Tag Archives: Mac

ID-kaardi tarkvara paigaldamisest

Autor: Anto Veldre, analüütik

Viis logo: Internet Explorer, Chrome, Firefox, Edge, Safari

Viie veebilehitseja logod, allikas: www.id.ee

Sirvikutest

ID-kaardiga koosvõimelisi sirvikuid (teise nimega brausereid) on neli, lisaks tuleb mainida üht (s)irvikut, mis vaatamata kõrgetele ootustele endiselt ID-kaardiga koostööd ei tee.

Firefox – Väga levinud ja suhteliselt vana vabavaraline sirvik. Kõlbab kasutada kõigil platvormidel. Võrreldes teiste peavoolusirvikutega on ehk kõige kergekaalulisem (low footprint). Linuxi puhul on Firefoxi lihtsaim tööle saada. On teadaolevaid puudusi – nuhib pisut ülearu (kuniks ise ära ei keela) ja vahel kuritarvitab mälu (abiks about:memory), mistõttu puhutine restart abiks (jah, restart – Z-põlvkond, kes te permanentselt 50 sirvikuakent korraga lahti hoiate). ID-kaardi kasutamiseks on vaja häälestada kaks allkirjastamise lisamoodulit (võrreldes Chrome’i üheainsaga). Koopiaõiguslikel põhjustel kasutatakse ka nimesid Mozilla või suisa Icewiesel.

Chrome – Suhteliselt laia jalajäljega barokkbrauser. Mees nagu orkester – kõlbab kasutada kõigil platvormidel. Tarvitab väga palju mälu ja tal on komme kõvaketas märkmeid täis kirjutada. Varastab privaatinfot ja üritab kasutajat pidevalt sisselogitud olekusse meelitada (siis saab rohkem infot). Samas annab kasutajale üht-teist head vastu ka. Chrome ei pruugi sobida vanadesse aeglastese arvutitesse, sest tahab ise ja üksi saada suurusjärgus 1 GB mälu. Koopiaõiguslikel põhjustel kasutatakse Linuxi all nime Chromium.

Internet Explorer (IE) – Paljusid avalikke veebistandardeid sihilikult eirav vananenud ese. Saadaval üksnes Microsofti operatsioonisüsteemides. Käivitamisel näib kiire, tegelikult aga lihtsalt kaval – laadib end varakult mällu valmis. Sirviku küüru otsas elavate BHO moodulite turvalisuse üle võib ilkuda, aga Microsofti puhul kaitseb opsüsteem oma kasutajat muul moel. Positiivset: selle toote nurgad on ammu maha lihvitud, töötab stabiilselt, netis on saada arvukalt juhendeid ja abi.

Edge – tuttuus sirvik, esineb vaid Windows 10s. Vaatamata kõigile lubadustele ja lootustele pole ID-kaardi jaoks seni pruugitav. Häkkerid tegelikult oskavad autentimist tööle panna küll, kuid allkirjastamist mitte. Põhjus – Microsoft pole seni tekitanud konksu, kuhu allkirjastamise lisamoodul saaks kinnituda. Vähemasti on Edge nii armas, et peamised veebisaidid, millega ta hakkama ei saa, suunatakse ühe teatava nimekirja abil IE kätte töötlemiseks. Viis, kuidas Edge seda teeb, on sama armas:

Tekst: "You've stumbled upon some vintage web tech. This website runs on older technology and will only work in Internet Explorer." Ja nupp kirjaga "Open with Internet Expolrer."

Allikas: kuvatõmmis

Safari – Kuulsusrikkale ajaloole vaatamata on see sirvik täna aktuaalne vaid MacOS Xi all, kus see on integreeritud põhibrauseriks.

Kindlasti oled märganud, et sirvikute puhul on inimeste maitse totaalselt erinev. Nagu ka filmi- ja raamatueelistused – igaühel on oma lemmik ja ratsionaalset selgitust valikule sageli ei leidu. Paljud inimesed hoiavad oma elu turvadomeene sirvikukaupa lahus – ehk siis ühe sirvikuga ajavad tööasju, teisega eraasju. Kuivõrd tänapäeval läheb iga brauser arendusvigade või uuenduste tõttu perioodiliselt katki, on kasulik hoida installeerituna ning ajakohasena mitut brauserit.

Ehk on huvitav teada, et ID-kaardi seisukohast eksisteerib veel terve seltskond mittesirvikuid, näiteks Opera, millel moodulite tugi puudus sedavõrd pikalt, et arendajad minetasid selle vastu huvi.

Operatsioonisüsteemidest

Kolm logo: Windows, Apple, Linux

Allikas: http://www.newgrounds.com/bbs/topic/199254

Operatsioonisüsteem (OS, opsüsteem) on standardtarkvara, mis istub rauakasti ja ülejäänud laiatarbetarkvara vahel. Selle ülesanne on tühjale Golemile elu sisse puhuda. Tänapäeva mure: uusi turvaauke tuleb peale sellise kiirusega, et keegi peab neid pidevalt lappima. Maksulise tarkvara puhul on lappijaks tootja, vaba tarkvara puhul mõni vabaseltskond või rohe-idu-ettevõte. Tekib ilmne kulumure – kui kaua jaksame vanu operatsioonisüsteeme hingamisaparaadi all hoida?

ID-kaart pole toetatud sugugi mitte kõigil maailma operatsioonisüsteemidel, vaid üksnes neil, millele RIA on jaksanud toe tellida. Seejuures tuleb kogu aeg hoolega peale passida, et mitte raisata raha gerontoloogiale. Rusikareegel: ID-kaardi tarkvara on saadaval peamiselt neile operatsioonisüsteemidele, mida ka tootja ise veel aktiivselt toetab.

Täpne loetelu operatsioonisüsteemidest, mida ID-kaart toetab, on saadaval lehel id.ee.

Android ega iOS täna veel ID-kaarti ei toeta (ka m-ID jääb tänase teema serva taha), ent ehk ilmub see tugi millalgi tulevikus (nn MOPP projekti raames). Windows XP ja Vista kohta võib öelda, et nende parim enne on ammu läbi – neid ei toetatata põhjusel, et nad on aegunud.

