ID-kaardi kiibis peitub teoreetiline turvarisk

Rahvusvaheline teadlaste grupp informeeris möödunud neljapäeval riigi infosüsteemi ametit (RIA), et nad avastasid turvariski, mis mõjutab Eestis pärast 2014. aasta oktoobrit välja antud ID-kaarte.
Eesti eksperdid nõustuvad seejuures, et teoreetiline risk on olemas, kuid see puudutab vaid osa käibelolevaid ID-kaarte. Siiski on nende arv väga suur - 750 000 kaarti, mis on välja antud pärast 2014. aasta 16. oktoobrit.
Peaminister Ratas ütles, et vahejuhtum ei too kaasa e-riigi kursimuutust.
Otsuse nende kaartide kasutamise kohta eelseisvatel valimistel teeb vabariigi valimisteenistus.
Enne 2014. aasta oktoobrit väljastatud ID-kaartidel oli kasutusel teine kiip ning neid see risk ei mõjuta. Samuti ei puuduta antud turvarisk mobiil-ID-d.
Valitsus soovitab seejuures kõigil mobiil-ID teha.
„Eesti ekspertide praeguse hinnangu kohaselt on turvarisk olemas ja me jätkame teadlaste väidete kontrollimist,“ ütles RIA peadirektor Taimar Peterkop. „Oleme juba välja töötanud esmased lahendused riskide maandamiseks ning teeme kõik selleks, et ID-kaardi turvalisus oleks jätkuvalt tagatud.“
Reaalset identiteedivargust pole RIA kinnitusel toimunud. „Praeguse info kohaselt ei ole antud turvarisk realiseerunud ning mitte kellegi digitaalset identiteeti ei ole selle abil kuritarvitatud,“ ütles Peterkop.
Infosüsteemi amet sulges ID-kaardi avalike võtmete andmebaasi, kuna ilma avalikku võtit teadmata ei ole võimalik antud turvariski kaardi ründamiseks kasutada.“
PPA kinnitas, et ID-kaartide väljastamine ja kasutamine jätkub. "Risk on piisav selleks, et seda tõsiselt võtta, kuid mitte selleks, et kaarte sulgeda," lausus infotehnoloogia eest vastutav minister Urve Palo.
Eesti ametkonnad kinnitasid, et it-spetsialistidel on võimalus see turvarisk likvideerida, kuid see võtab aega.
Riski realiseerumiseks ei ole võimalikul ründajal vaja kasutada või kontaktis olla reaalse ID-kaardiga.
E-valimiste toimumine pole kindel
Vabariigi valimiskomisjoni esimees Priit Vinkel ütles ERR-ile, et valimiskomisjonil on oktoobri alguseni aega otsustada, kas võimaldada eelseisvatel kohalikel valimistel e-hääletamist või mitte.
"Vabariigi valitsus ja riigi infosüsteemi amet on tõepoolest vabariigi valimiskomisjoni esimeest ja valimisteenistust teavitanud ID-kaardi võimalikest riskidest. Seadusest tulenevalt, mis puudutab elektroonilise hääletamise kasutamist kohalikel valimistel, on valimiskomisjonil võimalik sisuliselt kuni oktoobri alguseni langetada otsus, kas ja milliste vahenditega elektroonilist hääletamist kasutama hakatakse," rääkis Vinkel.
Ta lisas, et valimiskomisjon kogub infot, suhtleb vastavate ametiasutustega ja langetab alles siis lõpliku otsuse.
Kui e-valimisi ei peaks toimuma, toob see valimisjaoskondadele kaasa suurema koormuse ja võib tuua kaasa täiendavate hääletuspunktide lisandumise.
"Kui peaks tõesti nii minema, et elektroonilist hääletamist otsustatakse mitte läbi viia, siis see võib tähendada täiendavaid mehitamisi valimisjaoskondades ja hääletamiskohtades. Peame olema valmis suuremaks hääletajate arvuks, aga see on kõik teostatav," kinnitas komisjoni esimees.
Riskiga kaarte maailmas veel
Riskiga kaarte on maailmas veel, sest rahvusvaheline teadlaste grupp uuris kõiki sarnaseid kaarte maailmas. Viga ilmneb kiibi ja tarkvara koostöös. Riski ei ole, kui rakenduse tarkvara kontrollib füüsilise kaardi olemasolu või kasutamist.
Taimar Peterkop tõdes, et Eesti on oma digiühiskonnaga maailmas ainulaadne ning kui mingid riskid said realiseeruda, siis on Eesti ühelt poolt kõige haavatavam, kuid teisalt ka maailmas kõige paremini valmis nende riskidega toime tulema.
Toimetaja: Priit Luts