[Tanel]

PRESSITEADE - 2018. aastast ei pea enam mobiilioperaatorit või SIM-kaarti vahetades vormistama uut mobiil-IDd, vaid kehtivat saab vähese vaevaga edasi kasutada.

Tele2 tootedirektori Katrin Aroni sõnul tuli seni operaatorit vahetades olemasolev mobiil-ID leping alati katkestada, sõlmida esinduses uus leping ning kinnitada see politsei- ja piirivalveameti lehel. “Samuti tuli iga kord sõlmida uus mobiil-ID leping kui mingil põhjusel, näiteks telefonimudeli vahetamiseks, oli vaja uut SIM-kaarti,” ütles Aron.

“Uue korra kohaselt saab enne vana SIMi kehtivuse lõppemist allkirjastada mobiil-ID jätkamise leping esinduses või operaatori kodulehel ning suuremat kadalippu pole enam vaja läbi teha,” rääkis Aron.

“Mobiil-ID kehtib sõlmimise hetkest viis aastat ning kaardi- või operaatorivahetusel lepingut pikendades jätkub see algse kehtivusaja lõpuni,” lisas Aron.

Mobiil-ID jätkamine kehtib uuest aastast kõigile mobiilioperaatoritele, Tele2 viib vajalikud muudatused ellu detsembri jooksul.

Allikas: www.tele2.ee

[LKits]

Oot, oot, oot...

Aga krüptovõtmed SIM kaardil? Müüt? Vale? Et siis privaatvõti asub kusagil kolmanda osapoole serveris, mitte füüsilise SIM kaardi peal?

[Sold OUT]

Ikka kaardi peal. Lihtsalt sa ei pea tehniliste nüanssidega vaeva nägema ja sinu teenus kehtib edasi. Varem pidid uue lepingu tegema jms

[LKits]

[Sold OUT]

Saad uue kaardi aga igasugune mambojambo tehakse taustal systeemides

[LKits]

[Sold OUT]

No ei ole nii lihtne see

[LKits]

[Sold OUT]

No need kõik riskid on läbi mängitud. Kui aeg käes, siis näed kuidas välja näeb ja asi toimib. Miks praegu spekuleerida ja leiutada

[iFlop]

[LKits]

[Sold OUT]

Pane bookmarki see teema ja poole aasta pärast jätkame

[hans89]

Noh, peaaegu pool aastat möödas. Kuidas jätkame?

[ThedEviL]

[tunguuz]

Käisin täna oma m-ID'd vahetamas. Telia putkas.
Näpiti ID-kaarti, tehti sellest skänneriga koopia. Mingeid PIN-koode ma kusagile ei sisestanud.
Kümnekat ei tahetud.

Koju jõudes üritasin politsei.ee lehel uut m-ID'd aktiveerida.
Selgus, et pole vajadust. Sertifikaadid olidki juba aktiivsed ja nendega saigi juba sisse logida igalepoole. Proovisin järgi. Sai.

Kui me nüüd võrdleme, mis siin eelnevalt selle teema kohta kirjutati, siis on see kõik paras p*sk, eriti see, mida "ThedEviL" rääkis.
Tegelikult toimis minu puhul hoopis meetod 3:

Lähed Telia letti. Vehid oma dokumendiga, sellest tehakse skänneriga koopia.
Ütled, et oled oma m-ID koodid ära unustanud ja tahad SIM-vahetust, arusaadavalt koos uue m-ID'ga.
Saad uue kaardi kätte, paned oma rahakoti vahele.
Alles pärast seda allkirjastad paberlepingu. Võiks kaardiga minema jalutada.

Sisuliselt saime nüüd selgeks, et politsei keskkonnas allkirjastamine ei tähendanud mitte m-ID sertifikaatide allkirjastamist, vaid taotluspaberi allkirjastamist. Keegi võiks nüüd selgitada, ehk jäid seekordsel SIM-kaardi vahetusel isegi krüptovõtmed samaks ... nendega lihtsalt seoti teine SIM-kaart (ja seal peal olevad ma-ei-tea-mida-tegevad-võtmed kuid seekord juba PINidega)

Probleem "ThedEviL" jutus - letis allkirjastad PABERI, mitte ei allkirjasta miskit elektroonselt. Ehk siis, elektrooniline ja füüsiline maailm toimivad omaette, krüptot nende vahel pole. Kui kusagile tehakse linnuke, siis ühendub Sinu sertifikaadiga klõpsti uus SIM-kaart. Ei mingit krüptot, ei mingit Sinu tahteavaldust. Moblaprovaideri usaldamist vajav süsteem. Usaldad?

