Author Archives: Seiko Kuik

X-tee on e-Eesti ainuke kiirtee

Lugu ilmus 4. septembril 2019 Äripäevas.

E-riigi kiirtee, selgroog või veresoonkond. Kõik loetletud kõnekujundid sobivad 18 aastat tagasi välja töötatud X-tee kirjeldamiseks. E-riigist rääkides tekivad esimesena silme ette ID-kaart ja digiallkiri. Kuid samavõrd tähtis on ka väljaspool Eestit tuntud, kuid siin mitte niivõrd kuulus X-tee, mis võimaldab riigis eri serveritel ja andmebaasidel efektiivselt ja kiiresti andmeid vahetada. Mis peamine, see toimub turvaliselt ja märkamatult. Ja ega inimene ei peagi otseselt teadma X-teest, tema jaoks on tähtis, et ta saab lihtsalt ja vähese bürokraatiata asjad aetud, olgu selleks arsti juurde aja panemine, auto registreerimine, ülikooli lõpetamine, lapse sünd või tuludeklaratsiooni esitamine. Nii nagu ei pea autojuht teadma, millist geotekstiili ja killustikku kasutati maantee ehitamiseks – peaasi, et see on korras ja võimaldab mugavalt ja turvaliselt sihtkohta jõuda.

Kasulik klientidele ja ettevõtetele

Küll aga võiksid X-teest teada teenusepakkujad, sest see võib aidata neil ja nende klientidel bürokraatiat vähendada. Riigi Infosüsteemi Ameti ehk X-tee omaniku jaoks on tähtis, et X-tee hästi kaitstud digimaanteel sõidaks võimalikult palju autosid. Augustis alguses kiitis IT-minister heaks muudatused, mis teeb liitumise lihtsamaks ja odavamaks.

X-tee on Eestis kasutatav andmevahetusplatvorm, X-Road on aga tehnoloogia, mida Eesti ja Soome viimased neli aastat ühiselt arendavad.

Mis kasu saab X-teega liitumisel? Infovahetus partneritega on silmapilkne ja kellelgi pole võimalik pealt vaadata või kuulata, millist infot kaks asutust omavahel vahetavad. Loomulikult on tagatud, et infot saavad vahetada vaid need asutused, kellel on selleks õigus. Kui X-tee eksisteeriks füüsilisel kujul, siis jääks selle teele 472 asutust ja ettevõtet. Lisaks veel kaudselt X-teel sõitvad ettevõtted ja asutused, keda on poole Tartu linna jagu. Miks peaks sinu firma X-teega liituma? Sest see on parim viis suhelda avaliku sektoriga. 18 aastaga on X-teel tehtud rohkem kui viis miljardit päringut. Oletame, et neist 5% tegid inimesed. Eeldades, et klikid internetis säästavad keskmiselt 15 minutit inimese aega (ta ei pea minema kohale maanteeametisse, maksuametisse ega haiglasse, et panna kirja vastuvõtuaeg), siis hoidsid need päringud ainuüksi mullu kokku 1407 aasta jagu tööaega. Mõistagi, need arvud on hinnangulised.

Liitumine ja kasutamine muutub aina lihtsamaks

X-teega liitunud ettevõtted saavad oma asju ajada ajasäästlikult ja odavamalt. Praegu on meil käsil liitumise lihtsustamine ja et see oleks uutele tulijatele(väikeettevõtted, kohalikud omavalitsused jt) rahakotile kergem. Kuivõrd X-tee on Eestis peamine lahendus andmete vahetamiseks avaliku sektori siseselt, aga ka erasektoril suhtluseks avaliku sektoriga, siis X-tee liikmete arv aina kasvab. Tänavu on uusi liikmeid napilt rohkem kui sada. X-tee kasutajad on öelnud, et liitumise teeb keeruliseks nõudlik protsess ja liiga pikad juhendid. Neil on õigus. Võtsime tagasiside kuulda ja veel sel aastal tuleme välja X-tee iseteeninduskeskkonnaga, mis muudab ühinemise lihtsamaks. Iseteeninduskeskkond võimaldab ühest kohast leida kõik sammud X-teega liitumiseks.

