.Pirátská strana » Technické oddělení

Díky za založení, dle na základě požadavku Helči upřesňuji. Nemusí jít přesně o 2 kusy, ale o 1 až N kusů, kde 1 je Helča a N je velikost nějaké podmnožiny uživatelů, pro které by poskytnutí takového tokenu bylo odůvodnitelné.

S Helčou potřebujeme sdílet některé přístupové údaje, například ke správě domén. Čili by potřebovala mít OpenPGP klíč, pomocí kterého se takové údaje zašifrují a následně je bude moci pomocí privátního klíče uloženého na tokenu rozšifrovat. Samozřejmě toho je možné dosáhnout i s klíčem uloženým v Helči počítači, nicméně z uživatelského hlediska (nutnost pamatovat si passphrase vs. potřeba mít passphrase dostatečně silnou) i z hlediska bezpečnosti se jeví token jako lepší řešení. Dále by token měl umět FIDO2 pro druhý faktor na našem SSO. Pokud jde 2FA na systémech třetích stran, někteří poskytovatelé dosud podporují pouze TOTP, s čímž token také může pomoci, ovšem není to ono. Jako řešení splňující uvedené požadavky se jeví například aktuální verze Yubikey.

Obecně pak předkládám ke zvážení i pořízení tokenu dalším členům TO, případně dalším osobám, které mají vyšší oprávnění ve stranických systémech (například i v rámci AO). Já třeba token mám, ale starší verzi a u Pirátů jej nepoužívám (FIDO2 neumí a klíče chci mít odlišné), vím, že někteří členové TO ano, ale určitě to není pravidlem.

V případě kladného vyřízení prosím zároveň o rozhodnutí, jak to bude s tokenem v případě ukončení spolupráce s danou osobou, tedy zda token osobě zůstane, nebo zda zůstává majetkem strany. Toto by bylo dobré vědět předem kvůli nakládání s klíčem.

recyklaci bych nevidel jako obzvlast problemovou. factory reset tokenu je standartni funkce. naopak, jako rizikovejsi vidim ponechani neresetovaneho tokenu osobam ktere nemaji narok - museli bychom dusledne cistit a revokovat jejich klice a t.d. ve vice mistech nez jen na tokenu.

Nevěřím zařízení, které dám z ruky a nevěřím, že se z toho nedá nic dostat (např. přes fault injection), takže stejně musíme důsledně revokovat.
Ostatně Yubico to také nedoporučuje.