Autor: Anto Veldre, analüütik

Aeg-ajalt kuuldub sotsiaalvõrgustikes, blogisabades ja kommentaariumites hüüatusi stiilis, et ID-kaart “ei tööta”. Tehniku vaatevinklist kõlab säärane avaldus pikantselt, sest keeruline süsteem teatavasti ei lähe kunagi rikki täies ulatuses, jama põhjustab ikka mingi üks konkreetne detail. Võrdluses autoga: ei juhtu ju sedasi, et kogu auto korraga lakkaks töötamast – ikka leidub mõni konkreetsem põhjus: tuksis on kas klaasipuhastaja, pidurid, rool või vasak suunatuli. Mehhaaniku kuldreegli kohaselt tuleb see rikkis detail (või halvemal juhul kaks) üles leida ning vahetada.

Riigi Infosüsteemi Amet (ID-kaardi valdkonna arendaja ning suunajana) on otseselt huvitatud ID-kaardi tarkvara kohta käivast tagasisidest. Kuidas teha ID-kaardi kasutamine mugavaks ja sujuvaks? Kuidas tõsta kodanike rahuolu? Tõstmaks kasutuskogemuse taset (khhm, veelgi), võtsin ette ID-kaardi tarkvara ja installeerimisprotseduurid ning hindasin seda kõike oma kurja ning kriitilise silmaga. Kogetu tulemusel valmis pisut teistmoodi installeerimisjuhend, mis ongi nüüd teie ees.

Kokku on sel kirjutisel viis osa: teooria (siinses postituses), praktika (selgitab ID-kaardi tarkvara installimise imetabaseid nüansse) ning kolm konkreetset jupikest – üks iga toetatud operatsioonisüsteemi (opsüsteemi) kohta: Microsoft, Linux ja MacOS X.

Selles osas selgitan ümbritseva maailma mõningaid seaduspärasusi, andmaks aimu, miks mõned ID-kaardi ökosüsteemiga seotud valikud on just sellised nagu need parajasti on, ning hindamaks reserve tarkvara kasutatavuse tõstmisel. Selle osa võiks kokku võtta nii: milline osa süüst kelle kapsaaeda kuulub.

Tase: algaja

Abiliinile pöördumiste statistika (miks minu ID-kaart “ei tööta”?) paljastab mõne lausa uskumatu stsenaariumi. Kaardi valepidi lugejasse pistmine on üks esimesi ja tähtsamaid põhjusi, miks ID-kaart „ei tööta“. Mäletan vanu ID-kaarte (kuni 2010-01-01), millel kiip ja näopilt paiknesid samal küljel. Nendega oli asi lihtne – kaart tuli panna lugejasse inimese moodi: nägu ülespidi, silmsidet säilitades. Täna on asi keerulisem – kaart tuleb lugejasse pista Euroopa moodi: kiip ees, kuid nägu põranda poole. See ebaintuitiivne käsitsusviis toob paraku kaasa segadust ja solvumistki. Eks ole ju piinlik, kui abiliin küsib: kas teil on kaart ikka õigetpidi sees?!

Peamise kolme põhjuse hulgas, miks ID-kaart “ei tööta”, leidub põhjus “isik ei tea oma PIN-koode”. Olgem ausad, ID-kaart turvatootena mitte üksnes ei saa ilma (õigete) PIN-koodideta töötada, vaid ei tohigi. Iseenesest kurb stsenaarium, sest abiliinil tagavarakoode anda pole ja sestap süü kui selline jääb plastiku kanda…

Pidisuse ja PIN-koodi probleemid tunduvad sürrealistlike ja halenaljakatena, ent tegu on tegelike muredega, millele kulub suur osa abiliini jõudlusest.

Veel üks huvitav probleem, millega algaja põrkub, on ajalõpp (timeout). Kui molutada, näiteks teha sisselogimisprotseduurist ekraanipilte (nagu mina) või käia vahepeal sahtlist PIN-koode otsimas (nagu vanaema), siis tiksuvad sekundid kiiresti aia taha ning kaardikasutustoiming võib ebaõnnestuda.

Sestap moraal: kuniks PIN-koodid pole käes või peas, ära autentimis- ja allkirjastamistoimingut üldse üritagi, kohmerdamiseks ei jäeta aega.

