Anto Veldre, analüütik

Alates juulist 2016 hakkab kehtima Euroopa Liidu otsekohalduv rakendusakt, mis jõustab Euroliidu eIDAS-määruse ka tegelikus elus. Eks ju varemgi nõuti allkirjade piiriülesust (alates EL direktiivist 1999/93), kuid leidus tehnilisi nüansse, mis võimaldasid ühtesobivusega viivitada.

Esimesest juulist rakenduvad nõuded usaldusteenustele ja sääraste osutajatele ning vähemasti avalik sektor enam oodata ei saa – kõigis EL riikides tuleb vastu võtta mistahes EL riigist saabunud allkirju. Teaduslik käsitlus aktuaalsetest sündmustest on esitatud Mark Erlichi juhendmaterjalis.

Eestis ollakse harjunud mõtlema, et ID-kaart ja digiallkiri on kohalik leiutis, kuigi neid imesid võimaldavad tehnoloogiad pole üldsegi kohalikku päritolu. Eesti põhiline saavutus seisneb pigem selles, et meie ühiskond kasutab neid tehnoloogiaid igapäevaselt ja läbivalt; EL alles alustab sellega.

Nüüd, kus me enam pole iseendi veduriks, vaid vägesid juhitakse Brüsselist, võime mõnevõrra kergemini hingata – me ei pea enam rabelema ega digitaalse eluviisi õigsust Brüsseli onule tõestama. Algajat ehmatab enim just digiallkirjade paljusus võrreldes Eesti senise süsteemi üliselgusega.

Mis edasi?

Kui veel 30. juunil võis saadu(d allkirja) kurioosumina ära raamistada ja seinale riputada, siis alates 1. juulist 2016 peab avalik sektor vastu võtma kõik EL liikmesriikidest saabunud e-allkirjad. Näiteks väidab EL nomaad Aleixo Almeda Alvares oma e-kirjas, et ta on ülikoolis õppinud, tahab meile tööle kandideerida ja lisab oma haridust tõendava, e-allkirjastatud PDF-faili.

Šokk ongi käes – mõnes riigis allkirjastatakse dokumente mõne ID-kaardist oluliselt erineva vahendiga ning liikmesriikide digiallkirjad võivadki esineda oluliselt erinevates failivormingutes, eelkõige juba mainitud PDF kujul. (Mis muidugi üldse ei tähenda nagu iga PDF-fail kohe automaatselt olekski EL digiallkiri).

Kuidas säärast tundmatus formaadis allkirja kontrollida? Kiire vastus kõlab kulunult – endiselt tuleb käivitada ID-kaardi tarkvarakomplekti kuuluv DigiDoc3 programm. Juhul, kui tegu on uusima versiooniga (ID-kaardi baastarkvara versioon 3.12.4 saabub orienteeruvalt 27. juuniks), siis tunneb meie tarkvara kenasti ära suurema osa ELis aktsepteeritud sertifikaatidest.

Kui sertifikaate ei too kurg, siis kes?

Mäletatavasti, selleks et kodanik (või miks mitte ka asutus) saaks end mingisse teenusesse sisse logida või kusagile oma digitaalse käpajälje maha jätta, vajatakse digitaalseid sertifikaate. Kui klassikalises maailmas kannatab paber kõike, pole raske kirjutusmasinaga A4 lehele trükkida väidet, et vastava paberi esitaja töötab juulikuust universumi direktorina. Digimaailmas on veidrat väita mõnevõrra keerulisem, sest digisaba lohiseb taga oluliselt pikemalt kui kantseleitarvete ostukviitung.

Alustuseks otsustab mõni ärikontor, et nemad nüüd hakkavadki sertifikaadiäriga tegelema ning genereerivad endale n-ö juurmise ehk päälmise sertifikaadi. (Mõnes riigis tuleb sääraseks kutsetegevuseks veel ka tegevusluba võtta ja enesele audit kaela kutsuda). Juurmise sertifikaadi alla siis väljastatakse endile kitsama otstarbega n-ö teenusesertifikaate, millega lõppkasutajatooteid tembeldada. Ning lõpuks, kui kontorisse (Eesti puhul küll PPA kontorisse) ilmub kodanik ja tahab endale sertifikaati saada, siis väikese tasu eest see talle ka väljastatakse.

Mida sertifikaatidega tehakse?

