No já nevím jestli je to zcela vhodné řešení. Samozřejmě zabazpečení maker je velice dobrá funkce. Na druhou stranu lze vše řešit přes CMIS - například ftps, WebDaw. Ověřené certifikáty je také dobrá věc - to bohu žel nemám otestované, ale věřím že je to funkční a spolehlivé.
Ale s těmi makry je to maličko jinak. Pasáže které se týkají maker se týkají maker zabezpečení, která jsou dána v systému. Tedy například otevření souboru uloženého pod systémovým heslem (SOUBOR > ULOŽIT JAKO > zaškrtnout heslo. To je bohu žel pouze jedno jediné. Taková makra by se měla podepisovat v rámci celého dokumentu (nikoliv samostatně) - ale nemám to ověřeno protože elektronický podpis nemám. Na rozdíl od tohoto názoru uvádí nápověda :
nápověda napsal(a)Podepsání makra v dokumentu
Normálně jsou makra součástí dokumentu. Pokud dokument podepíšete, automaticky jsou podepsána také makra v dokumentu. Pokud chcete podepsat pouze makra, ale ne dokumentu, postupujte podle tohoto návodu:
1. Zvolte Nástroje - Makra - Elektronický podpis.
2. Přidejte podpis, jak je popsáno výše pro dokumenty.
Lze tedy podepsat samostatně makra i když vlastní dokument elektronicky podepsaný není. Je to nabídka NÁSTROJE > MAKRA > ELEKTRONICKÝ PODPIS. Viz taktéž nápověda k elektronickému podpisu. Problém je s tím, že takový podpis vždy vyřaduje certifikát od certifikační autority. S tím souvisí zejména platnost. Když bude v dokumentu více podpisů - tak stačí aby jeden začal být neplatný a to platí pro chvšechny ostatní také.
Když se podíváte na SOUBOR > VLASTNOSTI > karty : tak by Vás měly zajímat tyto 3 karty :
A - VLASTNÍ VLASTNOSTI
B - VLASTNOSTI CMIS
C - ZABEZPEČENÍ
Ad "A" - toto jsou sice jen informatické záležitostí, ale dají se ověřit makrem. Jde zejména o položku název a hodnota. Dá se zde sice nastavit platnost a jiné věci, ale to může být řešeno v rámci CMIS - serverem. Není to ale zabezpečovací prvek jako takový - jen vlastnost dokumentu.
Ad "B" - te je jiné kafe ale záleží na serveru - takže jde víc o síťařinu nebo nastavení přístupu - nejčastějí zvenčí i když dnes asi intranet je potlačen veřejnou sítí. Někde je to ale podmínka - například zcela jistě u státní správy ap. Ovšem podle serveru také tato vlastnost nabývá - či ztrácí důležitost nebo i podstatu.
Ad "C" - Zde se dá nastavit prakticky jen vlastnost pro čtení a záznamenávat změny. Takové nastavení potom zamknout.
Pokud se povolují makra tak jde zejména o zabezpečení proti možnosti nákazy virem z VBA, respektive zabránění nečekané funkcionalitě maker a scriptů které mohou být makrem spuštěny. Takže systémově ošetřené záležitosti končí ihned jakmile se makra povolí.
Elektronické podpisy jsou jen ověřením vydavatele dokumentu, ale lze ověřovat i elektronické podpisy uživatelů - pokud je mají. To se dělá pomocí přístupu k internetu - databází (program Base). Jde tedy o ověření exportu do exteriéru, ale jde o identifikaci editora pro příjemce.
Dá se sice ověřit i elektronický podpis, ale v podstatě jen jako autorizační autorita. Jinak by šlo vydávání elektronického podpisu firmou která by tyto přidělila zaměstnancům. To je sice super - ale také super zbytečně drahé. Stačí vlastní firemní hesla. Elektronický podpis je dobrý k ověření vstupního dokumentu z veřejné sítě, ale nikoliv k ověřování přístupu ze strany oprávněných uživatelů organizace kteří tento zpracují.
Ověření pomocí certifikátu skrývá nebezpečí - musíte se přihlásit svým privátním klíčem. Krom toho ověření certifikátu musí být provedeno internetem.
S tím vystačí většina organizací, ale to co uvádí bajtík ukazuje jasně na problém GDPR. Tento problém souvisí ze zákona se subjekty státní správy - stačí se podívat na pojem VEŘEJNOPRÁVNÍ PŮVODCE. Ovšem tento pojem není jen o subjektech státní správy. Jde zejména o spisovou službu i mimo státní správu a tam se potom rozumí rozhraní vnitřní a vnější komunikace (směrnice EU). Zjednodušeně buď je to zajištěno slektronickým sdílením (příjem a odesílání), nebo (a v podstatě vždy plus) manuální převod neelektronických médií do elektronického formátu.
Mimo toho byla přijata opatření kdy je za to odpovědný konkrétní člověk a ten se musí klepat strachy i doma. Takže i když existují specializované systémy a je jich hodně, jsou drahé, vyžadují individuální implementaci která je asi dražší nežli vlastní SW dík studii o vhodných prostředcích a potřebách.
Většinou je nutný nákup nového HW - nejméně speciálních kopírek, ale vždy asi přijde rada ve smyslu - nejlepší je takové či onaké serverové řešení. A pak se k tomu přidá školení + servis. Mám takový dojem, že to vždy spadne na správce sítě - a ty se starej - my tomu nerozumíme - buď rád že ti přidáme tisícovku. Ale nevymýšlej si náklady a použij to co už ve firmě máme.
No nic to jsem odbočil ale souvisí to s tímto příspěvkem a autorovou poznámkou :
bajtík napsal(a)Ukázaly se další důvody, proč to bez maker nepůjde, mojí prvořadou starostí je teď vyřešit jejich podepsání důvěryhodným certifikátem, aby si uživatelé nemohli soubor spustit bez makra (aniž bych jim úplně vypnul zabezpečení). Byl bych moc rád za nasměrování na nejschůdnější cestu, pokud s tím máte někdo zkušenosti.
Těch zkušeností bude asi poskrovnu i když totéž dělá velmi mnoho lidí. Ale nejspíš testují a hledají kde se dá. Proto asi moc lidí neporadí. To sice přijde ale později až budou systémy dopracovány a otestovány.
Problém se dá řešit bez serverů, ale je potřeba podobného vybavení dokumentů jaké jsem Vám postnul. Jde o to, že místo "nicku, nebo hesla" se zadá "hash". Elektronický podpis nic jiného není ale...
Elektronický podpis vyžaduje ještě sertifikát ten je možné vybrat (ale nejprve musí být zadán a uložen). Doporučuje se pro LO typ certifikátu AdES ale viděl jsem jen jedinou firmu "OBELISK" která je nabízí, ale nedělal jsem rešerši - je jich asi víc. Mimo toho se dají použít i jiné.
Můj dotaz napsal(a)1. - Ukázaly se další důvody, proč to bez maker nepůjde,
2. - mojí prvořadou starostí je teď vyřešit jejich podepsání důvěryhodným certifikátem,
3. - aby si uživatelé nemohli soubor spustit bez makra
4. - (aniž bych jim úplně vypnul zabezpečení).
Problém podepsání maker jsem popisoval výše - zejména problémy s certifikacemi. To co uvádíte znamená ve skutečnosti udělat si rešerši nabídek - kolik co stojí, jestli s časovým razítkem, či bez. To je tak asi vše k bodům dotazu 1 a 2.
Problému číslo 3 nerozumím. Když tam budou jen vzorce tak stačí dokument zamknout a řešit přístup pomocí databáze podobně jako na přístup k internetu - jen URI bude místní. Ale tady je zřejmé, že řešení čistě vzorci je mimo hru. Přes to bod 4 (tedy poznámka) je splněna i pro čistém řešení vzorci.
U podepisování maker je problém s autorstvím a licencí. Respektive s případnou editací obsahů maker. Takže když tam budou makra samostatně nepodepsaná, lze podepsat celou šablonu - a je po problému.
Pokud je to požadavek - po přihlášení certifikátem - tak stačí málá úprava kódu a soubor se bez dialogů (uživatelské jméno, heslo) může otevřít ihned k editaci - příklad jako když se zvolí "host", tak se může zvolit certifikovaný uživatel a hned naběhne editace na rozdíl od hosta který má listy zamčené.
Ovšem lze to udělat i jako přihlášení pomocí čárového kódu, respektive hashe, nebo QR kódu - což je standard. Někdy se to dělá čárovým kódem, někdy obrázkem (QR kódy). K tomu je potřeba samozřejmě scaner - stačí ruční.
Problém je jinde - je nutné šablony editovat - asi se musí použít certifikovaný uživatel. Ten ale do šablony může zadat místo hashů uživatelská jména a ta distribuovat jinou cestou nežli šablonu. Při tom to nemusí být v listu tak jak jsem udělal vzor.
Řadu věcí dělám tak že naprogramují modul makra a hned aktivuji nově napsaná makra. Takže Výstup šablony bude mít jen jediný přihlašovací údaj do kterého se nikdo nedostane.
Přiznám se, že takovéhle věci dělám záměrně - na požadavek přidám ukázku tak jako ve Vašem případě. Mojí dlouholetou snahou je prosadit LO (AOO) do státní správy. Takže takto motivuji uživatele k přemýšlení. Mám připraveno mnoho modulů na různé účely. Mám i vlastní šifrovací systémy. Například jsem zveřejnil jako rozšíření šifru PNBT která šifruje viditelný text, ale zašifruje i celý disk. Uvedu důvod - například Dr. Vlastimil Klíma na svých stránkách louskal MD4 jen tak pro pobavení. Je to člen původní party DECROS která našla (nebo spíš její bývalí společníci) řadu chyb v používaných, nebo navrhovaných šifrách a rozbila mnoho legend o různých šifrách.
Tohle se týká zejména Normalizačního úřadu USA - a zde se schvalují šifry kterými mohou subjekty s USA komnikovat - tedy celý svět. Já celkem nemám pochybnosti, že schválené šifry jsou jen takové které se dají prolomit.
Takže řešení podle potřeb existuje, respektive je potřeba to specifikovat. Osobně vždy doporučuji potřebu dobře nasimulovat ale bez skutečných (ostrých dat) - ale tak aby byla zřejmá problematika. Ono stačí málo a řešení není k praktickému použití.
Pokud budete potřebovat úpravy - klidně mi to napište, ale správně podle toho o jak závažné záležitosti jde. Je možné poslat například odkaz na uložto a jinou cestou heslo. V mnoha případech je to nebezpečné zejména pro zadavatele.
A ještě detail : žádné VBAsupport - tím se degraduje OpenSource na smlouvu EULA. Na to jsem nesmírně alergický. Microsoft sám VB i VBA už odstavuje ale pro nás je to dobré? Dejme tomu, že to zatím není střet zájmů - ale je to nejspíš načasovaný problém - podmínka používat OS Windows. To považuji za sabotáž a provokaci.
)