Satiiriline kontrollküsimus: miks ometi küll keegi ei nõua ID-kaardi tuge MS DOS versioonile 3.3 ja PDP-11 miniarvutile?

Edulugu

Siis ikkagi – kui keeruline on oma lemmik-operatsioonisüsteemile ID-kaardi tuge installida? Ütleme ausalt, keerukus ja saavutatav tulem oleneb vägagi operatsioonisüsteemist.

Microsoft Windowsiga ID-kaardi kasutajaid leidub sedapalju, et enamik pisivigu on ammu välja silutud (vigade väljatulek teatavasti eeldab suurt kasutajahulka ja pidevat tagasisidet). Tädi Maali suutis oma testimisega riivata vaid üht viga ja seegi langes pigem iseehitatud arvuti kui Microsofti või RIA kapsaaeda.

Microsoft Windowsi puhul on tädi Maalil siiski huvitav ettepanek – panna ID-kaardi tarkvara peale juba arvutifirmas, müügieelse ettevalmistuse käigus.

MacOS X kasutajaid on Eestis suhteliselt vähe, küll aga on nad teadlikud, nõudlikud ja häälekad ning annavad märgatud hädadest valju kisaga teada. Paraku ei saabu juhuslike ja süsteemsete murede ravi Apple’i firmast sugugi ergult. MacOS Xi eri probleeme kiipkaartide käsitlemisel on oma blogis värvikalt kirjeldanud Ludovik Rousseau (eriti tasub lugeda aastate 2014/2015 artikleid – siis tekkisid Yosemite & El Capitan). RIA ja SK on kinnise arhitektuuriga süsteemi pisihädasid ravides üksjagu võimelnud, aga lõplikku (töö)kindlust pole tänagi.

Ubuntu Linuxi kasutajate elu on kõige keerulisem. Kuigi vahel unistatakse meil lootusrikkalt nn rahvaLinuxist (Estobuntu etc), selgitas tädi Maali vahetu testimise käigus üheselt välja, et lihtinimesele on Linuxi puhul jalutamiseks jäetud vaid üks ülikitsas rada – kõige viimane OS version koos ID-kaardi tarkvara kõige viimase versiooniga. Ehk läheb käima, aga ehk ei lähe ka.

Tädi Maali test

Kokkuvõte tädi Maali tehtud testimisest:

Kommentaarid tabelile:

  • Halliga on tähistatud kombinatsioonid, mida Tädi Maali ei testinud (kas ilmvõimatuse või ajapuuduse tõttu).
  • ID-kaardiga otse suhtlev tarkvara, s.o haldusvahend ja DigiDoc3, osutus väga töökindlaks igal platvormil. Korduva ning kuritahtliku vaevanägemise järel õnnestus ID-kaardi haldusvahend kurja pilgu abil pangestada vaid ühel Ubuntul ja ühel isevalmistatud Windows 7 aparaadil:

    Tekst: "The application ID-card Utility has closed unexpectedly."

    Allikas: kuvatõmmis

  • Ubuntu versioone 14.10 ja 15.04 ID-kaart ei toeta. Tundub, et põhjusega. Linuxi nähtused on sedavõrd spetsiifilised, et neid käsitleme eraldi, nohikusektsioonis.

Juhised

Allpool on viited blogiartiklitele, mis kirjeldavad, kuidas eri platvormidel ID-kaardi tarkvara õigesti paigaldada, viisil, et netibrauseris töötaksid nii autentimine kui allkirjastamine.

Universaalne töövoog ID-kaardi tarkvara installimisel mistahes (toetatud) platvormile peaks välja nägema selline:

Autor: Anto Veldre

Iga raja läbimiseks tuleb teha terve hulk alltegevusi, need paistavad välja mõnevõrra keerukamalt ülddiagrammilt:

ID-kaardi paigaldamise töövoo diagramm. Allikas: tädi Maali onupoja tädimehe lapselaps, analüütik Anto

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Operatsioonisüsteemipõhiste juhiste kõrval võiks kinni pidada sellisest raamtegevuskavast:

1. Veendu, et arvuti kogu tarkvara on uuendatud ja uusim. Pärast seda tee arvutile kindlasti rebuut (ära küsi MIKS – arendajad on tarkvara luues karmareeglite vastu eksinud sedavõrd korduvalt – lihtsalt tee!).

Tekst: "Wou need to restart your computer for the changes to take effect.

Allikas: kuvatõmmis

2. Paigalda oma arvutisse kõik need sirvikud, mida Sa hiljem tahad koos ID-kaardiga pruukima hakata. Miks kohe praegu? Sest kui sirvikud on arvutis juba olemas, siis vähemasti Windowsis on ID-kaardi installeril võime osa tööd Sinu eest ära teha – pluginad võivad installeeruda automaagiliselt, eriti Win7 all. Vt ka punkti 8.

3. Paigalda arvutisse UUSIM VERSIOON ID-kaardi tarkvarast. Seda manti saab lehelt www.id.ee vastavalt oma operatsioonisüsteemile (loe: Maciga ära Linuxi softi järele mine!). Samas paigas on ka juhised edasitalitamiseks. Viska vahelduseks pilk ekraanile – ega kusagil ei vilgu tulikirjas ERROReid?

Vajuta nupule “Paigalda ID-tarkvara”:

Allikas: kuvatõmmis

4. Pista kaart pilusse ning palun ikka õigetpidi, mitte nii nagu sel pildil siin. Kaardilugeja pistik võiks ka olla torgatud arvuti USB-pesasse.

Kas leidsid vea? Autor: Anto Veldre

5. Kontrolli ID-kaardi haldusvahendi abil, et andmed suudetakse kaardilt välja lugeda. Sel hetkel tavaliselt saabki selgeks, kas kaardilugeja juhe oli tagant ära

Haldusvahendis on punaselt kirjas veateade: "Ühtegi kiipkaardilugejat pole ühendatud".

Allikas: kuvatõmmis

või kaart oligi valepidi sees.

ID-kaardi haldusvahend on vägagi töökindel programm. Kui selle tarvitamise käigus ilmneb „nähtusi“, siis tuleb need lahendada enne, kui üldse sirvikute häälestamise juurde asuda. Aeglases masinas võib juhtuda, et haldusvahend “korraks peatub”. Kui olukord mõne sekundiga üle ei lähe, tuleb see liigitada kahtlaseks.

