eID – osakond, kus keegi anonüümseks ei jää

eID osakonnal ei jää ükski raskus ületamata – isegi talve esimese lume suutsid nad välja võluda. Fotod: Nelli Pello/Riigi Infosüsteemi Amet

Alustame RIA osakondade tutvustamise sarjaga, mille avapaugu teeb eID osakond. Tänu eID meeskonnale on Eesti inimeste elu e-teenuste tõttu märgatavalt lihtsam. Elektroonilise identiteediga saab asju ajada kasvõi maailma veerel nagu tegi president Kersti Kaljulaid, kes allkirjastas teenetemärkide otsuse Antarktikas purjelaeva Admiral Bellingshausen pardal.

Riigi Infosüsteemi Ameti üks silmapaistvamaid osakondi on kindlasti elektroonilise identiteedi ehk eID osakond, kes 2017. aastal ID-kaardi kriisi ajal kastaneid tulest välja tõi. Igapäevaselt tegeleb eID osakond Eesti elektroonilise identiteedi kasutamise võimaluste arendamise ja haldamisega. Elektrooniline identiteet seob elektroonilises keskkonnas isiku tema füüsilise identiteediga – võimaldab aru saada, et internetis ei tegutse sinu nime alt tädi Maali, vaid päris Sina!

Ilmselt oled kuulnud DigiDoci tarkvarast, mida kasutatakse digiallkirjastamiseks ja krüpteerimiseks ning id.ee abikeskkonnast. Lisaks neile on eID osakonna hallata ka sisselogimislahendus nii Eesti kui ka teiste Euroopa Liidu riikide veebilehtedele ning tembeldamisrakendus TeRa, mis on mõeldud vananenud vormingus dokumentide turvalisuse tagamiseks.

Asutustele ja e-teenustele pakub eID osakond autentimise ja digiallkirjastamise teeke ning täisteenuseid, nagu autentimisteenus, allkirjastamisteenus, digiallkirjastamiseks vajalike ajatemplite vahendusteenus ja valideerimisteenus. Samuti on eID osakonnal täita teadmuskeskuse oluline roll – nõustame ja juhendame kõiki soovijaid ning edendame Euroopa Liidu ülest koostööd. 2019. aastal võitis eID baastarkvara Digidoc4 Euroopa Komisjoni võistlusel „Sharing & Reuse of IT Solutions Awards“ esikoha. Tarkvara pärjati teenuste ja kodanike jaoks suurima mõjuga vabavaralise tarkvara tiitliga.

Eesti elektrooniline identiteet lihtsustab inimeste elu märgatavalt. Tervelt 98% avalikest teenustest on Eestis e-teenustena kättesaadavad ning koguni 43% hääletajatest kasutavad interneti hääletamise võimalust. Eesti eID aitab kogu maailmas asju ajada – president Kaljulaid allkirjastas tänavuste teenetemärkide otsuse Antarktikas purjelaeva Admiral Bellingshausen pardal! Eesti elektroonilise identiteedi lahendused on eeskujuks kogu maailmas.

Et kogu see keeruline kaadervärk toimiks, töötab eID osakonnas 16 inimest. Oma tootejuht ja projektijuht on usaldusteenustel, autentimisteenustel, allkirjastamisteenusel, lõppkasutaja tarkvaral ning alusteekidel. Teenuste üleselt on osakonnas tööl analüütik, tarneinsener ja teenusehaldurid.

EID seltskond on mitmekesine nii teadmiste kui ka hobide poolest. Kõige staažikam neist on RIA-s töötanud juba kümme aastat ning uusim tulija viis kuud. Kolleegid on leidnud hulgaliselt ühiseid huvisid – osakonnal on oma WRC ennustuste liiga ning köögiseinal ripub noolemäng. Mõnel eriti suurel entusiastil on lausa oma nooled kaasas, et vastaseid heidutada. Aeg-ajalt lahkub seltskond töölt korraga, et ühiselt discgolfi rajale suunduda. Lisaks on nad aegade jooksul proovinud ka matkauiske, aga see hobi pole Eesti kesise talveilma tõttu kestma jäänud. Inimesi ükshaaval ette võttes leiab veel palju põnevat – osakonnast on omast käest võtta näiteks lohesurfar ja võitlussportlane.

Kahel korral on eID-kad käinud kokakunsti meistrinippe õppimas ning kui toa kommikauss mingil põhjusel tühi on, siis kauaks see nii ei jää! Võib kindel olla, et paari tunni jooksul võtab keegi vastutuse ja lahendab šokolaadikriisi.

