Korvpallurimõõtu Ruubel on tugeva käepigistusega Guardtime’i asepresident, kes kõneleb nii elavalt, et mõne ajaga oleks ilmselt igaüks valmis tema kliendiks hakkama.

Idee Guardtime’i tehnoloogiaks sündis Eesti IT-ajaloo erakordsest perioodist, 2007. aasta küberrünnakutest. “Pärast aprillisündmusi mõtlesid asjaosalised, et olgu, lõime küll rünnakud tagasi, aga mis siis, kui keegi Eesti IT-süsteemides sees olevatest inimestest… hoiab teisele poole?” räägib Ruubel. “Mis siis, kui keegi meid seestpoolt saboteerib?”

Tallinna tehnikaülikooli teadlasel ja krüptograafil Ahto Buldasel oli varasemast teadustööst lahendus, millest saigi 2008. tööd alustanud Guardtime’i tehnoloogia tuum, Buldasest endast firma kaasasutaja. See lahendus eemaldab IT-süsteemi kontrollist inimkomponendi – enam ei pea pimesi usaldama, et firma kõige tundlikumatele andmete ligi pääsev IT-juht, süsteemiadministraator või muu tehnik kunagi midagi paha ei teeks.

“Aastaid peeti meid sõgedaks, kui me üldse rääkisime, et meil on nüüd lahendus, mis aitab teie andmete terviklikkust kontrollida,” muigab Ruubel. Aga siis juhtus Snowden.

Teatavasti töötas Edward Snowden ettevõttes Booz Allen Hamilton, mis oli USA luureagentuuri NSA lepingupartner. Nii oli Snowdenil süsteemiadministraatorina ligipääs riigi kõige suurematele saladustele. Snowden kogus NSA süsteemidest tundlikke dokumente ligi poolteist aastat ja läks nendega lõpuks 2013. aastal ajakirjandusse, tekitades ühe aastakümnete suurima luureskandaali.

“Snowden on meid meeletult aidanud, anna talle või medal. Järsku said kõik aru, milles oht peitub, mille vastu me kaitset pakume,” kinnitab Ruubel. “Ma ei võta sellega mingit seisukohta, kas ta tegi õiget asja või mitte. Aga ta tõestas, et perimeetri sees olija saab märkamatult organisatsioonile tohutut kahju teha ja selle vastu ei kaitse senised lahendused.”

Matemaatika valvab, et andmeid poleks muudetud

Guardtime võtab andmete valvamise töö ära inimestelt ja annab selle matemaatikale. Põhimõtteliselt on Guardtime’i tehnoloogia tuumaks räsimine, mis on andmetest justkui allkirja või digitaalse sõrmejälje võtmine. Matemaatiliselt arvutatud sõrmejälg on allolevate andmete suhtes unikaalne. Kui isegi üks tähemärk või bitt muutub, on tulemuseks täiesti erinev sõrmejälg.

Kuid Guardtime ei kogu lihtsalt kokku oma klientide andmete sõrmejälgi, vaid teeb neist nn räsipuud. Nii tehakse näiteks kahe faili räsist kokku uus räsi, see pannakse omakorda kokku teiste andmete räsidega ja nii edasi. Lõpuks jääb puu tippu ainult üks räsi. See annab hea skaleeruvuse ehk üsna paindlikult on “valve alla” võimalik võtta üha rohkem andmeid: miljoni andmeallika üle valvava räsiga saab luua üksnes 20 astmega räsipuu.

“Kuna räsid arvutatakse matemaatiliselt, siis ei ole nende jaoks vaja ühtegi välist osapoolt, keda usaldada. Pole vaja internetiühendust. Pole vaja Guardtime’i,” selgitab projektijuht Ivo Lõhmus. Andmetest võetakse nimelt sõrmejälg siis, kui on teada, et need on korrektsed ja manipuleerimata. Hiljem – tahtes andmete seisu või terviklikkust kontrollida – saab lihtsalt arvutades nende sõrmejälge kontrollida. “Põhimõtteliselt võib isegi pool sajandit hiljem kasvõi kohtus vettpidavalt tõestada, et sel ajahetkel olevad andmed olid puutumatud.”

