My BunsenLabs story

Posted as a reply in the BunsenLabs user forum.

I have an hp Pavilion dv5000 (dv5204ea), with Intel Celeron M 410 running at 1.46 GHz and 1 Gb of RAM memory, and a BIOS date from 13.06.2006., so the computer is 13 years old.

I use the CD version of BunsenLabs Helium as a LiveCD, and due to limited RAM memory, prefer that over the DVD variant.

NoScript is a huge amount of help when browsing the web, but YouTube is impossible to use with 1 Gb of RAM when BL is run from a LiveCD. In my experience, the LiveCD experience of YouTube is good with at least 2 Gb RAM and a dual-core CPU.

BunsenLabs (BL) meets several requirements:

• LiveCD (not DVD), so uses less memory;
• Small memory footprint;
• Based on Debian, so is also compatible with Ubuntu;
• Can run X, with only a window manager;
• Touchpad and pointer drivers must work reliably;
• Has modern Firefox.
• Bonus point: SystemD allows me to limit the memory Firefox can use.

BunsenLabs is one of the few that offers all that. I have a Knoppix 7.2 liveCD, but it's from 2013, is very old, has unreliable pointer drivers, and installing ID card software was cumbersome, and worked partially; I was only able to login and check my bank balance, but not make any transfers.

Ubuntu compatibility and modern Firefox are required for the latest supported software that uses the Estonian ID card. Upon tweaking the installation script, it installs the ID card software and a Firefox extension (both meant for Ubuntu Xenial) that helps with authentication and making electronic signatures online.

The Estonian ID card is a smart card and an identification document that's used for electronic authentication and electronic signing; it's used to access banks and make money transfers; to sign official documents (incl. contracts); to access government services, to conduct business and communications with the government; to vote online in local, general, and EU elections (expat or traveling Estonians can vote anywhere in the world, if they have the kit); to encrypt files, usually for transfer, to ensure high message secrecy; to remove oneself from party membership, and lots more. The ID card is a valid travel document within the European Union.

Estonia adopted the ID card system in 2002, but I got my first ID card in 2009, seven years after adoption. Until then, I used a passport, mostly to identify my person during elections, and when taking cash to the bank.

So, a year ago, after my bank stopped using non-electronic code cards (those with written numerical codes) for two-factor authentication, I finally got an ID card reader — nine years after I got my first ID card (I'm on a second one), and sixteen years after ID card readers became a thing in Estonia.

With some effort, it's possible to install Estonian ID card software meant for Ubuntu, so I could login into my bank and make transfers. Unfortunately, the ID card management software does not yet work properly. But I could vote! — Because the voting program is a separate package.

I'm not a luddite when it comes to technology, but am one of those who gets personal access to interesting stuff and technology much later than my reference group. Because reasons, but that's life, I guess.

So, in Autumn and Winter of 2018, BunsenLabs was essential just so I could check my bank balance at home, and make transfers.

The day-to-day need to use BunsenLabs waned in January 2019. On Christmas 2018, a relative got a new smartphone, and I asked for their old smartphone, explaining, that I could upgrade that old smartphone from Android 4.0.3 to Android 4.1.2, and install Smart-ID — so I could easily access my bank when in transit. Android 4.1 is the oldest version still supported by the Smart-ID app. The relative was convinced, and I got their old smartphone.

My earlier smartphone runs Android 2.3.6, and does not have any more upgrades available. Furthermore, in December 2018, the YouTube app also stopped working on Gingerbread. (There, the default browser would render the mobile YouTube page and thus allow playback in an external player until September 2019.)

Smart-ID is a new two-factor authentication system and app in Estonia and Latvia.

There is also Mobile ID (Mobiil-ID). It's equivalent to the ID card, and supports absolutely all kinds of phones, even featurephones dating back to early 2000s and even a bit before. One can vote with Mobile ID, but not with Smart ID. But — Mobile ID requires a phone contract and a specialized and more expensive SIM card, and is not exactly free, as it requires a small and regular fee.

Whereas Smart-ID is completely free, but has support for less services.

The newer device I got, is LG Optimus L5, which series was released in June 2012, a few months later than my Gingerbread phone.

