Tag Archives: ID-kaart

ID-kaardi tarkvara uueneb

Autor: Anto Veldre, RIA analüütik

Neil päevil avalikustatakse uus väljalase (reliis) ID-kaardi tarkvarast. Tegemist on regulaarse uuendusega, kus lisaks pisiparandustele leidub ka mõningaid päris uusi omadusi ja võimalusi. Umbes nädala jooksul teeb ID-kaardi tarkvara kasutajale tema arvutis ettepaneku, et oleks aeg uuendused alla laadida. Entusiastid saavad reliisi kohe ise alla tirida aadressilt installer.id.ee.

Vaade 4K ekraanilt Philips 288P6

Lühikokkuvõte olulisimast

  • 4K monitoride peal paistavad haldusvahendi ja Digidoc3 aknad nüüd normaalsuuruses. Monitoride lahutusvõime uueneb tänapäeval kiiresti ja uskuge või mitte, arendajatel tuli terve teek välja vahetada, et haldusvahendi aken liiga kribuks ei muutuks.
  • kaasa tuleb TeRa rakendus – riist vanade SHA-1-põhiste .ddoc digiallkirjade ületembeldamiseks. Allpool pikemalt.
  • Olulised täpsustused eritüübiliste allkirjade kehtivuse ja kasutuspiirangute kuvamisel. Allkirja kõlblikkuse tasemeid osutatakse nüüd värviga. Allpool pikemalt.
  • Läti vormingus allkirjadega saab Digidoc3 hakkama oluliselt paremini kui enne. Hurraa!

Lätil on rahvusvahelise .asice kõrval kasutusel ka veel omaenda edoc-vorming.

Reliisiga kaasatulevate muudatuste täielikku nimekirja saab lugeda siit.

Allkirjaredelist

Vanasti oli Eestis elu lihtne – eksisteeris üksainuke jagamatu digiallkiri. Kõik teadsid, mis see on või kuidas selle kehtivust määratleda.

Siis aga, eelmise paari aasta jooksul, jõudis Euroopa Liit meile järele ning kehtestas eIDAS määruse. Mitte kõik riigid ei lenda e-allkirja mõttes stratosfääris, mõnel on hoopis tagasihoidlikumad allkirja andmise vahendid. eIDAS sätestab allkirjadele neli võimalikku (kvaliteedi)taset. Allkirjade tasemeid oleme ka varem käsitlenud siin ja seal, selle pisinüansiga, et SE237 nimeline eelnõu on vahepeal Riigikogus ära tembeldatud ning muutunud E-identimise ja e-tehingute usaldusteenuste seaduseks (EUTS).

e-allkirjade tasemed. Autor: Anto Veldre

Lühikokkuvõte: e-allkirju on eIDASe järgi nüüd neli kategooriat (tegelikult pigem kolm asjalikku kategooriat ja siis lisaks veel “muu”). Täna ronime redelist allasuunas ja alustame kõige ülemisest ja tähtsamast pulgast:

1. QES (Qualified Electronic Signature) – e-allkirja kõrgeim tase – antud turvalises seadmes (nagu ID-kaart või m-ID) paikneva kvalifitseeritud sertifikaadiga (see peen väljend tähendab, et nii kaardiomaniku kui väljastaja taust on kontrollitud). Lisaks peab isikusertifikaatide väljanägemine vastama ELi tehnonõuetele (mingi asjalik algoritm ja vorming). Kõige tipuks peab allkirja andmise seade (tõuken, volitustõend) ise olema korralikult uuritud ja kõlbulikuks tunnistatud. Kas kõik tundsid ära – see ongi meie ID-kaart!

2. AdES/QC – Täiustatud (Advanced) e-allkiri koos kvalifitseeritud sertifikaadiga (Qualified Certificate). Kontrollitud olgu nii allkirjaomaniku taust (seda teeb meil PPA) kui ka sertifikaadiväljastaja (meil SK) taust. Ikkagi peab isikusertifikaatide väljanägemine vastama ELi tehnonõuetele (mingi asjalik algoritm ja vorming). Enamik ELi allkirju kuuluvad just siia gruppi, SmartID seni veel ka. Selle grupi krüptograafiakandja ei pruugi olla läbi uuritud ega ära sertifitseeritud. Vastik legaalprobleem QS allkirjade juures tekib ELi nõudest, et selsamal hetkel, kui meie riigisektor kohalikke QS e-allkirju aktsepteeriks, tekiks riigil automaatselt kohustus aktsepteerida ka kõigi teiste ELi riikide QS-taseme allkirju – ja neid on meeletu kogus.

3. AdES (Advanced Electronic Signature) – kõige nirum, kuid siiski veel mõnevõrra asjalik e-allkirja tase. Taustu ega riistu eriti ei kontrollita, üksnes sertifikaat peab ELi tehnonõuetele vastama.

4. Kõige madalam tase, ehk “Muuuuu!”  Ei mingeid nõudeid. Näiteks Telia mehhaaniku nühvliekraanile krihvliga antav omakäeline allkiri kuulub just siia gruppi.

Terminoloogia

Koll on peidus seal, et kui varem kasutati ühtainukest terminit – digiallkiri, siis nüüd on termineid mitu:

e-allkiri – ükskõik missugusesse nelja gruppi kuuluv ilmastikunähtus;
digiallkiri – QES (ehk siis kõrgeimale) tasemele vastav e-allkiri. Juriidilist selgitust vt EUTS §24.

