cik zinu tai projektā ir iesaistīti vismaz pāris ļoti zinoši cilvēki par IT drošības jomu. un tieši no auditoriem.

mmk: Un kur ir problēma? :)

nu tad jau sanāk, ka major fackups ir sanācis :)

Aigars Kalvītis - 270666-10507. Sātanists :D

nu tas galīgi nav jaunums :) var palasīt e-me.lv forumu ja rodas šaubas.

un cilvēki, kuru personas kodi publicēti, ir tam piekrituši, parakstot līgumu par sertifikācijas pakalpojumiem :)

tas ir nepieciešams, lai parakstītāju varētu viennozīmīgi identificēt. ar vārdu/uzvārdu ir par maz.

A kamdēļ daudzām personām ir 2 uid? Ieskaitot to pašu Kalvīti.

rem: Tu vēlies pateikt, ka es nevaru lietot e-parakstu, nepubliskojot Savu Personas Kodu?!

laacz: tieši tā.

rem: Parādi man līgumu. Vai vismaz to punktu.

laacz: vakarā aizsūtīšu uz e-pastu

Nu tad viss ir kartibaa...ja shada lieta nebutu pieljaujama, tad LDAPs no arienes shadus pieprasijumus visapr nebutu apstradajis.

Ko lai dara, ja nav ko teikt, bet tēma interesē (comment->email)...?

laacz: http://info.e-me.lv/lv/dokumenti/sert_pak_noteikumi.doc (13. lpp. punkts 9.1). Iespējams, ka aktuālā līguma versija nedaudz atšķiras.

Protams interesantākais līguma punkts ir pats pēdējais (9.4) "Jebkāda veida Pakalpojumu sniedzēja atbildība ir ierobežota viedkartes vērtības apmērā" :) Tas nozīmē pat ja viņi visu sadirš un tu tādēļ pakās miljonus (jo esi paļāvies uz paraksta "drošumu" nosacīti), tad viņi tev atmaksās viedkartes vērtību :))

rem: Bet 9.1 punkts norāda, ka personas dati būs pieejami TIKAI tad, ja būsi kaut ko parakstījis. Kā arī, šī informācija būs pieejama TIKAI tām personām, kurām šis paraksts (parakstītais dokuments) būs pieejams (tas gan nav 9.1 punktā, bet gan izlasot visu līgumu/vienošanos).

nu sertifkācijas pakalpojumi paredz, ka sertifkāti ir pieejami publiski, citādi PKI nemaz nevar darboties.

REM: Vispār jau manam pesonas kodam un citai viennozīmīgi mani identificējošuia informācijai ir jābūt pieejamai TIKAI tām personām, kurām es to vēlos sniegt (paraksta veidā). Bet nekādā vīzē ne jebkuram gribētājam. Tur ir tā personas datu aizsardzība. Tur ir tā paraksta būtība. Parasto parakstu takš arī nevar jebkurš, kurš vēlās uzzināt. Un manu e-pasta adresi. Un manu konta numuru. Ja vien es nevēlos to visu publiskot.

laacz: nu tava izvēle - izmantot to vai nē. bet katram risinājumam ir savas īpatnības un nosacījumiem, kam jāizpildās, lai sistēma korekti strādātu. šajā gadījumā mūsu valstī vienīgais precīzais personu identificējošais parametrs ir personas kods, kas diemžēl ietver dzimšanas datus...

uiii.. ja sito publices kada medija. projektam bus ziepes.

Personas kods ir svetakais, ko var aizsargat .....

Bus te paris instancem ko darit, ja kadam gribesies nolaist/sacakaret projektu..

da ble kaadas savas īpatnības un un kaadi savi nosacījumi? wtf tu tur kaut ko baarsti? rem... raz, dva, tri... i svobodjen kak afrika

fui lāci!tavi pēdējie raksti ir tikai par datoriem, kurus man kā apsolūtai nejēgai nav tiesības komentēt.labāk ieliec kādu smuku meituka bilžuku!

tas e-paraksts tak ir pilniigs bullshits, attiecigie uzvaarijaas, pavaariisies tauta un visi to aizmirsiis. kaa vienmeer :)

rem, es jau negribētu apšaubīt Tavu kompetenci šai jautājumos, bet, kā jau gremlins minēja, PK ir svētākais, kas katram pilsonim mūsu valstī ir. Un to nu neviens saprātīgs cilvēks nekādā gadījumā neļautu publiski ļaut iegūt. Tu, manuprāt, nepareizi traktē attiecīgo dokumentu un mazliet pārāk plaši attiecini jēdzienu par "trešajām personām". Aizvien uzskatu, ka personas kodu uzzinās tikai tie, kuriem es iesniegšu/izsniegšu parakstītus dokumentus.

