Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Tere, head kuulajad. Nagu teie iganädalaste kuulajatena juba teate, on Eesti parim digiriigi podcast kriitiline intsident verivärske osaga tagasi. Täna heidame pilgu tulevikku ja peagi saame koos saatekülalise, saatekülalisega teada, kas me räägime siis lähitulevikust või kaugemast tulevikust. Stuudios on külas Siseministeeriumi infotehnoloogia ja arenduskeskuse baasteenuste peaarhitekt Siim Vene, tere.
Mina olen endiselt saatejuht Ronald Liive. Nagu te kuulsite, head kuulajad, siis ega ma väga suurt vihjet teile ei andnud, et millest me rääkima hakkame ja ma pean tõele au andma, ega me ise ka ei tea. Sellepärast meil see külaline ongi siin täna. Ainus, mida mina tean, on see, et me räägime paroolitusest ehk siis sellest ajast, kui enam paroole ei ole. Kas me oleme korrektselt aru saanud?
Tinglikult võttes küll jah. Loomulikult ükskõik millist seda silti sellele nii -öelda noh, ma ei tea, lähenemisele külge riputada ja kas, kas seal on siis tegemist parooliga või PIN -iga või mingi muu asjaga, biomeetriaga, aga jah, et see nii -öelda ideaalne tulevik võiks olla selline, et oma parooli kui sellist ei tea. Isegi kui see süsteemides kuskil taustal tegelikult eksisteerib.
Et see vastus, see lühike vastus nagu konkreetsemalt lahti seletada, et ma ei tea nii -öelda seda parooli, mida ma klaviatuuri peale tipin sisse või seda neljakohalist pinni või, või rohkemakohalist pinni, kas te mõtlete seda või te mõtlete ka siis nii -öelda seda biomeetriat, et biomeetria jääb mulle alles ju kõik, see ju ei saa kuskile kaduda nii -öelda.
No biomeetria kadumine on võib -olla natukene keerulisem tõesti, aga jah, et siin peamiselt me räägime ikkagi kogu sellest kompleksusest, mis meil on viimase paarikümne aastaga kuhjunud, mis, mis endast kujutabki seda, et kuidas, kui keerulised meil paroolid on, kui tihti neid vahetama peab, kuidas neid meeles peab pidama ja nii edasi, et, et seda, seda keerukust lõppkasutajate või nii -öelda inimestelt, kes kasutavad IT -süsteeme, et seda keerukust tahaks maha võtta.
Kas teie siis töötate SMIT -is selle nimel, et, et SMIT -i hallata on eelrahvastikuregister näiteks, et kui ma sinna sisse login, praegu on see Riigi Infosüsteemi Ameti poolt loodud see tara on seal ees, mille kaudu ma sinna sisse login, on ta siis ID -kaart, Mobiil -ID, Smart -ID ja teie soovite, et ma ei kasutaks neid, vaid ma kasutaks
midagi muud. Just, ei, ütleme, et peamiselt kogu see tegevus, mida me praegu teeme, on suunatud ikkagi siis noh, kas SMITi või siis siseministeeriumi haldusala täna arvutikasutajatele. Ehk siis, et niisugust nagu kodaniku tänavalt see võib -olla esimeses järjekorras nii otseselt ei puudutagi, aga pigem me räägime just nendest, kes siis igapäevaselt neid süsteeme kas kasutavad nii -öelda tagatoas või siis, kes neid süsteeme ehitavad.
See tähendab SMIT -i ja Siseministeeriumi haldusalas ehk siis ka politseinikud?
Ka politseinikud, piiri, piirivalve, valvurid, kes iganes, eks ole, seal haldusalas need töötajad moodustavad, jah.
Nii et praegu, kui patrull alustab oma tööpäeva, läheb istub autosse, seal on ka see arvuti, millest me oleme siin varasemates saadetes korduvalt kuulnud, logib seal PIN -iga või parooliga sisse, siis teie soov oleks see, et ta seda ei teeks, annaks ainult oma sõrmejälje või silmaiirise ja sellest piisaks, jah?
No biomeetriani tegelikult me selle projektiga tõenäoliselt esimeses järjekorras ei jõua ikkagi, sest biomeetria kasutamine on täna tihtipeale ikkagi seotud rohkem mingisuguse tootja ökosüsteemiga. Aga noh, ütleme, et meil IT -süsteemid on väga paljud on ise arendatud, nad on väga paljudelt erinevatelt tootjatelt, et noh, et lihtsalt võtta nii -öelda noh, silma jälge, silma jälge või näpujälge kasutusele, et, et seda ambitsiooni täna isegi pigem ei ole, et noh, pigem me täna räägime siis üks tugevast mitmetasemelisest autentimisest, mis ei kätke endas parooli sisestamist sellisel kujul nagu täna seda tehakse.
Nüüd läks küll asi minu jaoks keerulisemaks, sest et sellest ma veel saan aru, et jätame need pinnid asjad ära, et need, millega me oleme harjunud, aga võtame siis selle sõrme järgi, olgu, me oleme tegelikult sõrmejälis ka juba edasi liikunud, ongi see silmaiirise teema. Nagu sellest ma saan aru, et kui te oleksite täna rääkinud seda, et vot niimoodi on, siis ma ei tea, ma oleks nagu kümne kümnega poolt selle, aga, aga no ma ei saa ikkagi aru, millega te siis seal asendate?
No ütleme, et väga utreeritult me räägime sellest, et meil on seal noh, parooli keerukuse nõuded on mingi viisteist kuni kakskümmend tähemärki näiteks, mida noh, töötajad peavad sisestama päevas võib -olla kümme korda, võib -olla kakskümmend korda, halvemal juhul võib -olla nelikümmend korda. Et seda, seda nii -öelda ja seda parooli tuleb ju perioodiliselt vahetada, eks ole, seal on väga suur nii -öelda keerukuse maatriks on seal taga, ma ütleks isegi. Ja seda tahaks asendada siis PIN koodiga sisuliselt.
Nii et ikkagi PIN on mängus?
PIN kui selline on mängus, aga ta ei ole lihtsalt PIN, et me räägime ka ikkagi riistvaralistest vahenditest, krüptovõtmetest, mis kasutavad seda PIN -i.
Okei, sisuliselt näeb välja nagu USB mälupulk, mis sisestatakse arvutisse. Sina ideeliselt ainult sina tead seda neljakohalist PIN -koodi, unikaalset PIN -koodi?
No see PIN kood võib olla neljakohaline, võib olla kaheksakohaline, noh see on, ütleme, aga ta on oluliselt lihtsam või lühem kui täna nii -öelda parool, eks ole. Ja selle ja seda sellele PIN -ile ei rakendu ka sellised keerukuse nõuded, nagu näiteks paroolile täna lahenduvad, rakenduvad siin näiteks seda PIN koodi ei pea muutma regulaarselt.
Aga kuidas te siis turvalisuse tagate? Et praegu parooliga on see, et jah, muudetakse, olen kuulnud jutte, et see tähendab päris paljude puhul seda, et nüüd tuleb kätte, näiteks meil hakkab siin sügis lähenema, et, et lehed on juba natukene kollakamaks läinud, mõnes kohas juba maha kukkunud ka, et siis ongi, et nii, paneme siis sinna lõppu mingi sügis üks näiteks. Ja, ja siis arvatakse, et kõik on nagu väga hea ja tore, aga samas kui see muster sellel inimesel ongi see, et iga kord, kui talt seda uut parooli küsitakse, ongi nagu aasta aeg seal paroolis ka vahetub, siis on nagu väga lihtne tegelikult seda lahti murda.
Ei, see on tegelikult on väga õige tähelepanek, et kaasaegsed ründevektorid enam isegi ei keskendu nende paroolide nii -öelda jõuga murdmisele niivõrd palju, kuivõrd sellise inimese psühholoogia siis noh, korratuvusel, eks ole. Et kui ma tean näiteks, et see kontoomanik on meesterahvas, nelikümmend aastat vana, elab võib -olla kuskil seal, tal on mingisugune võib -olla laps, kass või koer, eks ole, siis ma saan tegelikult ütleme nendest miljonitest paroolidest saan juba kokku tõmmata võib -olla saja peale, eks ole, mida ma siis noh, lähen nagu kangutama, et, et selles mõttes küll. Et jah, ega see lühem PIN võiks mõelda, et, et noh, et kuidas ta siis nüüd turvalisem on kui siis pikem parool. Aga siin me räägimegi selle, siin tulebki mängu see, et seda PIN -i saab kasutada ainult nii -öelda koos seadmega, mis ei ole otseselt arvuti. Noh, nagu sa ütlesid, eks ole, USB pulk, noh, seal on erinevaid, noh, need erinevaid siis.
Põhimõtteliselt võib see ka olla nii, nagu me praegu oleme harjunud igapäevaselt telefonis Mobiil -ID, Smart -ID.
Need on ka ühed võimalused, jah. Et aga, aga jah, seal ütleme, kui igapäevaselt võtta nii -öelda see kasutamise ergonoomika, siis igaks sisselogimiseks nii -öelda otsida kuskilt telefon ülesse, võib -olla seal mingisugust nii -öelda eraldi telefoni kasutada nagu nupu vajutamiseks või siis mingi koodi sisestamiseks. Siis ta, ta ei ole võib -olla niivõrd ergonoomiline, kui me räägime siis sellest nii -öelda turvavõtmelahendusest, mis on selle arvuti küljes.
