ID-tarkvara paigaldamine macOSile

Blogiseeria selles osas uurime ID-kaardi tarkvara paigaldamist Apple’i arvutitele. Apple’i kompuutritel on toetatud kolm viimast OSi (hetkel: Yosemite, El Capitan, Sierra):

Allikas: kuvatõmmis

ja kolm sirvikut:

Allikas: Anto Veldre

Ühtlasi soovitame läbi lugeda blogikrje lõpuosas paiknevad peatükid “Murekohad” ja “Taustainfot Maci turvalisuse kohta”.

Paigaldus

Paigaldamise üldine töövoog näeb välja selline:

Autor: Anto Veldre

Vaatleme korraks ka detailvaadet. ID-kaardi tarkvara paigaldamise, häälestamise ja testimise protseduur on jaotatud kolmeks järjestikuseks rajaks – A , B, C – millest igaühe läbimine on järgmise raja eeldus. Sõnaga, nagu arvutimängu levelid.

ID-kaardi paigaldamise töövoo diagramm. Autor: Anto Veldre

Raja A läbimine tagab, et programmid on õigesti paigaldatud. Rada B selgitab välja, kas kasutajal on olemas vajalikud PIN-koodid, kaart pole lukus ega sertifikaadid aegunud ning et kasutajal on olemas vajalikud vilumused PIN-koodide pruukimiseks. Lõpuks, raja C läbimine tagab, et ka sirvikud saavad ID-kaardi tarkvaraga hästi läbi ja nõustuvad koostööd tegema e-teenustega, kus vajatakse nii sisselogimist kui allkirjastamist.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Sissejuhatus tehtud, võime liikuda raja A läbimise juurde.

Rada A

Raja A läbimine (tegevused 1–5) käigus paigaldab kasutaja vajaliku tarkvara. Raja A edukas läbimine annab kindluse, et kaardilugeja töötab ja ID-kaardi sisu on operatsioonisüsteemile üldse nähtav – vastasel juhul ei hakka tööle ka muud, keerulisemad toimingud.

Algus > 1. Uuenda arvuti tarkvara! > Rebuut! > 2. Paigalda arvutisse ette ära kõik vajalikud sirvikud > 3. Paigalda UUSIM versioon ID-tarkvarast > 4. Ühenda kaardilugeja arvutiga, pista ID-kaart sisse (ja hoia seal lõpuni) > 5. Kontrolli ID-kaardi loetavust haldusvahendiga >

Allikas: Anto Veldre

Tegevus 1 – uuendamine/värskendamine/ajakohastamine. Apple’i arvutitel toimub uuendamine automaatselt äpipoe kaudu, kuid „Update“ käsk tuleks kindluse mõttes anda ka käsitsi. Alljärgneval pildil on kaks uuendust soolas ning need tuleks vastu võtta, enne kui edasi liikuda. Vajuta nupule „Updates“.

Allikas: kuvatõmmis

Tegevus 2 – Arvutisse tuleb paigaldada kõik asjakohased sirvikud, ehk siis Firefox ja Chrome. Need tuleb ise netist kohale tuua, vastavalt siis Mozilla ja Chrome’i allalaadimislehelt. Paigaldus käib nagu Macis ikka: tuuakse kohale *.dmg fail, käivitatakse see, lohistatakse aplikatsioon Installerisse. Alljärgnev näide põhineb Firefoxil, Chrome paigaldamine on väga sarnane:

Vali “Downloads”. Allikas: kuvatõmmis

Faili avatakse. Allikas: kuvatõmmis

Fail liigutatakse kausta “Applications”. Allikas: kuvatõmmis

Eeldatav tulemus

Launcheris on näha mõlema sirviku käivitusikoonid:

Allikas: kuvatõmmis

Käivitama veel ei pea, see jääb pärastiseks.

Tegevus 3 – Nüüd asume paigaldama ID-kaardi tarkvara. Lähtuda  tuleb id.ee juhistest, põhjusel, et seda blogikirjet aasta pärast keegi ei uuenda, id.ee juhiseid aga küll. Saidile installer.id.ee Maciga minnes antakse platvormikohaseid soovitusi:

Allikas: kuvatõmmis

MacOSXi puhul erineb installeerimine kõigist teistest platvormidest sellega, et esimese paketina kästakse alla tõmmata sirvikutugi (allkirjastamine ja autentimine veebis) ning alles teise paketina ID-kaardi haldusvahend koos DigiDoc3 utiliidiga). Probleem – kiirelt tegutsejad jätavad mõnikord teise toe paigaldamata, mistõttu, kui neil tekivad probleemid, pole neil vahendeid vigade leidmiseks ja väljaajamiseks.

