ID-kaardi turvaprobleemile leiti võimalik lahendus

ID-kaart Foto: Aivar Pau

Riigi Infosüsteemide Ameti (RIA) ja tema koostööpartnerid ülikoolidest ja tarkvaraettevõtetest leidsid võimaliku lahenduse, kuidas parandada pooleteise nädala eest ilmseks tulnud ID-kaardi turvaprobleem.

«Oleme leidnud lahenduse, mille realiseerimise kallal töötame. Edasi tulevad juba testid ja seejärel saadetakse tarkvarauuendus inimestele. Kindel on see, et varem või hiljem tuleb kõigil ID-kaardi omanikel ise midagi ette võtta,» ütles Postimehele RIA esindaja enne pressikonverentsi. Ta kinnitas, et tegemist on jätkuvalt teoreetilise turvaprobleemiga, mis pole realiseerunud ka viimase nädala jooksul.

Postimehe andmeil oli RIA «laual» viimase nädala jooksul mitu tarkvaralist lahendust, kuidas tekkinud turvaporbleemist ID-kaarti kiibi ja alustarkvara vahel «mööda minna».

Täpsemalt antakse viimase nädala jooksul toimunud arengutest teada täna kell 14 algaval pressikonverentsil, mida saab otseülekandes vaadata ka selle uudise vaates.

Risk realiseerub hiljemalt aasta jooksul

RIA juht Taimar Peterkop ütles pärastlõunasel pressikonverentsil, et teoreetiline turvarisk on endiselt olemas. «Me jookseme ajaga võidu,» sõnas ta ja lisas, et ID-kaart on vaja saada korda enne, kui oht realiseerub.

RIA-le teadaolevalt avaldatakse lähikuudel teadlaste uurimistöö teoreetilise turvariski kohta. Pärast seda hakatakse teatud seltskondades tõenäoliselt uurima, kuidas seda riski realiseerida. Nii on riigil ilmselt mõni kuu kuni aasta aega, et riski maandamist täpsemalt uurida ja see maandada.

«Oleme veendunud, et hiljemalt aasta jooksul risk realiseerub,» ütles Peterkop, lisades, et RIA eesmärk on teha nii, et see risk kunagi ei realiseeruks.

Selleks on RIA-l nn tegevussuund, et kiibil olev murekoht lahendada. «Inimesteni jõuab rakendus läbi kauguuenduse või kui see ei peaks mingil põhjusel toimima, siis PPA teeninduspunktides,» rääkis Peterkop.

PPA juht Elmar Vaher avaldas pressikonverentsil heameelt, et inimesed on nädalatagusele uudisele küllalt rahulikult reageerinud ja pole teenindusbüroodesse tormi jooksnud.

Politseijuht palus kõigil esimesel võimalusel oma isiklik meilikonto siduda eesti.ee portaaliga, et riik saaks sedakaudu kõik olulise info ja juhised edastada. Kui aga risk peaks realiseeruma, siis ka sellisel juhul antakse kõigile sellest teada.

Vaheri sõnul saavad ka lähitulevikus väljastatavad ID-kaardid olema sama kiibiga. Ka neid peavad inimesed kauguuenduse kaudu uuendama. 

Taust

Riigi Infosüsteemi Amet (RIA) teatas läinud nädalal, et 30. augustil informeeris Tšehhi teadlaste grupp RIAt turvariski avastamisest, mis mõjutab Eestis alates 2014. aasta oktoobrit välja antud ID-kaarte. Risk puudutab pärast 2014. aasta 16. oktoobrit välja antud 750 000 ID-kaarti.

Peaminister Jüri Ratas ütles turvariski avastamise puhul korraldatud pressikonverentsil, et 15. oktoobri kohalike valimiste korralduslikud küsimused, sealhulgas ka e-valimisi puudutavad, otsustab vabariigi valimiskomisjon, mitte valitsus ega riigikogu. Valimiskomisjon otsustas, et e-hääletamine toimub. Eile teatas EKRE, et vaidlustab selle otsuse.

Postimehele teadaolevalt on Tšehhi küberneetikud enda väitel leidnud, et teatud tingimustes genereerib Eesti ID-kaardilgi kasutatav kiip nõrgemaid võtmeid, kui standard lubab. Kui avalik võti on nõrk, on sellest aga hõlpsam tuletada salajast võtit, millega väärkasutada kellegi e-identiteeti.

Nõrkus puudutab 750 000 Eesti ID-kaarti aga üksnes väga teoreetiliselt: anomaaliaga kaarte võib, aga ei pruugi nende seas olla. RIA on appi palunud rea eesti teadlasi, kes aitavad välja selgitada, kas välismaa kolleegide teooria Eesti ID-kaardi puhul klapib.