Tag Archives: kauguuendamine

Kaardiuuenduse teine laine

Anto Veldre, RIA analüütik

Paar kuud tagasi algas Eesti ID-kaartide sisu uuendamine. Selle asemel, et inimene teenindusbüroosse lähetada, pistab ta oma kodus isikutunnistuse lugejasse ning mõne minutiga asendab kaardil asuvad sertifikaadid uute vastu.

Säärane e-elustiili toetav idee tundus alguses olevat parasjagu kreisi – ükski riik polnud varemalt isikutunnistuse uuendamist üle interneti teinud. Samas polegi palju riike, kus ID-kaartide kiibifunktsioon oleks üldrahvalikult kasutusel.

Praegu võib öelda, et idee töötab. Aega hoitakse kokku kõvasti – uuendame kaardi sisu, nagu värskendatakse äppe telefonides. Pole parata – täiendusi vajab ka isikuttõendav dokument.

Praeguseks on uuendatud üle 7000 kaardi ja uuendajad pole kuigivõrd hätta jäänud. Pigem on kurdetud, et miks mina veel oma kaarti uuendada ei saa?!? Inimestest võib aru saada, Google’i lubatud 6-kuulisest tähtajast on märkamatult saamas aasta, ühtki otsest ohtu kusagilt veel ei paista.

Uuendamise teine laine algas 22. juunil 2016, mil uuendamisse läksid ka 2015. aastal väljaantud kaardid (ka digitaalsed isikutunnistused, ka e-residendi kaardid). Lisanduvate kaartide kogus on 264 000, seega uutmist vajavate kaartide koguhulk on nüüd ((155k -7k) + 264k) = ~413k kaarti.
Teise laine omapära on keerukam uuendusprotsess. Uuendamisel küsitakse kaardi PIN-koode (uusi ja vanu) ikka päris mitu korda. Ning erinevalt esimesest lainest ei piirdu asi sertifikaadiuuendusega, vaid vahetada tuleb ka krüptovõtmed ja neid avavad PIN-koodid.

Miks üldse uuendame?

Nagu varem kirjutatud, 2014. aasta turvaõnnetuste tulemusel jõudsid IT suurfirmad järelduseni, et krüptograafilise tarkvara kvaliteeti võiks tõsta. Google’i uus BoringSSL tarkvara märkas 2015. aastal ära, et üks teatav aastast 2000. aastast pärinev “tõlgenduslik iseärasus” on endiselt parandamata ning mõned seniste vahenditega väljastatud sertifikaadid (sh mõnedki Eesti ID-kaartide omad) tuleks nüüd kooskõlla viia täpse tõlgendusega.

Nimelt, RSA krüptosüsteemis leidub kahe algarvu korrutis (nn “moodul”) ja algarvud on teatavasti üdini positiivsed. Varemalt tarvitati tervet mõistust: miinusmärgina tõlgendatavat kahendarvu “1” lihtsalt eirati. Iga koolipoiss ju teab, et algarv ei saa olla negatiivne. Boring SSL tulekuga aeti pill lõhki ning võeti formalistlik suund – ikkagi turvaasi, järelikult olgu kõik viimase bitini õige.

Teisestki uuenduspõhjusest on varem kirjutatud – nimelt hakkas meid truult teeninud räsialgoritm SHA-1 vanaks jääma ning tuleb käibest välja viia. Alates 1. märtsist 2016 väljastatakse Eesti isikutunnistustesse juba uusi sertifikaate, mille tembeldamisel on kasutatud moodsat SHA-2 algoritmi.

Brauserikeskses maailmas on Google, Mozilla ja Microsoft jumala staatuses – kui nemad tunnistavad sertifikaadi vigaseks, siis ei saa ei riik ega e-pood säärast sertifikaati enam pruukida. Tuleb vahetada!

Kokkuvõttes, umbes 420 000 kaardi uuendamiseks leidus vähemalt kolm head põhjust:

Millal me mida uuendame?

Lihtne vastus kõlab sedasi – too oma arvutisse ID-kaardi tarkvara uusim versioon, käivita ID-kaardi haldusvahend ning kui Sinu kaardi uutmise aeg on käes, siis Sulle öeldakse.

