Nüüd aga levib nii Facebookis kui mujal internetis järjekindlalt väide, et kaartide uuendamise käigus ei genereerita võtmeid enam mitte kaardi peal, vaid tehniliselt põhjustel väljaspool kaarti. Küsimus on mitmel korral üles kerkinud ka Eesti IT-inimesi koondavas Facebooki-grupis.

Selle väite esitajad ütlevad, et sellega on loodud võimalus, et kui võtmed genereeritakse mõnes muus RIAs või sertifitseerimiskeskuses SK asuvas arvutis, siis esiteks võib need keegi sealt ära varastada või teiseks võivad need valedesse kätesse sattuda sel hetkel, kui võtmeid arvutist kaardile kantakse. Samuti annaks see teoreetiliselt riigile võimaluse saada tagauks igasse ID-kaarti ning lahti saada sellega krüptitud failid.

“Nüüd aga pannakse elliptilise kõvera võti sinna kaardile väljaspoolt,” kirjutab anonüümne autor blogis pealkirjaga “De omnibus dubitandum” ehk “Kõiges tuleb kahelda”. “See on väga ohtlik tee. Kuidas ja kas on see turvatud?”

Autor lisab, et kuna võtmed genereeritakse väljaspool kaarti, siis tuleneb sellest ka kaartide uuendamise pudelikael.

“Võtmed genereerib väline (kas SK või RIA ruumides paiknev) kommertsseade, mille litsents ei võimalda minuti jooksul rohkem kui 10 tehingut,” kirjutab autor. “HSM (hardware security module) poolt genereeritud võtmed tuleb kõigepealt salvestada ja siis kasutajale edastada. Kas need aga ka kunagi kustutatakse või on riigil olemas kõigi vigaste kaartide kasutajate uued võtmed?”

RIA eID valdkonnajuht Margus Arm lükkas Geeniusele a antud kommentaaris sellised väited kategooriliselt ümber.

“Ei, see ei ole tõsi,” lausus Arm. “Võtmeid on alati üks eksemplar, see genereeritakse kiibil ja kiibilt teda mitte kunagi kätte ei saa. Mitte kellelgi ei saa olla sellest koopiat.”

Armi sõnul ei tulnud RIA jaoks kõne allagi võimalus, et võtmete genereerimine võiks käia kuidagi teisiti.

“Sai arutatud, üks alternatiiv oli tõesti see, et [teises arvutis] võtmed teha, aga otsustasime, et me Eestis ei võta seda kasutusele,” rääkis ta.

ID-kaardi turvanõrkuse parandamiseks oli tema sõnul kolm varianti, millest Eesti valis elliptkõverad ehk kõige keerulisema, aga kõige turvalisema tee.

Üks võimalus oli kasutusele võtta RSA 3072-bitised võtmed ja genereerida need kaardil, aga Armi sõnul Eesti ID-kaardis olev kiip nii suurt võtit ei toeta.

Teine võimalus oli RSA 2048-bitine võti ja see väljaspool kaarti genereerida, kuid see jäi ära just seetõttu, et riik ei soovinud võtmete genereerimist kaardilt välja viia.

Kolmas variant olidki elliptkõverad, mida sai kaardil genereerida ehk see lahendas turvaprobleemi ning võtmed ei pidanud kaardilt lahkuma ja seetõttu Eesti selle valiski. Küll aga tõi see endaga kaasa vajaduse ka e-teenuseid uuendada, et nad uuendatud ID-kaardiga töötaks ja seetõttu olidki alguses paljud teenused uue kaardiga kasutuskõlbmatud. Kui võtmed oleks väljaspool kaarti genereeritud, siis poleks pidanud teenusepakkujad omalt poolt midagi tegema ja kõik teenused oleksid automaatselt ka uuendatud kaardiga edasi toiminud.

Armi sõnul ei oska ta hinnata, kes ja miks valeinfot levitab. “Kas see on pahahtlikkus, ei tea,” lausus ta.

ID-kaartide uuendamise protsessist lähemalt saab lugeda RIA blogist siit.