Tulemus - igaüks, kes omab ligipääsu moblaprovaideri võrgule või seadmetele, saab hulgakaupa isikuid impersonifitseerida.
Olukord täpselt samasugune nagu sel suvel SIM-swap'iga Verizon'is: https://www.wired.com/story/sim-swap-attack-defend-phone/

Ainuke vahe, et meil juhtumisi on riiklik identiteet m-ID taga, mitte FB sisselogimise SMS.
Kui läänes kaasnes SIM-kaardi ülevõtmisega Justin Bieberi FB konto ülevõtt, siis meil saabub täisligipääs ohvri panka.
Sisuliselt on moblaoperaatori lihttöötajale antud õigus inimest impersonifitseerida.
Jah, mingi aja pärast jääb ta sellega vahele, seda tõepoolest.
Aga töö on selleks hetkeks juba tehtud.
Ja kuna sertifikaati ju tegelikult ei vahetatagi (nagu mulle hetkel tundub), siis ennäe imet - tehniliselt on võimalik pärast toimepandut vana SIM-kaart taasvõimestada. Vaid piirangud moblaprovaideri IT-süsteemis takistavad selle tegemist ... kui takistavad ...
Logid muidugi jäävad. Kahtluse korral leiab juhtumi üles. Kui logid muidugi kaduma ei lähe nagu ühel tähelepanuväärsel kõnede salvestamisega seotud juhtumil.

Probleem: vajadus 101% usaldada moblaprovaiderit.
Ta saab Sind impersonifitseerida kui tahab.
Iseküsimus, kas tahab.

Kokkuvõte: ma ütleksin, et meie kõigi valvsust uinutati selle "letis allkirjastamise" jutuga ning m-ID tegelik turvatase paikneb, nagu nüüd välja tuleb, väljaspool taluvuspiiri. On seal alati asunud, lihtsalt rahvale on mulli aetud. Mugav p*sk, mis ohustab iga kasutajat.

[LKits]

Et siis mID võtmed ei asu SIM-kaardil?

[Etz]

Huvitava kombel jäi mul peale opeka ja SIM kaardi vahetust Septembri alguses samuti mobiil-ID tööle...

Politsei lehe andmetel olid sertifikaadid samuti kõik ilusti kehtivad, ehkki tüüp seal letis jauras endiselt midagi Politsei lehel aktiveerimisest, jms.

EDIT: Alles nüüd vaatasin uudise kuupäeva...

[tunguuz]

Vahepeal olen õige pisut targemaks saanud.
Suurem osa jamast on korraldatud juristide poolt.
Esiteks, kui vanasti oli m-ID Leping, siis nüüd esineb leping ise vaid esmakordselt taotlemisel (koos kümnekaga) ja kõigil järgmistel kordadel tuleb allkirjastada vaid "lepingu lisa". See annab tehniliselt võimaluse 10EUR (lepingu)tasu võtmata jätta.
Teiseks, tehniliselt otse loomulikult on võtmed SIM-kaardil, segadusse ajab hoopis väljend "sertifikaadi uuendamine". Tehniliselt (krüptograafiliselt) ei saa sertifikaarti uuendada. See oleks jabur. Kui uuendad võtmeid, siis avalik võti allkirjastatakse teenusepakkuja poolt uuesti ja tegemist on TÄIESTI UUE sertifikaadiga. Aga millal varem on loodusseadused juriste takistanud?! Et seda 10EUR mütseeriumit tekitada ja vinduva m-ID kasutust kuidagigi tõsta, siis on juristid välja mõelnud libatermini "sertifikaadi uuendamine".

Tegelik probleem on mujal.
Algse m-ID võtmise puhul tehakse täisprotseduur läbi.
m-ID vahetamise puhul täisprotseduuri enam ei tehta, piisab käsitsi antavast allkirjast "lepingu lisal".
Ning see võimaldab uut tüüpi - nn SIM swap tüüpi manipulatsiooni, mis vahetusprotseduuri väljatöötamise ajal (2017) ei olnud laiemalt tuntud ning mille ohtusid seoses m-ID'ga pole Eestis teadvustatud senimaani.

Sisuliselt tähendab "lepingu lisaga" vormistatud vahetusprotseduur, et kõik kõrged euronõuded on täidetud selles võtmes, et "kasutajal on endiselt kontroll taskus asuva QSCD seadme üle", paraku, kasutajal nüüd enam ei ole kontrolli selle üle, et missugune konkreetne sertifikaat parasjagu tema identiteediga ühendatakse, vabandust, sinna külge "uuendatakse".
Ehk siis tegelikult on ilmsiks tulnud kahe seadusepügala vahele jääv tsirkus, kus kodaniku võtmed on küll tema kontrolli all, aga sertifikaat, millega pangas allkirjastada, enam mitte. Vajadusel identiteedivaras lihtsalt "uuendab" isikule uue kaardi ja pistab selle omaenda telefoni. Sellist asja ei osanud isegi Euroopa tarkpead ennustada. Täiesti ilmselt on tegemist uudse turvaveaga, mis on tingitud liiga keerulisest ning harunditega väljastamisprotseduurist ja seeläbi tekkinud semantilisest keerukusest, mida audiitori lihtaju enam ei suuda ära hallata.

