Wie Estland eine Identitätskarte in zwei Zustände teilte

Zusammenfassung

• 2017 wurden Zertifikate hunderttausender Karten gesperrt, während die physische ID gültig blieb.
• Wiederherstellung brauchte PPA, RIA, SK, Lieferant und alle vertrauenden Dienste.

Analyse

Forscher fanden Struktur in RSA-Schlüsseln einer Infineon-Bibliothek. Common Criteria bewertet festgelegte Produkte und Konfigurationen, nicht jede spätere Attacke. Estland trennte daher Dokument und digitale Vertrauensfunktion und erneuerte Schlüssel auch aus der Ferne. Der vertrauliche Vergleich mit Gemalto ist kein Urteil zur vollständigen Verantwortung.

Quellen

• https://acmccs.github.io/papers/p1631-nemecA.pdf
• https://crocs.fi.muni.cz/public/papers/rsa_ccs17
• https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32014R0910
• https://news.err.ee/1608100102/gemalto-ppa-reach-compromise-over-id-card-security-weakness
• https://news.err.ee/1608415676/declassified-documents-reveal-id-card-crisis-from-decade-ago
• https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3644664
• https://www.aripaev.ee/uudised/2018/11/06/ppa-esitas-gemalto-vastu-veel-uhe-hagi
• https://www.commoncriteriaportal.org/files/epfiles/0782V2a_pdf.pdf
• https://www.ncsc.gov.uk/guidance/roca-infineon-tpm-and-secure-element-rsa-vulnerability-guidance
• https://www.ria.ee/sites/default/files/documents/2022-11/RIA-Annual-Cyber-Security-Assessment-2018.pdf
• https://www.ria.ee/sites/default/files/documents/2022-11/Roca-vulnerability-and-eID-lessons-learned-2018.pdf
• https://www.riigiteataja.ee/en/eli/528032017002/consolide
• https://www.sk.ee/upload/files/SK-CP-ID%20CARD-EN-v7_0-20171101.pdf
• https://www.sk.ee/upload/files/SK-CPS-ESTEID-EN-v2_0_20171024.pdf
• https://www.valitsus.ee/en/news/estonia-will-block-certificates-760-000-id-cards-evening-3-november