Blogiseeria selles osas uurime ID-kaardi tarkvara paigaldamist Linuxile. Väga kasulik on eelnevalt tutvuda ID-kaardi installeerimisega mõnel teisel platvormil (näiteks Windowsil), siis on lihtsam ootusi häälestada ja tulemust hinnata.

Kui Sa pole süsteemiadministraator, siis lihtinimesele ainuke enam-vähem töökindel rada ID-kaardi tarkvara installimiseks on operatsioonisüsteemi (OS) kõige viimane versioon koos ID-kaardi tarkvara kõige viimase versiooniga. Kirjutamise hetkel tähendab see Ubuntu 16.10 versiooni kuniks aprillis 2017 saabub (ja millalgi saab toetatud) Ubuntu 17.04.

Tädi Maali katsetused erinevate Linuxitega (v.a kõige viimane versioon Ubuntu 16.10) näitasid, et eri distrotega (distributsioonidega) tekib erinevaid põhimõttelisi probleeme, ennekõige sirvikute (veebilehitsejate) puhul.

Ubuntu 14.04-05 puhul hakkasid mõlemad sirvikud küll tööle, ent alles pärast arutut hulka restarte, uuendusi ja moodulite korduvat häälestamist. Ubuntu 15.04 sattus ajaliselt sirvikute turvaideoloogia vahetushetkele ja selle sirvikutele allkirjastatud (e töötavaid) mooduleid enam ei toodeta. 15.10 all hakkas alul tööle üks brauser ja pärast teine, ent ühekorraga ei õnnestunud neid tööle panna isegi pärast arvuti korduvaid restarte. Distro 16.04 LTS puhul Chrome tööle ei hakanudki (testija kannatus katkes). Distrot 16.10 sai proovitud kolmes eri masinas, neist kahel Chrome ID-kaardiga tööle ei hakanudki (kiireimal masinal hakkas) ning üks isend kolmest suutis hangutada isegi haldusvahendi.

Linuxi toe puhul jääb täiesti ilmselt probleemiks, et häkkerid lahendavad iga ettesattunud probleemi vaid enda jaoks ja toote lihvimiseks vajalikku kriitilist kasutajate massi ei kogune. Mistõttu mul on siinkohal tõsine palve – andke palun igast lahendatud või isegi lahendamata murest (ID-kaart & Linux) teada ka telefonil 1777, et anda tagasisidet.

Murekohad

Olulised “tisklaimerid” ID-kaardi tarkvara juurde Linuxi all:

1. Pigem läheb käima Firefox kui Chromium, ent kui Firefox mõne äkilise uuendusega välja tuleb, võib ajutiselt juhtuda ka vastupidi.
2. Pigem läheb tarkvara käima käima uuel, 4GB+ mäluga arvutil kui mõnel vanal masinal.
3. Ennemini läheb käima autentimine kui allkirjastamine. Aga kui autentimine käima ei läinud, siis pigem ei lähe käima ka allkirjastamine (mis on üllatav, kuivõrd autentimise ja allkirjastamise alamsüsteemid sirvikutel käivad eri radu).
4. id.ee instruktsioonide järgimine ei ole sihini jõudmiseks piisav – leidub veel hulk salanippe, mille peale alati ei tulegi.
5. Firefox eeldab, et käivitamise hetkel oleks ID-kaart juba lugejas, kaarti hiljem lugejasse pistes võivad tekkida “nähtused”, mis nõuavad suisa masina restarti.
6. On kasulik teha restarti iga olulise paigaldus- või häälestustoimingu järel (see ei tohiks nii olla, ent on). Juba pärast paaripäevast töötamist on kasulik (või töövõime taastamiseks möödapääsmatu) sirvikule restarti teha – Y- ja Z-põlvkonna kasutajate suureks meelehärmiks, kelle tööstiil teatavasti on 50 korraga lahtiolevat sirvikuakent.
7. Linuxi mittekasutajatel on hea meenutada, et iga Unix (sh Linux) eristab suur- ja väiketähti, seega on täpsus failinimedes abiks.
8. Olgu ära mainitud ka mainitud segadused 32 bit / 64 bit brauseritega. Kuni veebruari 2017 keskpaigani seisab Firefoxi juures tisklaimer, et ta 64-bit brauseriga ei tööta. Mida see praktikas tähendab, sellest tädi Maali aru ei saanud.
9. GUI disain muutub mitme asjaosalise koostöös sedavõrd koledaks, et Maci esteedid saaksid rabanduse. Linuxi häkkerile on see pisiasi.

