Tisklaimer: Käesolev kirjutis EI OLE soovitus kohe uuendama hakata. Enne uuendamist loe viimaseid uudiseid, uuri, kas Sulle eraelus ja tööalaselt vajalikud e-teenused juba töötavad uuendatud sertifikaatidega. Küsi sama ka oma töökoha itimehelt. Kui kahtled, siis ära hetkel veel uuenda, vaid pigem muretse endale alternatiivsed autentimisvahendid (m-ID). Kui Sul on kaks sarnast vahendit (nt ID-kaart ja digi-ID), siis ehk on kaval üht neist uuendada ja teist veel mitte.

Kiire kärtskursus

Enne uuendamist on ID-kaardil (ka digi-ID kaardil, elamisloakaardil, e-residendi kaardil) sellised elemendid:

Pärast uuendamise edukat läbimist on selsamal ID-kaardil (jne) sellised elemendid:

Oluline: et minu e-teenus ID-kaardiga kenasti edasi töötaks, tuleb muudatusi teha nii kaardiomaniku poolel – uuendada ID kaarti – kui ka teenusepakkuja poolel.

RTFM: Palun ära enne tegutse, kui oled KKK läbi lugenud ja õppevideo läbi vaadanud.

Olulisem veel: Uuendamiseks on vaja uusimat ID-kaardi tarkvara – RSA krüptosüsteemilt elliptkurvidele üleminek eeldab ID-kaardi haldusvahendi versiooninumbrit vähemalt 3.12.7.1252. Veendu, et all vasakul nurgas on just see või suurem number.

Kui uuendatud rakendus kaardi uuendamist ei paku, siis pigem on hästi ja ei peagi muretsema. Veel uuendamata kaardi olekut (ROCA turvaveast ohustatud või mitte) saab vaadata siit.

Aeglane sissejuhatus

ID-kaardi kiip on sisuliselt pisike arvuti. Kasutatakse ka termineid protsessor ja mikrokontroller. Tegu on eriotstarbelise arvutiga, mis sobib põhiliselt üheks asjaks – identiteedikandjaks.

Eestis on inimese identiteet kirjas PPA vastavas andmebaasis, kuid identiteedi elektrooniliseks kasutamiseks – sisselogimiseks e-teenustesse või digiallkirjastamiseks väljastatakse inimesele identiteedikandja (vahel isegi mitu – sest on ju ka veel digi-ID ja mID jne).

Identiteedikandja sees hoitakse isiku sertifikaate – kellegi teise poolt välja antud tõestusi kaardikasutaja identiteedi kohta. Ühtlasi hoitakse kaardis krüptograafilisi võtmeid. Sertifikaati saab digitaalselt kasutada vaid koos krüptovõtmetega, mis tema juurde kuuluvad ja võtmeid omakorda (eelkõige privaatvõtit) vaid koos vastava PIN-koodiga.

Täiesti arusaadavalt peab identiteedikandja olema turvaline ning sel otstarbel kasutataksegi krüptograafiat. Konkreetne krüptograafiline algoritm, mis on ID-kaardis juba aastaid tarvitusel, kannab nime RSA, ent nüüdsest tuleb kasutusele uus algoritm – nn elliptkõverad. (Elliptkõverad on laiem mõiste, kui konkreetne krüptoalgoritm – see on üldmõiste, mille alla mahuvad mitmed sama perekonna algoritmid).

Kivi sees

Oleme standardsest kiipkaardist varem põhjalikult kirjutanud.

Lisaks pisikesele arvutusvõimsusele talitleb ID-kaart andmehoidlana. Selles on ette nähtud salvestusruum mõningate tähtsate bitikombinatsioonide talletamiseks. Mõningaid neist andmetest (neid, mis jäävad pildil punasest punktiirist ülespoole) saab kaardist teatud tingimustel ka välja lugeda. Seevastu osad andmetest on kindlalt lukus ega välju kaardist mitte kunagi. Kuid neid saab kaudselt kasutada mõne krüptograafilise operatsiooni – näiteks allkirjastamise – sooritamisel. Kohalelennanud vares krüpto-operatsioone sooritada ei saa – ta ei tea PIN-koode.

Pilt illustreerib Eesti ID-kaardi sees paiknevaid olulisi elemente (bitikombinatsioone).

Kõiki neid elemente saab ka elektrooniliselt uuendada. Maailmas on tavaline, et kaardi sisu saab uuendada väljaandja (ingl k issuer) juures, kelleks meil on PPA. Eestis on ka tore lisavõimalus – inimene saab uuendusprotsessi käivitada ka ise, kodust, üle Interneti.

Kauguuendamise sügav sisu

Uuendamine käivitatakse ID-kaardi haldusvahendiks nimetatud tarkvara abil. Seda programmi on kõik ID-kaardi kasutajad kindlasti ammu näinud – seda vajatakse näiteks PIN-koodide vahetamiseks. Juhul kui programm jõuab järeldusele, et lugejasse sisestatud kaart tõepoolest vajabki uuendamist, siis tekib aknasse nupp nimega “Uuenda”.

Hoiatus: kui “Uuenda” nupule kord ära vajutada, siis hakkab kell turvakaalutlustel tiksuma ning uuendus tuleb nüüd kindlasti mingi mõistliku aja jooksul (mõni nädal) lõpuni viia.

Uuendamine on oluline otsus, mida tuleb enne planeerida ja alles siis teoks teha. Kogu lihtkasutajale vajalik info on küsimuste-vastuste vormingus esitatud siin.

Lisainfo itimeestele, häkkeritele ja muudele huvilistele

Tähelepanu! See peatükk ei ole mõeldud lihtkasutajale!!! Seda peatükki loevad spetsialistid ja tugiisikud, et nad oskaksid vigu leida ja olukorda lihtkasutajatele selgitada.

Sel hetkel, kui kasutajalt küsitakse (ja saadakse) õige PIN-kood, saab moodustada krüpteeritud SSL tunneli uuendusserveri suunas. Tunneli moodustab küll arvutiprogramm, kuid selle loomise vajatakse vältimatult ID-kaardi erioskusi. Olulise turvameetmena on tunnel isikustatud ehk siis tal on eemaldamatult küljes ID-kaardi omaniku krüptograafiline identiteet. See kaitseb enamike pealtkuulamis- ja vahelthaaramisvõtete eest, lisaks hoiab selge identiteet ära mõttetud häkkimiskatsed – sest kes ikka sooviks omaenda nime alt võõraid servereid näppida

SSL tunneli puhul on tegemist täpselt samasuguse kaitsega, kui internetisirvikus HTTPS veebilehtede puhul (tabalukk ja need muud värgid), ainult et vahelt puudub sirvik koos kõigi oma puuduste ja kiiksudega.

