Majandus- ja Kommunikatsiooniministeeriumi tellimusel läbiviidud Mobiil-ID turvauuring näitab, et Mobiil-ID turvalisustaset võib pidada samaväärseks ID-kaardi omaga, samas annab uuring soovitusi konkreetsete turvaprotseduuride parandamiseks ning rõhutab, et e-valimiste läbiviimiseks tuleks Mobiil-ID teenusega kaasata kõik Eesti olulisemad mobiilioperaatorid.
Mobiil-ID on traditsioonilise ID-kaardil põhineva isikutuvastuse ja allkirjastamise edasiarendus, mille puhul mobiiltelefoni SIM-kaart on e-keskkonnas samasugune isikut tõendav dokument nagu ID-kaart. Mobiil-ID SIM-kaarte väljastavad mobiilsideoperaatorid (hetkel EMT, lisandumas on Tele2 ja Elisa) ning enne kasutamist tuleb see ID-kaardi abil aktiveerida.
Mobiil-ID peamise turvariskina võib välja tuua asjaolu, et selle kasutajate teadlikkus võimalikest turvariskidest on madalam kui ID-kaardi puhul. Nii näiteks ei adu paljud mobiiliomanikud, et oma telefoni andmine võõrastesse kätesse, olgu siis hädaolukorra või kaastundele apelleerimise puhul, võib kujutada endast olulist turvariski. Turvauuring soovitab kasutajaid harida Mobiil-ID-ga seotud riskide osas (muuhulgas www.arvutikaitse.ee ja www.infosecurity.ee vahendusel), et oma mobiiltelefoni, veel vähem Mobiil-ID PIN-koode ei antaks kunagi kellelegi teisele. Võimalusel soovitatakse mitte teha Mobiil-ID toiminguid avalikus kohas, kui aga siiski tehakse, jälgida ümbrust võimalike ründajate suhtes. Samuti tuleks Mobiil-ID-ga seotud elektroonilise identiteedi kuritarvitamine seadusandlikult võrdsustada ID-kaardi kuritarvitamisega.
Juhul, kui ründajal on täielik kontroll kasutaja arvuti üle, on teoreetiliselt võimalik, et ründaja saab klahvivajutuste jälgimise teel teada ID-kaardi PIN-koodi ning algatab kasutaja teadmata omaenda autentimissessiooni. See rünne on tehniliselt väga keerukas ning eeldab ID-kaardi olemasolu kaardilugejas. Mobiil-ID puhul ei ole aga niisugune rünne võimalik, sest PIN-kood sisestatakse mobiiltelefonist ning hõivatud arvutis neid ei näe.
Küll aga saab mobiilikasutajaid rünnata mitmesuguste sotsiaalsete võtetega, mis ei eeldagi sügavaid tehnilisi teadmisi. Nii võib ründaja jälgida Mobiil-ID kasutaja tegevust avalikus kohas, näiteks internetikohvikus. Valinud momendi, mil kasutaja valmistub sisenema mõnesse Mobiil-ID toega keskkonda, sisestab ründaja hoopis ise rünnatava andmed (mobiiltelefoni numbri või isikukoodi) keskkonda, mida tahab kuritarvitada, ja vajutab nuppu “Saada” veidi enne rünnatavat. Too näeb seepeale oma mobiiltelefoni ekraanil autentimissoovi, ning arvates, et seda küsib rakendus, millesse ta ise tahtis siseneda, sisestabki PIN-koodi, jättes sealjuures tähele panemata, et rakenduses kuvatav ja mobiiliekraanil näidatav kontrollkood ei lange kokku. Seepeale avaneb hoopis ründajal ligipääs võõrastele andmetele ning tal võib olenevalt kasutaja kogemusest olla mitu minutit aega tegutsemiseks.
Samamoodi võib kasutajale saata ka allkirjastamispäringu – jällegi, valides momendi , mil too valmistub allkirjastama mõnd endale vajalikku dokumenti, või lootes lihtsalt kasutaja rumalusele ja kergemeelsusele – täiesti võimalik, et nii mõnedki mobiiliomanikud ei süvenegi teadetesse, mida telefon neile saadab, vaid vajutavad lihtsalt OK ja sisestavad PIN-koodi. Rääkimata sellest, et nad kontrolliksid allkirjastamispäringu kontrollkoodide kokkulangevust. Võimalike vastuabinõudena soovitab turvauuring nõuda allkirjastamisrakendustes enne allkirjastamist ka kasutaja autentimist ning näidata kasutajale alati ka allkirjastatud faili.
Turvauuringus käsitletakse ka võimalust, et ründaja saab kaugkontrolli kasutaja telefoni üle ning võib seal omaniku teadmata algatada autentimis- või allkirjastamispäringuid. Tõepoolest, esimene mobiiltelefonide viirus ilmus 2004. a. ja seni pole väga suuri viirusepuhanguid või kahjusid täheldatud. See ei tähenda, et kahjud poleks võimalikud, kuid mobiiltelefonide ebaturvalisusega kaasnevad riskid on praegu kindlasti suurusjärke väiksemad kui arvutite ebaturvalisusega kaasnevad riskid. Sama võib öelda ka arvutite puhul. ID-kaarti võime esialgu lugeda turvaliseks, sest arvutite tugev hõive, mille puhul ründaja saab teha suvalisi tegevusi kasutaja arvutis, ei ole üldiselt levinud. Kui see olukord peaks muutuma, siis muutuvad ebaturvaliseks mitte ainult ID-kaart ja Mobiil-ID, vaid kõik Interneti põhised teenused.
Mobiiltelefoni kasutamisel võib tekkida olukordi, kus kasutajal on vaja anda üle nii telefon, SIM-kaart kui ka SIM-kaardi PIN-kood (näiteks andes telefoni remonti, et kätte saada kontaktide nimekiri). Kasutajal aga ei ole mingit põhjust välja anda oma Mobiil-ID PIN-koode. Küll on siin ilmselt võimalikud sotsiaalset tüüpi ründed, analoogiliselt muuhulgas ülalpool käsitletutele.
Turvauuring analüüsis ka võimalust kasutada Mobiil-ID-d e-valimistel. Kuivõrd vajalikud tehnilised eeldused ning turvameetmed on teostatavad ning Mobiil-ID turvariskid on kas väga vähe tõenäolised või on nende suurusjärk ja mõju samaväärne ID-kaardi kasutamise riskidega, siis on Mobiil-ID kasutamine e-valimistel üldjoontes aktsepteeritav. Samas võib tekitada kahtlusi hääletamise ühetaolisuse nõude täitmine, mistõttu enne Mobiil-ID kasutuselevõttu e-hääletusel peaksid Mobiil-ID teenust saama kasutada kõikide Eesti olulisemate mobiilsideoperaatorite kliendid.
Mobiil-ID turvauuringu autor Jaak Tepandi on infosüsteemide sertifitseeritud audiitor ning TTÜ professor. Uuringu tellis Majandus- ja Kommunikatsiooniministeerium Vabariigi Valimiskomisjoni palvel.
Uuringu kokkuvõtet saab lugeda RISO koduleheküljelt.
