ID-ehmatusest tõotab saada häving

  • Riik on ülekoormuse tõttu võimeline uuendama vaid mõni tuhat kaarti päevas
  • Järgneva 48 tunni jooksul kaarte kinni ei panda
  • Praegu on uuendamata veel 780 000 asjasse puutuvat kaarti

ID-kaardi sertifikaatide uuendajad on tekitanud politsei- ja piirivalveameti teenindussaalides sabad. Näiteks Tallinnas Tammsaare tee teenindussaalis tuli eile pärastlõunal oodata teenindaja jutule pääsemiseks tunnipikkuses järjekorras.

FOTO: Eero Vabamägi

«Olukord on hull,» ütles eile Postimehele juba viimased paar päeva ID-kaardi turvariskiga tegelenud kõrge riigiametnik. «Meie aeg on otsa lõppemas ja meie infosüsteemid jooksevad pidevalt kokku.»

Viimastel päevadel on Riigi Infosüsteemi Ametis (RIA) käinud pidev tulekahju kustutamine – kümned, kui mitte rohkemad IT-spetsialistid tegelevad RIA palvel ööpäev ringi sellega, et hoida üleval ID-kaartide sertifikaatide uuendamiseks vajalikke infosüsteeme. Kuid need ei tööta, sest koormus süsteemile on liiga suur.

Väidetavalt suutsid infosüsteemid näiteks teisipäeval uuendada vaid 1300 ID-kaarti loodetud 15 000 asemel. Kolmapäeval kauguuendati ligi 2000 ID-kaarti. Seda on arvestatust mitukümmend korda vähem.

Aeg uuendusi teha saab aga kohe-kohe otsa. Ohuhinnang ehk must stsenaarium on selline: rünnak Eesti ID-kaardi kiibi turvasüsteemile tuleb tõenäoliselt hiljemalt reedel-laupäeval.

Kui paar kuud tagasi, e-ehmatuseks tituleeritud uudise avaldamise ajal oli rünnaku potentsiaalne sihtmärk vaid Eesti ID-kaardil oleva kiibiga seonduv turvarisk, siis nüüd on ohuhinnang globaalne. See hõlmab samasugust kiibitehnoloogiat kasutavaid suuri rahvusvahelisi kompaniisid ja teisi riike. Ja erinevalt Eestist ei ole nemad jõudnud selleks valmistuda. Seetõttu sulges Slovakkia sel nädalal kõik oma ID-kaardid.

«Sihtmärk on ründamiseks üliahvatlev. Ja see, et häkkerid seda 48 tunni jooksul teevad, on tõenäolisem võimalusest, et seda ei tehta,» ütles üks Postimeest konsulteerinud erialaspetsialist.

Kui rünnak õnnestub, tähendab see ebaturvaliste kiipidega seotud sertifikaatide kohest sulgemist. Eesti on sellega arvestanud ja meie spetsialistid olid aegsasti välja töötanud lahendused, mis aitavad turvariskist mööda minna. Selleks tuleb vaid ID-kaartidel tarkvara uuendada.

Eesti probleemiks sai aga uuendamissüsteemide vastupanuvõime. Nimelt kipub see pidevalt kokku jooksma ja nii sai esialgsest hinnangust – et korraga uuendatakse süsteemis 1000 ja ööpäevas kokku kuni 21 000 ID-kaarti – justkui helesinine unenägu. Viimase paari päeva tulemus on alla 4000 uuenduse. Seda on väga vähe.

RIA lubab siiski, et sertifikaatide sulgemisele eelneb 24-tunnine eelhoiatus. RIA eID-valdkonna juhi Margus Armi sõnul ei tule kõne allagi tagantjärele informeerimine – et ükskõik mis põhjusel 800 000 ID-kaardi sertifikaadid ootamatult suletakse. «Sellise sammuga viiksime kõik lõplikult umbe – alates klienditeeninduse numbritest ja lõpetades kaardi kauguuendamise süsteemidega,» ütles ta.

Arm kinnitas, et RIA ei ole praegu otsustanud, millal turvariskiga kaartide sertifikaadid peatatakse ja nendega enam IT-süsteemidesse sisse logida ei saa. «Kindel on see, et järgneva 24 ega ka 48 tunni jooksul kaarte kinni ei panda,» lausus ta.

