов, сидящей в Риге, поскольку в случае онлайна выезжать на физические участки нет необходимости.
Кроме того, электронное голосование упростит сам процесс, повысив явку. Если можно проголосовать с мобильного телефона - то не надо вписывать в субботние планы посещение избирательного участка. Что, в свою очередь а) повысит явку; б) упростит жизнь обычных граждан.

Ведь за что правительство пользуется уважением эстонцев? За то, что старается упростить их жизнь, а не наоборот, как в Латвии.


Darsh

[Darsh]

ну т.е. это никак не отличается от кражи у тебя твоего приватного ключа, который ты сгенерил сам.

Ну, всё же есть разница. В первом случае это нехилый риск, что кто-то твоим ключом подпишется, а ты об этом даже не узнаешь.
Во втором - сам потерял, сам и виноват.


Darsh

[Yozhique]

ну т.е. это никак не отличается от кражи у тебя твоего приватного ключа, который ты сгенерил сам.

Ну, всё же есть разница. В первом случае это нехилый риск, что кто-то твоим ключом подпишется, а ты об этом даже не узнаешь.
Во втором - сам потерял, сам и виноват.


Darsh

нууу а теперь вернём это в реалии "средний юзер - идиот", и подход "дать пульт с одной кнопкой, научить на неё нажимать" становится куда секьюрнее чем - "вот тебе инструкция, дерзай!"

[Darsh]

Пожалуйста. Сертификаты - на eID карте. Вставил в кард-ридер - аутентифицировался. Потерял - беги в PMLP, оформляй новую, с новыми сертификатами.


Darsh

[Yozhique]

дык падажжите
на карте приватный ключ запароленный пин-кодом, ключ туда пишут когда карту делают, он там себе и лежит. или вы хотите доверить юзеру самому себе ключ на карту записывать?

технически, конечно, для подписывания и верификации подписи никакой третьей стороны не надо. но чтобы _продавать_ подписи - e-paraksts должны со своей стороны ввести компоненту, которую могут выдать только они, чтобы потом её наличие проверять, когда кто-то где-то проверяет подпись документа - вот при подписании и надо ходить к этому таймштамп-сервису ихнему, который непроплаченным айдишникам просто не выдаст таймшамп

какой такой ещё "приватный ключ который генерится на сайте e-paraksts" - шоэта?

[Volfram]

Где об этом можно прочитать подробнее?
Насколько я понимаю, на ID карте хранятся некие сертификаты, шифруемые PIN1 и PIN2 соответственно. Это разве public, а не private ключи?

Частично описано на https://www.eparaksts.lv , частично выбито из тех. поддержки этого самого e-paraksts в попытках узнать, как добавить свой ключ.

На ID карте хранится не приватный ключ, а ограниченное количество подписанных+зашифрованных им токенов. Когда токены исчерпаны, карту нужн обновить : https://www.eparaksts.lv/ru/polzovately ... eid-karty/ ("Ваша eID карта содержит 120 Печатей времени")

Документы можно подписывать и без ID карты, для этого нужно загрузить их на сайт e-paraksts и ввести PIN-код, который присылыют при создании подписи (пароль от приватного ключа в 4 цифры, ага ) - это однозначное доказательство того, что приватный ключ хранится на их серверах и потенциально доступен из глобальной сети.

[Volfram]

Нет доступа к своему приватному ключу

который нужен чтобы... что?

Удостоверить личность подписавшего. Я не доверяю государству == у меня нет возможности использовать электронную подпись, хотя приватный ключ есть.

он в обязательном порядке генерируется на сервере e-paraksts.

о ужас, и что?

Я задам тебе этот же вопрос, когда внезапно начнут появляться документы, подписанные от твоего имени Без возможности хоть как-то доказать, что это на самом деле не ты. Или веришь в кристальную честность чиновников и абсолютный профессионализм админом?

Любой получивший доступ к этим данным может подписать от твоего имени что угодно (не "подделать", а подписать 1-в-1 так, как если бы это сделал ты сам). Зарегестрировать в системе свой собственный ключ нельзя.

ну т.е. это никак не отличается от кражи у тебя твоего приватного ключа, который ты сгенерил сам.
И уверен ли ты, что они _хранят_ у себя ключ твой приватный после генерации, а не просто набор пар "Человек"-"публичный ключ"?

Отличается тем, что ключи, хранящиеся лично, нельзя украсть сразу у всей страны.
Уверен, так как они предоставляют услуги по подписыванию документов через сайт e-paraksts, что, само собой, невозможно сделать с помощью только публичного ключа.

[Volfram]

нууу а теперь вернём это в реалии "средний юзер - идиот", и подход "дать пульт с одной кнопкой, научить на неё нажимать" становится куда секьюрнее чем - "вот тебе инструкция, дерзай!"

Это адекватный подход по умолчанию (средний юзер с трудом способен усвоить понятие "утеря приватного ключа"), но оставить возможность регистрации своего собственного публичного ключа по явному требованию - гарантия минимального доверия к системе. Можно без eID.

[Darsh]

Стоп-стоп-стоп. Но ведь для электронных выборов не нужна подпись, достаточно идентификации. Соответственно, и токенов этих не нужно. Нет?

=== https://www.eparaksts.lv/ru/polzovately ... eid-karty/ ===
Подтверждение идентичности в электронной среде
Получая услугу в электронной среде от поставщика услуги, который обеспечивает возможность идентифицироваться при помощи eID карты, выберите вид аутентификации - eID карта. Для подтверждения идентичности Вас попросят ввести и подтвердить свой PIN1 код. Если Вы введёте правильный PIN1, и включённый в удостоверение личности сертификат аутентификации будет годен (срок годности не окажется истекшим или его действие приостановленным), Ваша идентичность будет успешно проверена, и Вы сможете получить услугу.
===


Darsh

[Volfram]

Стоп-стоп-стоп. Но ведь для электронных выборов не нужна подпись, достаточно идентификации. Соответственно, и токенов этих не нужно. Нет?

=== https://www.eparaksts.lv/ru/polzovately ... eid-karty/ ===
Подтверждение идентичности в электронной среде
Получая услугу в электронной среде от поставщика услуги, который обеспечивает возможность идентифицироваться при помощи eID карты, выберите вид аутентификации - eID карта. Для подтверждения идентичности Вас попросят ввести и подтвердить свой PIN1 код. Если Вы введёте правильный PIN1, и включённый в удостоверение личности сертификат аутентификации будет годен (срок годности не окажется истекшим или его действие приостановленным), Ваша идентичность будет успешно проверена, и Вы сможете получить услугу.
===


Darsh

К сожалению, не знаю, как эта часть реализована. Обычно (в негосударственных системах) идентификация как раз на подписывании и построена. В приведённой цитате мне не ясно, как запросивший идентификацию проверяет запрос, если только этот самый сертификат аутентификации не является вторичным приватным ключом (а PIN1 паролем от него).

Но я не говорил именно о выборах, а о системе электронной подписи в целом - нельзя получить eID, не заведя при этом автоматически электронную подпись. А при существующей системе я бы не рекомендовал её заводить никому, кого хотя бы немного волнует своя информационная безопасность.