Como a Estônia dividiu um cartão em dois estados

Resumo

• Certificados de centenas de milhares de cartões foram bloqueados, mas o documento físico continuou válido.
• Recuperação dependeu de PPA, RIA, SK, fornecedor e serviços confiantes.

Análise

Pesquisadores acharam estrutura matemática em RSA de biblioteca Infineon. Common Criteria avalia produto e configuração definidos, não todo ataque futuro. A Estônia separou documento e confiança digital e renovou chaves, inclusive remotamente. O acordo confidencial com Gemalto não é sentença sobre toda responsabilidade.

Fontes

• https://acmccs.github.io/papers/p1631-nemecA.pdf
• https://crocs.fi.muni.cz/public/papers/rsa_ccs17
• https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32014R0910
• https://news.err.ee/1608100102/gemalto-ppa-reach-compromise-over-id-card-security-weakness
• https://news.err.ee/1608415676/declassified-documents-reveal-id-card-crisis-from-decade-ago
• https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3644664
• https://www.aripaev.ee/uudised/2018/11/06/ppa-esitas-gemalto-vastu-veel-uhe-hagi
• https://www.commoncriteriaportal.org/files/epfiles/0782V2a_pdf.pdf
• https://www.ncsc.gov.uk/guidance/roca-infineon-tpm-and-secure-element-rsa-vulnerability-guidance
• https://www.ria.ee/sites/default/files/documents/2022-11/RIA-Annual-Cyber-Security-Assessment-2018.pdf
• https://www.ria.ee/sites/default/files/documents/2022-11/Roca-vulnerability-and-eID-lessons-learned-2018.pdf
• https://www.riigiteataja.ee/en/eli/528032017002/consolide
• https://www.sk.ee/upload/files/SK-CP-ID%20CARD-EN-v7_0-20171101.pdf
• https://www.sk.ee/upload/files/SK-CPS-ESTEID-EN-v2_0_20171024.pdf
• https://www.valitsus.ee/en/news/estonia-will-block-certificates-760-000-id-cards-evening-3-november