Kui aga saab teatavaks mingi oluline uus info või keegi tuleb välja lahtimuukimist tõestava infoga, siis lähebki käiku must stsenaarium ja probleemsed kaardid suletakse otsekohe. See on ka täiesti mõistetav, sest kui kellelgi õnnestub lahti muukida Eesti ID-kaardi süsteem, siis oleksime kogu oma e-riigi arengult hetkega tagasi kiviajas.

Igal juhul on neil, kes vajavad ID-kaarti veebis iga päev, armuaega vähemalt paar päeva. Arvestada tasub ka sellega, et politsei- ja piirivalveameti büroodes saab ID-kaardi uuendada hõlpsalt ning hädavajaduse korral saavad inimesed seal kindlasti abi.

«Uuendama peaksid minema need, kellel on haavatav kaart, mida nad kasutavad tihti, ning kel ei ole alternatiivseid sisselogimise viise ehk mobiil-IDd,» selgitas küberturvalisuse keskuse CERT-EE juht Klaid Mägi ja lisas, et näiteks ka pangalingid riiklike e-teenuste kasutamiseks toimivad edasi.

Kokku on turvariskiga ID-kaarte 800 000 ja nendest oli sertifikaadid eile õhtuks uuendada õnnestunud ligemale 25 000 inimesel.

«Kui me võtame uuendamist vajavate kaartide üldarvust maha need, kes kasutavad ID-kaarti väga-väga harva, ja selle hulga, kellel on mobiil-ID või muu ligipääs pangaveebi, siis jääb alles vaid 100 000 – 150 000 inimest, kellel tõesti oleks oluline ID-kaart operatiivselt ära uuendada,» lausus Mägi.

Statistika näitab, et kord aastas logib ID-kaardiga mõnda süsteemi sisse ehk kasutab oma kaardiga seotud sertifikaate vaid 600 000 inimest ja neist ligi pooled omakorda vaid maksude deklareerimise ajal.

Mäe sõnul ei suuda loomulikult ükski kiirelt kokku klopsitud tarkvaralahendus korraga 800 000 inimest ära teenindada ning sellest on tingitud ka nädala alguses tekkinud tõrked uuendamissüsteemides. Narvas tuli eile näiteks üks vanem daam politseibüroosse korraga uuendama lausa nelja ID-kaarti – olevat sõbranna käest kuulnud ja reageerinud.

Kaugeltki sellist paanikat ei tekkinud aga näiteks Slovakkias, kus ööl vastu kolmapäeva tühistati samasuguse lahendusega ID-kaartide sertifikaadid. Kuid seal pole kaart kohustuslik – ega seega ka hädavajalik – ning toiming puudutas vaid 300 000 selle riigi kodanikku. Juunis tühistas ID-kaartide sertifikaadid ka Austria, kus see otsus puudutas 100 000 kaardiomanikku.

«Pragmaatiliselt öeldes ei sõltunud nende riikide ID-kaartide kinnipanemisest suurt mitte midagi – nii teenuste kui ka kasutajate arv on neis hästi väike. Eestis on mõju kindlasti kordades suurem,» lisas Mägi.

CERT-EE juht kinnitas, et praegu pole maailmas häkkerit, kes oleks tõestanud Eesti ID-kaardi rünnatavust. «Kui täna oleks selline tõestus, siis oleksime juba kaardid kinni pannud,» sõnas ta.

Mis puutub mobiil-ID kasutajate hulka, siis see on viimastel nädalatel küll mõnevõrra kasvanud, kuid jääb ikka veidi alla 150 000. Riigiametnikkegi ei saa sundida seda kasutama hakkama, kuna see teenus on siiski tasuline, olgugi et maksab inimesele vaid ühe euro kuus.

Digiretseptid liiguvad igal juhul

Riik kinnitab, et iga ametnik, kelle osutatavad teenused on riigi toimimise ja elanike teenindamise seisukohalt hädavajalikud, pääseb kas ID-kaardi, mobiil-ID või erilahenduste teel süsteemidesse.

Näiteks teatas sotsiaalministeerium, et ID-kaardi sertifikaatide peatamise korral saavad arstid, õed ja apteekrid e-tervise teenuseid ajutiselt edasi kasutada ka uuendamata ID-kaartidega. See lahendus läheb kasutusse kohe, kui RIA on teatanud turvariskiga ID-kaartide sertifikaatide peatamisest. See tähendab, et arst saab endiselt koostada digiretsepti ja apteeker selle alusel retseptiravimit müüa.

Mis võib tingida ID-kaartide ootamatu sulgemise?

RIA on aga siiski valmis sulgema ohustatud kaardid kohe, kui nende lahtimurdmise oht kasvab üle kriitilise piiri. Risk on järsult suurenenud ja sulgemise kuupäeva on nihutatud varem arvatust neli-viis kuud ettepoole.

«Sellest hetkest alates, kui tšehhide töö avalikustati ning selgus, et puuduse taga on veel slovakid, hispaanlased, sakslased, Microsofti ja Google’i teenused, kasvas rahvusvaheline tähelepanu niivõrd palju, et tekkis juurde ka neid tüüpe, kel on huvi meie kaarte lahti närima hakata,» ütles CERT-EE juht Mägi.

Kui alguses arvasid eksperdid, et ID-kaardi lahtimuukimiseks võib aega minna neli kuni kuus kuud, siis rahvusvahelise tähelepanu järel kahanes oletatav aeg kuu-kahe peale. Pealegi tilgutavad tšehhid ise avalikkusele infot järjest juurde: tänagi esinevad nad oma teadustööga Ameerika Ühendriikides Dallases konverentsil ning avaldavad viimased bitid ja baidid infot.

«Hoiame pidevalt silma peal rahvusvahelisel meedial, muidugi häkkerite foorumitel ja ka akadeemilisel krüptograafia valdkonna infol, et vajadusel ka neist laekuva olulise info korral kiirelt reageerida,» märkis Mägi.

Uuendada tuleb järgmisi turvariskiga dokumente:

·         Elamisloakaart, mis on väljastatud alates 17. detsembrist 2014

·         Digi-ID-kaart, mis on väljastatud alates 1. detsembrist 2014

·         E-residendi kaart, mis on väljastatud alates 1. detsembrist 2014

·         ID-kaart, mis on väljastatud alates 16. oktoobrist 2014

RIA tunnistas eile, et turvariskis ID-kaartide uuendamise süsteemide töö on suurte koormuste tõttu tugevalt häiritud. Kaardi uuendamise protsessis osalevad nelja asutuse infosüsteemid ning kui üks neist tõrgub või ei pea vastu, on automaatselt takistatud ka teiste töö.

Tõrgete põhjus peitub asjaolus, et kui riistvara oleks probleemide lahendamiseks saanud kiirelt juurde hankida, siis uuendamise infosüsteemi arhitektuurilist lahendust poleks kuu ajaga kuidagi ümber teha jõutud.

RIA teatel on alates 25. oktoobrist, mil rakendus katsetamiseks üles pandi, oma kaardi kauguuendanud 21 000 inimest. Politsei- ja piirivalveameti teenindustes on uuendatud kaarte väljastatud sellest kuupäevast ligi 4700.

Turvariskiga ID-kaarte saab uuendada kuni 31. märtsini 2018. 1. aprillil 2018 sertifikaadid tühistatakse. See tähendab, et seda kaarti enam uuendada ei saa ning elektrooniliseks kasutamiseks tuleb taotleda uus kaart. Isikut tõendava dokumendina kehtib kaart sellel märgitud kuupäevani.

Praegu väljastatakse inimestele juba ID-kaarte, mis on välimuselt küll täpselt sarnased vigastega, kuid tarkvarauuendust ei vaja – neil on peal juba turvalisem krüptograafiline tarkvara, mis loodud koostöös kaarditootja Gemaltoga.

Pärast uuendamist ei saa avada krüpteeritud dokumente

Kindlasti peaksid ID-kaardi tarkvara uuendajad arvestama asjaoluga, et enne tuleks oma varem krüpteeritud dokumendid lahti krüpteerida, kuna pärast uuendamist neid enam muidu avada ei saa.

Samuti tuleb arvestada, et Mac-arvutites ei tööta kaart pärast uuendamist Safari ja Chrome’i veebilehitsejatega.

Tagasi üles