Selle aasta algusest juhib eID osakonda oma tugeva, kuid leebe käega Mark Erlich, kelle positiivsus ja huumor ei jäta kedagi ükskõikseks. Osakonnas välja kujunenud kultuur võimaldab töötajal kaasa rääkida ja valikuid teha töötegemise viisi, aja ja koha suhtes. Kodukontor on suure au sees, näiteks armastavad paljud seda harrastada standardite lugemiseks või dokumentide koostamiseks. Mõni eID töötaja teeb vahepeal pikemalt tööd lausa Mehhikost, mõni teine logib tööarvutisse Eestimaa eri paigust – kord Saaremaalt, kord Lõuna-Eestist.

Osakond on avatud uuenduslikele ideedele ja projektidele. Kõik lennukad mõtted kuulatakse ära ning muredele leitakse üheskoos lahendus. Ülesandeid jagatakse mõistlikult, toimib avatud ning tulemuslik koostöö. Kontori õhkkond tekitab tunde, et oled vajalik, hinnatud ja oodatud. Osakond tegeleb väga oluliste teemadega, mille mõju võib märgata ka oma igapäevaelus. Nagu eID osakonna töötajad ise ütlevad, siis hea on tunda, et sinu töö on aidanud kogu Eesti inimeste elu kergemaks teha.

Annika Kluge
eID osakonna projektijuht

Parim kaitse õngitsuste vastu on inimese ja masina koostöö

CERT-EE juht Tõnu Tammer. Foto: RIA

Internetis toimuvate õngitsuste ajalugu ulatub 1980ndate lõppu, kus sellist teoreetilist rünnakut esmakordselt kirjeldati. Päris esimeste reaalsete õngitsusteni jõuti 1990ndate keskpaigas ning sellest saati on õngitsuste arv nii sisus kui ka mahus suurenenud. Viimase kümne aastaga on õngitsuskampaaniate arv kasvanud pisut enam kui kolm korda ja ulatub täna rohkem kui miljoni kampaaniani aastas.

Pahatahtlikul eesmärgil saadetud e-kirjad on hakanud rohkem arvestama ka kohalike eripäradega. Näiteks eestlastele saadetud õngitsuskirjad kasutavad senisest enam tuntud Eesti ettevõtete brände ja paljudel juhtudel ka ettevõtete ametlikke e-posti aadresse. Selliste muudatuste tõttu on meie inimesed kelmuste suhtes märksa haavatavamaks muutunud. Kuidas siis sellises olukorras ennast kaitsta? Head ühtset lahendust siin kahjuks ei ole. Ometi on nii õngitsuslehtede kui -kirjade juures vihjeid, mis võivad reeta, et tegemist on pettusega.

Pettused e-kirjadega

Üldjuhul suhtleme inimeste või ettevõtetega, keda tunneme ja teame. Seetõttu peaks esimese häirekella lööma see, kui tuttava nime taga peituv e-posti aadress ei ole varasemast tuttav või üldse loogiline. Kui saate kirja „ettevote.ee“ töötajalt Mati Karult, siis tavapäraselt tuleb kiri tuleb aadressilt Mati.Karu@ettevote.ee:

Ettevaatlikuks peaks tegema aga olukord, kui saate kirja „ettevote.ee“ töötajalt Mati Karult, kuid kiri tuleb tegelikult mingilt suvaliselt aadressilt nagu officemail40@naver.com, isegi kui nimi on meiliaadressi ees õige.

E-posti puhul on aga võimalik väga lihtsalt saatja aadressi võltsida. Liiga palju on juhtumeid, kus mõne tuntud Eesti panga või ülikooli aadressilt on tulnud kas õngitsuskiri või on jagatud lausa pahavara. Taolise e-kirja saatja aadressi võltsimise ja teatud mõttes kaubamärgi kuritarvitamise vastu on võimalik end kaitsta kasutades ajakohaseid tehnilisi lahendusi. Üks neist on näiteks DMARC standard, mis peaks olema küberturvalisuse ja meilihaldusega tegelevatele inimestele väga tuttav.

DMARC standard töötati välja just võitlemaks selliste aadressi ja kaubamärgi võltsimistega, võttes kurjategijatelt võimaluse esineda mõne tuntud panga või ettevõttena. Korrektsel kasutamisel annab see väga tõhusa kaitse, sest enamik suuremaid meiliteenusepakkujaid kontrollib kõigi saabuvate kirjale vastavust sellele standardile.

