Eestis saab valimistel elektrooniliselt oma hääle anda ID-kaardi või mobiil-ID abil. Paljudes avalikes teenustes on võimalik end autentida ka Smart-ID rakendust kasutades, seetõttu võib tekkida küsimus, kas edaspidi võiks võimaldada ka Smart-IDga hääletamist. Seda teemat arutas ka Vabariigi Valimiskomisjon, kelle 20. mail toimunud koosoleku protokollis märgiti, et 2021. aasta valimistel Smart-ID kasutamist ei toetata. Artiklis on välja toodud mõned Smart-ID erisused võrreldes seniste e-hääletamisel kasutatud isikutuvastuse ja allkirjastamise viisidega, mis aitavad seda otsust paremini mõista.
1. Smart-ID on rahvusvaheliselt kasutatav rakendus
Smart-ID rakendus on sertifitseeritud Euroopa Parlamendi ja Euroopa Liidu Nõukogu määruse alusel (Electronic Identification, Authentication and Trust Services ehk eIDAS) ning see vastab kvalifitseeritud allkirjastamisvahendi tasemele. Teisisõnu vastab Smart-ID kui elektroonilise allkirjastamise vahend ELis paika pandud kõrgetele turvanõuetele, seda auditeeritakse regulaarselt ning sellega antud allkirja tuleb tunnustada ka teistes Euroopa riikides. Lisaks Eestile on Smart-ID laialt kasutusel Lätis ja Leedus, ent kui Eestis on kõik Smart-ID kontod ühesuguse kõrge turvatasemega, siis Lätis ja Leedus on kasutusel ka nõrgema turvalisuse tasemega, nn basic Smart-ID, mille kasutusvõimalused on piiratumad. Igal juhul võib arvata, et kuna Smart-ID kasutusala on Eestist laiem, võib küberkurjategijatel olla ka rohkem motivatsiooni töötada välja efektiivseid ründe- ja ülevõtmismeetodeid.
2019. aasta kevadsuvel õnnestus kurjategijatel luua mitukümmend Smart-ID libakontot nii Eesti kui ka teiste Balti riikide elanike nimel ning mitmel juhul nende abil ka ülekandeid teha (mobiil-ID ega ID-kaardi puhul pole sellised pettused õnnestunud). Kui Eesti tunnustaks Smart-IDd hääletamisvahendina ja küberkurjategijatel õnnestub rünnata sama toote vähem turvalist varianti teistes riikides, võib see kaudselt heita halba varju ka meie e-valimistele.
2. Smart-ID ei ole riigi väljastatav isikut tõendav dokument
Smart-ID juriidiline staatus erineb oluliselt mobiil-ID ja ID-kaardi omast. Viimased kaks on riigi poolt isikut tõendavate dokumentide seaduse alusel välja antavad dokumendid. Smart-ID on eraettevõttele kuuluv isikutuvastuse ja digitaalse allkirjastamise rakendus, mille arendaja ega tellija ei ole riik. Seejuures on riik hinnanud selle toote piisavalt usaldusväärseks, et lubada inimestel end Smart-IDga autentida paljudes avalikes teenustes (nt eesti.ee portaal, maksuamet ja paljud teised).
Smart-ID kasutuse laiendamine lisaks praegustele avalikele teenustele ka elektroonilisele hääletamisele oleks aga põhimõtteline muudatus. Hääleõigus valimistel on erinev näiteks õigusest deklareerida makse või vaadata oma andmeid rahvastikuregistrist – see on demokraatlikus riigis keskse tähtsusega põhiõigus. Oma häälega mõjutab inimene otseselt riigi valitsemist ja ühiskonnaelu korraldamist tervikuna. Smart-IDga hääletamise võimaldamisel oleks uuenduslik ja erinev just see, et mobiil-IDd arendab ja kontrollib riik, Smart-IDd aga mitte, ning tulevikus võib Smart-ID kõrval turule tulla teisigi samalaadseid rakendusi. Kui riik loobuks nõudest, et valida saab ainult riigi välja antud dokumendiga, tuleks paika panna mingid muud väga selged kriteeriumid, mille alusel erasektori lahendusi hinnata.
