Cuando Estonia dividió una tarjeta de identidad en dos estados

Resumen

• En noviembre de 2017 se bloquearon certificados de cientos de miles de tarjetas, aunque el documento siguió siendo válido.
• La recuperación dependió de PPA, RIA, SK, proveedor y servicios que aplicaban el estado del certificado.

Análisis

Investigadores detectaron estructura matemática en claves RSA generadas por una biblioteca de Infineon, reduciendo el coste de recuperar la clave privada. Common Criteria evalúa productos y configuraciones definidos; no garantiza resistencia perpetua. Estonia mantuvo la identidad física y rechazó autenticación y firma hasta renovar claves, incluso a distancia. El acuerdo confidencial posterior con Gemalto no es una sentencia que distribuya toda la responsabilidad.

Fuentes

• https://acmccs.github.io/papers/p1631-nemecA.pdf
• https://crocs.fi.muni.cz/public/papers/rsa_ccs17
• https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32014R0910
• https://news.err.ee/1608100102/gemalto-ppa-reach-compromise-over-id-card-security-weakness
• https://news.err.ee/1608415676/declassified-documents-reveal-id-card-crisis-from-decade-ago
• https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3644664
• https://www.aripaev.ee/uudised/2018/11/06/ppa-esitas-gemalto-vastu-veel-uhe-hagi
• https://www.commoncriteriaportal.org/files/epfiles/0782V2a_pdf.pdf
• https://www.ncsc.gov.uk/guidance/roca-infineon-tpm-and-secure-element-rsa-vulnerability-guidance
• https://www.ria.ee/sites/default/files/documents/2022-11/RIA-Annual-Cyber-Security-Assessment-2018.pdf
• https://www.ria.ee/sites/default/files/documents/2022-11/Roca-vulnerability-and-eID-lessons-learned-2018.pdf
• https://www.riigiteataja.ee/en/eli/528032017002/consolide
• https://www.sk.ee/upload/files/SK-CP-ID%20CARD-EN-v7_0-20171101.pdf
• https://www.sk.ee/upload/files/SK-CPS-ESTEID-EN-v2_0_20171024.pdf
• https://www.valitsus.ee/en/news/estonia-will-block-certificates-760-000-id-cards-evening-3-november