Liitumise lihtsustamise kõrval loome ka võimaluse kasutada X-tee ökosüsteemi siseselt X-tee keskuse enda pakutavaid sertifikaate. Need sertifikaadid on mõeldud eelkõige tulevastele X-tee liikmetele, kellel on vajadus Eesti riigiga andmeid vahetada, kuid neil pole olnud võimalik seda juriidilistel põhjustel seni otse teha. Lisaks tasub kaaluda dubleeriva sertifikaadi võtmist andmevahetusteenuse töökindluse suurendamiseks.

X-tee on teinud Eesti atraktiivseks sihtkohaks sadadele väliskülalistele, kes huvituvad tehnoloogiast. Peame korraks peatuma ka nimedel. Eestis kasutatav X-tee tähistab andmevahetusplatvormi. Kui aga juttu tuleb ingliskeelsest X-Roadist, siis räägitakse tehnoloogiast, mida Eesti ja Soome alates 2015. aastast arendavad. X-Road on teistes seas veel kasutusel Soomes, Islandil, Jaapanis, Argentiinas ja Vietnamis.

Digimaanteed peab uuendama

X-Roadi tuumtarkvara ei saa kunagi valmis ning areneme seda koos partneritega edasi. X-tee seadistamine muutub paindlikumaks ning kasutaja saab seda paremini oma vajadustele vastavaks seadistada Aasta lõpus sulgeme Eesti X-tee vana versiooni ning võtame kasutusele uue, kuuenda versiooni. Samal ajal käib ka töö juba järgmise andmevahetusplatvormi kallal, sest X-teel on veel kasutamata potentsiaali, millest eelkõige inimesed, aga ka liikmed, kasu lõikavad.

Meie järgmise paari aasta eesmärk on, et X-tee kasutamine muutub asutustele ja ettevõttele niivõrd mugavaks, et kasutajad ei suuda sellest käsi eemal hoida. Sest siis läheb elu kergemaks nii ettevõttel kui ka sinu klientidel ja partneritel.

X-tee numbrites
X-teega on ühinenud 2735 teenust ja 472 ettevõtet ja asutust.
Kasutusel on 258 turvaserverit.
Sel kuul on tehtud ca 100  miljonit päringut, juulis 94 miljonit päringut

Andrus Kaarelson
RIA peadirektori asetäitja riigi infosüsteemi alal


RIA peadirektor Margus Noormaa: kas turvalisus on ülehinnatud?

Arvamuslugu ilmus Äripäevas 10. juulil 2019.
https://www.aripaev.ee/arvamused/2019/07/10/margus-noormaa-digiriik-vajab-it-ministeeriumi

Eelmisel nädalal kogunenud riigikaitse nõukogu otsusel peab riik leidma võimalusi, kuidas tõsta digilahenduste arendamise ja turvalisuse tagamise võimekust. Paar päeva hiljem harjutasid Euroopa Liidu liikmesriikide valdkonnajuhid rahvusvahelisel küberõppusel, kuidas läbi koostöö taastada küberrünnaku halvatud teenused. Mida see tegelikult tähendab ning kas me ei ole oma e-riiki üle tähtsustanud? Kas ei peaks hoopis oma energia suunama pärismaailmale, asjadele, mis kõigile korda lähevad? Küberiga on ju kõik hästi. Vähemalt nii arvatakse.

Ma ei heida seda arvajatele ette, sest pealtnäha ongi kõik hästi. Teenused töötavad ning paberivaba asjaajamine säästab kõigi aega. E-arved on hiljutisim samm, mis lühendab bürokraatia kadalippu. Muu maailm võtab eeskuju meie lahendustest nagu näiteks X-tee ning e-Eesti hea maine on avanud meie ettevõttete uksed rahvusvahelisel areenil. Eesti oluliste teenuste pakkujad (haiglad, pangad, sideettevõtted) ei ole erinevalt muust maailmast kannatanud sadu miljoneid eurosid kahju, mida põhjustasid ülemaailmsed lunavararünnakud NotPetya ja WannaCry. Jah, me olime ehk rohkem ettevalmistunud, kuid meil on ka vedanud. Me ei ole olnud kurjategijatele veel nii atraktiivsed. Kuid see muutub, olen selle üsna kindel. Massiline õngitsuskirjade laine, mis pettis inimestelt andmeid välja tagaselja Smart-ID konto loomiseks, näitab seda.