Samuti kontrollitakse standardile vastavust kõigi nende kirjade puhul, kus aadressiks on märgitud inimese eesti.ee e-posti aadress (näiteks kui kurjategija Riigi Infosüsteemi Ameti nimel saata aadressile Mati.Karu@eesti.ee õngitsuskirja kasutades aadressina ria@ria.ee, ei lase meie meilisüsteem sellistel võltsingutel inimeseni jõuda). Riik on tänaseks seda standardit juba laialdaselt rakendanud, kuid kahjuks pole enamik ettevõtteid veel seda riski teadvustanud ning mainitud standardi rakendamiseni jõudnud.

Õngitsuslehed veebis

Õngitsuslehtedele inimene iseseisvalt ja tavapäraselt veebis surfates ei jõua. Enamasti külastame ju ikka veebilehti, kuhu meil oligi plaan minna – uudiste jaoks läheme uudisteportaali aadressile, panganduse jaoks pangalehele, ka meilide lugemiseks teame õiget aadressi. Õngitsuslehtedele viivad tavaliselt lingid, mis jõuavad meieni kas e-kirja või mõne sõnumiga. Ka sel puhul on vihjeid, mis võivad õngitsejaid reeta, seega tuleb olla väga tähelepanelik.

Panga saadetud e-kirja puhul me enamasti teame, milline näeb välja õige panga kodulehe aadress: https://www.pank.ee. Aadressile järgneb teinekord ka viide mõnele konkreetsele lehele, nt sügiskampaania leht https://www.pank.ee/sugiskampaania. Internetiaadresside tuleks lugeda järgmiselt:

Internetiaadresside õigsuse kindlaks tegemisel on abiks, kui vaadata, kus asub aadressireal esimene üksik kaldkriips (pildil oranžilt ümberjoonitud), sest just sellest kaldkriipsust hakatakse internetiaadressi lugema. Aadressi loetakse paremalt vasakule ja eraldaja on punkt. Toodud näite puhul viitab „ee“ sellele, et tegemist on Eesti aadressiga, ja sellele eelnev osa „pank“, et tegu on panga aadressiga. Kui e-kirja sees on viide internetipangale näiteks selline: https://pank-ee.com/sugiskampaania, siis näeme aadressi süvenedes ja kaldkriipsust lugema hakates, et aadress on hoopis midagi muud. Visuaalselt tundub tõesti sarnane, kuid lähemal vaatlusel enam mitte.

Kuigi tehnoloogiafirmad, meiliteenuste pakkujad ja riikide küberturvalisuse agentuurid püüavad kodanike kaitsmiseks igati koostööd teha, kasvab üle maailma õngitsuskirjade hulk ja üha rohkem jõuab meie postkastidesse kirju, mille sihtmärgiks on just Eesti inimesed. Tehnoloogia suudab kaitsta teatud maani, kuid kurbade tagajärgede vältimiseks on oluline, et ka inimesed oskaks ohte märgata. Parima kaitse tagab see, kui lisaks teadmiste kasvatamisele kasutaksid ettevõtted ka olemasolevaid tehnoloogilisi lahendusi (standardeid ja parimaid tegutsemisviise), et ka omalt poolt oma kliente õngitsuste eest kaitsta.

Tõnu Tammer
CERT-EE juht


Ülevaade X-Roadi kogukonnaüritusest Helsingis

Eesti kui digiriigi edu sõltub paljuski X-teest, mis võimaldab riigiasutustel ja ettevõtetel efektiivselt ja turvaliselt andmeid vahetada. X-tee on juba aastaid Eesti müügiartikkel ning riigid üle maailma kas juba kasutavad sama tarkvara või astuvad samme, et see kasutusele võtta. 6. septembril Helsingis sai Eestist alguse saanud kogukond kokku. Ürituse ülevaate kirjutas X-tee tootejuht Jürgen Šuvalov.

Septembri esimese reede varahommikul moodustasid suure osa Tallink Mega Stari Comfort Lounge külalistest X-Road Community liikmed. Tunne oli nagu tegemist oleks suguvõsa kokkutulekuga – kohal olid muuhulgas Heiko Vainsalu ja Riho HiiepuuRoksnetist, Tuuli Pärenson Goforest, Marko Valing ja Karl Talumäe Planetwayst, Andres Kütt Proud Engineersist ja suurem osa RIA andmevahetuse osakonnast. Meiega oli kaasas ka Martin Undusk, kes oli muide esimene X-tee tootejuht RIAs (kuni 2012. aastani). Üritus toimus Clarion Hotel Helsinkis ning seda korraldas Nordic Institute for Interoperability Solutions (NIIS). Üritusel oli 150 osalejat 22 riigist.