I really didn't know if I could upgrade the LG phone from ICS to Jelly Bean. While information about upgrade possibility was up, off-the-air upgrades stayed within Android 4.0.3. This meant that I had to check if there was a computer-based upgrade possible.

At first sight, LG's official site had software available that would run on Windows 7 or greater, while I have Windows XP. Fortunately, LG's Australian section offered packages compatible with Windows XP, enabling me to make a backup of device data, and perform the upgrade to Android 4.1.2. Yay!

Getting Smart-ID registered still required use of the ID card, so BunsenLabs came in handy again.

I could login into my bank again. Yay!

As a result of installing registering Smart-ID, I could download my bank's app that just happens to also have Android 4.1 as the earliest supported Android, so with some effort (because this phone's RAM is only 512 Mb), I used Smart-ID to register my bank's app. My bank's app is crashy for most things, but at least allows me to check the balance quickly.

LG Optimus L5 has the same CPU and RAM specs as the phone with Gingerbread (Samsung Galaxy Mini 2), but sports a 5-megapixel camera with auto-focus and flash, while the Samsung smartphone has only a 3.15 Mpix sensor with just fixed-focus and without flash. This is really an upgrade to me, as the LG phone is able to scan more detailed QR codes, which has come in very handy.

Coincidentally, Android 4.1 is also the earliest/oldest Android supported by the Estonian online vote verification app, which scans a QR code displayed by the voting app in the computer after a user has finished voting. For some technical reason, the app wouldn't work as intended during the Estonian Parliament elections in March 2019. It's very possible, that the QR code to verify a person's vote has a very short lifetime. The app worked flawlessly during European Parliament elections in May 2019.

Eesti ID-kaart ja Knoppix 7.2

Algupäraselt on blogipostitus kirjutatud käigupealt, mistõttu on seesinane küljendamata kujul. Artikkel on mõeldud kõigile, kes oskavad natuke terminali (käsurida) kasutada.

Kindlasti võis midagi kahe silma vahele jääda, kuid suures osas peaks andmed paika pidama.

Intro

Ehk kuidas saada tööle panka sisselogimiseks vajalik ID-kaardi tarkvara Knoppixi 7.2 Live-CD-le, ja millised on selleks vajalikud .deb-paketid. Kuna Knoppix on Debiani-põhine, on artiklis väljatoodud pakettide arv minimaalne ja vaid antud Knoppixi-versiooni jaoks, kuid võib kasuks tulla ka teiste Debiani- kui ka mitte-Debiani-põhiste distrodega opereerimisel.

Sissejuhatus

Niisiis tekkis mullegi lõpuks permanentne ID-kaardilugeja (OmniKey CardMan 1021) ja võib-olla ka võimalus seda kasutada, et sisse logida panka. Nimelt otsustas minu pank koodikaardi võimaluse (need, mis numbritega) ära kaotada. Ainult et mul on Windows XP, ning see pole ID-kaardi tarkvara poolt enam toetatud.

Estobuntu plaadile keevitamine ei aidanud, sest selle versioon on samuti aegunud ja uut pole välja lastud. Kui seda reklaamitakse kui eestikeelset distrot, mis "toetab ID-kaarti", peaks see pidevalt kaasaegne olema.

Estobuntu põhineb Lubuntu 14.04-l, mis lasti välja 17.04.2014. Estobuntu DVD-tõmmise juures on kuupäev 02.05.2014.

Lisaks: Estobuntu 14.04 DVD Live-versiooni puhul sai värskeima Firefoxi installimisel miskipärast mäluruum otsa, sest minu masinal on vaid 1 Gb RAM-mälu (muutmälu). Kõvakettale ma tõmmise sisu ei salvestanud, sest kõvakettal on teine opsüsteem; seetõttu läks käiku vaid Live-variant, mille puhul kasutatakse ramdisk-i.

Seevastu Knoppix Live-CD puhul mälu kohese otsasaamise kartust gigabaidise RAM-mahuga pole. Etteruttavalt võib juba nentida, et Knoppixist oli kasu.

• Knoppix Live-CD (mitte DVD!) ja värske Firefoxi käitamiseks on vaja vähemalt 1 Gb RAM-mälu.
• Estobuntu töötab rahuldavalt, kui arvutis on vähemalt 2 Gb RAM-mälu.

Kaalukausile jäigi Knoppix 7.2 Live-CD, mis on Estobuntust vanemgi, aga ka viimane Knoppixi CD-versioon (24.06.2013. väljalase). Sellel on näiteks Firefoxil põhinev Iceweasel 29.0 21.0.

Iceweasel 21.0 ei toeta TLS turvaprotokolli versiooni 1.1 (järgmist) ja uuemaid. Toetatud on ainult TLS 1.0. See tähendab seda, et arvestatav osa turvatud https: veebisaite ei ole kättesaadavad, kuna: nad kasutavad TLS 1.1 protokolli, nad kasutavad TLS 1.2 protokolli, ning vähesed juba TLS 1.3 protokolli. Google, GMail ja Blogger töötavad, samuti DuckDuckGo otsing. YouTube ei tööta.

19.11.2018. Üks hea uudis ka: Firefoxi ei pea eraldi all tõmbama, sest Iceweaseliga sai panka ilusti sisse. Allpool olev pakettide installimise kadalipp tuleb ikkagi läbida, misjärel Iceweaselis digiallkirjastamise mehhanism pangaülekane (PIN2) tegemiseks erinevalt allatõmmatud Firefoxist isegi kuidagimoodi eksisteerib, kuid ei tööta, ning ma kaldun arvama, et siin on tegemist lihtsalt vananenud lehitsejaga. Üks võimalik lahendus oleks installida Iceweaseli uuendus koos vajalike sõltuvustega ja siis võimaluse tekkides proovida, kas pangaülekande tegemine õnnestub.

Et Knoppix 7.2 on veidi üle aasta vanem kui Estobuntu, ning kuna Knoppix ei ole varustatud ID-kaardi kasutamise jaoks vajalike teekidega, tuleb Knoppixile peale panna terve posu pakette ja omakorda nendest sõltuvaid pakette. (Mitte, et Estobuntuga oleks vähem vaeva, aga Knoppix ei võta kõike mälu endale.)

• Knoppix 7.x versioonidel on probleeme Synaptics puutepatjadega, millest olen ma varem inglise keeles kirjutanud. Ajutine lahendus on kasutada välimist osutusseadet (USB-põhine hiir);
• Tähtsamad käsud Knoppix 6.x ja uuemate käitamiseks, sh. sõrmistiku keele valik ja kasutajakeskkonna välimus (samuti inglise keeles).

Paketid

Synaptic paketihaldurit ei soovita ma praegu üldse, sest pakettide vaikimisi aktiivseks seatud allikatega andmebaasi uuendamisel tuleb Firefoxi (või sellel põhineva Iceweaseli) uuendamist valides ette sisuliselt kogu opsüsteemi uuendamise protsess, sest välja vahetada tuleks liigagi suur arv pakette. Firefox koos vajalike lisadega tuleb installida eraldi, aga sellest jutu lõpupoole.

Osad tarkvarapaketid on Knoppixil juba olemas; siin artiklis tõin välja vaid puuduvad või uuendatavad.

Valikupõhimõtted

Pakettide valikul osutus määravaks versiooniühilduvus, lähtudes printsiibist, et kui süsteemis on juba vajaliku paketi ühilduv versioon olemas, siis ei pea sellele uuendust tõmbama.

Näiteks mida vanem Linuxi-distributsooni versioon, seda rohkem uuemaid ja puuduvaid pakette ja nende sõltuvusi (omakorda pakette) peab peale panema.

Sellest johtuvalt osutus valik vähemas osas Ubuntu 14.04 LTS Trusty Tahr (edaspidi Trusty) ja suuremas osas Debian 8 Jessie (25–26.04.2015) distrodele kompileeritud ühilduvatele pakettidele — põhimõttel, et mida vanemale distrole tehtud ühilduv pakett, seda vähem tuleks selle jaoks sõltuvusi tõmmata.

Kompromissi ei saanud teha konkreetselt ID-kaarti puudutavate pakettidega, nagu opensc jt., mis tähendas, et osa vajaliku versiooniga pakette on Debian 10 Buster-nimelisest kõige värskemast enam-vähem stabiilsest distro-versioonist.

Kui mõni muu ühilduv pakett oli vanemas distros olemas, langes valik selle kasuks.