Kasutusknihvid

Nagu aru saite, digiallkiri ja e-allkiri on mõnevõrra erinevad asjad. Esimene sisaldub teises.

Riigisektor reeglina muid e-allkirju ei tunnista, kui juba kasutusel olevad digiallkirju (QES ehk kõrgeim tase, võrdsustatud omakäelise allkirjaga). Tulevikus ei saa midagi välistada, aga hetkel pole silmapiiril lahendusi, mida saaks riik pruukida ilma umbes 100 seaduseteksti muutmata ning sunduseta tunnistada ELi allkirjade märkimisväärset paljusust. Samas, riigil ja kohalikel omavalitsustel on protsesse, kus saab suhelda ka üldse allkirja (saati e-allkirja) kasutamata: nt võib saata e-kirja või faksi. Samas kui allkirja juba nõutakse, siis ikkagi üksnes digiallkirja.

Vilgas erasektor aga otsib täpsemaid optimume – näiteks SmartID näol. SmartID täna vastab AdES/QC tasemele ja kui neil õnnestub teatavad hindamisprotseduurid läbida, pole välistatud, et nad aasta-paari jooksul tõusevadki QES tasemele.

Lihtne, kas pole?!

Ole DigiDoc3 kasutamisel hoolas!

Kokkuvõttes – kasutaja elu läks just oluliselt keerulisemaks. Enam ei piisa allkirja kehtivuse tuvastamisest. Kehtib küll, aga tase pole see, järelikult näiteks riigiasutusega suhtlemiseks ei sobi.

QES ehk Tõeline Digiallkiri (TM) näeb välja selline (märka rohelist värvi! – on kehtiv – ning tea, et vaid see allkiri on omakäelisega võrdsustatud:

Kui vajutada menüüpunktile “Vaata üksikasju”, siis on Digidoc kõigega väga rahul, mingeidki virinaid allkirja kvaliteedi üle ei ilmne:

Seevastu näiteks Smart-ID abil antud e-allkiri näeb DigiDoc3 utiliidis välja pisut teisiti (märka KOLLAST värvi!):

Maailma üks esimesi SmartID abil antud allkirju

Allkiri on igati kehtiv (roheline värv), ent kuivõrd Smart-ID alles astub samme, et QES tasemele sertifitseeruda, siis on KOLLASEGA lisatud sõna “PIIRANGUD“. Vajutades menüüpunktile “Vaata üksikasju” on võimalik piirangu olemust lähemalt uurida:

Seega, kollast nähes peaks kasutaja aru saama, et kusagil nurga taga on veel mingi aga. Menüüpunktil “Vaata üksikasju” klikkides avaneb uus aken, kus seletatakse ära, mis täpselt on konkreetse aga tähendus.

SmartID puhul peitub “piirangu” põhjus asjaolus, et seda pole veel jõutud QES tasemele sertifitseerida, mõne teise riigi mõne teise allkirja puhul võib piirangu põhjuseks olla midagi muud.

Jäta meelde!: riigiasutustes kõlbab endiselt üksnes QES ehk digiallkiri ehk see allkiri, mida näidatakse roheliselt. Samas, kui piiranguga allkirja on andnud ELi muu riigi kodanik, siis on juristide otsustada, mida säärase e-allkirjaga Eesti oludes üldse peale hakata – kas aktsepteerida või mitte.

Usun, et ELi eIDAS-süsteemile üleminek põhjustab kasutajates alul parasjagu segadust. On ju meil nüüd ühe normaalse digiallkirja asemel tervelt neli erinevat taset. Praktikas on vaid eIDASe allkirjaredeli kahel ülemisel tasemel Eestis mingi kasutusala. Ometi usun, et igaüks saab pisukese harjutamise peale need tasemed selgeks, nii et marss harjutama!

Lõpuks, leidub allkirju, mille puhul ei räägita enam mitte piirangust, vaid suisa hoiatusest. Enamasti on tegemist juhtudega, kus mõni arendaja on eksinud tehnilise vormingu suhtes. Hoiatusega allkirja kohates tuleks konsulteerida spetsialistiga – näiteks kirjutada aadressil help@ria.ee.

TeRa rakendus

TeRa (ehk Tembeldamise Rakendus) on mõeldud hapuks minevate digiallkirjade karjakaupa ärapäästmiseks Sinu arvutis.

Mure iseenesest tuleneb asjaolust, et Eestis on digiallkiri kasutusel juba 15 aastat. Esimesed digiallkirjad põhinesid räsialgoritmil SHA-1, mis tänaseks on räbalateks kuhtumas. Iseenesest pole siin midagi valesti – e-riigis tulebki arvestada, et algoritmid pidevalt täiustuvad ja et vanad algoritmid pole enam nii murdmiskindlad. Nii see hakkabki tulevikus olema, et iga n aasta tagant tuleb krüptograafialahendusi uuendada. Aga et see juhtus alles esimest korda, siis konservatiivid alles tõrguvad säärast perspektiivi uskumast…

Muide, ka SHA-1 räsialgoritmi kuhtumisest oleme varem kirjutanud.

Otse öeldes, kui Sina ei otsi üles oma olulisi digiallkirju ega tembelda neid TeRa abil üle mõne nüüdisaegsema algoritmiga, siis võib tulevikus tekkida sekeldusi. RIA itimehed ei saa küll ühtki allkirja lambist kehtetuks tunnistada, kuid kui tekib vaidlus, allkirjastatud dokumentidele “tekivad” erinevad sisud, siis neist õige tuvastamiseks võib juristidele kuluda väga palju aega ja raha.

