Hightrust.id

Hightrust.id
Kuvaus	lompakkosovellus
Käyttöliittymä	mobiili
Lisenssi	suljettu
Kotisivu	Hightrust

Hightrust on lompakkosovellus johon voi ladata EU lompakkoasetuksen mukaisia kortteja. Lompakon toteuttaja Megical Oy myöntää lompakkoon oman ei-virallisen henkilötodistuksen jonka latausvaiheessa käyttäjä ensitunnistetaan valtion virallisella henkilökortilla käyttämällä mobiililaitteen NFC-lähilukua. Hightrust.id-lompakko lisättiin yhdeksi tunnistusvälineeksi valtion viralliseen Suomi.fi-palveluun tiistaina 29.10.2024.

Ohjelman perusnäkymä. Tunnistautuminen tapahtuu kuvaamalla mobiililaitteen kameralla webbisivun QR-koodi.

Mediassa on väitetty virheellisesti, että valtion henkilökortti ladataan omalle puhelimelle mikä ei pidä paikkaansa. Valtion myöntämästä sirullisesta henkilökortista (HSM) on nykytiedon mukaan mahdotonta tehdä fyysistä tai virtuaalista kopiota - vaan kyse on uudesta, yksityissektorin yrityksen myöntämästä ja virallisesta henkilökortista johdetusta tunnistusvälineestä. Yritys itse käyttää tästä prosessista termiä henkilökortin virtualisoiminen. Koska kyse on johdetusta tunnistusvälineestä ja toiminta ei ole viranomaistoimintaa, se on laadullisesti matalampi kuin alkuperäinen valtion LoA High-tason henkilökortti. Fyysisen kortin voi irroittaa sähköttömäksi käytön jälkeen toisin kuin mobiililaitteen turvasirulla säilytettävää varmennetta.

Ohjeissa sanotaan, että vain 31.8.2021 jälkeen myönnetyt henkilökortit toimivat ohjelman kanssa ja aiempien on todettu antavan numeerisen virheilmoituksen.

Virheilmoitus käyttöönotossa 29.6.2021 myönnetyllä henkilökortilla. Selkokielisyys ei ole vielä saavuttanut nykyaikaa.

Sovelluksen voi asentaa Applen laitteisiin, jotka käyttävät iOSin versiota 16 tai tuoreempaa (Android-version dokumentaatio tosin sanoo, että iOS 8 riittäisi, mikä ei pidä paikkaansa), sekä Android-laitteisiin, jotka käyttävät käyttöjärjestelmän versiota 7 tai tuoreempaa (testattu versiolla 8.1 toimivaksi).

Sovellukseen voi virtualisoida tällä hetkellä henkilökortin ja ulkomaalaisen henkilökortin. Viranomaisten ammattiryhmille myöntämien toimikorttien käyttöönotto saattaa tulla mahdolliseksi myöhemmin.

Sovellusta voi käyttää paitsi lompakkona ja tunnistautumiseen, myös henkilökortin alkuaktivointiin. Ennen tätä aktivoinnin on voinut tehdä vain tietokoneella DigiSign Client-ohjelmiston avulla.

Sovelluksessa on ilmeisesti jonkinlainen allekirjoitusominaisuus, mutta se ei ole itsenäinen vaan vaatii tukea käytettävältä sähköiseltä palvelulta. Tällaista tukea ei tiettävästi ole toistaiseksi olemassa missään, joten käytännössä Hightrust-sovelluksella ei ole mahdollista (vielä) allekirjoittaa tapahtumia tai asiakirjoja sähköisesti.

Kritiikkiä

• Ihmiset ovat ihmetelleet ratkaisun englanninkielistä nimeä ja käytettyä id-ylätason verkkotunnusta (top level domain, TLD) ja sen mukana tuomia turhia riskejä.
• Käyttöönoton aikana yrityksen myöntämää henkilötodistusta luotaessa kysytään PIN1 ja PIN2 tunnuslukuja, jotka ilmeisesti ovat olemassaolevan alkuperäisen fyysisen valtion myöntämän henkilökortin tunnuslukuja, mutta myös uuden myönnettävän virtuaalisen tunnisteen tunnuslukuja. Tätä ei selitetä selkeästi ruudulla. Koska kyse on verkottuneesta palvelusta, voisi kuvitella, että pelkkä tunnistautuminen riittää jos tulevaisuuden allekirjoitukset tapahtuvat verkkopalvelun varmenteella. Koska ohjelmalle annetaan PIN2-tunnusluku, on myös teknisesti mahdollista, että samalla allekirjoitetaan jotain, mahdollisesti käyttö- tms palveluehdot. Koska tunnuslukujen käyttöä ei selitetä eikä mitään sen tulosta anneta käyttäjä, oletus on ettei allekirjoitusta tapahdu. Valtion henkilökortin allekirjoitusvarmenteella tehty sopimus on oikeustoimikelpoinen dokumentti ilman rajoituksia joten sen syöttäminen tietämättä sen käyttötarkoitusta on vakava asia.

Katso myös

• Mobiilitietoturva

Aiheesta muualla

• hightrust.id - Lompakon käyttöönotto-ohjeet
• valtioneuvosto.fi - Uusi turvallinen tapa tunnistautua viranomaisten digipalveluihin