Haldusvahendi päises on kirjas "ID-kaardi haldusvahend (Not Responding)".

Allikas: kuvatõmmis

Pilt asjalikust haldusvahendist:

Pildil haldusvahend, mis kuvab ID-kaardi andmeid (isikuandmed, dokumendi andmed, sertifikaatide andmed).

ID-kaardi haldusvahend, allikas: kuvatõmmis

6. Veendu, et tead oma kaardi PIN1 koodi, et see kood on õige ning et PIN poleks lukustunud. Kuidas PIN1 kontrollida? Muudkui aga kliki passipildi kastikesel („Laadi pilt“)!

Veateade PIN koodi sisestamisel: "Vale PIN1 kood. Saad veel proovida 2 korda".

Allikas: kuvatõmmis

Ups! Seevastu õige PIN1 puhul antakse näha passipilti:

Passipilt

Allikas: PPA ja kuvatõmmis

7. Käivita DigiDoc3 programm. Leia arvutist mõni kiisupilt ning digiallkirjasta see. Digisigneerimise käigus selgub vältimatult, kas Sa ikka tead oma õiget PIN2 koodi ning ega see pole juhtumisi lukustunud.

Allikas: kuvatõmmis

Alles nüüd (ja üldsegi mitte varem) on mõtet üldse asuda sirvikute häälestamise kallale.

8. Käivita iga sirvikumark ükshaaval. Vaata, kas ehk ilmub kuhugi (üles paremasse nurka) teade, et installer on Sinu eest mingi osa tööd ära teinud (st sirvikusse mõne mooduli installeerinud)?. Just seda tähistab hüüumärk Chrome’i aknanurgas. Kui nii, siis nõustu kõige tehtuga:

Tekst ekraanil: "Lisati "Token signing". Teine programm teie arvutis lisas laienduse, mis võib muuta Chrome'i toimimist. Rakendus saab teha järgmist. Külastatavate veebisaitide andmete lugemine ja muutmine. Side koostööd tegevate omarakendustega." Nupud: "Luba laiendus" ja "Eemalda Chrome'ist"

Autor: Anto Veldre

(infoturblasena naudin eriti just võimalust muuta külastatavate veebisaitide andmeid 😉 – see on nali)

Firefox näitab mooduli installeerimist välja sedasi:

Ekraanil tekst "Mingi teine rakendus sinu arvutis soovib Firefoxi järgneva lisaga muuta: Firefox PKCS11 loader 3.12.0..."

Allikas: kuvatõmmis

9. Autentimistest. Üks sirvikumark korraga, kontrolli aadressil sk.ee/tervitus, kas konkreetne sirvik suudab PIN1 küsida ja selleks vajalike OS-jubinatega suhelda. Sirvikus allkirjastamise juurde pole mõtet enne edasi liikudagi kui sisselogimise osa korras. Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Alljärgnev pilt osutab, et Sinu sirvikuga on miskit väga pahasti, see ei näe kohe üldse kaarti. Kui masina restart või kaks ei aita, siis avitab vaid spetsialist. Ise edasi näperdamisel puudub sügavam mõte.

Ekraanil tekst: "This site can't provide a secure connection. www.sk.ee didn't accept your login certificate, or one may not have been provided. Try contacting the system admin. ERR_BAD_SSL_CLIENT_AUTH_CERT"

Allikas: kuvatõmmis

Autentimise osa (ehk siis PIN1 pruukimise sirvikus) võib lugeda lootustandvaks, kui ette tuleb säärane pilt:

Ekraanil tekst: "ANTO VELDRE! ID-kaardi meeskond tervitab Sind ID-kaardi eduka kasutuselevõtu puhul! ..."

Allikas: kuvatõmmis

Reeglina, kui ühte e-teenusesse juba õnnestus end sisse logida, siis võiks see õnnestuda ka järgmistes. Sellegipoolest ei tee paha veel teiseski teenuses üle katsetada.

Ära siis unusta, et oled seni autentimist kontrollinud vaid ühes sirvikus. Samad tegevused tuleb teha eraldi iga sirviku jaoks!

Nüüd liigume edasi allkirjastamismoodulite kallale – parimad juhised on saadaval id.ee saidilt (juhised pisut erinevad vastavalt operatsioonisüsteemile):

Ekraanil tekst: "4. Luba allkirjastamiseks vajamineva plugina kasutus. Juhiste nägemiseks klõpsa kasutatava veebilehitseja ikoonil", seejärel kolm logo: IE, Chrome, Firefox

Allikas: kuvatõmmis

10. Üks sirvikumark korraga, loe id.ee juhiseid ning säti vastavalt juhistele aktiivseks iga sirviku laiendused ja pluginad.

Juhul kui mõni nõutav moodul on üldse puudu, tee alul sirvikule restart, siis OSile restart ja kui ikka puudu (hmm, mida ei tohiks küll juhtuda, kuid kui juhtub), siis tiri vajalikud lisajubinad käsitsi kohale ja tutvusta neid oma sirvikule (aktiveeri).

Kuivõrd moodulite paigaldus on operatsioonisüsteemiti pisut erineva kujuga, siis sellest täpsemalt juba iga operatsioonisüsteemi käsitlemise juures.

Pärast kõigi sirvikute timmimist tasub teha arvutile taas kord igaksjuhuksrestart (rebuut) ja veenduda, et sirviku lisamoodulite (laienduste, pluginate) õige ja vajalik seisund on säilinud ka pärast restarti.

11. Dokumendi allkirjastamist sirvikus tuleb kindlasti testida, näiteks portaalis digidoc.ee. Ohutu on allkirjastamiseks üles laadida mõni mitteprivaatne kiisupilt. Täpsemad juhised iga OSi blogipostituse juures eraldi.

12. Kõige lõpuks veendume, et sirvikus töötab ka transaktsiooni allkirjastamine. Selleks mine oma lemmikteenustesse (näiteks mõnda netipanka) ning tee €1,57 ülekanne sõbrale või sugulasele. Kas õnnestus? Pilte vaata konkreetse OSi blogiteksti juurest.

Muud

Üldjuhul me ei õpeta Sind, kuidas saada oma arvutis administratiivkasutaja õiguseid, s.o siis sellise kasutaja õigusi, kel on õigus tarkvara paigaldada. Eeldame, et Sul on need õigused olemas.

