Estônia cancela 760.000 cartões de identidade por falha de segurança

Imagem de um vídeo promocional sobre os cartões de identidade estonianos encontrado no site do governo e-Estonia.com.

[Todos os links levam a páginas em inglês, exceto quando indicado em contrário]

No dia 4 de novembro de 2017 autoridades da Estônia desabilitaram mais de 760.000 cartões de identidade eletrônicos (em português) por causa de uma vulnerabilidade na segurança que pode ter comprometido cartões de identidade emitidos entre 16 de outubro de 2004 e 26 de outubro de 2017 e, potencialmente, de datas anteriores.

A Estônia, mais do que outros países, depende de tecnologia para muitos dos seus serviços básicos, incluindo receitas médicas, votação, transferências bancárias e assinaturas eletrônicas. Na prática, 98% dos estonianos têm um cartão de identidade válido para viagens dentro do continente europeu, além de permitir o acesso a planos de saúde e pagamento de impostos. Cartões de identidade com chip foram introduzidos em 2002 e se tornaram o alicerce dos serviços digitais do país. A Estônia tem uma das mais rápidas conexões de banda larga do mundo, além de uma população com grandes competências digitais, amplo acesso à internet e administração pública eletrônica.

O certificado dos cartões bloqueados será substituído por uma nova e mais segura versão, em um esforço nacional para lidar com o risco de violação de privacidade. Esses certificados foram desativados após um grupo de pesquisadores da República Checa identificar uma falha de segurança no microchip dos cartões, o que pode ter levado a uma grave violação de dados pessoais dos cidadãos. Os pesquisadores descobriram que os chips instalados nos cartões de identificação emitidos entre 16 de outubro de 2014 e 26 de outubro de 2017 (e talvez até mesmo a partir de 2012) estavam vulneráveis à invasão dos sistemas criptográficos e, possivelmente, ao roubo de identidade.

Os chips foram fabricados pela Infineon, uma empresa de microeletrônica com instalações nos EUA e na Alemanha e que oferece serviços de identificação oficial, segurança móvel e segurança integrada e computação confiável (em português).

O governo estoniano diz que não houve infiltração e que as autoridades desabilitaram os cartões afetados por precaução, de forma a garantir que não haja danos aos dados dos cidadãos. Para assegurar que os serviços do e-governo continuem a funcionar, um número estimado de 35.000 pessoas que usam seus cartões para trabalhar, como funcionários públicos e médicos, tiveram seus certificados atualizados para uma versão mais segura primeiro.

No dia 2 de novembro de 2017, o primeiro-ministro Jüri Ratas declarou:

E-riigi toimimine püsib usaldusel ning riik ei saa lubada Eesti ID-kaardi omaniku identiteedi vargust. Praeguse teadmise järgi ei ole e-identideedi vargust aset leidnud, kuid PPA ja RIA ohuhinnang näitab, et see oht on muutunud reaalseks.

O funcionamento do e-Estado é baseado em confiança e o governo não pode permitir o roubo da identidade do dono de um cartão de identificação estoniano. Até onde sabemos não houve furto de informações, mas a análise de risco do Conselho de Polícia e Guarda da Fronteira [agência governamental dentro do Ministério do Interior responsável pela segurança nacional da Estônia] e da Autoridade de Sistema de Informação indica que essa ameaça é real.

A ameaça de segurança detectada pelos pesquisadores checos não está limitada aos cartões de identidade estonianos. É provável que todos os chips produzidos pela Infineon durante aquele período contenham a mesma falha. Desta forma, sistemas informatizados em todo o mundo que usem os chips da Infineon também correm o risco de invasão. A vulnerabilidade chamou a atenção para os grandes desafios de segurança que acompanham a digitalização de cartões de identidade nacionais e seus sistemas.

Discussões sobre o assunto nas redes sociais incluíram comentários do ex-presidente da Estônia (2006-2016) Toomas Hendrik Ilves no Twitter, sugerindo que a “verdadeira história” é sobre a Gemalto, fabricante dos cartões com sede em Amsterdã, que parece ter tomado conhecimento da vulnerabilidade em fevereiro, mas não compartilhou essa informação com os clientes. Desde 2001 os cartões de identidade eletrônicos da Estônia são produzidos pela Trub AG e sua incorporadora Gemalto AG, subsidiárias sediadas na Suíça que usam tecnologia Infineon.

O ex-presidente Ilves alegou que a empresa dos Países Baixos “informou aos usuários comerciais, mas não aos clientes (pagantes) do setor público,” incitando os jornalistas a pesquisar mais profundamente a questão.

Primeiro tweet: Deixo a cargo dos jornalistas que até aqui focaram nos clientes e não em quem está errado, como se nós fôssemos donos de um Corcel, em vez da Ford.  https://twitter.com/kentindell/status/928237326601506816

A identidade estoniana não é a única feita pela Gemalto. Porém, nenhum outro governo se manifestou. Provavelmente porque os cartões são emitidos, mas não usados.

Primeiro tweet: A verdadeira história é sobre como a fabricante dos chips, Gemalto, descobriu a vulnerabilidade em fevereiro mas não notificou os clientes https://www.bankinfosecurity.com/researchers-speed-up-infineon-encryption-key-attack-a-10440 

Ou talvez a história seja a de um governo simpático à tecnologia que respondeu rápida e ponderadamente a uma ameaça de segurança criptográfica. Isso é novidade!

A atitude da Estônia de trocar os certificados dos cartões também atraiu a atenção de entusiastas da informática nas regiões central e leste da Europa. Em uma discussão no Facebook, um especialista sérvio em TI que mora na Estônia explicou, nos comentários, o ângulo do usuário final:

Obavestili su nas pre nekoliko meseci (dok je rizik bio samo teoretski), a pre par nedelja su pustili update sertifikata kroz zvaničnu app (ne mora da se menja ID). Trenutno ume da štuca autorizacija, ali imamo i rezervni način autorizovanja (preko mobilne app) tako da nismo blokirani.

Nós fomos notificados há meses (quando o risco era apenas teórico) e algumas semanas atrás foram divulgadas atualizações dos certificados através de um aplicativo oficial (para que não seja necessário trocar de ID). No momento, o processo de autorização ainda tem alguns contratempos, mas existe um método de backup via aplicativo móvel, então não estamos realmente bloqueados.

Inicie uma conversa

Colaboradores, favor realizar Entrar »

Por uma boa conversa...

  • Por favor, trate as outras pessoas com respeito. Trate como deseja ser tratado. Comentários que contenham mensagens de ódio, linguagem inadequada ou ataques pessoais não serão aprovados. Seja razoável.