Installimisjuhis ja versioonide kontrollimine

Esialgu on targem tõmmata individuaalseid pakette, jälgida nende sõltuvusi ja alles siis need vaid dpkg kaudu installida nii:

$ sudo dpkg -i paketi_failinimi_koos_versiooniga

dpkg siis vastavalt annab teada, kas install õnnestus või mitte ja mis lisapaketti täiendavalt vaja on.

Ennetavalt on võimalik kasutada dpkg-query võimalust, et teada saada, millise paketi versioon installitud on:

dpkg-query -W paketi_nimi_suurversioon

Esmapilgul vajalike teekide paketid (info sain siit) —

Tsitaat:

* openssl (1.1.0h)
* libpcsclite1 (1.8.23)
* pcsc-lite (1.8.23)
* QT (5.9.4) (Miks küll?) — See muuseas jäigi installimata.

Et hoida kokku vaba RAM-mälu, võib tarkvarapaketid tõmmata ja salvestada mitte tingimata Knoppixi Downloads või Desktop (töölaua) kataloogi, vaid kõvakettale või mälupulgale konkreetsesse kataloogi, mis tuleb ise luua.

Pakettide nimekirja loomine

Terminalis koostatud mittetäielik nimekiri tõmmatud pakettidest koos sõltuvustega, kõige varasemast kõige hilisemani:

08:51 pcsc-lite-1.8.24.tar.bz2 — Selgus, et polnud vaja
09:08 libsigsegv2_2.10-4+b1_i386.deb — Polnud ka vaja

09:14 libpcsclite1_1.8.24-1_i386.deb
09:24 dpkg_1.17.5ubuntu5.8_i386.deb
09:37 libreadline7_7.0-3_i386.deb
09:42 libtinfo5_6.0+20161126-1+deb9u2_i386.deb
09:47 libssl1.1_1.1.0f-3+deb9u2_i386.deb
09:50 opensc-pkcs11_0.19.0-1_i386.deb
14:49 libglib2.0-0_2.40.2-0ubuntu1.1_i386.deb

Kataloogis olevate failide ajaliselt sorteeritud järjekord ls käsuga:

Kui käsurea käsklus ls -l näitab nimekirja failidest ja nende atribuutidest, siis -ltr parameetrid näitavad detailset nimekirja ajalises järjekorras vanimast uuemani ("modifitseeritud" ehk salvestamise aja järgi) —

l — list — detailne nimekiri
t — time and date — kellaaeg ja kuupäev
r — reverse order — "taguridi järjestus", ehk vanima salvestusajaga fail on kõige üleval

Kuna ma aga tahtsin vaid kellaaega ja failinime, tuli käskluse väljund lasta toru abil ("piibu", i.k. pipe) läbi awk-i:

$ ls -ltr | awk '{print $8, $9}'

print käseb trükkida, ning $8 ja $9 määravad vajalike veergude numbrid. Veerude number tuleb mõistatada ls -l käsuga tehtud nimekirjast. Koma veerunumbrite parameetrite vahel on tähtis. Ilma komata võib ka, aga siis ei tule kellaaja ja failinime või muude esemete vahele tühikut.

Võib kasutada ka lihtsamat varianti

$ ls -tr

— See koostab pakettide lihtsa nimekirja ajalises järjekorras vanimast salvestatust kõige uuemani suunaga ülevalt alla.

Pakettide asukohad ja nende installimine

Tuleb tähele panna, et antud Knoppix 7.2 on 32-bitine, ning pakettide tõmbamisel tuleb valida i386 arhitektuur. Arhitektuurinimetuse puudumisel on arhitektuuri asemel kirjas all (i.k. kõik).

