#language cs ## 25.12.2015 AK ---- '''česky''' | [[RisksLiabilitiesObligations|english]] ---- . '''CAcert.org''' '''[[comma/Arsenal/CAcertAssurer|Zaručovatel - přehled]]''' - '''CAcert.org''' '''[[comma/Arsenal/CAcertAssurer/People|Zaručovatel jednotlivců]]''' . '''[[Assurance|Zaručování]]''' - '''[[Assurance/Procedures|Zaručovací procedury]]''' - '''[[Assurance/Procedures/RLO/CZ|Krátká presentace rizik, odpovědností a závazků]]''' ---- = Rizika - Odpovědnost - Závazky = == Obsahuje definici nezapojených osob (NRP) == "Membership has its rewards." - "Členství má své odměny/přednosti/výhody." Podílet se na CAcert přináší i rizika, odpovědnost a závazky. Tato stránka popisuje rizika, odpovědnost a závazky ve tvaru formuláře ''KONCEPT''. Je primárně řízena [[http://www.rossde.com/CA_review/CA_review_A.html#A6|kritériem Davida Rosse (DRC) A.6]]. || ''Strana'' || ''Rizika'' || ''Odpovědnost'' || ''Závazky'' || ''Poznámky'' || ||CA || ztráta/prozrazení kořenových klíčů; nedostupnost systémů; krádež/prozrazení databáze uživatelů || nápravy nařízené arbitrem || zajištění DR, zajištění Doc, ochrana systému, Výbor je připraven zálohovat vše ostatní ||Management je nedostačující || ||Nezapojená osoba (NRP) || je zneužita, [[RELY/CZ|SPOLÉHÁ]] nevhodně mimo [[http://www.cacert.org/policy/RootDistributionLicense.php|licenci distribuce kořenových certifikátů (RDL)]] a [[http://www.cacert.org/policy/CAcertCommunityAgreement.php|Dohodu komunity CAcert (CCA)]] || vlastní akce || ''"žádné"'' Protože nezná CAcert, nemůže být "vázána". || "Babička": jakožto člen veřejnosti, používá prohlížeč, ale nezná CAcert. || ||Člen || je zneužit; ztratí/prozradí data uživatele; certifikát se ukáže být nespolehlivý || může ztratit přístup, může ztratit hodnotu || uvedeno v [[http://www.cacert.org/policy/CAcertCommunityAgreement.php|Dohodě komunity CAcert (CAcert Community Agreement, CCA)]] || nový člen komunity || ||Anonymní odběratel ||Krádež privátního klíče, prozrazené uživatelské jméno, || odvolání, ztráta přístupu, ztráta bodů || mít klíč utajený, používat ho odpovědně ||Používání anonymního certifikátu může probíhat s ohledem na vyšší stupeň odpovědnosti kvůli ochraně, kterou přináší anonymita. || ||Pojmenovaný odběratel ||Krádež privátního klíče, prozrazený ID a údaje || totéž || totéž || || ||Registrační autorita (RA): zaručovatelé || mizerně vedené zaručení || může ztratit body zaručení i stav zaručovatele - podle nařízení arbitra || nejvyšší pečlivost při zaručení, uschovat si formuláře ||Registrační autority jsou ti, kteří kontrolují "nacionále" odběratelů. V tomto případě jsou to zaručovatelé CAcert || ||''Všichni Členové'' || '''předmět rozhodnutí arbitra v řešení sporu (DR), právní žaloba od NRP mimo naši jurisdikci, soudní obsílka/příkaz od NRP''' || '''nápravy nařízené arbitrem nebo soudem (v případě procesu NRP/"babičky")''' || '''akceptuje CCA, CPS, PP atd., jednat podle nich, pracovat ku prospěchu CAcert a držet se ducha principů''' || pokrývá všechny registrované a tedy ''přihlášené'' || ||''Každý, kdokoli'' || ''' ''' || je odpovědný za zločiny || ''' ''' || || Termíny: * CA = Certifikační autorita (Certification Authority) * CCA = Dohoda komunity CAcert (CAcert Community Agreement) * CPS = Přehled postupů certifikace (Certification Practise Statement) * DR = [[ArbitrationForum|Řešení sporů]], "v domě" (domácích) * ID = Identifikace, identifikátor, nebo identita (totožnost) * NRP = Nezapojená osoba (Non-related person) * PP = Zásady ochrany soukromí (Privacy Policy) * RA = Registrační autorita (Registration Authority) * RDL = Licence pro distribuci kořenových certifikátů (Root Distribution License) == Specifická rizika a specifické závazky u certifikátů pro podpis kódu (CSC) == Přehled diskuse o certifikátech pro podpis kódu (Code Signing Certificates, CSC) || ''Strana'' || ''Rizika'' || ''Odpovědnost'' || ''Závazky'' || ''Poznámky'' || || Podepisující || Klíč může být prozrazen a použit k podpisu škodlivého kódu (malware) || Odpovědnost za kód podle vlastního licenčního prohlášení || Udržujte klíč zabezpečený, odvolejte prozrazený; pište svou licenční dohodu v souladu s dohodou o podpisu kódu s CAcert || Může se týkat "distributora"? || || CAcert || || asi bude muset odpovídat za nároky NRP, prodejce || Musí vydávat certifikáty podle zásad || musí rozdělovat R/O/Z mezi Podepisujícího na jedné straně a prodejce na straně druhé || || Prodejce OS / prohlížeče || || asi bude muset odpovídat za nároky NRP || Může pouze vkládat kořenové certifikáty, které souhlasí s jeho zásadami; musí nabízet licenci kompatibilní s licencí CA koncovým uživatelům; měl by koncovým uživatelům umožnit kontrolu certifikátů na název CA, || || || Zaručovatel || je oklamán autorem škodlivého kódu || k arbitrovi || speciální zaručení CSC || speciální zaručení CSC je až dosud jen spekulace! || || Člen || Může spustit škodlivý kód || || Musí se rozhodnout, zda je podepisující důvěryhodný || || || NRP || Může spustit škodlivý kód || || || Nemůže spoléhat na certifikáty vydávané CAcert || Termíny: * CA = Certifikační autorita (Certification Authority) * NRP = nezapojená osoba (Non-Related Person) * R/O/Z = rizika / odpovědnost / závazky (R/L/O, Risks / Liabilities / Obligations) * OS = operační systém (Operating System) === Otázky === Chceme-li, aby podepisovatel kódu uzavřel dodatečnou smlouvu, co by měla obsahovat? Některé náměty: * Nesmí používat CSC k podpisu malware (Snad je trochu hloupé toto požadovat, protože je to evidentní, ale možná to bude potřebné) * Může používat CSC pouze k podepisování určitého softwaru (musí být svobodný, nesmí být životně důležitý, bez škodlivého dopadu na prostředí, ...) * Musí potvrdit, že přijímá odpovědnost za podepsaný kód * Musí souhlasit, že osobní údaje mohou být zveřejněny v případě sporu (i když je tento požadavek už obsažen v Zásadách ochrany soukromí [PP], myslím, že je lépe vyjádřit ho zde znovu a výslovně) * Musí potvrdit, že zná potenciální širší rizika === Další nápady === * "Výzva podepisovatele kódu", test podobný Výzvě zaručovatele * Rozšířené ověření a vysledovatelnost podepisovatelů kódu, například: kopii ID musí ověřit a uschovat zaručovatel == Řešení sporů == Nápravy jím stanovené může arbitr nařídit kterémukoli uživateli: * odstranění/blokování přístupu k systému * ztrátu bodů * odvolání certifikátu * ukončení registrace jako uživatele CAcert * publikace nebo upozornění na akce * a jiné, jak je přinese rozvoj koncepce Řešení sporů je popsáno na [[ArbitrationForum/CZ|fóru arbitráže]] == NRP - Babička [ze Šumavy] == V rámci R/O/Z bylo Nezapojeným osobám, jinak zvaným Babičky, nařízeno (x AD1 20606xx): Babička může [[USE/CZ|POUŽÍVAT]] certifikáty, ale ''nemá povoleno [[RELY/CZ|SPOLÉHAT]] na ně''. To odpovídá normálnímu paradigmatu prohlížečů, kde si může stáhnout a