Uued räsialgoritmid on murdmiskindlamad ja annavad eelmistest pikema väljundi

TeRa on mõeldud kodukasutajale oma hapuksminevate SHA-1 algoritmil põhinevate digiallkirjade päästmiseks. Rakendus tuleb käima panna ning ta otsib ise arvutist üles kõik vananevad digiallkirjad ning pistab need uude, krüptograafiliselt murdmiskindlasse konteinerisse (mis, hmm, loodetavasti peab vastu järgmised 10 aastat).

Vajadusel võib lugeda TeRa kasutusjuhendit.

Asutustele ja firmadele, kus vorbitakse sadu tuhandeid digiallkirju, kujuneb ületembeldus parajaks pähkliks, ent pole kahtlust, et nad mainituga hakkama saavad. Ühtlasi on asutustele loodud TeRa käsurearakendus.

TeRa protsessi voog arhitektuurinõukogu ajalooliselt slaidilt, BDOC asemel täna tegelikult moodustatakse juba ASIC-S vormingus fail. Teinegi oluline muudatus: DDOC faile tegelikult ei kustutata, need jäävad kasutajale kenasti alles.

Mis kuupäevaks peaksid kodused allkirjad saama üle tembeldatud? Hetkel hindab RIA, et 1. juuliks 2018. Ent ütleme ausalt välja, kui mõni vahepeal ilmunud krüptograafiline uuring SHA-1 algoritmi päris ribadeks kisub, eks siis tuleb ka riskid uuesti ümber hinnata.

Kartaago hävitamisest

Ehkki alljärgnev pole otseselt tänase päeva teema, palun mine ja uuenda ühtlasi ära ka oma sertifikaadid ID-kaardi sees. Nimelt, väga suur kogus sertifikaate on säärased, mida alates 1. juulist 2017 enam uuendada ei saa.

Kui jätad oma sertifikaadid enne 1. juulit uuendamata, tekib Sul risk, et mõned internetisirvikud enam ei soovi Sinu ID-kaardiga koostööd teha või Sind ei lasta sääraste sertifikaatidega enam mõnesse olulisse e-teenusesse sisse.

Märka hüüumärki!

Kui jätta 1. juuliks oma sertifikaadid uuendamata, siis küll midagi fataalset ei juhtu (ei võeta valimisõigust kelleltki ära vms) ja PPA teenindussaalist saab alati uue ID-kaardi, kuid paraku juba üldises järjekorras ja raha eest.

Küülikukasvatusest e-riigis

Anto Veldre, analüütik

Allikas: fanpop.com

Veebruari lõpus avaldas Google värske uurimuse vanadusnõdra SHA-1 protokolli peatsest surmast. Kulutati 110 000 dollarit, üüriti Amazoni pilveressurssi ning suudeti tekitada kaks erineva sisuga, kuid sama räsiga PDF-faili.

Misjärel keegi küsis minult, mis on SHA-1 “probleemipuntra” tähendus Eesti e-riigile või äraseletatult – kas see ongi e-riigi lõpp? Edasise mõistmiseks vajalikku krüptograafia algkursust ei suuda mina maha pidada, kuid mõned alustõed kordan ikkagi üle.

Kogu digitaalne allkirjastamine põhineb eeldusel, et dokumendist saab räsi arvutada ja on üsna loomulik, et eri dokumentide räsi on erinev. Sellegipoolest, vastus küsimusele, kas e-riik ja kogu digitaalne majandus kukuvadki nüüd päevapealt kokku, on ka täna kindel EI! Elu planeedil Maa kestab kenasti edasi, nagu ka e-riik.

Sest ega keegi pole ju kunagi arvanudki, et kui keskmine 5MB DOC-fail “kokku suruda” 160 bitiks (ehk 20 baidiks), siis “teisikuid” ei leidu. Otse loomulikult teisikuid leidub, iseasi, kui keeruline on selliseid arvutada või kui mõistliku sisuga need on – kas need üldse DOC-failiks kvalifitseeruvad.

Räsialgoritmide erikavalus seisneb teatavasti asjaolus, et vaid üheainsa baidi muutumisel sisendis muutuvad väljundis ära kõik baidid. Räsist ja räsimisest on meil siin varemgi juttu olnud ja SHA-1 peatset surma on ka juba päris mitu oraaklit ennustanud.

Mustkunstist

Seevastu, kui suudetakse kaabust välja tirida kaks ERINEVAT faili, millel ometigi on sama räsi, siis teadlased ütlevad, et nüüd on tegu kollisiooniga. Google suutis sellised kaks (kollideeruvat) faili SHA-1 jaoks ära tekitada. See siin on esimene fail ja see on teine. Vaatle neid faile hardunult ja mõtiskle!

Ent nagu iga kena maagia puhul, kõvema paugu tegemiseks jäetakse üht-teist ka rääkimata.