Tunneli teine ots maandub spetsiaalsesse uutmisserverisse, mis on turvalisuse mõttes erakordselt hästi kaitstud ja valvatud ning mis omakorda pöördub uuendamiseks vajalike alamteenuste poole. Kindlasti on vaja suhelda järgmiste serveritega:

• SK ID Solutions AS – sest seal tembeldatakse uusi võtmeid ja allkirjastatakse need isiku uueks sertifikaadiks;
• PPA – sest seal asub isikut tõendavate dokumentide andmekogu;
• Gemalto koosseisu kuuluv AS Trüb – sest seal genereeritakse parooliümbrikud.

Liiga palju PIN-koode

Hetkel, mil kasutajalt küsitakse PIN-koodi teist korda, on ühendus ära moodustatud ning kasutajalt tahetakse juriidilist nõusolekut toimuma hakkavaks. Selle PIN-koodiga autendib kasutaja end konkreetsele alamteenusele, mis hakkab sooritama ID-kaardi uutmist. Kui nõusolek antud ja PIN sisestatud, siis siitmaalt enam tagasiteed pole – ID-kaart läheb uude olekusse, kus ta ei talitle mitte enam ID-kaardina, vaid turvalise uuendussüsteemi otspunktina.

Nüüd on ID-kaart valmis peaaegu täielikuks mäluvahetuseks. Sellest olekust saab välja nüüd juba vaid ühel moel – uuendust õnnelikult lõpetades. Võrguhäire, sidekatkestuse, kaardi väljatõmbamise vms vea puhul jääb võib ID-kaart jääda olekusse, kus inimene ise teda enam elektrooniliselt kasutada ei saa. Kui Haldusvahend enam sertifikaate ei näita, siis aitab vaid isiklik kohalevantsimine PPA teeninduspunkti. [täpsustatud 2017-10-27T1114]

ID-kaart on uuendamise hetkil üksainuke suur kõrv, mis täidab teenuseserverist turvalist tunnelit pidi saadud käske. Käskude hulk, mida sealt saab anda, on ülimalt piiratud, käsud on turvatud veel täiendava krüptograafiakihiga, mida me siinkohal arusaadavatel põhjustel ei käsitle. Ühesõnaga, häkkeritel selle tegevuse juurde asja ei ole.

Total recall

Kaardi uuendamise käigus toimuvad järgmised tegevused.

• Kontrollitakse, kas kaardil paiknev rakendus on ajakohane. Kui mitte, siis see uuendatakse (asendatakse). Krüptosüsteemi vahetamise puhul nagu meil parasjagu käsil, tuleb rakendus vahetada vältimatult.
• Kaardil kästakse genereerida uued võtmed (avalik ja privaatne). Kui varemalt genereeris uuendus lihtsalt uued RSA võtmed, siis seekord toimub ühtlasi üleminek elliptkõverate krüptosüsteemile.
• Krüptotunnelit pidi saabub teenusepakkuja juurest ümbrik uute PIN-koodidega. Ümbrik on omakorda krüptograafiline, see tuleb dekrüpteerida. Muide, pärast õnnelikku uutmist saab inimene PIN-koodi alati haldusvahendiga ära vahetada, seega pole üldse oluline, et koodid saabuvad üle (mis siis, et mitmekordselt turvatud, aga ikkagi avaliku) sideliini. NB! Vanu PIN-koode tagasi vahetada on ebaturvaline ja ebailus.
• Kaardis loodud avalik võti saadetakse krüptotunnelit pidi sertifitseerimisteenuse osutaja juurde. Meie praegustes oludes on selleks SK ID Solutions AS.
• SK sooritab ettenähtud toimingud (isikupäringud, vanade sertifikaatide peatamine vms).
• Seejärel SK lisab kaardist saabunud avalikule võtmele mõningast lisainfot ning allkirjastab tulemuse omaenda võtmega – saadut nimetatakse sertifikaadiks.
• Kaart tõmbab SKst endasse kehtiva korra kohaselt valmendatud sertifikaadi ja salvestab selle edaspidiseks
• Hetk enne õnnelikku lõppu toimub veel ka käepigistus PPAga – et nende tark identiteediandmebaas ikka teaks, et vana plastiku sees asuvad nüüd tutikad värsked sertifikaadid (seerianumbritega X ja Y).

Kuivõrd kaardis sisaldub ju tegelikult kaks komplekti võtmeid+sertifikaate –  üks autentimiseks, teine allkirjastamiseks – siis viiakse kirjeldatud operatsioonid läbi mõlemi komplektiga. Kasutaja mugavuseks käsitletakse võtmeid kenasti paralleelselt, mitte järjest.

Ent miks küsitakse uutmise käigus PIN1-koodi nii palju kordi (kõigest viis)? Põhjus on lihtne. Uutmiseelsed küsimised on selleks, et erinevate serveritega ühendusi moodustada, uutmine juriidiliselt vormistada ning teenusepakkujalt saadud parooliümbrik dekrüpteerida.

Uutmisjärgsed (uute PIN-koodide) küsimised annavad juriidilise aluse uute sertifikaatide moodustamiseks ning aluse PPA-le uute sertifikaatide juriidiliseks sidumiseks vana isikuttõendava dokumendiga. Vähemaga lihtsalt ei saa hakkama – muidu tuleks PIN-kood vahepeal kusagile salvestada ning see poleks enam ei turvaline ega kasutaja seisukohast aus.

Kontrollküsimused

Sa ju ikka teadsid, et PIN-koode ei saadeta mitte kunagi ühelegi serverile, et need on vajalikud privaatvõtme toimingu käivitamiseks kaardi sees? PIN-koodid liiguvad juhetpidi kaardini (ja klaviatuuriga lugeris satuvad sinna suisa otse – ükski pank ega e-teenus neid koode ei näe).

Ning kindlasti Sa aimasid, et uutmisprogramm on põhjalikult turvatestitud?!

Selle suve lõpp saab olema äkiline – juhtub see, mida oleme juba pea kaks aastat vastutuult ennustanud: et ühel heal päeval keerabki Google sirviku Chrome kruvid koomale ega lase ID-kaardiga e-teenusesse isikuid, kelle kaardile on sattunud iluvigased sertifikaadid.

Millenniumlaste põlvkonnale, kes üle ühe nühvliekraanitäie korraga läbi lugeda ei täi, ütleme seetõttu kohe ära – eID pruukimiseks netis leidub ometi ju ka muid sirvikuid peale Chrome’i!

Kas see teema mind üldse puudutab?

Esimene ja kõige tähtsam küsimus – kas uudis puudutab kuidagi just mind? Küsimus on oluline, sest sertifikaadiuuenduse eelmine teavituslaine tõi meie telefonide otsa 70-aastased prouad, kes kartsid, et nende ID-kaart olla ehk tagaselja kehtetuks tunnistatud. Ei midagi säärast! Füüsiline ID-kaart ja elamisloakaart kehtivad isikut tõendava dokumendina kenasti edasi, mõningased seiklused puudutavad üksnes kaardi kasutamist Internetis.