Me kõik teame – sertifikaat kas esitatakse sisselogimise hetkel või see kaasatakse (krüptograafiliselt tagasivõtmatul moel) digiallkirja loomisse. Eestis tundub meile loomulik, et sisselogimiseks on üks sertifikaat ja allkirjastamiseks teine (sest meil nii on), kuid mõnes teises riigis võib sertifikaatide jaotus, otstarve ja paiknemine olla hoopis teistsugune (ID-kaardi sees, arvuti kõvakettal või kusagil mujal – näiteks pilves).

Kui kodanik esitab digitaalse väite, et ta töötab näiteks, khmm, universumi direktorina, siis erinevalt A4 paberist (mis kannatab kõike), paistab allkirja seest/küljest välja veel kaks asja – esiteks, kust (kelle käest) väitja oma sertifikaadi sai ning seejärel, et kas ka keegi teine on säärasele väitele oma kinnitava käpajälje alla pannud. Selgelt eristub asjaolu, kui keegi teine pole mainit väidet oma digiallkirjadega kinnitanud, siis jääb säärane väide üksnes kodaniku enda südametunnistusele.

Euroopa Komisjon on tekitanud kataloogi, kuhu Euroopa riigid panevad kirja oma teadaolevad sertifikaadiväljastajad ja nende teenus-sertifikaadid, teisisõnu peab EK usaldusnimekirja (TSL – Trusted Service Status List). DigiDoc3 programm üritabki käivitumisel seda nimekirja alla laadida, kui see ei õnnestu, siis kaebleb programm, et ta enam ei tea, keda usaldada.

Brüssel on riikidel käskinud oma sertifikaadimajanduse korda teha, avalikult välja näidata need olulised bitijadad, millele tuginedes naaberriigid saaksid üksteise allkirju kontrollida ning nimekirjad on keskselt publitseeritud. Enam pole oluline, mida me ise endast arvame. On oluline, kuidas Euroopa meid (läbi keskse nimekirja) näeb. Näpuharjutuseks võib igamees ise usaldusnimekirjast Estonia sõna otsida ning sedakaudu läbi TJA Sertifitseerimiskeskuseni jõuda.

Terminoloogia

eIDASe võtmes räägitakse usaldusteenustest. See on termin, mida Eestis on asutud kasutama küll alles viimastel aastatel, kuid lihtsustatult hõlmab usaldusteenus autentimise, allkirjastamise, tembeldamise ning sertifitseerimisega seotud digiteemasid. See, mida meie oleme harjunud nimetama digiallkirjaks, kannab EL kõnepruugis hoopis kvalifitseeritud e-allkirja nimetust.

Kas kõik allkirjad on võrdsed?

Nii nagu füüsilises maailmas on erikujulisi pitsateid, nii ka digimaailmas. Mõnel pitsatil on rohkem vigureid küljes ja siis usutakse, et säärane olla võltsimiskindlam.

Erinevalt Eesti senisest must-valgest skeemist jaotab eIDAS-määrus allkirjad nelja kategooriasse, lähtuvalt nende tõsikindluse tasemest:

1. Kõige madalam tase – lihtsalt allkirjad ehk kõik muu, mis kõrgematele nõuetele ei vasta, näiteks allkiri, mis on antud kodus, isevalmistatud sertifikaadiga. See tase polegi nii mõttetu kui tundub, sest kui inimene on aastaid järjest ühe ja sama “pitsatiga” digiallkirju andnud, siis võib küll kujuneda teatav veendumus, et ju see on jätkuvalt tema ise, kelle valduses vastav pitsat asub. Sääraseid allkirju võib, aga ei pea aktsepteerima – kasutamine ja menetlemine on rangelt vabatahtlikud. Ah jah – siia alamliiki kuuluvad ka näiteks e-lugeri ekraanile sirgeldatud pookstavid.

2. AdES ( Advanced Electronic Signature) – Veidi kõrgem tase ehk “täiustatud” elektrooniline allkiri – eIDAS nõuab, et AdES allkirja sügav tehniline olemus vastaks teatavatele miinimumnõuetele.

