Selline on Eesti uus autentimislahendus Smart-ID, mis töötab ideaalselt mobiilis
Pane tähele! Artikkel on ilmunud enam kui 5 aastat tagasi ning kuulub Geeniuse digitaalsesse arhiivi.
Sertifitseerimiskeskus (SK) näitas täna järgmise põlvkonna teenust Smart-ID, millega saab mugavalt mobiilis isikut tuvastada ja digiallkirju anda. Tuleva aasta alguses avalikult käivituv teenus peaks lahendama mured mobiil-ID ajale jalgu jäämisega ja ebaturvaliste paroolikaartidega. “Aasta aega tagasi laboris katsetatud asi on nüüd nii valmis, et oleme näidanud seda audiitoritele ja [2017.] aasta algusest toome ta turule,” rääkis SK juhatuse liige Kalev Pihl.
Osa probleemist, mille kallal SK on maadelnud, on telefonidesse sisse ehitatud SIM-kaardi ehk e-SIMi (embedded-SIM) peatne saabumine, mille üle on Eestis palju arutatud. Kui praegu pannakse mobiil-ID puhul autentimiseks vajalikud turvavõtmed SIM-kaardile, siis klassikalise SIMi kadudes seda teha ei saakski. “E-SIM on nagu müütiline olend, mis alati kuu aja pärast saabub,” ütles Pihl neljapäeval firma aastakonverentsil. Uus lahendus aga tähendaks, et SIM-kaardi peale pole vaja enam mõeldagi.
Kuidas see töötab?
Uus teenus nimega Smart-ID toimib justkui klassikalise mobiiliäpina. Inimene peab selle enda telefoni paigaldama ja esmakordsel avamisel end kasutajaks registreerima. Edasi võib näiteks mobiilipanka logida läbi Smart-ID, mispuhul hüppab ette vastav äpp ja küsib PIN1 koodi, tehingu kinnitamiseks tuleb aga sisestada PIN2.
Kogu Smart-ID kasutuskogemus on väga sarnane praegusele mobiil-ID-le, aga toimib sellest palju kiiremini. “Inimesed on öelnud, et neile meeldib mobiil-ID kasutada ja Smart-ID on samasugune. Innovaatilisus on selle tehnoloogilises taustas, mida inimene ei näe,” rääkis SK tootejuht Urmo Keskel. Oluline erinevus on tema sõnul aga ka see, et Smart-ID taotlemiseks ei pea tegema läbi sellist kadalippu nagu mobiil-ID-ga, minema mobiilioperaatori juurde, võtma uue SIM-kaardi, seda politsei veebilehel aktiveerima ja nii edasi.
Smart-ID äpi esimest korda avades tulebki teha läbi esimene registreerimine. Facebookiga sisse logida ei saa ja niisama suvalise meiliaadressiga kontot teha samuti mitte – inimene peab end autentima turvalisel moel. Selleks kõlbab esialgu näiteks seesama mobiil-ID, aga sama saab teha ka näiteks läbi netipanga kasvõi koodikaartidega. Kalev Pihli sõnul lisandub siia ilmselt veel võimalusi, näiteks inimese tuvastamine füüsiliselt mõne partner-ettevõtte kontoris või esinduses.
Ühel või teisel moel ennast tuvastades peab seejärel määrama endale Smart-ID PIN1 ja PIN2 koodid ja edasi luuaksegi krüptovõtmed. Erinev tavapärasest ID-kaardi või mobiil-ID kasutamisest on näiteks aga see, kui PINid ununevad. Ühtegi PUK koodi Smart-ID puhul pole ja kui PINe kolm korda valesti sisestada, lukustab äpp esmalt kolmeks tunniks, siis 24 tunniks ja seejärel lõplikult.
Smart-ID on kasutatav korraga ükskõik mitmes Androidi või iOS-iga seadmes. Pihl tõi näiteks, et selle võib panna kodusesse tahvelarvutisse ja oma telefoni. Smart-ID-ga kuhugi sisse logides hüppab lahti teavitus igas seadmes, kus äpp sees – nii saab jaole, kui näiteks koju unustatud tahvli kaudu püüab laps sisse logida, sest seda on näha ka näiteks tööle kaasa võetud telefonis.
Tehnoloogiline selgitus: “poolitatud” võtmed
Just koos AS Cybernetica ja selle teaduri Ahto Buldasega välja töötatud krüptograafiline turvalahendus ongi Smart-ID puhul uuenduslik (muuhulgas plaanitakse lahendus ka teadusartiklina avaldada). Keskeli sõnul on põhimõtteks sama avaliku võtme infrastruktuur, mida kasutavad ka Eesti ID-kaart ja mobiil-ID, s.t kasutusel on avalikud ja salajased võtmed.