Lakmusküsimus: kas Sina tarvitad oma ID-kaarti Internetis mõnesse e-teenusesse sisenemiseks? Viisil, et internetisirvik (brauser) küsib Sinu käest PIN1 või PIN2 koode? Kui JAH, vaid siis loe edasi, igal muul juhul mine ja naudi kena hilissuve, kuniks säärane veel kestab!

Aga … ma ju kasutan ID-kaarti elektrooniliselt! Pistan seda lugerisse Prismas, Apollos ja Olerexis? Tõepoolest, elektrooniliselt küll, aga PIN-koode seal üldjuhul ei nõuta ja sirvikust Chrome pole kassaterminalis lõhnagi, ehk siis – endiselt mine ja naudi vananaistesuve!

Tallinna Deed vs Chrome 61

Kord kodulinn Tallinnat pidi ringi jalutades leidsin liiklusmärgi aluse koos kivisse valatud kirjaveaga:

Pilt: http://tallinncity.postimees.ee/1262796/dalentide-linn-dallinna-deed

Raske tagantjärele oletada, kuidas säärane valuaps läbi lipsas, kuid üks on selge – liiklusmärki hoiab vigase kirjaga post püsti täpselt sama turvaliselt kui mistahes muu kirjaga post.

Oleme varem pikalt kirjeldanud (siin ja siin), kuidas nn negatiivse mooduli viga üldse tekkis, kuid üldiselt on tegemist samalaadi veaga, kui “Tallinna Deed”.

Igatahes on nüüd asjalood sedakaugel, et 5. septembrist 2017 laaditakse sirviku Chrome kasutajatele arvutisse uusversioon numbriga 61. Millega seoses, kui kasutaja isikusertifikaadid on iluvigadega nr 532048 ja/või 534766, siis paneb Chrome oma karvase käe vahele ning väljastab tehniliselt täpse, kuid sisult täiesti mõttetu veateate: „ERR_SSL_CLIENT_AUTH_CERT_NO_PRIVATE_KEY“. Enamike kasutajate jaoks on see hiina keel, sama edukalt võiks öelda: Böö!

Ah jah – keegi pole vigase sertifikaadiga karistanud just Sind isiklikult. Enne oktoobrit 2015 toodetud kaardid vastasid kenasti tollasele arusaamale kvaliteedist. Tõlgendus, nagu ka Google’i firma hinnangud, on muutunud normaalse arengu käigus. Alates oktoobrist 2015 väljastatud kaardid on igati korras ka tänase tõlgenduse kohaselt. Seejuures ei saa me välistada, et mõne aasta pärast leitakse puudujääke või arenguvõimalusi tänastelgi kaartidel…

Mis saab edasi?

Kuidas täpselt ja mis ulatuses uuendamata sertifikaatide teema Sind puudutab? Kuna Chrome’i turuosa sirvikute seas on suurusjärgus 70% ja ülalnimetatud kahest bugist jätkuvalt puudutatud kaartide kogus on umbes 270 000, siis päris paljudel inimestel tasuks siinkohal süveneda. Sest nüüd võib Sul tekkida väga konkreetne mure.

KUI Sinu isikusertifikaatides esineb mainitud viga NING Sa üritad pärast 5. septembrit 2017 Chrome’i uue sirvikuga (v61) mõnda e-teenusesse siseneda (mis nõuab PIN1), SIIS ajab uus Chrome sõrad vastu. Sa ei saa siis enam oma ID-kaardiga siseneda ei netipanka, eKooli, eesti.ee portaali ja kes kõik teab, kuhu veel. Küll aga on tehtud poliitiline otsus, et e-hääletamine sügisestel KOV valimistel on igal juhul võimalik (ja liiatigi veel turvaline ka).

Hetkel käibel olevad ID-kaardid (elamisloakaardid, digi-ID ja e-residendi kaardid) jagunevad kolme suurde kategooriasse, mis on pildil tähistatud värvidega: punane, sinine ja roheline.

Tuleb vaadata oma kaardi väljastamise kuupäeva (trükitud kaardi tagaküljele) ning selle alusel liigitada oma kaart ühte järgnevast kolmest grupist.

I – PUNANE – kaart on väljastatud enne oktoobrit 2014. Oluline on teada, milline iganes on Sinu olukord, kaardi endaga tegelemiseks on praegu juba hilja (mäletad ju, neid sai uuendada vaid 1. juulini 2017). Sinu valik – kas lähed võtad oma raha eest PPAst uue kaardi, sinna lisaks (kui veel pole) ka m-ID VÕI hakkad 5. septembrist Chrome’i asemel mingit muud sirvikut kasutama oma lemmikutesse e-teenustesse sisenemiseks. Muide, e-residentidele nii ammu veel kaarte ei väljastatud.

II – SININE – Sinu kaart on väljastatud vahemikus oktoober 2014 kuni oktoober 2015.  Erinevus PUNASE grupi sertifikaatidest – Sa saad endiselt sertifikaate uuendada. Selleks ava ID-kaardi haldusvahend ja vajuta nupule “Uuenda” (sertifikaate). Kui midagi ei juhtunud, siis kas polnudki vaja uuendada (kõik oli niigi korras või Sa läbisid uuenduse juba varem) või siis oli tegu mõne muu kaarditüübiga. Seega usalda ID-kaardi haldusvahendit – kui uuendamist oli vaja, siis see sooritatakse. Kuidas üle neti uuendamine täpselt käib, sellest loe siit (ja vaata juurde YouTube’ist õppevideot).

III – ROHELINE – Kui aga Sinu kaardil ilutseb väljastuskuupäevana oktoober 2015 või hilisem, siis on sertifikaatidega korras ning Sa ei pea mitte midagi tegema. Kui Sul sellegipoolest miski ei tööta, siis probleem võib mõnikord asuda ka ekraani ja tooli vahel, või väga harvadel juhtudel siiski ka konkreetses e-teenuses.

Allikas: http://knowyourmeme.com/memes/pebkac

Neile, kes armastavad pedantseid juhiseid, olgu siinkohal ära toodud ka otsuse tegemise voodiagramm:

Numeroloogia

Aktiivseid kaarte on eID ökosüsteemis hetkel arvel 1 294 653. Juuli lõpu seisuga leidus kaarte, mida oli viimase 12 kuu jooksul vähemalt ühel korral elektrooniliselt kasutatud, kokku 695 799.

Numbrid on esitatud seisuga 2017-07-01.

