Eesti ID-kaart ja mobiil-ID
ID-kaart
Eesti ID-kaart on isikutunnistus, mida on võimalik kasutada ka elektrooniliselt. ID-kaardi südameks on kiip, mis sisaldab salajast autentimise võtit ja salajast allkirjastamise võtit. ID-kaardi kasutamiseks on vaja paigaldada arvutisse vastav tarkvara.
Vanema (vasakul) ja uuema (paremal, alates 2011) põlvkonna ID-kaart, millel on kiip kaardi tagaküljel.Digi-ID
Digi-ID on ID-kaardi analoog, mida saab kasutada ainult digitaalselt. Digi-ID kaardil puudub foto ja seega ei saa seda kasutada visuaalse isikut tõendava dokumendina.
ID-kaardi tarkvara paigaldamine
ID-kaardi elektrooniliseks kasutamiseks tuleb arvutisse paigaldada vastav tarkvara. Oluline on paigaldada tarkvara õigest allikast - https://installer.id.ee/. Tasub uurida selle veebilehe sertifikaati.
Tegelikult on veelgi olulisem, et alla laetud tarkvara ise oleks õige ja mitte mingi seda imiteeriv pahavara. ID-kaardi tarkvara paigalduspakett on digitaalselt allkirjastatud Riigi Infosüsteemi Ameti (RIA) poolt ning seda allkirja tuleks kontrollida. Seda allkirja saab kontrollida tehes parema kliki ID-kaardi tarkvara paigalduspaketil ja valides Properties -> Digital Signatures -> Details. Nagu näha, siis tarkvara on allkirjastanud RIA ja tema sertifikaadi omakorda Symantec, mis muuseas on üks tuntud viirusetõrje tarkvaratootja:
Allkirja kontrollimine ID-kaardi tarkvara paigalduspaketil.
ID-kaardi tarkvara sisaldab:
- ID kaardi utiliiti
- isikuandmete lugemine
- sertifikaatide registreerimine
- sertifikaatide salvestamine faili
- PIN ja PUK koodide vahetamine
- lukustatud PIN koodi lahti blokeerimine
- kaardi kasutamise statistika vaatamine
- Digidoc klienti
- digiallkirjastamine
- digiallkirjade kehtivuse kontrollimine
- avada / salvestada Digidoc konteineris asuvaid faile
- krüpteerida ja dekrüpteerida faile
- Brauserite pistikprogramme (pluginaid)
- lisab brauserile ID-kaardi toe autentimiseks ja digiallkirjastamiseks
Harjutus: Paigaldage ID-kaardi tarkvara ja uurige oma ID-kaardil olevat infot
- minge lehele https://installer.id.ee/
- jälgige juhiseid ja paigaldage tarkvara
- käivitage ID-kaardi utiliit ja uurige, mis info leidub teie ID-kaardil
ID-kaardi haldusvahend.
Sertifikaatide uuendamine
Alates märtsist 2016 on ID-kaardi haldusvahendile lisatud sertifikaatide kauguuenduse võimalus. Kui ühendate ID-kaardi arvutiga, avate haldusvahendi ja see teatab, et saate sertifikaate uuendada, siis tuleks see protsess läbi teha. Vastasel juhul mai lõpust ID-kaart enam veebilehitsejaga Google Chrome ei tööta. Põhjuseks on üks mittestandardselt seatud bitt sertifikaadil olevas avalikus võtmes. Turvalisusele see ohtu ei kujuta, aga Google Chrome (ja tulevikus ja teised veebilehitsejad) hakkavad üha rangemalt standardeid järgima ja vigaseid sertifikaate enam ei aktsepteeri.
Täpsem info RIA ajaveebis:
- Probleem ise: Probleem nr 532048
- Sertifikaatide uuendamine: Uuenda oma ID-kaarti!
Vaatame Brauseris olevat ID-kaardi pistikprogrammi
Firefox
Paigaldatud pistikprogrammide kuvamiseks minge: "Tools -> Add-ons -> Plugins".
Leidke üles ID-kaardi pistikprogramm, mille nimeks on "EstEID Firefox plug-in (versioon)". Pistikprogrammi kasutamise keelamiseks valige paremal olevast rippmenüüst "Never Activate". Kui Firefoxi ID-kaardi pistikprogrammi kasutamine on ära keelatud, siis ei saa Firefox-ga ID-kaarti kasutada.
