Prindi

 



Täname kõiki konverentsil osalejaid!


Ettekannete slaidid leiate ajakavast ja küsimuste vooru vastused allpoolt.
Fotomeenutused on üleval siin.

Seekordsel SK Aastakonverentsil jagasime huvitavat infot nii äriinimestele kui arendajatele, kellele toimusid põnevad paralleelsessioonid. Rääkisime e-ID arengust Euroopas ja NFC tehnoloogiast, lisaks andsime ülevaate SK tegemistest ning tutvustasime uusi ja huvitavaid M-ID rakendusi.

AJAKAVA
 

09:45 Hommikukohv
10:15 Avasõnad SK juhatajalt Kalev Pihlilt
  NFC, M-ID app-id ja veebirakendused
10:30 Kas PKI ja NFC vahel on seos? Jürgen Niinre, EMT
11:10 Mobiil-ID rakendused telefonis versus Appid, Priit Penjam, Finestmedia AS
11:30 Digiarhiveerimine, Valentin Ivanov, Eesti Arhivaar
11:50 SignWise.me portaal, Tiit Anmann, Cross Border Trust Services OÜ
12:10 Lõunapaus
   13:00 PARALLEELSESSIOONID
  E-ID rahvusvaheline mõõde Arendus
13:00 ETSi uus regulatsioon, STORK2.0, Tarvi Martens, SK ID-kaardi baastarkvara ja digidoc teekide tulevik, Jaan Murumets, SK
13:25 E-ID areng Euroopas, Anneli Andresson, EL Komisjon Digiallkirja formaadid, Urmo Keskel, SK
14:00 Mitteresidentide tuvastamine, Ruth Annus, Siseministeerium ID-kaardi rakenduste arendajate tugi, Märt Laur, Cybernetica AS
14:30 SK tutvustab Läti ja Leedu turgusid Digitembledamise tarkvara TempelPlus, Erik Kaju, KnowIT
15:15 Energiapaus
  E-ID turvalisus
15:30e e-Tiigri taltsutamise tagajärjed VOL 2, Mehis Hakkaja, Clarified Security
15:55 Infrastruktuurivastase rünnaku moodsad aspektid, Anto Veldre, CERT
16:20 Küsimuste voor - vastuseid vaata lehe allpool!
17:00 Lõppsõnad ja järelpidu


Küsimuste voorus esitatud küsimused ja vastused
 

Küsimus Jürgen Niinrele, EMT
Näitena panga tehing, kindel summa, kas see ilma PIN2-ta on kehtiv tehing?

Jürgeni vastus
Vastus võiks olla selline, et Pank ei pea kasutama oma tehingute tegemisel ID-kaardi funktsionaalsust (näiteks kaardiga maksmisel) ja seega ei ole PIN2 kohustuslik.


Küsimused Tiit Anmannile, Cross Border Trust Services OÜ
1. Kas Mobiil-ID on arendatud ka Share Pointile (2007)?
2. Kuidas teine osapool verifitseerib teises riigis antud allkirja?
3. Kui ma õigesti aru saan, siis teie portaal sõlmib lepingu konkreetse isiku/ettevõttega. Kuidas saab tagatud, et teie portaali kaudu antu allkirjad tunnistab ka mõni riigiasutus?

Tiidu vastused
1. Me ei ole kindlad, et kas antud küsimus on mõeldud meile, kuid spekuleerides võimalike seoste üle, siis meie teenust on võimalik liidestada MS Sharepoint lahendustega ja M-ID on allkirjastamisvahendina toetatud. Kui antud vastus ei andnud teile ammendavat vastust, siis teeme teile ettepaneku organiseerida kohtumine soovide detailseks kaardistamiseks. Usume, et antud kohtumise käigus saame juba täpsemalt teie küsimustele vastata.

2. Teine osapool saab allkirja verifitseerida järgmiselt:

  • praegu kehtiva äriloogika järgi on allkirjastatud dokumente võimalik valideerida juba lähimas tulevikus SIGNWISE portaalis ja anonüümselt aadressil https://signwise.me/validate. Loomulikult on eelduseks, et antud dokumendile lisatud allkirja formaat on SIGNWISE poolt tunnustatud.
  • SIGNWISE partnerite keskkondades. Eeldab vastavat kokkulepet osapoolte vahel.