“A”-tüüpi kaarte ehk siis enne 2014-10-14 väljastatuid, jäeti kasutajate poolt lõpptähtajaks 2017-07-01 uuendamata 409 947. Selles koguses omakorda esineb Google Chrome’i v61 mõttes kriitilisi sertifikaadivigu 116 499 kaardil, millest vaid osa on kunagigi olnud elektroonilises kasutuses. Seega: reaalselt Chrome’iga kaklema hakkavate isikute arv on veel oluliselt väiksem. Oma “A”-tüüpi kaarte uuendati kokku 240 823 juhul, mistõttu saab öelda, et enamik tegelikest kasutajatest tegid ikkagi uuenduse ära. Muide: “A”-tüüpi kaardid aeguvad tempos ~20 000 kaarti igas kuus.

Edasi, “B”-tüüpi kaarte ehk siis neid, mida hakati väljastama pärast 2014-10-14, oli seisuga 2017-07-01 uuendamata jäetud 278 685, neist Google Chrome’i mõistes “iluvigadega” on 155 226, sh kaardid, mida pole eales e-kasutatud ega pigem hakatagi. “B”-tüüpi kaarte kauguuendati 54 015 juhul ning neid saab jätkuvalt uuendada.

Pisut teise nurga alt vaadates – kahe kaarditüübi peale kokku leidus (2017-07-01 seisuga) käibes 271 725 kaarti, mille üks või isegi mõlemad sertifikaadid Google Chrome’i v61-le ei meeldi (ning ilmneks see ikka vaid juhul, kui kaardiomanik tahab või tahaks selle sirviku kaudu mõnd internetiteenust pruukida).

• Neist 116 499 juhtu jäävadki nurka konutama ja ravi puudub (kaarditüüp “A”, joonisel punased) sest kui isik enne 2017-07-01 oma sertifikaate ära ei uuendanud, siis pärast seda kuupäeva ta enam ei saagi, isegi mitte PPA teeninduspunktides. Eks need kaardid olegi varsti aegumas, nii et aitab PPAst uue kaardi tellimine ning mobiil-ID kasutuselevõtt.
• Seevastu 155 226 kaardi puhul (kaarditüüp “B”, joonisel sinised) saab sertifikaate kenasti kauguuendada, pärast mida suudavad nad kenasti teha koostööd ka uue Chrome’iga. Lihtsalt uuendustoiming tuleb läbi teha.

Kokkuvõttes – nimetatud on MAKSIMAALSED arvud, mis ei arvesta tegelikku internetikasutust. Mingi osa inimesi pole oma ID-kaarti eales Internetis kasutanud, paraku puuduvad e-kasutuse kohta ka täpsemad andmed. Mõjutatud inimeste arv on seega oluliselt väiksem kui ülalnimetatud numbrid.

Kronoloogia

See peatükk on tehnikutele. Tavakasutajale võib nii detailirikas käsitlus jääda keeruliseks [Oluliselt täpsustatud 2017-09-01].

Praeguse Chrome’i juhtumiga on otseselt või kaudselt seotud järgmised tehnilised sündmused:

Teisisõnu – mida lugeda täiesti korras sertifikaadiks? Tänase tõlgenduse puhul on selleks pigem oktoobrist 2015 väljastatud sertifikaadid. Siiski ei saa päris välistada, et tulevikus tunnistatakse uuendamist vajavateks ka SHA-1 põhise vahesertifikaadiga (EstEID2011) tembeldatud isikusertifikaadid, millist teemat oleme varem käsitlenud siin. Mainitud asjaolu valguses saame öelda, et märtsist 2016 väljastatud sertifikaatidel pole teada ühtki, ka kõige pisemat teoreetilist probleemi.

Kaardipõlvkondade vahetus ei leidnud aset korraga, vaid järk-järgult. ID-kaardid läksid uuele platvormile üle esimesena – 16. oktoobril 2014. Digi-ID ja e-residendikaardid alustasid uue põlvkonnaga 01. detsembril. Ning lõpuks, 19. detsembril 2014 viidi kaardiplatvormile “B” üle ka elamisloakaardid.

Urinad ja jorinad

Q1 Miks minu kaarti garantiikorras välja ei vahetata?

A1 Sest tegemist pole tootmispraagiga, vaid välise olukorra muutusega. Sertifikaadid, mis varem olid täiesti asjalikud, omandasid globaalse turvaolukorra arengute ja suurfirmade valitud poliitika tõttu mõnevõrra teistsuguse turvahinnangu. OpenSSL vabavarapaketiga seonduvaid riske polnud võimalik ei ette näha ega salakavalate lepingutega katta.

Q2 Miks mulle varem teada ei antud?

A1 Tegelikkus on vastupidine – anti teada küll! Juba kaks aastat on nii siinses blogis – 1 –  2 – 3 – kui RIA kodulehe uudistes, lisaks avalikus meedias pidevalt räägitud vajadusest sertifikaate uuendada. Tegime kõik, mis meie võimuses, et inimesi uuendama suunata. Isegi YouTube’i õppevideod tellisime kolmes keeles.

Q3 No mul see ID-kaardi värk ikka ei tööta. On ikka niru tarkvara!

A3 Eesti ID-kaart ja kogu selle ökosüsteem on üks eesrindlikumaid terves maailmas! Võttes arvesse eelarve suurust ja kogu eID ökosüsteemi keerukust, on tegemist päris korraliku tootega. PEBKAC!

Kui Sinu probleem püsib, siis tuleb pöörduda IT-spetsialisti poole. Abi võib saada ka ID-kaardi tarkvara väga põhjalikest installijuhenditest siinsamas blogis – eraldi Macile, Linuxile ning loomulikult Windowsile.

Paraku pole Eesti-spetsiifilisel tarkvaral miljardeid kasutajaid nagu Gmail’il või Facebook’il, mistõttu mõni viga ehk ongi alles avastamata. Seega – palun rõõmusta meid ja ülejäänud kasutajaid ning anna oma muredest teada… näiteks abiliinil 1777.

Q4 Ma pole oma ID-kaardi tarkvara juba palju aastaid (3..4) kasutanud ja nüüd küll enam ei õnnestu tarkvara uuendada.

A4 Nii pikk paus on teadaolevalt probleemiks tõesti (Win, Linux) ja võib muuta ümberinstalli tavatult keeruliseks. Vajadusel pöördu IT-spetsialisti poole.

Allikas: id.ee

Riigi Infosüsteemi Ameti analüütik Anto Veldre kirjutab 2017. aasta alguses käivituvast ID-kaartide kauguuendamise kolmandast lainest.

Jaanuaris pääseb paisu tagant valla ID-kaardi sertifikaatide uuendamise kolmas laine. Seekordne sertifikaadiuuendus on suurim ning puudutab enam kui 700 000 ID-kaardi ja digi-ID omanikku, teisisõnu, tegemist on ulatusliku ning enamikele Eesti elanikele olulise sündmusega.

