Poznamky k vecnemu zameru zakona o digitalnim podpisu
-----------------------------------------------------

Roman Pavlik, 17.4.1999
Roman.Pavlik@tis.cz

C.2.(1) "Digitalni dokument je takovy dokument, ktery je vytvoren v digitalni
forme a pro zaznam informaci pouziva magneticka nebo opticka pametova media"

        - dokument, ktery byl do digitalni formy preveden, by mel byt take
          povazovan za digitalni dokument
        - pro zaznam lze pouzit i jina media, doporucuji
          toto vubec nespecifikovat

C.2.(2) "Digitalni podpis je informace pridana k digitalnim udajum, ktera
je vytvorena zakodovanim digitalni zpravy vlastnim podpisovym klicem
odesilatele...."
        - neni zde jasny pojem "vlastnim podpisovym klicem odesilatele"
          tento termin neni definovan

C.2.(3) "Certifikat je potvrzeni o prirazeni verejneho podpisoveho klice,
ktery slouzi k identifikaci subjektu pri elektronicke komunikaci"
        - pojem "prirazeni" zde neni definovan, intuitivni definice
          vyzaduje doplnit, k cemu ci komu je verejny podpisovy klic
          prirazen

C.2.(5) "Certifikacni autorita je duveryhodna treti strana, ktera overuje
zadosti o certifikaty, vydava certifikaty a poskytuje zadatelum sluzby
spojene s pouzivanim certifikatu"
        - jake "sluzby spojene s pouzivanim certifikatu" jsou zde uvazovany?

          proc by certifikacni autorita mela explicitni povinnost takoveto
          sluzby nabizet?

C.2.(6) "Identifikace je zjisteni totoznosti, zjisteni souladu mezi vice
pojmy."
        - druha cast vety "zjisteni souladu mezi vice pojmy" nijak
          neupresnuje pojem "identifikace" a - odvazuji se tvrdit - nedava
          v teto souvislosti smysl.

C.3     "Narodni certifikacni autorita bude svou pusobnosti pokryvat jak
oblast verejne spravy, tak i soukromy sektor. Bude mit predevsim za ukol
udelovat a odnimat licence certifikacnim autoritam. V pripade, ze zadatel
o provozovani cinnosti autority vyhovi vsem podminkam, ktere budou pro
fungovani predepsany, bude mit pravo na vydani licence pro vykonavani
cinnosti certifikacni autority"
        - za vhodne povazuji jasnou upravu poplatku pri vydavani takoveto
          licence. Jiste nejsem sam, ktery si pamatuje dobu, kdy CTU
          (ktery ma byt mimochodem dle varianty B poveren funkci Narodni
          certifikacni autority) vybiral poplatky za udeleni licence pro
          telekomunikacni sluzby - pripojovani do Internetu - a tyto poplatky
          vazal na procenta z obratu!!! subjektu, ktery dane telekomunikacni
          sluzby poskytoval. Dale by bylo vhodne zvolit takovou pravni
          upravu, ktera umoznuje nabizet sluzby certifikacni autority
          i bez licence

C.3.5   "Narodni certifikacni autorita bude mit ve sve kompetenci tyto
cinnosti... stanoveni podminek a overovani odborne zpusobilosti
obsluhujiciho
personalu certifikacnich autorit"
        - zrejme by bylo vhodne dat k dispozici alespon navrh provadeci
          vyhlasky, ktera toto stanovi (ma neduvera zde plyne ze soucasne
          pravni upravy exportu silne kryptografie, resp. o nevhodnou
          upravu v provadeci vyhlasce)

C.3.6   "Narodni certifikacni autorita bude mit ve sve kompetenci tyto
cinnosti... stanoveni rozsahu zkousek pro pracovniky certifikacnich autorit"

        - zrejme by bylo vhodne dat k dispozici alespon navrh obsahu
          takoveto zkousky, i kdyz osobne povazuji povinnost takoveto
          zkousky pro pracovniky CA za ponekud nestastnou


C.4     "Certifikat bude vystaven pouze na jmeno konkretni fyzicke osoby"
        - proc nase pravni uprava nepocita s certifikatem pro pravnickou
          osobu?

C.4     "Certifikacni autorita musi oznamit vlastnikum podpisoveho klice
a tretim duveryhodnym stranam, o nichz je v certifikatu obsazena informace,
telefonni cislo, na kterem mohou kdykoliv certifikat okamzite zablokovat."
        - proc je stanovena komunikace v tomto pripade pomoci telefonu?
          jak v tomto pripade prokaze volajici svoji identitu?

