Hosting

Přihlášení

@ IN SOA domény.dns.enum.mojeid.internet. nic.cz.
Aktualizace: 13 min 3 sek zpět

Krátké vlny: Jednotná doména gov.cz jako součást velkého projektu státu

8 hodiny 33 min zpět

Stát připravil záměr migrace na jednotnou doménu a vytvoření jednotné vizuální identity ústředních orgánů státní správy. Materiál je nyní v meziresortu a jak podotknul na Twitteru Jakub Onderka, jedná se o třetí pokus vytvoření systému jednotné domény „.gov.cz“ v průběhu posledních 20 let. Nicméně doba pokročila a jednotná doména už není jen otázkou vizuálu, „aby to hezky vypadalo na státních vizitkách“ a přívětivosti pro občany, ale zejména snahou o zvýšení kybernetické bezpečnosti a právní jistoty uživatelů služeb státu.

Současný stav, kdy jména domén ústředních orgánů státních správy a jejich organizací jsou tvořena chaoticky a nekoordinovaně shlukem písmen, které se snaží utvořit zkratku úřadu v českém nebo anglickém jazyce, rozhodně nepřispívá k čitelnosti a bezpečnosti služeb státní správy. Pod eagri.cz najdete Ministerstvo zemědělství, Český statistický úřad nenajdete na csu.cz ale pod jménem domény czso.cz, Ministerstvo obrany zase okupuje jméno domény army.cz.

Tento chaotický a zcela roztříštěný přístup dosáhl za 20 let jediného – nikdo nemá přehled o všech státem používaných jménech domén. Nikde neexistuje seznam jmen domén, které využívají státní instituce. A jak praví jedno ze základních bezpečnostních pravidel: „nemůžu chránit to, o čem nevím, že mám chránit“. Jak materiál uvádí: „kvůli nejednotnosti domén není také možné centrálně nastavovat technická pravidla a zajistit bezpečnost celého řetězce DNS záznamů. V současné době si každý správce systému řeší bezpečnost DNS dle svého uvážení a vynucovat jednotná pravidla fungování pouze formou standardů je nedostatečné.“

V některých případech jsou jména domén registrovaná na fyzické osoby. Stane se. Taky jsem kdysi zaregistroval na sebe jméno domény digitalnicesko.cz. Ne protože bych byl spekulant, ale protože jsem pracoval v dresu státu a tenhle postup byl rychlejší, než přemoci papírovou bestii na úřadě a stihnout zaregistrovat jméno domény dříve než tak udělá opravdový spekulant, který si všimne nové aktivity státu pod hlavičkou Digitálního Česka.

Materiál se vypořádává s nápadem, že by jednotná doména nebyla „.gov.cz“ ale třeba „.cesko.cz“, „.stat.cz“ nebo „.vlada.cz“. Předkladatel správně upozorňuje, že ačkoliv na první pohled mohou být tyto varianty srozumitelné pro české občany, pro zahraniční partnery a spojenecké státy budou rozhodně nesrozumitelné a mohou negativně ovlivnit činnost státních institucí zaměřených na zahraniční obchod a podporu exportu. Kromě toho je doména „gov.“ využívaná v mnoha zemích Evropské unie a Severoatlantické aliance, ať už se jedná například o USA, Velkou Británii, Belgii, Chorvatsko, Maďarsko nebo Polsko. „.Gov.cz“ je mezinárodně univerzální řešení.

Materiál také racionálně předpokládá, že není možné ze dne na den vypnout webové stránky státních institucí na současných jménech domén. Původní jména domén by měla být zachována alespoň po dobu dalších 10 let a po tuto dobu budou přesměrovávat případné bloudící uživatele na nová jména domén. Výhodu má třeba Úřad průmyslového vlastnictví, který jméno domény „upv.gov.cz“ už používá nyní a přesměrovává uživatele z domény“upv.cz“.

Migrace na jednotnou doménu je součástí širší aktivity státu nazvanou „projekt BIVOJ“, který v návaznosti na hackerské útoky a obecnou snahu posílit kybernetickou bezpečnost státních institucí uložila rozpracovat Bezpečnostní rada státu Národnímu úřadu pro kybernetickou a informační bezpečnost v dubnu tohoto roku. Pokud by se projekt migrace na jednotnou doménu „gov.cz“ podařilo úspěšně zrealizovat, stát výrazně omezí prostor podvodníkům, kteří například v nedávné době provedli phisingový útok z podvržených domén Ministerstva práce a sociálních věcí v souvislosti s pětitisícovým příspěvkem.

Pokud vláda schválí předložený záměr, ministr vnitra a místopředseda vlády pro digitalizaci (aka ministr pro místní rozvoj) do čtyř měsíců předloží vládě harmonogram migrace vybraných jmen domén ústředních orgánů státní správy a současně má ředitel NÚKIB ve spolupráci s ministrem vnitra provést audit a nastavit bezpečnostní pravidla pro provozování jednotné domény „.gov.cz“.

Zmiňovaný projekt BIVOJ přichází za minutu dvanáct. Stačí se třeba jen podívat na DDoS útoky z poslední doby. Společnost Akamai zaznamenala u jednoho ze svých zákazníků největší evropský DDoS útok. Ten trval 14 hodin a dosahoval intenzity 854 Gb/s a 660 milionů paketů za sekundu. Podle Akamai byl zdrojem útoku vysoce sofistikovaný celosvětový botnet. V srpnu proběhl DDoS útok na web společnosti Energoatom, která provozuje ukrajinské atomové elektrárny a další DDoS útok na web finského parlamentu. K tomu druhému útoku se přihlásila proruská skupina NoName057(16) a důvodem měla být rozjetá aktivita Finska vstoupit do Severoatlantické aliance. Historky největší vlně útoků (nejen DDoS) čelila na konci srpna Černá hora, která se s pomocí zahraničních partnerů musela vypořádat s masivním zásahem do kritické infrastruktury včetně distribuce vody a výroby elektřiny. Je jasné, že bez robustní infrastruktury spojené s aktivní obranou a možností přechodu do ostrovního režimu, jako například nabízí sdružení NIX.CZ pro své členy v projektu FENIX, zůstanou snahy o zabezpečení kybernetické bezpečnosti jen zbožným přáním ve vládních strategiích a koncepcích. A to by byla škoda.

Kategorie:

Zvýšení bezpečnosti transferu .CZ domén

Čt, 09/22/2022 - 11:00

Dnes v noci jsme nasadili do provozu novou verzi systému FRED, jehož vlastnosti jsou určující pro životní cyklus všech .CZ domén. Zatímco několik předchozích verzí přinášelo novinky spíše na úrovni vnitřní infrastruktury, dnes zprovozněná verze přináší navenek rozpoznatelnou změnu. Dotkne se všech, kteří budou provádět transfer domén (obecně objektů) od jednoho registrátora k dalšímu. A nebyli bychom to my, kdyby změna neznamenala zvýšení bezpečnosti tohoto významného procesu, který měsíčně podstoupí jednotky tisíc držitelů domén.

Pro zopakování (o možnostech transferu jsme psali před lety), při změně registrátora objektu je nutno zadat heslo pro transfer, tzv. authinfo nebo také authinfo kód. Tato základní vlastnost se nemění, mění se způsob, jakým je s authinfo kódem nakládáno u nás v registru. Dříve bylo authinfo k objektům zapisováno v okamžik jejich vzniku, bylo dostupné pro čtení a k jeho přegenerování došlo v okamžik transferu objektu na jiného registrátora. Mohlo být tedy stejné po velmi dlouhou dobu. S tím byly spojeny poměrně značné nevýhody. Jednak bylo nutno na straně registru uchovávat authinfo trvale u každého objektu a udržovat historii změn tohoto údaje, což vzhledem k počtu objektů znamenalo nemalou režii. Hlavní nevýhodou byla ale nízká bezpečnost. Potenciální únik nezahashovaných (a velmi málo se měnících) hesel k transferu, ať už od nás nebo od registrátora, by mohl vést ke změnám na objektech v registru, které nevyvolal a nepotvrdil jejich držitel.

Způsob, jakým jsme zpracovávali hesla pro transfer doposud, je obvyklý i pro ostatní doménové registry a vychází z existujících standardů pro komunikaci mezi registrátory a registry. Nicméně, když v prosinci loňského roku vydala standardizační organizace IETF novou verzi těchto technických pravidel, která již zohledňují vyšší požadavky na bezpečnost, rozhodli jsme se, že těchto nových pravidel pro naše řešení využijeme.

Nově tedy authinfo při založení objektu nezapisujeme, ale jeho držitel si jej v případě potřeby vyžádá. My jej buď vygenerujeme nebo si držitel nastaví vlastní. Až následně authinfo k objektu uložíme, nově v zahashované podobě, a nastavíme mu platnost na 14 dní. To eliminuje rizika spojená s únikem hesel za cenu akceptovatelného snížení komfortu pro držitele, který má na uvažovanou změnu vymezený čas. Mimochodem, lhůtu 14 dní jsme zvolili poté, co jsme tento nový koncept práce s authinfo kódy konzultovali s našimi registrátory. Spolu s nimi jsme v předchozím půlroce vyladili další detaily fungování v registru. Registrátoři tak mohli v předstihu upravit svoje systémy, mimo jiné i díky tomu, že novou funkčnost měli k dispozici v testovacím prostředí. Jedná se sice o principiálně poměrně jednoduchou změnu, ale její implementace v systému FRED a systémech registrátorů už tak jednoduchá nebyla. Proto tímto velmi děkujeme všem, kteří na realizaci pracovali.

Změnu jsme samozřejmě zanesli také do dokumentace FRED nebo Pravidel technické komunikace. Pro jistotu níže ještě popíšu, jaké možnosti má nově držitel při transferu objektu k novému registrátorovi.

Pro transfer objektu držitel potřebuje získat authinfo jedním z těchto způsobů:

  1. přes web určeného registrátora přenášeného objektu (nebo kontaktu spojeného s tímto objektem), což lze provést:
  • buď zasláním požadavku na vygenerování authinfa registrem – držitel dostává v tomto případě authinfo od registru,
  • nebo zadáním nového authinfa přes systém registrátora do registru – držitel v tomto případě authinfo sám zadává nebo získává od registrátora,
  1. přes web cílového registrátora, odkud držitel zavolá vygenerování authinfa registrem, který zašle tento kód držiteli,
  2. v Doménovém prohlížeči, kde si může držitel objektu authinfo nastavit,
  3. prostřednictvím formuláře na našem webu.

Poté, co jedním z těchto způsobů držitel authinfo získá, zadá jej cílovému registrátorovi. Ten díky tomu může provést transfer objektu a my (registr) provedeme zneplatnění použitého authinfa. Ke zneplatnění authinfa po jeho využití nedojde v případě, kdy použiji pro transfer objektu authinfo oprávněného kontaktu. Registrátor může authinfo využít také ještě ke zjištění údajů kontaktu, které jsou pro něj skryté a držitel mu předáním authinfa dává oprávnění na ně nahlédnout. V těchto specifických případech ponecháváme authinfo platné až do vypršení platnosti.

A závěrem ještě jedna informace pro držitele, kteří si požádali o authinfo v posledních 14 dnech. Všem těm jsme při nočním přechodu na nový systém nastavili platnost jejich authinfo kódů na 14 dní od zaslání. Protože k využití authinfa dochází v drtivé většině případů do jednoho dne od podání žádost nebo zadání, neměla by tedy v tomto článku popsaná změna způsobit žádné komplikace při transferech objektů.

Jakými způsoby lze získat authinfo

Kategorie:

Krátké vlny: Zprávy z Evropského parlamentu o roztříštěném internetu a Peagasgate

Čt, 09/22/2022 - 06:20

Září začalo v dynamickém regulačním tempu a lobbisti neví, kam dříve skočit. V CEVRO Institutu proběhla toto úterý konference na téma bezpečnosti dodavatelského řetězce v sítích elektronických komunikací v České republice. Ano, po konferenci v Poslanecké sněmovně v červenci tohoto roku a po dvou panelech na konferenci CyberCon v Brně minulý týden, je to další akce k tématu, jak nastavit mechanismus určení důvěryhodných dodavatelů do strategicky významné infrastruktury.