Sedavõrd suured numbrid tulevad asjaolust, et paljudel inimestel on mitu identiteedikandjat – ID-kaarti kantakse kaasas ja pruugitakse eraeluliste asjade ajamiseks, digi-ID on sageli kasutusel asutustes ja firmades digitaalse töövoo tagamiseks. (NB! m-ID jääb väljapoole käesoleva kirjutise raame).

Eesti on seni ainus riik maailmas, kus elanikud saavad isikusertifikaate uuendada üle Interneti. See on kooskõlas meie digitaalse eluviisiga, arusaamaga, et pigem olgu vähem füüsilisi kontoreid, kuid mugavamad e-teenused.

ID-kaardi online uuendamise võimalus avati märtsis 2016. Esimeses ja teises laines seni oli “uutmine” piiratud vaid standardile mittevastavate sertifikaatidega. Nüüd tehakse uuendamine lahti kõigile ülejäänutele – ajendiks on üleminek tugevamale krüptograafiale. Tahame jõuda olukorrani, kus räsiprotokolli SHA-1 oleks igapäevasest kasutusest välja viidud.

Miks on uuendamine vajalik? Oleme varemalt kirjutanud sellest, et tehnoloogia areng maailmas üha kiireneb ning viie aasta jooksul, mis keskmine füüsiline dokument kehtib, võib infoturbes vägagi palju muutuda. Võimalikud turvavead, muutunud standardid, vananevad krüptograafilised algoritmid, lisaks ökosüsteemi järsult muutvad ootamatud otsused suurkorporatsioonidelt. Ei imestaks, kui varsti hakkaksime isikusertifikaate vahetama suisa igal aastal… riskihalduse eesmärgil või lihtsalt “igaks juhuks”.

RIA blogis on mitmeid teemassepuutuvaid artikleid: räsidest ning räsimisest, ID-kaardi sisemusest, uuendamise esimesest ja teisest lainest.

Ettevalmistused

Kuidas vahetamine välja näeb? Isikusertifikaatide vahetamiseks tasub esmalt veenduda, et ID-kaardi tarkvara Sinu arvutis on uusim. Mine aadressile installer.id.ee ning installi oma arvutisse uusim ID-kaardi tarkvara. Muide, tänapäeval ongi mõtet kõiki programme pidevalt uuendada. Paikasid ja parandusi tuleb peale pidevalt, vahel suisa säärase kiirusega, et versiooninumbritest võib tekkida peavalu.

Allikas: kuvatõmmis

Uuendamise kulg

Oleks kasulik enne uuendama asumist läbi lugeda abitekst, mille põhjal lahendada uuendamisel ettejuhtuvaid olukordi. Mõnel puhul (väsimus, haigus, eelseisev reis) peaks uuendamise pigem edasi lükkama.

Uuendamisega tuleks alustada alles pärast abiteksti läbilugemist ning pärast ID-kaardi tarkvara uusima versiooni paigaldamist. Selleks tuleb kaart lugejasse pista ning käivitada “ID-kaardi haldusvahend”. Uuendamise nupp on vajutatav nende kahe eelduse korral:

1. tegu on uuendamissuutelise kaardiga
2. kaardil on uuendamist vajavad sertifikaadid

Uuendamise konkreetne kulg pisut oleneb konkreetse kaardi versioonist – kas tegemist on vanemat (kuni 2015 lõpp) või uuemat (alates 2015 lõpp) tüüpi kaardiga. Vanemat tüüpi kaardi korral tuleks õppevideot vaadata siit ning sertifikaate õnnestub vahetada ilma PIN-koode muutmata.

Uuematel kaartidel (toodetud 2015 lõpus ja hiljem) on turvanõuded nii kõrged, et ka sertifikaatide vahetamine osutub mõnevõrra keerulisemaks – kasutajale tähendab see eelkõige paberi ja pastaka leidmist uute PIN-koodide üleskirjutamiseks. Uuemate kaartide uuendamise mõnevõrra keerulisemat õppevideot saab kaeda siin.

Olenevalt arvutivõrgu kvaliteedist ja kuu faasist võib juhtuda, et uuendamine läheb tuksi. Ikka juhtub. Sellisel juhul tuleb kaart PPA teeninduspunktis ette näidata ning paluda garantiikorras asendada. Mistõttu – kui homme on ees kiireloomuline välismaareis, siis kindlasti ei soovita selle eelõhtul kaarti kiirkorras uuendama hakata.

Viivitada ei tasu

Tahaksin hoiatada veel ühe viperuse eest, mis uuendajal võib ette tulla. Nimelt, ajalõpud (timeout‘id) on süsteemis seatud nõnda, et kui konkreetse kaardi puhul on “Uuenda” nupule ära vajutatud, siis hakkab kell tiksuma ning jääb tiksuma ka siis, kui uuendust mingil põhjusel lõpuni ei viidud. Uuendamine on seega võimalik vaid kolmekümne päeva jooksul pärast esmast nupuvajutust ning kui see aeg täis tiksub, siis ei aita konkreetse kaardi puhul enam miski ega keski peale PPA teeninduse.

Miks nii? Tegemist on turvameetmega, tagamaks, et kaardi uuendamine mingi mõistliku ajaperioodi vältel ära sooritatakse, selmet oodata Godot’ saabumist või hetke, mil Päike muutub supernoovaks. Küll aga võib see turvameede segadusse ajada kiire eluviisiga inimesi, kel jagub oma ID-kaardi paitamiseks mahti täpselt üks kord kuus. Esimesel kuul vajutatakse nuppu ja jäetakse uuendus pooleli, järgmisel kuul aga selgub ootamatult, et nüüd enam uuendada ei saagi. Nii on, sellega tuleb leppida. Seega – kui “Uuenda” nupule on kord juba ära vajutatud, olgu siis uudishimust või muul põhjusel, siis peaks tähtsa tegevuse loetud päevade jooksul ikkagi ka lõpule viima.

Mis saab siis, kui kodanik kaardiuuendamist üldse ette ei võta („uuenda“ nupule ei vajuta)? Praegu ja kohe ei juhtugi midagi. Hetkel pole teada ühtki lõplikku kuupäeva, enne mida peaksid sertifikaadid kindlasti saama vahetatud. Kuid varem või hiljem see kuupäev tekib – millalgi tulevikus, kui riskihinnangud mingil põhjusel muutuvad (tüüpiliselt juhtub see pärast mõne eduka krüptograafia-alase uurimistöö avaldamist), siis võidakse SHA-1 põhiste isikusertifikaatide elektrooniline kasutus sulgeda suhteliselt ootamatult ja päevapealt. Ja säärases olukorras ei aita tõesti enam muu, kui uue kaardi tellimine (kulu + ootamatus).