Kes ise edasi tahab uurida, siis siin on dokumendid, millega politsei Eesti identimisvahendid Euroopasse esitas ning 11. juulil tehtud otsus, et Eesti identimisvahenditega, sealhulgas m-ID'ga on kõik parimas korras (loe: teistel riikidel on veel nirumad vahendid kui m-ID):
- https://ec.europa.eu/cefdigital/wiki/pages/viewpage.action?pageId=65972776
Otselink Politsei paberile, millega nad m-ID kui eseme lakke kinni kiidavad:
- https://ec.europa.eu/cefdigital/wiki/display/EIDCOMMUNITY/Estonian+eID?preview=/62885749/65972515/EE%20eID%20LoA%20mapping%20-%20Mobiil-ID.pdf

Kuna Eesti on end sertifitseerinud ... vabandust - notifitseerinud -- kõrgeima (QES, High, QSCD) taseme peale, siis kehtivad ühekorraga nii sektsioonides HIGH kui ka sektsioonides LOW ja SUBSTANTIAL esitatud nõuded. Pange tähele euroopa kohikeelt - isegi medium ei tohi öelda, see sisaldaks ju hinnangut "keskpärane" ja mõni solvuks.
Eesti riik ei ole ise olnud kuigi varmas neid dokumente avalikustama ega isegi mitte rahvale teada andma, et 11. juulil 2018 see kauaoodatud kinnitus üldse saadi. Rahvale aga ja eriti välismaailmale jutustatakse jätkuvalt meie lõputut edulugu, kus tagasilööke ei esine ega ideoloogiliselt ei saagi kunagi esineda.

Politsei kaitseks tuleb küll öelda, et nemad nõudsid m-ID puhul neljasilmaautentimist - ehk siis, kaks letitöötajat vahiksid sulle otsa ja tuvastaksid pingeliselt sinu isikut, aga huvitatud osapooltel õnnestus see nõue spekist maha kruvida kui kommertsiaalselt ebarealistlik.

Ja nüüd on meil see, mis meil on - uus protseduur, kus üks korrumpeerunud letitöötaja saab üle võtta kelle iganes identiteedi. Ning see protseduur skaleerub vähemalt ulatuses, mis on mõõdetav ühe letitöötaja päevaste operatsioonide arvuga. Enne kontrollid huilgama ei hakka.
Teada on, et neile letitöötajatele tehakse karistusregistri kontroll.
Ülaltsiteeritud dokumendis on kirjas logimise ja auditi nõuded.
See tagab, et mainitud rünnakuid ei saa juhtuda väga palju. Nad avastatakse.
Aga paarikümne isiku raha saab äkkrünnaku korras täiesti ilmselt ära lohistada, selles pole kahtlust.
On juhuse küsimus, kui paljud ohvritest kiiresti aru saavad, et neil SIM lõpetas töötamise ning oskavad kohe õiget abi nõutada.
Pakun, et absoluutne enamik neist võtab kasutusele varutelefoni ja ei kiirusta kusagile.
Seega on krattidel päeva-kahene ajavaru garanteeritud.

Kui varem oli vajadus m-ID puhul teenusepakkujat usaldada seetõttu, et sealse serveri (kus digidocService jookseb) administraator saab kasutajale allkirjastamiseks antava dokumendi välja vahetada, siis nüüd on vaja usaldada veel teistki kommertsiaalteenuse osutajat - moblaprovaiderit, täpsemini tolle võrguturba, letitöötajate moraalset palet, kontrolli- ja logimisprotseduure.

Kokkuvõttes - m-ID kindlasti on täiesti kasutatatav ja tal on oma nišš olemas. Aga stiil, kus seonduvatest riskidest ei räägita ja nende avastamist võimaldav info peidetakse NDA'de taha, ei ole jätkusuutlik. Enamik loetletud riske oleksid hallatud kui kodanik neist teaks ja oskaks neid karta ning "imede sündimise" hetkel koheselt reageerida. Kodanikule tuleb selgitada, et on portaal, kust saab vaadata oma sertifikaatide kasutust ning serdivahetus on sealt selgelt näha. Iseasi, et kui m-ID peaks vasakule minema, siis peab taskus olema teine identiteet, millega sinna portaali üldse sisse logida. Link portaalile:
- https://www.sk.ee/repositoorium/turvalogi/minu-kaardi-toimingud

Probleem: sertifikaatide numbrid on osalised (jäävad nurga taha), neil ei saa klikkida ega tuvastada ei sertifikaadi omanikku ega kehtivust. Lihtsalt üks poolik mõttetu number. Tundub, et teenus on tehtud põhiliselt euroekspertide rahustamiseks, mitte reaalseks kasutamiseks ohuolukorras. SIM-kaardi vahetamise puhul oli mul logis kokku 8 tehingut mõttetute numbritega - 4 tühistamist ja 4 aktiveerimist. Mida see kõik tähendab, käib lihtajuga inimesel kõrgelt üle mõistuse.


Ah jah - peaaegu unustasin - veebruaris 2019 marss kõik valima, et lõpuks ometi saaksime sellele riigile lollustevaba ning tehniliselt pädeva valitsuse (ja ma ei mõtle selle all RE'd).

[jägaja]

uhh, mida lugemist

[netcat]

Misuke partei see lollustevaba ja tehniliselt pädev on siis, kui tohib küsida?

[tunguuz]

Nagu Alfred Lanning filmis "I, Robot" ütles: "Jah, see oli õige küsimus."