Ent Guardtime’i tehnoloogia teine oluline osa on see, et selliseid räsisid – andmete allkirju ehk digitaalseid sõrmejälgi – arvutatakse kaitstavate andmete kohta iga sekund.

Tegi blockchaini veel enne, kui see oli cool

Iga sekund tehakse andmetest uus räsi ja seotakse ära ka eelmise ajahetke räsiga. Nii on kõik sõrmejäljed läbivalt seotud eelnevatega ja võltsimatud.

On see juhus või mitte, aga see on samasugune lahendus nagu krüptovaluuta Bitcoini aluseks olev blockchain. 2008 ehk samal aastal, kui Guardtime’i tehnoloogia tööd alustas, avaldas Bitcoini väidetav leiutaja Satoshi Nakamoto süsteemi kirjeldava artikli. Bitcoini programm käivitus aasta hiljem.

“Alguses me nimetasime Guardtime’i tehnoloogiat hoopis teisiti, ajatemplid ja nii edasi. Aga nüüd teab kogu maailm, mis on blockchain ja kui me ütleme, et meil on skaleeruv blockchain, siis saavad kõik sellest kohe aru,” naerab Ruubel.

Skaleerumine on oluline mõiste – see on võime, et süsteem suudaks töödelda üha rohkem andmeid ja teenindada üha rohkem kliente, ilma et jääks aeglaseks. Lõhmus kinnitab, et Guardtime suudab anda 10¹² ehk triljon allkirja ehk sõrmejälge sekundis. Ja mitte ainult ei suuda – süsteem on sellisena tiksunud aastast 2008.

“Tegelikult polegi meil pole hetkel nii palju klientide andmeid, et kogu võimsust ära kasutada,” nendib Ruubel. “Aga see on vist Eesti inseneride eripära, et tehakse ikka ülevõimsusega lahendus.”

Mõnes mõttes sõltub kogu Guardtime’i tehnoloogia sellest, kui head või usaldusväärsed on krüptograafilised funktsioonid – need tööriistad, millest allolevatest andmetest digitaalne sõrmejälg tehakse. Teatavasti vahetab Eesti riik kõikides ID-kaartides sertifikaate, kuna seni kasutatav krüptograafiline lahendus on teadlaste sõnul varsti murtav. Ruubel möönab, et kui keegi suudaks räsifunktsiooni murda, saaks ta süsteemi uppi lüüa. Kuid kogu Guardtime’i tehnoloogia on tehtud nii, et kui selline risk tekib, saab ühe krüptofunktsiooni teise turvalisema vastu vahetada.

Kokkuvõttes on tehnoloogiast – mida firma nimetab Keyless Signature Infrastructure (KSI) – vaja aru saada seda, et see aitab matemaatiliselt turvata ükskõik milliseid andmeid. Need võivad olla konkreetselt patsiendiandmed, nagu Eesti E-Tervise sihtasutus hakkab tegema, aga ka hoopis näiteks arvuti või ruuteri seadistus või konfiguratsioonifail. Nii aitab Guardtime valvata ka selle üle, et häkker näiteks süsteemi pahavara või tagaust ei sokutaks.

Ei võta Eesti riigilt sentigi

Kui te olete lugemisega niikaugele jõudnud, sobiksite ilmselt Guardtime’i tööle või selle kliendiks. Firma otsib mõlemaid.

Üks klient on algusest peale olnud Eesti riik, kuna tehnoloogia ideegi on välja kasvanud Eesti sündmustest. Kuid sõna “klient” pole päris õige. Ruubel väidab, et Guardtime pole Eesti riigilt sentigi küsinud.

Kui firma annab oma teenuse või tehnoloogia kellelegi nii-öelda sponsorluse korras või pro bono, siis ei võta see ta ju ka sellega endale kohustusi? “Ei, meil kehtib ikka SLA (teenusetaseme leping – H.L.),” kinnitab Ruubel.