Selleks, et järgmisi üleilmseid rünnakuid sama edukalt tõrjuda ning ID-kaardi sarnaseid kriise suuremate tagasilöökideta seljatada, hoida elus e-riigi alustalasid, tuleb asju senisest teisiti teha.

Edusse tuleb investeerida

Esmalt tuleb muuta suhtumist ja retoorikat. Lõpetame digi- ja pärismaailma eristamise, on üks maailm. Selle teadvustamine oleks suur samm edasi. See on eeldus sellele, et me saame päriselt ka aru, mida tähendab digiriigi arendamise ja selle turvalisuse võimekuse tõstmine.

Tahame või ei, aga digi moodustab suurema osa meie elustiilist. Töötavatest IT-lahendustes sõltub meie riigi käekäik. Argipäev jääb seisma, kui mobiild-ID ei tööta, pangakaardiga ei saa maksta, digiallkirja pole võimalik anda või veebilehed on maas. Rääkimata sellest, kui vananenud platvormide või inimliku eksituse tõttu ei tööta politsei, pääste või haiglate IT-süsteemid. Nende süsteemide töös hoidmisest ja arendusest sõltub meie turvalisus ja heaolu.

On loomulik, et peame iga 15 000 kilomeetri järel oma auto hooldusesse viima. Kui auto on juba 20 aastat vana, tuleks kaaluda selle väljavahetamist, kuna nii vana auto ei ole enam turvaline ega paku kaasaegseid lahendusi ja mugavusi. Nii tagame enda ja oma lähedaste turvalisuse, aga ka mugavama elu. Ka IT-süsteemid vajavad sellist hooldust ning parim enne möödumisel välja vahetamist. Hetkel aga sõidavad meie IT-maanteel kümned sõidukid, mis on surmalõksud. Kui soovime ohutut ja mugavat teekonda jätkata, tuleb sõidukisse investeerida. Võime romu hooldada nii kaua kui tahame, kuid südaöö lüües on paratamatu, et meie ees on taas kõrvits.

Turvalisus maksab. Kui laiapõhjaline riigikaitse eeldab laiapõhjalist eelarve jaotust, siis täna IKT-le suunatud 10% kogu riigieelarvest seda mõtet minu hinnangul ei toeta. Oleme aastaid sõltunud e-riigi põhikomponentide, seal hulgas ID-kaardi tarkvara, riigivõrgu ja teiste oluliste lahenduste arendamisel välistoetustest. On kummaline, et riigivõrk, mis pakub turvalist internetiteenust koolidele, riigiasutustele, politseile, ministeeriumitele, haiglatele, tuletõrjujatele, sõltub suuresti Euroopa Liidu rahapotist. Sinna sisse piiludes näeme, et poti põhi paistab ning järgmise riigi eelarve planeerimisel peame sellega arvestama.

Vajame paremat visiooni

Kui siiani on paljuski meie digiühiskonna edu taga olnud õhinapõhine tegutsemine, siis mõjusam ja järjepidavam on kindlama süsteemi ehitamine. Selle aluseks on ühtne visioon, raha ning inimesed. Meil ei ole täna riigi vaates ühte kokkulepitud suunda, millest lähtuda. Igaüks teeb nii, kuidas parem tundub. Samuti ei ole meil ühte liidrit ega vedajat. Parema visiooni loomiseks ja e-riigi eestvedaja rolli võtmiseks, ka RIA vaates, tasub juba praegu mõelda, kas kogu see IT-valdkond, mis paljudes teistes riikides on kordades algelisem, kuid kus on oma IT-ministeeriumid, ei vääriks Eestis sarnast struktuuri? Meie suurust arvestades on tänane jaotus muidugi arusaadav, kuid alati tasub mõelda suuremalt. Nii nagu on digiriigile omane.