3. SIGNWISE teenust kasutades ja Eesti kodaniku poolt antud allkiri vastab kindlasti Eesti DAS (digitaalallkirja seadus) kehtestatud nõuetele, mistõttu lasub riigiasutustel kohustus seda allkirja ka tunnustada.


Küsimused Priit Penjamile, Finestmedia AS
1. Kas telefoni klahvide avamise parooli saaks asendada Mobiil-ID PIN1 logimisega?
Siis oleks telefoni sisu alati turvatud.

Priidu vastus
Siin on kaks probleemi: Mobiil-IDga saaks tänaste tehnoloogiate juures telefoni avada ainult juhul, kui on olemas levi ühendus (mis ei ole igas situatsioonis vastuvõetav). Teiseks, vähemalt iOS platvormil (ja ilmselt ka WP-l ehkki 100% ei julge kinnitada) on platvormi piirangud sellised, et sellist lahendust saaks teha ainult Apple/Microsoft ise (rakenduste tootjatel ei ole võimalik võtta telefoni üle nii kõrge taseme kontrolli nagu seda on klaviatuurilukk). Kui mitte pidada oluliseks levi küsimust, siis Androidi peal oleks sellise arenduse tegemine ilmselt tehniliselt võimalik, aga samuti problemaatiline, sest ca 1/3 telefonitootjate mudelitest on Tootjapõhiste UI täiendustega, kus tihti just klahvilukul juba on „custom“-lahendus jõuga peale pandud.

2. Külalise kirjutatud märkus: Tänapäeval ei saa isiklike küsimuste alusel kasutajat tuvastada. Kasutajast sõltumata võib info olla internetis avalikult (N: ema neiupõlve nimi Genis või pulmareisi pilt Facebookis)
Priidu kommentaar
Täiesti nõus, et see ei ole kuidagi kindel lahendus. Aga veidi kindlam kui ainult e-maili kontroll ta siiski on.


Küsimused Ruth Annusele, Siseministeerium
1. Kas mitteresidentide autentimise võimaldamise plaanidele on Eestis ka oletatav ajapiir? St millal see teostuse leiab?
2. Kas puutetundlikule ekraanile antud omakäeline allkiri omab juriidilist jõudu ehk milline on tehnilise seadme kaudu antud ja hiljem dokumendile kantud allkirjakujutise õiguslik tähendus.

Ruthi vastused
1. Mitteresidentidele digitaalse isikutunnistuse väljaandmise alustamine on siiani jäänud rahastamise taha, sest see nõuab infotehnoloogilisi arendustöid. Loodetavasti on see võimalik kodakondsus- ja migratsioonivaldkonna uue infosüsteemi loomise raames ehk siis alates 2015. aasta II poolest. Täiendava rahastamise korral on see võimalik ka varem.

2. Tegemist ei ole allkirjaga, millel oleks õiguslik tähendus omakäelise allkirjana. Nii juhiloale kui isikutunnistusele kantud allkirjakujutis on täiendav turvameede, mis võimaldab paremini isikusamasust kontrollida. Kõigil juhtudel antakse allkiri ametniku/töötaja juuresolekul, kes kontrollib, et allkirja annab just see isik, kelle isikuandmed dokumendile kantakse. Seega võimaldab dokumendile kantud allkirjakujutis teistel isikutel võrrelda seda isiku poolt hiljem muudel juhtudel kohapeal antava allkirjaga. Juhiloal ja isikutunnistusel on täiendavalt veel ka isiku näokujutis ja sünniaeg, mis samuti on abiks isikusamasuse kontrollimiseks.

Muidugi ei ole eraõiguslikes suhetes isikutel omavahel mingit kohustust üksteise isikusamasust kontrollida ja kõigi asjaosaliste nõusolekul võib lepinguid sõlmida mis tahes nime all või isegi anonüümselt. Küll aga on riigi ülesanne anda eraõiguslikele isikutele usaldusväärne vahend oma tegeliku isikusamasuse tõendamiseks ka eraõiguslikes suhetes, kui asjaosalised seda vajalikuks peavad. See ongi riigi poolt isikut tõendavate dokumentide väljaandmise üks olulisemaid eesmärke.

