Monthly Archives: January 2016

Tõus Vesuuvile

Ehk lugu sellest, mis 1. veebruaril ikkagi täpselt muutub ning (ühtlasi) ka asjadest, mis muutuvad pisut hiljem.

Anto Veldre, RIA analüütik

Alustan teemast, kuhu eelmisel korral pooleli jäin. Kui sõnastada, mis iseloomustab tänapäevast elu kõige enam, siis see on asjade muutumise kiirus. Keskajal õppis meistrimees oma ameti selgeks sellina, rändas siis mõned aastad ringi ning kogu ülejäänud elu enam muutusi ei toonud – ta elas oma kodulinnas ja parandas saapaid, köitis raamatuid või kirjutas muusikat. Töövahendid ei muutunud terve tema eluea jooksul – nuga nägi endiselt välja noa moodi ja kirves kirve moodi. Orel, mis alljärgneval pildil paistab, on ka endiselt oreli nägu.

Johann Sebastian Bach oreliga. Allikas: https://commons.wikimedia.org/wiki/File:Bach-1725-Organ.jpg

Johann Sebastian Bach oreliga. Allikas: https://commons.wikimedia.org/wiki/File:Bach-1725-Organ.jpg

Moodsal ajal on hoopis teisiti. Aja vältel, mil näiteks WordPressi äpp minu mobiiltelefonis pesitseb, on selle kujundust, värvi ja väljanägemist vahetatud umbes seitse korda. Tänasest päevast pole mõtet keskaja stabiilsust otsida – tehnika areneb (väga) kiiresti. Pigem tuleks küsida, millised asjad vahetatakse alt ära kuuga, millised aastaga.

ID-kaardi tarkvara uueneb pooleaastase tsükliga. 1. veebruaril 2016 tulebki välja ID-kaardi tarkvara (teisisõnu eID baastarkvara) versioon 3.12. Lõppkasutaja leiab uudistoote sealt, kust alati – lehelt installer.id.ee ning arendajatel on omad kalapüügikohad, näiteks https://github.com/open-eid.

Seekord on värskete bittide taga pisut enam kui pelgalt viimase poole aasta täiendused ja parandused. Nimelt hakkab lõpusirgele jõudma aastat kaks-kolm heietatud kava vananevate krüptoalgoritmide väljaviskamiseks.

DDOC kaob käibelt

Nimelt, ID-kaardi tarkvara uue versiooniga võetakse aktiivsest kasutusest maha DDOC – meid mitmeid aastaid teeninud digitaalallkirja vorming. Kui DigiDoc programmi eelmises versioonis sai kasutaja end vajadusel DDOCi peale tagasi häälestada, siis nüüd enam mitte. Digiallkirju saab nüüd anda üksnes kahes vormingus: BDOC ja ASiC-E. Esimene on meil Eestis kasutatav vorming, teist peaksid katsetama need, keda paelub dokumendivahetus ülejäänud Euroopaga.

Vorminguna DDOC muidugi ei sure – verifitseerida saab seda edaspidigi. Eksisteerib tohutu kogus juba antud digiallkirju, mida kõrvale visata ei saa. Mineviku konserveerimiseks sobib ületembeldamine. Lubatagu mul siinkohas viidata ühe toreda Eesti firma toredale presentatsioonile aastast 2014. Veel enne aasta lõppu lisandub ID-kaardi tarkvarale ka funktsionaalsus vanade *.ddoc failide ülesotsimiseks ja ületembeldamiseks.

Kuid sellegipoolest – kus on kala? Kala on seal, et mõnes firmas või asutuses pruugitakse tähtsa töövoo tarbeks vanu infosüsteeme, mis BDOCi ja DDOCi suvalist segu ei tunnista.
Kuniks sisendisse saabus *.ddoc konteiner, lisati sellele sama tüüpi allkirju kuni Suure Bossi allkirjani välja. Kui aga sisendisse hakkab saabuma üksnes BDOC allkirju, siis nüüd enam kliendile vanu nippe soovitada või firmade vahel midagi vanamoodsat kokku leppida ei saa, kuivõrd vana DDOC-tembeldusmasin uusi faile ei söö. Karta on, et selle portsu otsa satub mõnigi firma.

