[A.S.]

Dokumente/faile allkirjastada oskab (reaalselt järgi proovitud), muud teha ei oska.
https://play.google.com/store/apps/details?id=ee.ria.DigiDoc
Aga seda allkirjastamist võin ma ka Smart-ID abil teha, tobedat kaardilugejat külge toppimata. Lihtsalt eelnevalt tahaks seda Smart-ID-d aktiveerida, telefoni abil.

[Tomorrow]

Rantiks veidi kaardi disani kallal. Algsed 2002 ja 2007 versioonid olid ilusad visuaalselt. Ja ka funktsinaalsed. Kogu oluline info k.a kiip ise olid esiküljel. Ühtlasi kui kaardi lugejasse panid, siis kiire pilguheit oli piisav, et tuvastada kelle kaart parasjagu lugejas on.
Praegusel kaardil jääb sõltuvalt lugeja disainist näha ainult väljaandmiskuupäev ja masinloetav isikukood. Vanal jäi näha ka pilt mis oli kaardi paremas servas samas kui loetav kiip oli vasakus.

Lisaks on 2011 ja edasistel palju kehvem valge-hall disain. Mis juhtus? Kas sinine värv sai otsa? Kas Eesti lipp polegi enam sini-must-valge?
Lisaks see inetu läbipaistev turvaelement otse kaardi keskel. Vastu valgust vaadates selline tunne nagu kaardile oleks auk sisse kulunud.

2011 disain oli ka tehnilisest poolest läbikukkumine, kuna tekkis see turvajama mille tõttu oli vaja sertifikaate uuendada vms. Minul jooksis see nii põhjalikult kokku, et kaart kaotas kogu digitaalse funktsionaalsuse ja ainus lahendus oli teenindusse minna, et uus teha ja uued koodid saada.
Ja mis selle 2018 aasta oma point oli kui kolme aasta pärast tuli juba uus disain?

Lisaks kehtivad uued ainult 5 aastat (vanad olid 10) ja sõrmejäljed on kohustuslikud. Kui ma küsisin PPA-st kas minu sõrmejäljed on turvaliselt hoitud ainult kaardi kiibil ja neid ei hakata kuskilt andmebaasist menetlustoiminguteks kasutama mind informeerimata, siis selle vastust ei tulnud. Ühtlasi avaldati uudis sõrmejälgede kohustuslikkusest meelega nii hilja, et kellelgi polnud reaalset võimalust teha omale viieks aastaks veel üks kaart sõrmejälgi andmata. Arvestades meie nõrka IT taset pole mul kahtlust, et mingi hetk sõrmnejäljed lekivad või need varastatakse ja kopeeritakse. Biomeetriline isikutuvastus on kena ainult ulmefilmis. Reaalses maailmas on ainus tagajärg see, et mittemuudetavad biomeetrilised andmed on üks hetk pahade käes. Salasõna ja koode saad sa muuta. Oma sõrmejälgi ja silmaiirist naljalt ei muuda.

[Dogbert]

[Tomorrow]

[Dogbert]

[mikk36]

[Tomorrow]

mikk36, Meil juba on unikaalsed lugejad juhul kui sa ei märganud. 2002 aastast saadik. Kindlasti oli neid kes tollal käisid välja sama argumendi, et miks pole kaartidel magnetriba ja miks me peame eraldi lugejad muretsema vms.

[Tanel]

Tomorrow, täpsusta?
ID-kaardiga sobivad smart-card readerid olid olemas enne ID-kaarti, viimane tehti ikka standardi järgi.
Isegi ühel läpakal, näiteks Fujitsu Siemens Celsius H oli integreeritud smart-card lugeja, mis sobis ID-kaardiga.

[indrpo]

https://soundcloud.com/geeniusraadio/24-01-digisaade-id-kaart-vastu
Geenius raadio arutas id kaardi teemadel. Üllatuseks oli NFC võimekus.
Arutamise käigus ei jõutud arusaamisele, miks seda vaja on, seoses muidugi mainitud Android äpi osas.

Miks seda minul vaja on, viipa kaarti kaupluses kliendi tuvastamiseks? juhul KUI kauplusel pole oma äppi millega sa sisse logituna, kaubad skaneerid, iseteeninduskassas maksad ja lahkud.

Mul on kiip kulunud juba ainult selle tõttu, et mõned teeninduskohad vajavad kaardi pistmist kusagile. Isegi Olerexi iseteenindus tankla. :S

[Dogbert]

[Tanel]

indrpo, mitmes kohas kasutatakse ka ID-kaardi triipkoodi

[indrpo]

[NightStriker]

Ehk kogu see turvalisuse värk sõidab peaga vasta puud et kaardiga vehkmine mugavam oleks...

Igasugused kaugloetavad kaardid dokumendina ei ole OK. Inimene kas on nõus ennast tuvastama või ei ole nõus. VAJADUSEL järgneb vastav menetlus. Idee sellest, et tuvastus saab käia möödaminnes ilma isiku nõusolekuta või teadmiseta on See, kas see on seadustes rakendatud või mitte on teisejärguline teema.

Kliendikaardina kasutamine on inimese enda mure. Funktsionaalses turvalisuses ei tohiks selle tõttu järeleandmisi teha.

[napoleon]

NightStriker, NFC puhul peab selle lugemiseks ikka kiibile üsna lähedal olema ehk pead ikka ise teadlikult sellega vehkima.
Ma ei tea kas on olnud case, kus näiteks inimese kaardilt tema teadmata NFC kaudu raha võetakse..... mina pole vähemalt kuulnud kuigi need viipega pangakaardid on juba mõnda aega kasutusel olnud.

[NightStriker]

napoleon, sõltub muidugi kiibist, aga Google annab 4cm ja alla esimeses vaatuses.

ID kaardi seisukohast ei ole "ma ei tea ühtegi juhtu" argument. Mitu korda on kasutatud "meile teadaolevalt ei ole keegi seda kasutanud" läbi käinud kui tehnilist praaki tagantjärgi lapitakse. Kui see on tehniliselt võimalik, siis see on juba olemuselt vale funktsionaalsus.

Pangakaartide NFC töötab läbi makseterminali. Kui mina olen pangas selle NFC funktsionaalsuse välja lülitanud, siis makse ei tööta. Kaart küll genereerib NFC signaali terminali läheduses, aga pank ütleb EI. ID kaardi puhul ei ole teisel pool panka EI ütlemas.

[napoleon]

Noh, kuldne kesktee oleks siis see, et saaks ID kaardi haldusvahendiga selle viipe välja lülitada. Siis igaüks otsustab ise, kas eelistab mugavust või suuremat turvalisust.
Aga samas.... mis risk mul sellest niiväga oleks, kui laseksin omale isikukoodi otsaette tätoveerida? Pole teab mis konfidentsiaalne info millega midagi väga kurja pihta saaks hakata.

[NightStriker]

Pole otseselt kursis mida see kaart välja pritsib. Kui väljatatav info on isikukood, siis mis vahet sellest on, et sa enda arvutis mingeid muudatusi teed?

Võid endale otsaette isikukoodi ja vaktsiini tunnistuse tätoveerida. Jätame teistele vabaduse teisiti otsustada.

[mati29]

[napoleon]

[NightStriker]

Kas kaardi NFC funktsionaalsust üldse saab välja lülitada? Pangakaart ei ole telefon. Info ja funktsionaalsus on kiibil. Muuta saab seda kuidas pank ja makseterminal seda infot töötleb või ei töötle.


See on muidugi laiem teema, aga sisu on sama.
Täna anname sõrmejälgi ID kaardile, sest uus määrus näeb ette. Vana ID kaart vastas kõigile turvanõuetele, aga sõrmejälgedega on parem. Mingit sisulist avalikku debatti ei toimunud.
Ehitame NFC funktsionaalsuse sisse... sest see on mugav. Võib-olla on see mugav ka riigi jaoks? Ma ei hakka ennustama mida järgmine määrus võiks sisaldada, aga trepp on libe. Mingi kohalik arutelu sellel teemal nende määruste sisu ei muuda. Üleüldse, miks riik peaks enda jaoks mugavale teemale kätt ette panema kui kõrgemad jõud nõuavad.

[indrpo]

Päris paranoiliseks ei maksa ka minna.
ID kaardi NFC ei saa ja ei hakkagi väljastama mingeid krüptokoode, näed sama infot mida id kaarti lugejasse pistes oma digidocist.
isikukood antakse, rakendus laeb netist nime, vajadusel pildi jms.
NFC blocking rahakotte müüakse juba ajast kui NFC pangakaardid tulid. Reaalselt pead ikka kaardi välja võtma ja lugeja lähedale pistma.
Mingeid tehinguid ja pinne sa kusagile viibates panna ei saa. Siis tuleb ikka pista kusagile.

Aga kliendikaartidest vabaks, saaks igal juhul.
Kui see kellegi jaoks siin turvarisk on, las ta siis mõtleb nii.

[NightStriker]

indrpo, isikutuvastusest räägime siin muuseas mitte digiallkirjastamisest. Isikukoodist täiesti piisab. Ülejäänu jaoks on riigil oma andmebaas kust pilti ja muud kõrvutada.

[indrpo]

NightStriker, Ma ei saa aru, mis sa uut öelda tahtsid? Kirjeldasin detailselt isikutuvastusest ja digitaalsest kinnitamisest.
Isikutuvastamisest räägime siin muuseas? ID kaart ongi isiku tuvastamise vahend, seda on võimalik tuvastada lihtsal viisil ja sellega on võimalik tuvastada end rangel viisil, sellega võid oma maja maha müüa aga võid ka olerexis bensiini soodsamalt saada.

See, kuidas see meetod ja turvalisus tagatakse, on sellega tegelejate küsimus. Minu väide on, et NFC pole ebaturvaline.

[NightStriker]

Minu väide on see, et NFC kaart taskus ei võimalda "kätt ette panna" kui keegi soovib seda minu tahte vastaselt skännida.

Jah, NFC rahakotid ja taskud on olemas. See ei vabanda turvalisele kaardile juhtmevaba piiksu sisse ehitamist. Juhtmevaba funktsionaalsus peaks olema "opt in". Mitte "on by default" ja välja lülitada ei saa.


EDIT:

[Forss]

Hmm käisin ka paar päeva tagasi Tallinnas Tammsaare esinduses dokumentidel järel.

Läks vast 5min, et kätte saada.
Panin autos juba https://mobiilnepilet.politsei.ee järjekorda ennast.

Täna paistab, et ei saa Tallinna Tammsaare esindust valida, aga siis toimis ilusti.