Seetõttu anname kindla soovituse – kindlasti ikka peale panna kõik viidatud paketid.

Paigaldamine toimub rakenduste poe kaudu täiesti tavaliselt:

Vali “Downloads”. Allikas: kuvatõmmis

Faili avatakse. Allikas: kuvatõmmis

Kohale toodud paigaldusäpp tuleb käima klikkida:

Allikas: kuvatõmmis

Paigaldamise käigus nõutakse administraatori parooli:

Allikas: kuvatõmmis

Paigalduse lõppedes hoiatab installer, et on vaja ära tuua veel teinegi pool tarkvarast. Seda tulebki teha:

Allikas: kuvatõmmis

Äppstoori vaade on selline (mõlemad paketid ootavad installimist):

Allikas: kuvatõmmis

Eeldatav tulemus

Mõlemad äpid (ID-kaardi haldusvahend ja DigiDoc3) on installitud ja kasutamiseks valmis:

Allikas: kuvatõmmis

Kui äpid saavad paigaldatud, ilmuvad nad nähtavale ka Launcheris:

Allikas: kuvatõmmis

Tegevus 4 – Ühenda kaardilugeja arvutiga (enamasti käib see USB-pistiku abil), ning pista kaart lugejasse. Jälgi, et kaart oleks lugejas ikka õigetpidi:

Autor: Anto Veldre

Kontrolli et tegu oleks ikka õige kaardiga, mis on õigetpidi sees (pilt allpool, kiip eespool). Vähemalt kord elus pistab meist igaüks lugejasse hoopis pangakaardi ja siis imestab: miks küll ei saa e-teenusesse sisse logida:

Autor: Anto Veldre

Tegevus 5 – Käivita äpp, mille nimi on ID-kaardi haldusvahend (ID-card Utility) ning veendu, et haldusvahend näeb kaarti ning suudab sellelt andmed sellelt välja lugeda.

Eeldatav tulemus

Allikas: kuvatõmmis

Võimalikud veateated

Juhul kui on tehtud viga kaardilugeja ühendamisel või on kaart valepidi sees või on kiip tuksis, võivad esineda sellised veateated:

Allikas: kuvatõmmis

Allikas: kuvatõmmis

Rada B

Rada B on mõeldud krüptograafiaga kaasneva info kontrollimiseks:

  • kas PIN-koodid on meeles,
  • ega PIN-koodid pole lukustunud,
  • kas isikusertifikaadid kehtivad,
  • kas konkreetne kaart on võimeline krüptograafilisi toiminguid sooritama.

Allikas: Anto Veldre

Tegevus 6 – PIN1 abil saab Haldusvahendis avada oma passipildi (see tuuakse PPA andmebaasist). Selleks tuleb vajutada lingile „Laadi pilt“ ja sisestada oma kaardi PIN1:

Allikas: kuvatõmmis

Juhul kui PIN1 on õige, ilmub ekraanile Sinu passipilt:

Allikas: PPA ja kuvatõmmis

Kas nägid oma passipilti? Kui ei, siis pole mõtet edasi liikuda, vaid tuleb lahendada PIN1 mure.

Tegevus 7 – PIN2 koodi kasutades tuleb Digidoc3 utiliidi abil digiallkirjastada mõni fail. Kuivõrd digiallkirjal on õiguslik tähendus, siis tuleks testimiseks valida mõni ohutu kiisupilt. Alul käivitame DigiDoc3 äpi:

Allikas: kuvatõmmis

Valime „allkirjastada dokument“, kusjuures vorminguks valime moodsaima „*.asice“:

Allikas: kuvatõmmis

Ka lisaväljad võib täita, ehkki testi puhul pole seda otseselt vaja:

Allikas: kuvatõmmis

Dokument on allkirjastamiseks valmis, nüüd tuleb vajutada “Allkirjasta” nupule ja sisestada oma kaardi PIN2:

Allikas: kuvatõmmis

Eeldatav tulemus

Kui tegevus õnnestus, on tulemuseks digiallkirjastatud kassipilt:

Allikas: kuvatõmmis

Sellega on raja B tegevused edukalt sooritatud.

Hoiatus! Rada B tuleb kindlasti edukalt läbida enne, kui üldse raja C (ehk sirvikute konfigureerimise) juurde edasi liikuda. Sestap on siin vahel punane joon.