Téma je to super zajímavé, na konferenci vystoupilo pár řečníků s názorem, ale dokud na stole není paragrafovaný návrh, dá se celá tříhodinová akce shrnout takto:

Zástupci operátorů: „Bezpečnost dodavatelského řetězce je důležitá, ale my si to posoudíme sami, technicky to umíme.“

Zástupci NÚKIB a poslanci: „My vám to věříme, že to technicky umíte, ale bezpečnost dodavatelského řetězce není jen technika a my vám s tím rádi pomůžeme. Až budeme mít návrh zákona, budeme to s vámi zase rádi diskutovat, teď nás nechte pracovat.“

Rada EU a Evropský parlament dosáhly 22. července předběžné dohody o „Cestě k digitální dekádě“, která stanoví digitální vizi EU do roku 2030 (psali jsme zde).

Připomeňme, že předběžná dohoda drží původní digitální cíle, jichž má být dosaženo do roku 2030, a to:

1) digitálně kvalifikovaná populace s vysoce kvalifikovanými odborníky, včetně genderové vyváženosti,

2) bezpečné, odolné, výkonné a udržitelné digitální infrastruktury,

3) digitální transformace podniků, která bude vyžadovat, aby alespoň 75 % podniků v EU využívalo cloud computing, big data nebo umělou inteligenci, a

4) digitalizace veřejných služeb, která zahrnuje cíl, aby 100 % občanů EU mělo přístup k bezpečnému elektronickému průkazu totožnosti (EU wallet).

Předběžná dohoda rovněž vybízí země k účasti na přeshraničních projektech, které mají usnadnit dosažení digitálních cílů, a uvádí příkladný seznam činnosti, v nichž by takové projekty mohly být realizovány (například evropská infrastruktura blockchainových služeb, dovednosti a odborná příprava v oblasti kybernetické bezpečnosti).

V červenci 2022 vydala Evropská parlamentní výzkumná služba zajímavou studii s názvem „Splinternets“. V této studii zkoumá dopad nově přijímané digitální legislativy na digitální trh v Evropské unii (možná trochu pozdě?). Studie konstatuje, že legislativní iniciativy EU mohou být „považovány za hnací sílu pozitivních příležitostí, ale také za katalyzátor zhoršování“ možné roztříštěnosti internetu. Pokud jde o současné iniciativy, jako je Akt o digitálních službách (DSA), studie zdůrazňuje, že uložení povinnosti zprostředkovatelských služeb také poskytovatelům služeb DNS by mohlo být „v rozporu s vizí EU o jednotném a otevřeném internetu a s jejím závazkem k přístupu více zúčastněných stran při správě internetu“.

Pokud jde o předschválený návrh NIS 2, autoři studie zdůrazňují, že zahrnutí služby kořenových jmen do oblasti působnosti směrnice bude znamenat nový regulační dohled ze strany EU, což by potenciálně mohlo vést k protichůdným regulačním požadavkům, které by mohly způsobit roztříštění systému kořenových serverů. Studie nicméně zdůrazňuje, že některé současné iniciativy by mohly posílit model sjednocování internetu, například nařízení o elektronických důkazech, které by mělo extrateritoriální rozměr tím, že by zreformovalo přeshraniční přístup soudních orgánů k elektronickým důkazům.

Nařízení eIDAS „signalizuje ambice Evropské komise podporovat evropské normy ve vztahu k elektronické identifikaci a certifikaci internetových stránek“, a proto by podle závěrů studie mohlo mít efekt i na globální úrovni.

Tato zpráva je zajímavá v několika ohledech. Co je klíčové i z pohledu budoucích geopolitických konfliktů, tak celkem jasně poukazuje na fakt, že fragmentace internetu, resp. snaha se jí vyhnout, bude s největší pravděpodobností jednou z otázek, kolem nichž se v blízké budoucnosti přetvoří geopolitická a řídící rovnováha (nejen) internetu. A příklad (bohužel) už máme. Ať už se jedná o rusko-čínský přístup ke správě internetu nebo realizace kambodžského „kill-switche“. Mimochodem zajímavou přednášku k možnému odtržení Ruska od internetu měl výkonný ředitel sdružení CZ.NIC Ondřej Filip na brněnském CyberConu organizovaném Národním úřadem pro kybernetickou a informační bezpečnost. Záznam přednášky bude jistě brzy dostupný online.

Dne 25. srpna vydala Rada EU pod českým předsednictvím svůj třetí kompromisní návrh týkající se návrhu EUID. Cílem kompromisního návrhu je podpořit zavádění navrhovaných evropských peněženek pro digitální identitu jejich „bezproblémovou integrací do ekosystému veřejných a soukromých digitálních služeb, které jsou již zavedeny na vnitrostátní, místní nebo regionální úrovni, včetně řešení fungujících v přeshraničních regionech“. Kompromisní návrh rovněž předkládá nová ustanovení týkající se požadavků na kybernetickou bezpečnost pro poskytovatele důvěryhodných služeb. Zdůrazňuje například, že úkolem orgánů definovaných NIS 2 bude poskytovat dozorovým orgánům informace o tom, zda kvalifikovaní poskytovatelé důvěryhodných služeb dodržují opatření pro řízení rizik v oblasti kybernetické bezpečnosti podle článku 18 NIS 2 (tj. technická a organizační opatření, jako je analýza rizik, řešení incidentů).

V červenci 2022 vydal Evropský parlament také studii o evropské dimenzi PegasusGate v návaznosti na odhalení, že vlády po celém světě, včetně EU, používají software Pegasus ke špehování „novinářů, právníků, aktivistů, politiků a vysoce postavených státních úředníků“. Studie obsahuje seznam „nápadů“, které mají veřejnému i soukromému sektoru pomoci čelit hrozbě zneužívání špionážního softwaru.

Pro veřejný sektor by jednou z možných cest byla podpora kybernetické odolnosti prostřednictvím vládních pobídek a pověření k řízení rizik kybernetické bezpečnosti. Studie v této souvislosti zmiňuje, že sice není jisté, zda NIS 2 „přispěje k omezení útoků spywaru“, protože řízení rizik a ohlašovací povinnost by se s největší pravděpodobností „nevztahovaly na samotné spotřebitelské produkty nebo služby“. Nicméně může dojít k přelévání „ve prospěch odolnosti zařízení a služeb pro koncové uživatele“, například tam, kde „zmírnění zranitelnosti produktů a služeb pro koncové uživatele je předpokladem pro zajištění dostatečné kybernetické bezpečnosti“. Studie rovněž zmiňuje, že připravovaná regulace o kybernetické odolnosti, může „posílit smluvní povinnosti a uložit poskytovatelům povinnost informovat uživatele v případě, že se poskytovatel dozví o narušení bezpečnosti“.

Pokud jde o soukromý sektor, studie zdůrazňuje, že „plán ošetření zranitelností, správné postupy zveřejňování a rychlý cyklus identifikace a zmírňování zranitelností by mohly zvýšit kybernetickou odolnost“. Z těchto důvodů studie doporučuje, aby průmysl spolupracoval s občanskou společností a existoval zde dobrovolný systém výměny informaci o kybernetické odolnosti. Rovněž vyzývá zprostředkovatele služeb, aby odmítali nelegální vládní příkazy k provádění dohledu občanů, a společnosti, aby zavedly „postup náležité péče“ v oblasti lidských práv, „který by zahrnoval posouzení dopadu na lidská práva, klasifikaci rizik a vyčlenění opatření ke zmírnění dopadů“. Je to téma i v Česku? Kdo se toho chopí?

Kategorie:

Sentinel View v1.2.0: zkontrolujte si svá hesla

St, 09/14/2022 - 15:20

Se všemi údaji, které shromažďujeme (jak si můžete podrobně přečíst v mém předchozím článku), není těžké přijít na to, co dělat s daty jako takovými, ale samotná realizace nápadu. Když máme přístup k tolika heslům, bylo jen otázkou času, kdy implementujeme nějaký druh prohledávání hesel, která se sbírají ze záznamů incidentů. Nakonec to nebylo ani tak těžké. Dnes vám přinášíme kontrolu hesel se zcela novou verzí v1.2.0 aplikace Sentinel View.

Kontrola hesel


Je to tak jednoduché, jak to zní, a pravděpodobně už víte, že to není originální nápad. Mnozí z vás jsou jistě obeznámeni se službou Have I Been Pwned. My to děláme podobně, ale z vlastního datového zdroje. V Sentinel View je možné zkontrolovat, zda některé z vašich hesel nebylo použito hackery nebo boty. Dostanete celkový počet použití a informaci, ze kterého minipotu tyto záznamy pochází. Nejprve doporučuji vyzkoušet nějaká zřejmá hesla, abyste získali podobný výsledek jako já. V neposlední řadě jsme si také vypůjčili design rozhraní API z Have I Been Pwned.

Rozhraní API

Programátorské věci…

Frontend Sview jednoduše nepošle vaše heslo do našeho backendu. To nedovolíme. A i kdyby komunikace mezi vaším frontendem a naším API nešla přes zabezpečené https (my https používáme), vše je naprosto bezpečné. Jak jsem uvedl výše, vypůjčili jsme si myšlenku přímo ze specifikace API Have I Been Pwned.

Postupujte se mnou podle schématu. Nejprve zadáte své tajné heslo, to se zahašuje pomocí sha1 algoritmu. Poté je prvních 6 bajtů dotazováno z databáze na backendu. Všechny výsledky pro všechny hashe, které začínají stejnými bajty, se vrátí do prohlížeče a frontend zkontroluje, zda se některý neshoduje s původním hashem vašeho hesla.

Je to všechno?

No, není. Pokud jste postupovali podle schématu a jste programátor a chcete zahrnout naše výsledky do svého projektu, můžete naše API používat bez omezení. Ano, spolu s vyhledávacím polem vydáváme také API. Jediným omezením je dotazovat se nějakým rozumným způsobem. Pokud budete API spamovat, budete zablokováni.

Dovolte mi připomenout, že router aktualizujeme poměrně pravidelně a ano, máme dynamický firewall s greylistem, který se aktualizuje během několika sekund. Ale právě maličkosti navíc, jako je tahle, pomáhají nejen našim uživatelům, ale celému internetovému světu. Nyní tak máte přístup ke stále rostoucímu seznamu náhodných řetězců, které vám mnoho neřeknou, pokud je nevyzkoušíte všechny. No není to fajn?

Kategorie:

Krátké vlny: Otevřená data v Česku v roce 2021

Čt, 09/08/2022 - 07:12

Ministerstvo vnitra, odbor Hlavního architekta eGovernmentu, připravil Výroční zprávu o stavu otevřených dat v České republice. Zpráva informuje o vývoji v oblasti otevřených dat v České republice, ať už se to týká legislativního nastavení, aplikační praxe nebo dalších aktivit týmu národního koordinátora otevřených dat v roce 2021.

V červenci 2021 byla schválena nová povinnost publikovat formou otevřených dat úřední desky a veřejné registry. Přestože nové povinnosti musí povinné subjekty plnit až v následujících letech, již v roce 2021 se státní orgány, krajské úřady i obecní úřady obcí s rozšířenou působností začaly na nové povinnosti připravovat a některé úřady začaly data publikovat s předstihem. Koncem roku 2021 otevřená data publikovalo 53 organizací a toto číslo v budoucnu výrazně vzroste. V roce 2021 zveřejnilo nové datové sady nejméně 30 organizací, z nichž 13 publikovalo otevřená data v tomto roce poprvé. Publikace otevřených dat již není pouze dobrovolnou aktivitou fanoušků otevřených dat, kteří často „v úřednické ilegalitě“ působili na ministerstvech, ale stala se povinností pro podstatně širší okruh subjektů.

Počet poskytovatelů otevřených dat podle právní normy, zdroj: Výroční zpráva o stavu otevřených dat v České republice, Ministerstvo vnitra

Tým národního koordinátora otevřených dat i v roce 2021 nabízel a realizoval metodickou podporu v rámci projektu „Rozvoj datových politik v oblasti zlepšování kvality a interoperability dat veřejné správy (KODI)“ s cílem zvýšit počet publikovaných otevřených dat a také zlepšit jejich kvalitu. Celkem bylo v roce 2021 realizováno 62 vzdělávacích aktivit, kterých se zúčastnilo 1 168 účastníků, z toho 1 034 zástupců veřejné správy a 134 zástupců odborné veřejnosti. I přes kovidovou vlnu bylo v roce 2021 realizováno 17 konferencí, hackathonů či seminářů souvisejících s otevřenými daty, z nichž nejvýznamnější byla konference pořádaná týmem národního koordinátora otevřených dat. Mimochodem 7. ročník konference Otevřená data proběhne 28. listopadu 2022. A vrabci na střeše cvrlikali, že tým Jaroslava Broži z NKÚ připravuje na 7. a 8. října 2022 další ročník hackathonu otevřených dat veřejné správy.