Kui meil kodus on kõik korras, siis oleme ka välismaal jätkuvalt heas kirjas. Koostöö teiste riikidega on ja jääb olema Eesti jaoks alati määrava tähtsusega. Praegu me sõidame pea 20 aastat tagasi välja töötatud X-tee, digiallkirja ja ID-kaardi rasva peal. Aga rasvakiht kulub ja kulub.

Digiühiskonnas puuduvad riigipiirid ning mujal maailmas toimuv võib oluliselt kahjustada seda, kuidas meie elame. Seda näitas nii ID-kaardi kriis kui ka erinevad küberrünnakud, mille mõju oleme ka ise tunda saanud. Turvalisuse usutavaks tagamiseks on Euroopa Liidu raamides toimuv riikidevaheline koostöö kriitilise tähtsusega. Ilmselt on turvalisus ka julgeolekuvaldkond laiemalt teemad, milles Euroopa Liit on suisa asendamatus positsioonis. Nüüd tuleb küsida, millises positsioonis tahab Eesti aastate pärast olla.

Margus Noormaa
RIA peadirektor

@eesti.ee meiliaadressidest ja „postkastist“

Uue turvastandardi DMARC kasutusele võtmine @eesti.ee postiteenuse juures tekitas inimestes üksjagu segadust. Selleks, asi selgemaks saaks, tuleb alustada algusest. Proovime seda seekord teha läbi küsimuste ja vastuste.

Kuidas saab inimene @eesti.ee e-posti aadressi?

Riik loob eraisikule isikukood@eesti.ee aadressi koos ID-kaardi väljastamisega, juriidiline isik saab selle, kui asutab ettevõtte.

 Kes tohib saata @eesti.ee aadressile kirju?

  • nimi.perenimi@eesti.ee aadressile tohib kirja saata igaüks
  • asutusenimi@eesti.ee aadressidele tohib kirja saata igaüks
  • isikukood@eesti.ee ja registrikood@eesti.ee aadressile lubatakse kirju saata ainult riigiasutustel ja riigi nimel teenust osutavatel ettevõtetel, seda teenust saab kasutada kahel viisil:
    • läbi selleks ettenähtud releeteenuse koos vastavate pääsupiirangutega.
    • üle X-tee teavitusteenuse

Kust on pärit @eesti.ee meiliaadress ja mis on selle mõte?

See on tegelikult süsteemne osa meie elektroonilisest identiteedist, mis baseerub avaliku võtme infrastruktuuril (PKI) ja see  võimaldab üheselt ja turvaliselt inimese tuvastada.

@eesti.ee lõpuga meiliaadress tekib RFC822 standardile vastava SAN-välja väärtusena meie igaühe ID-kaardil oleva isikutuvastuse sertifikaadi koosseisus kujul isikukood@eesti.ee  niipea kui inimene saab omale ID-kaardi. Isikukoodi, mitte nime kasutamine sertifikaadil oleva meiliaadressi osana, tagab selle, et infosüsteemidel ei teki probleeme täpitähtede töötlemisega. Lisaks on see alati unikaalne.

NB! Veelkord – isikukood@eesti.ee aadressile saavad kirju saata ainult RIA-ga vastava teenuse kasutamise lepingu sõlminud riigiasutused.

Lühidalt – tunnustatud sertifikaatide puhul on e-posti kontaktaadressi väli standardist tulenev komponent, mis võimaldab sertifikaadi omanikuga ühendust võtta. Meie juhtumi puhul otsustati kunagi võtta kasutusele @eesti.ee domeen.

ID-kaardi infrastruktuuriga seotud meiliaadressi olemasolu tagab tegelikult seda, et aadressi omanik on ikka see päris õige inimene. Häda oli ainult selles, et kuidas see päris inimene päriselt sinna õnnetu e-posti aadressi külge saada. ID-kaardil endal ju postiserverit küljes ei ole. Seetõttu sai projekti algusaegadel veidi aega @eesti.ee aadressi kasutamise võlu nautida ainult väike ring e-riigi entusiaste.