Aigaro: Tu no mēness? :)

nezin kaads linku - valsts noslepums?

Tas viss ir mīts.

Internetā publiski pieejama daļa elektroniskā paraksta lietotāju personīgās informācijas

RĪGA, NOV 24, BNS - Internetā publiski pieejama daļa elektroniskā paraksta lietotāju, tostarp premjera Aigara Kalvīša, personīgās informācijas, liecina ziņu aģentūras BNS rīcībā nonākusī informācija. Izmantojot interneta pārlūkprogrammu, iespējams legāli uzzināt e-paraksta lietotāju vārdus un uzvārdus, personas kodus, kā arī, iespējams, e-paraksta identifikācijas kodu. Teorētiski informācijai nevajadzētu būt pieejamai, tomēr šobrīd ikviens interesents, kuram ir pieeja serverim, kur glabājas informācija par e-paraksta lietotājiem, var iegūt šo informāciju.

Īpašu uzdevumu ministre elektroniskās pārvaldes lietās Ina Gudele, uzzinot, ka šāda informācija ir publiski pieejama, bija ļoti pārsteigta. Viņa aģentūrai BNS norādīja, ka šādai informācijai publiski nevajadzētu būt pieejamai. Ministre piebilda, ka informācijas drošības nodrošināšana ir Latvijas pasta uzņēmuma "Latvijas Pasts" kompetencē, jo ministrija tehniski nenodrošina e-paraksta datubāzes uzturēšanu.

E-parakstu Latvijā iedzīvotājiem piedāvā no oktobra. Elektronisko parakstu Latvijā ievieš "Lattelecom" un "Latvijas Pasts". Elektroniskais paraksts nepieciešams, lai atvieglotu informācijas apmaiņu starp uzņēmējiem un valsts iestādēm.

Datu valsts inspekcija septembra beigās deva pozitīvu atzinumu par elektroniskā paraksta pakalpojuma tehniskajiem risinājumiem, drošību, atbilstību likumiem un standartiem, kas nozīmē, ka pakalpojums ir akreditēts.

Tauta, vai tik jūs nav pārāk saskatījušies amerikāņu filmas ? Kur šie runā par saviem social security number. Tas ir kas pavisam cits, nekā LV personas kods. Personas kods mums nav ne slepena, ne ierobežotas pieejas informācija.

gudele ir pārsteigta! man viņa likās inerta.

Amerikā sen jau vairs neļauj izmantot SSN kā identifikācijas līdzekli, tāpēc nekādas lielās starpības ar p.k. vairs nav. Nu nav personas kods publiska informācija. Pat Latvijā daudzi var tavā vārdā savārīt ziepes, zinot personas kodu. Piemēram, kāds rakaris brauc bez tiesībām un viņu aptur ceļu policija, un viņš saka, ka tiesības ir aizmirsis, bet nosauc tavu vārdu un personas kodu, un tev pienāk sods par ātruma pārsniegšanu vai tamlīdzīgi. Protams, tu nevari izvairīties no p.k. sniegšanas valsts iestādēs vai darba devējam, bet šie cilvēki pilda amata pienākumus un uzņemas atbildību, ka neizmantos šos personas nelikumīgi.

hvz: tu no mēness, vai kā? Kā tad nu personas kods varētu nebūt ierobežotas pieejas informācija?

Neviens, protams, nešaubās, ka PK ir pavisam kas cits nekā social security number.

ir labaak? rakari.

#30: fake p.k. vairs nedarbojas, tagad ir vajadzīgs personu apliecinošs dokuments.

Šausmas, vai tad tiešām šajā ilgā laika periodā, kad e-lietu ministrija veidoja šo projektu nevarēja kārtīgi noskaidrot to, kā drīkst/nedrīkst izmantot personas kodu.

Nu bāc, kā no mēness nokrituši! Banku gada pārskatos valdes locekļiem pat mājas adreses atrodamas ir , ja jūs to vēl nezinājāt :)

e-me browsing service is closing due to too high popularity. (damn it)

Priekš tiem kas tankā: A, ar ko personas kods ir tik slepens? Nu ko Jūs man nodarīsiet, ja es publiskošu savu personas kodu? Nevajag mistificēt kaut kādus sūda 11 ciparus!

... atvainojos, 5 ciparus, jo pirmos 6. ciparus, Jūs tāpat varat noskaidrot par lielāko daļu personu... ... atvainojos, 4 ciparus, jo 7. cipars personas kodā mums visiem ir "0"... ... atvainojos, 3 ciparus, jo pēdējais cipars ir checksumma, kas tiek aprēķināta pēc vispārzināma algoritma...

Sorry, 7. cipars ir "1", bet nu lietas būtību tas nemaina.

… atvainojos, 4 ciparus, jo 7. cipars personas kodā mums visiem ir “1″… davaj, nevajag, a? :)

… atvainojos, 3 ciparus, jo pēdējais cipars ir checksumma, kas tiek aprēķināta pēc vispārzināma algoritma… aizmirsi piebilst, ka shis algoritms taa kaa skaitaas valsts nospleepums.

7. cipars noraada gadsimtu, kuraa persona ir dzimusi. 19. gs. atbilst "0", 20 gs. "1", 21. gs. "2", utt. Tas "valsts noslēpums" ir pieejams publiski jebkuram interesentam...

Arturs: Kur [un kā] (esmu interesents)?

arturs: nu tagad jau saaac runaat taisniibu. ;)

Shadowbird:

PK[11] = (1101 - (1PK[1] + 6PK[2] + 3PK[3] + 7PK[4] + 9PK[5] + 10PK[6] + 5PK[7] + 8PK[8] + 4PK[9] + 2PK[10])) mod 11

ja nu kas, tad te - http://ps.id.lv/php/pinlv/ - vecaa labaa implementaacija.

Arturs: Paldies. Man gan tikpat daudz, cik pati formula interesē, kur un kā pie tās var tikt "publiski jebkurš interesents".

Shadowbird: a tev viss ar karoti mutē jāielej? Mauc cauri visus MK noteikumus un gan jau uzrausies.

MK noteikumos tātad? Paldies, to arī gribēju zināt.

1. Elektronisko dokumentu likums nosaka, ka Latvijā kvalificētā sertifikātā ir jāiekļauj personas kods. Tā ir Latvijas versija Eiropas savienības normām, kas nosaka, ka šādā sertifikātā jāiekļauj unikāls subjekta identifikators.

2. Ir informācija, ka ar laiku LR Iedzīvotāju reģistrs personas dzimšanas datumu personas kodā varētu vairs nelikt, jo personas dzimšanas datums tomēr ir aizsargājama personas informācija.

3. PKI infrastruktūra korekti strādās arī tad, ja tikai pēc seriālā numura sertifikātu LDAPā nevarēs atrast, jo normālā gadījumā sertifikāts vai sertifikātu identificējoša informācija būs iekļauta parakstītajā dokumentā. Ja Laacz šādu dokumentu nosūtīs kādam, šīs "kāds" Laacz sertifikātu varēs pārbaudīt, izmantojot CRLus vai OCSP.

4. Ja kāds gribēs nosūtīt Laacz šifrētu ziņu, tad šim "kādam" būs pirms tam jāiegūst Laacz sertifikāts. Viens no sertifikāta ieguves veidiem ir LDAP, no kura sertifikātu vajadzētu varēt nolasīt tikai tad, ja zina Vārdu + Uzvārdu + (Sertifikāta Seriālo Numuru vai Personas kodu).

5. No punktiem 3. un 4. var secināt, ka ļaut LDAPā meklēt tikai pēc seriālā numura principā nav jēgas, jo to neizmantos ne programmas, kas pārbauda sertifikātu statusu, ne arī cilvēki, kas mēģinās atrast kāda viņiem zināma cilvēka sertifikātu.

paga, paga. ja es gribeeshu visu cieniijamam kalviitim nosuutiit oficiaalu iesniegumu, es vareeshu vinju parakstiit un nosuutiit pa pastu (IRL). tagad man, lai parakstiitu, veel ir jaauzmin arii personas kods?

Baac un nafig tas latvijas pasts izlaida jaunu versiju vakar programmatuurai, ja taa vispaar nav savietojama ar ieprieksheejo un ieprieksheejaa vairs nestraadaa normaali? Kretiini vinji. Tjip man baigi daudz laika ir, lai peec katras vinju versijas paarkonfigureet visiem uznjeemumaa tos eparakstus....grrrr

Zinot mūsu policistu pērkamību un arī pārkāpēja psiholoģisko spēju pārliecināt, ka tās tiešām bija tikai šorīt citas uzvilktās bikses, es nejūtos tik drošs. Pirms kādiem 5 gadiem, kad es biju Latvijā, man atnāca paziņojums par sodu automašīnas vadīšanu reibumā. Toreiz man pat tiesības vēl nebija, un par laimi policisti vēlāk izskaitļoja īsto vainīgo, kas bija man pazīstama persona utt.