Ettevõtted peaksid (õigemini pidid) oma allkirjastamisprotseduurid ringi ehitama viisil, et need suudaksid konsumeerida mistahes seaduslikke allkirjavorminguid suvalises järjekorras ning suisa vaheldumisi. Ning et olukord tulevikus ei korduks, tuleb infosüsteeme ehitada viisil, kus allkirjastamisvormingute uuenedes tulevikus sama viga enam ei kordu.

Miks?

Kuid miks ikkagi oli vaja DDOC vorming käibelt välja viia?

Rahvusvahelistumisest oli juba juttu, ent teine päristeema on krüptograafiliste algoritmide vananemine. Kindlasti mäletate seda hetke, kui RSA-1024 võtmed meie ID-kaartides asendati RSA-2048 võtmetega. Täna mõeldakse pisitasa juba võtmepikkusele 3072 (Krüptouuring, lk 9).

Küllalt sarnane on olukord ka räsialgoritmidega ja hetkel ongi lõppemas üleminek SHA-1 algoritmilt SHA-2 algoritmile. Kusjuures täiesti juhtumisi oligi DDOC vorming üks neist viimastest kohtadest, kus SHA-1 leidis aktiivset pruukimist. Krüptouuringu lk 10 arutletakse tõsiteaduslikult RSA1024 ning SHA-1 murdmise üle ning murdmise hinnatasemeks on seal pakutud 34 miljonit USD ja 67 miljonit USD (hinnad on nüüdseks langenud).

Kas kunagi veel saabub ka see hetk, et saame mõnd toredat krüptoalgoritmi pidada 10 või 25 aastat järjest? Kardetavasti mitte. Edaspidi tulebki pidevalt valmis olla, sest algoritmide tugevusvaru hinnang muutub aastaga või tulevikus suisa kuudega. Teatud lihtsustuste ja möönduste tegemisel on kollisiooni hinnaks pakutud suisa 75 000–120 000 USD (SHAppening), mistõttu pole välistatud, et pärast mõnd järjekordset imelist konverentsi peab mõnigi riik kasutatavad algoritmid välja vahetama suhteliselt lühikese ajaga.

SHA-1 kollisiooni hind 2015. Illustratsiooni autor: Mark Erlich.

SHA-1 kollisiooni hind 2015. Illustratsiooni autor: Mark Erlich.

Kuidas?

Lahendus on ilmne – sertifikaate ja muud (kiiresti) vananevat kraami ID-kaartide sees tuleb uuendada online ehk siis Interneti vahendusel. Eestis on ühel perioodil online-sertifikaadivahetust juba tehtud ja midagi koledat sellega ei kaasnenud. Samas pole kahtlust, et leidub ka päid, kuhu sõna “sertifikaat” koos sõnaga “kauguuendus” ära ei mahu, sest: kuri Internet, pahad häkkerid, vaenlase eriteenistused ja muu säärane. Üks on selge – ID-kaardi kauguuendamine saab toimida (vaid) siis, kui see on turvaline.

ID-kaardi tarkvaraversioonil 3.12 on kauguuendusega päris palju pistmist, see on nimelt esimene versioon, kuhu kauguuenduse funktsionaalsus saab kinnituda. Kauguuenduse võimalus ise 1. veebruarist veel ei saabu. Saabub alles siis, kui kõik eeldused on täidetud. Pole põhimõttelisi takistusi alustamaks kauguuendusega ning jagamaks eesti rahvale kõige moodsamaid sertifikaate, ühtlasi on asja juures siiski kaks eeltingimust:

  1. uuendust sooritav tarkvara peab saama lõplikult turvatestitud ja auditeeritud. Täna ollakse lõpusirgel, kuid mitte päris valmis.
  2. SHA-2 põhine sertifikaadiahel kui usutunnistus peab vahepeal veidi laiemalt levima. Infosüsteemid (või vähemalt olulisem osa neist) peaksid olema SHA-2 kasutuselevõtuks valmis.

Kuningas on surnud, elagu kuningas!*

Anto Veldre kirjutab sellest, kuidas DDOC minevikku vajub.

il_340x270.640472250_bxud

Allikas: www.etsy.com

Lähiajal kaob ID-kaardi tarkvarast DDOC vorming. Allpool teeme juttu muudatuse laiemast taustast.

Mille poolest erinevad eestlased ja Eesti riigi elanikud ülejäänud maailmast kõige enam? Võib välja pakkuda kiikingut, ujumiseks sobivaid rabajärvi ning ruudulise mustriga käpikuid, kuid tõde peidab end hoopis teises valdkonnas. Statistiline näitaja, mille osas meile ükski teine riik näole ei saa, on hoopis digiallkirjade andmine.

Ajalugu

Neli aastat tagasti tuli meil ID-kaardi iga kasutaja kohta statistiliselt 416 digitegu (isik logis end millegi sisse või andis allkirja), sealhulgas 156 digiallkirja. Tänased numbrid on oluliselt suuremad. On isegi väidetud, et Eesti Vabariigis olla juba antud rohkem digiallkirju, kui kogu ülejäänud Euroopa Liidus kokku.

pilt-01

Allikas: www.id.ee

Omaenda isikliku panuse võib igaüks siit ise välja arvutada.

Selline jätkuv edulugu ei oleks võimalik ilma korralike riistade ja standarditeta. Kasutajat ei huvita tegelikult ju üldse, mis on allkirjastatud faili sees. Kõik on korras, kuniks digiallkirja on võimalik mugavasti anda ning kuniks teine pool antud allkirja ka kenasti ära tunneb. Huvilised võivad kiigata – sedavõrd kirju on olnud digiallkirjastamise vormingute ajalugu.

Kui varemalt pidime Eestis arvestama põhiliselt iseendiga, siis üha enam riike võtab digitaalallkirja laiemalt kasutusele. Miks? Sest digitaalallkirjastamine (või nagu irwhambad nurga taga ütlevad – digisigimine – sõnast signatuur/allkiri) muudab mõnedki töövood kaks suurusjärku odavamaks. Enam ei pea paber näpus, isiklikult bürokraadi vastuvõtule jalutama, töö saab tehtud arvutis, Interneti toel ja kahe minutiga.

Allikas: wikipedia.org

Allikas: wikipedia.org

Esimene Eestis laialt levinud allkirjavorming oli DDOC (seda lühendit võiks lahti mõtestada kui “Digiallkirjastatud DOKument”). Seejärel aga tekkis tihedam koostöö Balti riikidega ning tõusetus vorming nimega BDOC (hea meelde jätta kui Baltic DigidOC). Muide, need kes DigiDoc3 rakendust keskmisest enam kasutavad, on seal kindlasti märganud veel üht vormingut – ASiC-E, mis peaks saama võtmerolli Euroopa Ühenduse riikidega suheldes. Seda muidugi eeldusel, et teised riigid ikka tõesti võtavad digiallkirja sama aktiivsesse kasutusse kui meil siin.

Loe ka mis vahe on .ddoc, .bdoc ja .asice formaadis digiallkirjastatud dokumendil.

On üsna normaalne, et aja jooksul failivormingud muutuvad ja asenduvad – Wordi *.doc asendati aastal 2007 teatavasti *.docx vorminguga. Tekstiredaktor Ami Pro äkilisest tõusust ja langusest on möödas 20 aastat, kuid omaaegsed *.sam failid on endiselt loetavad. Meie uued digiallkirjad aga toodetakse nüüd *.ddoc‘i asemel nüüd juba *.bdoc vormingus.

Muutuse sügav sisu

Teatavasti ei saa ega tohi suuri muudatusi teha äkitselt. Saba tuleb raiuda pisikeste seibidena. Alustuseks (2013) lisati BDOCi tugi programmidesse ja teenustesse. Järgmise sammuna (2015) vahetati ID-kaardi tarkvaras ära vaikimisi vorming – teisisõnu, kel eelistused puudusid, need suunati allkirja andma BDOC vormingus, ehkki soovijatel (kes teadsid, mida nad tahavad ja miks) säilis võimalus digiallkirjastada ka vanas, DDOC vormingus.

Täna ongi jäänud teha veel viimane samm – sest paari järgmise nädala jooksul saadetakse digiallkirja vana vorming DDOC väljateenitud puhkusele.

Mida see üleminek endaga kaasa toob ja mida peaks arvestama?

  1. Nagu juba öeldud, lihtkasutaja ei märka suurt midagi. Ta on juba 10 kuud ise loonud ja avanud teiste BDOC vormingus digiallkirju ega pole muutust väga märganudki.
  2. Muudatus saabub koos ID-kaardi tarkvara järgmise versiooniga – mille numbriks on 3.12 ja väljalaskekuupäevaks 01. veebruar 2016. Et Internetti ja servereid mitte üle koormata, jaotub uuendusettepanek nädala peale laiali ning on raske ennustada, millal iga konkreetne kasutaja selle saab – ühel hetkel teeb ID-kaardi tarkvara ise kasutajale ettepaneku uuendamiseks. Samas, iga soovija võib ise minna www.id.ee lehele ja sealt uuenduse alla laadida.
  3. Digitaalallkirjade andmiseks tuleb pruukida ikka sedasama DigiDoc3 rakendust, mis kuulub ID-kaardi tarkvarakomplekti. Ning ei, me ei nimetanud tarkvara ümber DigiDoc4’ks ega ka mitte BigiDoc’iks. Las ta olla rahulikult DigiDoc3 edasi.
Pilt ID-kaardi tarkvarast

Pilt ID-kaardi tarkvarast

– suurim muudatus: DDOC vormingus allkirju enam anda ei saa, või kui täpne olla, siis ametliku DigiDoc3 tarkvaraga enam ei saa (pildil paistab tarkvara, kus veel sai). Rakendusest kaob see menüüpunkt, et tahan anda vanas DDOC vormingus allkirja. Pole. Lännu! Samas, kui kellelgi on infosüsteemis mõni vana ja jonnakas teek, siis kuni uuenduste juurutamiseni saab ta jätkata vanas vormingus allkirjade tootmist.

Miks?

Klassikaline küsimus – miks? Miks ei võiks poes endiselt käibida Marcus Aureliuse aegsed kuldmündid? Põhjusi on mitu:

  • Vajadus ajaga kaasas käia ning luua rahvusvaheline perspektiiv; eriti ajastul, kui Soome lasi käima omaenda X-tee ja kus kolme Balti riiki hõlmavad suurpangad toodavad suure koguse digiallkirjadest.
  • Moraalselt vananenud räsialgoritm SHA-1 , mis meid DDOCi sees aastaid truult teenis, lähetatakse nüüd kenasti pensionile. RIA tellitud krüptouuring sedastab leheküljel 32, et SHA-1 on jõudnud oma elukaare lõppu. Kui seda väga pikalt edasi kasutada, tekiksid turvariskid.
  • Sest plaan oli sooritada üleminek 2013-2016 ja päris plaanikohaselt nii juhtuski.

Üle- ja ümberallkirjastamisest

Võtsin hiljuti ühest asutusest elukondliku tõendi, kus on kirjas minu sotsiaalne staatus aastatel 200* kuni 200*. Tõend väljastati DDOC vormingus (ju on seal mõni mugav firmalahendus, mis endiselt vorpis vanas vormingus allkirju). Kavas oli tõend kohe edasi anda sinna kuhu vaja, siis aga selgus asjaolu, mille tõttu pean tõendi esitamisega pisut ootama (khmm, järgmise perioodini).

Küsimus on lihtne – kui DDOC käibelt kõrvaldatakse, ega see tõend siis kapis oodates hapuks ei lähe? Ütleme ausalt ära – eks väga pikalt oodates võib minna küll, sestap siinkohal paar kiiret vastust sagedamini küsitud küsimustele.

  1. Vanas DDOC-vormingus antud allkirjad jäävad kehtima. Seda on oluline teada neil, keda seob vastaspoolega (näiteks pangaga) mõni 30-aasta pikkune digisigitud leping.
  2. Arvestades, et kõik krüptograafiat sisaldavad vormingud vananevad aja jooksul moraalselt niikunii (otse öeldes, n aasta pärast võimaldavad kiired arvutid neid võltsida), siis varsti saabub aeg mõelda varem antud digiallkirjade üleallkirjastamisele.

Täna (st jaanuaris 2016) DDOC-allkirjade üleallkirjastamisele veel mõtlema ei pea (kuigi soovi korral saab seda toimingut käsitsi juba sooritada). Kuna minul on kapis ootamas vaid üks tähtis allkiri, on mul lihtne see veel kord allkirjastada, pannes vanale allkirjakonteinerile uue, juba BDOC vormingus allkirja.

Uue allkirja tähendus on nagu turvaümbrikul, mille sees on varemalt allkirjastatud dokument. Kui vanas vormingus digiallkiri on turvaümbriku (või isegi mitme sellise) sees, saab kindlalt väita, et vahepealsete aastakümnete jooksul, vaatamata krüptoalgoritmide aegumisele, pole algset faili muudetud. Vaatamata turvaümbrikele saab algset .ddoc faili jätkuvalt avada ja kontrollida.

Lepingut ei pea üle allkirjastama mõlemad pooled, piisab kui seda teeb (uut algoritmi kasutades) kasvõi kolmas isik. Lepingu algne sisu sellest ei muutu ega klausleid ei lisandu, hoopis usaldusväärsuse aeg pikeneb.

  • RIA-l on plaan sügisel 2016 lisada ID-kaardi tarkvarale funktsionaalsus, mis otsib arvutist üles kõik DDOC failid ning võimaldab ületembeldamise toimingut automatiseerida (see kasulik võimalus on sügisel kindlasti väärt eraldi blogikirjet).

Kokkuvõtte asemel – oleme sisenenud ajajärku, kus areng ja pidev uuenemine/uuendamine ongi uus normaalsus. Algas see elukestvast õppest: enam ei piisanud inimesele kord omandatud haridusest, oli vaja end iga 3–5 aasta järel täiendada. Siis hakkasid arvutiprogrammid end pidevalt uuendama ja täna ei imesta uuenduste ja turvapaikade pideva voo üle enam keegi. Võib spekuleerida, kas tulevikus saabuvad isegi ajad, kus töömehel 8-tunnise vahetuse jooksul uuendatakse mutrivõti käes ära kaks korda … ikka uue ja parema vastu.

* – https://en.wikipedia.org/wiki/The_king_is_dead,_long_live_the_king!

Riigiportaalist ei pea põgenema

 

logo

Anto Veldre kirjutab, mida tähendavad muudatused eesti.ee teavituste kasutustingimustes.

(Moodsas) e-riigis liiguvad teenused e-keskkondadesse. Järjekordi, kontoreid ja leti taga vilkalt askeldavaid tellereid näeme üha vähem. Sedasi hoitakse kokku päris mitu metsatäit puid, ühtlasi muutuvad teenused kiiremaks ja kvaliteetsemaks ning Eesti riigikorraldus muutub kuumaks kaubaks maailmaturul.

Kahjuks on asja juures ka pisike nüanss – mõnikord polegi inimene teenuse kättesaamisest huvitatud: seda põhiliselt siis, kui mõne kirja kättesaamisel või mittekättesaamisel on isikule juriidilised tagajärjed, näiteks hakkab tiksuma mõni tähtaeg või tuleb võtta mõni ebameeldiv kohustus. Eks alati leidub mingi protsent inimesi, kes tahavad ja suudavadki elukondliku kavaluse abil oma kohustuste eest põgeneda.

