Blogiseeria selles osas uurime ID-kaardi tarkvara paigaldamist Apple’i arvutitele. Apple’i kompuutritel on toetatud kolm viimast OSi (hetkel: Yosemite, El Capitan, Sierra):

ja kolm sirvikut:

Ühtlasi soovitame läbi lugeda blogikrje lõpuosas paiknevad peatükid “Murekohad” ja “Taustainfot Maci turvalisuse kohta”.

Paigaldus

Paigaldamise üldine töövoog näeb välja selline:

Vaatleme korraks ka detailvaadet. ID-kaardi tarkvara paigaldamise, häälestamise ja testimise protseduur on jaotatud kolmeks järjestikuseks rajaks – A , B, C – millest igaühe läbimine on järgmise raja eeldus. Sõnaga, nagu arvutimängu levelid.

Raja A läbimine tagab, et programmid on õigesti paigaldatud. Rada B selgitab välja, kas kasutajal on olemas vajalikud PIN-koodid, kaart pole lukus ega sertifikaadid aegunud ning et kasutajal on olemas vajalikud vilumused PIN-koodide pruukimiseks. Lõpuks, raja C läbimine tagab, et ka sirvikud saavad ID-kaardi tarkvaraga hästi läbi ja nõustuvad koostööd tegema e-teenustega, kus vajatakse nii sisselogimist kui allkirjastamist.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Sissejuhatus tehtud, võime liikuda raja A läbimise juurde.

Rada A

Raja A läbimine (tegevused 1–5) käigus paigaldab kasutaja vajaliku tarkvara. Raja A edukas läbimine annab kindluse, et kaardilugeja töötab ja ID-kaardi sisu on operatsioonisüsteemile üldse nähtav – vastasel juhul ei hakka tööle ka muud, keerulisemad toimingud.

Tegevus 1 – uuendamine/värskendamine/ajakohastamine. Apple’i arvutitel toimub uuendamine automaatselt äpipoe kaudu, kuid „Update“ käsk tuleks kindluse mõttes anda ka käsitsi. Alljärgneval pildil on kaks uuendust soolas ning need tuleks vastu võtta, enne kui edasi liikuda. Vajuta nupule „Updates“.

Tegevus 2 – Arvutisse tuleb paigaldada kõik asjakohased sirvikud, ehk siis Firefox ja Chrome. Need tuleb ise netist kohale tuua, vastavalt siis Mozilla ja Chrome’i allalaadimislehelt. Paigaldus käib nagu Macis ikka: tuuakse kohale *.dmg fail, käivitatakse see, lohistatakse aplikatsioon Installerisse. Alljärgnev näide põhineb Firefoxil, Chrome paigaldamine on väga sarnane:

Eeldatav tulemus

Launcheris on näha mõlema sirviku käivitusikoonid:

Käivitama veel ei pea, see jääb pärastiseks.

Tegevus 3 – Nüüd asume paigaldama ID-kaardi tarkvara. Lähtuda  tuleb id.ee juhistest, põhjusel, et seda blogikirjet aasta pärast keegi ei uuenda, id.ee juhiseid aga küll. Saidile installer.id.ee Maciga minnes antakse platvormikohaseid soovitusi:

MacOSXi puhul erineb installeerimine kõigist teistest platvormidest sellega, et esimese paketina kästakse alla tõmmata sirvikutugi (allkirjastamine ja autentimine veebis) ning alles teise paketina ID-kaardi haldusvahend koos DigiDoc3 utiliidiga). Probleem – kiirelt tegutsejad jätavad mõnikord teise toe paigaldamata, mistõttu, kui neil tekivad probleemid, pole neil vahendeid vigade leidmiseks ja väljaajamiseks.

Seetõttu anname kindla soovituse – kindlasti ikka peale panna kõik viidatud paketid.

Paigaldamine toimub rakenduste poe kaudu täiesti tavaliselt:

Kohale toodud paigaldusäpp tuleb käima klikkida:

Paigaldamise käigus nõutakse administraatori parooli:

Paigalduse lõppedes hoiatab installer, et on vaja ära tuua veel teinegi pool tarkvarast. Seda tulebki teha:

Äppstoori vaade on selline (mõlemad paketid ootavad installimist):

Eeldatav tulemus

Mõlemad äpid (ID-kaardi haldusvahend ja DigiDoc3) on installitud ja kasutamiseks valmis:

Kui äpid saavad paigaldatud, ilmuvad nad nähtavale ka Launcheris:

Tegevus 4 – Ühenda kaardilugeja arvutiga (enamasti käib see USB-pistiku abil), ning pista kaart lugejasse. Jälgi, et kaart oleks lugejas ikka õigetpidi:

Kontrolli et tegu oleks ikka õige kaardiga, mis on õigetpidi sees (pilt allpool, kiip eespool). Vähemalt kord elus pistab meist igaüks lugejasse hoopis pangakaardi ja siis imestab: miks küll ei saa e-teenusesse sisse logida:

Tegevus 5 – Käivita äpp, mille nimi on ID-kaardi haldusvahend (ID-card Utility) ning veendu, et haldusvahend näeb kaarti ning suudab sellelt andmed sellelt välja lugeda.

Eeldatav tulemus

Võimalikud veateated

Juhul kui on tehtud viga kaardilugeja ühendamisel või on kaart valepidi sees või on kiip tuksis, võivad esineda sellised veateated:

Rada B

Rada B on mõeldud krüptograafiaga kaasneva info kontrollimiseks:

• kas PIN-koodid on meeles,
• ega PIN-koodid pole lukustunud,
• kas isikusertifikaadid kehtivad,
• kas konkreetne kaart on võimeline krüptograafilisi toiminguid sooritama.

Tegevus 6 – PIN1 abil saab Haldusvahendis avada oma passipildi (see tuuakse PPA andmebaasist). Selleks tuleb vajutada lingile „Laadi pilt“ ja sisestada oma kaardi PIN1:

Juhul kui PIN1 on õige, ilmub ekraanile Sinu passipilt:

Kas nägid oma passipilti? Kui ei, siis pole mõtet edasi liikuda, vaid tuleb lahendada PIN1 mure.

Tegevus 7 – PIN2 koodi kasutades tuleb Digidoc3 utiliidi abil digiallkirjastada mõni fail. Kuivõrd digiallkirjal on õiguslik tähendus, siis tuleks testimiseks valida mõni ohutu kiisupilt. Alul käivitame DigiDoc3 äpi:

Valime „allkirjastada dokument“, kusjuures vorminguks valime moodsaima „*.asice“:

Ka lisaväljad võib täita, ehkki testi puhul pole seda otseselt vaja:

Dokument on allkirjastamiseks valmis, nüüd tuleb vajutada “Allkirjasta” nupule ja sisestada oma kaardi PIN2:

Eeldatav tulemus

Kui tegevus õnnestus, on tulemuseks digiallkirjastatud kassipilt:

Sellega on raja B tegevused edukalt sooritatud.

Hoiatus! Rada B tuleb kindlasti edukalt läbida enne, kui üldse raja C (ehk sirvikute konfigureerimise) juurde edasi liikuda. Sestap on siin vahel punane joon.

Rada C

Kolmas ja viimane rada kätkeb endas sirvikute konfigureerimist netis kasutamiseks. Põhiliselt vajavad sättimist allkirjastamise moodulid. Lähtuda tuleb id.ee ajakohasest infost sirvikute Safari, Chromium ja Firefox kohta.

Rada C sisaldab selliseid tegevusi:

Raja C tegevused tuleb sooritada iga sirviku jaoks eraldi. Otstarbekam on kõigepealt häälestada ära põhisirvik Safari ja alles siis Chrome ning Firefox.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Tegevus 8 – Automaatinstalli tulemuste ülevaatus. Safariga saab paigaldus ise hakkama – sealsed moodulid klikime lahti alles tegevuses nr 10. Kindlasti aga modifitseeris paigaldusprogramm sirvikute Chrome ja Firefox sättungeid. Emma-kumma käivitamisel ilmub tavapärane turvahoiatus, et programm on pärit pahast-pahast Internetist. Antud juhul ohtu pigem pole –- olid see ju Sina ise, kes just tõi õiged sirvikud originaalsaidist kohale:

Edasi vaatame üle, missuguseid muudatusi installer sirvikute häälestusse tegi.

Chrome

Chrome’i puhul märgib muudatusi sirviku üleval paremas nurgas tekkinud ID-ikoon (millel võib lisainfo saamiseks ka klõpsata):

Ühtlasi annab Chrome meile teada:

Loomulikult tuleb vajutada nupule „Enable Extension“.

Firefox

Firefox annab muudatustest väga häälekalt teada. Muudatused tuleb aktsepteerida (linnuke kasti „Allow this installation“) ja vajutada ilmuvale nupule “Restart”:

ID-kaardi tarkvara uusim versioon paigaldab suisa mitu lisamoodulit, sestap ilmub nähtavale teinegi infoteade:

Ka selle teate puhul tuleb teha linnuke kasti „Allow this installation“.

Tegevus 9 – kontrolli, kas sirvik suudab operatsioonisüsteemi vidinatega suheldes Sind mõnda e-teenusesse autentida (sisse logida). Lihtsaim on selleks kasutada testimiseks mõeldud spetsiaalset tervituslehte. Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

(Sügavam selgitus: viisakate e-teenuste https-ühendus moodustatakse viisil, et TLS pannakse püsti ID-kaardil leiduva krüptomaterjali abiga. See omakorda nõuab kaardi „avamist“ PIN1 koodi abil. Kui sirviku ja ID-kaardi suhtlus miskipärast ei toimi, siis turvalist https-ühendust püsti panna ei õnnestu ja tervituskatse luhtub.)

Sisselogimiskatse tuleb sooritada eraldi iga kolme sirvikuga.

Eeldav tulemus

Tervitusleht palub valida sertifikaadi (formaalsus), seejärel palutakse sisestada PIN-kood:

Kui kõik õnnestub, siis näidatakse lõbusat ID-mehikest:

Võimalikud veateated

ID-kaarti ei leitud:

On võimalikud ka ebamäärasemad veateated:

Sellise veateatega sirvikut ei saa edaspidi kindlasti kasutada. Viga tuleb üles leida ja lahendada, vajadusel spetsialisti poole pöördudes.

Kõige keerulisematel juhtudel on midagi vussis tarkvaraliste alamsüsteemide vahel – üks aken näitab, et ID-kaart on loetav ja teine, et pole. Sellisel segasel puhul on mõtet teha restart ja kui see ei aita, pöörduda IT-asjatundja poole.

Kuniks pole autentimist tööle saadud, on parem allkirjastamise juurde mitte edasi liikudagi (sest praktiliselt kõikidesse digiallkirjastamist nõudvatesse e-teenustesse tuleb esmalt sama sirvikuga sisse logida).

Tegevus 10 – Tuleb üle kontrollida ja häälestada kõigi sirvikute moodulid ja pluginad. Tegevuses tuleb lähtuda id.ee juhistest:

• Safari
• Chrome
• Firefox/Mozilla

Safari

Leia Safari menüüst valik „Preferences”:

Vali turvalisuse sakk („Security“) ning klõpsa seal nupul „Plug-in Settings“:

Ilmub nähtavale pluginamenüü, kust paistab, et „Firefox Token Signing“ ongi juba installitud ning ka sisse lülitatud (seisundis „On“). Kui ka Sinu arvutis paistab samamoodi, siis midagi tegema ei pea. Vajuta „Done“:

Ühtlasi ei maksa end lasta nimetustest eksitada – jah, tõepoolest – ka Safari kasutab „Firefoxi“ nimelist pluginat.

Chrome

Chrome’is vajab ülekontrollimist üksainuke laiendus (extension). Nn kolme-täpi-menüüst tuleb jõuda menüüpunktini Extensions / Laiendused:

Laiendus nimega „Token Signing“ peab olema seisundis „Lubatud“  (Enabled). Kui polnud, siis tuleb see käsitsi aktiveerida ja teha sirvikule restart:

Firefox

Firefoxi all on sättimist vajavaid laiendusi ja pluginaid pisut rohkem, pealegi oleneb nende kogus ID-kaardi tarkvara versiooninumbrist. Alates jaanuarist 2017 tuleb sättida tervelt kaks laiendust (extensions).

Nn kolme-triibu-menüüst tuleb liikuda alammenüüsse “Lisad”:

Juhul kui tegu on ID-kaardi tarkvara uuema versiooniga, paistab menüüs „Extensions“ / „Laiendused“ suisa kaks laiendust:

Kumbki moodul pole ülemisel pildil veel aktiivne. Mõlemad tuleb käsitsi lubada ning teha sirvikule restart:

Ent sellega häälestus ei piirdu. Tuleb veel minna alammenüüsse „Pluginad“ ning kui tegu oli vanema tarkvaraga, siis paistab seal moodul „Firefox Token Signing“, mis tuleb keerata aktiivseks:

Lõpptulemus – plugin olgu seisundis “alati aktiivne”:

Kokkuvõttes – Firefoxi puhul tuleb aktiveerida kaks ühikut lisamooduleid. Varem oli üks neist plugin, teine laiendus, alates jaanuarist 2017 pakutakse kaht laiendust.

Tegevus 11 – Sirvikuga allkirja andmine. Tuleb tunnistada, et digiallkiri on tõsine värk ja Eestis on raske leida e-teenust, kus saaks digiallkirjastamist ohutult, kuid tasuta testida. Üks selliseid keskkondi on hiljuti uuenenud digidoc.ee. Piiranguks on eelnev registreerimine. Tuleb ID-kaardiga sisse logida, endale „kasutaja teha“ ning – eestlasele tundub see jabur – siis saadetakse e-kirjaga registreerimislink, mida klikkides konto luuakse. Ent portaal muutus rahvusvaheliseks, Leedu IT-ettevõte Estina peab arvestama ka teiste riikide kommetega. Igatahes saab kuni 5 digiallkirja kuus anda tasuta ning just seda me hetkel vajame.

Pärast registreerimist tuleb oma kontole laadida üles mõni sobilik kiisupilt ning see allkirjastada. Mõned ekraanipildid (küll Windowsi keskkonnast), mis seda protseduuri illustreerivad:

(selle koha peal surises portaal vähemalt kaks minutit… ikkagi tasuta kasutaja või sedasi…). Lõpuks küsiti PIN2 koodi:

Eeldatav tulemus

Pärast edukat allkirjastamist saadetakse e-kirjaga kinnituskiri. Edu on selgelt tähistatud.

Tegevus 12 – Tuleks sooritada sirvikuga allkirjastamise test veel ka mõnes muus e-teenuses, eelistatult pangas. Netipankade allkirjastamisskriptid on ühtlasi keerulised ja neid kasutatakse kõige sagedamini, mistõttu vead ilmnevad kõige kiiremini. SEB on valitud isikliku eelistuse põhjal, testida võib ka teistes netipankades.

Internetipanga kasutamiseks tuleb end kõigepealt sisse logida, milleks on loomulikult vaja kasutajatunnust vastavas pangas. Edasi toimub sertifikaadivalik ja PIN1 küsimine, nagu igas e-teenuses:

Seejärel tuleb alustada sobivate rekvisiitidega makset ning see allkirjastada:

Võimalikud veateated

Allkirjastamine ebaõnnestus:

Kas lubad veebilehel kasutada pluginat:

Ehk unustasid Sa mõne plugina või laienduse aktiveerimata. Mine tagasi tegevusse 10 (rada C) ja aktiveeri vastava sirviku kõik asjassepuutuvad pluginad – nende seisund peab olema mitte “Ask”, vaid “Always Active”.

Kindlasti on võimalikke veateateid rohkem, kuid Maci testimise käigus neid lihtsalt ei esinenud – pangas allkirjastamine töötas laitmatult.

Taustainfot Maci turvalisuse kohta

Eraldi teema on MacOSi kasutamine turvalise platvormina – ehk usaldatud töövahendina. Isegi Apple ei väida enam MAcOSi tutvustuses, justkui oleks OSX / MacOS viirusevaba ja turvaliselt ülim operatsioonisüsteem. Võrreldes Windows 10 tulemuslikuks ründamiseks vajalike võtete keerukusega on MacOSi kuritahtlik ärakasutamine oskuslikule ründajale oluliselt hõlpsam.

Kui Sul on ikkagi kange tahtmine õunamärgilise seadmega oma raha- ja tööasju ajada, soovitame see võimaluste piires turvata. Juhendeid on selleks erinevaid ning me ei saa siinkohal ühtki teisele eelistada. Alustuseks sobib aga end drDuhiks nimetava tegelase ülevaade MacOSi turvalisemaks (kuigi mitte turvaliseks) konfigureerimise meetmetest või siis lihtsam skript, mis õunamasina seadeid kontrollib ning neid kasutaja nõusolekul „peenhäälestab“. Infolink veebilehitseja Safari turvalisuse kohta.

Murekohad

Olulised “märkused” ID-kaardi tarkvara juurde:

Tuleb aru saada, et Apple’i tarkvara on oma olemuselt kinnine. Ligipääs sellele, saati siis enne ametlikku reliisi, on seotud väga karmide NDA tingimustega. Otse öeldes, arendustingimused on karmid, nii meie- kui muumaistel arendajatel tuleb kassi otsida pimedas toas. Tõenäoliselt aja jooksul, kui Macimaailmas hakatakse kiipkaarte rohkem kasutama, muutub olukord paremaks. Taustainfo: Ludovik Rousseau blogi, eriti OSi uusversioonide ilmumise paiku.

Arvestades, milline on Maci kasutajate hulk Eestis protsentuaalselt, tuleks neil olla õnnelik, et tugi operatsioonisüsteemile MacOS X on olemas. Selle toe kvaliteet ei ole veel parim, põhjusteks asjaliku tagasiside vähesus ja ennekõike kinnine arendusplatvorm. Hetkel tuleb Maci kasutajatel teadmiseks võtta, et ID-kaardi tarkvara kvaliteet ei küündi samale tasemele kui näiteks Windowsi puhul. Oleneb ju tarkvara kvaliteet otseselt kasutajate hulgast ja antava tagasiside põhjalikkusest.

Kui keegi mõne probleemi avastab, või veel enam, selle enda jaoks lahendab, palun sellest kindlasti teada anda ka telefonil 1777.

Apple’i üldine ideoloogia on, et programm teeb mingit üht asja ja teeb seda hästi. Antud juhul tuleb sellesse eesmärki suhtuda reservatsioonidega: kasutajad peavad aru saama, et Apple’i kinnine arendusmudel koos kasutajate vähesusega ei ole seni võimaldanud MacOS Xi spetsiifilisi muresid baastarkvarast päris lõpuni välja ajada.