Eelkõige – miks ikkagi toimub norimine just PDF-faili kallal? Sest läänemaailma tädi Maalile on digiallkirja kandva *.pdf faili narrimine oluliselt arusaadavam, kui mõistujutt e-Narnia failivormingutest. Kui kübaratrikki lähemalt uurida, siis PDF on üksnes kest, tegelikult trikitatakse seal sees paikneva *.jpeg pildifailiga, veel täpsemini aga sinise ja punase taustavärviga. PDF kesta otstarve antud juhtumis pigem on suitsu massiivsem peegeldamine…

Allikas: https://i.stack.imgur.com/aTuEO.png

Jänestest

Muide, kollisioone on erinevaid. Üks kaval nipp kaabust samatriibulisi jäneseid välja tõmmata on omada jänesekasvatusi kusagil Ketsemani või Amazoni aedades. Aia ühest otsast üha visatakse sisse porgandeid ja kapsaid (näiteks 110 000 dollari eest), teisest otsast veetakse käruga põlluväetist välja, ent keskel sigineb karjakaupa mitmevärvilisi jänkupoisse. Kutsutakse fotograaf, kes otsib saja-tuhande-pealise küülikukarja seest kaks enam-vähem sarnase naeratusega jänkut välja ja pistab need kaabusse, kust fakiir nad tund hiljem laval kaabust ühekorraga välja tõmbab. Done.

Säärast luksust Amazoni aias muidugi ei juhtu, et korraga sünniksid kaksikud jänkupoisid, kellest ühel on hambus (või triipkoodiga karvastikku kodeeritud) majamüügileping 56 794 eurole ja teisel sama maja sama müügileping juba 97 257 eurole. Samaräsilisi, kuid erisisulisi jänkukaksikuid võib korraga sündida mitmeid; kui hästi otsida, siis ehk kolmikuidki, kuid keegi pole veel näinud juba sündinud jäneseid konkreetseks dokumendivõltsinguks vajaliku triipkoodi või rahanumbriga.

Küll aga teeks e-riigile lõpu originaalirünne (aitäh, kallis AS Cybernetica, et lõpuks ometi kohtan IT-uudist, mille edasiandmiseks vajalikud sõnad on eesti keeles juba eelnevalt olemas!).

Originaalirünne on see, kui ostad Amazoni aia turult triibulise jänese (originaali) ning siis lähed Ketsemani aiast otsima tema peegeltriipudes kaksikut. Teooria nii koledat juhust päriselt ei välista, ent väidetavalt Fortuuna 110 000 dollari eest veel (kaksikut) kätte ei anna.

Ning lõpuks, kui õnnestub SHA-1 õigeaegselt välja vahetada, näiteks SHA-256 vastu (ja hiljem järjest järgmise räsialgoritmi vastu), siis kestab e-riik igavesti edasi tükkis oma rõõmudega. Ainuke lahendamist väärt mure on kõigi triibuliste jäneste igakordne ületembeldamine enne järjekordse originaaliründe leiutamist.

Tänase teadmise kohaselt saab TeRa nimeline üleallkirjastamislahendus (vt 2016-04-20 arhitektuurinõukogu, slaidid 22, 23) RIAs valmis juba kuu või kahe pärast ning loodetavasti ei valmi SHA-1 originaalirünne enne seda. Ah jah, nagu iga programmiga, riik siiski kasutaja arvutis peremehetsema ei hakka, ikka kasutajal endal tuleb kõik oma USB-pulgad ja välised kõvakettad arvutile külge võtta ning seejärel ületembeldi käima käsutada. Hetkel võiks mõelda sedasi, et hiljemalt aasta 2018 lõpuks tuleks oma vanade *.ddoc failide ümbertembeldus ära sooritada.

TeRa protsessi voog arhitektuurinõukogu slaidilt

Asjadest, mis kohe täna kokku kukuvad

Siiski kaks teemat, kus pirrud põlevad Google’i uudise valguses heleda leegiga ning kus SHA-1 tapmisega tuleb tegeleda KOHE ja viivitamatult.

  1. umbes 10 000 m-ID SIM-kaarti, mille sertifikaadid juba kutsutigi PPA otsusega tagasi. Teade ise näeb välja selline ja mulle koju saabus juba ka ümbrik uue SIM-kaardiga:

Allikas: kuvatõmmis

2. ja siis need mahajäänud ITga küülikuaretuskontorid, mis jätkuvalt toodavad muldvanu *.ddoc faile. DDOC mäletatavasti kasutas SHA-1 räsialgoritmi ja üksnes seda. Üks räpane saladus on veel – nimelt ka *.bdoc allkirjavormingu kõige esmasem versioon kasutas SHA-1 algoritmi. Mis paraku tähendab, et pelgalt BDOC nimetus audiitori eest ei päästa, ikka tuleb versiooninumbrit ka kaeda.

Kui oleks minu ainuisikuline otsus, siis mina (juba mainitud) 1. aprillist 2017 enam selliseid DDOC-faile vastu ei võtaks, millel täiendavat ajatemplit küljes pole. Kõige kindlam oleks täna ikkagi juba ASiC-E (a.k.a. BDOC-TS vorming) suunas vaadata, see on hetkel kõige pikema elueaga ning täiesti eurokõlbulik allkirjavorming.

Moraal: kallid infosüsteemiomanikud, lugege ülaltpoolt, et/miks lihtkollisiooni tekitada on oluliselt lihtsam kui originaalirünnakut! Kui te ei soovi häkkereid oma süsteemi küülikuid paaritama, siis palun visake DDOC oma infosüsteemist ülikiiresti välja, tegelikult pidite te seda ju tegema juba aasta eest!.

Tembeldamisest

Siinkohal kiirkursus tembeldamisest ja sertifikaadiahelatest. (Muide, sertifikaadipuu hargneb ülalt alla nagu parsil rippuv potilill.)