C.4     "Certifikacni autorita je zodpovedna vuci jakekoliv osobe, ktera
se rozumne spoleha na ji vydany certifikat v ohledu presnosti vsech
informaci uvedenych v ceritifikatu od doby jeho platnosti, zejmena pak,
ze osoba, identifikovana v certifikatu v dobe jeho vydani, existuje a
prostredky k vytvareni digitalniho podpisu (soukromy podpisovy klic)
odpovidaji prostredkum k overovani digitalniho podpisu (verejny podpisovy
klic).
        - dle teto pasaze musi CA nepretrzite kontrolovat presnost vsech
          udaju na dosud vydanych certifikatech, na coz CA nema zadne
          (pravni) prostredky. Tento zakon by spise mel stanovit
          povinnost vlastnikum certifikovaneho podpisoveho klice neprodlene
          oznamit CA tyto zmeny.
        - jak ma byt CA zodpovedna vuci jakekoliv osobe, ze
          "prostredky k vytvareni digitalniho podpisu
          (soukromy podpisovy klic) odpovidaji prostredkum k overeni
          digitalniho podpisu (verejny podpisovy klic)"? Co je touto vetou
          mineno?

C.4     "Certifikacni autorita muze stanovit limit na hodnotu transakci,
pro ktere je certifikat platny, pricemz nezodpovida za pripadne
skody, ktere mohou vzniknout pri prekroceni tohoto limitu"
        - je tim mineno, ze CA odpovida za skody pod tento limit?
          Jestlize tyto skody vzniknou pouzitim nevhodnych technickych
          prostredku, mela by byt odpovednost na strane "Narodni certifikacni
          autority", ktera tyto prostredky stanovuje. CA je instituce,
          ktera proveri, ze dana osoba se identifikovala a prohlasila, ze
          dany verejny klic je skutecne jeji. To je vse. Je nanejvyse
          nestastne vnucovat CA odpovednost za skody, ktere vzniknou
          pouzitim certifikatu...Predpokladam, ze notar take neni
          odpovedny za skody, ktere vzniknou zneuzitim dokumentu
          s podpisem, ktery overil

C.4     "Dokumentace musi byt zhotovena pro bezpecnostni plany vcetne
        pripadnych zmen, zpravy o prezkouseni, dohody s zadateli o certifikat
        - co znamena "bezpecnostni plany" v prvni vete?

C.4.3   "Zdokumentovany musi dale byt ... kopie predlozenych osobnich
        prukazu identity"
        - podobna povinnost neni stanovena ani u statnich notaru

C.4.6   "Zdokumentovany musi dale byt ...cas doruceni a jeho potvrzeni"
        - chybi zde udaj cas doruceni ceho ma byt zdokumentovan a potvrzen

C.4     "Dokumentace podle musi byt uchovavana nejmene 10 let od doby vydani
certifikatu podpisoveho klice a po celou dobu musi byt zabezpecena tak,
aby k ni byl pristup"
        - v prvni vete zrejme chybi slovo nebo nekolik slov "dokumentace
          podle ?? musi byt..."
        - z posledni vety neni zrejmy jeji vyznam. Jak ma byt dokumentace
          zabezpecena, ci nebo jaky pristup je zde vyzadovan?

C.4     "Pokud jde o zahranicni certifikaty, plati stejny termin archivace
na verejne podpisove klice certifikacni autority nejvyssi urovne v techto
zahranicnich zemich"
        - nesouhlasim s pouzivanim terminu "certifikacni autorita
          nejvyssi urovne", jelikoz je prilis spojen s jednou z technologii
          je nutne si uvedomit, ze "certifikacni autorita nejvyssi urovne"
          nemusi existovat
        - neni definovan pojem "zahranicni certifikat"

C.5     "V pripade podezreni z nezakonnych praktik muze Narodni certifikacni
autorita odmitnout urcite osobe udelit certifikat"
        - uvedene ustanoveni je v rozporu s presumpci neviny, ktera je
          upravena Vseobecnou deklaraci lidskych prav
        - Narodni certifikacni autorita nevydava certifikaty, nemuze tedy ani
          odmitnout urcite osobe udelit certifikat

C.5     "Za ucelem kontroly musi certifikacni autorita pracovnikum Narodni
certifikacni autority umoznit pristup do vsech provoznich prostor..."
        - proc? za jakym ucelem? vstup do provoznich prostor nijak nesouvisi
          s vykonem CA, proto by nemel byt vynucovan timto zakonem

C.5     "V pripade odneti licence nebo pri jinem ukonceni cinnosti
certifikacni autority je Narodni certifikacni autorita povinna zajistit
predani dosud vykonavane cinnosti jinou certifikacni autoritou, nebo jinym
zpusobem zajistit plneni smluv mezi certifikacni autoritou, ktera cinnost
ukoncila a vlastnikem soukromeho podpisoveho klice"
        - znamena to, ze Narodni certifikacni autorita bude vydavat
          certifikaty? V pripade, ze ne, znamena to, ze muze jine CA
          naridit prevzeti certifikatu od zanikajici CA? Co v pripade, ze
          zanikajici CA pouziva technologii, kterou jine CA nepouzivaji
          (napriklad PGP klice)? Znamena to, ze vsechny CA s platnou licenci

          budou muset disponovat stejnym technickym vybavenim? Pevne
          verim v rozumnou provadeci vyhlasku, ktera za "technicke vybaveni"

          nestanovi napriklad Microsoft Certificate Server

C.5     "Certifikacni autorita, ktera konci svou cinnost, musi o teto
skutecnostni informovat Narodni certifikacni autoritu alespon tri mesice
predem"
        - co kdyz to neni mozne (na CA bude vyhlasen konkurz nebo fyzicka
          osoba, ktera bude vykonavat cinnost CA zemre)

C.5     "Certifikacni autorita musi dale informovat kazdeho vlastnika
podpisoveho klice o svem zameru ukoncit sve aktivity jako certifikacni
autorita nejmene dva mesice predem. Musi mu sdelit jmeno certifikacni
autority, ktera prevezme spravu jeho certifikatu"
        - co se presne rozumi pojmem "informovat vlastnika"? Postaci
          napriklad zaslani e-mailu?
        - z predesleho textu je zrejme, ze Narodni certifikacni autorita
          je povinna zajistit predani dosud vykonavane cinnosti jinou
          certifikacni autoritou. Jmeno nove CA by tedy mela nejprve
          sdelit Narodni certifikacni autorita zanikajici CA, aby ta mohla
          informovat vlastnika podpisoveho klice

C.5     "Narodni certifikacni autorita muze naridit zneplatneni certifikatu
pokud existuje podezreni, ze byly certifikaty padelany, nebo pokud byly
vydany na zaklade nepravdivych udaju"
        - stejna poznamka jako vyse. Na zaklade "podezreni" by nemelo
          dojit ke zneplatneni certifikatu

C.6     "Certifikacni autorita musi pro potreby vydani certifikatu provest
setreni, ktere zhodnoti predkladane pozadavky na udeleni certifikatu. Musi
spolehlive identifikovat osobu, ktera zada o certifikat na zaklade
obcanskeho prukazu, cestovniho pasu, nebo jinymi vhodnymi prostredky.
Zadost o certifikat musi byt zadatelem podepsana rucne."
        - zakon by mohl pamatovat na pripad, kdy certifikacni autorita
          spolupracuje s registracni autoritou.
        - posledni veta by mela umoznovat pravne ekvivalentni vyjadreni
          vule zadatele, nejen rucni podpis (pro pripad, ze zadatel se
          rucne podepsat nemuze, napr. v dusledku nemoci)

C.6     "Certifikacni autorita ma za povinnost prostrednictvim verejnych
komunikacnich spojeni umoznit komukoliv vyhledani a overeni tech
certifikatu,
ktere byly touto certifikacni autoritou vydany"
        - co znamena "prostrednictvim verejnych komunikacnich spojeni"?
          Za vhodne povazuji tento termin definovat. Je www server verejne
          komunikacni spojeni? Vzdyt CTU se na Internet diva jako na
          neverejnou datovou sit! (alespon tomu tak bylo v dobe, kdy jsme
          zadali o licenci pro pripojovani do Internetu - 1995)

C.7     - navrhuji doplnit povinnost drzitele certifikatu informovat CA
          neprodlene o vsech zmenach udaju, ktere jsou uvedeny
          v certifikatu (viz povinnost CA zajistit presnost
          vsech informaci uvedenych v certifikatu)

C.8.2   "V souvislosti s pouzivanim digitalnich podpisu musi prislusny
certifikat povinne obsahovat nasledujici udaje... jednoznacnou identifikaci
vlastnika podpisoveho klice, tedy jmeno, rodne cislo a adresu"
        - rozhodnuti ucinit rodne cislo a adresu zadatele soucasti
          verejneho dokumentu dostupneho komukoliv, zda se mi velmi
          nestastne

C.8.4   "V souvislosti s pouzivanim digitalnich podpisu musi prislusny
certifikat povinne obsahovat nasledujici udaje... oznaceni pouzitych
algoritmu podpisovych klicu"
        - kdo bude stanovovat, jak oznacovat pouzite algoritmy? Logicky
          by to mohla byt Narodni certifikacni autorita, stanoveno
          v provadeci vyhlasce.

C.9     "Certifikacni autorita ma opravneni ziskavat osobni data pouze  od
fyzicke osoby, ktera pozaduje vystaveni certifikatu, a to jen v rozsahu,
ktery je nezbytne nutny a predepsany pro vystaveni prislusneho certifikatu.
Shromazdovani osobnich dat k jinym ucelum musi byt odsouhlaseno fyzickou
osobou, (zadatelem o certifikat). Certifikacni autorita musi vynalozit
veskere usili k tomu, aby ziskana osobni data nemohla byt zneuzita
nepovolanou osobou."
        - proc se zakon omezuje pouze na fyzicke osoby?

C.11    "Pro zajisteni spolehlivosti pri pouzivani technickych komponent
musi byt zajistena jejich dostatecna kontrola."
        - jakou kontrolu zde ma tvurce zakona na mysli? Jak se toto ustanoveni
          zakona bude realizovat v praxi?

C.11.6  "K upresneni technickych komponentu vyda vlada provadeci vyhlasku
k tomuto zakonu, kde budou uvedeny podrobne udaje a postupy pri ...
stanoveni
pozadavku na technicke komponenty, jejich pravidelne prezkouseni a evidence
o techto zkouskach"
        - navrhuji dopracovat i tuto provadeci vyhlasku, duvody jsem
          uvedl i vyse: cena licence, rada technickych parametru, ktere
          timto presouva zakon do kompetence prislusneho ministerstva