エストニアがIDカードを二つの状態に分けた時

要約

• 多数の証明書を停止しても物理カードは有効だった。
• 復旧はPPA、RIA、SK、供給者、依存サービスの共同作業だった。

分析

Infineon系ライブラリのRSA鍵に構造が見つかった。Common Criteriaは特定構成を評価し将来の全攻撃を保証しない。政府は身分証とデジタル信頼を分離し、遠隔更新も用いた。Gemaltoとの秘密和解は責任を全面確定する判決ではない。

情報源

• https://acmccs.github.io/papers/p1631-nemecA.pdf
• https://crocs.fi.muni.cz/public/papers/rsa_ccs17
• https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32014R0910
• https://news.err.ee/1608100102/gemalto-ppa-reach-compromise-over-id-card-security-weakness
• https://news.err.ee/1608415676/declassified-documents-reveal-id-card-crisis-from-decade-ago
• https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3644664
• https://www.aripaev.ee/uudised/2018/11/06/ppa-esitas-gemalto-vastu-veel-uhe-hagi
• https://www.commoncriteriaportal.org/files/epfiles/0782V2a_pdf.pdf
• https://www.ncsc.gov.uk/guidance/roca-infineon-tpm-and-secure-element-rsa-vulnerability-guidance
• https://www.ria.ee/sites/default/files/documents/2022-11/RIA-Annual-Cyber-Security-Assessment-2018.pdf
• https://www.ria.ee/sites/default/files/documents/2022-11/Roca-vulnerability-and-eID-lessons-learned-2018.pdf
• https://www.riigiteataja.ee/en/eli/528032017002/consolide
• https://www.sk.ee/upload/files/SK-CP-ID%20CARD-EN-v7_0-20171101.pdf
• https://www.sk.ee/upload/files/SK-CPS-ESTEID-EN-v2_0_20171024.pdf
• https://www.valitsus.ee/en/news/estonia-will-block-certificates-760-000-id-cards-evening-3-november