Bet pats trakākais būs tad, kad no parādu piedzinējiem pienāks paziņojums par nenomaksātu līzingu, kas paņemts pirms 10 gadiem no kompānijas, kas sen jau ir pārtraukusi savu darbību vai kaut kas tamlīdzīgi. Saprotams, ka kaut kur bijusi krāpniecība, bet kā tu pierādīsi pēc 10 gadiem? Vismaz ASV es varu trīs reizes gadā bez maksas internetā pārbaudīt savu kredītvēsturi un jau savlaicīgi noprotestēt visus nepareizos ierakstus (jebkādu kredīta paņemšana manā vārdā utml).

No vienas puses, ja visi dokumenti tagad būtu jāparaksta ar elektronisko parakstu, tad p.k. tiešām vairs nebūs nekāda nozīme, jo pats par sevi tas neko vairs nenozīmēs. Bet līdz tam, kad visi darījumi 100% tiks veikti ar elektronisko parakstu, vēl paies ilgs laiks, tāpēc šobrīd var sanākt, ka izvēlēties nelietot elektronisko parakstu var būt pat drošāk, it īpaši, kamēr šajā sistēma vēl nav izķerti visi bugi.

Arturs: Tev to pašam neviens neaizliedz publiskot. Taču, ja to dara kāds, kuram Tu to esi uzticējis, tas ir slikti. Pie kam, par septīto ciparu kļūdies :) 0 tas ir tiem, kas dzimuši 18xx gados, 1 - tiem, kas 19xx gados, bet 2 - šinī gadsimtā dzimušajiem.

Vai kāds var paskaidrot tiem kas tankā (man). Ja es pareizi izprotu elektroniskā paraksta būtību, tad es elektronisku dokumentu kaut kā "apstrādāju" (kodēju?) ar savu private key. Ar manu publisko key jebkurš interesents var šo dokumentu "atstrādāt" (atkodēt?). Ja dokuments "atstrādājas", značit ziņas sūtītājs esmu bijis es un to neviens sūtīšanas procesā nav nekādi uzlabojis. So far so gud, pareizi? Līdz šim problēma slēpās tajā apstāklī, ka trūka centralizētas datubāzes, kur būtu norādīts, ka konkrētā Jāņa Bērziņa public key ir tāds un tāds, pareizi? Ja līdz šim visu esmu izpratis pareizi, tad man nav skaidras divas lietas:

1. Kāpēc šādas, relatīvi triviālas centralizētas db izveide maksā tik cik viņa maksā?
2. Kāpēc es nevaru kopā ar savu "parakstīto" e-dokumentu sūtīt savu publiskās atslēgas pieejas kodu. No centrālās db, tad zi;nas saņēmējs arī varētu dabūt šim pieejas kodam atbisltošo public key un informāciju, kas tad ir public key izsniedzējs (nu tur, tipa Jānis Bērziņš, p.k. xxxxxx).

laacz: neuzskatu pk par kaut ko svētu un īsti neticu, ka kaut ko būtisku var ar viņu panākt (sačakarēt). Iespējams, ka tieši šajā apstāklī slēpjas viedokļu atšķirības. Latvijā nav citas personu identificējošas informācijas. Diemžēl.

rem: ir ļoti liela starpība vai es savu pk paziņoju kādam konkrētam cilvēkam vai arī manu pk var uzzināt jebkurš ļoļiks no ielas. Varbūt es esmu vecs perdelis (bet joprojām gana šarmants) un gribu paspaidīti jaunus zaķus. A šie internetā ierauga manu pk un visa spaidīšanās vējā! :)

Nejauciet personas identifikatoru (PK) ar personas identitaati apliecinoshu fignju. Pirmais ir pilniigi ok ja ir pieejams visiem kam nav slinkums, tieshi taapat arii personas koda algoritms nevienam kas grib atrast nav nosleepums.

Personas identitaati apliecinoshs pasaakums tieshi kaa ar reizi ir pasaakums ko digitaalais paraksts censhas atrisinaat - un jaatziist ka patiesiibaa ljoti sakariigaa veidaa.

Vieniigaa PK probleema ir tieshaam fakts ka dzimshanas datums tajaa tomeer ir iekljauts. Bet arii taa ir tiiri etiska probleema.

laacz: nu vai tad arturs taa arii nepateica, kad ir 0, kad 1, kad 2? K.

Kirils: To es jau tāpat zināju,. Kā arī to, ka trīs nākamie cipari ir reģistrācijas vietas kods. Katrai vietai tas var būt ne viens vien,lai jaundzimušais nebūtu jāsūta prom uz citu dzimtsarakstu nodaļu, jo šodien limits jau izsmelts ;P

laacz, nu kas tad taas par speeliiteem: [q]laacz - Pie kam, par septīto ciparu kļūdies :) 0 tas ir tiem, kas dzimuši 18xx gados, 1 - tiem, kas 19xx gados, bet 2 - šinī gadsimtā dzimušajiem.

Kirils? ddmmyy-cxxxy, kur c - gadsimts, kad cilvēks dzimis, xxx ir tas trīsciparu vietas kods, y - čeksumma.

Bet Arturs jau arī tieši to pateica.. Vienīgi 2000 gads jau it kā pieder pie 20. gs.

Un #61 pats sapinies, jo c nav gadsimts... btw šodienas gadsimtam ir 2 cipari.

Nu, protams, var jau piesieties vārdiem un detaļām, ja no tā kļūst vieglāk :) c norāda gadu simteni (nevis gadsimtu), kurā cilvēks ir piedzimis. Tāda definīcija vairāk iet pie sirds?

laacz, nu paga. pa soljiem - arturs teica: "7. cipars noraada gadsimtu, kuraa persona ir dzimusi. 19. gs. atbilst “0″, 20 gs. “1″, 21. gs. “2″, utt."

laacz teica arturam: " Pie kam, par septīto ciparu kļūdies :) 0 tas ir tiem, kas dzimuši 18xx gados, 1 - tiem, kas 19xx gados, bet 2 - šinī gadsimtā dzimušajiem."

bet arturs tak tieshi to arii bija teicis.

anyway, taa jau taada meta-padirshanaas te un visiem taapat viss ir skaidrs. :)

Kirils, es iekomentēju vēl pirms izlasīju Artura komentāru :)

Vispār jau šāda publiski pieejama datubāze ar pk (dzimšanas datumu) un epasta adresi ir jebkura spamera sapnis. Gadiet, ka drīz jums sūtīs digitāli parakstītu spamu, kas būt mērķēts tieši jūsu vecuma grupai: 60 gadīgiem večumiem – viagras reklāmas, jauniešiem ipod reklāmas, utt.

Noteikti, ka tie 3 cipari (8ais, 9ais, 10ais) tiek arī pielāgoti īpašos gadījumos, jo citādi čeksumma jau var sanākt arī 10 un ko tad...

Renchix: čeksumma nevar būt lielāka par 9.

Nu tur jau tā lieta, ka par 9 lielāka nevar būt, bet, piemēram, cilvēkam ar PK sākumdaļu 060855-1100 čeksumma (11ais cipars) sanāk 10, kas nedrīkst būt, jo vajag ne lielāku par 9, tāpēc tie 3 cipari (8ais, 9ais, 10ais) nevar būt standarta trīsciparu vietas kods...

mani kā reiz šī lieta interesē - vai tiešām nekad nevar sanākt 10? T.i. ja sanāk 10, tad pārējā pk kaut kas nav kārtībā vai arī ir zināms, kāds ir pēdējais cipars šajā gadījumā?

Ja kāds zina tavu personas kodu, tad problēmas var tomēr sanākt. Piemēram, zvanot uz to pašu Lattelekom pietiek ar personas kodu, lai izmainītu tarifa plānu, uz laiku atslēgtu telefonu un šitādi visādi joki.

Tāpat man galīgi nepatīk, ka ar kredītkartes garo numuru pilnīgi pietiek lai tai pašā Dienas abonēšanas centrā kaut ko noabonētu. A šo te kodu tak jebkurā veikalā var piefiksēt...

Uz visu to sistēmu fona e-paraksts tāds sakarīgāks šķiet.

Kaads var apgaismot - kaadas uz doto briidi valstij ir e-paraxta ievieshanas izmaksas un vai vispaar taa sisteema straadaa? Man kaut kā uznāk nepamatotas šaubas par projektu vispār, lai arī kādas IT galvas tur būtu strādājuši. Manuprāt sakarīgs programmētājs par to pašu darba algu tādu projektu varētu uzcept, ja kas. Un kas gan ir vainas vecajam labajam PGP? Vai tad jau ir atlauzts? Kaut kā nav dzirdēts :)