1. Lõpuks, id.ee avaldus toetatud operatsioonisüsteemidest jätab üht-teist ütlemata:

Ütleme siis selgelt välja: reast on puudu Ubuntu 14.10 ja 15.04. Neid ei toetata. Haldusvahend ja Digidoc3 lähevad küll kenasti käima, ent sirvikumooduleid ID-kaardiga tööle saada pole võimalik. Teatest ei ole võimalik välja lugeda 32/64bit distrote kõlblikkuse täpseid asjaolusid – näiteks 14.04-05 distrot sai proovitud mõlemas variandis ja selgust ei saabunud.

Ka ei räägi ametlik toetusrida midagi lUbuntu, kUbuntu, xUbuntu, Ubuntu Mate ja teiste erifookusega distrote kohta. Rõõmus uudis kõlab, et need käituvad enamjaolt nagu samanumbrilised põhidistrod – garantiid anda ei saa, aga tasub proovida!

Paigaldus

Paigaldamise töövoog on esitatud alljärgneval diagrammil.

Tuleb järjest läbi käia kolm rada, kusjuures järgmist ei võeta ette enne kui eelmine on edukalt läbitud. Allpool on ka väga detailne joonis kõigist tegevustest, mis tuleb paigaldamise, häälestamise ja testimise käigus läbida:

Raja A läbimine garanteerib, et programmid on õigesti paigaldatud. Rada B sunnib kasutajat kontrollima oma teadmisi: PIN-koodide olemasolu ja elementaarseid kasutamisoskusi. Lõpuks, raja C läbimine kindlustab, et sirvikud saavad ID-kaardi tarkvaraga hästi läbi ja nõustuvad koostööd tegema.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Rada A

Raja A läbimine (tegevused 1–5) paigaldab vajaliku tarkvara ning annab kindluse, et kaardilugeja töötab ja ID-kaardi sisu on operatsioonisüsteemile üldse nähtav.

Tegevus 1 – uuendamine/värskendamine/ajakohastamine – käib kas automaatselt või kamandatakse administraatorina käsurealt:

sudo apt-get update

sudo apt-get upgrade

Tegevus 2 – paigaldamine. Linuxi all on kasulik mitte hakata uusimaid tarkvaraversioone käsitsi kohale tõmbama. Kodukasutajal soovitan jätta paigaldamine ja uuendamine distributsiooni autorite kontrolli alla (ning mitte paigaldada ise asju algkoodist)… siis on suurte turvaaukude puhul lootust, et mure kiiremini ära paigatakse. Maitse asi, kas pruukida mõnd graafilist uuendit (mina eelistan Synaptic’u nimelist) või suisa käsurida:

apt-get install chromium-browser

Tegevus 3 – ID-kaardi tarkvara installides tuleb lähtuda id.ee veebisaidi suunistest. Põhjus: see blogi siin võib aeguda, id.ee saidi sisu uuendatakse pidevalt. Sinna Linuxiga minnes antakse platvormikohaseid soovitusi:

Linuxi all toimub ID-kaardi tarkvara paigaldamine shelli skriptiga, mis aga tuleb eelnevalt ID.ee saidist alla tirida:

„Save“ valikuga nõustudes salvestub installiskript kataloogi /home/<KASUTAJANIMI>/Download/. Siis tuleb shelli akna (terminaaliakna) abil mainitud kataloogi siseneda ning seal asudes käsurealt kamandada:

sudo sh install-open-eid.sh

Administraatori õigustesse tõusmiseks küsitakse kasutaja parooli ning paigaldamise keskpaigas on vajalik üks Y |ENTER| vajutus.