Google Chrome
Paigaldatud pistikprogrammide kuvamiseks kirjutage aadressiribale: chrome://plugins/\\. Ilmselt märkate, et Chrome ID-kaardi tugi ei tulene enam pistikprogrammist (plugin). Brauserite arendajad on otsustanud loobuda pistikprogrammide toetamisest, sest nende kaudu on võimalik brauseri turvalisust nõrgestada. Seetõttu on Eesti ID-kaardi tarkvara paigaldatud Google Chrome brauserilaiendusena. Brauseri laienduste kuvamiseks kirjutage aadressiribale: chrome://extensions/. Eesti ID-kaardi laienduse nimeks peaks olema "Token signing (versioon)". Seal saab vastava laienduse deaktiveerida ja siis ei saa brauseriga Google Chrome ID-kaarti enam kasutada.
Kaardilugeja valimine
Eesti ID-kaardi tarkvara toetab kümneid erinevaid kaardilugejaid. ID-kaardi tarkvara poolt toetatud kaardilugejate nimekiri asub järgmisel veebilehel: http://www.id.ee/?id=36180. Kuidas nende hulgast valida sobiv kaardilugeja?
Põhiline erinevus odamavate ja kallimate kaardilugejate vahel seisneb turvalisuses. Kallimatel kaardilugejatel on PIN sõrmistik, mis võimaldab otse kaardilugejast PIN koode sisestada. Tavalist kaardilugejat kasutades sisestatakse PIN koodid arvuti klaviatuurilt ja ID-kaardi tarkvara suunab sisestatud info edasi kaardilugeja draiverile. Juhul kui arvuti on nakatunud pahavaraga, saab pahavara ligipääsu arvuti klaviatuurilt sisestatud PIN koodidele. Niisuguseid klaviatuuri jälgijaid nimetatakse klahvikuulajateks (keylogger), ülevaate klahvikuulajatest annab wikipedia: https://en.wikipedia.org/wiki/Keystroke_logging.
Sõrmistikuga kaardilugejalt saab sisestada PIN koodi ilma arvuti klaviatuuri kasutamata. Kaardilugeja sõrmistikult sisestatud PIN kood liigub otse ID-kaarti ja ei läbi arvuti operatsioonisüsteemi, mis võib olla nakatatud pahavaraga. Seetõttu soovitab Riigi Infosüsteemi Amet (RIA) võimaluse korral kasutada sõrmistikuga kaardilugejaid. Ka klaviatuuri sisseehitatud kaardilugejad toimivad kui sõrmistikuga kaardilugejad - klaviatuuri numbrilaud (numpad) on otse ühenduses kaardilugejaga.
Autentimine ID-kaardi abil
ID-kaart võimaldab kaardi omanikku elektrooniliselt identifitseerida ehk autentida. Identifeerimiseks kasutatakse ID-kaardi kiibil olevat autentimise võtit (1024 bitti vanal kaardil / 2048 bitti uuel kaardil), autentimise sertifikaati ja PIN1, mis võimaldab juurdepääsu kiibil olevale autentimise võtmele. PIN1 koosneb numbritest ja on 4-12 sümbolit pikk. Tehniliselt kasutatakse veebis ID-kaardiga autentimiseks TLS (või SSL) protokolli kahepoolse autentimise tuge, lihtsalt antud juhul asub kasutaja salajane võti kiipkaardil mitte veebilehitseja võtmehoidlas.
Digiallkirjastamine ID-kaardi abil
Digitaallkirjastamine on Eestis reguleeritud Digitaalallkirjastamise seadusega. Juriidiliselt on digiallkiri samaväärne tavalise allkirjaga.
Digiallkirjastamiseks kasutatakse ID-kaardi kiibil olevat allkirjastamise võtit, allkirja sertifikaati ja PIN2, mis võimaldab juurdepääsu kiibil olevale allkirjastamise võtmele. PIN2 koosneb numbritest ja on 5-12 sümbolit pikk.
Sertifikaat on iga kasutaja jaoks unikaalne, see seob allkirja ja ID-kaardi kiibil oleva võtme. Sertifikaat on avalik ja selle abil saab kontrollida kas antud allkiri on ehtne. Allkirjastmise protsessil kontrollitakse kas kasutaja sertifikaat on kehtiv, nimelt peab serifikaat olema kehtiv selleks, et allkirja anda. Selleks tehakse allkirjastamisel automaatselt päring sertifitseerimiskeskus serverisse ja lisatakse allkirjale vastav tõend.