instalovat bezplatný software, ale bez jakéhokoli vztahu k dodavateli. Nese veškeré riziko své činnosti. Dementi a licence pro Babičku je v [[http://www.cacert.org/policy/RootDistributionLicence.php|RDL]] (Licenci šíření kořenových certifikátů, Root Distribution License). Přeje-li si Babička [[RELY/CZ|SPOLEHNOUT (RELY)]] a vznést nějaký nárok na CAcert, musí se připojit, tj. stát se Členem. Problém: Jestliže se nám podaří dostat kořenové certifikáty CAcert do některého prohlížeče, pak ten prohlížeč (a tedy mnoho nezapojených osob - NRP) může [[RELY/CZ|SPOLEHNOUT (RELY)]] na certifikáty vydané autoritou CAcert. == Rizika odpovědnosti pro zaručovatele == Přesná odpovědnost zaručovatele je v jakémkoli konkrétním případě určena především řešením sporu u CAcert a může být určena rovněž vnějším soudem v případech zločinů nebo u nezapojených osob (NRP). Následují poznámky jen jako vodítko: * Zaručovatel(ka) postupoval(a) správně. Doklady byly platné a osoba je správná. ==> Zaručovatel(ka) není v nebezpečí, neboť odvedl(a) dobrou práci. * Nastaly menší závady. například: doklady byly právě prošlé, ale osoba je správná. ==> Výsledek byl správný, nedošlo k porušení, takže případný spor osvědčí kvalitu. * Zaručovatel(ka) se skutečně pokusil(a) pracovat poctivě, avšak předložené doklady byly velmi kvalitně zfalšovány. ==> Obtížný případ. Arbitr musí rozhodnout, zda zaručovatel(ka) správně ověřuje doklady, které vidí jako "vyhlížející opravdu správně". * Zaručovatel(ka) pracoval(a) nedbale. Například zaručil(a) někoho bez kontroly checking the dokladů, nebo byly předložené doklady na první pohled zfalšovány. ==> Toto je případ hrubé nedbalosti, který Vás obvykle učiní odpovědným ''za narušení způsobené touto akcí''. Řešení sporů CAcert může tento případ pokrýt, pokud je založen spor a neprobíhá žádný spor u externích soudů. * Zaručovatel(ka) vědomě provedl(a) nesprávné zaručení ("Ach, on si jen chtěl z někoho vystřelit!") ==> Vytvořit falešné prohlášení s úmyslem podvést je podvod (nebo prvek podvodu), což je zločin. Zločinný podvod, hrubá nebo zločinná nedbalost leží obecně mimo civilní fóra jako je řešení sporů CAcert. Arbitr může vynést nařízení, ale to v žádném případě nechrání zaručovatele před dalšími postihy. Dá-li se zaručovatel učinit odpovědným, je další otázkou, do jaké míry. Jedno z hledisek může být ''k odstranění následků jeho akcí''. To nesmí pokrývat "odkup babiččina domu", protože Babička nemá povolené SPOLEHNUTÍ. Členové CAcert jsou zavázáni nespoléhat se příliš. ==== Hlediska státu ==== Uvědomte si, že jurisdikce pro zaručování je především arbitrážní systém řešení sporů CAcert a zákon je především ten, který platí v Novém Jižním Walesu (NSW) v Austrálii. Avšak existují určité výjimky: Oblast zločinů, případy NRP a státy, které nemají zákon o arbitráži (rozhodčím řízení). Více informací k tématu odpovědnosti/nedbalosti: * https://cs.wikipedia.org/wiki/Nedbalost - "rozcestník" o nedbalosti a odpovědnosti * http://de.wikipedia.org/wiki/Schadensersatz - pěkný přehled německých zákonů o odpovědnosti * http://en.wikipedia.org/wiki/Negligence - podobný přehled zaměřený na americké zákony * http://frankbold.org/poradna/kategorie/odpovednost/rada/spravnepravni-trestni-a-civilni-odpovednost-kterou-zvolit - článek v češtině s přehledem českých zákonů ==> Přidejte sem odkazy na hlediska (zákony) dalších zemí. <== ---- . CategoryAudit . CategoryPolicy