Vajadus on seega järgmiste pakettide järele (tabel on veel pooleli) —

	Link kirjeldusele			Link paketile
#	Pakett	Vajaminev versioon	Knoppix 7.2-s?	Paketi versoon	distro	distro ver.	Sõltuja
	libpcsclite1 1.8.24-1 — paketis olev üks või enam faile sai pakendatud xz formaadis. Sellest ka vajadus uuema dpkg versiooni järele. Jäi meelde, et see dpkg versioon pidi olema just see konkreetne ja mitte mingi muu. Võimalik, et Ubuntu või Debiani ametlikel lehtedel olevad dpkg versioonid kas (veel) ei sisaldanud xz formaadi toetust, või olid pakettide sõltuvusversioonid liiga suured.
1.	dpkg 1.17.5ubuntu5.8	1.17.5	1.16.10	1.17.5ubuntu5.8	ubuntu	trusty	libpcsclite1
2.	libpcsclite1 1.8.24-1	uusim	1.8.8-3	1.8.24-1	debian	buster
*	opensc-pkcs11 0.19.0-1	uusim	Puudub	0.19.0-1	debian	buster
#

opensc-pkcs11 paketil on omad sõltuvused:

* libglib2.0 >= 2.39.4 (Knoppix 7.2-s: libglib2.0-0:i386 2.36.3-1)
* libssl1.1 >= 1.1.0 (Knoppix: Puudub; on libssl1.0.0:i386 1.0.1e-2)

libglib2.0-0_2.40.2-0ubuntu1.1_i386.deb ubuntu trusty

4. Mingi hetk tekkis tahtmine tõmmata peale ka uusim opensc:

opensc (0.19.0-1) debian buster

Sõltuvused:
* libglib2.0-0 >= 2.16.0 — esmapilgul polnud vaja, aga siis opensclite1 (üleval) tahtis ikkagi uuemat.
* libreadline7 >= 6.0 (Knoppix: Puudub; kõige hiljutisem on libreadline6:i386 6.2+dfsg-0.1)

libreadline7_7.0-3_i386.deb debian stretch (i386)

** Omakorda sõltuvus: libtinfo6 >= 6 (Knoppix: puudub; on libtinfo5:i386 5.9-10)

** libtinfo5_6.0+20161126-1+deb9u2_i386.deb debian stretch (i386)

* libssl1.1 >= 1.1.0 (Knoppix: puudub, on libssl1.0.0 1.0.1e-2)

libssl1.1_1.1.0f-3+deb9u2_i386.deb — ilmselt stretch; i386

* opensc-pkcs11 = 0.19.0-1 (Knoppix: puudub täielikult)

opensc-pkcs11_0.19.0-1_i386.deb debian buster i386

Edasi tuli installida opensc pakett:

opensc (0.19.0-1) buster i386 (Knoppix: Puudub täielikult)

Edasi: pcsd
pcscd (1.8.24-1) buster i386 (Knoppix: puudub täielikult)

aga sellel on õige mitu sõltuvust:

* libccid >= 1.4.1~ (Knoppix 7.2-s libccid justkui eksisteerib, aga uuendust sellele on ikka vaja)

libccid (1.4.18-1) jessie i386

* libsystemd0 (215-17+deb8u7) jessie i386 (Puudub täielikult)
Sõltuvused:

** libgcrypt20 (>= 1.6.1) 1.6.3-2+deb8u5 jessie dl (Knoppix: Antud versioon puudub, on libgcrypt11 1.5.0-5 )

Sõltuvused:

*** libgpg-error0 (>= 1.14), Knoppix 7.2-s 1.10-3.1 1.17.3

debian jessie i386

* libudev1 (>= 183) (Knoppixis puudub) 215-17+deb8u7 jessie i386

Kokku on pakette umbes kuue megabaidi jagu.

Firefoxi tõmbamine ja installimine

Nagu ülevalpool mainitud, siis eraldi Firefoxi tõmbamine ei ole tingimata kohustuslik. Seda kahel põhjusel:
*Minu panka sai Iceweasel 21.0 lehitsejaga sisse logitud;
*Eraldi tõmmatud Firefox ei toeta PIN2 koodi mehhanismi üldse. Iceweaseliga oli ka võimatu PIN2 koodi kasutada, kuid peale esmaselt vajalike pakettide installimist esitatakse päring selle järele, kui katsetasin ülekande tegemist. Iceweaseli uuendamisel versioonile 38.0 erilist abi kahjuks ei olnud, kuid asja tasub veel uurida.

Mozilla "FTP"-sait sidaldaaab (jutumärkides, sest see on http) Mozilla Firefoxi ja teiste programmide kõiki versioonie. Postituse tegemise kuupäeval on uusima eestikeelse Firefoxi asukoht see:

https://ftp.mozilla.org/pub/firefox/releases/62.0.3/linux-i686/et/firefox-62.0.3.tar.bz2

Kui Firefoxi pakitud fail on näiteks Iceweasel lehitsejaga salvestatud, avada faili kataloog pcmanfm failihalduris.

* firefox-62.0.3.tar.bz2 peale saab ühe korra peale klikkida, ja siis avaneb see XArchiver programmis.
* Alternatiiv on failile parema osutinupuga vajutada ja valida Extract To... käsk, mis aktiveerib XArchiver programmi lahtipakkimise mooduli. Selles tuleb valida Firefoxi installatsiooni asukoht. Kuna tegemist on Knoppixiga, võib Firefoxi rahumeeli pakkida lahti /home/knoppix kataloogi. Seal jääb see omakorda firefox/ kataloogi.

Firefoxi saab edasi käivitada terminalist:

$ cd /home/knoppix/firefox

Minna Firefoxi lahtipakitud kataloogi

$ ./firefox -P &

* -P avab Firefoxi profiilihalduri, sest Iceweasel ja Firefox kasutavad sama profiiliarhitektuuri. Seepärast on parem Firefoxis luua uus kasutajaprofiil.
* & tõstab graafilise programmi eraldi terminaliaknast.

Kuna Firefoxi uuendatakse tihti, siis Mozilla "ftp" releases kataloogis on kõige uuem versioon, aga mitte päris alguses. Otsida tuleb 62.0.3-st edasi.

(Synapticut või muud paketihaldurit ära kasuta, sest see tõmbab kaasa liiga suure arvu muid pakette).

Alles siis tuleb Firefoxi laadida onepin moodul.

Firefoxi ingliskeelses variandis:

1. Mine seadistustesse (about:preferences) >
2. Privacy & Security (ülevaltpoolt paremalt) >
3. alaosa Certificates (lehekülje kõige all) >
4. nupp [ Security Devices...] >
5. uuel aknal vajuta [ Load... ] nupule >
6. tekkinud kastis kirjuta ülemisele reale Module Name juurde mooduli nimi (mul on lihtsalt onepin)
7. Ning siis failikorjajast leia see fail:
   
   /usr/lib/i386-linux-gnu/onepin-opensc-pkcs11.so
   
   — opensc deb-faili järgi pistab dpkg programm onepin-mooduli installimisel sinna.

Tuleb sellega siiski arvestada, et mooduli laadimise aken (kast) võib kaduda lehitseja-akna taha, kui aktiveerida samas aknas olnud muu vahekaart mõne teise leheküljega. Lahendus on siin Firefoxi aken tõsta allapoole senimaani kuni mooduli laadimise aken nähtavale tuleb.

dpkg-põhise installiprotseduuri kõige lõppeks panin peale ka esteidfirefoxplugin_3.12.2.1145beta-1404_i386.deb paketi, mille tõmbasin Ubuntu Trustyle mõeldud RIA varamust.

Kas sellest ka mingit kasu oli, ei ole selge.

esteidpks11loader paketi unustasingi peale panna, aga tuleb välja, et ülejäänust ja allolevast piisas, et sisse logida.

Selle saab kätte samuti RIA poolt Ubuntu Trustyle koostatud varamust.

Küll panin Firefoxile peale Open-eID lehitsejalisa. Kätte saab selle Firefoxis aadressilt
https://addons.mozilla.org/firefox/addon/open-eid/

Edasi tuleb Firefox sulgeda, alles siis kaart sisestada kaardilugejasse, ning lehitseja siis taaskäivitada.

Kui kaarti parasjagu enam vaja pole, siis sulgeda terve Firefox ja kaart lugejast välja võtta. Kui kaart on kaardilugejas ja lugeja indikaator vilgub, siis kaarti välja võtta ei maksa. (Kui lamp jääb pikaks ajaks vilkuma, siis tasuks proovida süsteemi kinnipanekut või restarti.)

Vähemalt eesti.ee-sse ja panka sisselogimiseks kõlbab küll, kuigi allkirjastamist pole ma proovinud (näiteks ülekande tegemiseks).

ID-kaart ja Eesti mobiil-ID

Apdeit: Mobiil-ID kuutasu on 1 euro — Tuleb siiski nentida, et tegemist on pideva kuutasuga. Kõnekaartide omanikele, kes oma kõnekaarte tihti ei lae, jääb edaspidigi ID-kaartide kasutamise võimalus. Sest risk on vaid teoreetiline. Aga põhimõtteliselt võiks sellisel juhul kuutasu üldse ära kaotada.

Disclaimer: Kuna ma mobiil-ID-d ise ei kasuta, panin mustandi väheinformeerituna natuke varakult üles, mille pärast tunnen ma ennast nüüd natuke kohmetult. Vähemalt märkisin selle mustandina, aga noh...

Oli: Avalik kiri Eesti mobiilioperaatoritele (mustand, köömes)

Seoses hiljutiste uudistega uuemates Eesti ID-kaartides sisalduvate Gemalto kiipkaartide Gemalto-poolse tarkvara turvalisuse kohta on hüppeliselt kasvanud mobiil-ID kasutajate arv, sest mobiil-ID-d sarnased küsimused ei puuduta.

Spetsialistide tehtud teemakohane kommunikatsioon on igati usaldusväärne.

Küll on mõnede vastutustundetute poliitikute ja parteide avaldused tekitanud ülemäära põhjendamatut ärevust.

Et võimalikke kahtlusi hajutada, saaksid Eesti mobiilioperaatorid ja teised asjaomased asutused võtta ette järgmiseid samme:

* Teha mobiil-ID-ga liitumine septembrist kuni eel- ja e-valimiste perioodi lõpuni maksuvabaks — et see oleks täiesti tasuta, sh. mobiil-ID-d toetav SIM-kaart. Et uue SIM-kaardi järele tuleb tihtipeale tulla operaatori esindusse, tuleb sinna ka rohkem kliente, kes valivad endale äkki uuema telefoni ka.

* E-valimiste perioodil võiks kõik mobiil-ID tehingud olla samuti tasuta, sh digiallkirjastamine. Sellisel viisil oleks mobiil-ID-ga e-hääletamine täiesti tasuta ning teeks hääletamise veelgi ühetaolisemaks (muidu tuleb iga digiallkirjastamise eest maksta operaatorile tasu).

* Niisugust või sarnast kampaaniat saab läbi viia iga kord kui toimuvad valimised; eriti just e-hääletamisperioodil.

ID-kaardi tarkvara seadistamine modernses SeaMonkey lehitsejas

Modernse SeaMonkey lehitseja (näiteks versioon 2.6 ja uuemad) ning ID-kaardi tarkvara töölesaamine on omaette teema, mille kohta ma leidsin, et see vajaks eraldi käsitlust, sest kõik kohe tööle ei hakka. (Nimelt ID-kaardi tarkvara installer end SeaMonkey jaoks õieti ei seadistagi, seega osa asju tuleb käsitsi teha.)

Üldised tingimused, millega kogu krempel tööle õnnestus saada:
* Windows XP (SP2 või uuem; näiteks). Opsüsteemide suhtes tuleks olla siiski suhteliselt agnostiline;
* SeaMonkey 2.6 (ingliskeelne) — on tõepoolest vanem versioon, aga mitte nii vana kui 1.1.xx), seega SeaMonkey 2.xx;
* Oletame, et NoScript ei ole Firefoxis või SeaMonkey-s peal. (ID-kaardi ja NoScriptiga on veel täiendavalt igast jama.)

Nüüd.. eeltingimused peaksid olema sellised:

* ID-kaardi lugeja draiver peab olema installitud; soovitatavalt kõige uuem, mis vastavale opsüsteemile valmis tehtud;
* ID-kaardi tarkvara peab olema kõige uuem, juba peale installitud ning peaks näiteks Firefoxil töötama. Firefoxist veidi allpool, isegi kui tegemist ei ole kasutaja vaikimisi lehitsejaga.

Kuigi ametlikult on toetatud Mozilla Firefox, siis oletatavasti installib ID-kaardi tarkvara kaasaegne versioon EstEID Firefoxi plugina sellegipoolest Windowsi opsüsteemis pluginate üldisesse kataloogi. Sealtsamast kataloogist leiavad Gecko-põhised lehitsejad kõik pluginad automaatselt üles.