Digiallkirja saab anda kasutades kas:
- Digidoc programmi
- Riigiportaali
- Digidoc portaali https://digidoc.sk.ee
Digiallkirjastamine tehnilisemalt
Digiallkirjastamine (signeerimine) pole midagi muud kui allkirjastatavate andmete krüpteerimine salajase võtmega. Üheks ID-kaardi (ja üldisemalt kiipkaardi) pakutud garantiiks on see, et salajane võti ei lahku kunagi kaardi seest, st seda pole võimalik kopeerida. Seega, et salajase võtmega krüpteerida, tuleb need krüpteeritavad andmed saata kiipkaardi sisse ning välja tulebki krüptotekst. Et aga allkirjastatav dokument võib olla väga suur (te võite näiteks allkirjastada 4 GB faili) ja kiipkaardi operatsioonid on aeglased, ei ole mõistlik kogu dokumenti läbi kiipkaardi lasta. Selle asemel arvutatakse allkirjastatava dokumendi pealt kindla pikkusega krüptograafiline räsi (hash) ning allkirjastatakse see. Digiallkirjastatud andmed pannakse konteinerisse, kus on lisaks digiallkirjastatud räsile veel kasutatud räsialgoritmi nimetus, fail mida taheti allkirjastada, sertifikaat ning sertifikaadi kehtivuskinnitus.
Digiallkirja kontrollimiseks arvutatakse allkirjastatud dokumendi pealt sama räsifunktsiooni kasutades uuesti räsi ning võrreldakse seda avatekstiga, mis saadakse dokumendi allkirja (ehk salajase võtmega krüpteeritud räsi) dekrüpteerimisel allkirjastanud isiku avaliku võtme abil. Kui võrreldavad räsid on võrdsed, siis järelikult oligi allkirjastatud antud dokument.
Allkirja verifitseerimisele lisandub kindlasti veel allkirjastanud isiku sertifikaadi kehtivuse kontroll.
Kehtivuskinnitus
Vastavalt Digitaalallkirja seadusele on kehtivad vaid need allkirjad, mis on antud kehtiva allkirjastamise sertifikaadiga. Seetõttu tuleb vastava sertifikaadi kehtivust kontrollida igal allkirjastamisel.
Sertifikaadi kehtivust reaalajas kontrollitakse Online Certificate Status Protocol (OCSP) protokolli abil (RFC 2560). OCSP puhul küsib klient serverilt mingi konkreetse sertifikaadi kohta kinnitust ning serveri tagastab allkirjastatud vastuse, kus on selle sertifikaadi olek (kehtib/ei kehti/info puudub) ja kinnituse väljastamise aeg (ajatempel).
Kõikide väljastatud kehtivuskinnituste kohta peab AS Sertifitseerimiskeskus turvalogi. Lisaks on selles logis ka kõikide sertifikaatide olekumuutused (kehtetuks tunnistamised, peatamised, jne). Turvalogi kirjed on omavahel krüptograafiliselt lingitud, nii et iga järgmine logikirje on eelmistest sõltuv ja tekib lineaarne ahel. Sellist ahelat ei saa isegi Sertifitseerimiskeskus võltsida, näiteks lisades kuhugi vahele "minevikus toimunud" kirjeid. Turvalogi hetkeseis (räsi) publitseeritakse perioodiliselt tagantjärele raskesti võltsitavate kanalite kaudu. Näiteks AS Sertifitseerimiskeskus publitseerib oma turvalogi olekut ajalehes Postimees.
- AS Sertifitseerimiskeskuse turvalogi kohta saab täpsemalt lugeda siit:
- Turvalisest ajatempliteenusest üldisemalt:
Krüpteerimine ID-kaardi abil
ID-kaart võimaldab kasutada krüpteerimise funktsionaalsust kuid sellegi poolest ei tohiks kasutada ID-kaarti andmete pikemaajaliseks krüpteerimiseks. Põhjus seisneb selles, et kui ID-kaart kaob või kui kiip saab kahjustada, siis pole enam juurdepääsu vastavale salajasele võtmele ning andmeid ei saa enam dekrüpteerida. ID-kaardi poolt pakutavat krüpteerimise ja dekrüpteerimise funktsionaalsust saab kasutada näiteks emailide turvamiseks.
