𝐊𝐮𝐢𝐝𝐚𝐬 𝐯𝐚𝐥𝐦𝐢𝐛 𝐈𝐃-𝐤𝐚𝐚𝐫𝐭?

Mõtlesin, et alustan tsükliga DIGI värk,
𝐓𝐬ü𝐤𝐤𝐞𝐥 𝐃𝐈𝐆𝐈 𝐯ä𝐫𝐤
1. osa
𝐊𝐮𝐢𝐝𝐚𝐬 𝐯𝐚𝐥𝐦𝐢𝐛 𝐈𝐃-𝐤𝐚𝐚𝐫𝐭?
Kuni eelmise aastani oli ID-kaartide tootmiseks PPA leping prantsuse ettevõttega Idemia France SAS ja sertifitseerimiseks ettevõttega SK ID Solutions AS, mille omanikud on Telia Eesti AS, SEB AS ja SWEDBANK omanikukontode taga.
08.04.2024 sõlmis Politsei- ja Piirivalveamet (PPA) uute ID-kaartide välja andmiseks lepingu prantsuse taustaga ettevõttega Thales DIS Finland Oy (Thales) ja Brüsseli ettevõttega Zetes.
PPA lepingupartner Thales hakkab tootma, isikustama ja tarnima ID kaarte. Lepingu maksumus on 28 miljonit eurot ning PPA tellib üle 2,3 miljoni dokumendi. Belgia ettevõte Zetes varustab ID-kaardid sertifikaatidega ja võimaldab inimestel e-keskkonnas ID-kaardiga teenuseid kasutada. Lepingu maksumus on 26 miljonit eurot.
𝐈𝐃-𝐤𝐚𝐚𝐫𝐭 𝐯𝐚𝐥𝐦𝐢𝐬𝐭𝐚𝐭𝐚𝐤𝐬𝐞 𝐤𝐨𝐧𝐤𝐫𝐞𝐞𝐭𝐬𝐞 𝐢𝐧𝐢𝐦𝐞𝐬𝐞 𝐭𝐞𝐥𝐥𝐢𝐦𝐮𝐬𝐞 𝐚𝐥𝐮𝐬𝐞𝐥, 𝐞𝐧𝐧𝐞 𝐤𝐚𝐚𝐫𝐝𝐢 𝐯𝐚𝐥𝐦𝐢𝐦𝐢𝐬𝐭 𝐨𝐧 𝐣𝐮𝐛𝐚 𝐭𝐞𝐚𝐝𝐚, 𝐤𝐞𝐥𝐥𝐞𝐥𝐞 𝐤𝐚𝐚𝐫𝐭 𝐡𝐚𝐤𝐤𝐚𝐛 𝐤𝐮𝐮𝐥𝐮𝐦𝐚 𝐣𝐚 𝐦𝐢𝐥𝐥𝐢𝐬𝐞𝐝 𝐢𝐬𝐢𝐤𝐮𝐚𝐧𝐝𝐦𝐞𝐝 𝐭𝐮𝐥𝐞𝐛 𝐤𝐚𝐚𝐫𝐝𝐢𝐥𝐞 𝐤𝐚𝐧𝐝𝐚.
ID-kaardi sees on spetsiaalne turvaskeem ehk kiip, millel on protsessor, mälu ja krüptograafilised funktsioonid, see on sisuliselt väike arvuti. Kaardi tootmise ajal laaditakse turvaelemendile 𝐤𝐚𝐚𝐫𝐝𝐢 𝐭𝐚𝐫𝐤𝐯𝐚𝐫𝐚, 𝐬𝐞𝐫𝐭𝐢𝐟𝐢𝐤𝐚𝐚𝐭𝐢𝐝𝐞 𝐣𝐚𝐨𝐤𝐬 𝐯𝐚𝐣𝐚𝐥𝐢𝐤 𝐬𝐭𝐫𝐮𝐤𝐭𝐮𝐮𝐫, 𝐦𝐮𝐮𝐝 𝐯𝐚𝐣𝐚𝐥𝐢𝐤𝐮𝐝 𝐭𝐞𝐡𝐧𝐢𝐥𝐢𝐬𝐞𝐝 𝐚𝐧𝐝𝐦𝐞𝐝 𝐣𝐚 𝐤𝐚𝐚𝐫𝐝𝐢 𝐨𝐦𝐚𝐧𝐢𝐤𝐮 𝐚𝐧𝐝𝐦𝐞𝐝.
Isikustamisprotsessis genereeritakse ID-kaardi jaoks vajalikud 𝐤𝐫ü𝐩𝐭𝐨𝐠𝐫𝐚𝐚𝐟𝐢𝐥𝐢𝐬𝐞𝐝 𝐯õ𝐭𝐦𝐞𝐝. Võti on pikk salajane või avalik kood, mida kasutatakse elektroonilise info lukustamiseks, avamiseks või allkirjastamiseks. Võtme genereerimisel annab süsteem kaardile vajaliku käsu ja kaart kasutab omaenda füüsilist juhuslikkuse allikat, et genereerida privaatvõti. 𝐏𝐫𝐢𝐯𝐚𝐚𝐭𝐯õ𝐭𝐢 genereeritakse ID-kaardi kiibis ning seda ei anta kaardilt välja. Kaardi tarkvara genereerib seejärel privaatvõtmest privaatvõtmele matemaatiliselt vastava 𝐚𝐯𝐚𝐥𝐢𝐤𝐮 𝐯õ𝐭𝐦𝐞. Võtmeid on kaks paari ja need luuakse koos matemaatiliselt, avalik ja privaatvõti on omavahel seotud, paiknevad ID-kaardi kiibil, privaatvõti on kiibil kaitstud kujul ja avalik võti on sertifikaadis, seda saab igaüks kaardilt lugeda. Iga võtmepaar koosneb ühest privaatvõtmest ja sellele vastavast avalikust võtmest. Avalik võti seotakse vastava sertifikaadiga, st konkreetse isikuga.
Digiallkirja puhul kasutatakse avalikku võtit privaatvõtmega loodud allkirja kontrollimiseks. Ja vastupidi info saatmisel tuleb kasutada adressaadi avalikku võtit andmete krüpteerimiseks ning tema kasutab oma privaatvõtit info dekrüpteerimiseks.
Thalesi poolel genereeritakse kaardile krüptograafilised võtmed ja avalik võti antakse sertifikaadi väljastamiseks. Sertifitseerimisasutus Zetes kontrollib kas sertifikaati võib sellele isikule väljastada ja loob saadud avaliku võtmega seotud sertifikaadi. Sertifitseerimisasutus koostab sertifikaadid, mis seovad avaliku võtme sinu identiteediga. Sertifikaat kirjutatakse ID-kaardi kiibile. Kiip ise sertifikaati ei loo. Zetes kui sertifitseerimisasutus allkirjastab väljastatava sertifikaadi oma allkirjastamisvõtmega. Selle abil saab hiljem kontrollida, et sertifikaat pärineb usaldusväärselt sertifitseerimisasutuselt ja seda ei ole muudetud.
Sertifikaat sisaldab ees- ja perekonnanime, isikukoodi, avalikku võtit, sertifikaadi seerianumbrit, sertifikaadi kehtivuse algus- ja lõppkuupäeva, infot selle kohta, kes sertifikaadi väljastas, infot selle kohta, milleks sertifikaati kasutada võib (nt autentimine või allkirjastamine).
Järgmise sammuna genereeritakse 𝐏𝐈𝐍-𝐤𝐨𝐨𝐝𝐢𝐝. PIN1 ja PIN2 luuakse eraldi protsessis. Need on juhuslikult genereeritud kasutajakoodid, millega kaitstakse kaardil olevate võtmete kasutamist. Need ei sünni kiibis. PPA väidab, et PIN- ja PUK-koodid väljastatakse kaardiga automaatselt.
PIN-i koodide kontrollimiseks vajalikud andmed salvestatakse kiibile ID-kaardi isikustamise tootmisliinil olevas arvutisüsteemis. PIN genereeritakse, arvutatakse PIN-ist 𝐤𝐨𝐧𝐭𝐫𝐨𝐥𝐥𝐚𝐧𝐝𝐦𝐞𝐝, mis kirjutatakse kiibile ja PIN-koodidega ümbrik antakse inimesele. PIN-koodi ennast kiibile ei kirjutata. Kaardi kiip kontrollib sisestatud PIN-i abil, kas kasutajal on õigus kaardil olevat võtit kasutada. Info liigub arvutist kiibi programmi, kus PIN koodi kontrollitakse ja vastus saadetakse kiibilt arvutisse tagasi. Kui sisestad õige PIN koodi, siis saad kiibil oleva vastava privaatvõtmega teha lubatud toiminguid (autentimine või digialkkirjastamine).
Sinu paroole PIN1 ja PIN2 kontrollib ID-kaart ise oma kontrollandmete alusel, paroole pole kuskile salvestatud ja neid kuskile ei saadeta.