Aga kui ta on arvuti küljes, siis ta, kuidas ta seda eesmärki täidab, et ta ei või langeda nii -öelda kolmandate isikute kätte, et kui ta on füüsiliselt siin minu arvuti küljes.
Nii, siis on nagu ainult see, et on vaja see neljakohaline või mis iganes kohaline PIN teada saada, mida on võimalik hakata siis muukima. Meil tulevad varsti kohe, võib -olla olete kuulnud kvantarvutid, see käib niimoodi, ühe sekundiga on seal kohe see PIN on teada.
Ühe sekundiga, noh seal ikkagi me räägime kombinatoorikast, et meil peab olema siis nii -öelda SMIT -i poolt kesk hallatud arvuti, meil peab olema siis see krüptovõti ja meil peab olema PIN. Ehk siis, et selleks, et ründaja saaks seda ära kasutada või hakata seda PIN -i arvama, et tal on tarvis tegelikult kõiki kolme asja.
Aga teoorias, kui me noh märulifilmid võtame, Hollywoodi märulifilmid, et keegi lihtsalt läheb jõuga politsei patrulli autosse, murrab sinna sisse, vaatab, seal on vahva tore arvuti, tal on see arvuti on olemas, mis on teie võrgus. Ütleme, et see USB pulk siis nii -öelda on ka seal olemas, tal on siis vaja seda pinne ainult.
Põhimõtteliselt küll. Aga kui, kui me jõuame nii kaugele, et meil tõesti on see arvuti on ära varastatud koos selle USB võtmega ja siis on kasutatud seda viie eurosest mutrivõtit ja on ka PIN kood kätte saadud. Siis see ikkagi on nii -öelda mingi tegevuste jada ja seda saab seda kontot sulgeda, saab seda arvutit nii -öelda eemalt saab kustutada või välja lülitada, eks ole. Et noh, et seal on loomulikult on nii -öelda jääkriskid jäävad alati, et niisugust nagu sada protsenti kindlat süsteemi ei eksisteeri, aga noh, ütleme, et, et võrreldes täna, tänapäevaste lahendustega, mida see parooli kasutamine ja taustal ka ütleme, need erinevad nõrkused selle parooli kasutamisel, mis ta on, siis no ma ütleks, et see mitmetasemeline paroolitus on kindlasti on niisugune oluline samm edasi.
Kui kaugel te praegu siis SMIT -is sellega olete?
Täna oleme SMIT -is sellega nii kaugel, et on idee tekkinud ja me praegu kaardistame siis erinevaid nõudeid süsteemide poolt, et me, et me saaks ütleme seda ideed valideerima hakata, sest noh, kui see lihtne oleks, ma arvan, et kõik oleks selle juba ära teinud. Aga seal on terve hulk on erinevaid tehnoloogilisi eeldusi. Ja osad neist on seotud ka näiteks avalike pilveteenustega, noh nagu näiteks Azure AD. Et noh seal on terve hulk nõudeid, mida peab lihtsalt arvesse võtma, sest nii -öelda need traditsioonilised ettevõtete oma andmekeskustes tehtud installatsioonid seda lahendust ei toeta.
Kui nüüd üks hetk SMIT läheb seda teed, et paroolid kaovad ära ja asenduvad nende PIN -idega nii -öelda ja selle suurema lahendusega, siis kui paljusid inimesed see kokku mõjutab, kui palju neid töötajaid SMIT -is, Siseministeeriumis ja kõigis neis allasutustes on?
No täna on suurusjärk kaheksa tuhat inimest, kes töötab Siseministeeriumi haldusalas ja täitsa võimalik, et enamikul neist on mingisugusel kujul ka kasutajakonto olemas. Et see, see mõju on, kui, kui ma seda, kui ma seda ideed hakkasin viljelema või, või siis nagu seda valdkonda uurima, siis noh, üks, üks postulaat oli loomulikult see, et noh, turvalisemaks süsteeme teha. Aga teisest küljest, kas sa näiteks teadsid, et lukuskonto või ununenud parool on üks levinumaid kasutajatugede piletitüüpe. Et keskmiselt SMIT -is on aastas kuskil seitse tuhat pöördumist kasutajatukke sellega seoses, et mul on konto lukus või mul on paraol meelest läinud. Et see mõju on tegelikult on, me räägime nagu niisugustest natuke nagu raskesti mõõdetavatest või nagu väärtustest, eks ole, või pehmetest väärtustest, aga, aga kui võtta nii -öelda see kasutajate rahulolu süsteemiga või siis ka nende kaotatud produktiivsus, siis kindlasti ka seal osas on väga suur mõju sellele.
Kui palju neist kaheksa tuhandest inimesest on öelnud, ise võtnud näiteks teiega või mõne teie kolleegiga ühendust, öelnud, et tead, see praegu parool, see on nii keeruline, ma ei saa kogu aeg, ma eeldan, et kord kvartalis peab paroolidel vahetama või?
No ütleme, et see perioodilisus lasta praegu jääda, et.
Aa, seda ei soovi avaldada. Seda
ei saagi avaldada, aga, aga ütleme, et selline termin nagu parooliväsimus on tegelikult päriselt eksisteeriv ja see ongi seotud sellega siis, et on erinevad, erinevad süsteemid. Küll suurtes organisatsioonides kasutatakse väga palju, ütleme siis noh, tsentraliseeritud identiteedihaldust, eks ole, kus sa saad ühe kasutajakonto ja ühe parooliga saad erinevatesse süsteemidesse sisse logida. Aga, aga see nii -öelda see, see isegi kui seda parooli ei vahetata kord nädalas või kord kuus, siis need nõuded on nii suured, eks ole, ei saa taaskasutada ka viimast noh, näiteks kümmet või kahtekümmet parooli, mis noh, toobki endaga kaasa ka selle, et inimesed üritavad siis neid nii -öelda kergesti meelde jäetavaid mustreid kasutada. Nad kasutavad sedasama parooli ka mujal, näiteks mitte töö juures, eks ole, mingisugustes e -poodides, igal pool mujal, nad kasutavad igal pool, et ei peaks nagu igale poole uut parooli genereerima. Et need, need, need riskid on täna kõikides ettevõtetes niikuinii üleval.
Tulen oma küsimuse juurde tagasi, kui palju neist inimestest on öelnud teile, et kuulge, et see on keeruline parool, võtame nüüd midagi lihtsamat kasutusele, ehk kas see idee on tulnud ilma selleta, et keegi oleks öelnud, et võiks nii teha?
No ütleme, et osaliselt see idee sai inspireeritud ikkagi ka mu enda kasutaja, kasutajakogemusest. Minu juurde otseselt keegi ei ole tulnud ütlema, et kuule Siim, et disainiks lihtsama parooli. Sest alati, alati on väga lihtne selliseid nii -öelda pöördumisi pareerida sellega, et aga meil on ju turvanõuded, meil on, eks ole, mingisugused hinnatud riskid, me ei saa nagu mitte midagi teha, nii on kogu aeg tehtud.
Aga teate, mulle jääb selline mulje, et kui on parool ja ma kujutan ette nagu kahte kolleegi kõrvuti, võtame taas kord selle politseipatrulli näite ja kui teine ütleb, et kuule, mul on kiirelt vaja midagi teha, toksida sisse, vaadata, mis auto meie ees sõidab, on ju, et mis seal nüüd toimub, on tal kõik load, asjad olemas ja nii edasi, et kes seal võiks sellega sõita. Et see kõrvalpartner väga oma parooli ei taha öelda, sest võib -olla ta parool ongi tead, et paneb, et ma minu kallis Maria üks, kaks, kolm või midagi taolist või, või midagi veel intiimsemat, et see on kuidagi parooli jagamine ongi nagu intiimne tegevus, aga kui on lihtsalt mingine pind, no siis ikka no okei, kuule, pane üks, kaks, kolm, neli jah. Et, et mulle jätab mulje, et asi läheb mitte turvalisemaks, vaid ebaturvalisemaks.
No see on osa ka sellest, kui lihtsalt me selle süsteemi üles disainime, et ka näiteks erinevate kasutajakontodega on sama arvutit võimalik lihtne kasutada. Aga ma ei tea, ma pareeriks seda väidet sellega, et mitu korda sa oled enda mobiili ID PIN kahte näiteks jaganud.
Mitte kordagi, aga võib -olla olete ajakirjandust lugenud, väga paljud teevad seda, jagavad nagu ilmselgelt petturitega, nii et võiks eeldada või tähendab, võib eeldada sellest, et oma pereliikmetega jagatakse seda isegi võib -olla veel rohkem.
Välistada lõpuni ei saa, et ega, ega ütleme ükskõik kui turvaliseks me neid süsteeme ka ei ürita või ei disaini, siis see inimfaktor jääb alati nagu noh, selleks keti kõige nõrgemaks või lüliks, aga seal ei olegi midagi muud teha, kui tõsta teadlikkust, koolitada.
Ja, ja kui te nüüd üks hetk jõuate selleni, et te hakkate reaalselt päris elus seda katsetama, kas te olete juba mõelnud ka sellele, et keegi ei saaks panna oma selleks pinniks üks, kaks, kolm, neli või null, null, null või üheksa, üheksa, üheksa, üheksa või, või mida iganes muud sellist väga lihtsat?
No neid, sellised piirangud on süsteemides, tulevad vaikimisi sisse, et ei saa näiteks mitut samasugust sümbolit järjest näiteks mingisuguseks PIN -iks või koodiks valida. Et see on väga levinud. Nii -öelda juba osa disainist, juba osa süsteemi disainist.
Kas te lähete nii -öelda sammu edasi ja hakkate vaatama ka, et see isik ei saaks oma sünniaastat panna selleks, oma sünnikuupäeva panna PIN -iks ja niimoodi, sest no need on taaskord selline, mis meil nende petturitega või pettustega seoses väga on levinud. Ma väga vabandan kõigi kuulajate ees, kuna ma eestikeelset terminit ei tea, on selline social engineering, mille kaudu on väga lihtne teada saada nagu väga paljude inimeste baroole. Et see on täpselt seesama PIN -i puhul ka sünniaasta. No seda on nii lihtne teada.
Et, et nagu ma ütlesin, ega, ega päeva lõpuks ei, ei saa nagu kõiki neid riske ei saa maandada, et, et kindlasti täna ei ole süsteemid sedasi disainitud, et nad võtaksid siis kogu metaandmestiku või andmestiku selle konkreetse töötaja kohta ja üritaks sealt pealt hakata siis mingeid täiendavaid piiranguid näiteks seadma paroolidele, et seda täna, kui mõni asutus seda teinud on või mõni organisatsioon, siis vähemalt mina sellest teadlik ei ole.
Pool naljaga pooleks, enne kui te stuudiosse tulite, tegin ka veidi social engineering 'ut teie suhtes siis ja vaatasin teie LinkedIni profiili ja nägin, et seal ütlete nagu otsesõnu välja, et te tapate SMIT -is Fido kahe ja pääsuvõtmete abil paroole. Ma nüüd küsiks, et mis asi see Fido kaks on?
Fido kaks on, Fido kaks on allianss või siis noh, ettevõtete niisugune nagu ühendus. Seal sinna kuuluvad praktiliselt kõik tehnoloogiahiiud maailmas. Kõik, mida sa suudad peast üle meelde tuletada, kõik kuuluvad sinna, rääkimata siis noh, Mastercard 'ist, Visast ja nii edasi. Ja see Fido kaks noh, see akronüüm lahti kirjutatud ongi fast identity online kaks ja see on siis niisugune nagu protokollide ja põhimõtete kogum, mida disainitakse, mis siis aitab noh, nii -öelda seda parooli siis tappa mingisuguses nähtavas tulevikus.
Kas see, see ikkagi kogu see PIN koodindus ja see, mida me täna räägime, see on ja jääb ainult selle arvutitöökoha põhiseks. Et see, mida ma saate alguses nagu ütlesin, et kui ma soovin e -rahvastikuregistrisse logida, et oma mobiil -ID, ID -kaardi ja nii edasi asemel kasutaksin ka seda lahendust, see ei ole päris see fookus, jah.
Täna vähemalt see fookus ei ole, et jah, et täna me oleme rohkem keskendunud ikkagi nii -öelda siis sisemiste kasutajate no autentimise, turvalisuse tõstmisega.
Kas see kuupäev, millal näiteks see piloot teil algab, on paika pandud?
Et piloot, mõnes mõttes küll jah. Meil tuleb nüüd vähem kui kuu aja pärast tuleb SMIT -is on selline asi nagu häkatun, SMIT -is korraldatakse sisemiselt häkatuna ja siis üks meeskond, nad kuulasid minu SMIT -is sisemist ettekannet sellel samal teemal, siis nad võtsid sellest ideest kinni ja nad tulevad, teevad selle ära.
Head kuulajad, siin on väga hea võimalus kommertsteateid edastada mingi ajas tagasi, ajas rändamine on täiesti võimalik, eriti kui jutt käib podcast 'ide hilisemast kuulamisest. Leidke üles, eelmine aasta me rääkisime ka siin saates SMIT -i häkatonist, küll siis sellest jah, mis eelmine aasta toimus ja, ja siis juba seal olid ka väga huvitavad ideed ja mõtted käimas, nii et nagu me saime teada, siis varsti meil on jälle põhjust taaskord rääkida ka SMIT -i nüüd sel aastal toimuvast häkatonist. Nii, aga teine asi, mis ma leidsin teie LinkedIn -i profiililt, ikkagi mulle meeldib ka olla selline natukene pätt poiss siis võib -olla. Et ühteaegu lisaks sellele, et te töötate SMIT -is, kus te siis, nii nagu te ise ütlete, tapate paroole, teil on välja toodud ka teine tööandja, kelleks on riigi IT -keskus ehk siis lühedalt RIT. Ja ma saan aru, seal te teete küll muud teist asja, aga ma tahtsin küsida seda, et kuidas üldse on nii -öelda kahes riigi IT -majas töötada?
Huvitav, et noh, kindlasti on tegemist väga erinevate organisatsioonidega ja aga, aga ütleme, et väga noh, kõrgel tasemel nad ikkagi üritavad sarnaseid IT -teenuseid pakkuda, võib -olla natukene teise rõhuasetusega küll. Aga jah, ütleks, et väga huvitav on, ma poleks arvanudki, et avalikus sektoris, no mu taust on olnud pikalt on olnud erasektor ja poleks arvanud, et avalikus sektoris on nii huvitav töötada.
Kumb on parem riigi IT -maja, kas SMIT või RIT?
See oli poliitiliselt korrektne vastus. Aga vaadates seda, et arvutitöökohad on väga suureks teemaks ka RIT -is, see ongi nende üks selline põhi -baasalustala, mille pärast nad nii -öelda ellu kutsuti. Kas see paroolitus võiks olla ka midagi, mis RIT ühel päeval siis hakkab kasutama?
Täitsa võimalik. Ma olen seda ideed, olen käinud ka seal tutvustamas nii -öelda siis tooteomanikele ja juhtkonnale ja ma lähen kusjuures ka seda neile sisemiselt niisugusele nagu infohommikule lähen nendega teen presentatsiooni. Et kindlasti on seal huvi, on selle vastu ka täitsa olemas. Et kui, kui me võtame selle, et kui palju, ütleme, muudab kas lihtsamaks või turvalisemaks see paroolitus kasutajate tuvastamist ja võtame sinna juurde, et noh, et see mingisugune õnnetu krüptovõti peab ka kuskil vahel veel olema, siis ja me võtame nii -öelda keskmise arvuti töökoha maksumuse üle mingi kolme või viie aasta, siis see krüptovõtme maksumus selle arvuti töökoha juures on noh, ikka väga marginaalne. Nii et kui, kui see, kui see nii -öelda piloot õnnestub SMIT -is ja, ja need noh, kas siis protsessilised või tehnilised kortsud saab välja silutud, siis ma üldse ei välista, et sedasama asja rakendatakse üleriiklikult ka.
Ja kuna Riti hallata on palju rohkem kui kaheksa tuhat arvuti töökohta, siis see tähendaks omaks väga suurt mõju väga suurele siis riigisektori esindajatele.
Ja me räägime, Riti puhul me räägime tõesti kümnetest tuhandetest arvutitöökohtadest, mis lõpuks seal peaks saama mingisugust noh, arvutitöökoha teenust, eks ole.
Kui palju praegu, jah, te mainisite, et häkatoni ajal hakatakse selle kallal veel edasi töötama, kui palju sellist nii -öelda kas või paberi peal on paigas ja kirjas, et kuidas kõik see nii -öelda reaalselt nii tehniliselt kui ka reaalselt siis ära lahendada?
Mingi ettekujutus on olemas või no vähemalt suuremad sellised ehitusklotsid on juba ära kaardistatud, mida on vaja, et noh, isegi kasvõi seal hackatoni raames, eks ole, seda minna kontrollima seda hüpoteesi. Aga jah, mis puudutab, ütleme kogu seda protsessilist raskust või noh, näiteks, et kuidas, kuidas me selle võtmekasutajale anname, kuidas me selle võtmekasutajaga seome, mis siis juhtub, kui see võti kaduma läheb, kõik see osa on meil täna veel tegemata. Noh, siin on täna natukene vara veel sinna tormata, sest noh, kui me jõuame nagu sinna, et tehnoloogiliselt võib -olla noh, erinevatel kas turva või muudel kaalutlustel ei ole seda võimalik teha, noh, siis kogu seda muu asja ei ole nagu mõtet täitsa nagu ette tormata tegema.
Kuidas te ise oma nii -öelda eraelus praegu siis haldate oma nii -öelda sissepääse kuskile e -teenustesse? Teil on Facebooki, Instagrami, mis iganes heaks on ikkagi parool ja mingit sellist PIN koodi lahendust te hetkel ei kasuta?
No riigiteenustega kusjuures ma kasutan sedasama tara, eks ole, või noh, mobiil -ID või siis Smart -ID autentimist või aga pangateenustega. Aga jah, mis puudutab, ütleme kõike muud, no siis ma kasutan endal telefonis olevat paroolihoidlat selle jaoks, et noh, neid paroole siis nii -öelda meeles pidada, et ma ei peaks igale poole neid sisestama. Aga kusjuures ongi, et need paroolihoidlad on mõnes mõttes nagu selle noh parooliga seotud probleemide noh ma ütleks niisugune nagu häkk või nagu lahendus, eks ole, et noh, et tegelikult seda nagu ta, et ta seda probleemi alget ära ei kõrvalda, ta muudab lihtsalt selle võib -olla kasutajatele lihtsamaks.
Kui palju te olete kuulnud, kui, kui te olete oma ideest rääkinud nii SMIT -i kui ka Riti sees sellist kas siis negatiivsust või kriitikat, sest näiteks mina olen praegu siin meie salvestuse ajal ju väga palju seda nagu siis esindanud, et, et ma saan aru, et ta teeb lihtsamaks, aga ma justkui nagu saan aru, kuidas ta peaks turvalisemaks tegema, aga mul on nagu kartus ikkagi selle ees.
Ütleme, et seni, seni sa oled esimene, kes nii palju kriitikat mu ideele on andnud. Et SMIT -is ja ka RIT -is on väga positiivselt on seda mõtet omaks võetud. Et ju, et noh, et inimesed igapäevaselt ikkagi omal nahal tunnevad, mida tähendab, eks ole, see paroolide väsimus siis.
Mulle teadaolevalt on tegelikult need pääsuvõtmeteks, siis kutsutakse neid jah, et, et need mõned ettevõtted, mis te siin mainisite ka, et Google nagu pakub seda juba praegu, et iga inimene saab seal nende kaudu sellise võtme endale, mis siis kogu, põhimõtteliselt teebki kogu seda asja, mis, mida me oleme siin tänases saates rääkinud.
Täitsa võimalik, et nagu ega ka Google on samamoodi selles nii -öelda alliansis või selles organisatsioonis on liikmena on esindatud ja, ja noh, nii on. Ega noh, siin, siin tulekski nagu võib -olla ka aru saada, et, et kui me räägime, noh, võtja nagu väga abstraktne mõiste, eks ole, noh, mingi turvavõti või juurdepääsuvõti, eks ole. Aga, aga mida see võti endast päriselt kujutab, ta on nii -öelda arvutist väljas asuv niisugune turvaline enklaav ja mida kogu see paroolitus endas nii -öelda tehnilisel taustal tähendab, see tegelikult süsteem kasutab juba väga vana tehnilist lahendust, milleks on avaliku võtme siis infrastruktuur või piki, piki, piki, piki, piki, et public infrastructure. Ehk siis noh, see nii -öelda avaliku ja privaatvõtmega autentimine, see ei ole mitte midagi uut, see on noh, ikka aastakümneid varsti vana tehnoloogia vist, aga seda rakendada nii -öelda lõppkasutajatel ja ka kõikvõimalikel näiteks veebiteenustel või erinevatel infosüsteemidel, seda nagu niivõrd lihtne ei ole senini olnud teha, sellepärast ka tõenäoliselt see Fido kaks allianss ellu kutsuti.
Ehk kuigi see kasutaja, kes hakkab seda PIN -i sinna sisestama, kuigi tema jaoks see PIN võib olla alati üks ja sama või noh, teoorias jah, et kui ta unustab selle ära või kui on kahtlus, et see on läinud rändama, siis ma saan aru, et on alati võimalik seda muuta.
Aga taustal nii -öelda, et ühesõnaga räägime nagu maakeeli lahti. Mina võtan oma selle arvuti, võtan lahti, sisestan sinna üks, kaks, kolm, neli, loodetavasti midagi keerulisemat. Ja tegelikult taustal on see, et süsteem sisestab sinna selle sada korda keerulisema parooli ja.
Kui, kui sertifikaadiga autentimist saab nimetada sada korda keerulisemaks parooliks, siis kindlasti jah, et see ongi siin ka oma selles ettekandes, mida ma olen siis või noh, slaidipakis, mida ma olen teinud, seal on eraldi slaid selle jaoks, et teil PIN kood ei ole parool. Et parool on midagi, mis koos kasutaja, kasutaja nimega edastatakse üle arvutivõrgu selleks, et kuskile süsteemi ennast tuvastada. Aga PIN koodi kasutatakse selleks, et seda nii -öelda turvavõtit lahti lukustada, et saaks hakata siis sertifikaadi, sertifikaadiga signeerima seda autentimiskatset.
Kas te olete mõelnud ka sellele, et kui see füüsiline asi, mis iganes see saab olema, seal vorme on nii -öelda mitmeid erinevaid, et kui see läheb rändama, et jah, ma saan aru, et te saate lukku panna, et ei pääseks ligi süsteemi ja esimene asi, mis tagab selle, et ta läheks lukku, ongi see, et see peab olema SMIT -i nii -öelda infosüsteemi ligi pääsema, mida nagu tavaline arvut ei pääse sinna ju. Et, et ikkagi, kuidas teil peaks olema motivatsioon ka need kaotsi läinud, liikvele läinud võtmed, füüsilised võtmed nagu kätte saama? Kuidas, kuidas see oleks nagu lahendatud?
No ega selle võtme saab siduda ka selle konkreetse arvutiga, ehk siis et ta näiteks see võti ei tööta ka teises SMIT -i arvutis ja kui see võti jalutama läheb või ära kaob või ära varastatakse ja ka PIN -kood on sinna peale graveeritud, et oleks lihtsam meelde jätta, sest noh, neljakohalist PIN -i on raske meelde jätta, siis ega seda võtit saab ka nii -öelda süsteemist saab välja lülitada, ilma et me seda füüsiliselt peaksime minema kuskilt linna pealt taga ajama.
Nii et teie selles riski otseselt ei näe, isegi kui on selline stsenaarium, nagu te just kirjeldasite, kuna eeldus on see, et ta pääseb SMIT -i süsteemi sisse, siis pole vaja muretseda ja karta.
No nagu ma ütlesin, ega kui, kui natukene riskianalüüsiga ei ole kokku puutunud, siis noh, tead, et, et sada protsenti kõiki riske nii -öelda ennetada, välistada ei ole võimalik, aga ma usun, et üsna lihtsate vahenditega on võimalik viia see suhteliselt madalaks.
Ma kujutan ette, et mõne naaberriigi esindajad võivad olla väga huvitatud, et nemad tahaksid ka enda valdusesse mõnda seda võtit saada. Sisuliselt nagu isegi kui nad selle saavad, teooria, et nad midagi saaksid sellega teha, on suht olematu.
Jah, et, et nagu ma ütlesin, see lihtsalt seda võtit kätte saada ja ka seda PIN -i teada, sellest ei piisa, et noh, me räägime ikkagi, et siin on praktiliselt nii -öelda kolme bakteriga on tegemist, et peab olema siis nii -öelda see hallatud arvuti, kus seda võtit saab kasutada. Ja mis ongi huvitav see, et ega seda, selleks, et seda võtit saaks kasutada, siis nii -öelda võtme peal genereeritud sertifikaat, ega see peab olema ka nii -öelda süsteemides ju eelnevalt tuvastatud, et noh maagiliselt ei juhtu mitte midagi, lihtsalt see, et kuskil võti sisse torgata ja, ja siis on ühtäkki on kogu mingi siseministeeriumi sisevõrk on avatud, et, et sellest on ikka väga kaugel kogu lahendus.
Ehk siis meeldetuletuks praegu on selline esmane idee, mõte on olemas, et liikuda selles suunas, et paroolitus ehk siis ilma paroolita infosüsteemidesse sissepääsemine SMIT -is ja SMIT -i haldushalas oleks võimalik ja järgmine samm on see häkaton, mis tuleb ja loodetavasti või noh, teie jaoks loodetavasti siis hakkab vaikselt rohkem reaalsuseks saama.
Jah, no ütleme jah, et siin, siin on terve hulk keerukust on, et noh, et kui meil ikkagi saame selle süsteemi nii -öelda paika, saame ka noh, ta siis vastavalt meil kas erinevatele seaduse, seadusest tulenevate nõuetele või infoturbe standarditele või muudele praktikatele saame selle nii -öelda süsteemi disainitud, noh, siis me peame ikkagi neid võtmeid hankima, eks ole, peame need kuidagi kasutajatele laiali jagama, et. No ma ütleks sedasi, et kui me homme saaks selle süsteemi valmis, siis selle järk -järguline juurutamine, ma arvan, on ikka niisugune pooleaastane aastane projekt.
Kas seesama Hackathon 'i tiim, kes selle mõttega läheb edasi ka, kas teie isiklikult kuulute ka sinna tiimi?
Ma olen selle tiimi mentor.
Kas teie tiim on koos või on seal veel vaba ruumi, et kui veel praegu keegi kuulab seda podcast 'i, kes juhtumisi töötab SMIT -is või SMIT -i haldusalas või ma saan aru, et tegelikult Hackathon 'ile on ka teiste IT -majade inimesed oodatud?
Vot ma nii detailis ei teagi, kes siin oodatud on või mitte, aga ma usun küll, et keda see teema kõnetab või kes selles valdkonnas on äkki võib -olla midagi teinud juba, siis ma arvan, et sellel meeskonnal kindlasti kulub igasugune abielu.
Nii palju, kui mulle meenub, siis jah, nagu päris suvaline inimene tänavalt ei saa SMIT -i häkatonist osa saada, aga tõesti näiteks PPA ja, ja SMIT ja seal neid riigi IT -maju on, on veel olnud ka varem. Nii et kui te kuulsite ja teile see teema pakkus huvi, siis, siis SMITi baasteenuste peaarhitekt Siim Vene on see, kellega te peate võtma ühendust ja eks see aeg meile näitab, kas SMIT liigub selles suunas, et parooleid ära kaotada või mitte ja kas omakorda siis ka ritta ja see tähendab seda, et meie kõik suurem nii -öelda digiriigi aparaat liiguks selles suunas. Suured tänud, head kuulajad. Selline sai tänane saade. Mina olin saatejuht Ronald Liive ja kohtun teiega uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT, päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
[ TRANSKRIPTSIOONI LÕPP ]