laupäev, 11. november 2017

Veidi siseinfot, mis ID-kaardiga tegelikult toimus

ID-kaardi jama puhul tuli välja, kui vähe inimesed, eriti aga Eesti e-riigi juhid ise tegelikult asjast teavad. Ja kui asja ei jaga, siis ei suuda mingist hetkest teha ka otsuseid. Ehk siis vajalik oleks Eesti e-riigi juhtidele mingi elementaarne e-õpe, et lisaks arvuti sisse-välja lülitamise oskusele veel midagi oleks, kasvõi üldisel tasemel.

Aga nüüd päris asjalik seletus asjaga kursis olevalt inimeselt, avaldatud Delfi kommentaariumis:

RIA on kõigega seotud. RIA on riigiastuste ISP. Kogu riigiasuste internet käib RIA kaudu. RIA on pununud oma arvutivõrke risti-rästi ja RIA ei saa enam ise ka aru, miskaudu asjda peaksid käima. RIA majutab eesti.ee serverereid.ID kaardi uuendus käib https://ig-gw.eesti.ee/update kaudu.

https://ostigare.wordpress.com/

Eesti ID(ee) nutt ja hala.

Ämbrid:

1) Ei õnnestu Windows sisselogimine ID kaardiga.

Kõik kes kasutavad arvutisse sisselogimiseks (multi factor authentication) id kaarti, nagu näiteks enamus riigiameteid, on alates id kaartide sertifikaatide uuendamisest suures hädas, sest id kaardiga ei saa enam arvutisse sisse logida. Probleem on uue sertifikaadi standarditele mittevastavuses. Lahendus on kas veelkord sertifikaadid uuendada või workaround operatsioonisüsteemides. Paanikas RIA püüdis Microsoftile auku pähe pähe rääkida, et Microsoft väljastaks vajaliku uuenduse. Kogu jama on väidetavalt põhjustanud programmeerijad, kes ei kasuta Microsoft tarkvara ja seega ei testinud nad selle toimivust.

2) Tagauks ID kaarti.

Algselt oli ID kaart mõeldud kinnise tootena, kõik sertifikaatide ja võtmete genereerimine toimus kaardi enda sees ja privaatvõti ei väljunud kunagi kaardist. Peale võtmete genereerimist laeti avalik võti sk.ee LDAP repositooriumi üles. Sellisel meetodil sertifikaatide uuendamise kiirus oli kasutaja enda tegutsemise kiirus, repositooriumi üleslaetava võtme maht on väike ja see toiming on kiire ja niimoodi oleks tõepoolest saanud kiiresti kõigil sertifikaadid uuendada.

Selgus, et uut tüüpi sertifikaate ei suuda kaardi chip ise genereerida, seega tehti tarkvara mis programmeerib kaarti ja mille kaudu saab kaardile infot laadida. See on väga ohtlik tee, ehk tagaukse avamine. Kuna tarkvara lähtekood on avalik (https://github.com/open-eid), on vaid aja küsimus, kui keegi kompileerib kokku tarkvara, mis näeb välja kui ehtne aga kirjutab kaardile mida tahes, heal juhul rikub kaardi, halvimal juhul saab sisu kätte. Eeldatavasti see nn pahavara millest RIA räägib, ongi edasiarendatud avaliku lähtekoodi baasil tehtud exploit.

3) Ei õnnestu kaardi chipis uute sertifikaatide genereerimine.

Seega, uue sertifikaadi uuendamisega toimub nüüd aga võtmete väljaspidine genereerimine, millest johtuvalt on arusaamatu kuidas on tagatud võtmete salajasus, kui see on tehtud väljaspool ID kaarti? Originaalis genereeritakse võtmed nii, et neid keegi ei näe kunagi, turvalisus oli tagatud nii, et privaatvõti genereeriti chipis, sertifikaat tuli selle peale. Nüüd aga pannakse elliptilise kõvera võti sinna kaardile väljaspoolt. See on väga ohtlik tee. Kuidas ja kas on see turvatud? Ja siit tuleb ka see nn 15000 ID kaardi päevane piirang, sest võtmed genereerib väline (kas SK või RIA ruumides paiknev) kommertsseade, mille litsents ei võimalda minuti jooksul rohkem kui 10 tehingut. HSM (hardware security module) poolt genereeritud võtmed tuleb kõigepealt salvestada ja siis kasutajale edastada. Kas need aga ka kunagi kustutatakse või on riigil olemas kõigi vigaste kaartide kasutajate uued võtmed?

Loomulikult ei räägi RIA sellest jamast sõnagi…

2 kommentaari:

Anonüümne ütles ...

Ühesõnaga nüüd on id-kaartide uued sertifikaadid ühemõtteliselt standarditele mittevastavad? Oh sa kuradi raisk küll! e-tiiger tõmbleb agoonias.

Anonüümne ütles ...

Jama tegelikult, sest LHV pangas aktsepteeriti sisselogimiseks ainult id-kaarti, kõik teenusepakkujad samuti, paberit ei taha ükski KOV asjaajamises enam, mis nüüd siis saab -
tagasi kiviaega