Ero sivun ”HST” versioiden välillä
Siirry navigaatioon
Siirry hakuun
→Aiheesta muualla
Jem (keskustelu | muokkaukset) |
|||
(29 välissä olevaa versiota 12 käyttäjän tekeminä ei näytetä) | |||
Rivi 1: | Rivi 1: | ||
Väestörekisterikeskus tarjoaa Suomessa | Väestörekisterikeskus tarjoaa Suomessa '''henkilön sähköisen tunnistamisen''' (''HST, eng FINEID'') ratkaisua sirullisella henkilökortilla. Kortin myöntää poliisi. Henkilökortilla on [[wikipedia:fi:PKI|julkisen avaimen menetelmään]] perustuva laatuvarmenne. Varmenteen avulla voi tunnistautua, allekirjoittaa ja salata dokumentteja ja viestiliikennettä. | ||
HST-kortin etuina on vahvan salauksen käyttö yhdistettynä vaatimukseen fyysisen esineen ("token") hallussapitoon. Toisin sanoen, niin kauan kuin esine (kortti) on hallussasi, kukaan ei pysty käyttämään väärin korttiin liittyvää sähköistä identiteettiä. Kortti on maksukortin kokoinen, helposti mukana pidettävä ja sen käyttö on suojattu PIN-koodilla. PIN-koodi on aina sama, riippumatta mihin palveluun kortilla tunnistaudutaan. | HST-kortin etuina on vahvan salauksen käyttö yhdistettynä vaatimukseen fyysisen esineen ("token") hallussapitoon. Toisin sanoen, niin kauan kuin esine (kortti) on hallussasi, kukaan ei pysty käyttämään väärin korttiin liittyvää sähköistä identiteettiä. Kortti on maksukortin kokoinen, helposti mukana pidettävä ja sen käyttö on suojattu PIN-koodilla. PIN-koodi on aina sama, riippumatta mihin palveluun kortilla tunnistaudutaan. | ||
Rivi 18: | Rivi 18: | ||
'''Huom! Poliisilla käyvälle:''' Varmista kun anot korttia, että virkailija täyttää hakemukseen myös sähköpostiosoitteesi – oletuksena hän jättää tämän kentän tyhjäksi, jolloin sähköpostiosoitetta ei tule varmenteeseen. Osoite varmenteessa ei ole välttämätön kun korttia käytetään tunnistautumiseen, mutta siitä voi olla hyötyä sähköpostin salauksessa ja se kuuluu kortin hintaan. | '''Huom! Poliisilla käyvälle:''' Varmista kun anot korttia, että virkailija täyttää hakemukseen myös sähköpostiosoitteesi – oletuksena hän jättää tämän kentän tyhjäksi, jolloin sähköpostiosoitetta ei tule varmenteeseen. Osoite varmenteessa ei ole välttämätön kun korttia käytetään tunnistautumiseen, mutta siitä voi olla hyötyä sähköpostin salauksessa ja se kuuluu kortin hintaan. | ||
'''Huom! Verkosta haettaessa:''' Mikäli haluat henkilökorttiisi Kela-tiedot (viivakoodi taakse), pyydä sitä kun käyt allekirjoittamassa henkilökortin, verkkohakemuksesta puuttuu kohta sille, mutta allekirjoittaessa se voidaan lisätä. | '''Huom! Verkosta haettaessa:''' Mikäli haluat henkilökorttiisi Kela-tiedot (viivakoodi taakse), pyydä sitä kun käyt allekirjoittamassa henkilökortin, verkkohakemuksesta puuttuu kohta sille, mutta allekirjoittaessa se voidaan lisätä. '''Huom!''' Henkilökorttilaki muuttui 1.1.2017. Samassa yhteydessä luovuttiin sairausvakuutustietojen merkitsemisestä henkilökorttiin. | ||
== Laitteet == | == Laitteet == | ||
Rivi 33: | Rivi 33: | ||
==== Nykyaikaiset lukijat ==== | ==== Nykyaikaiset lukijat ==== | ||
Kun on hankkimassa USB-lukijaa, kannattaa valita ns. ''CCID'' ( | Kun on hankkimassa USB-lukijaa, kannattaa valita ns. ''CCID'' (Chip Card Interface Device) -speksin mukainen lukija. CCID on USB-väylän yhteyteen määritelty ns. Device Class -määrittely, joka määrittelee yhteisen protokollan eri valmistajien USB-lukijoille. | ||
Esimerkkejä CCID-protokollan mukaisista lukijoista ovat: | Esimerkkejä CCID-protokollan mukaisista lukijoista ovat: | ||
Rivi 100: | Rivi 100: | ||
====OpenSC==== | ====OpenSC==== | ||
Vapaana ohjelmistona kehitetty [https://github.com/OpenSC/OpenSC/wiki OpenSC] on maailmanlaajuisesti käytössä oleva älykorttiohjelmisto. Se tukeutuu yleensä | |||
[http://pcsclite.alioth.debian.org/ pcsc-lite] laitteistorajapintaan joka toteuttaa PC/SC määritykset. Projektin oma vastaava rajapinta [http://www.opensc-project.org/openct/ openct] on nykyään jo harvemmin käytössä. | [http://pcsclite.alioth.debian.org/ pcsc-lite] laitteistorajapintaan joka toteuttaa PC/SC määritykset. Projektin oma vastaava rajapinta [http://www.opensc-project.org/openct/ openct] on nykyään jo harvemmin käytössä. | ||
Joissakin Linux-jakeluissa on älykorttien käsittely on integroitu toimivaksi kokonaisuudeksi, joiden käyttöönotto parhaimmillaan edellyttää ainoastaan lukijan kytkentää ja WWW-selaimen asetusten asettamista. | Joissakin Linux-jakeluissa on älykorttien käsittely on integroitu toimivaksi kokonaisuudeksi, joiden käyttöönotto parhaimmillaan edellyttää ainoastaan lukijan kytkentää ja WWW-selaimen asetusten asettamista. | ||
OpenSC on yhteensopiva lähes kaikkien älykorttien kanssa. 2018 alusta myönnettyihin HST-kortteihin on saatavilla testivaiheessa oleva kirjoitettu ohjelmistotuki OpenSC kirjastoon. | |||
[https://github.com/OpenSC/OpenSC/pull/1608 FINeID: Initial FINeID v3 support #1608] | |||
==== mPollux Digisign Client ==== | ==== mPollux Digisign Client ==== | ||
Väestörekisterikeskus tarjoaa maksutta Fujitsu Services Oy:n [https:// | Väestörekisterikeskus tarjoaa maksutta Fujitsu Services Oy:n [https://dvv.fi/linux-versiot mPollux Digisign Client] -kortinlukijaohjelmiston henkilökortin käyttäjille. VRK:n WWW-sivuilta on mahdollista ladata ohjelmisto CentOSille ja Ubuntulle 32- ja 64-bittisenä versioina. Paketit toiminevat myös monissa niille sukua olevissa jakeluissa. | ||
Ohjelmistosta joulukuussa 2011 julkistettu 64-bittinen versio, mutta sitä ei tiettävästi ole saatavilla minkään Linux-jakelun virallisesta paketinhallinnasta. Käyttäjän tulee huolehtia päivityksistä manuaalisesti kyläilemällä Väestörekisterikeskuksen sivuilla säännöllisesti. mPollux-ohjelmistosta ei ole lähdekoodia saatavilla. | Ohjelmistosta joulukuussa 2011 julkistettu 64-bittinen versio, mutta sitä ei tiettävästi ole saatavilla minkään Linux-jakelun virallisesta paketinhallinnasta. Käyttäjän tulee huolehtia päivityksistä manuaalisesti kyläilemällä Väestörekisterikeskuksen sivuilla säännöllisesti. mPollux-ohjelmistosta ei ole lähdekoodia saatavilla. | ||
mPollux ohjelma ei toimi kunnolla. Tietokonetta voi joutua käynnistämään uudestaan ja sovelukset voivat jumittua ( 2018 - 2019 Ubuntu 18.04 ) | |||
===Sovellusohjelmien tuki=== | ===Sovellusohjelmien tuki=== | ||
Rivi 129: | Rivi 135: | ||
PAM (''Pluggable Authentication Module'') on asetettavissa tunnistamaan tietokoneeseen kirjautuja henkilökortin varmenteella. Tämä mahdollistaa kirjautumisen salasanan asemasta tai niiden rinnakkaisen käytön. Asetukset ja niiden määrittäminen on jakelukohtaisia. Toimiessaan PAM-tasolla, korttituki toimii niin merkkipohjaisessa kuin graafisessa sisäänkirjautumisessa. | PAM (''Pluggable Authentication Module'') on asetettavissa tunnistamaan tietokoneeseen kirjautuja henkilökortin varmenteella. Tämä mahdollistaa kirjautumisen salasanan asemasta tai niiden rinnakkaisen käytön. Asetukset ja niiden määrittäminen on jakelukohtaisia. Toimiessaan PAM-tasolla, korttituki toimii niin merkkipohjaisessa kuin graafisessa sisäänkirjautumisessa. | ||
==== | ==== SSH ==== | ||
OpenSSH tukee henkilökortin käyttöä autentikointiin PKCS#11-rajapinnan kautta. Kortin sisältämän avainparin julkinen osa siirretään niille ssh-palvelimille, joihin halutaan olla yhteydessä. SSH-asiakasohjelma pystyy käyttämään kortilla olevaa salaista osaa kättelyssä palvelimen kanssa. Avainten hallintaan käytetään OpenSSH:n mukana tulevia '''ssh-agent''' ja '''ssh-add''' apuohjelmia. | OpenSSH tukee henkilökortin käyttöä autentikointiin PKCS#11-rajapinnan kautta. Kortin sisältämän avainparin julkinen osa siirretään niille ssh-palvelimille, joihin halutaan olla yhteydessä. SSH-asiakasohjelma pystyy käyttämään kortilla olevaa salaista osaa kättelyssä palvelimen kanssa. Avainten hallintaan käytetään OpenSSH:n mukana tulevia '''ssh-agent''' ja '''ssh-add''' apuohjelmia. | ||
Rivi 178: | Rivi 184: | ||
==== Korttipaikkojen listaus ==== | ==== Korttipaikkojen listaus ==== | ||
$ pkcs11-tool | $ pkcs11-tool -L | ||
Slot 8 OmniKey CardMan 3121 00 00 | Slot 8 OmniKey CardMan 3121 00 00 | ||
token label: HENKILOKORTTI (perustunnusluku) | token label: HENKILOKORTTI (perustunnusluku) | ||
Rivi 191: | Rivi 197: | ||
token flags: login required, PIN initialized, token initialized | token flags: login required, PIN initialized, token initialized | ||
serial num : 4600015034197296 | serial num : 4600015034197296 | ||
==== Varmenteiden listaus ==== | ==== Varmenteiden listaus ==== | ||
Rivi 362: | Rivi 369: | ||
=== Ssh === | === Ssh === | ||
Avaimia lisätään ssh-agent -ohjelmaan ssh-add -ohjelmalla. Älykorttien yhteydessä käytetään -s-optiota, jolla kerrotaan pluginin polku. Kortin avaimeen liittyvä PIN kysytään <code>ssh-add</code>-komennon yhteydessä ja se jää ssh-agent prosessin muistiin. | Avaimia lisätään ssh-agent -ohjelmaan ssh-add -ohjelmalla. Älykorttien yhteydessä käytetään -s-optiota, jolla kerrotaan pluginin polku. Kortin avaimeen liittyvä PIN kysytään <code>ssh-add</code>-komennon yhteydessä ja se jää ssh-agent prosessin muistiin. | ||
Rivi 380: | Rivi 383: | ||
'''Vianmääritys''': | '''Vianmääritys''': | ||
* Varmista, että ssh-agent on käynnistynyt sisäänkirjautumisesi yhteydessä (prosessilistauksessa näkyy ''ssh-agent''). Käynnistäminen riippuu Linux-jakelustasi, yleensä se on automaattinen eikä mitään tarvitse tehdä. Jos sitä ei siitä huolimatta ole käynnissä, se on voinut kräshätä. | * Varmista, että ssh-agent on käynnistynyt sisäänkirjautumisesi yhteydessä (prosessilistauksessa näkyy ''ssh-agent''). Käynnistäminen riippuu Linux-jakelustasi, yleensä se on automaattinen eikä mitään tarvitse tehdä. Jos sitä ei siitä huolimatta ole käynnissä, se on voinut kräshätä. | ||
=== Lähiverkon pääsynvalvonta - 802.1x === | === Lähiverkon pääsynvalvonta - 802.1x === | ||
Rivi 460: | Rivi 449: | ||
! Ubuntu | ! Ubuntu | ||
|- | |- | ||
| Kyseinen jakeluversio || || 14 || || || 5 || | | Kyseinen jakeluversio || || 14 || || || 5 || 18.04 | ||
|- | |- | ||
| Oletusrajapinta || pcsc || pcsc || pcsc || || pcsc || | | Oletusrajapinta || pcsc || pcsc || pcsc || || pcsc || | ||
|- | |- | ||
| OpenSC versio || 0.16.0-5 || 0. | | OpenSC versio || 0.16.0-5 || 0.22 || || || || 0.17.0-3 || | ||
|- | |- | ||
| Korttituki asentuu oletuksena || kyllä || kyllä || ei || || kyllä || | | Korttituki asentuu oletuksena || kyllä || kyllä || ei || || kyllä || | ||
Rivi 479: | Rivi 468: | ||
|- | |- | ||
| Löytyykö CA-avaimet jakelusta || ei || ei || ei || || ei || | | Löytyykö CA-avaimet jakelusta || ei || ei || ei || || ei || | ||
|- | |||
| Tuki 2018 ennen myönnetyille korteille || kyllä || kyllä || kyllä || || kyllä || kyllä || | |||
|- | |||
| Tuki 2018 jälkeen myönnetyille korteille || || || || || || ei || | |||
|- | |- | ||
|} | |} | ||
Rivi 514: | Rivi 507: | ||
* Pakettienhallintatyökalu: [[Zypper]] ja [[PackageKit]] | * Pakettienhallintatyökalu: [[Zypper]] ja [[PackageKit]] | ||
* Asenna paketit opensc ja pcsc-lite | |||
=== RHEL (Red Hat Enterprise Linux) === | === RHEL (Red Hat Enterprise Linux) === | ||
Rivi 523: | Rivi 517: | ||
===Ubuntu=== | ===Ubuntu=== | ||
* Asenna paketit <tt> | * Asenna paketit <tt>opensc</tt> ja <tt>pcscd</tt> | ||
* Pakettienhallintatyökalu: [[Apt]], [[PackageKit]] | * Pakettienhallintatyökalu: [[Apt]], [[PackageKit]] | ||
* Firefox Asteukset / Yksityisyys ja Turvallisuus / Sertifikaatit / Turvallisuus laitteet , jos | |||
PKSC11# mooduli puuttuu lisää, load /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so | |||
* versio 18.04 ja VRK:n 2018 jälkeen myönnetyt kortit eivät toimi kunnolla millään ohjelmistolla (mPollux kaatuilee) | |||
* 2018 jälkeen myönnetyille korteille ei ole tukea OpenSC:llä | |||
== Katso myös == | == Katso myös == | ||
* [[Mobiilivarmenne]] | * [[Mobiilivarmenne]] | ||
* [[ | * [[Apache httpd]] | ||
* [[Firefox]] | * [[Firefox]] | ||
* [[Gnupg]] - GNU Privacy Guard | * [[Gnupg]] - GNU Privacy Guard | ||
Rivi 539: | Rivi 538: | ||
* [[Thunderbird]] | * [[Thunderbird]] | ||
* [[VPN]] - Virtual Private Network | * [[VPN]] - Virtual Private Network | ||
* [[ | * [[Wpa supplicant]] | ||
== Aiheesta muualla == | == Aiheesta muualla == | ||
* [https://digisaatio.fi/wiki/Linux digisaatio.fi/Linux] | |||
* [http://fineid.fi/ http://fineid.fi] - Suomalaisen henkilökortin kotisivu. | * [http://fineid.fi/ http://fineid.fi] - Suomalaisen henkilökortin kotisivu. | ||
* [http://www.vaestorekisterikeskus.fi/ http://www.vaestorekisterikeskus.fi/] - Väestörekisterikeskus | * [http://www.vaestorekisterikeskus.fi/ http://www.vaestorekisterikeskus.fi/] - Väestörekisterikeskus | ||
Rivi 557: | Rivi 556: | ||
* [irc://irc.freenode.net/opensc irc://irc.freenode.net/opensc] - OpenSC IRC kanava. | * [irc://irc.freenode.net/opensc irc://irc.freenode.net/opensc] - OpenSC IRC kanava. | ||
* [irc://irc.freenode.net/fineid irc://irc.freenode.net/fineid] - #fineid IRC kanava. | * [irc://irc.freenode.net/fineid irc://irc.freenode.net/fineid] - #fineid IRC kanava. | ||
* [https://github.com/OpenSC/OpenSC/pull/1608 https://github.com/OpenSC/OpenSC/pull/1608] - Kehitysvaiheessa oleva tuki vuodesta 2018 eteenpäin myönnetyille HST-korteille | |||
* [https://makarainen.net/Henkilovarmenne-kortinlukijaohjelmiston-asentaminen-Ubuntussa https://makarainen.net/Henkilovarmenne-kortinlukijaohjelmiston-asentaminen-Ubuntussa] - Kansalaisvarmenteen vaatima kortinlukijaohjelmiston asentaminen Ubuntussa | |||
[[Luokka:Laitteisto]] | [[Luokka:Laitteisto]] |