ID-kaardi tootja Gemalto Eesti esindaja: teavitasin turvariskist juba 15. juunil
ID-kaarte tootva Gemalto Eesti esindaja, Trüb Baltic AS tegevdirektor Andreas Lehmann võttis vaevaks kommenteerida sotsiaalvõrgustikus LinkedIn endise riigi infosüsteemi ameti (RIA) e-riigi peaarhitekti Andres Küti postitust, mis käsitles Eesti ID-kaardi kriisi.
Lehmann kirjutas oma kommentaaris, et ta teavitas politsei- ja piirivalveametit ning RIA-t ID-kaardi turvariskist juba 15. juunil. Ta lisab, et on olnud ID-kaardi loo juures juba selle sünnist ning kuna ID-kaardi projekt on jõudnud teismeikka, tuleb rääkida kogu tõest.
"Ma teavitasin Eesti ametiasutusi (PPA ja RIA) sellest haavatavusest 15. juunil 2017. /.../ Põhja-Euroopas paneb jaaniõhtu alguse pikale puhkuste perioodile mis kestab kuni augusti lõpuni. Sügisel pidid Eestis toimuma KOV valimised, mis hõlmasid endas ka e-valimisi oktoobri alguses. On väga häiriv, kui selline teade tuleb vahetult enne jaanipäeva. /.../ Sellest ohust rääkimine juunis oleks kindlasti rikkunud suvepuhkused. Ma saan täielikult aru, miks võimud võtsid vastu ahvatluse see asi maha vaikida," kirjutas Lehmann kommentaariks LinkedIn-is.
PPA sõnul ei vasta Lehmanni sõnad tõele. "PPA sai ID-kaardi kiibi turvariski kohta info 31. augustil riigi infosüsteemi ametilt," teatas PPA pressiesindaja Martin Luige.
Lehmann sõnas Delfile lisaks, et ta tahab hoida isiklikud sõnavõtud ja Trübi ning Gemalto seisukohad lahus, kuid kinnitas, et LinkedIn-is kirjutatu vastab kõik tõele.
"Tollel päeval (15. juunil) oli mul kella 15-16 ajal PPA-s kohtumine, kus ma neile sellest turvariskist rääkisin. Sealt andis PPA teate edasi RIA-le ja umbes kella 17 paiku rääkisin ma RIA-ga sel teemal telefoni teel. See ei ole firma seisukoht, aga mina isiklikult tunnen seda, et nad olid sellest kõigest teadlikud," ütles Lehmann.
RIA pressiesindaja Helen Uldrich kommenteeris, et "kirjeldatud turvanõrkusest, mille avastasid Infineoni toodetavast kiibist Tšehhi teadlased, informeerisidki RIAt teadlased ise augustikuu lõpus (mitte Gemalto või Infineon)" ning lisas, et vastav teave saadeti RIA intsidentide lahendamise osakonna CERT-EE osakonda.