Ignoori opsüsteemide reklaami- ja lobajuttu. Enamasti on sealt sügavam mõte puudu.

Lugemisvaate nupu selgitustekst: "Lugemisvaade. Eemalda kogu segav virvarr, nii et saaksid keskenduda lugemisele."

Allikas: kuvatõmmis

ID-kaardi tarkvara paigaldamine konkreetses operatsioonisüsteemis

ID-tarkvara paigaldamine macOSile

Blogiseeria selles osas uurime ID-kaardi tarkvara paigaldamist Apple’i arvutitele. Apple’i kompuutritel on toetatud kolm viimast OSi (hetkel: Yosemite, El Capitan, Sierra):

Allikas: kuvatõmmis

ja kolm sirvikut:

Allikas: Anto Veldre

Ühtlasi soovitame läbi lugeda blogikrje lõpuosas paiknevad peatükid “Murekohad” ja “Taustainfot Maci turvalisuse kohta”.

Paigaldus

Paigaldamise üldine töövoog näeb välja selline:

Autor: Anto Veldre

Vaatleme korraks ka detailvaadet. ID-kaardi tarkvara paigaldamise, häälestamise ja testimise protseduur on jaotatud kolmeks järjestikuseks rajaks – A , B, C – millest igaühe läbimine on järgmise raja eeldus. Sõnaga, nagu arvutimängu levelid.

ID-kaardi paigaldamise töövoo diagramm. Autor: Anto Veldre

Raja A läbimine tagab, et programmid on õigesti paigaldatud. Rada B selgitab välja, kas kasutajal on olemas vajalikud PIN-koodid, kaart pole lukus ega sertifikaadid aegunud ning et kasutajal on olemas vajalikud vilumused PIN-koodide pruukimiseks. Lõpuks, raja C läbimine tagab, et ka sirvikud saavad ID-kaardi tarkvaraga hästi läbi ja nõustuvad koostööd tegema e-teenustega, kus vajatakse nii sisselogimist kui allkirjastamist.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Sissejuhatus tehtud, võime liikuda raja A läbimise juurde.

Rada A

Raja A läbimine (tegevused 1–5) käigus paigaldab kasutaja vajaliku tarkvara. Raja A edukas läbimine annab kindluse, et kaardilugeja töötab ja ID-kaardi sisu on operatsioonisüsteemile üldse nähtav – vastasel juhul ei hakka tööle ka muud, keerulisemad toimingud.

Algus > 1. Uuenda arvuti tarkvara! > Rebuut! > 2. Paigalda arvutisse ette ära kõik vajalikud sirvikud > 3. Paigalda UUSIM versioon ID-tarkvarast > 4. Ühenda kaardilugeja arvutiga, pista ID-kaart sisse (ja hoia seal lõpuni) > 5. Kontrolli ID-kaardi loetavust haldusvahendiga >

Allikas: Anto Veldre

Tegevus 1 – uuendamine/värskendamine/ajakohastamine. Apple’i arvutitel toimub uuendamine automaatselt äpipoe kaudu, kuid „Update“ käsk tuleks kindluse mõttes anda ka käsitsi. Alljärgneval pildil on kaks uuendust soolas ning need tuleks vastu võtta, enne kui edasi liikuda. Vajuta nupule „Updates“.

Allikas: kuvatõmmis

Tegevus 2 – Arvutisse tuleb paigaldada kõik asjakohased sirvikud, ehk siis Firefox ja Chrome. Need tuleb ise netist kohale tuua, vastavalt siis Mozilla ja Chrome’i allalaadimislehelt. Paigaldus käib nagu Macis ikka: tuuakse kohale *.dmg fail, käivitatakse see, lohistatakse aplikatsioon Installerisse. Alljärgnev näide põhineb Firefoxil, Chrome paigaldamine on väga sarnane:

Vali “Downloads”. Allikas: kuvatõmmis

Faili avatakse. Allikas: kuvatõmmis

Fail liigutatakse kausta “Applications”. Allikas: kuvatõmmis

Eeldatav tulemus

Launcheris on näha mõlema sirviku käivitusikoonid:

Allikas: kuvatõmmis

Käivitama veel ei pea, see jääb pärastiseks.

Tegevus 3 – Nüüd asume paigaldama ID-kaardi tarkvara. Lähtuda  tuleb id.ee juhistest, põhjusel, et seda blogikirjet aasta pärast keegi ei uuenda, id.ee juhiseid aga küll. Saidile installer.id.ee Maciga minnes antakse platvormikohaseid soovitusi:

Allikas: kuvatõmmis

MacOSXi puhul erineb installeerimine kõigist teistest platvormidest sellega, et esimese paketina kästakse alla tõmmata sirvikutugi (allkirjastamine ja autentimine veebis) ning alles teise paketina ID-kaardi haldusvahend koos DigiDoc3 utiliidiga). Probleem – kiirelt tegutsejad jätavad mõnikord teise toe paigaldamata, mistõttu, kui neil tekivad probleemid, pole neil vahendeid vigade leidmiseks ja väljaajamiseks.

Seetõttu anname kindla soovituse – kindlasti ikka peale panna kõik viidatud paketid.

Paigaldamine toimub rakenduste poe kaudu täiesti tavaliselt:

Vali “Downloads”. Allikas: kuvatõmmis

Faili avatakse. Allikas: kuvatõmmis

Kohale toodud paigaldusäpp tuleb käima klikkida:

Allikas: kuvatõmmis

Paigaldamise käigus nõutakse administraatori parooli:

Allikas: kuvatõmmis

Paigalduse lõppedes hoiatab installer, et on vaja ära tuua veel teinegi pool tarkvarast. Seda tulebki teha:

Allikas: kuvatõmmis

Äppstoori vaade on selline (mõlemad paketid ootavad installimist):

Allikas: kuvatõmmis

Eeldatav tulemus

Mõlemad äpid (ID-kaardi haldusvahend ja DigiDoc3) on installitud ja kasutamiseks valmis:

Allikas: kuvatõmmis

Kui äpid saavad paigaldatud, ilmuvad nad nähtavale ka Launcheris:

Allikas: kuvatõmmis

Tegevus 4 – Ühenda kaardilugeja arvutiga (enamasti käib see USB-pistiku abil), ning pista kaart lugejasse. Jälgi, et kaart oleks lugejas ikka õigetpidi:

Autor: Anto Veldre

Kontrolli et tegu oleks ikka õige kaardiga, mis on õigetpidi sees (pilt allpool, kiip eespool). Vähemalt kord elus pistab meist igaüks lugejasse hoopis pangakaardi ja siis imestab: miks küll ei saa e-teenusesse sisse logida:

Autor: Anto Veldre

Tegevus 5 – Käivita äpp, mille nimi on ID-kaardi haldusvahend (ID-card Utility) ning veendu, et haldusvahend näeb kaarti ning suudab sellelt andmed sellelt välja lugeda.