Aga kuidas ID-kaardil olev meiliaadress ja eesti.ee portaal omavahel seotud on?

Alguses ei olnudki. Osadele ärksatele inimestele tundus, et oleks palju lihtsam, kui nad saaksid riigiga seotud teenuseid kasutada võimalikult lihtsal moel ja ei peaks kolistama internetis ringi erinevate asutuste veebilehti ja vorme otsides. Nii sündiski eesti.ee portaal, mis lihtsustatult pakub lõppkasutajale riigi teenuste kohta infoartikleid, juurdepääsu X-tee andmekogudele ja pinutäit teisi lisavõimalusi. Ja nende lisavõimaluste hulka kuulub ka @eesti.ee „postkast“. 

Täpsemalt võib lugeda eesti.ee portaaliga ja selle teenustega seotud vanemaid kirjatükke siit:
https://blog.ria.ee/e-riigi-teejuht/
https://blog.ria.ee/riigiportaalist-ei-pea-pogenema/
https://blog.ria.ee/aj/

Mis asi on eesti.ee “postkast” oma olemuselt?

Teen ühe asja kohe selgeks. See ei ole kunagi olnud postkast e-posti kui teenuse mõttes (nagu näiteks Gmail seda pakub) ja ei saa selleks tõenäoliselt mitte kunagi.

Juba kümmekond aastat on e-posti teenusepakkujaid turul piisavalt palju ning enamik suuri teenusepakkujaid pakuvad seda eraisikutele aastaid täiesti tasuta (Google Gmail, Microsofti Outlook). Ja nad teevad seda väga kvaliteetselt. Seega võib ajas tagasi vaadates tõdeda, et veel ühe meiliteenuse ehitamine riigi nappide vahenditega ei oleks olnud kuigi nutikas idee.

Probleem, et @eesti.ee ei ole päriselt „postkast“ e-posti teenuse mõttes, lahendati sellega, et eesti.ee portaali loodi võimalus oma @eesti.ee aadress suunata enda vabalt valitud ja tegelikult aktiivselt kasutuses olevale e-posti kontole.

Teenus osutus niisugusel kujul päris populaarseks ja paljud hakkasid seda kasutama. Meie vaatest oli aga halb see, et meil tekkis paras ports „surnud“ suunamisi, mis tegelikult erinevatel põhjustel ei toimi (postkast on täis, ei eksisteeri, meiliaadressiga on eksitud jmt).

Nende „surnud“ suunamistega tegeleme tänaseni ja see töö ei saa kardetavasti kunagi otsa. Küll aga tuleb kaaluda käsitöö asemel tegevuse arvutile delegeerimist – pisitilluke moodne kratt lihtsalt eemaldab perioodiliselt mittetoimivad suunamised ja jätab inimese eesti.ee „postkasti“ viisaka teate, et vot selline asi leidis aset.

Oluliste riigi teavituste kodanikule kättesaadavuse tagamise lahenduseks (eelkirjeldatud murede valguses) võetigi selle aasta alguses kasutusele virtuaalne „postkast“ mille mõte on selles, et vaatamata inimese poolt määratud suunamistele säilitatakse volitatud saatjate poolt isikukood@eesti.ee aadressile saadetud sõnumite koopia ka eesti.ee portaalis ning tagatakse selle terviklikkus ja kättesaadavus teatud perioodi (hetkel pole veel otsustatud, kui pikk see on). Seega tekib inimesel võimalus igal ajal minna ja kiigata eesti.ee portaalis oma „postkasti“ kui on vähimgi kahtlus, et suunatud meil ei ole mingil põhjusel kohale jõudnud.

NB! Kõik eesnimi.perenimi.xxx@eesti.ee aadressile saadetud meilid suunatakse siiski ilma neid salvestamata jätkuvalt edasi nii nagu inimene ise on määranud, sest me loeme seda inimese eraasjaks kuhu RIA-l pole õigust sekkuda.