Kõige tipus on juursertifikaat. Tema puhul pole vahet, kust ta saadi või mis algoritmiga ta ära räsiti, sest juur lihtsalt leiutatakse ja publitseeritakse. Ja kõik teavad, et see on juur. Nii lihtne ongi. Juurelt mingit tõupuhtust ei nõuta – võib täitsa olla SHA-1 kasutusel – peaasi, et mingi kindel ankur oleks, kuhu alla usaldusteenust sedasi aretada.

Juurikale allub vahesertifikaat, mille puhul räsiprotokolli valik on juba vägagi tähtis. Meenutame – originaalirünnet on oluliselt keerulisem teostada kui kollisioonrünnet.

Vahesertifikaadist rääkides, Eestis tembeldati isikusertifikaate pikka aega asjandusega, mil nimeks ESTEID-SK 2011. Ja sinna juurde käis lahutamatu osana SHA-1 abil räsimine. Alles aasta 2015 lõpus tekitati uus asjandus nimega ESTEID-SK 2015, mille puhul räsimine hakkas toimuma SHA-256 abil (ning kasutusele võeti see veelgi hiljem).

Äraseletatult: kui inimestele väljastatavat kola tembeldataks endiselt SHA-1 abil, siis tänase teadmisega saaksid templile ligipääsevad isikud küülikuid sobitada (hinnaklass 110 000 dollarit). Ent kuivõrd Eestis isikusertifikaate juba mõnda aega väljastatakse SHA-256 abil, siis küülikurünne templi asupaigas enam läbi ei lähe. Ja originaalirünne SHA-1-le pole, nagu krüptograafid seda eufemistlikult väljenduvad, täna veel praktiline. Teisisõnu – võimalikul oponendil ei jätku arvutusvõimsuse ostmiseks pappi, mistõttu lambist uusi isikusertifikaate kloonida ei saa (eraldi küsimuse – kui saaks, siis kuidas need ID-kaardi sisse satuksid? – jätame lugejale vastamiseks).

Sestap, kui soovime, et meie isikusertifikaadid oleksid kristallpuhtad ehk pärineksid täiesti patuvabast ahelast (keel ei keerdu ütlema: rassipuhtast), siis sääraseid sertifikaate hakati tõepoolest väljastama alles 2015 teises pooles (need õnnelikud 300 000 sertifikaati, kel pole ei patust esivanemat ega „negatiivset“ moodulit).

Koletu mass isikusertifikaate vahemikus 2011–2015 (600 000) aga omab tänases uustõlgenduses “kahtlast” SHA-1 esivanemat. Puristliku esteetika huvides võiks säärastest sertifikaatidest lõpuks lahti saada. Ja isegi kui neist päris lahti ei saa, siis ei ID-kaardi tarkvaraga ega DigiDoc portaalis ei õnnestu DDOC-vormingus (ning seetõttu) SHA-1 räsitud allkirju anda juba ammu.

Seega, järelejäänud ohtudest kõige koledam ongi, kui allkirjastatavat dokumenti ennast SHA-1 abil räsitaks. Siis saaks küülikuid sobitada igaüks omaenda kodus omaenda koduarvutiga. Igalt poolt mujalt on see sõjakoledus tänaseks välja viidud, v.a eespool mainitud *.ddoc faile tootvad pärandsüsteemid.

Kauguuendamisest

Olukord, kus pool käigusolevast dokumendimassist vajaks uuendamist, võtaks käpuli iga riigi, v.a muidugi Eesti, kuivõrd meil siin on olemas mehhanism ID-kaardi sertifikaatide kauguuendamiseks. Uutmisest endast on varem korduvalt juttu olnud. 1,29-miljonilisest kaardimassist on kauguuendatavaid kaarte kokku 900 000 (loe: 390 000 kaarti pole kauguuendatavad niikuinii). Asjal on siiski juures ka pisike konks, omakorda 600 000 kaarti saab kauguuendada üksnes juhul, kui uuendada enne 1. juulit 2017.

Kust tuleb ajapiirang?

Ühest küljest, kui isikusertifikaadil on ahelas sees mõni “ebapuhas” esivanem”, siis oleks omanikul kaval see sertifikaat vahetada (et sirvikutootjatele mitte hambusse jääda). Põhjusi, miks sertifikaate uuendada ja IT-maailma vägevaid seapraega mitte ärritada, on tegelikult rohkemgi, sealhulgas kurikuulus “negatiivne moodul”. Täpset kuupäeva, millal IT-maailma vägevad sirvikutes “kahtlasi” sertifikaate kimbutama kavatsevad hakata, ei oska keegi ette ennustada.

Teisalt, usaldusteenuste eurostandardid lähevad järjest karmimaks. Euroopa keeras hiljuti kõvemaks nõudeid selles osas, mida kõike peab üks koššer sertifikaat sisaldama. Kaarditooriku ühele teatud mudelile aastast 2011, mida me siin Eestis massiliselt kasutame, ei mahu viimastele euronõuetele vastav sertifikaat lihtsalt enam ära. Kuupäev, millest alates EL hakkab liikmesriiki peksma, on 1. juuli 2017. Sealt alates tohime väljastada vaid sertifikaate, mis oleksid koššer ja halal ühekorraga.