Eeldatav tulemus

Allikas: kuvatõmmis

Võimalikud veateated

Juhul kui on tehtud viga kaardilugeja ühendamisel või on kaart valepidi sees või on kiip tuksis, võivad esineda sellised veateated:

Allikas: kuvatõmmis

Allikas: kuvatõmmis

Rada B

Rada B on mõeldud krüptograafiaga kaasneva info kontrollimiseks:

  • kas PIN-koodid on meeles,
  • ega PIN-koodid pole lukustunud,
  • kas isikusertifikaadid kehtivad,
  • kas konkreetne kaart on võimeline krüptograafilisi toiminguid sooritama.

Allikas: Anto Veldre

Tegevus 6 – PIN1 abil saab Haldusvahendis avada oma passipildi (see tuuakse PPA andmebaasist). Selleks tuleb vajutada lingile „Laadi pilt“ ja sisestada oma kaardi PIN1:

Allikas: kuvatõmmis

Juhul kui PIN1 on õige, ilmub ekraanile Sinu passipilt:

Allikas: PPA ja kuvatõmmis

Kas nägid oma passipilti? Kui ei, siis pole mõtet edasi liikuda, vaid tuleb lahendada PIN1 mure.

Tegevus 7 – PIN2 koodi kasutades tuleb Digidoc3 utiliidi abil digiallkirjastada mõni fail. Kuivõrd digiallkirjal on õiguslik tähendus, siis tuleks testimiseks valida mõni ohutu kiisupilt. Alul käivitame DigiDoc3 äpi:

Allikas: kuvatõmmis

Valime „allkirjastada dokument“, kusjuures vorminguks valime moodsaima „*.asice“:

Allikas: kuvatõmmis

Ka lisaväljad võib täita, ehkki testi puhul pole seda otseselt vaja:

Allikas: kuvatõmmis

Dokument on allkirjastamiseks valmis, nüüd tuleb vajutada “Allkirjasta” nupule ja sisestada oma kaardi PIN2:

Allikas: kuvatõmmis

Eeldatav tulemus

Kui tegevus õnnestus, on tulemuseks digiallkirjastatud kassipilt:

Allikas: kuvatõmmis

Sellega on raja B tegevused edukalt sooritatud.

Hoiatus! Rada B tuleb kindlasti edukalt läbida enne, kui üldse raja C (ehk sirvikute konfigureerimise) juurde edasi liikuda. Sestap on siin vahel punane joon.

Allikas: kuvatõmmis

Allikas: kuvatõmmis ID.ee saidist

Rada C

Kolmas ja viimane rada kätkeb endas sirvikute konfigureerimist netis kasutamiseks. Põhiliselt vajavad sättimist allkirjastamise moodulid. Lähtuda tuleb id.ee ajakohasest infost sirvikute SafariChromium ja Firefox kohta.

Rada C sisaldab selliseid tegevusi:

Allikas: Anto Veldre

Raja C tegevused tuleb sooritada iga sirviku jaoks eraldi. Otstarbekam on kõigepealt häälestada ära põhisirvik Safari ja alles siis Chrome ning Firefox.

Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

Tegevus 8 – Automaatinstalli tulemuste ülevaatus. Safariga saab paigaldus ise hakkama – sealsed moodulid klikime lahti alles tegevuses nr 10. Kindlasti aga modifitseeris paigaldusprogramm sirvikute Chrome ja Firefox sättungeid. Emma-kumma käivitamisel ilmub tavapärane turvahoiatus, et programm on pärit pahast-pahast Internetist. Antud juhul ohtu pigem pole –- olid see ju Sina ise, kes just tõi õiged sirvikud originaalsaidist kohale:

Google Chrome’i avamiseks kinnituse küsimine. Allikas: kuvatõmmis

Firefoxi avamiseks kinnituse küsimine. Allikas: kuvatõmmis

Edasi vaatame üle, missuguseid muudatusi installer sirvikute häälestusse tegi.

Chrome

Chrome’i puhul märgib muudatusi sirviku üleval paremas nurgas tekkinud ID-ikoon (millel võib lisainfo saamiseks ka klõpsata):

ID-ikoon brauseri nurgas. Allikas: kuvatõmmis

Ühtlasi annab Chrome meile teada:

Allikas: kuvatõmmis

Loomulikult tuleb vajutada nupule „Enable Extension“.

Firefox

Firefox annab muudatustest väga häälekalt teada. Muudatused tuleb aktsepteerida (linnuke kasti „Allow this installation“) ja vajutada ilmuvale nupule “Restart”:

Allikas: kuvatõmmis

ID-kaardi tarkvara uusim versioon paigaldab suisa mitu lisamoodulit, sestap ilmub nähtavale teinegi infoteade:

Allikas: kuvatõmmis

Ka selle teate puhul tuleb teha linnuke kasti „Allow this installation“.

Tegevus 9 – kontrolli, kas sirvik suudab operatsioonisüsteemi vidinatega suheldes Sind mõnda e-teenusesse autentida (sisse logida). Lihtsaim on selleks kasutada testimiseks mõeldud spetsiaalset tervituslehte. Parandus [2017-10-13]: veebileht sk.ee/tervitus pole enam käigus, esmatestimiseks logi sisse riigiportaali eesti.ee.