Počet akcí a školení, zdroj: Výroční zpráva o stavu otevřených dat v České republice, Ministerstvo vnitra

Za příklad dobré praxe v publikaci otevřených dat v roce 2021 označuje zpráva na úrovni státní správy například Ministerstvo práce a sociálních věcí, Českou správu sociálního zabezpečení, Český úřad zeměměřický a katastrální a Český statistický úřad a na úrovni samospráv Královéhradecký kraj či statutární město Brno. Všichni tito poskytovatelé otevřených dat měli lokální katalog otevřených dat a vyhovující kvalitu metadat a dostupnosti. Zároveň měli publikační plán, nastavené role v organizaci, průběžně publikovali nové datové sady, pravidelně je aktualizovali, komunikovali s uživateli a ve většině případů i monitorovali využívání svých dat. Bohužel z pohledu mezinárodního srovnání to nestačí a Česko se propadla do kategorie tzv. Followers.

Výroční zpráva bohužel také uvádí, že kvalita metadatových záznamů je velmi nízká. V roce 2021 pouhých 7 poskytovatelů vyplnilo u svých datových sad všechny povinné položky metadat a 5 poskytovatelů vyplnilo všechny povinné položky u většiny svých datových sad. Více než dvě třetiny poskytovatelů u více než poloviny svých datových sad povinná metadata nevyplnilo. Důvodem pro nevyplnění povinných metadatových položek je zřejmě i využití nevhodného způsobu registrace datových sad. Rozhraní lokálního katalogu CKAN již není podporováno a bez dalšího rozšíření neumožňuje vyplnění všech povinných položek metadat.

Kvalita metadatových záznamů, zdroj: Výroční zpráva o stavu otevřených dat v České republice, Ministerstvo vnitra

Z legislativního pohledu se letos podařilo splatit implementační dluh. Parlament projednal implementační novelu zákona o svobodném přístupu k informacím a prezident ji podepsal 16. srpna 2022. Novela, která implementuje směrnici 2019/1024 o otevřených datech a opakovaném použití informací veřejného sektoru, vyšla ve Sbírce zákonů pod číslem 241/2022 Sb.

Novela, která nabyla účinnosti 1. září 2022, přináší zejména následující změny:

  • rozšíření okruhu povinných subjektů o veřejné podniky, které jsou státem ovládány a u nichž to směrnice výslovně vyžaduje,
  • povinnost publikovat dynamická data ve formě otevřených dat,
  • povinnost zveřejňovat datové soubory s vysokou hodnotou jako otevřená data,
  • možnost uzavřít výhradní dohodu o poskytování informací v případě digitalizace kulturních zdrojů,
  • úpravu přístupu k výzkumným datům vypracovaným v rámci vědeckého výzkumu nebo vývoje plně financovaného z veřejných prostředků.

Z pohledu EU regulace je nutné zmínit schválený Data Governance Act. Cílem tohoto nařízení je usnadnit, resp. zvýšit sdílení osobních i neosobních dat v rámci EU. Toho má být dosaženo prostřednictvím několika nástrojů. Například zpřístupněním více údajů veřejného sektoru pro jejich opětovné použití. Nařízení proto zavádí rámec pro opakované použití dat, která jsou chráněna z důvodu obchodního tajemství, statistické důvěrnosti, ochrany práv duševního vlastnictví třetích stran nebo ochrany osobních údajů. Členské státy mají povinnost určit jednotné informační místo a podpůrné subjekty pro opakované použití dat a také mají určit dozorové orgány pro zprostředkovatele dat a datový altruismus a stanovit sankce.

Kategorie:

Dynamic Firewall View in Sentinel View v1.1.0

Po, 09/05/2022 - 13:55

You may have read some of our previous articles about Turris Sentinel and it’s companion – Sentinel View. Today we would like to share yet another cool feature that is available and that gives you even better feel how dangerous the internet really is.

Dynamic Firewall View

You may find the feature here: https://view.sentinel.turris.cz/dynfw/

Sentinel View now shows real-time visualization of actual state of greylist.

Dynamic Firewall View

Sentinel was not planned as simple one-purpose solution but as set of tools that will work together. There are three main outputs out of Sentinel workflow:

  • Dynamic Firewall data
  • “Greylist”
  • Security research to avoid cybernetic threats

The simplified version would be that we collect data in minipots, send those to our server. Server than determines whether the address is dangerous and adds it to “Greylist” while also alerts Dynamic Firewall on each Turris device, which than updates it’s firewall accordingly. To explain Dynamic Firewall View we have to start with minipots.

minipots

Honeypot is a program that mimics a service, thus it is a fake server. Program that pretends to offer service for a protocol. We call ours minipots just to emphasize their load, size and how feature-complete they are. As of now we operate Telnet, FTP, HTTP and SMTP minipots on our routers. Attacker tries to connect to this fake server and is asked for his credentials. Nothing more. Adding more complexity might provide the wannabe attacker with more attack vectors. Based on that event we now have IP address of attacker, credentials that he tried to use and other detailed data.

lurking danger

The data that are collected on router are sent to our servers. Sever determines whether IP address is malicious/dangerous based on some statistical computations. It is important to distinguish between when you make an error and try to login to your device from the internet forgetting about minipots and somebody have some hostile intentions. Through course of time we believe we tuned our systems well, to make this distinction just, but it is neverending process and from time to time we find some exceptions that we need to take into account, but the overwhelming majority of the decisions seem correct. This results to…

Greylist

Or the list of potentially malicious players. The set of addresses is created in the real-time from data fed by minipots and other sources. It is published once a day as a snapshot, but the list is updated dynamically, so addresses are being added and removed constantly. Dynamic Firewall Dynamic Firewall simply blocks any request on any service from IP address that is on the greylist. It is simple as that. Tough it is the crucial part of protection and it does its work, it would not without the whole ecosystem. It has a direct connection with the server maintained Greylist and it receives the updates of malicious IP addresses in the real-time. the View

Event box shows you the actions on routers with flag of country of attacker’s origin, IP address and protocol they using.

 

Updates box shows you updates to the greylist. Simply put whenever the address is added (red box) or removed (green box).

 

In the Current list box you can roll down to see the whole list of IP addresses with neat small counter. Number of addresses changes frequently and contrary to the popular notions, we are not only fast to add new addresses, but we are also removing no longer active addresses, trying to keep list short and relevant. what’s next

I am not gonna make any spoilers. We will release major feature that you will like next month along with some minor bug fixes regarding UI.

Keep connected!

Kategorie:

Náhled Dynamického Firewallu v Sentinel View v1.1.0

Po, 09/05/2022 - 10:01

Určitě jste četli některé z našich předchozích článků o Turris Sentinelu a jeho společníkovi – Sentinel View. Dnes bychom se chtěli podělit o novou skvělou funkci, která je k dispozici a která vám pomůže pochopit, jak nebezpečný je Internet.

Náhled Dynamického Firewallu

Novou funkci najdete zde: https://view.sentinel.turris.cz/dynfw/

Sentinel View nyní zobrazuje úpravy greylistu v realném čase.

Sentinel nebyl plánován jako jednoduché jednoúčelové řešení, ale jako sada nástrojů, které budou spolupracovat. Existují tři hlavní výstupy sentinelího prostředí:

  • data pro Dynamický Firewall,
  • “Greylist”,
  • bezpečnostní výzkum pro předcházení kybernetickým hrozbám.

Zjednodušená verze by mohla být následující: nejdříve shromažďujeme data v minipotech a posíláme je na náš server. Server pak určí, zda je adresa nebezpečná a přidá ji do „Greylistu“, zároveň upozorní dynamický firewall na každém zařízení Turris, které pak odpovídajícím způsobem aktualizuje podmínky ve svém firewallu.

Abychom vysvětlili, jak funguje Dynamický Firewall, neobejdeme se bez toho, abychom, si připomněli minipoty.

Minipoty

Honeypot je program, který napodobuje službu. Jedná se tedy o falešný server. Program, který předstírá, že nabízí službu pro protokol. Naše honeypoty nazýváme minipoty, abychom zdůraznili jejich náročnost, velikost a to, jak jsou komplexní svou funkcí. V současnosti provozujeme na našich routerech Telnet, FTP, HTTP and SMTP minipoty. Útočník se pokusí připojit k tomuto falešnému serveru a je požádán o přihlašovací údaje. Nic víc. Přidání větší složitosti by mohlo rádoby útočníkovi poskytnout více možností na co útočit. Na základě této události nyní máme IP adresu útočníka, přihlašovací údaje, které se pokusil použít, a další podrobná data.

Skryté zlo

Údaje, které jsou shromažďovány na routeru, jsou odesílány na naše servery. Server určuje, zda je IP adresa škodlivá/nebezpečná na základě různých statistických výpočtů. Je důležité rozlišovat mezi tím, kdy uděláte chybu a pokusíte se přihlásit do svého zařízení z Internetu, přičemž zapomenete na minipoty, a tím, že někdo má nějaké nepřátelské úmysly. Věříme, že jsme v průběhu času naše systémy vyladili tak, abychom toto rozlišení udělali správně. Je to ale nekonečný proces a čas od času najdeme nějaké výjimky, které musíme vzít v úvahu. Přes to drtivá většina rozhodnutí se zdá být správná. Tím se dostáváme ke…

Greylistu

Nebo můžeme říct, k „seznamu potenciálně škodlivých hráčů“. Seznam adres je vytvářen v reálném čase, a to z dat poskytovaných minipoty a na základě dalších zdrojů. Publikuje se jednou denně jako snapshot, ale aktualizuje dynamicky, takže adresy jsou neustále přidávány a odebírány.

Dynamický Firewall

Dynamický firewall jednoduše blokuje jakýkoli příchozí požadavek na jakoukoli službu z IP adresy, která je na greylistu. Je to tak jednoduché a to i přesto, že je to klíčová část ochrany. Bez celého ekosystému by to však vůbec nešlo. Má přímé spojení se serverem spravovaným Greylistem a přijímá aktualizace škodlivých IP adres v reálném čase.

The View Okno události (Events) zobrazuje akce na routrech s vlajkou země původu útočníka, IP adresou a protokolem, který používá.

 

Pole Aktualizace (Updates) zobrazuje aktualizace Greylistu. Zjednodušeně řečeno, kdykoli je IP adresa přidána (červené pole) nebo odstraněna (zelené pole).

 

V aktuálním seznamu můžete rolovat dolů a zobrazit si celý seznam IP adres s úhledným malým počítadlem. Počet adres se často mění a na rozdíl od klasického chápání greylistu nejen rychle přidáváme nové adresy, ale také odstraňujeme ty již neaktivní, celý seznam se snažíme udržet krátký a aktuální. Co bude dál?

Nebudu naplno říkat, jaké překvapení vás čeká v nejbližších měsících. Spolu s některými drobnými opravami chyb uživatelského rozhraní se chystáme vydat další zajímavou funkci, která se vám určitě bude líbit.

Zůstaňte připojeni!

Kategorie:

Krátké vlny: Další seznam blokovaných webů a další zmrtvýchvstání analýzy mobilního trhu

Čt, 08/25/2022 - 07:25

Dne 17. srpna 2022 vydal Český telekomunikační úřad další verzi návrhu analýzy velkoobchodního mobilního trhu a oficiálně tím trumfnul počet verzí podmínek 5G aukce, která se svého času dočkala také několika zmatených přepisování.

Připomeňme, že ČTÚ uskutečnil předchozí konzultaci k návrhu regulace mobilního trhu 27. května až 27. června 2022 a připomínky obdržené v konzultaci vypořádal pouze rámcově, neboť jak sám uvádí „obdržel některé zásadní připomínky, vyžadující rozsáhlejší posouzení a výpočty, ke kterým bylo nutné se v analýze vyjádřit či dotčené kapitoly doplnit.“ Současně ČTÚ provedl analýzu finálního rozhodnutí Evropské komise ve věci sdílení mobilních sítí v Česku a dobrovolně přijatých závazků.

Rozsah navržené regulace zůstává stejný, jak co do počtu regulovaných subjektů (všichni tři síťoví mobilní operátoři), tak co do nápravných opatření (včetně cenové regulace velkoobchodních cen, velkoobchodní ceny budou stanoveny na základě principu zákazu stlačování marží).