Tegevus 4 – Ühenda kaardilugeja arvutiga (enamasti käib see USB abil, mõnikord aga on kaardilugeja salaja monteeritud arvuti korpusse) ning pista kaart lugejasse. Hetkel veel pole oluline, et tegu oleks uue ja kehtiva kaardiga, kõlbab ka vana.

Seda, kas ID-kaart on operatsioonisüsteemile nähtav, saab kontrollida käsurealt:

Tegevus 5 – Käivita ID-kaardi haldusvahend (alammenüüst Accessories) ning veendu, et haldusvahend näeb kaarti ning suudab andmed sellelt välja lugeda

Võimalikud veateated

Eeldatav tulemus

Õnnitleme! Rada A on läbitud, tarkvara paigaldatud ja esmane kontakt ID-kaardiga saavutatud.

Rada B

Rada B on mõeldud krüptograafiaga kaasneva info kontrollimiseks:

• kas PIN-koodid on meeles?
• ega PIN-koodid ole lukustunud?
• kas isikusertifikaadid kehtivad?
• kas konkreetne kaart on võimeline krüptograafilisi toiminguid sooritama.

Tegevus 6 – PIN1 abil saab haldusvahendis avada oma passipildi (see tuuakse PPA andmebaasist). Selleks tuleb vajutada õigele lingile (“Load picture”) ja sisestada PIN1:

Kas nägid oma passipilti? Kui ei, siis pole mõtet edasi liikuda.

Tegevus 7 – PIN2 koodi kasutades tuleb Digidoc3 utiliidi abil digiallkirjastada mõni fail. Kuivõrd digiallkirjal on õiguslik tähendus, siis tuleks sel otstarbel valida mõni ohutu kiisupilt.

Hoiatus! Rada B tuleb kindlasti enne edukalt lõpetada, kui üldse raja C (ehk sirvikute konfigureerimise) juurde edasi liikuda. Põhjus – kui ID-kaart ei hakanud tööle kohalike utiliitidega, siis ülima tõenäosusega ei hakka ta tööle ka sirvikutega. Sestap on siin mõttepausiks vahel punane joon.

Rada C

Kolmas ja viimane rada kätkeb endas sirvikute konfigureerimist netis allkirjastamiseks. Lähtuda tuleb id.ee sellekohasest infost:

• Mozilla
• Chromium

Raja C tegevusi tuleb korrata mõlemi sirviku jaoks eraldi. Otstarbekam on alul häälestada ära Firefox (keerulisem, ent õnnestub sagedamini) ning alles seejärel Chromium.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Tegevuse 8 (automaatinstalli tulemuste ülevaatuse) saab Linuxi puhul täiesti vahele jätta. Isegi kui install teeb midagi kasutaja eest ära, siis, vastavalt Linuxi ideoloogiale, õnnestumisest ei raporteerita, kasutajale sellest teada ei anta ega nõuta OK-vajutusi õnne aktsepteerimiseks.

Tegevus 9 – kontrolli, kas sirvik suudab operatsioonisüsteemi vidinatega suheldes Sind mõnda e-teenusesse autentida (sisse logida). Lihtsaim on selleks kasutada testimiseks mõeldud spetsiaalset tervituslehte https://www.sk.ee/tervitus.

 

Eeldatav tulemus

Võimalikud veateated

(Ülalolev veateade paraku ei osuta jama sügavamatele põhjustele. Nimelt – viisakate e-teenuste https-ühendus moodustatakse viisil, et TLS pannakse püsti ID-kaardil leiduva krüptomaterjali abil. See omakorda eeldab kaardi „avamist“ PIN1 koodi abil. Kui sirviku ja ID-kaardi suhtlus miskipärast ei toimi, siis ei õnnestu püsti panna ka turvalist https-ühendust ja tervituskatse luhtub.)

NB! Muide, ka Linuxi all peab sirvikus autentimine hakkama ise tööle kohe pärast sirviku installeerimist (rada A, pärast sammu 3). Kui seda ei juhtu, siis on tegemist tõsise (ja paraku sagedase) probleemiga, millega (kui korduv restart ei aita) peaks tegelema spetsialist. Võimalikud vead: vale distro, uuendamata põhitarkvara, vanaraud. Kuniks pole autentimist tööle saadud, ei tasu allkirjastamise juurde üldse edasi liikuda (sest praktiliselt kõikidesse digisigneerimist nõudvatesse e-teenustesse tuleb eelnevalt sama sirvikuga sisse logida).

Tegevus 10 – Kontrollida, et brauseritel on lisamoodulid installitud. Tegevuses tuleb lähtuda id.ee juhistest:

• Firefox/Mozilla
• Chromium

Chromium

Chromiumis vajab ülekontrollimist üksainus laiendus (extension). Nn kolme-täpi-menüüst tuleb valida Settings -> Extensions. Laiendus nimega „Token Signing“ peab olema aktiivne (enabled). Kui polnud, siis tuleb see käsitsi aktiveerida ja teha restart sirvikule (või isegi arvutile).

Firefox

Firefoxis vajab ülekontrollimist üks laiendus ja üks plugin (ehk siis kokku tervelt kaks lisamoodulit). Märkus: jaanuaris 2017 ilmub ID-kaardi tarkvarast uus versioon, kus laiendusi on kaks. Laienduste menüüsse jõudmiseks tuleb nn kolme-triibu-menüüst tuleb valida Lisad:

Laiendustega on sel pildil kõik korras – „Firefox PKCS11 Loader“ ongi juba aktiveeritud:

Seevastu pluginate menüüd üle kontrollides selgub, et plugina olek vajab käsitsi sekkumist:

Plugin „(Firefox) Token Signing“ peab olema alati aktiivne.

Pärast muudatusi on soovitav teha restart brauserile või isegi arvutile (arusaamatu, kuid toimib). Pärast rebuuti tuleks laiendused/pluginad veel kord üle vaadata ning veenduda, et tehtud valikud on säilinud.

Tegevus 11 – Sirvikuga allkirja andmine. Hetkel kõige mugavam on teha esimesed katsed digidoc.ee keskkonnas. Sinna tuleb alul sisse logida, siis laadida üles mõni sobilik kiisupilt ning see lõpuks allkirjastada.

Digidoc.ee veebisait on värskelt muutunud, Estina on teinud selle rahvusvaheliseks, mistõttu on vaja läbida kohustuslik registreerimine (konto avamine) ning esineb piirang 5 digiallkirja kuus. Sellegipoolest on portaal testimiseks täiesti kasutatav.

Eeldatav tulemus

 

NB! Juhul kui ei õnnestu isegi digidoc.ee-sse sisse logida, siis marss tagasi Tegevuse 9 juurde!

Tegevus 12 – Tuleb sooritada sirvikuga allkirjastamise test veel mõnes teiseski e-teenuses, eelistatult pangas. Netipankade allkirjastamisskriptid on ühtlasi keerulised ja neid kasutatakse kõige sagedamini, mistõttu vead ilmnevad seal kõige kiiremini. SEB on valitud isikliku eelistuse põhjal, testida võib ka teistes netipankades.

Eeldatav tulemus

Sisselogimine:

Makse allkirjastamine:

PIN2 sisestus:

Nalja kah

Tänapäeval ei maksa ehmatada koledate keeleüllatuste üle mistahes tarkvaras. Mida küll võiks tähendada omahost, minuhost, temahost? Tähendusväärsel kombel „turvaseade“ on formaalselt õige, kuivõrd PIN1 tõesti avab ID-kaardi (turvaseadme), mitte ei liigu traatipidi panka (nagu tädi Maali naiivselt arvas). Kas Sina teadsid, et sisestatud PIN kood liigub vaid ID-kaardini ja ei kunagi kaugemale?