Paar kuud tagasi algas Eesti ID-kaartide sisu uuendamine. Selle asemel, et inimene teenindusbüroosse lähetada, pistab ta oma kodus isikutunnistuse lugejasse ning mõne minutiga asendab kaardil asuvad sertifikaadid uute vastu.

Säärane e-elustiili toetav idee tundus alguses olevat parasjagu kreisi – ükski riik polnud varemalt isikutunnistuse uuendamist üle interneti teinud. Samas polegi palju riike, kus ID-kaartide kiibifunktsioon oleks üldrahvalikult kasutusel.

Praegu võib öelda, et idee töötab. Aega hoitakse kokku kõvasti – uuendame kaardi sisu, nagu värskendatakse äppe telefonides. Pole parata – täiendusi vajab ka isikuttõendav dokument.

Praeguseks on uuendatud üle 7000 kaardi ja uuendajad pole kuigivõrd hätta jäänud. Pigem on kurdetud, et miks mina veel oma kaarti uuendada ei saa?!? Inimestest võib aru saada, Google’i lubatud 6-kuulisest tähtajast on märkamatult saamas aasta, ühtki otsest ohtu kusagilt veel ei paista.

Uuendamise teine laine algas 22. juunil 2016, mil uuendamisse läksid ka 2015. aastal väljaantud kaardid (ka digitaalsed isikutunnistused, ka e-residendi kaardid). Lisanduvate kaartide kogus on 264 000, seega uutmist vajavate kaartide koguhulk on nüüd ((155k -7k) + 264k) = ~413k kaarti.
Teise laine omapära on keerukam uuendusprotsess. Uuendamisel küsitakse kaardi PIN-koode (uusi ja vanu) ikka päris mitu korda. Ning erinevalt esimesest lainest ei piirdu asi sertifikaadiuuendusega, vaid vahetada tuleb ka krüptovõtmed ja neid avavad PIN-koodid.

Miks üldse uuendame?

Nagu varem kirjutatud, 2014. aasta turvaõnnetuste tulemusel jõudsid IT suurfirmad järelduseni, et krüptograafilise tarkvara kvaliteeti võiks tõsta. Google’i uus BoringSSL tarkvara märkas 2015. aastal ära, et üks teatav aastast 2000. aastast pärinev “tõlgenduslik iseärasus” on endiselt parandamata ning mõned seniste vahenditega väljastatud sertifikaadid (sh mõnedki Eesti ID-kaartide omad) tuleks nüüd kooskõlla viia täpse tõlgendusega.

Nimelt, RSA krüptosüsteemis leidub kahe algarvu korrutis (nn “moodul”) ja algarvud on teatavasti üdini positiivsed. Varemalt tarvitati tervet mõistust: miinusmärgina tõlgendatavat kahendarvu “1” lihtsalt eirati. Iga koolipoiss ju teab, et algarv ei saa olla negatiivne. Boring SSL tulekuga aeti pill lõhki ning võeti formalistlik suund – ikkagi turvaasi, järelikult olgu kõik viimase bitini õige.

Teisestki uuenduspõhjusest on varem kirjutatud – nimelt hakkas meid truult teeninud räsialgoritm SHA-1 vanaks jääma ning tuleb käibest välja viia. Alates 1. märtsist 2016 väljastatakse Eesti isikutunnistustesse juba uusi sertifikaate, mille tembeldamisel on kasutatud moodsat SHA-2 algoritmi.

Brauserikeskses maailmas on Google, Mozilla ja Microsoft jumala staatuses – kui nemad tunnistavad sertifikaadi vigaseks, siis ei saa ei riik ega e-pood säärast sertifikaati enam pruukida. Tuleb vahetada!

Kokkuvõttes, umbes 420 000 kaardi uuendamiseks leidus vähemalt kolm head põhjust:

• Google vs RSA negatiivne moodul – Chrome!
• Google’i märgatud teinegi vorminguaps – Chrome
• SHA-1 pensionilelask.

Millal me mida uuendame?

Lihtne vastus kõlab sedasi – too oma arvutisse ID-kaardi tarkvara uusim versioon, käivita ID-kaardi haldusvahend ning kui Sinu kaardi uutmise aeg on käes, siis Sulle öeldakse.

Autor: Anto Veldre

NB! Kogused on joonisel esitatud 2016 märtsi seisuga.

Joonisel on loetletud kõik olulisemad kaardihulgad. Alustame lõpust – punase värviga tähistatud hulgast – kui kaardil on kiip puruks või kui kasutaja ei mäleta omi PIN-koode, siis arusaadavalt pole mõtet seda kaarti uuendamiseks lugejasse sisestada.

Edasi, roosaga on tähistatud kaarditüübid, millele kunagi uuendust pakkuma ei hakatagi. Mingi kogus kaarte on sedavõrd vanad, et SHA-2 algoritmi neil rakendada ei saa. Leidub pisem kogus kaarte, mille uuendamisel tekkis vigu liiga sageli – säärase kaardi omanik suunatakse otse PPA teenindusse ning on lootust need kaardid garantiikorras asendada (ID-kaardi haldusvahend väljastab siis vastava juhise).

Rohelise värviga on tähistatud need kaardid, mida on kavas uuendada. Laine A on juba alanud. Pisut keerulisemate kaartide uuendamine algas 21. juunil.

Alles siis, kui Google Chrome’i suhtes tundlikud kaardid on eelisjärjekorras ära uuendatud, võetakse ette kolmas laine: SHA-1 abil väljastatud isikusertifikaatide asendamine moodsate, SHA-2 algoritmil põhinevatega (grupp C). Praeguse seisuga näib, et Google Chrome’i kriitiline hetk ehk ver. 53 saabumine ei tohiks toimuda enne septembrit.

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Ettevalmistus uuenduseks

Uuendamiseks tuleb lehelt installer.id.ee laadida alla ID-kaardi tarkvara, paigaldada see arvutisse ning järgida selle antavaid juhiseid. Vaata läbi uuendusvideo. Uuendamise käigus paigaldatakse kaartidele uued sertifikaadid, mis tuginevad senisest tugevamal SHA-2 algoritmil. Kui haldusvahend Sulle sertifikaatide uuendusvõimalust ei paku, siis pole Sinu kaardi sertifikaatide uuendamise aeg käes.

Uuendamise jooksul küsitakse PIN-koode korduvalt (kuni seitse korda – alul vanu, siis uusi). Veelgi enam, kaardiomanikule genereeritakse uued privaatvõtmed ja sel puhul on PIN-koodide vahetamine paratamatu. (Privaatvõtmed genereeritakse ikka kaardi sees, need üle Interneti ei liigu!).