Poměrně značnou část nového návrhu analýzy ČTÚ věnuje zdůvodnění, proč závazky národního roamingu, které převzala společnost O2 v tzv. 5G aukci, nezvýší míru efektivní hospodářské soutěže na českém mobilním trhu. ČTÚ se domnívá, že podle informací, které mu sdělily relevantní subjekty (a po vlastním posouzení), že „vstup na trh s využitím uložené povinnosti národního roamingu nebude realizován dříve než v roce 2025“. Regulátor natvrdo konstatuje, že „neexistuje jistota ani rozumná míra pravděpodobnosti vstupu nového celonárodního operátora na maloobchodní a velkoobchodní trhy na základě využití závazku národního roamingu ani komerčního národního roamingu v časovém horizontu analýzy trhu“.

V kapitole 3.1.10 návrhu analýzy ČTÚ uvádí, že „pro poskytování národního roamingu s využitím kombinací přiděleného frekvenčního spektra v ČR může (musí?) být potřebná a dosud nerealizovaná investice do sítě hostujícího operátora. Konkrétně se jedná o investici do „core“ systémů síťové infrastruktury pro poskytování 5G typu SA („Stand Alone“ typ).“ To se asi dříve nevědělo…

A i když se tak stane, tak není vyhráno. Důležitým aspektem, který ovlivňuje jak spokojenost koncových zákazníků příjemce národního roamingu, tak jeho provozní náklady, je rozsah a hustota pokrytí populace vlastní sítí. Pokud bude pokrytí vlastní sítí příjemce národního roamingu nehomogenní, mohla by koncová zařízení častějším přepínáním mezi sítěmi negativně ovlivnit kvalitu služeb z pohledu koncového zákazníka. Podmiňovací způsob není na místě. V další pasáži ČTÚ totiž uvádí, že „podle jeho informací pokrytí všech realisticky potenciálních příjemců národního roamingu (oh, oni existují také nerealisticky potenciální příjemci národního roamingu? A mohl bych vědět, kdo to je?) zdaleka není souvislé a homogenní, a to především pro pokrytí vnitřních prostor v kmitočtovém pásmu 3400-3600 MHz.“ Surprise surprise. A třešnička – „Pokud se koncové zařízení zákazníka příjemce národního roamingu nachází v národním roamingu, periodicky vyhledává přítomnost vlastní sítě (tzv. background scanning“). V průběhu tohoto vyhledávání může být koncové zařízení nedostupné.“ (!!!)

Růžové brýle, které po skončení aukce nasazoval tehdejší ministr průmyslu a obchodu Karel Havlíček, jsou definitivně rozšlapány:

Karel Havlíček: „Proto v lednu zatáhla vláda za záchrannou brzdu a zadala ČTÚ, aby připravil novou verzi aukce, která bude podporovat soutěž na různých úrovních infrastruktury. Toto zadání se podařilo ČTÚ splnit.“

ČTÚ v návrhu analýzy: Ne.

Karel Havlíček: „Na základě zadání vlády tedy ČTÚ připravilo aukci, která přináší řešení prostřednictvím cenově orientovaného národního roamingu i pro menší hráče na trhu.“

ČTÚ v návrhu analýzy: Ne.

Karel Havlíček: „Díky této změně umožní menším hráčům možnost působit v celé síti za nízké ceny, které vytvoří velmi silnou konkurenci současným hráčům. Přeloženo do češtiny, lokální operátoři dostávají do rukou nebývalou příležitost působit za výhodných podmínek na celém trhu.“

ČTÚ v návrhu analýzy: Ne.

Karel Havlíček: „Díky možnosti národního roamingu pro operátory, kteří vysoutěžili kmitočty v pásmech 3,4 až 3,8 GHz se vytvoří reálný tlak na další snížení cen mobilních tarifů. A to díky celkem třem operátorům. Aukce přinesla dalšího hráče na mobilním trhu – společnost Centronet – k již existujícím menším: PODA a Nordic Telecom. Všichni tito menší operátoři mají nyní možnost být reálnou konkurencí na mobilním trhu.“

ČTÚ v návrhu analýzy: Ne.

Aby těch „dobrých zpráv“ nebylo málo, jak uvádí David Slížek, ještě letos k 22. listopadu 2022 vyprší platnost tzv. spektrálních limitů v pásmu 3400-3800 MHz. Tzn. noví operátoři tak budou moci nabídnout své spektrum stávající velké trojce. A prý nějaké nesmělé nabídky na trhu už padají.

Kdo je tedy nakonec vítěz? Rozhodně externí poradenské firmy. Podle posledních zápisů v registru smluv si může gratulovat například firma ECOVIS FACTA a.s., „dobře sehraný tým, který již od roku 1995 poskytuje komplexní služby v oblasti daní, účetnictví a firemního poradenství“. Za 1 950 000,- Kč (to je náhoda, že tahle částka vyšla tesně v limitu zakázky malého rozsahu?) poradí ČTÚ s:

  1. Analýzou připomínek Evropské komise k analýze velkoobchodního trhu;
  2. Provedením datové analýzy velkoobchodního trhu s cílem přípravy podkladů pro vypořádání připomínek Evropské komise;
  3. Návrhem vypořádání připomínek Evropské komise a přípravu podkladů pro Radu ČTÚ;
  4. Přípravou dokumentu pro veřejnou konzultaci a její vypořádání.

 

Ač je nějaký zákazník na Google k sehranému týmu neúprosný, gratulujeme.

O další seznam blokovaných webů se postarali poslanci. Poslaneckým pozměňovacím návrhem tu totiž máme další úřad, který může vydávat blokační seznam webových stránek. Prezident dne 16. srpna 2022 podepsal zákon ze dne 10. srpna 2022, kterým se mění zákon č. 242/2000 Sb., o ekologickém zemědělství a o změně zákona č. 368/1992 Sb., o správních poplatcích, ve znění pozdějších předpisů, ve znění pozdějších předpisů, a zákon č. 146/2002 Sb., o Státní zemědělské a potravinářské inspekci a o změně některých souvisejících zákonů, ve znění pozdějších předpisů. Návrh tohoto zákona byl v Poslanecké sněmovně při jednání Zemědělského výboru obohacen o pozměňovací návrhy, jejichž součástí byla kompetence k vytvoření a udržování dalšího seznamu blokovaných webových stránek.

Státní zemědělská a potravinářská inspekce nově vede seznam internetových stránek s nabídkou nebezpečných potravin nebo těch, jejichž obsah závažným způsobem porušuje požadavky stanovené právními předpisy, k jejichž kontrole je inspekce příslušná („seznam internetových stránek“), a zveřejňuje ho na svých internetových stránkách a rozhoduje o zápisu internetových stránek do seznamu internetových stránek a o výmazu internetových stránek ze seznamu internetových stránek.

Na rozdíl od kompetence Ministerstva financí, je výše uvedenou pravomocí nadán inspektorát a odvolacím orgánem je ústřední inspektorát inspekce (§ 3c). Účastníky řízení jsou provozovatel nebo držitel doménového jména internetových stránek, o kterých je vedeno řízení o zápisu na seznam internetových stránek. Nelze-li některého z účastníků řízení identifikovat, je v úkonech v řízení označen jako provozovatel nebo držitel doménového jména internetových stránek, o kterých je vedeno řízení o zápisu na seznam internetových stránek, a adresou těchto internetových stránek. Inspektorát v těchto případech nestanovuje v řízení opatrovníka.

Účastníkovi řízení doručuje inspektorát písemnost veřejnou vyhláškou a účastníkovi řízení známého pobytu nebo sídla se písemnost zašle rovněž na vědomí na tuto adresu.

Inspekce je povinna neprodleně po nabytí právní moci rozhodnutí o zápisu nebo výmazu provést zápis internetové stránky do seznamu internetových stránek nebo výmaz internetové stránky ze seznamu internetových stránek. A poskytovatel služby přístupu k internetu na území České republiky je pod sankcí pokuty povinen zamezit v přístupu k internetovým stránkám uvedeným v seznamu internetových stránek, a to do 15 dnů ode dne zveřejnění internetové stránky v seznamu internetových stránek.

V roce 2008 odtajnila CIA publikaci „Jednoduchá polní příručka sabotáže„, kterou připravila její předchůdkyně OSS. Některé pokyny se zdají být zastaralé, jiné zůstávají překvapivě aktuální. Například:

  • Pronášejte „projevy“. Mluvte co nejčastěji a nejdéle. Své „body“ dokládejte dlouhými anekdotami a líčením osobních zážitků.
  • Pokud je to možné, zakládejte komise a předávejte všechny věci k jejich „dalšímu studiu a zvážení“. Snažte se, aby byla komise co nejpočetnější – nikdy ne méně než pět členů.
  • Co nejčastěji předkládejte nepodstatné otázky.

Když se rozhlédnete kolem sebe, nemáte na pracovišti taky „sabotéra“? :-)

Kategorie:

Krátké vlny: Zvláštní ceny aneb Proč se mění zákon?

Čt, 08/11/2022 - 08:15

Ministerstvo průmyslu a obchodu připravilo úzce zaměřenou novelu zákona o elektronických komunikacích upravující institut tzv. zvláštních cen.

Zvláštní ceny jsou jednou z dílčích univerzálních služeb, která má zajistit pro spotřebitele dostupnost veřejných komunikačních sítí a služeb ve stanovené kvalitě, které uspokojí přiměřené potřeby koncových uživatelů. Hezký příkladem pro pochopení, co znamená univerzální služba, je dílčí služba přístupu zdravotně postižených osob například k hlasové komunikační službě v pevném místě (včetně připojení potřebného pro využívání služby). Aby tato skupina osob se zvláštními potřebami nebyla vyloučena z možnosti používat služby elektronických komunikací, a protože nelze očekávat, že by operátoři sami o sobě přišli s komerčními nabídkami (samozřejmě mohou, ale to pak regulátor zohlední v přezkumu), má Český telekomunikační úřad pravomoc uložit poskytování této dílčí služby operátorovi, který se přihlásí do výběrového řízení. Pokud se nikdo takový nepřihlásí, může povinnost uložit operátorovi, který nejvíce splňuje dané podmínky. Do roku 2009 byly čisté náklady z poskytování univerzální služby hrazeny z fondu, do kterého přispívali všichni operátoři, po novele zákona o elektronických komunikacích jsou tyto náklady hrazeny ze státního rozpočtu.

Dílčí univerzální služba zvláštní ceny umožňuje zákonem definované skupině osob čerpat telekomunikační služby se slevou, jejíž výši stanovuje vláda nařízením. V současné době se jedná o slevu ve výši 200,- Kč měsíčně.

Do tzv. implementační novely zákona o elektronických komunikací, kterou se do českého právního řádu implementoval evropský kodex pro elektronické komunikace, měli nárok na zvláštní ceny osoby se zvláštními sociálním potřebami, které zákon definoval jako osoby zdravotně postižené. Implementační novelou byl rozšířen okruh osob, které mají nárok na zvláštní ceny, o osoby s nízkými příjmy. Tyto osoby zákon definoval jako osoby, jejíž započítatelný příjem za uplynulé kalendářní čtvrtletí je nižší než 2,15násobek životního minima, pokud je o jednotlivce.

Nařízení vlády, které vydala ještě stará vláda Andreje Babiše, ponechalo výši příspěvku na úrovni 200,-Kč a uložila prokazovat nárok na zvláštní ceny osobám s nízkými příjmy pomocí čestného prohlášení. Bohužel se ukázalo, že takto nastavený systém je naprosto nefunkční bez možnosti efektivní kontroly, zda osoba, která žádá a prohlašuje, že má nárok na zvláštní ceny, tento nárok skutečně má.

Úzká novela tak opravuje vymezení osob s nízkými příjmy podle § 38 odst. 4 zákona o elektronických komunikacích s cílem zacílit poskytování tzv. zvláštních cen pro potřebné uživatele služeb elektronických komunikací tak, aby mohli využívat služby elektronických komunikací za zvýhodněných podmínek a zároveň umožnit státu efektivní kontrolu čerpání těchto zvláštních cen. Nově by tyto osoby měly být definovány jako osoba, která pobírá příspěvek na živobytí.

Novela také umožňuje Českému telekomunikačnímu úřadu uložit povinnost poskytovat zvláštní ceny i více operátorům, a to i v případě, kdy se mu „nelíbí“ předložené nabídky ve výběrovém řízení. V tom případě zákon umožňuje úřadu výběrové řízení zrušit a uložit povinnosti libovolným operátorům na trhu tak, aby bylo dostatečně zajištěno uspokojení potřeb osob se zvláštními sociálními potřebami. Při tomto postupu zákon ukládá úřadu, aby minimalizoval narušení tržního prostředí a zajistil oprávněným osobám v maximální míře možnost volby podnikatele, který poskytuje zvláštní ceny.

