There have been lately some posts on the wild-wild-web about a service we've been preparing for public launch but there is one post I'd like to answer right now as it touches the delicate subject of security (or the urge to feel secured and safe). I have promised a longer and more in-depth English post about the backround of the mentioned service before or right after the "gold v1.0 beta" release (what is happening really soon now, a matter of days I would say) - stay tuned for that. Mark points out several real risks we must deal with. And yes - the golden rules for security related stuff would be "never say never" and "there is no mission impossible". Even though my post does not give the answer to the original question about phishing nor discuss the generic functioning of smart cards or two factor authentication or identity issues I'd like to make some things clear in the context of open.id.ee solution and answer his concerns. First: I'd like to make it absolutely clear that Estonia is not issuing OpenID-s as it is all about enabling existing technology and electronic identity rollouts to become OpenID compatible. This is mainly a question of 'addressing' or defining the semantics of the OpenID URL and how (if at all) do we encode the identity information into the OpenID URL. Very technical and very practical problem. You don't issue addresses as they are just merely 'pointers' in programming parlance. You exist independently of any URLs possibly pointing at you. You can issue as many pointers as you like, as long as you understand the address and find it useful. Second: The reason why this hybrid was created is not absolute security that is required by applications like electronic voting or electronic banking but to improve the overall security and privacy of the online identities of Estonians for the 99% rest of the websites in the wild wild web (and mainly abroad). Something practical. Somethig real. Right now, right here - not on the whiteboard. Back to the list of things that could fail with open.id.ee:

A person could be threatened or bribed into activating their smart-card for someone else to use

You can never avoid the human factor. Threatened - yes (a hammer works best). Bribed? If you're a complete moron selling your identity to someone - you could do it but what would the buyer get? By selling it you only hurt yourself (and the buyer could post on jyte a stupid claim under the sellers name). The idea is mainly to allow those who care to take better care of their online identity. If you don't care and are willing to sell it - there is a problem secure OpenID can't help you with. But what is very important: you can always reclaim your online identity (after you have been forced to part part from your eID card and PIN codes, thanks to either brute force or loads of gold) by applying for new eID 'hardware' (the old one is revoked and becomes useless).

The openid service itself could be hacked and thus faked

True. This is one of the biggest problems and this shall be dealt with special care by using a very secure environment and by open sourcing the service software. As this is a pure SSL service server certificates should help eliminate fakes.

The smart cards could be forged

Could. But very unlikely. If that would happen you should be much more worried about your Visa card than your online dog forum account. Be sure to check the pictures where I break into my eID card

Valid smart cards could be given to false identities either through forged documents or dishonest government employees

This is a more rare crime and way more serious and understood by police than a 'my pet forum account was hijacked'. It is of course possible but here again the technical security of the given solution is secondary and human factor the primary threat.

Someone could figure out how to simulate a valid smart-card authentication

I would classify this under the generic security of smart cards. Again - this attack is possible - but very unlikely/difficult/expensive.

The openid server could have a bug that allowed for cross-site scripting attacks

True. This is what open source security is all about. You'll eventually see the source code running the v1.0 service (and if there is a reasonable way to have signatures on the actual code running in the servers - you'll have that too)

A phishing site might discover a way to capture a valid authentication and replay it later

What would make OpenID collapse. A lot of problems for everybody involved.

I'm all about security and healthy paranoia but in my humble opinion everyday security is mostly about common sense. Just like two terrorists would probably not use their national eID cards to secure and protect their communications, the security of the available technologies like smart cards is unbreakable for 99.999% of people and thus good enough for an even greater number of legitimate use cases. And in the end it is all about trust. If I don't trust somebody then there is nothing technology could change. Technology can only increase the level of trust as it shows that the other party is taking security seriously and is doing the best he could do. One has to figure out: Who do I have to trust? Why do I have to trust them? Who do I actually trust? Why do I trust them? Is the trust level good enough for the given situation?. Currently you have to trust evert site you register with to take care of your personal information rather than force the site to trust whatever YOU are willing to present as 'this is something I trust. Use it!'... The Estonian eID (or any national eID) is a nice reality check/example. One can say that you can't really trust the government issuing it. But I believe it is OK in that case to use a piece of technology you do not trust to do business with a government you anyway don't trust. OpenID, just like electronic identity in the form of smart cards, makes stuff easier for you and more secure by design (hopefully). Take it or leave it. Use it and spend the time you save on doing something you love.