Mis juhtub, kui need 600 000 kaardiomanikku kohe uuendama ei tõtta? Kohe täna ei juhtugi midagi. Ometigi on tegutsemiseks jäänud vaid neli kuud. Kell kukub 1. juuliks 2017. Kui kauguuendamise väärtuslik mõte peaks pähe torkama pärast seda kuupäeva, siis tuleb juba teeninduspunkti minna ja sealt üldse uus kaart saada, mis tähendab aja- ning rahakulu.

Tänaseks on ID-kaarte kauguuendatud pisut üle 100 000. Arvutame uutmistempo: Üksteist kuud ja sada tuhat …  ehk siis senine uutmismaht on olnud keskmiselt 300 kaarti päevas.

Eelpool mainisime toredat numbrit 600 000. Et 1. juuliks valmis jõuda, peaks uuendamistempo olema 5000 kaarti päevas. Mis tähendab uuendamistempo 16-kordset tõusu.

Mis saab neist 300 000 kaardist, mis jäävad kauguuendusvõimelise 900 000 ja euroaeguva 600 000 vahele? Neid saab (vajaduse tekkides) kauguuendada ka pärast 1. juulit – tegemist on uuema toorikumudeliga, kuhu kõik euronõuded kenasti peale ära mahuvad.

Mis juhtub sertifikaatidega, mis jäeti 1. juuliks uuendamata? Mainitud 600 000 kaarti töötavad kenasti edasi – kuniks sertifikaadi kuupäev täis tiksub või kuniks sirvikutootjad kasutajaid ahistama asuvad (st kui ikka on põhjust ahistada). Kõige suurem risk ongi see, et Google, Microsoft või keegi IT-maailma suurtegijatest läheb purismiga liiale ning keelab oma sirvikutes mitte üksnes otseselt SHA-1 pruukinud sertifikaadid, vaid takistab ka olulisemalt suuremat hulka sertifikaate – selliseid,  mille vanemate hulgas esineb ebatõupuhtust (ehk SHA-1 vahesertifikaat).

Kuna Eesti olukord on unikaalne, meil on iga tädi Maali käsutusse antud rohkem isikusertifikaate, kui mistahes teises riigis, kus paanika käib põhiliselt serverisertifikaatide ümber, siis pole võimalik ennustada, missuguse meetodiga suured tootjad kavatsevad SHA-1 välja rookida. Kuniks rookimisele lähevad vaid serverisertifikaadid, siis meil siin ohtu pole.

Kuid kui IT-maailma vägevatel peaks X-kuupäeval tekkima kiusatus kogu SHA-1 tugi tervikuna sirvikust välja visata, siis satub sekundipealt hätta tänane kuuesajatuhandeline kogus ID-kaarte. Sest kui sirvikust SHA-1 tugi puudu, siis pole enam tehniliselt võimalik tollase EstEID-2011 vahesertifikaadi õigsust kontrollida. Tõenäosus, et see lollus ära tehakse on väike, kuid välistada seda paraku ei saa.

ID-kaardi tarkvara paigaldamine (eellugu)

Autor: Anto Veldre, analüütik

Aeg-ajalt kuuldub sotsiaalvõrgustikes, blogisabades ja kommentaariumites hüüatusi stiilis, et ID-kaart “ei tööta”. Tehniku vaatevinklist kõlab säärane avaldus pikantselt, sest keeruline süsteem teatavasti ei lähe kunagi rikki täies ulatuses, jama põhjustab ikka mingi üks konkreetne detail. Võrdluses autoga: ei juhtu ju sedasi, et kogu auto korraga lakkaks töötamast – ikka leidub mõni konkreetsem põhjus: tuksis on kas klaasipuhastaja, pidurid, rool või vasak suunatuli. Mehhaaniku kuldreegli kohaselt tuleb see rikkis detail (või halvemal juhul kaks) üles leida ning vahetada.

Riigi Infosüsteemi Amet (ID-kaardi valdkonna arendaja ning suunajana) on otseselt huvitatud ID-kaardi tarkvara kohta käivast tagasisidest. Kuidas teha ID-kaardi kasutamine mugavaks ja sujuvaks? Kuidas tõsta kodanike rahuolu? Tõstmaks kasutuskogemuse taset (khhm, veelgi), võtsin ette ID-kaardi tarkvara ja installeerimisprotseduurid ning hindasin seda kõike oma kurja ning kriitilise silmaga. Kogetu tulemusel valmis pisut teistmoodi installeerimisjuhend, mis ongi nüüd teie ees.

Kokku on sel kirjutisel viis osa: teooria (siinses postituses), praktika (selgitab ID-kaardi tarkvara installimise imetabaseid nüansse) ning kolm konkreetset jupikest – üks iga toetatud operatsioonisüsteemi (opsüsteemi) kohta: Microsoft, Linux ja MacOS X.

Selles osas selgitan ümbritseva maailma mõningaid seaduspärasusi, andmaks aimu, miks mõned ID-kaardi ökosüsteemiga seotud valikud on just sellised nagu need parajasti on, ning hindamaks reserve tarkvara kasutatavuse tõstmisel. Selle osa võiks kokku võtta nii: milline osa süüst kelle kapsaaeda kuulub.