Sertifikaadi väljastaja võiks sisalduda vastavas registris, kuid erilisi nõudeid talle ei esitata ja auditeerimine pole kohustuslik. Ka ei nõuta selle taseme puhul veel turvalist karpi (vahendit), mille sees asuks sertifikaati “avav” võti. Isik ehk ongi tõsikindlalt kindlaks tehtud, aga võib-olla pole ka. Privaatvõtit tohib hoida failisüsteemis, pilves, sõnaga – igal pool.

Ainuke erinevus “muust” on tehniliselt standardne lahendus, mida on programmidel lihtsam “süüa”.

3. AdES/QC – Täiustatud allkiri kvalifitseeritud sertifikaadiga (QualifiedCertificate) – erineb punktis 2 välja antud allkirjast paari olulise nõude poolest.

Esiteks, sertifikaat pärinegu nõuetele vastavast ning auditeeritud sertifitseerimiskontorist. Siis saab olla kindel, et säärane sertifikaat on väljastatud ikkagi vaid üheleainsale inimesele ning et eksisteerib mehhanism, mis võimaldaks näiteks varastatud sertifikaadi peatada. Teiseks – auditeeritud sertifitseerimiskontor teeb olulisi jõupingutusi isikusamasuse tuvastamiseks – arvatavasti on soovijat enne pitsati väljastamist kontrollitud. Eestis näiteks teeb seda PPA.

4. QES (Qualified Electronic Signature) – punktis 3 kirjeldatud täiustatud allkiri, mis aga on antud spetsiaalses turvalises seadmes säilitatud bitijadadega (näited: PIN-koodidega kaitstav USB-pulk või kiipkaart).

Kokkuvõtvalt, kõrgeima taseme allkirja puhul:

• Sertifikaati käivitav privaatvõti paikneb kvalifitseeritud esemes sügaval sees;
• sertifikaati kasutav isik on tõsikindlalt tuvastatud;
• on veendumus, et keegi teine ei saa vahendit kuritarvitada (mitmefaktoriline autentimine vms).

Mis kõige tähtsam, vaid kõrgeima taseme vahendiga antud allkiri loetakse alastes aastast 2014 terves Euroopas võrdseks isiku omakäelise allkirjaga. Sellele tasemele paigutub ka meie ID-kaart.

Kõrvalepõikena – kui mõnele kõrgtaseme vahendile unustatakse pärast uuenduskuuri audit tegemata, langeb see vahend automaatselt astme võrra allapoole.

Kuid … mida peale hakata vähemvõrdsete allkirjadega?

Kuivõrd me siin Eestis lendame nii kõrgelt ja väga mustvalges režiimis (kas digiallkiri vs mitte), siis tuleb arendada halltoonide äratundmise oskust.

Eespool mainisime liikmesriigi kodaniku (näiteks Aleixo Almeda Alvares’e) poolt antud PDF-vormingus digiallkirja. Võimalik, et see allkiri on antud kvalifitseeritud sertifikaadiga, ehk siis – Aleixo isik on kohaliku politsei poolt tõsikindlalt tuvastatud, kuid paraku tolles riigis tarvitatakse auditeerimata süsteemi, mille kohaselt allkirjastamisvõtmeid hoitakse arvuti kettal (selmet turvalise kiipkaardi sees). Kas see nüüd tähendab, et Aleixo antud AdES/QC taseme allkiri on õigustühine?

eIDASe järgi tuleb Eestis välismaistest e-allkirjadest aktsepteerida kõiki vähemalt sama taseme allkirju, mida me sama teenuse puhul siseriiklikultki tunnistame. Eesti erimure seisneb asjaolus, et meie igapäevavahendiks ongi just omakäelise allkirjaga võrdsustatud ID-kaart ja sealt väljatulnud QES taseme allkiri.

Kas see peaks tähendama, et me jätame poolte liikmesriikide allkirjad aktsepteerimata ja saadame tööd otsivad Aleixo pikalt? Ei, kaugeltki mitte!

Peame Eestis õppima halltoone tuvastama. Uurime: korravalve on Aleixo isiku kindlaks teinud – väga hea! Ahah, ja sertifikaadi päritolus võib ka enam-vähem kindel olla nagu ka selle tagasikutsumise mehhanismides. No aga sel juhul, kuivõrd Aleixo ju ise tuleb kohale (siia meile tööle) ja täitsa ise ning suuliselt kinnitab üle, et tõesti tema ise andiski selle allkirja (vahet pole, mis vahendiga, kasvõi puuhaluga), tundub, et konkreetsel juhul riski eriti pole, me võiksime Aleixo antud digiallkirja kenasti usaldada.