Tase: edasijõudnu

Minu ID-kaart “ei tööta” endiselt – no miks ometi?! Sageli on põhjuseks aegunud tarkvara. Varem arvati ühiskonnas, et on igaühe oma asi, kui vana tarkvara ta pruugib. Tänaseks muutub reaalsus nii kiiresti, et vaid paar viimast versiooni mistahes tarkvarast töötavad korralikult. Kes ei usu, proovigu paigaldada operatsioonisüsteemi Windows NT 3.52 ja vaadaku, missuguste probleemidega ta ürituse käigus kokku puutub.

Mingit hulka inimesi (tänase seisuga u 2% kasutajatest) pahandab, kui nende muldvana Windows XP või Vista enam ID-kaardiga koostööd ei tee. Ometi on põhjus lihtne – tootja (antud juhul Microsoft) on vanad operatsioonisüsteemid maha kandnud, ei väljasta neile enam turvapaiku ega paranda vigu. Mistõttu pole riigil mõistlik ka ID-kaardi tarkvara uuematesse versioonidesse vanakraamituge lisada (pole otstarbekas ID-kaardiga “turvata” eset, mis pole enam ammu turvaline ega muutu selliseks ka ID-kaardi toel). Linuxi maailmas on olukord väga sarnane:

Ühtlasi pole mõtet pruukida mõne aasta tagust ID-kaardi tarkvara. Digisfääri areng on olnud sedavõrd kiire, et ID-tarkvara vanemad versioonid ei suuda enam muutunud reaalsusega suhelda.

Põhjusi, miks ID-kaardi tarkvara vanemad versioonid enam ei päde, on päris mitu:

• rahaline otstarbekus – kõiki maailma operatsioonisüsteeme ei jaksa Eesti maksumaksja oma rahakotist ülal pidada. Tuleb teha valik ja toetada vaid seda, mida enim kasutatakse.
• standardite ning vormingute muutus – mõne aasta jooksul toimunud muutused:
  • kasutusele on tulnud SHA-2 räsiprotokolli pruukivad ID-kaardid,
  • kasutusele on tulnud Euroopaga sobiv digiallkirja vorming ASiC-E, käibelt on välja viidud vana DDOC-vorming;
  • vastavalt Euroopa nõuetele on täiesti muutunud usaldusankru süsteem (koht, kust Trusted List ehk TL saadakse);
  • TL faili sisemine vorming on paari viimase versiooni käigus uuenenud nii, et vanad programmid ei suuda seda mõtestada.
• ID-kaardil paiknevate sertifikaatide uuendamise võime tekkis tarkvarasse suhteliselt hiljuti.

Kokkuvõttes: Uuenda! Võiks kujuneda heaks rahvakombeks, et kõigepealt paigaldatakse ID-kaardi tarkvarast kõige viimane versioon. Selle saab lehelt installer.id.ee. Ja alles siis häälitakse teemal töötab / ei tööta.

Tase: ekspert

No aga minu ID-kaart “ei tööta” endiselt. Nüüd hakkame jõudma tõeliste probleemideni. Hakkame rääkima infotehnoloogia arengu ajaloost, et maha panna selge märk, kus me täna asume.

Kui Tim Berners-Lee internetisirviku (brauseri) leiutas, siis alul peeti seda eset mänguasjaks. Pisut hiljem hakati sirvikut aga kasutama absoluutselt kõigeks, eriti panganduses. Eesti oli turvalise internetipanganduse üks pioneere. Põhjusel, et meil anti käiku toimiv ID-kaart, pääsesime aastatel 2004–2005 ikka väga paljudest internetipanganduse ja identiteedivarguste lastehaigustest, vt teadustöö aastast 2012.

Välismaal aga muudkui varastati sirviku abil, häkkerid treisid koledaid viirusi sirviku küüru otsa. Kui lõpuks aastatel 2014–2015 avastati hirmsad turvaaugud seni turvaliseks peetud https protokolli osistest, siis oligi revolutsioon käes. Maailmale sai lõpuks selgeks, et ülikasulik ese nimega sirvik/brauser on ühtlasi väga ohtlik ese, mille vanaviisi edasi pruukimine võib kasutaja rahast ilma jätta.