“Smart-ID puhul on nii, et saladus – mis on näiteks muidu pandud ID-kaardi kiibile või mobiil-ID puhul SIM-kaardile – on jaotatud mitmeks osaks. Üks osa saladust on siinsamas kasutaja telefoni äpis. Teine osa saladust on serveris turvamoodulis, mis vastab kõige kõrgematele turvanõuetele,” rääkis Keskel. Telefonid pole tema sõnul turvalised ja põhimõtteliselt tuleks eeldada, et äpis oleva salajase võtme saab keegi ründaja pihta panna. Kuna aga äpis on ainult pool saladust (tegelikult isegi ainult pool poolest ehk veerand), ei saa ründaja selle põhjal tuletada kasutaja PINe, et nendega ise end tuvastada või digiallkirju anda.
Keskeli sõnul on Eestis olnud valdavaks lähenemine, et “saladus” ehk privaatvõtmed on usaldatud inimese kätte, tema taskus olevale ID-kaardile või mobiil-ID SIM-kaardile. “Paljud teised riigid on jälle olnud seda usku, et võtmed on ainult serveris. Nüüd on kaks usku kokku pandud ja oleme riskid ära maandanud,” selgitas ta. Kui äpp ära häkitakse, ei saa seal oleva infoga midagi teha.
Aga kui ka serverit kuritarvitatakse, siis ei saa häkker ega potentsiaalne kuritahtlik töötaja SKs serverist midagi väärtuslikku kätte. “See on risk, et teoreetiliselt võiks üks süsadminn luua inimeste digiallkirju [kui kõik privaatvõtmed on serveris]. Aga Smart-ID puhul seda ei saa, ükskõik, kui palju pingutada,” kommenteeris Pihl.
Pankade kauaotsitud asendus mobiil-ID-le ja koodikaartidele?
Pihli sõnul kavatseb Sertifitseerimiskeskus uue teenuse järgmisel aastal avalikult turule tuua ja esialgu on kindel vähemalt üks partner Digidoc, kelle juures ennast Smart-ID-ga autentida saab.
Nii Swedbank kui SEB – kes on mõlemad SK asutajad ja omanikud – on avalikult öelnud, et otsivad uut lahendust, mis tulevikus mobiil-ID ja koodikaartide asemel kasutusele võtta.
Pihli sõnul täpseid koostööplaane pankadega veel pole, kuid paljulubav on järgmine fakt. Nimelt näitas firma Smart-ID teenust Eesti, Läti ja Leedu pangaliitudele ja sai nii-öelda “esikoha” ehk pangaliitude hinnangul on see parim saadaolev digitaalne isikutuvastuse vahend. Kuigi pangaliitude hinnang ei tähenda automaatselt koostööd pankadega, on väga tõenäoline oodata, et Balti pangad selle kasutusele võtmist kaaluvad.
Keeruline juriidika
Kui “kange” allkirja Smart-ID-ga anda saab, selle selgitamine langeb juriidikasse ja on parajalt keeruline, kuna muutumas on seadusaktid ja eri riikide vahel on ka erisused.
Näiteks Eestis langeb Smart-ID-ga antud digiallkiri juriidiliselt uue, suvel jõustunud Euroopa eIDAS määruse mõistes kolmest kangusastmest teisele. “See tähendab, et see ei ole juriidilises mõttes võrdne käsitsi antud allkirjaga, kuid see on sanktsioneeritud Euroopa mõttes ehk täiustatud allkiri kvalifitseeritud sertifikaadiga,” seletas Pihl. Seni Eestis kasutusel oleva ID-kaardi ja mobiil-ID allkiri on kanguselt kõige kõrgem ja selle nimi on “kvalifitseeritud allkiri”.
Lätisse ei saa aga SK viia Smart-ID-d sama lähenemisega ning nii kehtiks seal Euroopa mõistes madalama tasemega digiallkiri. Tehnoloogia juriidika tausal oleks aga samasugune. “Smart-ID auditeeritud ja sellega antud kinnitus, et süsteem on väga hea,” võtab Pihl kokku.
Kuna Smart-ID välja andmiseks pole vaja mobiilifirmasid (nagu mobiil-ID puhul) või riigiasutusi (nagu ID-kaardi puhul), vaid ainult partneriks oleva netipanga või muu teenuse valmisolekut, tahab SK uue teenuse kindlasti rahvusvahelisele turule viia alustades Baltimaadest.