Ürituse programm

Üritus algas keynote’idega. NIISi CTO ehk tehnoloogiate juht Petteri Kivimäki tutvustas NIISi arendusmudelit ja X-Roadi teekaarti. X-Road versioon 6 teekaardil on märkimisväärsemateks arendusteks uus REST API-l põhinev kasutajaliides ja REST sõnumiprotokolli täiendamine. Järgmine aasta algab X-Road versioon 7 “Unicorn” arendus ning uue versiooni olulisemateks märksõnadeks on:

  • kasutusmugavus
  • uued teenuste kasutamise ja pakkumise viisid (nt Pub/Sub)
  • modulaarsus ja skaleeritavus
  • pilveteenuste tugi
  • ühilduvus EU koosvõime initsiatiividega

NIISI CDO ehk disaini juht Geroli Peedu tutvustas X-Road v7 loomiseks kasutatavat kasutajakeskset teenusdisaini. 


Petteri Kivimäki tutvustamas X-Road teekaarti

Geroli Peedu rääkimas kasutajakesksest disainist

Pärast teda astus lavale Planetway Europe tehnoloogiate juht (CTO) Masakazu Ohtsuka. Planetway on erasektori ettevõtte, kes muuhulgas pakub Jaapani erasektorile X-Roadil põhinevat PlanetCross teenust. Masakazu tutvustas Planetway loodud X-Roadil põhinevat nõusolekuteenust. Ettekanne sisaldas ka live demo, kus kasutaja sai anda telefoni rakenduse kaudu nõusoleku kinnisvaraettevõttele oma andmete küsimiseks teisest kinnisvaraettevõttest.

Eleringi digitaliseerimise arendusjuht Georg Rute tutvustas Estfeedi. Estfeed ühendab energia andmelaod ning võimaldab energiamüüjatel ja teistel teenustel saada ligi tarbijate mõõteandmetele ühest kohast, pakkudes võimalust jaeturud ühendada. Estfeed baseerub X-Roadil andmevahetuse turvalisuse ja jälgitavuse tagamiseks ning lisab X-Roadile vajaliku funktsionaalsuse, et kodanik saaks anda nõusoleku oma andmete jagamiseks. Elering tahab Estfeedi üle Euroopa skaleerida ning isikuandmete kaitse üldmäärus GDPR, peagi jõustuv Puhta Energia Pakett ja noorte loodussõbralikumad tarbimiseelistused loovad eelduse, et turul tekiks sellise teenuse järele nõudlus.


Masakazu Ohtsuka tutvustamas Planetway nõusolekuteenust 

Georg Rute tutvustamas Estfeedi

Paneelarutelul räägiti piiriülese andmevahetusest kasutuslugudest ja õppetundidest. Ville Hyyryläinen tutvustas Emonumi, mis keskendub digitaalse päranduse teenusele, pärides kasutajate surma andmeid rahvastikuregistritest. Räägiti ka piiriülese andmevahetuse takistustest, mis on rohkem juriidilised ja organisatsioonides kinni kui tehnilised. Tõdeti ka, et Euroopas ühte koosvõimelist andmevahetuse lahendust ilmselt kasutada ei saa, kuid meie andmevahetusplatvormid peavad olema võimelised integreeruma.


Paneellarutelu: Ville Hyyryläinen, Miia Mänd, Petteri Kivimäki, Ines Costa

Pärast lõunapausi jätkusid ettekanded kolmes paralleelses sessioonis. Mina kuulasin X-Road REST toe, turvaserveri uue kasutajaliidese, turvaserveri admin API ja pilveteenuste toe ettekandeid. Kuigi enamik teemasid olid mulle NIISi töörühmas osalemise tõttu üpris tuttavad, siis oli hea kuulata teiste küsimusi ja arvamusi neil teemadel.

REST tugi (representational state transfer – kaasaegsem veebiteenuste arhitektuuristiil) tuli X-Roadile esmakordselt 2019. aasta aprillis ning kuigi see on juba praegu toodangukõlbulik, tulevad talle veel järgmises reliisis mõned täiendused, mis teevad REST teenuste pakkumise ja tarbimise veel mugavamaks.