(Sügavam selgitus: viisakate e-teenuste https-ühendus moodustatakse viisil, et TLS pannakse püsti ID-kaardil leiduva krüptomaterjali abiga. See omakorda nõuab kaardi „avamist“ PIN1 koodi abil. Kui sirviku ja ID-kaardi suhtlus miskipärast ei toimi, siis turvalist https-ühendust püsti panna ei õnnestu ja tervituskatse luhtub.)

Sisselogimiskatse tuleb sooritada eraldi iga kolme sirvikuga.

Eeldav tulemus

Tervitusleht palub valida sertifikaadi (formaalsus), seejärel palutakse sisestada PIN-kood:

Allikas: kuvatõmmis

PIN-koodi sisestamine. Allikas: kuvatõmmis

Kui kõik õnnestub, siis näidatakse lõbusat ID-mehikest:

Allikas: kuvatõmmis

Võimalikud veateated

ID-kaarti ei leitud:

Allikas: kuvatõmmis

On võimalikud ka ebamäärasemad veateated:

Allikas: kuvatõmmis

Sellise veateatega sirvikut ei saa edaspidi kindlasti kasutada. Viga tuleb üles leida ja lahendada, vajadusel spetsialisti poole pöördudes.

Kõige keerulisematel juhtudel on midagi vussis tarkvaraliste alamsüsteemide vahel – üks aken näitab, et ID-kaart on loetav ja teine, et pole. Sellisel segasel puhul on mõtet teha restart ja kui see ei aita, pöörduda IT-asjatundja poole.

Allikas: kuvatõmmis

Kuniks pole autentimist tööle saadud, on parem allkirjastamise juurde mitte edasi liikudagi (sest praktiliselt kõikidesse digiallkirjastamist nõudvatesse e-teenustesse tuleb esmalt sama sirvikuga sisse logida).

Tegevus 10 – Tuleb üle kontrollida ja häälestada kõigi sirvikute moodulid ja pluginad. Tegevuses tuleb lähtuda id.ee juhistest:

Safari

Leia Safari menüüst valik „Preferences”:

Allikas: kuvatõmmis

Vali turvalisuse sakk („Security“) ning klõpsa seal nupul „Plug-in Settings“:

Allikas: kuvatõmmis

Ilmub nähtavale pluginamenüü, kust paistab, et „Firefox Token Signing“ ongi juba installitud ning ka sisse lülitatud (seisundis „On“). Kui ka Sinu arvutis paistab samamoodi, siis midagi tegema ei pea. Vajuta „Done“:

Allikas: kuvatõmmis

Ühtlasi ei maksa end lasta nimetustest eksitada – jah, tõepoolest – ka Safari kasutab „Firefoxi“ nimelist pluginat.

Chrome

Chrome’is vajab ülekontrollimist üksainuke laiendus (extension). Nn kolme-täpi-menüüst tuleb jõuda menüüpunktini Extensions / Laiendused:

Allikas: kuvatõmmis

Laiendus nimega „Token Signing“ peab olema seisundis „Lubatud“  (Enabled). Kui polnud, siis tuleb see käsitsi aktiveerida ja teha sirvikule restart:

Allikas: kuvatõmmis

Firefox

Firefoxi all on sättimist vajavaid laiendusi ja pluginaid pisut rohkem, pealegi oleneb nende kogus ID-kaardi tarkvara versiooninumbrist. Alates jaanuarist 2017 tuleb sättida tervelt kaks laiendust (extensions).

Nn kolme-triibu-menüüst tuleb liikuda alammenüüsse “Lisad”:

Allikas: kuvatõmmis

Juhul kui tegu on ID-kaardi tarkvara uuema versiooniga, paistab menüüs „Extensions“ / „Laiendused“ suisa kaks laiendust:

Allikas: kuvatõmmis

Kumbki moodul pole ülemisel pildil veel aktiivne. Mõlemad tuleb käsitsi lubada ning teha sirvikule restart:

Allikas: kuvatõmmis

Ent sellega häälestus ei piirdu. Tuleb veel minna alammenüüsse „Pluginad“ ning kui tegu oli vanema tarkvaraga, siis paistab seal moodul „Firefox Token Signing“, mis tuleb keerata aktiivseks:

Allikas: kuvatõmmis

Lõpptulemus – plugin olgu seisundis “alati aktiivne”:

Allikas: kuvatõmmis

Kokkuvõttes – Firefoxi puhul tuleb aktiveerida kaks ühikut lisamooduleid. Varem oli üks neist plugin, teine laiendus, alates jaanuarist 2017 pakutakse kaht laiendust.

Tegevus 11 – Sirvikuga allkirja andmine. Tuleb tunnistada, et digiallkiri on tõsine värk ja Eestis on raske leida e-teenust, kus saaks digiallkirjastamist ohutult, kuid tasuta testida. Üks selliseid keskkondi on hiljuti uuenenud digidoc.ee. Piiranguks on eelnev registreerimine. Tuleb ID-kaardiga sisse logida, endale „kasutaja teha“ ning – eestlasele tundub see jabur – siis saadetakse e-kirjaga registreerimislink, mida klikkides konto luuakse. Ent portaal muutus rahvusvaheliseks, Leedu IT-ettevõte Estina peab arvestama ka teiste riikide kommetega. Igatahes saab kuni 5 digiallkirja kuus anda tasuta ning just seda me hetkel vajame.

Allikas: kuvatõmmis

Pärast registreerimist tuleb oma kontole laadida üles mõni sobilik kiisupilt ning see allkirjastada. Mõned ekraanipildid (küll Windowsi keskkonnast), mis seda protseduuri illustreerivad:

Allikas: kuvatõmmis

Parooli sisestamine. Allikas: kuvatõmmis

E-posti aadressi kinnitamine. Allikas: kuvatõmmis

Alustamine. Allikas: kuvatõmmis

Digiallkirja vormingu valimine. Allikas: kuvatõmmis

Sertifikaadi valimine. Allikas: kuvatõmmis

Vajuta nuppu “Allkirjasta”. Allikas: kuvatõmmis

(selle koha peal surises portaal vähemalt kaks minutit… ikkagi tasuta kasutaja või sedasi…). Lõpuks küsiti PIN2 koodi:

Allikas: kuvatõmmis

Eeldatav tulemus

Pärast edukat allkirjastamist saadetakse e-kirjaga kinnituskiri. Edu on selgelt tähistatud.