Lze očekávat, že po uplatňování principu regulační nepředvídavosti a nestability ze strany Českého telekomunikačního úřadu v minulosti, přijdou ze strany operátorů připomínky s cílem omezit relativní bezbřehost této pravomoci.

Pro zvýšení kontroly ze strany státu a zároveň k zamezení možného dvojího čerpání, pokud bude povinnost uložena více operátorům, povede úřad seznam osob, kterým byla zvláštní cena přiznána a poskytována. Jeho podobu stanoví nařízení vlády.

Mezitím ve Vysočanech spustili druhé kolo veřejné konzultace k záměru uložit povinnost poskytovat zvláštní ceny. Oproti první verzi již obsahem záměru není povinnost poskytovat zvláštní (univerzální) tarif, který měl obsahovat 150 minut a 50 SMS do všech národních sítí a 2,5 GB dat při nulovém zpoplatnění ze strany oprávněné osoby. Tento nápad zvedl ze židle operátory v prvním kole konzultace a úřad od tohoto „inovativního záměru“ ustoupil.

Nově ale záměr obsahuje povinnost uplatňovat zvláštní ceny i na předplacené karty. S povinností vést seznam osob, které čerpají zvláštní ceny se v tomto případě předplacené karty stanou neanonymními, protože úřad v záměru konstatuje, že pokud operátor nebude schopen prokázat, že cenové zvýhodnění bylo poskytnuto v souladu s požadavky právní úpravy a oprávněné osobě v příslušném kalendářním měsíci, nebude mu takto poskytnutá cenová zvýhodnění uhrazena. Na druhou stranu, i přes vysokou administrativní zátěž, se zde otevírá možnost i virtuálním operátorům zúčastnit se výběrového řízení a poskytovat svým zákazníkům z řad oprávněných subjektů zvláštní ceny, jejichž čisté náklady zaplatí stát ze státního rozpočtu.

Zajímavou větu najdeme na straně čtyři konzultovaného záměru. Úřad píše, že „uložením povinnosti není dotčena možnost poskytovat oprávněným osobám, případně všem zákazníkům, další slevy či výhody na dobrovolné bázi ani tyto kumulovat s cenovým zvýhodněním, které bude poskytováno na základě uložení povinnosti.“ Chtělo by se říct slovy klasika „to nemusíte hlásit, to přece vidím“, respektive „to nemusíte přeci psát, to přeci platí i teď“. Leda by za touto větou bylo ještě nějaké pozadí. Ale to se dozvíme až po vyhlášení výsledků výběrového řízení.

Kategorie:

Rozhovor s Denisou Binderovou (SIC): Peer-to-peer program aneb Student učí studenty

Út, 08/09/2022 - 09:19

Denisa Binderová, členka Youth Panelu v rámci projektu Safer Internet Centrum Česká republika, začala v dubnu letošního roku pořádat tzv. peer-to-peer program na Gymnáziu Litoměřická v Praze, kde sama studuje předposlední ročník. Hlavní myšlenkou peer programů je zapojení odborně vzdělaných mladých lidí do preventivní činnosti a podpory vrstevníků. Peer totiž v angličtině znamená osobu, se kterou se cílová skupina může ztotožnit nejen díky shodnému věku, ale i kvůli stejnému sociálnímu postavení, podobným zkušenostem, zájmům a podobně.

Co tě přivedlo na nápad začít vést tzv. peer-to-peer program na vaší škole?

Celá myšlenka provedení programu vlastně začala díky nástěnce bezpečného internetu, kterou vytvořilo Safer Internet Centrum a plošně rozeslalo primárně do základních škol. Jednu nástěnku jsem získala i k nám. Výchovná poradkyně naší školy mě poté oslovila, jestli by nebylo možné uspořádat nějaký vzdělávací program pro ostatní spolužáky, a mě to nadchlo. Jsem zvyklá pracovat s dětmi zejména ve volnočasových aktivitách, takže formální prostředí a způsob fungování celé myšlenky jsem brala jako jedinečnou příležitost.

Měla jsi již s podobným programem nějaké zkušenosti?

Co se týče „tradičního“ pojetí peer-to-peer, tak ne. Zkušenosti jsem měla pouze s doučováním. Na naší škole se před pár lety začalo používat Talentify.me, díky kterému jsem mohla v covidové době pomáhat svým vrstevníkům s výukou.

Často však v rámci projektu Hra o klima vedu workshopy o šití a udržitelnosti. Možnost něco podobného uspořádat jsem měla i dříve v rámci naší školy. Součástí předmětu Základy společenských věd jsou i elementární znalosti z politologie. Jelikož po celou dobu svého studia na vyšším stupni gymnázia navštěvuji politické simulace, jsem se rozhodla jednu podobnou v rychlejším formátu uspořádat pro své vrstevníky. Rychlosimulace OSN nás bavila všechny a věřím, že některé mé spolužáky nadchla k dalšímu pokračování v obdobných aktivitách.

Kolik tříd a jaké ročníky jsi dosud navštívila?

Program jsem prozatím připravovala primárně pro studenty nižšího gymnázia. Vzhledem k tomu, že to bylo vše nové, rozhodla jsem se formát vyzkoušet v primě a tercii (šestá a osmá třída základní školy). Na naší škole máme, v případě osmiletého studia, dvě paralelní třídy. Program jsem tedy uspořádala ve čtyřech třídách.

Jak bys ohodnotila přístup ze strany studentů k peer-to-peer programu?

Věřím, že právě formát peer-to-peer napomohl k tomu, že jsme si celý program všichni užili. Studenti byli ochotní debatovat o tématech, která jsem otevřela. Zároveň mi trochu pomohli uvědomit si, jak velká může mezigenerační propast být. Například se jedna otázka týkala rozlišení, zda danou situaci vnímají jako kyberšikanu, či ne. Modelová situace zněla: „Někdo na zeď na Facebooku vašeho kamaráda napíše, že si o něm myslí, že je hloupý. Nepoužije ale sprostá slova.“ Načež nastalo ticho. Zjistila jsem, že tato generace již nepoužívá Facebook (na jednu až dvě výjimky) a dle jejich slov jej používají jen „boomeři“ (pozn.: boomer je označení starší generace, která má již rozdílné názory a jiný styl života). Nikdy bych nevěřila, že mohu být ve svém věku boomer. :-)

Jak ses cítila ty v roli lektorky?

Tahle role pro mě osobně nebyla úplně nová, ale unikátní pro mě byl pocit, že dělám něco ve škole, s její podporou a pro ni. Zároveň jsem vždy chtěla být učitelkou a každá taková příležitost mě utvrzuje v tom, že je to něco, co mě baví.

Nastala během programu nějaká úskalí?

V podstatě ne, možná chybějící čas. Na program jsme měli vyhrazené dvě vyučovací hodiny (2×45 minut), ale na konci bych s některými třídami mohla debatovat donekonečna. Jediné, co bylo poznat, byl rozdíl mezi jednotlivými třídami, resp. v tom, jak komunikovaly. Dvě třídy byly velmi hovorné a dokázaly spolu skvěle spolupracovat. Zbylé potřebovaly chvíli času, ale vždy byly schopné program výborně zvládnout.

Chystáš se v těchto aktivitách pokračovat i příští školní rok?

To je další z věcí, která mi na programu dělá obrovskou radost. V příštím školním roce budu maturovat a pak již nebudu tím studentem, co si procházel stejným prostředím jako oni. Podařilo se nám však sehnat čtyři studenty z budoucích kvint (1. ročník SŠ), kteří program povedou místo mě, ale s mými podklady. Věřím, že by se nám mohlo povést vytvořit tradici, která v naší škole bude fungovat co nejdéle. Samozřejmě neskrývám, že mě to trochu mrzí. Celý tento projekt je takové moje dítě, které teď pouštím do světa. Příští rok ale budu pomáhat svým „nástupcům“ ve vedení. Moc se těším na jejich nové nápady a přístupy.

Deniso, děkuji ti za zajímavý rozhovor a velmi prospěšnou činnost.

Věříme, že díky peer-to-peer programu na vaší škole přibude mnoho uvědomělých studentů, kteří se budou umět pohybovat na internetu bezpečně!

Kategorie:

Kybernetická kriminalita v roce 2021 očima státního zastupitelství

Čt, 07/28/2022 - 06:45

Dva dny před koncem zákonné lhůty vydalo Nejvyšší státní zastupitelství „Zprávu o činnosti státního zastupitelství za rok 2021“. Zpráva popisuje aktivity státních zástupců v minulém roce, trendy a statistiky a shrnuje zajímavé případy.

V minulém roce bylo sepsáno 169 006 záznamů o zahájení úkonů trestního řízení proti fyzické osobě a 939 záznamů o zahájení úkonů trestního řízení proti právnické osobě. Z toho pak bylo vedeno trestní řízení proti 64 364 fyzickým osobám a proti 326 právnickým osobám. Před soud se pak dostalo 59 248 fyzických osob a 286 právnických osob, odsouzeno bylo 49 647 osob (4 % osob bylo zproštěno). V trestních řízeních za celý rok byly zajištěny majetkové hodnoty v celkové výši 7 mld. Kč.

Pokud jde o strukturu kriminality, stejně jako v minulých letech převažovala majetková trestná činnost, násilnou trestnou činnost charakterizovala stagnace (byť i v roce 2021 pachatelé páchali i agresivní a brutální trestné činy). Značná část kriminality se však i v roce 2021 přesunula do kyberprostoru, čemuž výrazně přispěla pandemie COVID-19.

Celkově státní zastupitelství eviduje v roce 2021 9518 případů kybernetické kriminality (tj. meziroční nárůst o 17,8 %). Nejčastějšími byly podvody mezi soukromými osobami, neoprávněný přístup a poškození záznamu v počítačovém systému, opatření a přechovávání přístupového zařízení a hesla a úvěrové podvody. O 45 % stoupl meziročně počet skutků tzv. hackingu (státní zastupitelství jej definuje jako útoky na počítačové systémy s následným vydíráním). Významnou část kriminality tvoří i tzv. investiční podvody, resp. podvodná jednání s legendou investice především do kryptoměn. Pachatele v těchto případech využívají internetové reklamy na sociálních sítích a dalších platformách, připraví si kvalitní webové stránky s prezentací „investice“.

Trvalým problémem je pak klasický phishing ve všech formách (romance podvody, inzertní podvody, reverzní inzertní podvody, kdy obětí je prodávající, nebo podvody prostřednictvím falešných platebních bran. Zpráva si také všímá relativně nového fenoménu vishingu, kdy pachatelé telefonicky kontaktují poškozeného a vydávají se za pracovníka banky nebo policie, informují poškozeného o údajném napadení jeho bankovního účtu a manipulativně ho přesvědčí o nutnosti převést peníze na jiný („bezpečný“) účet. Alternativně se nechá oběť přesvědčit k instalaci aplikace na vzdálenou správu a pachatel se pak už obslouží sám.

Městské zastupitelství v Praze evidovalo také případy, kdy fyzické osoby uzavřely na základě inzerátu na Facebooku formulářové „smlouvy o zhodnocení investic“ a na základě dalších pokynů si pak naistalovaly aplikaci, do které zadaly údaje o svém bankovním účtu, osobní údaje a heslo a pak už jen sledovaly, jak jim mizí peníze z účtu do zahraničí. Pachatel v tomto případě využíval sofistikované prostředky včetně anonymizérů IP adres.

Další zajímavý případ řešilo Krajské státní zastupitelství v Ústí nad Labem, kdy podvodníci nejdříve vytvořili autentické napodobeniny webových stránek peněžních ústavů a jejich internetového bankovnictví. Následně kontaktovali určitou množinu klientů těchto ústavů, kterým zaslali SMS zprávu s výzvou ke zřízení přístupu prostřednictvím SMART klíče. Pachatel použil spoofing, takže odesílající telefonní číslo se tvářilo jako řádné číslo banky. Poškození následně prostřednictvím odkazu vstoupili na phisingovou webovou stránku a zadali své přihlašovací údaje, které však okamžitě využil pachatel a současně získal skutečný SMART klíč. Cesta k penězům poškozeného byla volná. Tento případ bohužel ukazuje limity určitého typu dvoufaktorové autentizace.

Okresní státní zastupitelství v Kutné hoře vedlo trestní věc týkající se protiprávního jednání neznámého pachatele spočívajícího v podvodném jednání, kdy se poškození, pod vlivem reklamy na investici do kryptoměny, registroval na stránky společnosti Anycoin.cz, kam zaslal registrační poplatek, naistaloval do svého počítače program umožňující jeho vzdálenou správu. Poškozený také poskytl kopii svého občanského průkazu a fotografii a umožnil přístup do svého internetového bankovnictví u České spořitelny. Pachateli pak už nic nebránilo k tomu, aby odeslal z účtu chudáka poškozeného na jiné účty pod svou kontrolou 7.500 EUR.

Z rozhodovací praxe Nejvyššího soudu zpráva zmiňuje rozhodnutí č. 58/2021 Sb., rozh. Tr., z jehož právní věty vyplývá, že zpráva odeslaná a doručená prostřednictvím elektronické pošty je „jiným dokumentem uchovávaným v soukromí“ ve smyslu § 183 odst. 1 trestního zákoníku, neboť každá e-mailová schránka, do níž jsou doručovány zprávy, je chráněna jedinečným přístupovým heslem a samotné zprávy jsou uchovávány na serverech, ke kterým nemají přístup neoprávněné osoby. Ačkoliv zpráva doručovaná e-mailem prochází jinými počítači předtím, než dosáhne cílový počítač, nelze z této skutečnosti dovodit, že by měla taková zpráva představovat formu veřejné komunikace, tedy komunikace, jež není vymezena konkrétními předem určenými subjekty. Stručně řečeno, e-mailová komunikace si zaslouží stejnou ochranu před zvědavými a nenechavými cizími elementy jako dopis.

V minulém roce také Nejvyšší soud přezkoumával zákonnost příkazů k odposlechu a záznamu telekomunikačního provozu a příkazů k zjištění údajů o telekomunikačním provozu, a to na základě 11 podání. V osmi případech konstatoval, že zákon porušen nebyl, ve dvou případech návrh odmítl a v jednom případě konstatoval porušení zákona. V počtu ročně vydávaných příkazů se zdá, že tento institut i jeho kontrola je dobře zakotvena.

Závěrem Státní zastupitelství konstatuje, že odhalování trestné činnosti v kyberprostoru je mimořádně komplikované a mimo výjimečné případy českých pachatelů (a to pachatelů nezkušených, nevyužívajících prostředky zakrytí své identity a používajících běžné bankovní účty či nákupy registrovaných komodit) se pachatele prostě nepodaří zjistit. Tento typ kriminality zcela zastínil finanční trestnou činnost a projevuje se ve všech druzích páchané trestné činnosti.

Současně zpráva uvádí, že kybernetické kriminalitě a kriminalitě v kybernetickém prostoru nahrává nízké právní povědomí veřejnosti v kombinaci s poměrně omezenými schopnostmi rozpoznat, předcházet a bránit se útokům z kyberprostoru, stejně jako nedostatečná regulace. Ta se na národní i EU úrovni značně zpožďuje za dynamickým rozvojem informačních technologií. Státní zastupitelství si také povzdychlo nad otázkou právní regulace povinností poskytovatelů služeb uchovávat a poskytovat údaje o službách a jejich uživatelích a absencí právních nástrojů k získávání dat k odhalování pachatelů v kybernetickém prostoru.

I na základě výše uvedeného lze říct, že vzdělávání a osvěta v oblasti kybernetické bezpečnosti a prevence kybernetické kriminality je „neverending story“ a vždy tu bude místo například pro aktivity českého Safer internet Centra, které provozuje sdružení CZ.NIC, stejně jako pro vzdělávací kurzy o kybernetické bezpečnosti Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) nebo vzdělávací aktivity sdružení CESNET.

Kategorie:

Evropská komise podpořila Safer Internet Centrum ČR

St, 07/27/2022 - 10:50

Máme skvělou zprávu! Safer Internet Centrum ČR (SIC CZ) získalo podporu z unijního rozpočtu na preventivní a vzdělávací aktivity v oblasti bezpečnějšího internetu pro období červenec 2022 až červen 2024. Schválením projektu jsme zároveň obhájili statut národního centra začleněného do iniciativy Better Internet for Kids a sítí spolupráce Insafe a INHOPE.

SIC CZ se zároveň rozrůstá o dva respektované partnery. Spolu s Linkou bezpečí (LB) bude sdružení CZ.NIC rizikové chování na internetu a výzvy spojené s využíváním moderních technologií dětmi a mládeží řešit s projektem Jeden svět na školách (JSNS) organizace Člověk v tísni a Dětským krizovým centrem (DKC). Získáme tím nové (další) kompetence v oblastech mediálního vzdělávání, digitálních práv dětí, krizové intervence a specializované pomoci sexuálně zneužitým dětem.

Působení SIC CZ je vymezeno konkrétními výzvami, kterým při využívání moderních technologií dětmi a mládeží aktuálně čelí v podstatě celý svět. Za stěžejní přitom můžeme označit následující: fenomén „králičích nor“, šíření sexuálního obsahu tvořeného dětmi, sdílení násilného a nevhodného obsahu v reálném čase, nárůst výskytu návodů na sebepoškozování a sebevraždy, téma digitalizace dětství, dezinformace a jejich šíření a v neposlední řadě otázka stavu mediální a digitální gramotnosti dětí, mládeže, ale i jejich rodičů a učitelů.

A do čeho se chceme do poloviny roku 2024 vlastně pustit? Hlavními cíli jsou prevence a vzdělání v tématech bezpečnějšího internetu a mediální gramotnosti, provoz dvou helplinek poskytujících profesionální poradenství a krizovou intervenci dětem i rodičům a podpora fungování linky STOPonline.cz pro nakládání s nelegálním, sexuálně zaměřeným obsahem.

Mezi další oblasti našeho působení řadíme provoz krizové ambulantní péče pro děti, které se staly obětmi sexuálně orientovaných trestných činů, aktivní spolupráci s evropskými centry zapojenými do sítí Insafe a INHOPE, podporu zapojení dětí a mládeže do činnosti SIC CZ, komunikaci aktivit a existenci Safer Internet Centra ČR, spolupráci na tvorbě příslušné legislativy či posilování vztahů se státem, neziskovým sektorem i podnikatelskou sférou.

Z hlediska obsahu, nástrojů i aktivit půjde o vyvážený mix on-line i off-line opatření, kterými chceme přispět k eliminaci rizik pro zdravý duševní i fyzický vývoj dětí a mládeže v České republice. Námi řešená témata zároveň hodláme dostat mezi širokou veřejnost.

S ohledem na velký zájem učitelů a vedení škol předně vytvoříme řadu audiovizuálních i tištěných výukových materiálů k bezpečnějšímu internetu a mediálnímu vzdělávání. Mezi jinými metodiky a pracovní listy k plánovaným kurzům, seminářům a webinářům, knihu s praktickým návodem pro děti, jak se bezpečně chovat na internetu (průvodce „moderních digitálních svišťů“ od Martina Kožíška) či komiksy (včetně těch k digitálním právům dětí). Zároveň podpoříme další rozvoj videohry na téma kyberšikana z dílny JSNS (další rozvoj „Nela: DigiStories“), sérii podcastů z praxe Linky bezpečí (pokračování série „Na tenké Lince“) či novou řadu populárního seriálu „Alenka v říši GIFů“ ve spolupráci s Českou televizí a Cinebonbon.

Nezapomeneme přitom ani na předškoláky a prvňáčky. Problematiku bezpečnějšího internetu jim přiblížíme za pomoci knížky, básniček a pracovních listů ON-LINE ZOO, stejně tak jako nových 3D haptických modelů jejich hlavních postav. Ty navíc využijeme i pro vzdělávání dětí se zrakovým postižením. Technickou dokumentaci k 3D modelům zveřejníme, aby si je školy mohly vytisknout na svých 3D tiskárnách.

Pro odbornou i širší veřejnost zorganizujeme konferenci k mediální gramotnosti a dva ročníky „Týdnů mediálního vzdělávání“. Spolu s tímto představíme nové funkcionality webového portálu JSNS (www.jsns.cz), který zároveň poslouží k podpoře plánování a realizace v projektu plánovaných vzdělávacích aktivit pro školy.

S cílem zlepšit přístup k preventivnímu a vzdělávacímu obsahu, podpořit jeho šíření a komunikaci a vytvořit centrální místo pro téma bezpečnějšího internetu spustíme moderní platformu SIC CZ. Stane se novou digitální tváří Safer Internet Centra ČR. Kromě našeho obsahu plánujeme lokalizovat zdroje z mezinárodní databáze Better Internet for Kids (BIK) a přinést do ČR kvalitní preventivní a výukové materiály z produkce partnerských Safer Internet Center z ostatních zemí Unie.

SIC CZ od července 2022 zajišťuje provoz dvou linek důvěry. K tradiční dětské a rodičovské lince v režii Linky bezpečí se přidala neméně zkušená helplinka DKC. Zajistili jsme tím nejen vyšší kapacitní pokrytí a dostupnost odborné péče pro děti a mládež v krizových situacích, ale zároveň podpoříme výměnu zkušeností a příkladů dobré praxe mezi oběma linkami. Novou zkušeností, která překračuje dosavadní osvětové a vzdělávací činnosti SIC CZ, pro nás bude již rovněž zmíněné zapojení krizové ambulantní péče pro děti a mládež. Pro dokreslení významu dodáváme, že DKC je stále jediné pracoviště v ČR specializované na pomoc sexuálně zneužitým dětem.

K dříve citované mezinárodní rovině ještě dodáme, že předmětem našeho zájmu bude i relevantní evropská legislativa. Ve spolupráci se sítěmi Insafe a INHOPE se aktivně zapojíme do připomínkování vybraných unijních strategií a legislativních návrhů. Samozřejmě počítáme i s pokračováním stávající spolupráce s českými úřady. Velmi si přitom ceníme možnosti přímo se zapojit do programu největší digitální akce CZ PRES, která se v listopadu 2022 uskuteční v Praze.

Novým evropským projektem navazujeme na naše stávající působení s cílem udělat internet a digitální technologie bezpečnější pro děti. Plánů, cílů a především výzev k řešení je opravdu hodně. V tomto směru nás zároveň těší, že Evropská komise velmi ocenila námi navrhované záměry a opatření k jejich dosažení, stejně tak jako složení a odbornost našeho nového konsorcia. Z navrhovaného rozpočtu nám ostatně nekrátila ani jediné euro.

Pokud vás téma bezpečného internetu oslovuje, chtěli byste se dozvědět více či máte zájem o preventivní a vzdělávací obsah a materiály, určitě se nám ozvěte na adresu: bezpecnenanetu@nic.cz. Moc rádi se s Vámi potkáme.

Kategorie:

Krátké vlny: Jak se stal jeden paragraf zbytečným a bacha na scammery

Čt, 07/14/2022 - 06:35

Psaní zákonů je zodpovědná práce, která je často nevděčná. Proto, aby vaše aktivita byla úspěšná musíte mít ideálně několik superschopností – být výborným expertem v dané problematice, umět legislativní pravidla, efektivně zvládat práci s dotčenými subjekty včetně lobbistů ve všech fázích projednávání a nezblbnout z toho. A když máte ještě trochu toho štěstí a dokážete uchránit návrh zákona před kreativními pozměňovacími návrhy, můžete si napsat do životopisu „zvládl jsem to“. Někdy to pomyslné štěstí ale nemáte a je přijat zákon, který pajdá na obě nohy, nebo je úplně zbytečný. A někdy se stane zbytečný jeden paragraf nebo institut. Přesně to se stalo 1. července 2022, kdy Český telekomunikační úřad („ČTÚ“) vydal opatření obecné povahy, kterým se stanoví rozsah údajů o individuálních oprávněních k využívání rádiových kmitočtů vyloučených ze zpřístupnění.

Pro připomenutí zákon o elektronických komunikacích po poslední novele předpokládal, že ČTÚ zřídí a bude provozovat informační portál, jehož prostřednictvím zpřístupní informace o využívání rádiových kmitočtů v pevné, pohyblivé a rozhlasové službě. Mezi zveřejňovanými údaji má být osoba držitele oprávnění, název a geografické souřadnice stanoviště rádiových stanic, nadmořská výška stanoviště, vyzářený výkon rádiové stanice nebo výkon přivedený do antény a přidělený rádiový kmitočet nebo kanál a jeho šířka.