Riigi vaatenurgast oli ja on jätkuvalt vaja kodanikele ning ettevõtetele saata ametlikke teavitusi. Jah, seda saab teha tänaseni paberil, kasutades inimeste ja firmade ametlikke postiaadresse, aga selline lahendus on ressursse raiskav ning ebaefektiivne. @eesti.ee postkast on turvaline ja usaldusväärne kanal, mille kaudu saab riik inimest informeerida.

Üks põhjus, miks võtsime uue turvastandardi kasutusele, ongi see, et kurjategijad kasutasid ära @eesti.ee domeeni ning saatsid sellise lõpuga kirju inimeste trikitamiseks. See on negatiivse mõjuga nii inimesele kui ka kogu e-Eestile.

Vahepõige ajalukku

Umbes samal aja koos suunamise teenuse loomisega katsetati ka võimalust pakkuda @eesti.ee aadressi kasutust nii, et inimene saaks oma e-posti keskkonnas sättida meili saatja aadressiks oma @eesti.ee aadressi. Kõik ikka selleks, et @eesti.ee muutuks populaarsemaks ja leiaks laiemat kasutust.

Selline mõte oli tore ning eesrindlik, aga selle tegelik kasutajaskond üllatavalt tilluke. Seega võeti teenuse korrektse häälestamise võimalus umbes 4-5 aastat tagasi portaalist maha. Toona puudus oskus legacy ehk pärandvara täielikult eemaldada, vahepeal muutus kardinaalselt ka eesti.ee portaali tiim. Nii jäigi alles pilootteenus, mida edasi arendatud ega ka täielikult ära ei kaotatud. Teadlikud inimesed said seda edasi kasutada. . Ka RIA jaoks libises selline teenuse kasutamise võimalus „radari“ alla.

Tagasi tänasesse päeva

Mai lõpul lülitasime eesti.ee postisüsteemis efektiivsemaks pahalastega võitlemiseks sisse täiendava DMARC-i põhise kontrollmehhanismi. Ühtlasi tähendab see seda, et ühelt poolt läks kõigi @eesti.ee meilisuunamise kasutajate jaoks kõik paremaks, sest rämpspostitajaid ning õngitsejaid jäi kõvasti vähemaks.  Samas sai „pihta“ ka eelmainitud legacy staatuses pilootlahendust senini kasutanud inimesed. Nad ei saa enam oma väljamineva meili saatja aadressiks määrata eesnimi.perenimi.xxx@eesti.ee. Meil oli valida, kas lasta kurjategijatel ja õngitsejatel kasutada spämmimiseks @eesti.ee aadressi edasi või see peatada. Kuna @eesti.ee meilikonto on mõeldud selleks, et kohalik omavalitsus ja riik saaks kodanikule saata vajalikku ja usaldusväärset infot, siis me ei saa lubada, et @eesti.ee nime kasutatakse ära õngitsemiseks ja inimestelt raha väljapressimiseks.

Mida sellest kõigest järeldada?

Kõlab klišeena, aga tegijal juhtub. Me peame kindlasti senisest paremini haldama oma teenuste portfelli, et mitte unustada tiksuma sääraseid pilootteenuseid, mis tegelikult ei lähe täies ulatuses tööle ning võivad tekitada aastaid hiljem segadust ja ebameeldivusi. Saan kinnitada, et usin töö selle osas käib juba jupp aega. Peame varem ja paremini inimesi teavitama, kui teeme muudatusi teenustes. Muudatustest tuleb teada anda mõistliku ajavaruga. Siinkohal jäime hiljaks inimeste teavitamisega ning see on meiepoolne viga.

Küll aga peame praeguses tormilises küberruumis olema siiski jätkuvalt valmis kiireteks kannapööreteks, kus oluliste turvariskide ilmnemisel peame omama jätkuvalt meelekindlust probleemsete teenuste kiireks kinnipanekuks või parandamiseks. Sõltuvalt siis sellest, millega me täpselt silmitsi seisame.

Tarmo Hanga
RIA tehnoloogiaosakonna juht