Allikas: kuvatõmmis

Tegevus 12 – Tuleks sooritada sirvikuga allkirjastamise test veel ka mõnes muus e-teenuses, eelistatult pangas. Netipankade allkirjastamisskriptid on ühtlasi keerulised ja neid kasutatakse kõige sagedamini, mistõttu vead ilmnevad kõige kiiremini. SEB on valitud isikliku eelistuse põhjal, testida võib ka teistes netipankades.

Internetipanga kasutamiseks tuleb end kõigepealt sisse logida, milleks on loomulikult vaja kasutajatunnust vastavas pangas. Edasi toimub sertifikaadivalik ja PIN1 küsimine, nagu igas e-teenuses:

Allikas: kuvatõmmis

PIN-koodi sisestamine. Allikas: kuvatõmmis

Seejärel tuleb alustada sobivate rekvisiitidega makset ning see allkirjastada:

Allikas: kuvatõmmis

PIN2 koodi sisestamine. Allikas: kuvatõmmis

Võimalikud veateated

Allkirjastamine ebaõnnestus:

Allikas: kuvatõmmis

Kas lubad veebilehel kasutada pluginat:

Allikas: kuvatõmmis

Ehk unustasid Sa mõne plugina või laienduse aktiveerimata. Mine tagasi tegevusse 10 (rada C) ja aktiveeri vastava sirviku kõik asjassepuutuvad pluginad – nende seisund peab olema mitte “Ask”, vaid “Always Active”.

Kindlasti on võimalikke veateateid rohkem, kuid Maci testimise käigus neid lihtsalt ei esinenud – pangas allkirjastamine töötas laitmatult.

Taustainfot Maci turvalisuse kohta

Eraldi teema on MacOSi kasutamine turvalise platvormina – ehk usaldatud töövahendina. Isegi Apple ei väida enam MAcOSi tutvustuses, justkui oleks OSX / MacOS viirusevaba ja turvaliselt ülim operatsioonisüsteem. Võrreldes Windows 10 tulemuslikuks ründamiseks vajalike võtete keerukusega on MacOSi kuritahtlik ärakasutamine oskuslikule ründajale oluliselt hõlpsam.

Kui Sul on ikkagi kange tahtmine õunamärgilise seadmega oma raha- ja tööasju ajada, soovitame see võimaluste piires turvata. Juhendeid on selleks erinevaid ning me ei saa siinkohal ühtki teisele eelistada. Alustuseks sobib aga end drDuhiks nimetava tegelase ülevaade MacOSi turvalisemaks (kuigi mitte turvaliseks) konfigureerimise meetmetest või siis lihtsam skript, mis õunamasina seadeid kontrollib ning neid kasutaja nõusolekul „peenhäälestab“Infolink veebilehitseja Safari turvalisuse kohta.

Murekohad

Olulised “märkused” ID-kaardi tarkvara juurde:

Tuleb aru saada, et Apple’i tarkvara on oma olemuselt kinnine. Ligipääs sellele, saati siis enne ametlikku reliisi, on seotud väga karmide NDA tingimustega. Otse öeldes, arendustingimused on karmid, nii meie- kui muumaistel arendajatel tuleb kassi otsida pimedas toas. Tõenäoliselt aja jooksul, kui Macimaailmas hakatakse kiipkaarte rohkem kasutama, muutub olukord paremaks. Taustainfo: Ludovik Rousseau blogi, eriti OSi uusversioonide ilmumise paiku.

Arvestades, milline on Maci kasutajate hulk Eestis protsentuaalselt, tuleks neil olla õnnelik, et tugi operatsioonisüsteemile MacOS X on olemas. Selle toe kvaliteet ei ole veel parim, põhjusteks asjaliku tagasiside vähesus ja ennekõike kinnine arendusplatvorm. Hetkel tuleb Maci kasutajatel teadmiseks võtta, et ID-kaardi tarkvara kvaliteet ei küündi samale tasemele kui näiteks Windowsi puhul. Oleneb ju tarkvara kvaliteet otseselt kasutajate hulgast ja antava tagasiside põhjalikkusest.

Kui keegi mõne probleemi avastab, või veel enam, selle enda jaoks lahendab, palun sellest kindlasti teada anda ka telefonil 1777.

Apple’i üldine ideoloogia on, et programm teeb mingit üht asja ja teeb seda hästi. Antud juhul tuleb sellesse eesmärki suhtuda reservatsioonidega: kasutajad peavad aru saama, et Apple’i kinnine arendusmudel koos kasutajate vähesusega ei ole seni võimaldanud MacOS Xi spetsiifilisi muresid baastarkvarast päris lõpuni välja ajada.

Veel brauseriuudiseid: ka Mozilla Firefoxi turvalisus tõuseb

firefox_logo-wordmark-horiz_RGB

Anto Veldre, RIA analüütik

Kiire kokkuvõte: kõik sirvikutootjad muudavad oma brausereid turvalisemaks, igaüks neist omal moel. Värske uudisena nõustub Firefox 22. septembrist tegema koostööd vaid nõuetekohaselt allkirjastatud ID-kaardi lisamooduliga (extension), mistõttu Firefoxi uuenemisel tuleb kasutajal kindlasti uuendada ka ID-kaardi tarkvara. Ühtlasi muutub lisamooduli uuendamine nii RIA kui lõppkasutaja jaoks veidi keerulisemaks ja aeganõudvamaks.

Taust

Arvutikasutajad kindlasti imestavad, miks suvel ja korraga kõik internetilehitsejad järsku uuenema hakkasid? Põhjuse leiab mõne vähemteadliku kasutaja arvutist – kui internetibrauseri ülemine ots on igasugustest Conduit Search Bar’idest, Assistant moodulitest ja muust säärasest nii küllastunud, et sisu ei mahu enam ekraanile 🙂 Olukorda iseloomustab hästi üks mõne aasta tagune pilapilt sel teemal, kuigi peab ütlema, et Java ning Flashi ärakeelamise kaudu on mõningane osa turvalisust vahepeal tagasi võidetud…

Allikas: http://www.soc.cornell.edu/computing/ie.html

Allikas: http://www.soc.cornell.edu/computing/ie.html

Loomulikult soovib erafirma panna oma tarkvara brauserisse käima, sest siis tekib teatav kontroll ka brauseri kogu liikluse üle. Näiteks mõned Search Bar tüüpi moodulid haaravad päringu vahelt ega saadagi seda Google’isse, vaid sokutavad inimesele omaenda otsitulemusi ja reklaame.