Avalik-õiguslikes ehk siis riigi ja üksikisiku vahelistes suhtes on olukord teistsugune. Riigil on kohustus isiku isikusamasust kontrollida, et teada saada, kas isik üldse on antud suhtes õigustatud või kohustatud subjekt – kas tal on õigus või kohustus vastavat avalikku teenust kasutada või mitte. Seega ei saa avalik-õiguslikes suhetes isik esineda mis tahes nime all või anonüümselt, vaid riik võib nõuda, et ta tõendaks oma isikut riigi poolt välja antud isikut tõendava dokumendiga.


Küsimused Valentin Ivanovile, Eesti Arhivaar
1. Kui arhiveerin oma dokumnendi (ddoc).doc formaadis, siis kas on kindel, et saan selle ka 20-30 aasta pärast lahti?
Arvestades tehnika kiiret arengut ja erinevate formaatide paljusust ning uuenevaid formaate.
2. Kui kaua on võimalik ddoc konteinerit avada?
3. Millist krüpteeringut oleks mõistlik kasutada dokumentide pikaajaliseks säilitamiseks?

Valentini vastused
1. Tegelikult, see küsimus jaguneb kaheks: 1) kas DDOC fail ise käib lahti; ja 2) kas need failid, mis moodustavad DDOC faili sisu, käivad ka lahti 10-20 aasta pärast?
Ma arvan, et DDOC käib ikka lahti, kui SK DigiDok klient on seni arendusel ning vastab 10-20 aasta pärast arenenud tehnoloogiatele. Ütleme nii, 99% kindel, et käib ikka lahti. Aga selleks, et tagada 100% kindlust, peaks ennem digiarhiveerimist teha DDOC konteiner lahti ning igast failist teha endale koopia PDF-kujul. Samuti trükkida välja kinnitusleht (samuti PDF-kujul) - ja seda kõike käsitsi. ARHIVAAR PRO süsteem teeb seda automaatselt ning tagab taasesitavuse 100%.
2. See küsimus on sarnane esimesega. Aga vastus on lihtne: senikaua DDOC formaadile on olemas toetus SK poolt.
3. CDOc on kahjuks seotud sertifikaadi mitte isikuga. AES koos 256-bitilise sümmeetrilise võtmega.


Küsimus Anto Veldrele, CERT
Kust on Anto Veldre õppinud oma humoorikat esinemisstiili?

Anto vastus
Kunagi lugesin Loomingu Raamatukogust kellegi Bertold Brecht'i ja võõristusefekti kohta. Kui tahad, et inimene hakkaks esitatavale materjalile või teatritükile tõesti kaasa elama, peab kuuldav/nähtav olema tõsiselt absurdne (ütleme: kafkalikult absurdne) ning eristuma inimese mugava maailma taustal nii selgesti, et teate sisu lihtsalt ei oleks võimalik ignoreerida. Alles siis õnnestub läbi murda hingelisest tulemüürist, mille igaüks endale oma mina kaitseks on ette ehitanud. Piirpealne huumor on üks võimalikke tulemüüri läbistamise teid (kuid on ka teisi).

Minu nooruselektüüri hulka kuulus kindlalt Kurt Vonneguti "Tšempionide eine", usun et sealseid absurdlikke passaaže stiilis "teha auke piloodisse ja piloodi abisse" olen ikka täiesti teadlikult jäljendanud. Suisa esinemiskoolitusel pole ma siiski kunagi käinud.


Küsimus Anneli Andressononile, EL Komisjonist ja Tarvi Martensile, SKst
Kas DDS tarkvara on võimeline verifitseerima XADES-el põhineva digidoc-i allkirja?

Anneli vastus
Praegu ei toimi Digidoc valideerimine DSS-s, kuna DSS valideerib ETSI standardite alsusel ja digidoc veel ei ole päris vastavuses, aga kui digidoc tehakse ASiC (asscociated signature container) standardiga vastavaks (Tarvi Martensi sönutsi vastab praegu kuskil 95%), siis pöhimötteliselt peaks saama, aga peame veel testima, enne ei saa päris kindlalt lubada.