IT valdkonnast saabus värske uudis – Riigi Infosüsteemi Amet andis värskelt käiku arenduse, mis võimaldab asutusel inimesele saata tähitud e-dokumente ning tagasi saada väljastustõendeid (Iroonilisel kombel leidis Kallaste Linnavalitsuse kiri üles ka süsteemi nõrga koha ning paljundas juhusliku dokumendikutse tuhandetele inimestele. Kui süsteemid on keerulised, siis vahel nii juhtub).

Sel nädalal jõudis teavituste arendus aga sedakaugele, et portaali eesti.ee sadu tuhandeid kasutajaid hakati uuest teavitusteenusest informeerima. Kasutajatingimustes on kirjas:

“Riigi- ja omavalitsusasutused ning teised avalike ülesannete täitjad saavad saata minu e-posti aadressile isikukood@eesti.ee või registrikood@eesti.ee minu või minu ettevõtetega seotud dokumente ja teavitusi. Oma @eesti.ee aadressi suunamisega annan nõusoleku dokumentide elektrooniliseks kättetoimetamiseks, kui nõusolek on seaduse kohaselt vajalik.
Oma mobiiltelefoni numbri salvestamisega nõustun, et riigi- ja omavalitsusasutused ning teised avalike ülesannete täitjad võivad saata mulle minu või minu ettevõtetega seotud teavitusi SMS-sõnumina.”

“Seadus” tähendab antud kontekstis Haldusmenetluse seadust, mille §27 “Elektrooniline kättetoimetamine” lõige 2 ütleb järgmist:

(2) Dokument toimetatakse isikule elektrooniliselt kätte, kui isik on sellega nõus.

Seadusesse ammustel aegadel (2002) kirjutatud vajadus nõustumise järele ongi põhjus, miks oli vaja teavitusteenuse (mitte kogu portaali) kasutustingimusi uuendada ning paluda inimesel uute tingimustega ka nõustuda. Ei midagi uut, sääraseid üldtingimustega nõustumisi teab igaüks paljude teenuste (sh FB ja Google’i) töömailt.

Seejärel juhtus aga midagi ootamatut – umbes 0.1 protsenti neist, keda uuest kasulikust süsteemist teavitati, sisenesid eesti.ee portaali ning võtsid maha oma e-posti suunamise. Võib vaid aimata, miks… Ühtlasi tekkis FaceBookis arutelu, kus ühe tõlgendusena käidi välja selgitus, justkui väljastusteade (kõigi oma juriidiliste tagajärgedega) tekiks juba e-maili saabumise või lugemise hetkel.

Ei, praegune süsteem on loodud sedasi, et e-mail sisaldab vaid teavitust. Teavitus informeerib inimest, et talle mõeldud e-dokument on saabunud – ei enamat. Dokumendi enda lugemiseks tuleb inimesel ikkagi eesti.ee portaali sisse logida, liikuda alamjaotisse “Minu dokumendid” ning alles seal dokumenti avades tekib saatja jaoks väljastusteade. Siin on suur sarnasus tähitud kirja väljastusteatega, mis tekib alles postkontoris kirja kätte saades, mitte aga hetkel mil postiljonitädi teavituslehe postkasti pistab.

Kogu teavituste ökosüsteem pole veel sugugi valmis – paljud ametlikke kirju saatvad asutused pole täna veel võimelised automaatseid väljastusteateid töötlema – see võimekus tuleb luua iga asutuse infosüsteemis eraldi.

Riigiteooria kohaselt on riigil teatavate sunnivahendite osas monopol. Seadus näeb ette võimaluse isikule kirja saata ka siis, kui ta seda ise miskipärast ei soovi. Seda eitades jõuaksime oma ühiskonnakorraga kiiresti anarhismi. Küll aga on kahju, kui tosin aastat vana seadusesõnastus on e-ajastust pisut maha jäänud, mistõttu mõne kodaniku allumatus langeb mitte juristide pärusmaale, vaid võimaliku plekina moodsale e-teenuse arendajale.

Sel moel saaksime juura taas kenasti eristatud IT-teenustest ning lõpeks (põhjendamatu) põgenemine meie tegelikult suurepäraste e-teenuste juurest.