3. Smart-ID väljastamise viise on mitu, kas need kõik on ühtmoodi turvalised?
Smart-ID konto loomiseks on neli võimalust. Tuleb alla laadida vastav rakendus ning isikustada see kas ID-kaardi või mobiil-ID abil, külastada pangakontorit ja tõestada oma isikut dokumendi alusel või biomeetria abil.
Biomeetriline isikustamine on võimalik juhul, kui inimene ei loo Smart-ID kontot esimest korda, vaid teeb aegunud konto asemele uue või loob täiendava konto uude seadmesse. Biomeetrilise isikustamise võimalus tekkis alles 2020. aasta veebruari lõpus, seega pole Eestil veel piisavalt kogemusi, mis selle täisautomatiseeritud meetodi usaldusväärsust kinnitaks või ümber lükkaks.
ID-kaart ja mobiil-ID on riigi välja antavad dokumendid ning nende abil oma kontot isikustades osaleb riik konto loomise protsessis vähemalt ühe osapoolena. Biomeetrilise isikutuvastuse puhul on vaja passi ning „näokontrolli“ teeb ära telefonis olev rakendus kaamera abil. Pangas Smart-ID kontot luues on samuti vaja näidata isikut tõendavat dokumenti, mille õigsust kontrollib pangateller.
Kõigi Smart-ID konto loomise viiside puhul on niisiis eelduseks riigi välja antud dokumendi olemasolu, ent täiendavat füüsilist isikutuvastuskontrolli riigiasutuses ette nähtud ei ole. Samuti ei ole võimalik eristada, millisel eelnimetatud moel konkreetne konto loodi. Tinglikult võib öelda, et riigile kõige mitteomasem on konto loomine pangakontoris. Biomeetriline isikustamine on aga veel nii uus lahendus, et selle turvalisust ja võimalikke riske ei ole võimalik terviklikult hinnata ̶ vastavaid kriteeriume ja nõudeid pole Eestis veel välja töötatud.
4. Smart-ID tulevik ei ole riigi kontrolli all
Nagu juba välja toodud, kuulub Smart-ID teenus eraettevõttele. Seejuures pakub sama ettevõte praegu ka sertifikaatide kehtivuse kontrolli teenust mobiil-ID-le ja ID-kaardile, mis on vastavalt hädaolukorra seadusele elutähtis teenus. Lihtsalt öeldes – mobiil-ID ja ID-kaardi kasutamine sõltub niigi ühe eraettevõtte teenustest ning selline avaliku ja erasektori koostöö ning vastastikune sõltuvus tehnoloogia arendamisel on tavapärane ja igati tervitatav. Riigi seisukohalt on aga oluline, et ettevõtte usaldusväärsuse muutudes või mõne kriitilise turvanõrkuse ilmnedes on riigil võimalik kiiresti ja jõuliselt sekkuda. Nii tehti näiteks 2017. aasta ID-kaardi kriisi ajal, ent seda võimaldas suuresti just asjaolu, et ID-kaardi puhul on tegemist riigi enda tootega. Nii riigi sekkumine kui ka selle vajalikkuse hindamiseks õige info saamine võib täielikult erakätes oleva toote puhul olla märksa keerulisem.
5. Smart-IDga valida ei saa, aga mis saab edasi mobiil-IDst?
Mobiil-ID tuleviku osas oleme võtnud seisukoha, et igal inimesel peab olema võimalik omada kahte erinevat riigi väljastatavat elektroonilise identiteedi vahendit. Seni on nendeks olnud ID-kaart ja mobiil-ID ning nii jääb see vähemalt kuni 2021. aasta lõpuni. Praegu on koostöös politsei- ja piirivalveametiga kaalumisel erinevad uued lahendused, mis võiks tulevikus mobiil-IDd asendada. Sellist olukorda ei teki, kus ainsaks riigi väljastatavaks eID vahendiks jääb ID-kaart. Seega saab ka järgmistel kohaliku omavalitsuse valimistel 2021. aastal e-hääletada kasutades vähemalt kahte erinevat elektroonilise identiteedi vahendit.
SK Solutionsi andmetel on Eestis kasutusel ligikaudu 508 900 Smart-ID kontot ja ligi 235 000 inimesel on Mobiil-ID. Umbes 20%-l kasutajatest on olemas mõlemad rakendused.
Mark Erlich, elektroonilise identiteedi osakonna juhataja