Erakorraline turvarisk 750 000 ID-kaardil

Artikkel

- Uudised
- Märt Belkin
- 5. september 2017 kell 9:33
Kuula
Tähelepanu! Artikkel on enam kui 5 aastat vana ning kuulub väljaande digitaalsesse arhiivi. Väljaanne ei uuenda ega kaasajasta arhiveeritud sisu, mistõttu võib olla vajalik kaasaegsete allikatega tutvumine.
Erakorraline turvarisk 750 000 ID-kaardil
ID-kaart lugejagaFoto: Erik Prozes
Rahvusvahelised eksperdid avastasid ID-kaardi kiibis turvariski, mis mõjutab enam kui 700 000 dokumenti. E-teenused töötavad edasi, aga e-valimiste toimumine on kahtluse all.
Eestile toodab ID-kaarte Šveitsi päritolu firma Gemalto. Tegelikult võitis hanke aastaid tagasi firma nimega Trüb, ent Šveitsi hiid ostis ettevõtte 2015. aastal ära.
ID-kaartide tootmine käib viieaastaste perioodide kaupa. Tunamullu korraldas politsei- ja piirivalveamet uue hanke mahuga umbes 40 miljonit eurot. Selle võitja pidanuks hakkama kaarte tootma 2018. aastast.
Võitjaks valis PPA kolme hankest osaleja seast Gemalto ühe suurima konkurendi, Prantsuse päritolu firma Safran Morpho. Nii Šveitsi firma kui kolmas osaleja, samuti Prantsusmaalt pärit Oberthur Technologies läksid kohtusse.
Tallinna halduskohus tühistaski mullu augustis otsuse, millega Safran Morpho võitjaks tunnistati. See otsus kaevati omakorda edasi, praegu on asi teises kohtuastmes.
"Meie jutt on täna tõsine," ütles peaminister Jüri Ratas turvariski teemalist pressikonverentsi sisse juhatades. Välismaa teadlaste avastatud risk on väga ulatuslik ning see puudutab vähemalt 750 000 kaarti.
Täpsemalt on riski all alates 2014. aasta oktoobrist välja antud ID-kaardid, sealhulgas e-residentidele väljastatud tunnistused. Varem väljastatud kaardiga muresid pole, kuna siis oli kiip teine, samuti ei puuduta antud turvarisk mobiil-ID-d.
"Eesti ekspertide praeguse hinnangu kohaselt on turvarisk olemas ja me jätkame teadlaste väidete kontrollimist," ütles RIA peadirektor Taimar Peterkop pressiteate vahendusel. Amet on tema sõnul juba välja töötanud esmased lahendused riskide maandamiseks ning teeb kõik selleks, et ID-kaardi turvalisus oleks jätkuvalt tagatud.
Peaminister Jüri Ratas kinnitas, et kõik e-teenused jäävad püsima ning Eesti jääb jätkuvalt e-riigiks. "Ei pea kurssi muutma, ohud tuleb ära lahendada ja siis edasi minna," rääkis ta pressikonverentsil ja ütles, et juba on riski neutraliseerimiseks astutud reaalseid samme.
Kõiki igapäevaseid e-teenuseid osutab riik praegu edasi, ka kõikidele pankadele on riskidest teada antud ning rahaasju saab samuti edasi ajada. Kõike saab teha ID-kaardiga ning ka e-residentsust väljastatakse edasi. Küll soovitab valitsus Ratase sõnul kõikidel kasutajatel võtta igaks juhuks kasutusele mobiil-ID, mida praeguse riski alusel rünnata ei saa.
Kuna oht on praegu pelgalt teoreetiline, pole liialt muretseda vaja. Peaminister rääkis, et kasutab ka ise edasi enda ID-kaarti ning sellel tuginevaid teenuseid. RIA peadirektor Peterkop märkis, et tal sündis reedel tütar. Turvaprobleemist oli ta selleks ajaks juba teadlik, ent tegi registreerimistoimingud ikkagi ID-kaardiga.