Kokkuvõttes, kui Sul on digitaalne isikutunnistus (sh e-residendi kaart) või aastal 2015 väljastatud ID-kaart, siis valmistu pisut keerulisemaks uuendusprotsessiks. Teema on mitmetahuline, vajadusel loe üle ka pikemad hoiatused eelmisest samateemalisest kirjutisest.

Sõltumata kaardi tüübist tuleks arvestada järgmist:

• Päästa (dekrüpteeri ja salvesta) oma postkastist *.cdoc laiendiga failid – need on seotud Sinu vana privaatvõtmega ja pärast uuendust enam ei avane.
• Veendu, et Sul on mingi alternatiivne identiteedikandja (m-ID) juhuks, kui midagi vussi läheb. Muidu jääb Su e-elu seisma.
• Täida normaalseid e-hügieeni nõudeid ja veendu, et Sinu arvutis poleks mingit pahavara.
• Enne kaardiuuendust paigalda viimaseim versioon ID-kaardi tarkvarast. Uuendamine toimub ID-kaardi haldusvahendiga, mille versioon olgu vähemasti 3.12.2.
• Uuendama asu ikka vaid siis, kui tervis korras, pea värske ja puhanud. Enne uuendamist kirjuta paberile abiliini number 1777 ning veendu, et telefoni aku on täis.

Uuendamise ajal:

• tee ettevalmistusi, et arvuti toide poole tegevuse pealt ei katkeks (laadi aku täis, kasuta UPSi vms),
• ära mingil juhul tõmba kaarti lugejast välja uuendamise keskel – muidu läheb uuendus kindlasti katki,
• kasuta ikka korralikku, kiiret Internetti ja ära samaaegselt suuri faile alla laadi,
• loe korduma kippuvaid küsimusi kauguuendamise kohta lehelt id.ee.

Kui uuendamise käigus läheb miskit viltu, siis helista ID-kaardi abiliinile 1777 (välismaalt helistades +372 677 3377). Õnnestunud uuendamise peale võib robot saata Sulle sõnumi portaalis eesti.ee registreeritud ametlikule e-postiaadressile.

Pärast uuendamist:

• Mine kontrolli üle oma lemmikteenuste (pank, maksuamet, eesti.ee portaal jms) toimivus oma uute SHA-2 ahela sertifikaatidega.

Teenusepakkujate valmisolek

Ehkki SHA-2 algoritmil põhinevaid sertifikaate väljastatakse märtsist 2016, võib juhtuda, et mõni pisem e-teenus ei toeta SHA-2 põhinevate sertifikaatide kasutamist. Sel juhul võiks teenuse omanik läbi lugeda vahesertifikaadi SK-2015 installeerimisõpetuse ning talitada vastavalt juhendile.

Kui mõni avalik teenus Sinu ärauuendatud ID-kaarti endiselt ei toeta, siis suhtle abiliiniga 1777 või saada kiri portaali omanikule.

Kauguuendamise abimaterjalid

• Korduma kippuvad küsimused
• Uuendamisvideod:
  • eestikeelne video,
  • ingliskeelne video,
  • venekeelne video

Juba mitu kuud on kuulda trummipõrinat, et tuleb uutmine. Et tulevikus ei pea enam ID-kaardi iga pisimurega Politsei- ja Piirivalveameti (PPA) teeninduspunkti minema, vaid saab ID-kaarti uuendada otse kodust, Interneti kaudu. Kauguuenduse ettevalmistus on lõpusirgel. ID-kaardi tarkvarast on väljas reliis 3.12.2, mis kauguuendust toetab. Valmis on ka kauguuenduse moodul ise. Kaardiuutmise masinavärk pannakse käima 18. märtsil 2016.

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Mis juhtuma hakkab?

Niisiis, ühel heal päeval ID-kaardi haldusvahendit käivitades avastad, et tuttav aken on veidi teistsuguse kujundusega. Alustuseks on sõnale „Sertifikaat“ juurde tekkinud hüüumärk, mis osutab, et konkreetsel kaardil leiduvad sertifikaadid (1. isikutuvastuse ja 2. allkirjasertifikaat) vajaksid vahetamist. Info ekraani allosas aga selgitab, et oma „parim enne“ tähtaja poolest on sertifikaadid endiselt täiesti kehtivad. Hüüumärk vihjab, et parem oleks need sertifikaadid siiski välja vahetada. Vahetamise pärispõhjustest on juttu siin ja seal.

Ühtlasi on haldusvahendisse tekkinud nupp kirjaga „Uuenda“. Kollasel taustal on hoiatusteade. Palun loe see teade endamisi valju häälega ette. See, mida teates öeldakse, pole nali.

Hoiatustekst ID-kaardi haldusvahendis

Kes on essa?

Kõiki kaarte ei uuendata korraga. Kuigi ID-kaardi plastikule pole versiooninumbrit sisse pressitud, on aastate jooksul välja antud mitmeid kaardipõlvkondi. Kaardid tulevad uuendamisele kahe suure lainena, sõltuvalt väljaandmise aastast.

18. märtsist saab uuendada pisut vanema põlvkonna kaarte (kokku ~150 000). Praeguse plaani kohaselt lisandub aprillist uuendatavate hulka veel ~260 000 uuema põlvkonna kaarti (sh e-residendid). Rahval on käes ka sedavõrd vanu ID-kaarte, mida kauguuendada ei saagi (~70 000).
Just Sina ise oled see, kes käivitab oma ID-kaardi uuendamise – tõmbad aadressilt installer.id.ee alla ID-kaardi haldusvahendi kõige uuema versiooni, pistad kaardi pilusse ja lased haldusvahendi käima. Nii nagu programm ütleb, nii on. Kui paistab „Uuenda“ nupp, siis järelikult on Sinu kaart säärane, mida saab täna uuendada. Kui „Uuenda“ nuppu ei paista, siis järelikult pole Sinu kaardi järjekord veel kätte jõudnud (või, mida juhtub oluliselt harvemini, polegi konkreetne kaart kauguuendatav).

Praeguse teadmise kohaselt saabub 31. mail 2016 veebilehitseja Chrome versioon 51, mis uuendamata ID-kaarte ei salli.

Ettevalmistus uuendamiseks

Vaja on pöörata tähelepanu järgmisele:

1. Saa selgelt aru, et *.cdoc dokumendid Sinu postkastis ja arhiivis tuginevad Sinu sertifikaatidele ning muutuvad ligipääsmatuks selsamal hetkel, kui Sa vanadest sertifikaatidest loobud ja õnnelikult uued saad (või khmm, õnnetul kombel ei saa). Ole hoiatatud – *.cdoc failid on mõeldud kaitsma ühekordset transporti, mitte igaveseks hoiustamiseks! Seega – kui Sul on olulisi CDOC faile, siis dekrüpteeri need enne, kui asud sertifikaate uuendama.