Alguses tahtsin kirjutada sellest, kuidas kodanik Astok arvab, et ainus viis Eestist innovaatilisemat riigikest teha on jäägitult BSA/MPAA/jne lobitöötajate poolt kirjutatud kasumikasvatamise juhiste jäägitu austamine ja täide viimine (muusika tirimise eest trahv suurem kui purjus peaga sõitmise eest, 10 aastat istumist Windowsi kopeerimise eest jne). Kas Eestit viib edasi *välismaiste* "autorite" "kaitsmise" nimel väljamaale tilkuv raha aukliku Windowsi ja kraaksuva Britney Spearsi eest? Meie majandust? Pikas perspektiivis? Tarkvara sektoris? MIKS vilistavad mõned suuremad (aga nähtavasti arukamad) riigid farmaatsiatööstuse patentidele ja loovad vajalike ravimite odavaid koopiaid? Sest see on inimeste huvides. Riigi huvides. Riik - see on inimesed. Eesti peaks enda innovaatilisema tuleviku väljavaadet tarkvara sektoris otsima hoopiski avatud lähtekoodiga vabast tarkvarast:

Weber leiab, et põhiline vaba tarkvara levikut soodustav tegur on “jagatud innovatsioon" mis võimaldab tarkvaraarendajatel keskenduda just neid huvitavatele nüanssidele, kasutades vabalt oma töö aluseks olevaid või sellega haakuvad teiste arendajate töid. Selline lähenemine on palju produktiivsem traditsioonilisest tarkvaraarendusmudelist, mis põhineb suletud lähtekoodil ja autoriõigustel. Weber väidab, et majanduslikust seisukohast ei ole vaba tarkvara edu erand vaid pigem reegel. Majanduse arengu kiirus on tihedalt seotud tarkvara arengu kiirusega. Tarkvaral põhineb peaaegu iga tööstusharu. Andes neile vabalt kasutatava ja tasuta tarkvara, kiirendaksime majanduse arengut. Loomulikult vajavad ka vaba tarkvara projektid finantseerimist, aga eeltoodu põhjal võiks see vähemalt osaliselt olla riigi poolt. Vaba tarkvara arengu kiirus võib tuua uue tööstusrevolutsiooni taolise hüppe majanduses.

(allikas) Natuke maalähedasema probleemi "autoriõiguste" ja terve mõistuse osas leiab Telleri juurest. Nagu selgub KaPo aastaraamatu juhtumist, tuleb avalikkusele suunatud teose puhul pingsalt järgida autoriõiguseid [?]. Mis on sel KAPO juhtumil pistmist avatud lähtekoodiga? Sest meie riigi turvalisus on nagu suletud koodiga tarkvara ja "turvalisus läbi eitamise ja sogamise" (security through obscurity). Ehk siis "Ei kommentaari" ja vabanduseks toome autoriõigused või muu parasjagu sobiva "vabanduse" nagu välismaistes sarnastes organisatsioonides kombeks (FSB, CIA jne). Ei tahaks vanas asjas surkida. AGA. Minu (ja ka paljude teiste kaaskodanike) silmis viimasel ajal kõrgel olnud korrakaitsejõudude üldine maine kukkus ühe organi (ja KAPO peaks olema eliit?) suhtumisega kolinal korraks NULLI. Kui Savisaarest ja tema mainest on mul ja paljudel teistel sügavalt suva siis Eesti riigi mainest kodanike silmis (mida KAPO samuti kujundab) mitte.

Korduma Kippuvad Küsimused ehk KKK ehk FAQ on tihti veebilehtede kõige informatiivsem lehekülg. Miks on meil ID-kaart (või määrimiseks leivale) ja mida sellega teha saab (internetis enda pangakontot kamandada) on juba nämmutatud teema mille kohta leiab internetist nii hulgaliselt küsimusi kui ka erinevaid vastuseid. Aga kuidas haakuvad omavahel mobiil-ID, ID-kaart ja OpenID? Miks see hea on? Kuidas seda kasutada? Milleks meile üldse "identity2.0" buzzword? Iga päevaga tiksub lähemale hetk millal open.id.ee saab "kuldse beeta v1.0" staatuse ja mille tõttu on vaja ka dokumentatsiooni. Dokumentatsiooni ei hinnata mitte meetrite järgi vaid see peab vastama kasutajate tegelikele vajadustele. Seega, hea lugeja: kirjuta enda küsimused - nii keerulisemad kui rumalamad - pealkirjas mainitud koosluse kohta siia kommentaaridesse. Saad ise vastuse ja aitad ka teisi: nendest küsimustest valmib open.id.ee KKK lehekülg!

Tormise "austaja" poolt varastatud rate.ee parool või "hea sõbra" "meelde jäänud" kasutajatunnused online mängus - identiteedivargus on midagi millega tuleb leppida. Või siis mille vastu võidelda. Seni kuni identiteediga seonduvat lahendatakse (veebi)rakendustes luues andmebaasi "kasutajad" kus on väljad "kasutajanimi" ja "parool", ei ole tänu inimeste laiskusele ja teadmatusele suurt valgust tunneli otsas näha. Vaja on teavitustööd mida ka usinasti tehakse või kasutada tehnoloogilisi vahendeid. Näiteks OpenID nimelist vahendit. Mis on viga paroolidel? Küsimusele "kes?" vastatakse kasutajanimega ja küsimusele "kuidas (tõestad, et oled see kes väidad ennast olevat)?" vastatakse salasõnaga. Kaotades "kuidas?" osa võib "kes?" muutuda kasutuks (või on selle taastamine tülikas ja pikk protsess) või "kuidas?" varastamisega võib pahalane elu lõpuni "kes?" olla. Ka OpenID (mille turvalisuse kohta on laias maailmas küsimusi esitatud) ei ole võlujõuga vitsake. Näiteks OpenID stealthisidentity.myopenid.com (kes?) (pane silmad kinni, seda ei ole näinud: parool on sama mis kasutajanimi) on parooli (kuidas?) kaotsi minnes kasutu (sest ei kasutanud registreerimisel e-maili aadressi) või veelgi hullem - kui keegi selle teada saab võib ta üle võtta kõik veebilehed kus ma eales selle OpenID-ga käinud olen. Appi tuleb aga võlujõuga kaigas ID-kaart (ning kaudselt isikukood ja @eesti.ee aadress) Sinu nimi (või ka isikukood) on midagi, mida keegi ei saa ära võtta. Seega "kes?" - ehk minu OpenID open.id.ee/martin.paljak - on midagi mille kohta võiks ütelda, et see "kes?" elab ID-kaardi sees. Ja nagu alati on võimalik kaotatud või varastatud ID-kaardi asemel uus ID-kaart saada kus on endiselt Sinu nimi peal, nii on alati Sinu OpenID Sinu oma. Kuidas? Kuidas kinnitada, et oled see kes väidad ennast olevat ? Turvalisemat vahendit kui ID-kaart (või tulevikus mobiilID) ei ole masside jaoks hetkel olemas. Isegi kui pahalased sunnivad hiinapiina abil enda ID-kaardi või mobiilID PIN koodid välja ütlema ei ole Sinu OpenID (ja seega kõik need veebilehed kus seda kasutad) "üle võetav" - sest kohe kui saad kätte uue ID-kaardi oled jälle enda OpenID peremees (seda muidugi juhul kui pahalased peale piinamist ellu jätavad...). Loo moraal: ID-kaardiga OpenID - midagi mida põhimõtteliselt ei saa varastada - on hea vahend identiteedivarguste vastu in da wild wild web.

Mis on hästi: Ideelabor on nüüd mõnes mõttes kuulus. Vähemasti blogimaailmas. Sest Inno ja Irja blogis viitamine paistab olevat samaväärne oma nurgakesega kollasel paberkandjal. Ja kollases ajakirjanduses on ju ainult ainult kuulsused ja popstaarid ja ... Nojah. Mis ei ole nii-väga-hästi: Et Inno ID-kaardiga hakkama ei saanud. Et teil, kallitel kaaskodanikel, on vähe algatust ennast ise aidata. Et puudu on asjalikud kommentaarid, soovitused ja/või vearaportid kasutajatelt. Et enamasti on mingi pime standard N&H (nutt ja hala) 'miks siin ei tööta, aga miks ainult microsoft, miks nii ei ole, miks nii ei saa, küll on halb, kõik on käpardid, kõik on saast' - seda kõike soovitavalt kusagil foorumis, netiportaali kommentaariumis või siis sõpradega õllelauas. Sest virisemine on meil ju kombeks. Võtame näiteks e-valimised. Nii mõnigi inimene (näiteks Linnar või Jaanus, internetist leiab rohkem) oleks riigi arvates pidanud valima 'poolikult'. Sest valitseb vaakum - valijarakendus macil/linuxil nagu oleks ametlik, aga ID-kaarti ametlikult pole... Loota, et riik (või üldiselt 'keegi' - igatahes mitte ise) kõik ette-taha ära teeb on väga naiivne. Kurat - kui riik ei aita, aidake ennast ise! Kui ise ennast ei aita, ei aita ka jumal/riik/mina. Jätame kõrvale sisutu kuulsusejanu ja unustame ka tavalised lemmiktegevused virisemine ja halvustamine! Otsigem koos praktilisi lahendusi, positiivselt ja optimistlikult, konstruktiivselt ja tulevikku vaadates. Kodanikuühiskond - millest viimasel ajal palju räägitakse - ei teki siis kui igaüks omaette toriseb ja õlgu kehitab ja konstateerib fakti - 'nojah.. aga ei ole ju nii nagu peaks/tahaks'. Martin - ca 10% e-häälte erapooletu sponsor aastast 2005 (Erakonnad kes te ikka enne või peale valimisi hääli ostate - minu kontonumbri leiab minu kontaktide lehelt)