Autor: Anto Veldre

Autor: Anto Veldre

NB! Kogused on joonisel esitatud 2016 märtsi seisuga.

Joonisel on loetletud kõik olulisemad kaardihulgad. Alustame lõpust – punase värviga tähistatud hulgast – kui kaardil on kiip puruks või kui kasutaja ei mäleta omi PIN-koode, siis arusaadavalt pole mõtet seda kaarti uuendamiseks lugejasse sisestada.

Edasi, roosaga on tähistatud kaarditüübid, millele kunagi uuendust pakkuma ei hakatagi. Mingi kogus kaarte on sedavõrd vanad, et SHA-2 algoritmi neil rakendada ei saa. Leidub pisem kogus kaarte, mille uuendamisel tekkis vigu liiga sageli – säärase kaardi omanik suunatakse otse PPA teenindusse ning on lootust need kaardid garantiikorras asendada (ID-kaardi haldusvahend väljastab siis vastava juhise).

Rohelise värviga on tähistatud need kaardid, mida on kavas uuendada. Laine A on juba alanud. Pisut keerulisemate kaartide uuendamine algas 21. juunil.

Alles siis, kui Google Chrome’i suhtes tundlikud kaardid on eelisjärjekorras ära uuendatud, võetakse ette kolmas laine: SHA-1 abil väljastatud isikusertifikaatide asendamine moodsate, SHA-2 algoritmil põhinevatega (grupp C). Praeguse seisuga näib, et Google Chrome’i kriitiline hetk ehk ver. 53 saabumine ei tohiks toimuda enne septembrit.

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Ettevalmistus uuenduseks

Uuendamiseks tuleb lehelt installer.id.ee laadida alla ID-kaardi tarkvara, paigaldada see arvutisse ning järgida selle antavaid juhiseid. Vaata läbi uuendusvideo. Uuendamise käigus paigaldatakse kaartidele uued sertifikaadid, mis tuginevad senisest tugevamal SHA-2 algoritmil. Kui haldusvahend Sulle sertifikaatide uuendusvõimalust ei paku, siis pole Sinu kaardi sertifikaatide uuendamise aeg käes.

Uuendamise jooksul küsitakse PIN-koode korduvalt (kuni seitse korda – alul vanu, siis uusi). Veelgi enam, kaardiomanikule genereeritakse uued privaatvõtmed ja sel puhul on PIN-koodide vahetamine paratamatu. (Privaatvõtmed genereeritakse ikka kaardi sees, need üle Interneti ei liigu!).

Kokkuvõttes, kui Sul on digitaalne isikutunnistus (sh e-residendi kaart) või aastal 2015 väljastatud ID-kaart, siis valmistu pisut keerulisemaks uuendusprotsessiks. Teema on mitmetahuline, vajadusel loe üle ka pikemad hoiatused eelmisest samateemalisest kirjutisest.

Sõltumata kaardi tüübist tuleks arvestada järgmist:

  • Päästa (dekrüpteeri ja salvesta) oma postkastist *.cdoc laiendiga failid – need on seotud Sinu vana privaatvõtmega ja pärast uuendust enam ei avane.
  • Veendu, et Sul on mingi alternatiivne identiteedikandja (m-ID) juhuks, kui midagi vussi läheb. Muidu jääb Su e-elu seisma.
  • Täida normaalseid e-hügieeni nõudeid ja veendu, et Sinu arvutis poleks mingit pahavara.
  • Enne kaardiuuendust paigalda viimaseim versioon ID-kaardi tarkvarast. Uuendamine toimub ID-kaardi haldusvahendiga, mille versioon olgu vähemasti 3.12.2.
  • Uuendama asu ikka vaid siis, kui tervis korras, pea värske ja puhanud. Enne uuendamist kirjuta paberile abiliini number 1777 ning veendu, et telefoni aku on täis.

Uuendamise ajal:

  • tee ettevalmistusi, et arvuti toide poole tegevuse pealt ei katkeks (laadi aku täis, kasuta UPSi vms),
  • ära mingil juhul tõmba kaarti lugejast välja uuendamise keskel – muidu läheb uuendus kindlasti katki,
  • kasuta ikka korralikku, kiiret Internetti ja ära samaaegselt suuri faile alla laadi,
  • loe korduma kippuvaid küsimusi kauguuendamise kohta lehelt id.ee.