Harjutus: Lugege failide krüpteerimise ja krüpteeritud failide avamise juhendit: http://www.id.ee/?id=36035.
Harjutus: Saatke oma pinginaabrile krüpteeritud kiri, et proovida krüpteerimise funktsionaalsust. Tehke kindlaks, kas te saate oma naabrilt tulnud krüpteeritud kirja avada.
ID-kaardil põhinevast krüpteerimisest tehnilisemalt
Selleks, et saata krüpteeritud andmeid kasutatakse adressaadi avalikku võtit. Avaliku võtmega krüpteeritud andmeid saab dekrüpteerida ainult vastava salajase võtmega. Samas me teame, et salajast võtit pole võimalik ID-kaardi seest kätte saada ja ID-kaardil olev kiip on liiga aeglane selleks, et suurt andmehulka dekrüpteerida.
Lahenduseks on sümmeetrilise krüpteerimisalgoritmi kasutamine. Kõigepealt genereeritakse juhuslik võti ja siis krüpteeritakse andmed kasutades genereeritud võtit ja sümmeetrilist krüptoalgoritmi. Selleks, et adressaat saaks dekrüpteerida sümmeetrilise krüpteerimisalgoritmiga krüpteeritud andmeid peab ta omama krüpteerimisel kasutatud võtit. Seetõttu tuleb koos krüpteeritud failiga toimetada adressaadini ka krüpteerimiseks genereeritud võti. Selleks, et keegi teine ei saaks juurdepääsu saadetavale võtmele krüpteeritakse see adressaadi avaliku võtmega.
ID-kaardi turvalisus
ID-kaardi kiip on ehitatud nii, et sellel olevaid salajasi autentimise ja allkirjastamise võtmeid pole võimalik välja lugeda. Praeguseni pole leitud meetodit, mis võimaldaks ID-kaarti kopeerida.
Võimalikud ründed:
- Praktilised ründed:
- leitud ID-kaart - Mida saab teha isik, kes leiab kaotatud rahakotist ID-kaardi?
- padding orcale attack - http://eprint.iacr.org/2012/417.pdf
- ID-kaart peab olema tunde või päevi kaardilugejas
- vaja on PIN1
- rünnata saab autentimise võtit
- DigiDoc tarkvaras olevate turvaaukude kasutamine
http://www.id.ee/index.php?id=33993#3_7_2
“Parandatud kriitiline viga DDOC failide käsitluses. Seda viga ära kasutades on võimalik ohvri arvutis tema kasutajaõigustes üle kirjutada suvalisi faile, kui ründaja meelitab kasutaja avama spetsiaalselt vormindatud digiallkirjastatud faili.”
- Teoreetilised ründed:
- Arvutisse on paigaldatud spetsiaalselt disainitud pahavara, mis imiteerib ID-kaardi utiliiti. Eeldab, et arvuti on juba kompromiteeritud
- Brauserisse on paigaldatud plugin, mis üritab inimest valele leheküljele suunata või üritab pangaülekande detaile muuta. Eeldab, et arvuti on juba kompromiteeritud
Kui tõenäoline on PIN1 juhuslik äraarvamine?
| Pikkus | Arvamise tõenäosus | Võimalusi |
|---|---|---|
| 4 | 0.0003 | kümme tuhat |
| 5 | 0.00003 | sada tuhat |
| 6 | 0.000003 | miljon |
| 7 | 0.0000003 | kümme miljonit |
| 8 | 0.00000003 | sada miljonit |
| 9 | 0.000000003 | miljard |
| 10 | 0.0000000003 | kümme miljardit |
| 11 | 0.00000000003 | sada miljardit |
| 12 | 0.000000000003 | triljon |
Seega on teoreetiline PIN1 arvamise tõenäosus 0,0000000000027000000027 (2,7000000027e-12). Tegelikult ei taha paljud kasutajad pikki numbrikombinatsioone meelde jätta ja osa kasutajaid ei vahetagi vaikimisi väljastatud PIN1. Seega on suur võimalus, et PIN1 koosneb neljast või viiest numbrist.
Mis on reaalselt kõige tõenäolisemad ja kõige ebatõenäolisemad PIN koodid? Niisugust infot on võimalik saada inimestelt, kes on analüüsinud lekkinud andmeid. Näiteks järgnev blogi postitus analüüsib PIN koodide esinemissagedusi: http://www.datagenetics.com/blog/september32012/.
ID-kaart võõrsil
Mitmes Euroopa Liidu liikmesriigis on olemas kas vabatahtlik või kohustuslik ID-kaart. Vastavat nimekirja saate nähe järgnevalt veebilehelt: https://www.eid-stork2.eu/index.php?option=com_phocadownload&view=file&id=52:stork-20-member-states-eids-january-2015&Itemid=180&start=5 Kõik neist on masinloetavad (vt. näiteks Eesti ID-kaardi tagumise külje alumist poolt), aga vaid vähestel on kaardil ka kiip, mis võimaldab seda kasutada ka digitaalses keskkonnas. Peale Eesti on kiipkaardid näiteks veel Belgias, Soomes ja Tšehhis. (Allikas)
Isegi kui mitmel riigil on kiibiga ID-kaart, siis on igaühel see natuke isemoodi. Isegi kui tehniline lahendus on sama, siis igal riigil on oma tipmine sertifitseerimiskeskus, millega tarkvara vajadusel suhtlema peab. Universaalne tarkvara peab seega olema teadlik iga riigi tehnilisest lahendusest ning vastavast sertifitseerimiskeskusest.
STORK ja selle uus versioon STORK 2.0 on Euroopa Liidu poolt finantseeritavad projektid, mille käigus püütakse luua süsteem, mis võimaldaks erinevate liikmesriikide elektroonilistel identifitseerimissüsteemisdel koos töötada. Mõlemas projektis osaleb ka Eesti.
Riikidevahelise koostöö suunas liigutakse ka digiallkirjastamise rindel. Hiljuti toimus Eestis üleminek Eesti-spetsiifiliselt DDOC digiallkirja vormingult BDOC vormingule, mis ühildub ETSI (European Telecommunication Standards Institute) väljaantud ASiC allkirja konteineri standarditega. Ülemineku ajakava on id.ee lehel. Eesti ID-kaardi abil failide krüpteerimisel kasutatav CDOC formaat põhineb juba praegu rahvusvahelisel standardil XML-ENC. DDOC ja BDOC näidisfaile on võimalik näha järgneval veebilehel: http://www.id.ee/?lang=en&id=36161.
eIDAS
Vastavalt Euroopa Liidu poolt välja antud eIDAS regulatsioonile, mis hakkas kehtima juulis 2016, peavad kõik EL liikmesriigid aktsepteerima teistes liikmesriikides antud digiallkirju juhul kui vastavas välisriigis antud digiallkiri kasutab vähamalt sama või kõrgemat allkirja taset, mis on parajasti nende enda riigis kasutusel. Rohkem infot eIDAS ja sellest tuleneva kohta leiate RIA dokumendist. eIDAS omab nelja erinevat digiallkirjastamise taset (alustades kõige vähem turvalisest):
- Muud e-allkirjad - Igasugused allkirjad, mis teistesse kategooriatesse ei sobi. Siia sobituvad allkirjad, mis on antud enda poolt genereeritud sertifikaadiga või mis on joonistatud näiteks puutetundlikule ekraanile. Näiteks kuuluvad antud kategooriasse Adobe Acrobat Reader-i tarkvaras antud allkirjad. Kuigi selle kategooria digiallkirjad ei taga kõrgemat turvataset, siis võib nende abil olla võimalik inimese tuvastamine näiteks kui ta on kümme aastat kasutanud sama enda poolt genereeritud sertifikaati.
- Täiustatud e-allkirjad ehk Advanced electronic signature (AdES) - sama turvatase nagu eelmise kategooria digiallkirjadel, kuid kasutusel on standardiseeritud allkirjastamise formaat, mis on ETSI (European Telecommunications Standards Institute) poolt heaks kiidetud. Sellisel juhul peab olema võimalik tuvastada, kes oli allkirjastaja ja ainult vastav inimene / asutus pidi olema võimalik antud allkirja andma. Hilisemad allkirjastatud andmete muudatused peavad olema tuvastatavad.
- Täiustatud e-allkirjad kvalifitseeritud sertifikaatidega ehk Advanced electronic signature with qualified certificates (AdES/QC) - Võrreldes täiustatud e-allkirjadega on kasutusel sertifikaat, mis on välja antud sertifitseerimiskeskuse poolt. Need allkirjad sarnanevad kvalifitseeritud digiallkirjadele, kuid digiallkiri on antud salajase võtmega, mis ei asunud spetsiaalses turvatud riistvaras (nagu näiteks ID-kaart).
- Kvalifitseeritud e-allkirjad ehk Qualified electronic signature (QES) - Need allkirjad meenutavad eelmise kategooria ehk AdES/QC allkirju, kuid nüüd on digiallkirjastamiseks kasutatud salajane võti spetsiaalse sertifitseeritud riistvaralise eseme sees, mis takistab salajase võtme kopeerimist. Niisugust tüüpi digiallkirjad on eIDAS regulatsiooni kohaselt võrdsustatud käsitsi kirjutatud allkirjadega. Seda tüüpi digiallkirju saab anda Eesti ID-kaardi abil.
Mobiil-ID
Eestis kasutatav Mobiil-ID pakub nii isiku tuvastamise kui ka digiallkirja andmise võimalust. Mobiil-ID jaoks on vaja kasutada spetsiaalset SIM-kaarti, millega on seotud sertifikaadid. Mobiil-ID on elektroonilises keskkonnas samaväärne ID-kaardiga, kuid erinevalt ID-kaardist ei ole võimalik Mobiil-ID abil dokumente krüpteerida.
Mobiil-ID, mis on välja antud alates 01.02.2011 on samaväärne digitaalse isikutunnistusega ja selle väljaandmine toimub isikut tõendavate dokumentide seaduse alusel. Pärast 01.02.2011 väljastatud sertifikaadid kehtivad kolm aastat. Seetõttu tuleb tähtaja lõppedes sõlmida mobiilioperaatoriga uus leping ning SIM-kaart välja vahetada.
Mobiil-ID tegemise juhend asub aadressil http://mobiil.id.ee/tee-endale-mobiil-id/. Oluline on see, et liitumisel tuleb mobiilioperaatori juures enda isikut tuvastada. Pärast liitumislepingu sõlmimist annab mobiilioperaator Mobiil-ID jaoks sobiliku SIM kaardi. Mobiil-ID aktiveerimiseks tuleb esitada taotlus sertifikaatide saamiseks.
Mobiil-ID eelised:
- ei ole vaja ID-kaardi lugejat
- arvutis ei ole vaja lisa tarkvara
- asendab autentimisel paroolikaardid, ID-kaardi ja PIN-kalkulaatorid
- töötab kõikide tänapäevaste mobiiltelefonidega (tavalised ja nutitelefonid)
Mobiil-ID turvaliseks kasutamiseks tuleb kontrollida:
- Mobiiltelefonis kuvatav teenuse nimi viitab e-teenusele või veebilehele, kuhu sooviti Mobiil-ID’ga siseneda
- Kontrollkoodid teenuse veebilehel ja mobiiltelefonis on identsed
- Autentimisel küsitakse PIN1 koodi
- Ainult allkirjastamisel küsitakse PIN2 koodi
- PIN ja PUK koode ei tohi hoida telefonis või telefoni juures
Kui telefoni saabub ootamatult sõnum, mis palub sisestada PIN-koodi, aga vastava teenuse kasutamise soovi pole tehtud, siis ei tohi MITTE MINGIL juhul PIN-koodi sisestada!
Kui Mobiil-ID PIN-koodid on kaduma läinud või varastatud, siis tuleb pöörduda mobiilsideoperaatori poole ja Mobiili-ID teenus sulgeda. Kui mobiiltelefon koos aktiveeritud Mobiil-ID SIM kaardiga on sattunud võõraste inimeste valdusesse, siis tuleks helistada esimesel võimalusel oma mobiilioperaatori klienditeenindusse ja sulgeda Mobiil-ID teenus.
- Elisa klienditeenindus: +372 6600 600
- EMT klienditeenindus: +372 6397 130
- Tele2 klienditeenindus: +372 686 6866
Mobile-ID protokoll
Mobiil-ID poolt kasutatavast autentimisprotokollist saate lähemalt lugeda 2009 aastal avaldatud artiklist: http://www.cs.ut.ee/~peeter_l/research/nordsec09.pdf.
Mobiil-ID osapooled ja protokolli kirjeldus. Pildil kasutatud numbrite selgitus on olemas pildi allikas.
Märkus. Numbrid pildil ja allolevas loetelus ei lange kokku.