Autor: Anto Veldre

Tase: algaja

Abiliinile pöördumiste statistika (miks minu ID-kaart “ei tööta”?) paljastab mõne lausa uskumatu stsenaariumi. Kaardi valepidi lugejasse pistmine on üks esimesi ja tähtsamaid põhjusi, miks ID-kaart „ei tööta“. Mäletan vanu ID-kaarte (kuni 2010-01-01), millel kiip ja näopilt paiknesid samal küljel. Nendega oli asi lihtne – kaart tuli panna lugejasse inimese moodi: nägu ülespidi, silmsidet säilitades. Täna on asi keerulisem – kaart tuleb lugejasse pista Euroopa moodi: kiip ees, kuid nägu põranda poole. See ebaintuitiivne käsitsusviis toob paraku kaasa segadust ja solvumistki. Eks ole ju piinlik, kui abiliin küsib: kas teil on kaart ikka õigetpidi sees?!

Peamise kolme põhjuse hulgas, miks ID-kaart “ei tööta”, leidub põhjus “isik ei tea oma PIN-koode”. Olgem ausad, ID-kaart turvatootena mitte üksnes ei saa ilma (õigete) PIN-koodideta töötada, vaid ei tohigi. Iseenesest kurb stsenaarium, sest abiliinil tagavarakoode anda pole ja sestap süü kui selline jääb plastiku kanda…

Allikas: kuvatõmmis

Pidisuse ja PIN-koodi probleemid tunduvad sürrealistlike ja halenaljakatena, ent tegu on tegelike muredega, millele kulub suur osa abiliini jõudlusest.

Veel üks huvitav probleem, millega algaja põrkub, on ajalõpp (timeout). Kui molutada, näiteks teha sisselogimisprotseduurist ekraanipilte (nagu mina) või käia vahepeal sahtlist PIN-koode otsimas (nagu vanaema), siis tiksuvad sekundid kiiresti aia taha ning kaardikasutustoiming võib ebaõnnestuda.

Sestap moraal: kuniks PIN-koodid pole käes või peas, ära autentimis- ja allkirjastamistoimingut üldse üritagi, kohmerdamiseks ei jäeta aega.

Tase: edasijõudnu

Minu ID-kaart “ei tööta” endiselt – no miks ometi?! Sageli on põhjuseks aegunud tarkvara. Varem arvati ühiskonnas, et on igaühe oma asi, kui vana tarkvara ta pruugib. Tänaseks muutub reaalsus nii kiiresti, et vaid paar viimast versiooni mistahes tarkvarast töötavad korralikult. Kes ei usu, proovigu paigaldada operatsioonisüsteemi Windows NT 3.52 ja vaadaku, missuguste probleemidega ta ürituse käigus kokku puutub.

Mingit hulka inimesi (tänase seisuga u 2% kasutajatest) pahandab, kui nende muldvana Windows XP või Vista enam ID-kaardiga koostööd ei tee. Ometi on põhjus lihtne – tootja (antud juhul Microsoft) on vanad operatsioonisüsteemid maha kandnud, ei väljasta neile enam turvapaiku ega paranda vigu. Mistõttu pole riigil mõistlik ka ID-kaardi tarkvara uuematesse versioonidesse vanakraamituge lisada (pole otstarbekas ID-kaardiga “turvata” eset, mis pole enam ammu turvaline ega muutu selliseks ka ID-kaardi toel). Linuxi maailmas on olukord väga sarnane:

Aegunud tarkvara. Allikas: kuvatõmmis

Ühtlasi pole mõtet pruukida mõne aasta tagust ID-kaardi tarkvara. Digisfääri areng on olnud sedavõrd kiire, et ID-tarkvara vanemad versioonid ei suuda enam muutunud reaalsusega suhelda.

Põhjusi, miks ID-kaardi tarkvara vanemad versioonid enam ei päde, on päris mitu:

  • rahaline otstarbekus – kõiki maailma operatsioonisüsteeme ei jaksa Eesti maksumaksja oma rahakotist ülal pidada. Tuleb teha valik ja toetada vaid seda, mida enim kasutatakse.
  • standardite ning vormingute muutus – mõne aasta jooksul toimunud muutused:
    • kasutusele on tulnud SHA-2 räsiprotokolli pruukivad ID-kaardid,
    • kasutusele on tulnud Euroopaga sobiv digiallkirja vorming ASiC-E, käibelt on välja viidud vana DDOC-vorming;
    • vastavalt Euroopa nõuetele on täiesti muutunud usaldusankru süsteem (koht, kust Trusted List ehk TL saadakse);
    • TL faili sisemine vorming on paari viimase versiooni käigus uuenenud nii, et vanad programmid ei suuda seda mõtestada.
  • ID-kaardil paiknevate sertifikaatide uuendamise võime tekkis tarkvarasse suhteliselt hiljuti.

Kokkuvõttes: Uuenda! Võiks kujuneda heaks rahvakombeks, et kõigepealt paigaldatakse ID-kaardi tarkvarast kõige viimane versioon. Selle saab lehelt installer.id.ee. Ja alles siis häälitakse teemal töötab / ei tööta.

Tase: ekspert

No aga minu ID-kaart “ei tööta” endiselt. Nüüd hakkame jõudma tõeliste probleemideni. Hakkame rääkima infotehnoloogia arengu ajaloost, et maha panna selge märk, kus me täna asume.

Kui Tim Berners-Lee internetisirviku (brauseri) leiutas, siis alul peeti seda eset mänguasjaks. Pisut hiljem hakati sirvikut aga kasutama absoluutselt kõigeks, eriti panganduses. Eesti oli turvalise internetipanganduse üks pioneere. Põhjusel, et meil anti käiku toimiv ID-kaart, pääsesime aastatel 2004–2005 ikka väga paljudest internetipanganduse ja identiteedivarguste lastehaigustest, vt teadustöö aastast 2012.