Kui uuendamise käigus läheb miskit viltu, siis helista ID-kaardi abiliinile 1777 (välismaalt helistades +372 677 3377). Õnnestunud uuendamise peale võib robot saata Sulle sõnumi portaalis eesti.ee registreeritud ametlikule e-postiaadressile.

Pärast uuendamist:

  • Mine kontrolli üle oma lemmikteenuste (pank, maksuamet, eesti.ee portaal jms) toimivus oma uute SHA-2 ahela sertifikaatidega.

Teenusepakkujate valmisolek

Ehkki SHA-2 algoritmil põhinevaid sertifikaate väljastatakse märtsist 2016, võib juhtuda, et mõni pisem e-teenus ei toeta SHA-2 põhinevate sertifikaatide kasutamist. Sel juhul võiks teenuse omanik läbi lugeda vahesertifikaadi SK-2015 installeerimisõpetuse ning talitada vastavalt juhendile.

Kui mõni avalik teenus Sinu ärauuendatud ID-kaarti endiselt ei toeta, siis suhtle abiliiniga 1777 või saada kiri portaali omanikule.

Kauguuendamise abimaterjalid

Uuenda oma ID-kaarti!

Anto Veldre, analüütik

Juba mitu kuud on kuulda trummipõrinat, et tuleb uutmine. Et tulevikus ei pea enam ID-kaardi iga pisimurega Politsei- ja Piirivalveameti (PPA) teeninduspunkti minema, vaid saab ID-kaarti uuendada otse kodust, Interneti kaudu. Kauguuenduse ettevalmistus on lõpusirgel. ID-kaardi tarkvarast on väljas reliis 3.12.2, mis kauguuendust toetab. Valmis on ka kauguuenduse moodul ise. Kaardiuutmise masinavärk pannakse käima 18. märtsil 2016.

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Ekraanikuva: Uuendamise märguanded ID-kaardi haldusvahendis

Mis juhtuma hakkab?

Niisiis, ühel heal päeval ID-kaardi haldusvahendit käivitades avastad, et tuttav aken on veidi teistsuguse kujundusega. Alustuseks on sõnale „Sertifikaat“ juurde tekkinud hüüumärk, mis osutab, et konkreetsel kaardil leiduvad sertifikaadid (1. isikutuvastuse ja 2. allkirjasertifikaat) vajaksid vahetamist. Info ekraani allosas aga selgitab, et oma „parim enne“ tähtaja poolest on sertifikaadid endiselt täiesti kehtivad. Hüüumärk vihjab, et parem oleks need sertifikaadid siiski välja vahetada. Vahetamise pärispõhjustest on juttu siin ja seal.

Ühtlasi on haldusvahendisse tekkinud nupp kirjaga „Uuenda“. Kollasel taustal on hoiatusteade. Palun loe see teade endamisi valju häälega ette. See, mida teates öeldakse, pole nali.

Hoiatuse tekst: "Kaardi sertifikaadid vajavad uuendamist. Uuendamise protseduur võtab aega 2-10 minutit ning eeldab toimivat internetiühendust. Kaarti ei tohi lugejast välja võtta enne uuenduse lõppu." Nupp kirjaga "Uuenda"

Hoiatustekst ID-kaardi haldusvahendis

Kes on essa?

Kõiki kaarte ei uuendata korraga. Kuigi ID-kaardi plastikule pole versiooninumbrit sisse pressitud, on aastate jooksul välja antud mitmeid kaardipõlvkondi. Kaardid tulevad uuendamisele kahe suure lainena, sõltuvalt väljaandmise aastast.