Tulemuseks peaks SeaMonkey' pluginate nimekirjas olema

EstEID Firefox Plug-in 3.7.1.1009

Kui see on olemas, siis on pool tööd juba tehtud.

Kui EstEID pluginat SeaMonkey pluginate nimekirjas pole, aga Firefoxis on, siis SeaMonkey-s peaks minema aadressiribal asukohale about:plugins — See peaks panema SeaMonkey ning teised Gecko-põhised lehitsejad otsima üles kõik olemasolevad ja võimalikud pluginad, mis opsüsteem pakub.

Siit edasi tulevad toimingud, mida Firefoxile tehakse automaatselt, aga mis SeaMonkey-s tuleb "käsitsi" teha:

• Laadida PIN-koodi küsimise moodul turvaseadete hulka:
  Edit > Preferences > Privacy & Security > Certificates > Manage Security Devices nupp:
  Device Manager akna vasakpoolses Security Modules and Devices nimekirjas peaks olema

  Estonian ID Card
 Virtual hotplug slot
 OMNIKEY CardMan 1021
  antud kaardilugeja mudel ^ on Eestis üks levinumaid, aga võib olla ka mõni teine.

  Kui seda pole (milles võib SeaMonkey puhul suhtkoht kindel olla), siis
  * vajutada vasakult nupule Load ja
  * uues aknakeses pealkirjaga Load PKCS#11 Device sisestada
  * Module Name: väljale
  Estonian ID Card
  * Module filename puhul ma annan praegu ette mooduli asukoha, mille leidsin Firefoxist:
  C:\WINDOWS\system32\onepin-opensc-pkcs11.dll
  Selle rea võib sinna nii asetada või kasutada Browse nuppu ja leida moodul failikorjajaga niimoodi üles ja sisestada. Vajutada OK. Device Manager aknas peaks uus moodul nähtav olema ning vajutada OK. Preferences aknas vajutada OK. Teha SeaMonkey-le restart.
• Edasi tuleb panna SeaMonkey-le kõik Sertifitseerimiskeskuse sertifikaadid. Need on saadavad siit:
  https://www.sk.ee/Repositoorium/SK-sertifikaadid/juursertifikaadid
  Põhimõtteliselt tuleks näiteks tirida sertifikaatide PEM-lingid uuele vahekaardile ja lubada igaühele autentimine vähemalt veebisaitidele [teine ja kolmas linnuke on vastavalt e-postile (e-mail) ja arendajatele (developers)]. Iga sertifikaadi puhul vajutada OK. Mõnedel juhtudel on osad sertifikaadid juba installitud ja SeaMonkey annab sellest lühikese teatega väikeses aknakeses teada. Teha lehitsejale restart.

Põhimõtteliselt peaks asi nüüd töötama.
Et järele vaadata, kas seadistus töötab, minna aadressile
https://digidoc.sk.ee
ja siseneda ID-kaardiga.

Täiendavad seaded:
Preferences > Privacy & Security > Validation —
Aktiivsed peaksid olema järgmised seaded:
[\/] Use the Online Certificate Status Protocol (OCSP) to confirm the current validity of certificates;
(*) Validate a certificate if it specifies an OCSP server.
Need seaded ^ peaksid olema vaikimisi sees, aga igaks juhuks tuleks üle kontrollida.

ID-kaart ja Mozilla Firefox

Kuna ma väga palju ID-kaardi dokumentatsiooni lugenud pole, siis alles hiljuti selgus, et edukaks sisselogimiseks Internetipanka tuleb ID-kaart lugejasse pista veel enne lehitseja avamist.

Asja tuum seisneb nimelt selles, et inimese ID-kaardi sertifikaadid loetakse sisse veebilehitseja avamisel. Kui ID-kaart sisestada juba olemasoleva veebilehitseja sessiooni ajal, siis sertifikaate automaatselt sisse ei loeta. Imelik värk.

Selline olukord tekkis Mozilla Firefox 3.0.19-s Windows Vista SP2 all, kuid ei välista ka, et sama olukord on ka mujal (teistes modernsetes Windowsites ja Firefoxi versioonides. Teistsuguste lehitsejate ja opsüsteemidega ei tea veel). Kaardilugejaks oli OmniKey CardMan 1021.