Tarvi vastus
DSS hetkel kindlasti mitte ddoc/bdoc allkirja ei valideeri kuna ta ei tea kuidas kontrollida ajamärgendil põhinevat skeemi mida meie kasutame. Ajatempli asemel kasutame OCSP-d, kus saadame signatuuri räsi ühes OCSP päringuga ja saame selle tagasi OCSP signeeritud vastusega. See tagab samase turvaeesmärgi kui ajatempel. DSS veel nii kaval ei ole, aga äkki ühel päeval õpib ära..


Küsimused Tarvi Martensile, SK
1. Kas EL-is on ka plaane BDOC2.0 teekide/appide loomiseks, mis toetaksid erinevaid allkirjastamisvahendeid ja platvorme? Kas see on DSS?
2. Digitempel on kui asutuse ID, aga kuidas suhtuda Eesti E-terivse pakutavasse digitempli teenusesse, mida alates novembrist 2012 pakutakse perearstidele, kus E-tervis võtab perearstilt dokumendi vastu ja signeerib selle enda digitempliga?
Kõik perearstid on juriidilised isikud.
3. Kas ja kuidas saaks Eesti ID-lahendusega massallkirjastada ID-kaardi või M-IDga? Mõtlen füüsilise isiku puhul.
4. Kas Eestis võetakse lähematel aastatel kasutusel puhas RFC3161 ajatempel ajamärgendi asemele?

Tarvi vastused
1. See on DSS (http://joinup.ec.europa.eu/software/sd-dss/home)

2. See, kas kannatada digitemplit või nõuda digialkirja, on juriidiline küsimus. Kipub olema nii, et arstidel napib tahtmist/aega oma otsuste isiklikuks allkirjastamiseks ja andmete tervikluse ja autentsuse tagamine on usaldatud digitempli mehhanismile. See aga ei tähenda, et informatsiooni usaldusväärsus oluliselt kannataks – dispuudi tekkides on võimalik jõuda läbi digitempli selle põhjustanud isikuni läbi muude (kohaliku infosüsteemi) teede.

3. Füüsilise isiku poolt teostatav massalkirjastamine on definitsiooni kohaselt tabu. Ei ole ju olemas paberil protsessi, kus üks allkiri (tahteline PIN-i panek) kinnitaks isiku nõustumist suvalise hulga dokumentidega. Parimal juhul võiks ju mõelda nii, et tehakse üks kattedeokument, mis viitab alamdokumentidele (ZIP fail?) ja allkirjastatakse seda. Tegelikkus näitab, et kohad, kus on juttu massallkirjastamisest, osutuvad sobilikeks kasutusjuhtumiteks digitembeldamise rakendamiseks. Seal on „automaatne allkirjastamine“ lubatud ja asjakohane.

4. Eestis edukalt 10+ aastat rakendatud digitaalallkirjastamise süsteem ei vaja RFC3161 ajatempleid - läbi OCSP teenuse pakutav skeem, mida standardid nimetavad „ajamärgistuseks“, tagavad samad turvaeesmärgid mis ajatempel, olles samas kolm korda efektiivsem võrreldes ajatemplite kasutaisega. SK on valmis pakkuma RFC3161 standardile vastavat ajatempliteenust vastava nõudluse tekkimisel (nõudlus = rahaga kaetud vajadus).


Küsimus Liisa Lukinile, SK
Mis takistab SK muutmist oma digidoc portaali rahvusvaheliseks? SignWise äriloogika põhiseks? Kas siin om mingid administratiivsed regulatsioonid, miks seda teha ei tohi?

Liisa vastus
DigiDoc Portaal on kunagi loodud keskkonnana, kus saaks näidata erinevaid eID kasutamise võimalusi. Muuhulgas osaleme STORKi pilootprojektis, mille tulemusel on teiste projektis osalenud riikide kodanikel võimalik autentida oma riikliku e-ID abil portaali ja seal ka dokumente jagada. Sarnaseid rahvusvahelisi ettevõtmisi on tulemas kindlasti veel. Juba aastast 2007 saavad portaalis toimetada Leedu mobiilioperaatori Omniteli Mobiil-ID kasutajad samaväärselt eestlastega. Peagi on lisandumas ka teised Leedu mobiilioperaatorid. SK-l aga puudub täna äriline huvi sellise rahvusvahelise allkirjastamise portaali loomiseks. Pigem soovime me ka edaspidi olla oma portaaliga suunanäitajad, mida on võimalik teha sh rahvusvahelises mõõtmes.