Välismaal aga muudkui varastati sirviku abil, häkkerid treisid koledaid viirusi sirviku küüru otsa. Kui lõpuks aastatel 2014–2015 avastati hirmsad turvaaugud seni turvaliseks peetud https protokolli osistest, siis oligi revolutsioon käes. Maailmale sai lõpuks selgeks, et ülikasulik ese nimega sirvik/brauser on ühtlasi väga ohtlik ese, mille vanaviisi edasi pruukimine võib kasutaja rahast ilma jätta.

Allikas: heartbleed.com

(Eraisiku-pool minus küsib nüüd minu riigitöötaja-poolelt: mida hekki, kas te kogu selle aja tarvitasitegi Eesti ID-kaardi jaoks seda jõle ebaturvalist tehnoloogiat? 😉 Tegelikult sobisid brauseri küüru peal paiknevad BHO ja muud pluginad omasse aega päris kenasti ja olid tollal ka piisavalt turvalised… Kuniks ümbrus muutus: Interneti ja sirvikute kasutamine kasvas totaalseks ning internetikuritegevus sai tuule tiibadesse. Olukord muutus siis, kui netti asusid ööpäevaringselt pruukima nii vanaemad kui lasteaialapsed. Muutuse põhjuseks olid tehnoloogiavead koostoimes kasutajate üha langeva kvaliteediga. Et infoühiskond kokku ei kukuks, tuli hakata kasutajat kaitsma tema enda käitumislolluste eest.)

Allikas: Australian Institute of Criminology, http://www.aic.gov.au/media_library/conferences/other/smith_russell/2010-09-nfa.pdf

Ja siis see juhtuski – sirvikutootjad hakkasid brauserite siseehitust pingule kruvima (turvalisus vs mugavus). Selleks, et Eesti ID-kaart saaks sirviku otsas edasi elada ja transaktsioone allkirjastada, pidid ID-kaardi tarkvara loojad sisenema ebamugavustsooni. Endiselt vajatakse sirviku otsa mooduleid / pluginaid / abilisi, kuid oh häda, sirvikutootjad on plugina paigaldamise muutnud kole keeruliseks – nõuavad digisigneerimist jms. Miks? No ikka selleks, et lollkasutaja kogemata OK-nuppu ei litsuks ega “uskumatult hea pakkumise” peale oma sirvikule ise pahavara selga ei installeeriks.

Vahepeal arenesid edasi ka pluginate standardid. Mistõttu RIA valmistas uue jubina nimega “(Firefox) Token Signing”. Et allkirjastamine brauseris vunkaks, tuleb jubin installeerida ning tema kasutamine lubada – seda sirvikule tutvustada.

Pilt Chrome’i sirvikulaienduste (extensions) menüüst. Allikas: kuvatõmmis

Pole vahet, kas lõppkasutajale meeldib laienduste käsitsi näperdamine või ei meeldi. Ümbritsev reaalsus on selline, et netis kasutamisel vajalik ID-kaardi tarkvara vunkab vaid brauseri küüru otsas ning teeb seda siis ja üksnes siis, kui inimene ise selle sinna vabatahtlikult paigaldab ja brauserile uut abilist tutvustab. Kui Sa tahad ekspert olla, siis tuleb sellest pisitakistusest mööda saada! Suurim keerukus, millega kasutaja (tädi Maali) täna ID-tarkvara installeerimisel põrkub, on just vajadus sirviku soolikates sorida ja laiendusi aktiivseks kruttida.

Kokkuvõttes – oleneb sirvikust… autentimine hakkab tööle enamasti lambist (pärast paigaldust, v.a Linux), ent allkirjastamine sageli mitte (ja see on paratamatus, mille kõrvaldamine nõuabki käsitööd). Et sirvikus allkirjastamine töötaks (näiteks netipangas), tuleb see isiklikult, omaenda valge käega a) installeerida ja b) kasutamiseks lubada. Käsitöö ideele vastujorisemine ei aita.

Segaduse suurendamiseks käituvad eri sirvikud erinevate opsüsteemide all kõik pisut erinevalt. Kõige valutum on ID-kaardi tarkvara install tutika Windows 7 selga – installer suudab kolmele brauserile kõik vajalikud moodulid ise kaela tõmmata – kasutajat üksnes informeeritakse. Kõige keerulisem on olukord Linuxi all, kus versioonist olenevalt võib juhtuda, et viimne kui üks plugin vajab käsitsi lubamist (ja mõnes õnnetus distributsioonis (distros) polegi see üldse võimalik):

Pilt Ubuntu mittetoetatud versioonist 15.04, kus pluginal allkiri puudu. Allikas: kuvatõmmis

***

Selle kirjatüki eesmärk oli anda aimu, et üldsegi mitte kõik ID-kaardi „mittetöötamise“ põhjused ja ilmingud ei ole Eesti riigi ega RIA süü. Palju muresid tekib kasutaja enda käitumisest ja teine osa sirvikutootjate tootemudeli muutustest, mida meie ID-kaardi ökosüsteem ennustada ega juhtida ei suuda, seega saame vaid kohanduda.

Kirjatüki järgmises osas tuleb juttu eri operatsioonisüsteemidest ja sirvikutest ning esitame ID-kaardi universaalse installeerimisjuhendi ühelainsal diagrammil.