Zákon předpokládá, že ČTÚ vydá opatření obecné povahy, ve kterém může (pro nezbytné zajištění správy a účelného využívání rádiového spektra) vyloučit ze zpřístupnění některé údaje. Případně může údaje vyloučit ze zveřejnění na základě žádosti držitele individuálního oprávnění. Ten má toto právo v případě zajištění bezpečnosti sítí elektronických komunikací nebo informací podle právních předpisů.

Důvodová zpráva k implementační novele si od této nové informační databáze poměrně hodně slibovala, včetně podpory samoregulace dotčených držitelů kmitočtů – „Dosavadní ustanovení § 15 odst. 5 zákona nicméně výslovně vylučuje veřejný přístup k údajům o osobě držitele individuálního oprávnění k využívání rádiových kmitočtů podle § 18 a o využití rádiových kmitočtů přidělených vymezeným subjektům. S ohledem na vývoj v oblasti sítí a služeb elektronických komunikací a s tím související potřeby intenzivního a trvale udržitelného plánování zejména rádiových sítí, ale i pro účely flexibilního nakládání se spektrem, včetně podpory samoregulace v této oblasti se navrhuje rozšíření možností získání informací o využívání rádiového spektra nad současnou situaci. Rozšiřování přístupu k informacím je trendem patrným i v dalších členských státech EU.

Návrh na zřízení portálu podle odst. 7, jehož prostřednictvím by měly být předmětné informace o využívání rádiových kmitočtů v pevné, pohyblivé a rozhlasové radiokomunikační službě poskytovány, je v souladu se záměry digitalizace státu a veřejné správy.“

Nicméně vydané opatření obecné povahy nepotěšilo případné příznivce detailnějších informací o využívání rádiového spektra, neboť zcela otočilo logiku zákona a prohlásilo údaje o individuálních oprávněních pro pevnou službu a pro pohyblivou službu za vyloučené v plném rozsahu z informační povinnosti, které lze zpřístupnit výhradně, pokud o to požádá držitel příslušného oprávnění.

V odůvodnění vydaného opatření ČTÚ uvádí, že dne 28. února obdržel podnět jednoho z držitelů oprávnění, který s odvoláním na potřebu zajištění bezpečnosti své sítě požaduje vyloučit z povinnosti zpřístupnit informace o využívaném spektru, protože je správcem a provozovatelem kritické infrastruktury, správcem a provozovatelem kritické informační infrastruktury a současně je osobou s přístupem k utajovaným informacím (a to vše ve vazbě na předmětné rádiové kmitočty). Teprve následně ČTÚ podle odůvodnění přistoupil k formulaci skutečností, které v podstatě brání ke zveřejňování výše uvedených informací o rádiovém spektru, například:

a) zpřístupnění údajů o oprávnění nad rámec současného stavu způsobí, že jsou tyto údaje již navždy znehodnoceny z hlediska potřeby jejich pozdější ochrany,
b) významné sítě elektronických komunikací patří do kritické infrastruktury,
c) někteří držitelé spektra naplňují i další společensky důležité činnosti (například obce informují obyvatelstvo v případě živelné katastrofy atd.),
d) zveřejnění informací například o souřadnicích nebo nadmořské výšce by mohlo pomoci odhalit významné telekomunikační body sítě, což je nežádoucí i u subjektů, kteří zajišťují i jiné služby než využívající kritickou infrastrukturu (například pro podnikání v turismu, zájmovou činnost).

ČTÚ tedy s ohledem na identifikovaná bezpečnostní a další rizika upřednostnil zájem na zajištění bezpečnosti sítí a právem chráněných informací, jejíž ohrožení může v důsledku znamenat ohrožení bezpečnosti státu a životů a zdraví osob, a vyloučil všechny informace z povinného zveřejňování.

Podpůrně ČTÚ použil ustanovení § 10a zákona o kybernetické bezpečnosti a doporučení Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), podle kterého informace, jejichž zpřístupnění by mohlo ohrozit zajišťování kybernetické bezpečnosti se podle předpisů upravujících svobodný přístup k informacím neposkytují.

Po výčtu argumentů (zejména bezpečnostních), proč není možné dodatečné informace o rádiovém spektru zveřejňovat, působí zvláštně ustanovení, že informace se mohou zveřejnit, pokud o to požádá konkrétní držitel rádiových kmitočtů. ČTÚ podle textu zákona nebo opatření obecné povahy pak nemá žádnou možnost tomu zveřejnění zabránit, i kdyby platily všechny uvedené bezpečnostní důvody.

Údaje o oprávnění rozhlasové služby nejsou ve vydaném opatření vůbec řešeny, protože ČTÚ seznal, že jsou již nyní volně dostupné v návaznosti ustanovení § 125 odst. 5 zákona, kdy je ČTÚ povinen uveřejňovat informace týkající se sítí pro rozhlasovou službu podle zákona o provozování rozhlasového a televizního vysílání. Pro doplnění ale například České radiokomunikace, jako jeden z držitelů individuálních oprávnění pro rozhlasovou službu, provozují infrastrukturu, která je od roku 2016 součástí kritické informační infrastruktury. S tím si ale odůvodnění moc nevypořádává.

Ustanovení § 15 odst. 7 a 8 zákona o elektronických komunikací se tak stalo zbytečným pahýlem a osobně si myslím, že Ministerstvo průmyslu a obchodu by při další novele udělalo nejlépe, kdyby tento legislativní pahýl ze zákona vyškrtlo.

Nakonec aktuální příhoda z kategorie „HLP“ – hluboký lidský příběh. Před týdnem mi volala vyděšená teta, bodrá žena z Orlických hor, protože ji došlo, že asi něco udělala špatně. Dovolal se ji muž, který se představil jako policista a přesvědčil ji, že neznámí podvodníci použili kopii jejího občanského průkazu a díky němu si někdo na její jméno vypůjčil auto. A v tom autě nyní našli krev. Volající byl tak přesvědčivý a teta tak vystresovaná, že si podle jeho pokynů nainstalovala do mobilu Anydesk a dala mu přístup, aby „muž zákona“ mohl „zkontrolovat její mobil“. Až ex post, když nebyla pod stresem a tlakem, se jí to rozleželo a uvědomila si, že takto standardně policie asi nepracuje. Tak bacha, scammeři nikdy nespí a stále vylepšují svoje pasti.

Kategorie:

Služba mojeID vstoupila do Evropy

Po, 07/04/2022 - 12:27

V březnovém blogpostu jsem popisoval, jak probíhal proces notifikace (oznámení) systému elektronické identifikace mojeID v rámci nařízení eIDAS. Zmiňoval jsem tam také, že k plnému produkčnímu spuštění chybí dokončit ještě několik kroků. Jsem rád, že všechny zbývající kroky máme za sebou a mojeID se tak stalo prvním českým nestátním autentizačním prostředkem použitelným díky nařízení eIDAS v celé Evropě. S využitím mojeID je tedy nově možné se přihlašovat např. na daňové portály Slovenska, Belgie nebo Švédska, portál pro sociální zabezpečení Nizozemí, množství portálů evropských institucí nebo portálů pro správu domény Estonska nebo Dánska.

Pokud bych měl zrekapitulovat zmiňované chybějící kroky, tak tím prvním bylo podání oficiální žádosti Ministerstvem vnitra, ke kterému došlo na konci dubna. Dalším krokem pak bylo rozšíření oficiálního seznamu notifikovaných systému elektronické identifikace, který vychází ve věstníku Evropské komise. Zde je Komise vázána svou vlastní legislativou, ve které má na tento krok maximálně dva měsíce (článek 9 bod 3). Přestože v předchozích případech to obvykle trvalo kratší dobu, v tom našem Komise využila prakticky celé dva měsíce a nová verze seznamu vyšla ve věstníku až v pátek 24. června. No a tím posledním krokem bylo povolení nových notifikovaných prostředků pro požadavky směřující ze zahraničí v konfiguraci Národního bodu pro identifikaci a autentizaci (NIA). K tomu došlo v pondělí 4. července. Nově tak tedy možnosti přihlášení ze zahraničí vypadají takto:

Jak už jsem také zmiňoval v předchozím blogpostu, v mezidobí bylo nutné provést na systémech mojeID a NIA některé úpravy související s omezením dohodnutým v rámci procesu notifikace. Toto omezení se týkalo zabránění možnosti přeshraničního přihlašování pro prostředky, které byly aktivované přes systém datových schránek (ISDS). V ISDS je totiž zatím stále možné použít pro přihlášení pouhé jméno a heslo a tudíž ověření totožnosti přes ISDS podle členů Peer Review skupiny sestavené v rámci notifikačního procesu nesplňuje požadavky pro úroveň záruky Značná. Mechanismus, který toto omezení zajistí, vychází z doplnění komunikace mezi NIA a mojeID o nový atribut (VerifiedByISDS), přes který mojeID signalizuje do NIA, zda-li se právě nejedná o případ, který není možné pro přeshraniční přihlášení použít. V případě že tento atribut je nastaven, NIA tuto transakci nepustí dál a oznámí uživateli, že je nutné provést dodatečné ověření totožnosti způsobem, který podmínky notifikace splňuje. Tento nový atribut VerifiedByISDS používá mojeID také obráceně. Pokud při aktivaci nějakého prostředku pro přístup ke službám veřejné správy v mojeID probíhá ověření totožnosti přes NIA, dozví se v tomto atributu mojeID, zda-li pro aktivaci prostředku dostupného přes NIA nebyl také použit ISDS. Pokud ano, zdědí prostředek v mojeID i tento atribut a není možné jej po přeshraniční přihlášení použít.

Abychom to uživatelům co nejsnadněji vysvětlili, zjednodušili jsme tabulku prostředků v mojeID. Nově je z ní jasně vidět, který prostředek je možné použít pro veřejné služby u nás a který navíc ještě pro veřejné služby v EU dostupné v rámci sítě eIDAS. Možnost přeshraničního přihlašování jsme automaticky aktivovali těm prostředkům, u kterých je splnění podmínky jasně dané, to znamená těm, co mají buď úroveň záruky Vysoká, pro jejichž aktivaci byl použit CzechPOINT, nebo z našich dat víme, že ověření proběhlo pomocí jiného elektronického prostředku, který nebyl aktivován pomocí ISDS. U ostatních prostředků je samozřejmě možné se dodatečně ověřit buď návštěvou na CzechPOINTu nebo pomocí jiného elektronického prostředku, který sám nebyl aktivován pomocí ISDS.

Co asi každého zajímá nejvíc je, kde tedy je možné mojeID nově používat. Na mezinárodní bránu České republiky (eIDAS uzel), který také provozuje naše sdružení, je aktuálně navázáno 22 zemí z 29 možných (počítá se celé EHS). Chybějí již jen Island, Irsko, Norsko, Bulharko, Maďarsko, Rumunsko a Lichtenštejnsko, které svoje uzly nezprovoznili. U ostatních zemí tedy již existuje infrastruktura, na kterou jsou napojené některé elektronické služby příslušných států. Zatím bohužel neexistuje nějaký oficiální seznam portálů v každé zemi, ze kterého by bylo jednoznačně vidět, jaké služby jsou pro občany jiných zemí dostupné. Nicméně, stejně jako u nás se množství služeb postupně rozšiřuje. Krátce bych se věnoval třem oblastem, které mě přijdou nejzajímavější.

Z provozních logů mezinárodní brány vyplývá, že nejvíce Čechů používá elektronický občanský průkaz (jako dosud jediný notifikovaný prostředek) pro přihlášení do portálů na Slovensku. Již nevidíme, kterých portálů se to konkrétně týká, ale z komunikace se slovenskými kolegy si myslím, že nejpoužívanější bude portál slovenské finanční správy. A to i přes to, že uživatel ze zahraničí se nesmí nechat zmást, a při přihlášení zvolit slovenský občanský průkaz. To jej pak přesměruje na centrální slovenský autentizační systém, který umožňuje i přihlášení přes eIDAS. Na Slovensku existuje obecný portál veřejné správy, na který je možné se také přihlásit přes eIDAS. Při prvním přihlášení má uživatel možnost si zřídit obdobu české datové schránky pro komunikaci s úřady. Na tomto portálu je také možné nalézt odkaz na seznam nejzajímavějších slovenských elektronických služeb. Jestli všechny umožňují použití pro zahraniční uživatele, jsem ale nezkoušel.