Küll aga on selge löögi all valimised, kuna seal ei tohi olla ühtegi turvariski. Nimelt ei pruugi teoreetiline turvarisk ekspertide sõnul selleks ajaks neutraliseeritud saada, kui kohalike omavalitsuste volikogude valimised toimuvad. Lõpliku otsuse selle kohta, kas e-valida saab või mitte, teeb oktoobrikuu alguseks riigi valimisteenistus.
Ratase sõnul pole praegu võimalik ette ennustada, kui kaua võimaliku turvariski likvideerimiseks aega läheb. Kui lahendus on välja mõeldud, siis töötab RIA välja tarkvara, mis kaugjuhtimise teel aitab kasutajal vea ära likvideerida.
Politsei- ja piirivalveameti peadirektor Elmar Vaher kinnitas, et asi üritatakse lahendada võimalikult kiiresti, ent julges ühes Peterkopiga välja käia ka ajalise veksli. "Praegu keskendume koos RIAga selle olukorra lahendamisele ja arvame, et umbes kahe kuu jooksul suudame viia need 750 000 ID-kaarti veel tugevamale turvatasemele," ütles Vaher. Politsei- ja piirivalveameti juhised, kuidas vahepealsel ajal ID-kaarti kasutada ning millega vahepealsel ajal arvestama peab, leiab siit.
Vea lahendamisel koordineeritakse tööd teiste sama kiibi kasutajatega. Lahendusi otsib ka Gemalto nime kandev kiipkaartide tootja, mis praegusel perioodil Eesti isikutunnistusi valmistab. Ehkki Šveitsi firma ning Eesti suhted on uue hankevaidluse tõttu veidi jahedad, on koostöö konstruktiivne.
Innovatiivsuse riskid
Esimene ID-kaart väljastati 28. jaanuaril 2002. Vahepealse 15 aastaga on kaart ning sellele tuginevad tehnoloogiad saanud lahutamatuks osaks igapäevaelust. Seejuures on tähelepanuväärne, et värskelt avastastud turvarisk on ID-kaardi esimene tõsisem häirekell.
„Eesti digitaalne ühiskond kasutab maailmas uuenduslikke tehnoloogiaid. Uute tehnoloogiatega kaasnevad mugavused, kuid paraku alati ka riskid. Oluline on, kuidas võimalikke ohte avastatakse ja välditakse," ütles RIA juht Taimar Peterkop.
Pressikonverentsil rõhutas ta, et Eesti digiühiskond on unikaalne ning seetõttu pole praeguse juhtumi lahendamisel midagi üheltki teiselt riigilt üle võtta või kellegi kogemusest õppida.
Eesti on ka ainus riik, kus kõik inimesed sellele tehnoloogiale tuginevat ID-kaarti kasutatakse. Midagi sarnast on kasutusel ka Austrias, ent seal ei tugine kaartidele ükski teenus. Austria otsustaski analoogse probleemi valguses enda ID-kaardid kinni panna, ent ühiskonnale polnud mingit mõju. Eestis oleks sellise sammu mõju hiiglaslik.
RIA juhi sõnul on turvariski lahendamise väljakutse seega maailmagi kontekstis enneolematu ning see, kuidas juhtumiga toime tullakse, saab osaks Eesti eduloost. "Olen kindel, et saame sellega hästi hakkama," rääkis ta.
Ka ettevõtlus- ja infotehnoloogiaminister Urve Palo viitas, et kriisis võib olla oma positiivne noot. Palo tõi välja, et kui Eesti vastu toimusid kümmekond aastat tagasi ulatuslikud küberründed, siis saadi sellega hakkama ning lõpuks muutus Eesti tugevamaks, juurde tuli spetsialiste ja ka NATO küberkaitsekeskus asutati Eestisse.
Peaminister Ratas kinnitas, et igal juhul informeeritakse kõiki välispartnereid. Eesti kuvandit see tema hinnangul ei kõiguta ning näitab meid pigem tugevana. "Eesti on e-lahendustele olnud väga avatud ja me oleme olnud selle üle väga uhked," rääkis ta.
Probleem ülemaailmne
Turvariskist andis rahvusvaheline teadlaste grupp riigi infosüsteemi ametile (RIA) teada 30. augustil. See mõjutab kõiki Eestis alates 2014. aasta oktoobrist välja antud ID-kaarte. Varasemate dokumentidega on asjad korras, kuna neis oli teine kiip.
Praegu teadaolevalt pole otseselt vigane ei ID-kaardi kiip ega ka tarkvara, vaid probleemid tekivad nende kahe koostöös. Teatud tingimustel on võimalik olukorda manipuleerida nii, et kurjade kavatsustega häkker saab PIN-koodidest kõrvale pääseda.
Peterkop rääkis, et asjast teada andnud teadlased ei uurinudki iseenesest ID-kaarte, vaid kiipe, mida on üle maailma kasutuses üle miljardi. Juhtumisi kasutab seda kiipi ka meie isikutunnistus.
Asja uurivad nii riigiasutused kui ka sõltumatud eksperdid Eesti firmadest ja ülikoolidest. "Oleme kaasanud Eesti parimad eksperdid," rääkis politsei- ja piirivalveameti juht Elmar Vaher. "Sellega tegelevad praeguseks juba sajad inimesed alates neljapäevast," kinnitas ka peaminister Jüri Ratas.
Peterkopi sõnul tegeletakse praegu lahenduse poole liikumisega ning siht selles suunas on üsna selge. RIA peadirektor rääkis, et kiibitootja poole praegu näppu ei viibutata ega süüdlasi ei otsita.
See ei tähenda ettevõtlusminister Urve Palo sõnul muidugi, et kahju hüvitamist Eesti ei taha. "Kahjunõuded tulevad ka," rääkis ta. Praegu läheb põhirõhk aga asjade korda saamisele.
Pole kurikaelte kätte langenud
Mõnevõrra lootustandvamaks teeb olukorra see, et esialgu pole riik tuvastanud otseselt ühtegi juhtumit ning kõik riskid on teoreetilised ja kellegi digitaalset identiteeti pole turvariski abil kuritarvitatud.
Nimelt on teadlaste avastatud oht teoreetiline – probleemi võimalikkus on matemaatiliselt ja teaduslikult tõestatud, ent ühtegi praktilist rünnet sinna peale teadaolevalt ehitatud pole.
Ka majanduslikult ei pruugiks kõikide isikutunnistuste ründamine olla kuigi mõistlik. Nimelt tuleks võimalikel kurjategijatel iga ID-kaarti rünnata eraldi. Kui pahategijad tahaksid endale kõigi 750 000 kaardi andmeid, kuluks selleks hiiglaslik hulk arvutusvõimsust, aega läheks aastaid ning kuluks umbes 60 miljardit eurot.
"Kõik ID-kaardiga tehtud toimingud kehtivad ja astume rea samme, et seda turvariski ei oleks võimalik Eesti ID-kaardi ründamiseks kasutada ka tulevikus," ütles RIA peadirektor
Täpsemalt sulges amet ID-kaardi avalike võtmete andmebaasi, kuna ilma avalikku võtit teadmata ei ole võimalik Peterkopi sõnul antud turvariski kaardi ründamiseks kasutada.
Vaher ütles, et isikutunnistuse taotlemisel tõstetakse teenindusssaalide professionaalsust ning ID-kaartide taotlemisel tuleb olla valmis vastama lisaküsimustele. "See on üks meede, mida oleme teoreetilise riski maandamiseks ette võtnud," rääkis ta.
Nii peaminister, RIA kui politsei- ja piirivalveamet rõhutasid, et ehkki asju saab ajada ka ID-kaardiga, tuleks endale siiski teha mobiil-ID, mida turvarisk mitte mingil juhul puudutada ei saa. See on igal juhul hea mõte, kuna kaks tugevat autentimislahendust on alati parem kui üks.
Minu Äripäeva kasutamiseks logi sisse või loo konto.
Hetkel kuum