(Eraisiku-pool minus küsib nüüd minu riigitöötaja-poolelt: mida hekki, kas te kogu selle aja tarvitasitegi Eesti ID-kaardi jaoks seda jõle ebaturvalist tehnoloogiat? 😉 Tegelikult sobisid brauseri küüru peal paiknevad BHO ja muud pluginad omasse aega päris kenasti ja olid tollal ka piisavalt turvalised… Kuniks ümbrus muutus: Interneti ja sirvikute kasutamine kasvas totaalseks ning internetikuritegevus sai tuule tiibadesse. Olukord muutus siis, kui netti asusid ööpäevaringselt pruukima nii vanaemad kui lasteaialapsed. Muutuse põhjuseks olid tehnoloogiavead koostoimes kasutajate üha langeva kvaliteediga. Et infoühiskond kokku ei kukuks, tuli hakata kasutajat kaitsma tema enda käitumislolluste eest.)

Ja siis see juhtuski – sirvikutootjad hakkasid brauserite siseehitust pingule kruvima (turvalisus vs mugavus). Selleks, et Eesti ID-kaart saaks sirviku otsas edasi elada ja transaktsioone allkirjastada, pidid ID-kaardi tarkvara loojad sisenema ebamugavustsooni. Endiselt vajatakse sirviku otsa mooduleid / pluginaid / abilisi, kuid oh häda, sirvikutootjad on plugina paigaldamise muutnud kole keeruliseks – nõuavad digisigneerimist jms. Miks? No ikka selleks, et lollkasutaja kogemata OK-nuppu ei litsuks ega “uskumatult hea pakkumise” peale oma sirvikule ise pahavara selga ei installeeriks.

Vahepeal arenesid edasi ka pluginate standardid. Mistõttu RIA valmistas uue jubina nimega “(Firefox) Token Signing”. Et allkirjastamine brauseris vunkaks, tuleb jubin installeerida ning tema kasutamine lubada – seda sirvikule tutvustada.

Pole vahet, kas lõppkasutajale meeldib laienduste käsitsi näperdamine või ei meeldi. Ümbritsev reaalsus on selline, et netis kasutamisel vajalik ID-kaardi tarkvara vunkab vaid brauseri küüru otsas ning teeb seda siis ja üksnes siis, kui inimene ise selle sinna vabatahtlikult paigaldab ja brauserile uut abilist tutvustab. Kui Sa tahad ekspert olla, siis tuleb sellest pisitakistusest mööda saada! Suurim keerukus, millega kasutaja (tädi Maali) täna ID-tarkvara installeerimisel põrkub, on just vajadus sirviku soolikates sorida ja laiendusi aktiivseks kruttida.

Kokkuvõttes – oleneb sirvikust… autentimine hakkab tööle enamasti lambist (pärast paigaldust, v.a Linux), ent allkirjastamine sageli mitte (ja see on paratamatus, mille kõrvaldamine nõuabki käsitööd). Et sirvikus allkirjastamine töötaks (näiteks netipangas), tuleb see isiklikult, omaenda valge käega a) installeerida ja b) kasutamiseks lubada. Käsitöö ideele vastujorisemine ei aita.

Segaduse suurendamiseks käituvad eri sirvikud erinevate opsüsteemide all kõik pisut erinevalt. Kõige valutum on ID-kaardi tarkvara install tutika Windows 7 selga – installer suudab kolmele brauserile kõik vajalikud moodulid ise kaela tõmmata – kasutajat üksnes informeeritakse. Kõige keerulisem on olukord Linuxi all, kus versioonist olenevalt võib juhtuda, et viimne kui üks plugin vajab käsitsi lubamist (ja mõnes õnnetus distributsioonis (distros) polegi see üldse võimalik):

***

Selle kirjatüki eesmärk oli anda aimu, et üldsegi mitte kõik ID-kaardi „mittetöötamise“ põhjused ja ilmingud ei ole Eesti riigi ega RIA süü. Palju muresid tekib kasutaja enda käitumisest ja teine osa sirvikutootjate tootemudeli muutustest, mida meie ID-kaardi ökosüsteem ennustada ega juhtida ei suuda, seega saame vaid kohanduda.

Kirjatüki järgmises osas tuleb juttu eri operatsioonisüsteemidest ja sirvikutest ning esitame ID-kaardi universaalse installeerimisjuhendi ühelainsal diagrammil.