Allikas: kuvatõmmis

Allikas: kuvatõmmis ID.ee saidist

Rada C

Kolmas ja viimane rada kätkeb endas sirvikute konfigureerimist netis kasutamiseks. Põhiliselt vajavad sättimist allkirjastamise moodulid. Lähtuda tuleb id.ee ajakohasest infost sirvikute SafariChromium ja Firefox kohta.

Rada C sisaldab selliseid tegevusi:

Allikas: Anto Veldre

Raja C tegevused tuleb sooritada iga sirviku jaoks eraldi. Otstarbekam on kõigepealt häälestada ära põhisirvik Safari ja alles siis Chrome ning Firefox.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Tegevus 8 – Automaatinstalli tulemuste ülevaatus. Safariga saab paigaldus ise hakkama – sealsed moodulid klikime lahti alles tegevuses nr 10. Kindlasti aga modifitseeris paigaldusprogramm sirvikute Chrome ja Firefox sättungeid. Emma-kumma käivitamisel ilmub tavapärane turvahoiatus, et programm on pärit pahast-pahast Internetist. Antud juhul ohtu pigem pole –- olid see ju Sina ise, kes just tõi õiged sirvikud originaalsaidist kohale:

Google Chrome’i avamiseks kinnituse küsimine. Allikas: kuvatõmmis

Firefoxi avamiseks kinnituse küsimine. Allikas: kuvatõmmis

Edasi vaatame üle, missuguseid muudatusi installer sirvikute häälestusse tegi.

Chrome

Chrome’i puhul märgib muudatusi sirviku üleval paremas nurgas tekkinud ID-ikoon (millel võib lisainfo saamiseks ka klõpsata):

ID-ikoon brauseri nurgas. Allikas: kuvatõmmis

Ühtlasi annab Chrome meile teada:

Allikas: kuvatõmmis

Loomulikult tuleb vajutada nupule „Enable Extension“.

Firefox

Firefox annab muudatustest väga häälekalt teada. Muudatused tuleb aktsepteerida (linnuke kasti „Allow this installation“) ja vajutada ilmuvale nupule “Restart”:

Allikas: kuvatõmmis

ID-kaardi tarkvara uusim versioon paigaldab suisa mitu lisamoodulit, sestap ilmub nähtavale teinegi infoteade:

Allikas: kuvatõmmis

Ka selle teate puhul tuleb teha linnuke kasti „Allow this installation“.

Tegevus 9 – kontrolli, kas sirvik suudab operatsioonisüsteemi vidinatega suheldes Sind mõnda e-teenusesse autentida (sisse logida). Lihtsaim on selleks kasutada testimiseks mõeldud spetsiaalset tervituslehte. Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

(Sügavam selgitus: viisakate e-teenuste https-ühendus moodustatakse viisil, et TLS pannakse püsti ID-kaardil leiduva krüptomaterjali abiga. See omakorda nõuab kaardi „avamist“ PIN1 koodi abil. Kui sirviku ja ID-kaardi suhtlus miskipärast ei toimi, siis turvalist https-ühendust püsti panna ei õnnestu ja tervituskatse luhtub.)

Sisselogimiskatse tuleb sooritada eraldi iga kolme sirvikuga.

Eeldav tulemus

Tervitusleht palub valida sertifikaadi (formaalsus), seejärel palutakse sisestada PIN-kood:

Allikas: kuvatõmmis

PIN-koodi sisestamine. Allikas: kuvatõmmis

Kui kõik õnnestub, siis näidatakse lõbusat ID-mehikest:

Allikas: kuvatõmmis

Võimalikud veateated

ID-kaarti ei leitud:

Allikas: kuvatõmmis

On võimalikud ka ebamäärasemad veateated:

Allikas: kuvatõmmis

Sellise veateatega sirvikut ei saa edaspidi kindlasti kasutada. Viga tuleb üles leida ja lahendada, vajadusel spetsialisti poole pöördudes.

Kõige keerulisematel juhtudel on midagi vussis tarkvaraliste alamsüsteemide vahel – üks aken näitab, et ID-kaart on loetav ja teine, et pole. Sellisel segasel puhul on mõtet teha restart ja kui see ei aita, pöörduda IT-asjatundja poole.

Allikas: kuvatõmmis

Kuniks pole autentimist tööle saadud, on parem allkirjastamise juurde mitte edasi liikudagi (sest praktiliselt kõikidesse digiallkirjastamist nõudvatesse e-teenustesse tuleb esmalt sama sirvikuga sisse logida).