Turvaserveri uus kasutajaliides sai värske ilme ning seekord lähtuti disainis eelkõige kasutajate reaalsetest vajadustest ja soovidest. Kui varem pidi kasutaja näpuga dokumentatsioonis järge ajama, siis uus disain suunab kasutajaid õigesse kohta ning pakub vajadusel rakenduses sees lisainfot tegevuste sooritamiseks.


Turvaserveri uus kasutajaliides – kliendi lisamine turvaserverisse on tehtud viisardiks

Praegune kasutajaliides on tugevalt seotud backendiga. Uus kasutajaliides kasutab aga RESTful APIsid, mis tähendab, et edasijõudnumad kasutajad ei pea enam käsitsi klikkimas käima, et vajalikke haldustegevusi sooritada. See on eriti kasulik näiteks konfigureerimise automatiseerimisel või siis kui on vaja hallata turvaserverite klastrit.

Kuigi Eesti avalikus sektoris on pilve kasutamine mõnevõrra keeruline, siis paljud välismaa asutused ning erasektor ootavad pingsalt, et X-Road tarkvara saaks utiliseerida erinevaid pilveteenuste IaaS ja PaaS lahendusi. Nende puudumine teeb X-Roadi laiema levitamise raskeks. Kuna Amazon AWS-il on hetkel kõige suurem turuosa, siis on X-Roadi puhul alustatud AWSi teenuste toega. Esmajoones luuakse tugi AWS RDS (andmebaas teenusena) ja AWS CloudHSM (HSM teenusena) jaoks, kuna vajadus nende järele on suurim. Kuid uuritakse ka muude teenuste toetamist.


Paralleelselt pilveteenuste toe ettekandega rääkis teises sessioonis Sander Randorg nõusolekuteenuse arendusest Eestis.

Pärast ettekandeid toimus paralleelselt kolm töötuba – lokaalse X-Road arenduskeskkonna püstipanek, X-Road v7 disain ja planeerimine ja X-Road REST tugi 3.0. Mina osalesin X-Road v7 disaini töötoas.

Osalejad jaotati tiimidesse ning neil paluti valida teema, mille üle arutleda. Teemadeks olid:

  • Andmevahetuse mustrid
  • Liitumisprotsess
  • Raporteerimine ja analüütika
  • Toetatud platvormid
  • Usaldustasemed

Meie tiim valis teemaks toetatud platvormid. Tulemus ei olnud kuigi üllatav – leidsime, et Ubuntu ja Red Hat support peab säilima, sest paljudel klientidel ei ole konteinerplatvormide käitamise kompetentsi. Samas X-Roadi laienemiseks ja kaasaegsemate tehnoloogiastackidega klientide jaoks on vajalik modulaarsem arhitektuur, selgemad masinliidesed ja konteinerplatvormide ja pilveteenuste tugi.

Andmevahetuse mustrite osas leiti, et Pub/Sub tugi oleks kasulik. Usaldustasemete osas olid vastuoksuslikud arvamused – üks tiim leidis, et erinevate tasemetega sertifikaatide võimaldamine vähendaks liitumisbarjääri ning toetaks paindlikkust, teine tiim oli aga arvamusel, et usaldustasemete osas ei tohiks paindlikkust turvakaalutlustel lubada.

RIA andmevahetusosakonna inimesed arutlemas usaldustaseme üle

Jan Raik usaldustasemete teema tulemusi ette kandmas

Jürgen Šuvalov ja Marko Valing toetatud platvormide teema tulemusi ette kandmas

Töötubadega lõppes konverentsi töine osa ning üritus jätkus hotelli Sky Roomis haaravate vestlustega. Enne üles siirdumist tegime veel Islandiga cross-border beer exchange’i.

Üritust kokku võttes meeldis mulle enim rahvusvahelise koostöö atmosfäär. X-Road on nüüd maailmas üsna laialt levimas, aga puhtalt Slackis ja GitHubis vesteldes on seda raske tajuda. Kokku tulles ja näost näkku suheldes on aga selge, et X-Road on midagi palju enamat kui kahe Balti riigi avatud lähtekoodiga projekt. 

Ja kui kõik plaanipäraselt läheb, siis järgmise aasta X-Road Communty Event toimub Islandil.


X-Road World Map – rohelised ja sinised on riigis, kus X-Road on kasutuses. Kollased on konsulteerimas/planeerimas.

Ürituse pildid

Ürituse ettekanded

X-Road Community

Jürgen Šuvalov
X-tee tootejuht