Sama loomulik, et brauserisse soovivad elama tulla igasugused viirused ja pahavarad. On säärane ingliskeelne väljend nagu MiB – ei, mitte Men in Black, vaid “Man in the Browser” – brauseripetis, ehk siis mehike, kes istub internetisirviku küüru otsas, vahendab kogu liiklust ja kuulab kõike pealt.

Olukorras, kus lihtkasutaja täpselt ei mõika, mida ta teeb, vastates igale tarkvarapakkumisele YES, hakkas veebilehitsejate küüru peal vohava pahavara hulk ületama mõistlikku piiri. Sellega seoses hakkasidki suuremad brauseritootjad paar aastat tagasi mõtlema, kuidas vaenulikule faunale piiri panna.

Eesti rahvuslik tragöödia seisneb asjaolus, et kuniks muu maailm kiipkaardi ja brauseri integratsioonist suurt ei hooli, elab ka meie ID-kaart samamoodi veebilehitseja küüru otsas. Seni on ID-kaardi lisamooduli tegemine olnud imelihtne. Teed valmis, paigaldad brauserisse ja voilaa! – e-riik ongi kättesaadav. Kuid nüüd hakkavad asjad muutuma pisut keerulisemaks.

Firefox

Tänaseks on saabunud selgus Mozilla Firefoxi (FF) osas, kus lisamoodulitega ühildumise mehhanism muutub oluliselt karmimaks. 11. augustil hakkab levima Firefoxi versioon 40, mis eelistab koostööd just allkirjastatud lisamoodulitega (extensions). Uuendades varem olemasolevat FF’i, ei pea kasutaja muretsema, kuid esmakordselt Firefoxi paigaldades näitab brauser ID-kaardi lisamoodulile kollast tuld. Kasutamine pole seejuures takistatud:

Kollase kirjaga hoiatus: Estonian ID Card authentication module could not be verified for use in Firefox. Proceed with caution.

(Sarnaseid küsimusi on varem küsitud Windows XP draiverite installimisel, kui digitaalselt allkirjastamata draiverite puhul kerkis ekraanile spetsiaalne dialoogiaken.)

Kuid juba 22. septembril saabub Firefoxist versioon 41, mille käitumine on oluliselt karmim: see nõustub töötama vaid nõuetekohaselt allkirjastatud lisamoodulitega. Plaani kohaselt varustatakse ka ID-kaardi lisamoodul selle autentsust tõestava krüptograafilise tõendiga. Mooduli varasemat (=praegust) versiooni hakkab Firefox alates 22. septembrist tõrjuma säärase teatega:

Punase kirjaga hoiatus: Estonian ID Card authentication module could not be verified for use in Firefox and has been disabled.

ID-kaardiga autentimise jaoks vajaliku laienduse uusversioon saabub arvutitesse ID-tarkvara automaatuuendusega. Kui automaatuuendus ei ole lubatud, tuleb uus versioon selleks ajaks arvutisse ise installeerida.

Erilist tähelepanu tuleb FF teemale pöörata neis asutustes ja firmades, kus on mingi pärandvaraline põhjus uusimatest versioonidest hoidumiseks.

Edge ja Chrome

Meenutame ka, mis toimub hetkel teiste internetilehitsejatega.

Microsoftil on just praegu käsil üleminek Win10 op-süsteemile ning tuttuuele Edge brauserile. Teada on vaid see, et koht moodulite ühendamiseks tuleb “pisut turvalisem” kui IE küür, kuid midagi täpsemalt teada pole. Ilmselt saabuvad uudised alles paari kuu jooksul. Seni aga, kuniks Edge sirvikul puudub koht pluginate/moodulite külgeühendamiseks, ei saa Edge’ile pakkuda ka ID-kaardi tuge (vt Windows 10 ja e-teenused).

Google on oma veebilehitsejaga Chrome samuti standardeid ümber tegemas. Otsustav muudatus kliendi poolel on juba tehtud ning (praeguse info kohaselt) septembri alguses saabub Chrome’i uusversioon 45, mis vanu NPAPI standardis pluginaid enam ei tunnista. Chrome’i loojate valitud tee on kõige valulisem, sest nõuab muudatusi ka serverite poolel. Eks septembris paistab, kas kõik Eestis ID-kaardiga teenust pakkuvad internetisaidid suudetakse Chrome’i uue pluginastandardi (Native Messaging) peale üle viia või jääb mõni teenusepakkuja hätta. (Vt Veebilehitsejas Chrome läheb ID-kaardiga allkirjastamine (korraks) katki ja Suuremad sirviku-uuendused sel suvel)

Sellesuvine hetkeseis brauserimaailmas

  1. Chrome – muudatus (versioon 45) saabub umbes 7. septembril. Kui mõni ID-kaarti pruukiv teenus pole muudatusega vastavusse viidud, siis kasutajad seda uue Chrome’iga kasutada ei saa. Teenusepakkuja leiab lisainfot veebilehelt id.ee.
  2. Edge – Microsoft pole veel moodulite kinnituskohti ja standardeid avalikult välja hõiganud, mistõttu Edge on kasutatav vaid Mobiil-ID abil.
  3. Internet Explorer – vana ja kaduv, kuid hetkel jätkab ID-kaardiga töötamist.
  4. Mozilla Firefox – alates versioonist 40 (11. augustist) hakkavad kasutajad saama hoiatusi ning versioonist 41 (22. septembrist) nõuab FF nõuetekohaselt sertifitseeritud/allkirjastatud/jne lisamoodulit, mille RIA ja SK siis loodetavasti jõuavad õigeks ajaks valmis teha ning ID-kaardi tarkvarauuendusse lisada.
  5. Mac OS X ja Safari – sügisel on oodata uut versiooni El Capitan, RIA ja SK tegelevad beetaversiooni uurimisega. Eesmärk on, et kasutaja saaks tarkvara uuendatud ühekorraga (Firefoxi ja El Capitani tugi tulevad koos).

Neile, kes soovivad katsetada juba praegu: