Prevzem certifikata sigenca v WIN 10

Ker bo star certifikat pretekel, sem poskusil prevzeti novo digitalno potrdilo.
Sistem me obvesti, da prevzem ni možen s chromom ali MS edge. Ker uporabljam prvega, sem seveda uporabil IE v WIN10.
Preberem navodila, želi korensko potrdilo izdajatelja SI-TRUST Root. Inštaliram.
Vpišem referenčno številko, avtorizacijsko kodo. Napaka.
Ok, prepišem obe še enkrat, mogoče sem se zmotil. Ne dela.
Mogoče ima težave s korenskim potrdilom. Restartam IE, pogledam kje se nahaja potrdilo, vse ok.
Poskusim ponovno. Ne dela. Mogoče kak problem z AV ali požarnim zidom. Izklopim.
Ponovno. Ne dela. Pravi da naložim popravke za brskalnik. Ok, preverim, zadnji popravki.
Ponovno. Ne dela. Poskusim edge, itak ne dela.
Naložim firefox. Uvozim. Aleluja. Aha, sedaj export. Gledam pomoč, ta nima veze z zadnjim firefoxom. Še dobro, da nisem tako na vi z računalnikom, da mi uspe najti certifikat, ga izvoziti in uvoziti v chrome, oz. IE.
Preverim na spletni strani, certifikaz dela!

Navadnemu državljanu prijazno?

Ma moraš instalirat tudi setcce proxsign drugače ne dela, uvozi ga v firefox in maš mir, še bolje da ga uvoziš samo ko ga rabiš, in takoj kasneje izbrišeš.



in ja trije kliki v FF geslo in dela, komponenta za podpisovanje pa mora bit tudi inštalirana, drugače ti odpira E upravo, ampak ko hočeš kaj narest ti pa flikne opozorilo da ti manjka komponenta za podpisovanje (mislm ko hočeš kako vlogo oddat)

#000000
setcce proxsign se uporablja za digitalni podpis in ne za prevzem.

Da bo cert exportable, te nikoli ne vprasa v postopku, ko ga prevzemas.
Geslo dolocis sele, ko ga exportas.

Več informacij:

Blog o tej nekompatibilnosti Firefox-a 59 in Windows:
Firefox 59, Windows und Probleme mit dem Zertifikatexport

Ter bugzilla ticket pri mozilli: Bug 1436873 - Exported certificates exceed Windows' password iteration count of 600k

No tole z bugom je pa lepa informacija, ker sem tudi sam želel usposobiti certifikat v ostalih brskalnikih pa sem odnehal. Sigenca bi se res morala malo bolj posvetiti končnim uporabnikom...kriptične napake, omenjanje Netcapea leta 2018, nepodpora Chroma in IE...

V starejših win je PKCS12 tevilo iteracij pri geslih tudi problem ali gre bolj za težavo FF quantum (57,58,59) ?

edit:
kot kaže gre za za win10 problem, kajti na win7 lahko dummy cert. uvozim v win store/ff 59 brez problema.
https://bugzilla.mozilla.org/show_bug.c...

Hmm, bugzilla.mozilla.org ne odpre.
Zgleda kot DNS problemi pri njih.

Kar je še ena kritika na FF. Namesto, da prikaže neko smiselno sporočilo o napaki, kaže glupi "Ojoj, nekaj je narobe".

Jaz sem zadevo rešil tako, ker sem imel že prevzetega na 59 verziji da sem ga exportal, nato odstranil 59 in namestil 57, kamor je import lepo šel. Exportan iz 57 pa gre lepo tudi drugam (IE,....)

Jaz imam tudi problem. Certifikat sem prejel s FF (z veliko muko) nato sem ga izvozil v datoteko in tudi uvoz v IE je šel v redu.
Problem pa je da mi pri preizkusu namestitve (https://www.si-ca.si/cgi-bin/auth/izpis... v IE in edge-u javlja napako: Varnostno potrdilo spletnega mesta ima šibek podpis in ni varno. Koda napake: DLG_FLAGS_WEAK_SIGNATURE. Napaka je tudi v Chrome.
V FF se ista stran naloži normalno.

Tega problema pa ne znam rešiti. Ali kdo ve kakšna težava je to?

Konlov je 6. jul 2018 ob 22:30 izjavil:

gusto je 22. jan 2018 ob 17:24 izjavil:

Ne, prijazno sicer ni, ampak upoštevaš navodila in uporabiš Firefox (ga pač inštaliraš), in ne smeti, kot je IE, drugo pa tako ni podprto. Če si vsaj na pol računalniško pismen, pa tudi najdeš opcijo za izvoz certifikata. Je pa res, da čez palec, polovica ljudi tega postopka ni možna izvesti (vem, ker so me prosili za pomoč). Zdaj pa ne vem, ali je problem v postopku, ali ljudeh.

Lepo povzameš vse skupaj. Ni user frendly.

Tu se ne gre za računalniško pismenost. Gre se za neuporabna navodila. Da ne govorimo o supportu...

In tretjič - zakaj se sploh jebemo s temi certifikati za avtentikacijo. Naj raje vsem državjanom ki želijo dajo OTP tokene, ki jih uporabljajo že banke in to vključijo v sistem SI-PASS ( https://sicas.gov.si ) za centralno avtentikacijo in digitalno podpisovanje.

Kaj ti bo torba, če si kupil kolo?

Certifikat je izključno pri meni in z njim lahko podpisujem zadeve izključno jaz.

Če je podpisovanje centralno, potem niti ni treba ničesar spizditi, ker je vse že tam, na enem kupu.

Pojdi malo ven na zrak, se predihaj in razmisli nad čem bentiš.

Certifikati so kar dobra rešitev. Če pa nisi ti (ali tvoja teta) sposoben varovati svojih identifikacijskih podatkov ti pa država ne more pomagati.

darkolord je 21. okt 2018 ob 14:29 izjavil:

Certifikat je izključno pri meni in z njim lahko podpisujem zadeve izključno jaz.

Hello SI-CES !

jukoz je 21. okt 2018 ob 15:53 izjavil:

Certifikati so kar dobra rešitev. Če pa nisi ti (ali tvoja teta) sposoben

Certifikati imajo dobre in slabe strani.
Če se slabe strani zanika (obvezno argumentiranje z žalitvami sogovornika...) namesto rešuje, bo še slabše.

Zakaj "vsi" opuščajo rabo certifikata na client strani?

Problem je, da je SIGEN-CA (in ostali) tipična javna uprava in jim je učinkovitost in "boljšost" 999999-ta briga.

Pri telefonih so uvedli prstne odtise (in odklep z obrazom, pa tudi z očesom) in je varnost poskočila za velikostne razrede. Če bi bilo up to SIGEN, bi še vedno imeli PIN-e, ki bi jih moral tipkati na slepo. Vsake dve minuti. Posledica bi bila, da bi jih vsi ali izklopili, ali si nastavili 1111.

Beri: luzeri s trditvami ala "varnost je pač neugodna", ki smo jih oh tako pogosto slišali.
Ni neugodna. Razen če si nesposoben.

In pri certifikatih je točno tako. Ker se nobenemu ne da stvari pošlihtati, je stvar neugodna in tem avtomatsko tudi manj varna.

MrStein je 21. okt 2018 ob 23:26 izjavil:

Pri telefonih so uvedli prstne odtise (in odklep z obrazom, pa tudi z očesom) in je varnost poskočila za velikostne razrede. Če bi bilo up to SIGEN, bi še vedno imeli PIN-e, ki bi jih moral tipkati na slepo. Vsake dve minuti. Posledica bi bila, da bi jih vsi ali izklopili, ali si nastavili 1111.

Problem edinstvenih identifikacijskih podatkov, ki se jih ne da zamenjati, je v tem, da, ko nekdo pridobi digitalni zapis tvojega prstnega odtisa/obraza/očesa, postane ti. Za vse večne čase. Ukradeno osebno lahko prijaviš kot ukradeno in ti na njeni osnovi teoretično ne bodo izdali vozniške (če imajo te sisteme povezane). Preklican certifikat ne moreš uporabiti za prijavo na e-upravo ali banko. Geslo zamenjaš, certifikat zamenjaš, osebno zamenjaš. Obraza/oči/prstov pa ne. Rešitev tega problema je potem v tem, da se boš ponovno identificiral z cetifikatom/geslom/karkoližepač, saj se z obrazom ne boš mogel, ker bo prijavljen kot ukraden =)

MrStein je 21. okt 2018 ob 23:26 izjavil:

Beri: luzeri s trditvami ala "varnost je pač neugodna", ki smo jih oh tako pogosto slišali.
Ni neugodna. Razen če si nesposoben.

In pri certifikatih je točno tako. Ker se nobenemu ne da stvari pošlihtati, je stvar neugodna in tem avtomatsko tudi manj varna.

Če imaš osebno težave z prevzemom in uporabo certifikatom, bi rekel, da si sam nesposoben. Glede na ostale teme na slo-techu bi rekel da se na IT nekaj spoznaš, varnost pa očitno ni ravno tvoja stvar.

In kot sem svetoval že zgoraj, pojdi na zrak in se predihaj. Maraton bo kmalu =)

Meni je ratalo. A sem imel srečo?

darkolord je 21. okt 2018 ob 23:45 izjavil:

Prstni odtisi, obrazi in očesa niso zelo varni.

Super varni so v primerjavi z nič, kar je bilo v uporabi pred njihovo uveljavitvijo. PIN ali vzorec pa tudi ni ne vem kaj.

jukoz je 22. okt 2018 ob 08:26 izjavil:

Če imaš osebno težave z prevzemom in uporabo certifikatom, bi rekel, da si sam nesposoben. Glede na ostale teme na slo-techu bi rekel da se na IT nekaj spoznaš, varnost pa očitno ni ravno tvoja stvar.

Če imaš osebno težavo najti kak drug argument kot ad hominem, potem bi rekel, da si sam nesposoben.

(če te že tak osebno zanimam, imam "prevzetih" in aktivnih tam en ducat certifikatov)

MrStein je 25. okt 2018 ob 19:34 izjavil:

Če imaš osebno težavo najti kak drug argument kot ad hominem, potem bi rekel, da si sam nesposoben.

(če te že tak osebno zanimam, imam "prevzetih" in aktivnih tam en ducat certifikatov)

Priden.

Imamo CA in izdajamo certifikate za interne dostope pri strankah. Jaz pomagam uporabnikom pri prevzemu (še enkrat, ni za splošne uporabnike).

Od izdaji dobijo tako e-pošto kot dopis z navodili za prevzem, kjer piše da bo cel proces trajal cca 20 minut in da zahteva tehnična znanja, kot je poznavanje verzije operacijskega sistema in brskalnika.
Eksplicitno piše, da prevzem ne bo deloval na IE v Win8 v "tabličnem načinu", da ne deluje v Edge in Chrome in da naj prevzem torej naredijo v IE ali Firefox (še enkrat, ni za splošno uporabo ampak za ščitenje dostopov do internih resursov organizacij).
Cel proces je narejen za "next, next, click, click", ker če mora to delati admin za 100 ljudi se mu lahko zmeša.

Ugani koliko uporabnikov sploh prebere navodila. Stranke oz njihovi admini dajejo certe uporabnikom, od katerih nato ugotavljaš kakšen sistem imajo tako, da jih vprašaš kakšne oblike je njihov "start" gumb. To je realnost. Pa to niso ravno stare mame, to so uporabniki, ki vsak dan, cel dan delajo z računalnikom.

Kako napisati navodila za prevzem, da so jih leni uporabniki sposobni prevzeti, ne vem. Največ uspeha smo imeli pri stranki, ki je zaradi vdora v sistem zahtevala uvedbo certov in so grozili s sankcijami. Uporabniki po različnih poslovnih enotah, ki se niso čutili sposobne prevzema, so potem aktivirali svoje admine da so izvedli prevzem.

Ampak to, da groziš kako težko je, ni pravi pristop. Če prebereš tistih 5 stavkov navodil se prevzem da narediti, tudi za sigen-ca.

Če pa prevzem ne uspe, ti ukradejo cert/komp/telefon/... se pa izda novega. Komplicira se samo za to, ker je cert plačljiv (no, za sigen-ca še to ne). Koliko stane zamenjava očesa ob kraji digitalnega zapisa le-tega, boš pa povedal ti.

MrStein je 26. okt 2018 ob 15:32 izjavil:

Sparkasse opustil vstop v spletno banko s certifikati.
NLB takisto.

V neki temi so pisali da je to zaradi neke evropske direktive. Ker ponovno, izdaja certa je napram izdaji OTG generatorja poceni in za banke bolj ugodna. Uporabniku ni potrebno pošiljati ničesar in mora samo naložiti cert, ki ga lahko izdajatelj tudi kadarkoli prekliče.

MrStein je 26. okt 2018 ob 15:32 izjavil:

eDavki - vstop mogoče po novem brez KDP (delni dostop).

https://edavki.durs.si/EdavkiPortal/Ope...

Jaz tole razumem drugače, ampak šur.

MrStein je 26. okt 2018 ob 15:32 izjavil:

Dostop do katere atoritve v tujini? Jok.

Prepričan sem da ni samo država Slovenija uvedla identifikacije s certifikati. Ampak lej, šur, nikjer v tujini se ne uporablja certifikatov.

Nasploh je zaželeno da prijava ni komplicirana in da si stalo prijavljen v storitve - facebook, google, linkedin, amazon, ebay, aliexpress, ..

MrStein je 26. okt 2018 ob 15:32 izjavil:

Gmail? Odpade.

Ja, Gmail je sploh odličen primer. Ampak preko gmaila ne oddajaš svoje dohodnine, ne naročaš osebne izkaznice ali prometnega dovoljenja, ne spreminjaš stalnega naslova itd. Ko bo google postal svoja država, se bo pa to dalo tudi preko gmaila uredit =)

MrStein je 26. okt 2018 ob 15:32 izjavil:

Kot sem rekel: X.509 ima prednosti, ima pa tudi slabosti.

Se strinjam.

MrStein je 26. okt 2018 ob 15:32 izjavil:

Naključne žalitve bodo situacijo kvečjemu poslabšale.

Se globoko opravičujem za vse moje zapise, ki so te kadarkoli in kakorkoli užalili.

MrStein je 26. okt 2018 ob 19:59 izjavil:

Načrtujejo. Obvestila so že več mesecev zunaj (no, pri strankah)

Nič ne bo iz tega

Na kratko: v win 10 sem prevzel sigen-ca v najnovejšem firefoxu portable 64-bit, verzija 63, exportal sem ga tudi v chrome. Zakaj potem potrebujem še dodatne mehanizme verifikacije, nek SI-PASS, digitalni podpis, proXsign in podobno? Lahko kdo to na hitro razloži?

Še ena na temo bebavost implementacij:

Če v Firefox greš v Options / (Your) Certificates / Backup...

te kar pusti izvoziti zasebne ključe.

Če greš na Options / Saved Logins in izbereš www.24ur.com , klikneš "Copy Password" pa vpraša za master password, preden ti izda ta podatek. Ker geslo za 24ur.com je očitno bolj pomembno in varovano, kot zasebni ključi, s katerimi lahko dostopaš do davkov, bank itd...