Teisisõnu, lisaks allkirja tehnilisele vastavusele tuleb alati hinnata ka selle andmise konteksti. Antud juhul lisandub siiski veel üks nüanss – haridust tõendava dokumendi võiks pigem ikkagi allkirjastada ülikool ise, mitte hariduse saaja.

Kes teeb mida?

Riik

Riigikogus on esimese lugemise läbinud eelnõu 237SE, millega “Digitaalallkirja seadus” (DAS) kaotab kehtivuse ja enamik selle sätteid asendatakse eIDASe sätetega. Mõrkmagusa mälestusena jääb minevikku ka meie digitaalallkirja täitsa oma formaat DDOC.

Eelnõu 237SE seletuskirjas antakse teada, et seniseid (juba antud) allkirju aktsepteeritakse edaspidigi, kuid 1. juulist pole mõtet uusi *.ddoc vormingust allkirju juurde sigitada – neid ei pruugi EL seadusandlus omakäelise allkirjaga võrdseks lugeda.

Riigiisad on ka lihtinimesele mõelnud – sääduseelnõu kohaselt tähendab “kvalifitseeritud e-allkiri” edaspidi digitaalallkirja ja vastupidi. Seega, kui jutt käib “digiallkirjastamisest”, siis tulevikus mõeldakse selle all üksnes QES taseme vahendit.

Firma ja asutus

Organisatsiooni vaatest on allkirjareformil kaks aspekti – suuta võõraid allkirju aktsepteerida (tänase seisuga saab kogu Eesti avalik sektor alla saja (!) “võõra” allkirja aastas, kuid võib ennustada, et see näitaja kasvab). Teiseks, asutusel endal peab olema suutlikkus väljastada kõrgeima (QeS) või mõne teise sobiva taseme allkirju, mida teised riigid murevabalt aktsepteeriksid.

Seega – kui Sinu firma või asutuse infosüsteem miskipärast pole ikka veel nüüdisaegsemale allkirjavormingule üle läinud, siis tuleks seda nüüd teha. Euroopaga ühildumisel on nüansse ka vormingul, millega allkirjastamise hetk allkirja sisse pisetakse (TM vs TS).

Nagu ütleb Mark Erlich oma juhendis: “Sõltumata uutest ja vanadest standarditest on ülimalt oluline, et infosüsteemid ja e-teenused, kus kasutatakse digitaalallkirjastamist, võtaksid ajatempli teenuse kasutusele esimesel võimalusel. Ainult nii saame garanteeritult tagada, et meie digitaalallkirjad on ka teistes riikides kasutusel olevates lahendustes verifitseeritavad.”

Mäletatavasti tuleb selleks integreerida oma infosüsteemidega uus teek – DigiDoc4J – sest varemalt kasutatud JDigiDoc-teek ei pruugi eIDASe nõudeid rahuldada.

Ning loomulikult tuleks töötajaid koolitada, et need orienteeruksid Euroopa rikkalikus allkirjavalikus.

Sagedamini esitatavad küsimused

• Kas infosüsteemil on valmisolek käsitleda isikuid, kellel puudub harjumuspärane isikukood?
• Mida teeb asutus võõrapärase digitaalselt allkirjastatud dokumendiga?
• Kas e-teenuse protsessi jaoks on oluline, et allkirja tase vastaks omakäelisele allkirjale?
• Kas ja mis kujul on vaja säilitada (arhiveerida) võõrapärast digitaalselt allkirjastatud dokumenti?

Muide, eIDAS reguleerib üksnes avalikku sektorit. Kui firma avaliku sektoriga mingeidki asju ei aja, siis tohib endiselt allkirjastada ka krihvliga.

Eraisik

Tädi Maali ei pea kuigivõrd muretsema. Kui tema operatsioonisüsteem on kaasaegne (siin on loetelu toetatutest) ning DigiDoc3 programm pärineb uusimast ID-kaardi tarkvaraväljalaskest, siis asjad lihtsalt töötavad.

Roosilise tulevikuperspektiivina kangastub eraisikule võimalus oma ID-kaardiga kõikvõimalikesse Euroopa portaalidesse sisse logida, kuid olgem realistid, see päris päevapealt ei juhtu.