Tegevus 10 – Tuleb üle kontrollida ja häälestada kõigi sirvikute moodulid ja pluginad. Tegevuses tuleb lähtuda id.ee juhistest:

Safari

Leia Safari menüüst valik „Preferences”:

Allikas: kuvatõmmis

Vali turvalisuse sakk („Security“) ning klõpsa seal nupul „Plug-in Settings“:

Allikas: kuvatõmmis

Ilmub nähtavale pluginamenüü, kust paistab, et „Firefox Token Signing“ ongi juba installitud ning ka sisse lülitatud (seisundis „On“). Kui ka Sinu arvutis paistab samamoodi, siis midagi tegema ei pea. Vajuta „Done“:

Allikas: kuvatõmmis

Ühtlasi ei maksa end lasta nimetustest eksitada – jah, tõepoolest – ka Safari kasutab „Firefoxi“ nimelist pluginat.

Chrome

Chrome’is vajab ülekontrollimist üksainuke laiendus (extension). Nn kolme-täpi-menüüst tuleb jõuda menüüpunktini Extensions / Laiendused:

Allikas: kuvatõmmis

Laiendus nimega „Token Signing“ peab olema seisundis „Lubatud“  (Enabled). Kui polnud, siis tuleb see käsitsi aktiveerida ja teha sirvikule restart:

Allikas: kuvatõmmis

Firefox

Firefoxi all on sättimist vajavaid laiendusi ja pluginaid pisut rohkem, pealegi oleneb nende kogus ID-kaardi tarkvara versiooninumbrist. Alates jaanuarist 2017 tuleb sättida tervelt kaks laiendust (extensions).

Nn kolme-triibu-menüüst tuleb liikuda alammenüüsse “Lisad”:

Allikas: kuvatõmmis

Juhul kui tegu on ID-kaardi tarkvara uuema versiooniga, paistab menüüs „Extensions“ / „Laiendused“ suisa kaks laiendust:

Allikas: kuvatõmmis

Kumbki moodul pole ülemisel pildil veel aktiivne. Mõlemad tuleb käsitsi lubada ning teha sirvikule restart:

Allikas: kuvatõmmis

Ent sellega häälestus ei piirdu. Tuleb veel minna alammenüüsse „Pluginad“ ning kui tegu oli vanema tarkvaraga, siis paistab seal moodul „Firefox Token Signing“, mis tuleb keerata aktiivseks:

Allikas: kuvatõmmis

Lõpptulemus – plugin olgu seisundis “alati aktiivne”:

Allikas: kuvatõmmis

Kokkuvõttes – Firefoxi puhul tuleb aktiveerida kaks ühikut lisamooduleid. Varem oli üks neist plugin, teine laiendus, alates jaanuarist 2017 pakutakse kaht laiendust.

Tegevus 11 – Sirvikuga allkirja andmine. Tuleb tunnistada, et digiallkiri on tõsine värk ja Eestis on raske leida e-teenust, kus saaks digiallkirjastamist ohutult, kuid tasuta testida. Üks selliseid keskkondi on hiljuti uuenenud digidoc.ee. Piiranguks on eelnev registreerimine. Tuleb ID-kaardiga sisse logida, endale „kasutaja teha“ ning – eestlasele tundub see jabur – siis saadetakse e-kirjaga registreerimislink, mida klikkides konto luuakse. Ent portaal muutus rahvusvaheliseks, Leedu IT-ettevõte Estina peab arvestama ka teiste riikide kommetega. Igatahes saab kuni 5 digiallkirja kuus anda tasuta ning just seda me hetkel vajame.

Allikas: kuvatõmmis

Pärast registreerimist tuleb oma kontole laadida üles mõni sobilik kiisupilt ning see allkirjastada. Mõned ekraanipildid (küll Windowsi keskkonnast), mis seda protseduuri illustreerivad:

Allikas: kuvatõmmis

Parooli sisestamine. Allikas: kuvatõmmis

E-posti aadressi kinnitamine. Allikas: kuvatõmmis

Alustamine. Allikas: kuvatõmmis

Digiallkirja vormingu valimine. Allikas: kuvatõmmis

Sertifikaadi valimine. Allikas: kuvatõmmis

Vajuta nuppu “Allkirjasta”. Allikas: kuvatõmmis

(selle koha peal surises portaal vähemalt kaks minutit… ikkagi tasuta kasutaja või sedasi…). Lõpuks küsiti PIN2 koodi:

Allikas: kuvatõmmis

Eeldatav tulemus

Pärast edukat allkirjastamist saadetakse e-kirjaga kinnituskiri. Edu on selgelt tähistatud.