18. märtsist saab uuendada pisut vanema põlvkonna kaarte (kokku ~150 000). Praeguse plaani kohaselt lisandub aprillist uuendatavate hulka veel ~260 000 uuema põlvkonna kaarti (sh e-residendid). Rahval on käes ka sedavõrd vanu ID-kaarte, mida kauguuendada ei saagi (~70 000).
Just Sina ise oled see, kes käivitab oma ID-kaardi uuendamise – tõmbad aadressilt installer.id.ee alla ID-kaardi haldusvahendi kõige uuema versiooni, pistad kaardi pilusse ja lased haldusvahendi käima. Nii nagu programm ütleb, nii on. Kui paistab „Uuenda“ nupp, siis järelikult on Sinu kaart säärane, mida saab täna uuendada. Kui „Uuenda“ nuppu ei paista, siis järelikult pole Sinu kaardi järjekord veel kätte jõudnud (või, mida juhtub oluliselt harvemini, polegi konkreetne kaart kauguuendatav).

Praeguse teadmise kohaselt saabub 31. mail 2016 veebilehitseja Chrome versioon 51, mis uuendamata ID-kaarte ei salli.

Ettevalmistus uuendamiseks

Vaja on pöörata tähelepanu järgmisele:

1. Saa selgelt aru, et *.cdoc dokumendid Sinu postkastis ja arhiivis tuginevad Sinu sertifikaatidele ning muutuvad ligipääsmatuks selsamal hetkel, kui Sa vanadest sertifikaatidest loobud ja õnnelikult uued saad (või khmm, õnnetul kombel ei saa). Ole hoiatatud – *.cdoc failid on mõeldud kaitsma ühekordset transporti, mitte igaveseks hoiustamiseks! Seega – kui Sul on olulisi CDOC faile, siis dekrüpteeri need enne, kui asud sertifikaate uuendama.

2. Ära võta uuendamist ette, kui oled tõbine, ebakaine või väsinud. Uuendamine on suhteliselt suurt täpsust nõudev tegevus. PIN-koode tuleb sisestada päris mitu korda.

3. Veendu, et Sul on olemas mingi alternatiivne identiteedikandja (näiteks mID) juhuks, kui uuendus ei õnnestu. Muidu jääb Su e-elu seisma, pangas tähtsad rahaülekanded sooritamata või miljoni dollari vastuvõtuakt allkirjastamata. Et olla päris kindel, võiksid endale varakult tellida digitaalse isikutunnistuse (kõik see on tegelikult normaalne riskihalduspraktika, milleks Sa aga varem pole vajadust tunnetanud).

4. Veendu, et Sinu arvutis pole mingit pahavara. Käivita mõni asjalik viirustõrje ja kontrolli oma arvuti üle. Kui Sul jääb vähimgi kahtlus, siis ära kahtlast arvutit uuendamiseks kasuta. Mine töö juurde või kuhugi, kus itimehed tagavad kvaliteedi. Mitte mingil juhul ei tohi ID-kaarti uuendada kusagilt avalikust internetipunktist.

Uuendamise vältel

5. Mitte mingil juhul ei tohi ID-kaarti poole uuendamise pealt lugejast välja tõmmata, sest siis ei jõua osa bitte kaardile kohale ja uuendamine läheb täiesti nässu. Säärast kaarti ei saa parandada isegi PPA teeninduspunktis ning kaart tuleb füüsiliselt välja vahetada. USB pesa, kuhu kaardilugeja pistetud, võiks olla korras ja mitte logiseda.

6. Uuendamise ajal peab arvuti olema kindlalt vooluvõrgus. Ehk siis on oht, et täpselt uuendamise keskel saab sülearvuti aku tühjaks. Lauaarvuti puhul võiks tarvitada UPSi – sest mine tea, ehk just samal hetkel toimetab elektrifirma oma plaanilist katkestust?!

7. Arvuti peab uuendamise hetkel olema kindlalt Internetis ja võrgukaabli juhe pesasse (plõksuga) kinnitatud. Voodis padja peal uuendamine, kaabel teki ja koeramati alt läbi – see pole kindlasti kõige parem tava. Ühtlasi tasuks üle kontrollida, et Sinu netifirma ei tee just samal hetkel hooldustöid. WiFi kasutamine uuendamiseks pole ülearu hea mõte. Piisab, kui naaber käivitab oma 2,4GHz diapasoonis töötava mikrolaineahju ja side kaob kuni supi keemaminekuni. Või on see hoopis kõrvaltoas filme tiriv teismeline sugulane, kes imeb WiFipurgist välja kogu mahla…

Pärast uuendamist

8. Kui ID-kaardi uuendamine õnnestus, mine ja katseta Internetis üle oma lemmikteenused – oma kodupank, Maksuamet ning eesti.ee portaal. Veendu, et oma ärauudetud ID-kaardiga ja tutt-uute sertifikaatidega saad Sa endiselt igale poole sisse. Kui avastad koha, kuhu sisse ei saa, siis suhtle abiliiniga 1777 ja/või saada portaaliomanikule kurikiri.