Kui küsin riigi infosüsteemi ametist (RIA) sellele huvitavale väitele kinnitust, saadabki RIA pressiesindaja minuti pärast vastu firmaga allkirjastatud dokumendi. Vastastikuse mõistmise ja koostöö memorandumis garanteerib Guardtime “KSI teenuse kättesaadavuse RIA ühenduspunktidele vähemalt 99.9% ulatuses aasta lõikes, mahuga kuni 2 000 päringut sekundis.”

“Eesti sarnasele kõrgelt digitaliseerinud riigile on andmete terviklikkuse tagamine väga oluliseks väljakutseks,” ütleb RIA peadirektor Taimar Peterkop ja lisab, et Guardtime aitab seda muret lahendada. Praegu kasutab RIA seda oma infosüsteemide logide terviklikkuse tagamiseks. “Tulevikus on seoses X-tee versioon kuue kasutusele võtmisega kavas see X-tee teenusena teha kättesaadavaks ka teistele riigiasutustele,” lubab ta.

Guardtime’i ambitsioon on siiski suurem. Ruubeli sõnul oli firma käive mullu 23 miljonit dollarit, tänavu prognoositakse selleks 60 miljonit. Eesti riik, mille IT-eelarve kokku jääb samasse suurusjärku, on firma klientide kõrval lihtsalt liiga väike.

Märkamatus hoones Tallinna äärelinnas tegutseb USA kaitsetööstuse partner

Kui tallinlased tahavad soodsa hinnaga korralikke spordijalatseid või -riideid, lähevad nad Tammsaare teel olevasse outleti. Ilmselt ei oska nad arvatagi, et märkamatu hoone teisel korrusel on Eestis juba teine ettevõte, kes varustab maailma eksklusiivsemaid kaitsetööstuse ettevõtteid turvatehnoloogiaga.

Tõsi küll, Guardtime võib oma kliendid kahe käe sõrmedel kokku lugeda. Ehk nagu ütleb Ruubel: “Patente on firmal rohkem kui kliente.” Aga see-eest on tegu maailmaklassi nimedega, kelle seas on üks suurimatest mobiilioperaatorite võrgutehnika loojatest Ericsson, USA kaitsetööstuse gigandid Lockheed Martin ja Raytheon. Ilmselt on tundmatu nimi MTSI, ent teeb maailmas väga erilist asja – tarnib USA kaitseministeeriumile droonide kontrollsüsteeme. Hiljuti tegid USA õhuväe droonid ka Eesti kohal seirelende ja selliste masinate juhtimissüsteemide ja sensoritest tulevate andmete terviklikkust hakkab Guardtime valvama. Kas ja kuidas teeb Eesti firma koostööd otse USA valitsusagentuuridega, sellest Ruubel vaikib.

Kuigi tegu on oma vanuse mõttes veel üsna noore tehnoloogiaettevõttega, on keeruline öelda, kas Guardtime on startup või ei. Firma kliendiportfelli, käibe ja paikaloksunud tootearenduse põhjal võiks öelda, et tegu on valmis ettevõttega. Firma töötajad ja asutajad on end tasapisi ka investoritelt (kelle seas on näiteks üks Facebooki esimestest investoritest Horizon Ventures) välja ostnud, mistõttu pole survet minna börsile või leida suur partner liitumistehinguks.

Aga Ruubel vaidleb vastu ja räägib, kui suured on firma plaanid veel kasvada. Seda näitab kasvõi prognoos tänavu käivet kahekordistada. Ja selle jaoks on muuseas vaja veel ärksa meelega inimesi. Kuigi firmal on esindused nii USA-s kui Amsterdamis, otsitakse töötajaid nii Tallinna kui Tartu esindustesse.

* Blockchaini tehnoloogiale pole eesti keeles täpsemat vastet, otsetõlge oleks plokiahel.