Allikas: kuvatõmmis

Tegevus 12 – Tuleks sooritada sirvikuga allkirjastamise test veel ka mõnes muus e-teenuses, eelistatult pangas. Netipankade allkirjastamisskriptid on ühtlasi keerulised ja neid kasutatakse kõige sagedamini, mistõttu vead ilmnevad kõige kiiremini. SEB on valitud isikliku eelistuse põhjal, testida võib ka teistes netipankades.

Internetipanga kasutamiseks tuleb end kõigepealt sisse logida, milleks on loomulikult vaja kasutajatunnust vastavas pangas. Edasi toimub sertifikaadivalik ja PIN1 küsimine, nagu igas e-teenuses:

Allikas: kuvatõmmis

PIN-koodi sisestamine. Allikas: kuvatõmmis

Seejärel tuleb alustada sobivate rekvisiitidega makset ning see allkirjastada:

Allikas: kuvatõmmis

PIN2 koodi sisestamine. Allikas: kuvatõmmis

Võimalikud veateated

Allkirjastamine ebaõnnestus:

Allikas: kuvatõmmis

Kas lubad veebilehel kasutada pluginat:

Allikas: kuvatõmmis

Ehk unustasid Sa mõne plugina või laienduse aktiveerimata. Mine tagasi tegevusse 10 (rada C) ja aktiveeri vastava sirviku kõik asjassepuutuvad pluginad – nende seisund peab olema mitte “Ask”, vaid “Always Active”.

Kindlasti on võimalikke veateateid rohkem, kuid Maci testimise käigus neid lihtsalt ei esinenud – pangas allkirjastamine töötas laitmatult.

Taustainfot Maci turvalisuse kohta

Eraldi teema on MacOSi kasutamine turvalise platvormina – ehk usaldatud töövahendina. Isegi Apple ei väida enam MAcOSi tutvustuses, justkui oleks OSX / MacOS viirusevaba ja turvaliselt ülim operatsioonisüsteem. Võrreldes Windows 10 tulemuslikuks ründamiseks vajalike võtete keerukusega on MacOSi kuritahtlik ärakasutamine oskuslikule ründajale oluliselt hõlpsam.

Kui Sul on ikkagi kange tahtmine õunamärgilise seadmega oma raha- ja tööasju ajada, soovitame see võimaluste piires turvata. Juhendeid on selleks erinevaid ning me ei saa siinkohal ühtki teisele eelistada. Alustuseks sobib aga end drDuhiks nimetava tegelase ülevaade MacOSi turvalisemaks (kuigi mitte turvaliseks) konfigureerimise meetmetest või siis lihtsam skript, mis õunamasina seadeid kontrollib ning neid kasutaja nõusolekul „peenhäälestab“Infolink veebilehitseja Safari turvalisuse kohta.

Murekohad

Olulised “märkused” ID-kaardi tarkvara juurde:

Tuleb aru saada, et Apple’i tarkvara on oma olemuselt kinnine. Ligipääs sellele, saati siis enne ametlikku reliisi, on seotud väga karmide NDA tingimustega. Otse öeldes, arendustingimused on karmid, nii meie- kui muumaistel arendajatel tuleb kassi otsida pimedas toas. Tõenäoliselt aja jooksul, kui Macimaailmas hakatakse kiipkaarte rohkem kasutama, muutub olukord paremaks. Taustainfo: Ludovik Rousseau blogi, eriti OSi uusversioonide ilmumise paiku.

Arvestades, milline on Maci kasutajate hulk Eestis protsentuaalselt, tuleks neil olla õnnelik, et tugi operatsioonisüsteemile MacOS X on olemas. Selle toe kvaliteet ei ole veel parim, põhjusteks asjaliku tagasiside vähesus ja ennekõike kinnine arendusplatvorm. Hetkel tuleb Maci kasutajatel teadmiseks võtta, et ID-kaardi tarkvara kvaliteet ei küündi samale tasemele kui näiteks Windowsi puhul. Oleneb ju tarkvara kvaliteet otseselt kasutajate hulgast ja antava tagasiside põhjalikkusest.

Kui keegi mõne probleemi avastab, või veel enam, selle enda jaoks lahendab, palun sellest kindlasti teada anda ka telefonil 1777.

Apple’i üldine ideoloogia on, et programm teeb mingit üht asja ja teeb seda hästi. Antud juhul tuleb sellesse eesmärki suhtuda reservatsioonidega: kasutajad peavad aru saama, et Apple’i kinnine arendusmudel koos kasutajate vähesusega ei ole seni võimaldanud MacOS Xi spetsiifilisi muresid baastarkvarast päris lõpuni välja ajada.

Leave a Reply

Your email address will not be published. Required fields are marked *