Kannatlikkus, hoolikus ja korralikkus

Kindlasti ei tohi oma ID-kaarti uuendama hakata ülepeakaela. Klikk-klikk-OK-OK stiil sedavõrd tähtsaks tegevuseks ei sobi. Enne kui üldse uuendama asuda, peaks oma rehepeksuplaani hoolikalt läbi mõtlema.

Eesti keele sõnavarast on puudu üks tähtis termin – „uuendamise käigus tuksi keerama“. Ingliskeelne vastav mõiste on bricking ning seda sõna Internetis otsides leiab iga inglise keele oskaja, et see on tehnoajastul oluline oskussõna. Pooliku või katkestatud uuendamise tulemuseks on the brick ehk otsetõlkes telliskivi – netis leidub arvukalt mitmesuguste teiste esemete uuendamisega seotud õnnetuste kirjeldusi. Uuendamisel tuksikeeratud ID-kaart kõlbab füüsilise dokumendina kasutada edasipidigi, kuid e-dokumendina paraku enam mitte. Seega võiks oma kaardi „kiviks tinistamist“ hoolega vältida.

Lisainfo uudishimulikule häkkerile

ID-kaardi uuendus ei ole miski, mida saaks Sinu arvutisse eelnevalt maha salvestada. Uuenduse käigus on vaja, et Sinu ID-kaart suhtleks uuendust sooritava serveriga reaalajalise turvaühenduse kaudu. Uuenduse käigus kontrollitakse ja testitakse Sinu kaarti päris mitmest aspektist – ikka eesmärgiga tagada maksimaalne turvalisus. Ning … et oleks hästi selge – keegi Sinu ID-kaarti kusagilt keskusest, sundkorras ega salaja ära ei uuenda, ikka Sina ise teed seda.

Üldise ja erilise vahekorrast

Tegelikult on Eesti ID-kaardi ajaloos uuendamise nupp olnud kasutusel varemaltki – perioodil, mil plastiku kasutusaega pikendati 10 aasta peale, ent sertifikaate tuli uuendada sagedamini.

Kunagine sertifikaatide uuendamine ID-kaardi haldusvahendis

Kunagine sertifikaatide uuendamine ID-kaardi haldusvahendis

Olenevalt kaardi täpsest versioonist võib uuendusprotsess kujuneda veidi erinevaks. Mõne kaardipõlvkonna puhul on võimalik sertifikaate uuendada ka eraldi, mõnel kaardipõlvkonnal läheb väljavahetamisele kogu sisu. Alljärgnevalt jooniselt paistab, mida ID-kaart kodaniku vaates üldse sisaldab:

ID-kaart-A-009

Võib olla päris kindel, et kui Google Chrome’i karmikäeline sertifikaadipoliitika poleks meid „Uuenda!“ nupu juurde tagasi viinud, oleks seda teinud mingi muu sündmus. Maailm ja globaalne IT on pidevas muutumises. Uuendusi, turvaparandusi ja muud säärast tuleb moodsas maailmas peale üha sagedamini. Keegi enam ei imesta, kui tema mobiiltelefonile või lauaarvutile pidevalt uuendusi saabub. Seega – nagu iga muu targa elektroonilise seadme puhul, oli vaid aja küsimus, millal „Uuenda!“ nupp ID-kaardi haldusvahendisse naaseb. On mõnevõrra juhuse küsimus, et leidus sobiv teema, millele tuginedes uuendusfunktsioon taastati. ID-kaardi uuendusvõimalus on tulnud selleks, et jääda.

Ah jah, Vista!

Kurb aga tõsi – Windows Vista tugi sai läbi. Sellele ja veel vanematele operatsioonisüsteemidele ID-kaardi toest enam uusi versioone ei toodeta. Seega – Vista abil kaardiuutmist sooritada ei saa.