2. Ära võta uuendamist ette, kui oled tõbine, ebakaine või väsinud. Uuendamine on suhteliselt suurt täpsust nõudev tegevus. PIN-koode tuleb sisestada päris mitu korda.

3. Veendu, et Sul on olemas mingi alternatiivne identiteedikandja (näiteks mID) juhuks, kui uuendus ei õnnestu. Muidu jääb Su e-elu seisma, pangas tähtsad rahaülekanded sooritamata või miljoni dollari vastuvõtuakt allkirjastamata. Et olla päris kindel, võiksid endale varakult tellida digitaalse isikutunnistuse (kõik see on tegelikult normaalne riskihalduspraktika, milleks Sa aga varem pole vajadust tunnetanud).

4. Veendu, et Sinu arvutis pole mingit pahavara. Käivita mõni asjalik viirustõrje ja kontrolli oma arvuti üle. Kui Sul jääb vähimgi kahtlus, siis ära kahtlast arvutit uuendamiseks kasuta. Mine töö juurde või kuhugi, kus itimehed tagavad kvaliteedi. Mitte mingil juhul ei tohi ID-kaarti uuendada kusagilt avalikust internetipunktist.

Uuendamise vältel

5. Mitte mingil juhul ei tohi ID-kaarti poole uuendamise pealt lugejast välja tõmmata, sest siis ei jõua osa bitte kaardile kohale ja uuendamine läheb täiesti nässu. Säärast kaarti ei saa parandada isegi PPA teeninduspunktis ning kaart tuleb füüsiliselt välja vahetada. USB pesa, kuhu kaardilugeja pistetud, võiks olla korras ja mitte logiseda.

6. Uuendamise ajal peab arvuti olema kindlalt vooluvõrgus. Ehk siis on oht, et täpselt uuendamise keskel saab sülearvuti aku tühjaks. Lauaarvuti puhul võiks tarvitada UPSi – sest mine tea, ehk just samal hetkel toimetab elektrifirma oma plaanilist katkestust?!

7. Arvuti peab uuendamise hetkel olema kindlalt Internetis ja võrgukaabli juhe pesasse (plõksuga) kinnitatud. Voodis padja peal uuendamine, kaabel teki ja koeramati alt läbi – see pole kindlasti kõige parem tava. Ühtlasi tasuks üle kontrollida, et Sinu netifirma ei tee just samal hetkel hooldustöid. WiFi kasutamine uuendamiseks pole ülearu hea mõte. Piisab, kui naaber käivitab oma 2,4GHz diapasoonis töötava mikrolaineahju ja side kaob kuni supi keemaminekuni. Või on see hoopis kõrvaltoas filme tiriv teismeline sugulane, kes imeb WiFipurgist välja kogu mahla…

Pärast uuendamist

8. Kui ID-kaardi uuendamine õnnestus, mine ja katseta Internetis üle oma lemmikteenused – oma kodupank, Maksuamet ning eesti.ee portaal. Veendu, et oma ärauudetud ID-kaardiga ja tutt-uute sertifikaatidega saad Sa endiselt igale poole sisse. Kui avastad koha, kuhu sisse ei saa, siis suhtle abiliiniga 1777 ja/või saada portaaliomanikule kurikiri.

Kannatlikkus, hoolikus ja korralikkus

Kindlasti ei tohi oma ID-kaarti uuendama hakata ülepeakaela. Klikk-klikk-OK-OK stiil sedavõrd tähtsaks tegevuseks ei sobi. Enne kui üldse uuendama asuda, peaks oma rehepeksuplaani hoolikalt läbi mõtlema.

Eesti keele sõnavarast on puudu üks tähtis termin – „uuendamise käigus tuksi keerama“. Ingliskeelne vastav mõiste on bricking ning seda sõna Internetis otsides leiab iga inglise keele oskaja, et see on tehnoajastul oluline oskussõna. Pooliku või katkestatud uuendamise tulemuseks on the brick ehk otsetõlkes telliskivi – netis leidub arvukalt mitmesuguste teiste esemete uuendamisega seotud õnnetuste kirjeldusi. Uuendamisel tuksikeeratud ID-kaart kõlbab füüsilise dokumendina kasutada edasipidigi, kuid e-dokumendina paraku enam mitte. Seega võiks oma kaardi „kiviks tinistamist“ hoolega vältida.

Lisainfo uudishimulikule häkkerile

ID-kaardi uuendus ei ole miski, mida saaks Sinu arvutisse eelnevalt maha salvestada. Uuenduse käigus on vaja, et Sinu ID-kaart suhtleks uuendust sooritava serveriga reaalajalise turvaühenduse kaudu. Uuenduse käigus kontrollitakse ja testitakse Sinu kaarti päris mitmest aspektist – ikka eesmärgiga tagada maksimaalne turvalisus. Ning … et oleks hästi selge – keegi Sinu ID-kaarti kusagilt keskusest, sundkorras ega salaja ära ei uuenda, ikka Sina ise teed seda.

Üldise ja erilise vahekorrast

Tegelikult on Eesti ID-kaardi ajaloos uuendamise nupp olnud kasutusel varemaltki – perioodil, mil plastiku kasutusaega pikendati 10 aasta peale, ent sertifikaate tuli uuendada sagedamini.

Kunagine sertifikaatide uuendamine ID-kaardi haldusvahendis

Olenevalt kaardi täpsest versioonist võib uuendusprotsess kujuneda veidi erinevaks. Mõne kaardipõlvkonna puhul on võimalik sertifikaate uuendada ka eraldi, mõnel kaardipõlvkonnal läheb väljavahetamisele kogu sisu. Alljärgnevalt jooniselt paistab, mida ID-kaart kodaniku vaates üldse sisaldab:

Võib olla päris kindel, et kui Google Chrome’i karmikäeline sertifikaadipoliitika poleks meid „Uuenda!“ nupu juurde tagasi viinud, oleks seda teinud mingi muu sündmus. Maailm ja globaalne IT on pidevas muutumises. Uuendusi, turvaparandusi ja muud säärast tuleb moodsas maailmas peale üha sagedamini. Keegi enam ei imesta, kui tema mobiiltelefonile või lauaarvutile pidevalt uuendusi saabub. Seega – nagu iga muu targa elektroonilise seadme puhul, oli vaid aja küsimus, millal „Uuenda!“ nupp ID-kaardi haldusvahendisse naaseb. On mõnevõrra juhuse küsimus, et leidus sobiv teema, millele tuginedes uuendusfunktsioon taastati. ID-kaardi uuendusvõimalus on tulnud selleks, et jääda.

Ah jah, Vista!

Kurb aga tõsi – Windows Vista tugi sai läbi. Sellele ja veel vanematele operatsioonisüsteemidele ID-kaardi toest enam uusi versioone ei toodeta. Seega – Vista abil kaardiuutmist sooritada ei saa.