Co by to bylo za celoevropský systém, kdyby ho nepoužívaly i úřady EU. Tady naštěstí kovářova kobyla bosa nechodí a již mnoho let existuje v EU centrální autentizační systém. Časem měnil jména, ale aktuálně se mu říká jednoduše EU Login. Na tento systém jsou navázány snad všechny portály úřadů EU, které vyžadují nějakou formu autentizace. Tento centrální autentizační systém integruje funkcionalitu eIDAS uzlu a je tedy možné se do všech těchto portálů přihlašovat národními prostředky. Odhaduji, že takový hodně využívaný portál bude ten pro dotace a výběrová řízení. Možná více uživatelský zaměřený je koncept Evropské občanské iniciativy. Na tomto portálu si můžete vybrat iniciativu, kterou chcete podpořit a pro její „podepsání“ můžete nově použít třeba právě mojeID. K tomu, aby se problémem Evropská komise zabývala, je nicméně nutné 1 milion podpisů. Na portálu můžete samozřejmě také založit iniciativu vlastní.

Třetí oblast, kterou určitě nesmím vynechat, je správa doménových jmen. Tuto oblast aktivně prosazuje právě naše sdružení a zejména v rámci nedávno skončeného projektu RegeID, který byl i částečně financován z fondů EU. Cílem projektu bylo napojit na síť eIDAS portály vybraných evropských doménových registrů. Smyslem tohoto napojení bylo rozšířit možnosti, kterými lze snadným a důvěryhodným způsobem identifikovat držitele domény. Vypadá to, že důraz na větší ověřování totožnosti držitelů domén bude součástí připravované revize směrnice NIS2 a je tedy zřejmé, že připravit se na to dopředu se vyplatilo. Konkrétním výstupem je možnost zahraničních držitelů CZ domén použít jejich národní prostředky v našem Doménovém prohlížeči a obdobně možnost použít naše národní prostředky (a tedy i mojeID) pro správu svých domén v Estonsku a v Dánsku. Holandský registr, který byl také součástí našeho konsorcia, má drobné zpoždění a jejich napojení se na produkci objeví snad již v průběhu července. Mimo rámec našeho projektu navíc oznámili připravované využití sítě eIDAS pro správu domény i kolegové z EURid spravující doménu .EU. Tam by se toto napojení mělo také objevit v řádu týdnů.

Je jasné, že v aktuálním spektru služeb v zemích EU si možná každý nevybere, což se samozřejmě bude vyvíjet v čase. Skeptičtí kolegové se vyjádřili, že to začne být používané až v momentě, kdy to usnadní Čechům dovolenou v Chorvatsku. Nevím jestli to co jsem našel měli zrovna na mysli, ale nemalé množství Čechů jezdí do Chorvatska na loď. Část z nich dokonce v roli lodních kapitánů, přičemž jednoho takového máme dokonce čerstvě u nás mezi kolegy. No a Chorvatsko má například svůj námořní portál dostupný teď již i pro uživatele mojeID. Tak přeju jak mojeID v Evropských „vodách“, tak našim kapitánům do letních měsíců šťastnou plavbu!

Kategorie:

Na co si dát v létě pozor nebo ještě lépe, prožijte ho off-line

Po, 07/04/2022 - 11:07

Nastal čas letních prázdnin a s ním i období, které je (nejen) pro děti rizikové v mnoha ohledech. Rodiny spolu tráví více času, jezdí na dovolené, ale sdílí třeba i své zážitky. Kromě tradičních problémů, jako je vyhrocení rodinných vztahů, kdy je potřeba určité tolerance a pochopení, dochází i na on-line rizika.

Internet je skvělý nástroj, který nám umožnil spojit se doslova s celým světem. Celý svět ale nemusí znát naše soukromí, pocity nebo dokonce místa, kde se pohybujeme. Pojďme se podívat na naše nejčastější letní „chyby“.

Zážitky, fotky nebo videa sdílejte s on-line světem s časovým odstupem

Přiznejme si, že fotografie na sociální síti při odletu na dovolenou, ideálně s informací, že se vracíte až za 14 dní, nejsou úplně ideální. Celému světu tak vlastně sdělujete, že máte prázdný byt. Sociálním inženýrům obvykle stačí pár návštěv profilů rodinných příslušníků, aby zjistili, co máte doma, jakým autem jezdíte, případně kde se nejčastěji vyskytujete. Pokud jste se na sociální síti pochlubili novou herní konzoli, nebo snad investicí do Kupkova obrazu, je doslova vymalováno.

Svoje fotografie, videa nebo příběhy raději sdílejte až ve chvíli, kdy se už na daném místě nenacházíte. To platí i pro případ, že se v létě chystáte na letní festival, koncert nebo sportovní zápas. Jakékoli sdílení QR či čárového kódu, unikátních čísel vás může mrzet.

Dávejte si pozor na soukromí dětí

Slyšeli jste někdy o sharentingu? Jedná se o fenomén posledních let. Jde o aktivitu, kdy rodiče nadměrně sdílí obsah, ve kterém figurují jejich děti. To pro děti může být v budoucnu problém, zejména pokud tuto masivní digitální stopu rodiče vytváří již od útlého věku. V době dospívání, kdy si děti budují svojí virtuální identitu, je to může opravdu zasáhnout. Už jenom s ohledem na to, že se k materiálům, kde je dítě v nějakých pro něj nepřijatelných situacích (na nočníku, nahé v bazénku apod.), dostanou spolužáci nebo kamarádi. Nastavte si s vašimi dětmi dohodu, že fotografie, které chcete sdílet, a na kterých figuruje, musí odsouhlasit.

Rozhodně nefoťte dítě, které je obnažené. I když vám tyto fotky či videa mohou přijít neškodné, na Internet rozhodně nepatří. V naší lince Stoponline.cz, která se věnuje nahlašování a vyhodnocování závadného obsahu, zejména dětské pornografie, přijímáme ročně téměř 4 000 hlášení s podobnou tématikou. Velká část sdíleného obsahu je přímo od rodičů. Asi nemusím zmiňovat, že se tyto materiály stávají v určitých komunitách velmi žádanými a velmi rychle se šíří.

Predátoři nejsou problém

I když se v mediálním prostoru predátoři útočící na dítě často zmiňují, jde z pohledu statistik o marginální problém. Označení „predátor“ jsme v dobré víře zdevalvovali a označujeme tak každého, kdo naše dítě osloví na sociální síti. Těch skutečných predátorů – kybergroomerů, kteří nejenže dítě zneužijí on-line, ale potom i fyzicky, je opravdu hodně málo. Pravděpodobnější je varianta, že dítěti ublíží osoba blízká či příbuzná (zhruba v 65 %). Tedy někdo, koho dítě zná a důvěřuje mu.

To nic nemění na tom, že děti přes léto často experimentují, navazují nové vztahy a rády se seznamují. Zkuste si s nimi promluvit o tom, jak si ověřit, že ten, s kým si povídají na Internetu, je ten, za koho se vydává. Pokud máte pocit, že by se na vás vaše dítě dívalo jako na bytost z jiné galaxie, zkuste se spolu podívat na nějaký tematický film nebo seriál. Povídejte si s nimi o tom nebo se nechte poučit. Zkuste třeba náš seriál o kyberšikaně #martyisdead.

Závislost na moderních informačních technologiích

Přes léto paradoxně klesá návštěvnost internetových služeb, což neplatí u sociálních sítí. Na internetových službách, sítích nebo hrách může časem vzniknout určitá závislost. Nebavíme se tu o tom, že se stanete závislými během dní nebo týdnů. Závislost může vznikat v řádu několika let. Schválně, počítáte, kolikrát vezmete mobil denně do ruky? Dokážete se od něj odpoutat na několik dní? Dovolená je ideální čas na chvilku technologie odložit.

Z mého pohledu nejsou pro děti problém ani predátoři nebo některé formy kyberšikany, ale fenomén tzv. králičích nor. Některým službám jsme dovolili v rámci lepšího komfortu na sociálních sítích využívání našich dat, tzv. doručovacích systémů či různé algoritmy. Díky tomu, že o nás služby vědí, co nás baví nebo jak chceme trávit volný čas, nám služba vybírá jen takový obsah, který nás uspokojí. A tím nás může uzavřít do sociálních bublin. Ty nás mohou odfiltrovat např. od odlišných názorů, nebo nás v těch našich utvrzovat. V některých případech nás také může v našich názorech radikalizovat.

Některé sociální sítě jdou ale dále. Ve chvíli, kdy zjistí, že jejich obsah dostatečně neprobudil váš zájem a nechováte se podle obvyklého vzorce, vám začíná nabízet emočnější obsah, který už zhlédnout nebo „lajknout“ musíte. To může mít obrovský dopad zejména na děti. Mým dlouhodobým cílem je tyto algoritmy u služeb používaných dětmi omezit nebo rovnou zakázat.

U výčtu letních rizik jsem záměrně mnohé vynechal. Pravděpodobně budeme řešit zapomenuté pasy, problémy s trampolínou nebo ponožky v sandálech. Zkusme si společně strávený čas užít a pokud se budeme chtít podělit se zážitky on-line, zamysleme se. Krásné léto!

Kategorie:

Krátké vlny: Předprázdninový odečet

Čt, 06/30/2022 - 06:15

Než se naplno spustí období dovolených, českého předsednictví a táborových ohňů, pojďme se telegraficky podívat na některé události, které se dějí v digitálním rybníčku.

Babetta šla do světa a mojeID dorazilo do Evropské unie. Dne 24. června 2022 vyšlo v Úředním věstníku rozhodnutí o notifikaci služby sdružení CZ.NIC mojeID a státního mobilního klíče e-governmentu. Co to znamená? Pokud v některém státu EU bude možné o některou ze služeb e-governmentu žádat elektronicky, lze použít mojeID. Potřebujete se přihlásit do portálu sociálního zabezpečení v Holandsku? Potřebujete spravovat své domény v Dánsku nebo Estonsku? Chcete Evropské komisi poslat svůj názor na připravovanou regulaci? Na to všechno můžete použít mojeID.

Vláda na svém včerejším jednání jmenovala Lukáše Kintra ředitelem Národního úřadu pro kybernetickou a informační bezpečnost. Velká gratulace novému panu řediteli i NÚKIB, který si v dnešní rozbouřené době rozhodně zaslouží stabilitu a kontinuitu.

Živo je (a bude) i ve Vysočanech.  Zatímco ministr průmyslu a obchodu pečlivě vybírá nového radního, ČTÚ připravuje uložení povinnosti poskytovat tzv. zvláštní ceny pro osoby zdravotně postižené a osoby s nízkými příjmy. ČTÚ si pohrává s myšlenkou, že kromě již známé a vyzkoušené slevy 200,- Kč, uloží povinnost poskytovat specifický tarif s přesně nadefinovaným objemem služeb (v tomto případě 150 minut, 50 SMS, 2,5 GB). Cenová regulace jak vyšitá. Proti tomuto návrhu se vymezili všichni mobilní operátoři i Asociace provozovatelů mobilních sítí a Rada ČTÚ nyní stojí před nelehkým úkolem vypořádat připomínky a zároveň stihnout šibeniční lhůtu na uložení povinnosti. Pokud však propásne lhůty, vystavuje se nejen případným žalobám, ale také hrozbě, že zdravotně postižení spotřebitelé, kteří nyní čerpají zákonnou slevu, ji přestanou dostávat, protože současná povinnost je uložena pouze do konce roku. Chce se věřit, že Rada ČTÚ to stihne nebo alespoň najde procesní kroky, aby zajistila, že ohrožená skupina uživatelů bude moci čerpat služby elektronických komunikací i v novém roce.

Prezident Biden podepsal dvojici zákonů o kybernetické bezpečnosti. Hlavním cílem přijatých opatření je zlepšit koordinaci v oblasti kybernetické bezpečnosti mezi státními a místními orgány a posílení kybernetických aktivit na federální úrovni. V Bruselu zástupci členských států schválili na jednání Coreperu finální kompromis revidované směrnice o kybernetické bezpečnosti (NIS2), kterou ještě čeká schválení na úrovni Rady EU a Evropského parlamentu, ale vlády už mohou připravovat implementaci do národního právního řádu.

Rozporuplné signály vypouští čeští operátoři ohledně připravovaného mechanismu prověřování dodavatelů do 5G sítí. Zatímco Vodafone celkem hlasitě kritizuje jménem sektoru činnost NÚKIB při přípravě mechanismu a zpochybňuje vlastně nutnost jeho přijetí, CETIN se poměrně důrazně od tohoto nářku distancuje. Mezitím se Bezpečnostní rada státu 21. června 2022 zabývala bezpečností dodavatelských řetězců strategické infrastruktury státu. Tedy nikoliv jen 5G sítí. Tohle bude bezesporu ještě zajímavé. Někdo popcorn?

Kategorie: