Из-за уязвимости в формировании криптографических ключей Эстония отменила действие сотен тысяч национальных ID-карт

    image

    В начале ноября правительство Эстонии приостановило действие сотен тысяч национальных ID-карт. Ими можно пользоваться в качестве удостоверения личности в обычной жизни, но владельцам этих карт закрыт доступ к электронным ресурсам, процедура аутентификации в которых осуществляется при помощи ID чипа карточки. Проблема в том, что при эксплуатации уязвимости криптографического ключа злоумышленник может деперсонализировать владельца этого ключа.

    Несмотря на то, что уязвимость раскрыли три недели назад, в Эстонии решили повременить с приостановкой действия электронных систем, включая системы голосования. Местные СМИ утверждают, что сделано это было для того, чтобы без проблем завершить процедуру выборов, ведь за кандидатов голосовали при помощи карт. Если бы страна отменила их действие до выборов, то последние пришлось бы признать несостоявшимися, на что правительство страны не пошло.

    Как полагают специалисты по информационной безопасности, раскрывшие уязвимость три недели назад, ее наличие позволяет злоумышленнику взломать 1024-битный ключ шифрования всего за 25 минут при помощи облачного инстанса. Цена взлома в этом случае обходится в $38. Для взлома 2048-битного ключа требуется уже $20 000 и девять дней.

    Изначально власти Эстонии заявляли, что уязвимость не слишком опасна, поскольку ее эксплуатация — сложный и недешевый процесс. Представители правительственного аппарата заявили следующее: Масштабные атаки вряд ли возможны вследствие высокой стоимости атаки и большого объема вычислительных мощностей для генерации частного ключа".

    Подвержены уязвимости смарткарты компании Gemalto, чей офис располагается в Швейцарии. Ее карты продаются более десяти лет, их используют для двухфакторной аутентификации сотрудники корпорации Microsoft и других компаний. На днях стало известно, что уязвимость, которая привела к приостановке действия эстонский карт существует с 2008 года.

    Специалисты по информационной безопасности Дэниэл Бернштейн и Таня Лэнж заявили, что им удалось использовать менее дорогой способ эксплуатации уязвимости, чем заявлялось ранее. Кроме того, этот способ и гораздо более быстрый, чем тот, о котором говорилось выше. Насколько можно судить, этот же способ могут использовать и злоумышленники — часто в командах киберпреступников работают профессионалы высочайшего класса.

    По словам эстонского правительства, для того, чтобы избежать проблем с кибербезопасностью, было решено приостановить действие всех цифровых ID, как граждан, так и «электронных резидентов» до момента получения нового цифрового сертификата, который не подвержен уязвимости. Это мера предосторожности, которая позволяет избежать использования потенциальными злоумышленниками данных граждан страны.

    В прочем, уязвимость актуальна не только лишь Эстонии — как уже писалось выше, Microsoft и другие компании, где используются карты того же производителя, что и у карт «цифровых ID» тоже меняют сертификаты. Но Эстония больше любой корпорации, так что и проблемы здесь серьезнее. «Насколько мы знаем, пока нет случаев воровства электронных ID, но… эта угроза реальна. Путем блокирования сертификатов карт страна может убедиться в их безопасности», — говорится в заявлении премьер-министра страны Юри Ратаса. Он также добавил, что решение далось нелегко, но оно было практически единственным из всех возможных.

    Проблема касается не всех цифровых ID, а лишь тех из них, которые были выпущены в период с 16 октября 2014 года по 25 октября 2017. В это число входят абсолютно все карты электронных резидентов, большинство которых приняли решение использовать возможность «цифрового гражданства» для того, чтобы открыть новое дело.

    Хуже всего то, что цифровые сертификаты жители страны используют для получения медицинских услуг, взаимодействия с налоговой службой, начисления зарплат сотрудникам и других похожих задач. Карточки можно не выбрасывать, а просто обновить электронный сертификат, который содержится в чипе. Но если учесть, что центров не так много, то одновременно сотни тысяч сертификатов обновить просто невозможно.

    Решение правительства приостановить действие цифровых карт затронуло, в частности, компании, которые предоставляют бухгалтерские услуги. И это случилось как раз перед выплатой заработных плат и пенсий. В этот же период времени работодатели перечисляют в казну налоги с прибыли. Компании, работа которых приостанавливается из-за проблем с картами, недовольны.

    image

    «Разумеется, виновато государство, если эстонец в своей родной стране не может понять, что ему надо делать. И государство просто принимает решение прекратить работу ID-карт», – заявил председатель правления бухгалтерской компании Leinonen Ларс Петтер Лейнонен.

    Проблема неактуальна для mobiil-ID и выданных до октября 2014 года карт. Карты эстонцы меняют двумя способами — электронным путем или в полиции. По данным Департамента государственной инфосистемы (RIA) к вечеру пятницы сертификаты ID-карт с риском безопасности обновили лишь 62 000 человек. У полицейских департаментов выстроились огромные очереди. Правительству пришлось ввести режим работы центров 7/7. То есть центры работают без выходных.

    По мнению специалистов по информационной безопасности, злоумышленники могут снизить затраты на расшифровку кода, а также уменьшить время на проведение этой операции. При желании киберпреступники могут купить специализированное аппаратное обеспечение, оснащенное GPU, программаторы, специализированные чипы и самостоятельно создать системы для деперсонализации владельцев карт. Также информацию карт можно использовать в ходе того же голосования. На данный момент количество подверженных уязвимости карт таково, что злоумышленники могут использовать данные 10-% избирателей, а то и больше.

    Премьер-министр Эстонии Юри Ратас заявил, что над устранением уязвимости эстонских ID-карт работает большое количество людей, и решение проблемы с каждым днем все ближе.

    Впрочем, Эстония далеко не единственная страна, чьи национальные карты подвержены названной уязвимости. Аналогичная проблема актуальна и для Словакии, где специалисты по кибербезопасности сейчас проводят проверку собственных электронных ID страны.

    Собственно, уязвимость актуальна для большого количества smart-карт ряда производителей. В большинстве своем в чипах этих карт используется протокол шифрования RSA. Выходом из положения может быть работать с иным протоколом. Эстонское правительство заявило, что вскоре электронные карты будут защищены при помощи эллиптической криптографии.

    Метод эллиптической криптографии заключается в использовании алгебраических свойств эллиптических кривых. Он был предложен в 1985 году Нилом Коблицем и Виктором Миллером. В методе роль основной криптографической операции выполняет операция скалярного умножения точки на эллиптической кривой на данное целое число, определяемая через операции сложения и удвоения точек эллиптической кривой. Преимущества этого метода для всей сферы информационных технологий бесспорны, поскольку шифрование такого типа быстрое, плюс используется небольшая длина ключа.

    Что касается RSA, эта криптосистема тоже достаточно надежна, поскольку составное число достаточно сложно разложить на простые множители. Но ошибка производителя, как в случае с ID карт Эстонии может стать причиной упрощения задачи расшифровки защищенных ключей. Если же использовать алгоритмы на эллиптических кривых, то исключается возможность использования алгоритмов для решения задачи дискретного логарифмирования в группах их точек. К слову, АНБ использует как раз алгоритмы эллиптической криптографии, защищая свои документы относительно короткими 384-битными ключами. Возможно, метод эллиптической криптографии будет использоваться в дальнейшем вместо RSA.

    Что касается Эстонии, правительство надеется вернуть все на круги своя уже через несколько дней. В частности, на этой неделе возобновляется дистанционное обновление сертификатов ID карт. Это самый быстрый способ, который позволяет избежать необходимости посещения центров по работе с картами.
    Поделиться публикацией
    AdBlock похитил этот баннер, но баннеры не зубы — отрастут

    Подробнее
    Реклама
    Комментарии 18
    • +2
      Пока что лучше всего пытаться обновить ближе к ночи. Днём стабильно показывает, что сервер перегружен.
      image
      Ещё добавлю, что отозваны только сертификаты (идентификация и дигитальная подпись), то есть ИД-карту можно по прежнему можно использовать как документ, в том числе и для пересечения границы.

      А премьера всё же зовут Юри, а не Джури. (Disclaimer: автору об этом сообщил)
      • 0
        Мне вот интересно, чем отличается обновление сертификатов в домашних условиях от обновления их же на месте в полиции?
        • 0
          ОЧЕНЬ НАДЕЮСЬ что в полиции отличается уровнем поддержки, в том смысле что в полиции стоит свой сервер выдачи сертификатов, который не будет перегружен как глобальный, нормально установлен софт (который порой ставится ну очень туго, пару лет назад была целая эпопея со звонками в поддержку, «переустановите шиндовс» и долгими поисками одного C++ рантайма за 2008 год, который криво стоял в системе что софт айди карты не мог его переставить и сдыхал из-за этого) и кардридеры чуть лучше магазинного китая.
        • 0
          Обновил в ночь с четверга на пятницу, проблем не было. Видимо, в удачное время попал.
          • 0
            Вот я сейчас обновил без проблем.
            А в ночь с 1го на 2ое программа послала меня в полицию.
          • 0
            Обновлялся ещё до всего этого ажиотажа (27 октября), ушло менее 10 мин на 2 карты.
          • –10

            'Разумеется, виновато государство, если эстонец в своей родной стране не может понять, что ему надо делать' — нет ли тут фашизму? Я так помню местные немцы все на историческую родину отчалили, подальше от самой электронной страны в мире.

            • 0
              Может и мы когда нибудь до этого доживем, и можно будет онлайн отследить за какого претендента голосовал и куда ушел «голос».
              • 0
                С этим вот проблема. Отследить куда ушёл голос можно, но не факт, что правящие круги не используют больше одной бд. Вам показывают одну, а официально используют другую. А для контролирующих органов вобще третью.
                • 0
                  Подпись одна и она на 1 hash. Две базы, три, хоть 10 — hash будет разный.
              • 0
                Задавая себе вопрос, почему многие функциональные части государства как типа общества не переведены в цифровой мир, я прихожу к тому, что не хватает на свете людей, которые могут сделать сразу и сразу хорошо. В результате таких вот ошибок недостаточно (относительно не других людей, а технологий) квалифицированных людей, цифровое будущее может оказаться провальным.
                • +2

                  Проблема немного в другом, людей хватает — платить не хотят. Недавно в эстонских СМИ как раз была на эту тему новость, руководитель гос-инфосистем увольнялся и рассказал много веселых вещей — что в департамент сложно набрать новые кадры потому-что зарплата неконкурентоспособная по сравнению с частными фирмами.


                  Заодно он слил выдержку перлов из чиновничьей переписки
                  • У нас нет денег, чтобы протестировать услугу. Если она не будет нормально работать, то мы все равно об этом узнаем.
                  • Я особо туда и не вкладывал, большая часть поступила из структурного фонда ЕС.
                  • Государственный стартап — хорошая мысль, государство ведь привыкло постоянно терять деньги.
                  • Я об этом ничего не знаю, я ведь всего лишь работаю здесь.
                  • Мы не компетентны оценивать, насколько правильно мы оценили ситуацию.
                  • Я намного более осведомлен об этом, ведь я работаю в министерстве.
                  • Сделайте эти киберпункты очень простыми, но в то же время должно создаваться впечатление, что министр хорошо знает предмет.
                  • Не надо мне объяснять ситуацию! Мне нужно принять решение, а не разобраться в сути.
                  • Жду подробное мемо, 5-6 страниц, но учитывайте, что из них будут прочитаны лишь первые три-четыре строчки.
                  • Я согласен, что закон сформирован по-дурацки, что он не выполняет своего назначения и что его нужно менять. Правовой отдел может занести его анализ в план на следующий год или еще через год.
                  • 0
                    Я с Вами согласен, это уже корень проблемы. Ничего извне не стимулирует людей становиться более квалифицированными. В основном деньги, которых нет)
                  • 0
                    Во многих подобных сферах, чтобы внедрить полноценное цифровое решение, надо сначала хорошенько так поломать с хрустом.
                    Такая реорганизация предполагает изменение кадровой системы, системы передачи и хранения информации, обучение навыкам пользователей, вовлеченных в процесс на всех уровнях и тд.
                    Кто и где готов пойти на такое, когда повсеместно реорганизация понимается исключительно как сокращение штата, а имеющиеся специалисты часто заняты не своей работой, либо перегружены ею так, что им не до автоматизации, как ни парадоксально.
                    И главное у кого есть готовое решение по реорганизации на цифровых рельсах той или иной структуры? Отсюда внедрение умных электронных систем носит часто длительный характер из-за стоимости и автоматизации (без которой они никому не нужны), но это правильно, к сожалению, частный сектор, который мог бы это ускорить, занимается обслуживанием по принципу «спрос рождает предложение» ибо бизнес он такой — пугливый и скромный, ждёт пинка под зад))
                    • 0
                      Скажем так, многие наелись вашей цифры, и делают намного большие деньги в других областях.
                    • 0
                      Три недели на принятие такого решения? Эстонские чиновники очень смелые люди. Хотя не и все:
                      Изначально власти Эстонии заявляли, что уязвимость не слишком опасна, поскольку ее эксплуатация — сложный и недешевый процесс.
                      • +1
                        Проблема в том, что при эксплуатации уязвимости криптографического ключа злоумышленник может деперсонализировать владельца этого ключа.

                        Имхо термин неверный. Бывает деперсонализация данных, т.е. удаление из них личной информации. То, что можно сделать с эстонскими ключами из-за бага производителя, называется взломом, или дешифровкой, или кражей ID.
                        • 0
                          Скажите что дает обладание именно электронным удостоверением личности?… и как я понял тут просто изменяют код внутри памяти чипа?
                          перезапись внутренней памяти? тогда вопрос, а разве она не ROM?

                          Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.