- Kasutaja läheb veebilehele ja valib autentimiseks Mobiil-ID. Kasutaja sisestab kas oma kasutajanime või mobiilinumbri, juhul kui mobiilinumber on juba vastava kontoga seotud, siis piisab kasutajanime sisestamisest.
- Teenus genereerib juhusliku "challenge" ja edastab selle Mobiil-ID teenusepakkujale (DigiDocService) koos oma nime ja kasutaja mobiilinumbriga.
- Mobiil-ID teenusepakkuja genereerib uue "challenge" ja edastab selle mobiilioperaatorile koos kõigega, mis tuli teenuselt (esimene "challenge", kasutaja mobiilinumber, teenuse nimi). Lisaks leiab Mobiil-ID teenusepakkuja mõlema "challenge" põhjal neljakohalise kontrollkoodi ja edastab selle teenusepakkujale, kes kuvab selle oma veebilehel kasutajale.
- Mobiilioperaator edastab SMS abil kogu informatsiooni kasutaja mobiilile
- SIM kaardil olev Mobiil-ID rakendus püüab spetsiifilise SMS kinni ja parsib selle sisu. Seejärel arvutab vastav rakendus esimese ja teise "challenge" põhjal neljakohalise kontrollkoodi ja kuvab selle mobiiliekraanile koos teenuse nimega.
- Kasutaja teeb kindlaks, et ekraanil kuvatab kontrollkood on sama, mis teenuse veebilehel kuvatav kontrollkood ja et mõlemal ekraanil kuvatakse sama teenuse nimi. Kui kontroll on edukas, siis sisestab kasutaja oma PIN koodi.
- Kasutades PIN koodi saab vastav rakendus juurdepääsu SIM-kaardil olevatele privaatvõtmetega seotud operatsioonidele ja kasutab seda selleks, et allkirjastada kokku liidetud "challenge"-d. Vastav signatuur saadetakse SMS teel tagasi Mobiil-ID teenusepakkujale ja mobiilioperaatorile.
- Mobiil-ID teenusepakkuja (lisaks võib ka teenus ise) verifitseerib allkirja ja ütleb teenusele, et kõik on korras.
- Teenus peab kasutajat autendituks.
Mobiil-ID turvalisus
Mobiil-ID turvalisus on võrreldav sõrmistikuga ID-kaardilugeja kasutamisega. Ilma sõrmistikuta kaardilugeja puhul võib keylogger PIN koodid salvestada ning kui siis kaart liiga kauaks lugejasse jätta, võib pahavara sellega omapäi edasi toimetada. Samas räägib Mobiil-ID kahjuks see, et süsteemi toimimiseks on vajalik suurem hulk osapooli (mobiilioperaator, DigiDoc teenus), mis tähendab ühtlasi ka rohkem osapooli keda tuleb usaldada ning keda on võimalik rünnata (vt allpool viidatud artiklit). Osapoolte-vahelised ühenduskanalid on loomulikult krüpteeritud.
Kasulikud lingid
- e-Allkirjad Euroopas ja nende käsitlemine Eestis - Juhend ja nõuanded e-allkirjade käsitlemiseks
- ID-kaardi tarkvara paigaldamine
- Digiallkirjastamise seadus
- Riigiportaal
- Digidoc portaali
- ID-kaardi tarkvara poolt toetatud kaardilugejad
- RIA soovitab kasutada sõrmistikuga kaardilugejaid
- Failide krüpteerimise juhend
- ID-kaardi vastane padding oracle attack
- DigiDoc tarkvaras sisalduva turvaaugu parandus
- PIN kood
- Blogi postitus PIN koodide analüüsi kohta
- DigiDoc
- DigiDoc failivormingud: http://www.id.ee/?id=30289
- Üleminek BDOC vormingule: http://www.id.ee/?id=34070
- Mobiil-ID
- Mobiil-ID ülevaade http://mobiil.id.ee/
- Mobiil-ID taotlemine https://www.politsei.ee/et/teenused/isikut-toendavad-dokumendid/mobiil-id/index.dot
- Peeter Laud, Meelis Roos. "Formal Analysis of the Estonian Mobile-ID Protocol". Identity and Privacy in the Internet Age, LNCS vol. 5838, 2009, pp 271-286. http://www.cs.ut.ee/~peeter_l/research/nordsec09.pdf