e-dowód po estońsku: od sukcesu do kryzysu… i z powrotem

Estonia od lat słynie ze sprawnego wdrażania rozwiązań z dziedziny e-administracji publicznej, jednak ostatnie miesiące nie wyglądały pod tym względem najlepiej. Kraj musiał zmierzyć się z potężnym zagrożeniem informatycznym – gdy okazało się, że technologia, na której oparto nowo wdrażany elektroniczny dowód osobisty, jest podatna na atak hakerski. Zarówno źródła problemu, jak i sposób rozwiązania kryzysowej sytuacji mogą być wiedzą cenną także dla innych państw pracujących nad implementacją technologii e-administracji.

Początki tej historii sięgają 2014 roku, kiedy to w Estonii rozpoczęto wdrażanie nowego typu e-dowodu, opartego w warstwie sprzętowej na chipie holenderskiej firmy Gemalto – dzięki temu dokument i powiązane z nimi usługi e-administracji miały działać szybciej, efektywniej i oferować więcej możliwości niż wcześniej (gwoli ścisłości: nie był to pierwszy estoński e-dowód – raczej kolejne wydanie „sprzętowe”).

Warto wspomnieć, że estoński system e-administracji pomyślany jest kompleksowo, a elektroniczny dowód osobisty jego kluczowym elementem – stanowi swego rodzaju klucz do systemu, pozwalający obywatelom na uwierzytelnianie się i korzystanie z wszelkich usług i rozwiązań dostępnych w ramach rządowej infrastruktury. Wystarczy podłączyć go do odpowiedniego czytnika (np. podłączonego do komputera wyposażonego w odpowiednie oprogramowaniem i dostęp do Internetu), by móc składać i odbierać wnioski, dokonywać płatności, transakcji bankowych, korzystać z podpisu elektronicznego czy nawet głosować online. E-dowody siłą rzeczy muszą więc oferować wysoki poziom bezpieczeństwa – i teoretycznie w przypadku rozwiązań wykorzystanych w Estonii tak właśnie było. Karty wykorzystujące układ Gemalto używają 2048-bitowych kluczy publicznych i prywatnych: pierwszy używany jest do uwierzytelniania użytkownika, drugi – do podpisywania dokumentów. Każdy z nich chroniony był niezależnym kodem PIN – użytkownik podaje tylko ten, który był potrzebny w danej usłudze lub sytuacji.

Niestety, kilka miesięcy temu okazało się, że technologia Gemalto zawiera błędy w zabezpieczeniach, które teoretycznie pozwalają na nieautoryzowane pozyskanie danych z estońskich e-dowodów bez konieczności podawania jakichkolwiek informacji uwierzytelniających. Skala zagrożenia była ogromna – teoretycznie możliwe było wykradzenie „elektronicznej tożsamości” każdego zarejestrowanego użytkownika systemu. Dowiodła tego grupa czeskich specjalistów ds. bezpieczeństwa, którzy natychmiast przekazali komplet informacji nt. swojego odkrycia producentowi układów. Atak był stosunkowo trudny do przeprowadzenia – wymagał m.in. zastosowania sprzętu o ogromnej mocy obliczeniowej – ale jak najbardziej realny.

Władze w Tallinie zareagowały prawidłowo – na początku września zwołano specjalną konferencję prasową, na której poinformowano o naturze i skali zagrożenia. Przedstawiciele rządu zdecydowali się również na zablokowanie dostępu do bazy danych kluczy publicznych ponieważ znajomość takiego klucza była bowiem niezbędna do przeprowadzenia skutecznego ataku. Działanie to ograniczyło znacznie funkcjonalność całego systemu e-administracji, ale jednocześnie skutecznie zabezpieczyło użytkowników.

Z oficjalnych informacji wynika, że 25 października zakończył się proces wdrażania w rządowej infrastrukturze aktualizacji certyfikatów i oprogramowania, który – zdaniem estońskich władz – skutecznie rozwiązał problem po stronie rządowej i trwale zablokował możliwość przeprowadzania ataków na e-dokument. To jednak nie był koniec – niezbędne było również zaktualizowanie wszystkich wydanych do tej pory e-dowodów. Oznaczało to, że każdy właściciel dokumentu musiał się stawić w urzędzie w celu zastosowania poprawki lub skorzystać z opcji aktualizacji zdalnej.

Początkowo cały proces przebiegał z problemami, co sprawiło, że wiele osób postanowiło odłożyć całą operację na później. Problem w tym, oznaczałoby to przedłużanie zagrożenia – dlatego władze zdecydowały się na radykalny krok: ogłoszono, że 3 listopada zostaną zablokowane certyfikaty e-dowodów, które nie zostały jeszcze zaktualizowane. Decyzja ta w praktyce oznaczała odcięcie od usług e-administracji ogromnej liczby Estończyków (karta z zablokowanym certyfikatem mogła posłużyć tylko jako klasyczny dowód osobisty – np. do legitymowania się). Kłopot w tym, że dla kilkudziesięciu tysięcy Estończyków karty były absolutnie niezbędne do pracy – są one niezbędne, aby do wykorzystywanych w pracy systemów mogli zarejestrować się m.in. lekarze czy pracownicy sądów i urzędów.

Ostatecznie jednak problem udało się rozwiązać – na początku listopada poinformowano, że proces zdalnego aktualizowania kart przebiega na tyle sprawnie, że całą operację można uznać za udaną. Dość wspomnieć, że tylko w ciągu 10 dniu poprzedzających 6 listopada ponad 210 tys. obywateli Estonii dokonało skutecznej aktualizacji swoich kart.