Eestis, nagu paljudes teistes riikides, on kasutusel passid koos biomeetrilise infoga RFID kiibil. Praegu veel ainult näolapp kuid selle aasta maikuus peaks kiibile lisanduma ka sõrmejäljed EDIT: Kodakondsus- ja Migratsiooniameti uudis: 29.06.2009 Tänasest kantakse reisidokumentidesse digitaalsed sõrmejäljed. Minu käest on tihti küsitud, et kuidas lugeda ID-kaardi kiibilt (kus sees on aga ainult vahendid digitaalseks isikutuvastuseks ja allkirjastamiseks) kaardil olevat pilti. Küllap on ID-kaardi puhul pilti ja kiipi koos nähes lihtsam tekkima valearvamus, et see pilt ka sellelt va kiibilt loetav on. Erinevalt ID-kaardist ei ole passi sees olev kiip silmaga nähtav ja ei saa ka selle nähtamatu kiibi abiga internetipanka logida. Küll aga on selle peidus oleva kiibi sees olemas ilus värviline pilt passiomanikust. Järgneva retseptiga saab kodustes tingimustes selles ise veenduda. Vaja läheb:

• 1 Linuxiga x86 arvuti (Ubuntu 8.10)
• 1 ACR122 RFID lugeja (osta näiteks siit)
• java6, pcscd, ccid tarkvara (sudo apt-get install sun-java6-bin pcscd libccid)
• 1 biomeetriline pass

Kuidas valmistada:

1. Tiri endale JMRTD (Java MachineReadableTravelDocument) tarkvara aadressilt jmrtd.org (vali platform independent JAR file: jmrtd_installer.jar)
2. Paigalda JMRTD: java -jar Desktop/jmrtd_installer.jar
3. Käivita JMRTD: ~/JMRTD/jmrtd.sh
4. Vali "Add" ja sisesta enda passi number, enda sünnikuupäev ja passi kehtivuse aeg (see on Basic Access Control ehk BAC):
5. Aseta enda pass lugejale ja oota kümmekond sekundit. Passist loetakse kõik andmed, sealhulgas pilt:

---

Rohkem lugemist e-passis olevast RFID kiibist:

• RFID kasutusvõimaluste analüüs ning soovitused eesti ID-kaardi täiendamise kontekstis (via Tanel Tammet)
• KOMISJONI OTSUS, millega nähakse ette liikmesriikides väljaantavate passide ja reisidokumentide turvaelementide ja biomeetria standardeid käsitlevad tehnilised kirjeldused

EDIT 10.08.2009: Lisatud viide BAC-ile ja mig.ee uudisele.

Kuu jagu päevi tagasi CERT-i teabepäeval Voorel oli kohal ka "el hacker estonio tonuonu", kes usinasti tegeles enda tavategevusega ehk siis kohaliku wifiliikluse salvestamisega. Päeva lõpus lasti huvitavamad leiud (POP3 paroolid ja MSN-i kontaktid jms) suurele ekraanile ja espetsiaalselt sai ära märkimist Tõnu sõnade kohaselt "keegi kodanik e-maili aadressiga martin.paljak@gmail.com, kes lisaks ka kohaliku ruuteri kallal nagistas kogu aeg, sinu parool on samuti teada jne". Kuna see keegi kodanik olen mina, tekkis mul kohe 2 küsimust:

1. WTF?
2. Kas tõesti?

90% ajast internetti kasutades tegin seda läbi Kõu (sest see kohalik wifi oli põlvili) ja kuna pean ennast keskmisest teadlikumaks arvutikasutajaks, ei tahtnud uskuada, et minu gmaili parool üle õhu plaintextis liikus. Lisaks ei võtnud mitte omaks kusagil ruuteri kallal nagistamist. Igatahes ... Kiire check arvuti dock-i: töötasid programmig Mail.app, Safari, Terminal+ssh, Skype, Adium+gtalk. Programmid, mis kasutavad mainitud e-maili aadressi on Mail.app ja Adium. Mail.app konfiguratsiooni kontroll andis mõista, et kõik läheb ilusti üle TLS-i; check. Adiumi konfis linnukest "Allow plaintext authentication" ees ei olnud; check. Igaks juhuks tegin ka puuduva linnukese "Require SSL/TLS" ette ja muutsin üle Kõue gmaili parooli ning läksin Tõnult aru pärima ja tõendusmaterjale nõudma. Lubati saata algmaterjal ehk võrguliikluse dump. Järgmisel päeval seda uurides sain teada, et:

1. aadressi martin.paljak@gmail.com või selle parooli see ei sisalda
   - seega pani Tõnu 2 ja 2 kokku ja tuletas mu e-maili aadressi õhust
2. sama IP pealt, mis minu arvutil vahepeal oli, käis hiljem keegi tõesti kohaliku ruuteri kallal nagistamas. Aga mitte minu arvuti MAC aadressilt
3. üle õhu liikus skype bonjour broadcast koos minu kasutajanimega martinpaljak
4. üle õhu liikus del.icio.us Firefoxi plugina Cookie koos kasutajanimega martinpaljak
5. üle õhu liikus plaintextis minu twitter.com parool:

(screenshot janno.wifi.ee) Nüüd oli tõeline WTF. Vaatasin töötavad programmid veel korra üle ja leidsin menubarilt kunagi prooviks tiritud ja käima unustatud twitterrific Twitteri kliendi. Selle programmijupi konfiguratsioonist ei leidnud ühtegi SSL või crypto laadset optsiooni. Väike guugeldamine tõi kurva selguse: tervelt aasta jagu on kõik antud programmi tavakasutajad enda twitteri parooli edastanud plaintextis. Vähetähtsa veebiteenuse "salakala" tüüpi parooli pealt kuulamine mind väga ei hirmuta, kuid andis minu silmis vopsu nii Twitterile kui sellele konkreetsele kliendile. Võibolla just minu vägagi mahlakast ja kurjast e-mailist tingituna tulid nädalapäevad hiljem oma tarkvara uue versiooniga lagedale twitterrifiku tegijad, kus see masendav bläkk korda oli tehtud. Igatahes kustutasin selle softijupi kiiresti ja uuesti paigaldama ei kutsu ka uus, parandatud versioon. Mida ma õppisin sellest vahejuhtumist?

• Ära usu kõike mida kuuled. Tihti käib terakese tõega kaasas palju pullikakat.
• Avalik wifi on ohtlik. Kui võimalik, kasuta VPN-i (kui oskad) või Kõud või GSM-i või muud raskemini pealtkuulatavat võrku.
• Ära jooksuta suvalisi internetist leitud programme! Kontrolli eelnevalt nende korrektsust, eriti kui nad internetti kasutavad. Kas tead kellega ja millest Su arvuti omaette räägib?
• OpenID on hea, eriti "suvaliste web2.0 rakenduste" jaoks, et tüdinud kasutajad ei peaks "salakala" paroole kasutama ja selle turvalisuse pärast muretsema.

Turvalist võrgutamist ja tänud Tõnule minu valvsuse taastamise eest. Vaenlane ei maga!