Dorte Toft om 17-årigs NemID-kvaler: Vi har brug for en ID-ombudsmand

Det er et problem, at der er hægtet så megen politisk overlevelse op på, at NemID pinedød skal defineres som en succes. Det er derfor erklæret så bombesikkert, at ingen involveret kunde fra IT & Telestyrelsen eller udfører fra DanID nogensinde vil acceptere at skulle erkende en sikkerhedsbrist.

Det betyder, at hvis en persons sikkerhed bliver kompromitteret, kommer denne person til at kæmpe mod et system, der er yderst uimodtagetligt overfor anklager om sikkerhedsbrud.

"Episoden, som blev beskrevet på Version2, med en 17-årig pige, der fik adgang til en anden persons netbank med NemID, viser ifølge Dorte Toft, at NemID gør det nødvendigt med en instans til at beskytte identiteter."

Den sag skete kun fordi en medarbejder i Danske Bank "fejlede". Det havde intet direkte med nemID at gøre.

Og Dorte Toft snakker generelt om digital identitet!

øhhh nej det gør hun så ikke, men henviser specifikt til den sag, hvis du læser det ordentligt.

Det er korrekt, at ud fra den dækning, den specifikke sag har fået, er der ikke tale om, at det er NemID, der er det fejlende element.

Og så lidt alligevel: Når man tager æren for solskinnet, giver folk nemlig også en skylden for regnen. Når DanID blæser NemID op som det eneste logon, man skal tænke på, som er så sikker, at selv St. Peter bruger den som nøgle, så bliver NemID også opfattet som problemet, når NemIDs kunder (f.eks. en bank) benytter den bekræftede autenticitet af brugeren til at sende brugeren et forkert sted hen.

Hvis NemID ikke havde været designet så tåbeligt, ville det ikke være muligt for en tilfældig bankmedarbejder at give pigens NemID adgang til en anden persons netbank. Dermed er det rent faktisk NemIDs skyld.

Systemet er ikke sikkert når en enkelt af Danmarks mange tusinde bankansatte, og nok også andre folk, kan give mit NemID til en vild fremmed person.

Ingen kæde er stærkere end sit svageste led og her har man valgt en meget lang kæde hvor man burde kunne nøjes med en meget kort.

Er problemet i den sag ikke nærmere at Danske Bank åbenbart ikke check at en given memID-bruger har et cprnummer som har fuldmagt til en given konto?

Pigens memID er såvidt jeg har forstået pigens korrekte memID-login. Ikke den anden kundes login.

Dermed er det bankens sammenkobling af ID og konto der er ged i, ikke memID som såden.
- at den så har mange andre problemer er så denne sag uvedkommende.

/Henning

Det er en STOR fejl at en kode kan give adgang til alle oplysninger om en person.
Lad NemID være for staten og en anden for bakerne.

Personligt vil jeg gerne kunne takke NEJ til alt der gør min sikkerhed endnu mindre en den i forvejen er.

I skoler har de adgang til ens CPR og nogen gange kommer CPR ud sammen med klasselisten til alle i klassen. Eller når man skal snakke med det offentlige eller sågar telefonudbydere samt andre ikke ofentlige steder kræver de at få oplyst ens CPR nr. Dette en dog mens der er mange andre der kan høre det. Med tanke på hvor meget ens CPR kan bruges til er det blevet ligeså usikkert som det nu bliver at have netbank. OG ligesom med bankbøgerne og girokort, vi ikke må have mere, bliver vi nu tvunget til at bruge netbank med en alt for storpakke af muigheder, hvis koden skulle komme i de forkerte hænder.

FRI mig for krav der ikke skal gøre det sikrer/billgere for mig, men kun nemmere for det offentlige og banker/ virksomheder.

Det er endnu undgået min opmærksomhed, hvis det nogen steder er blevet fastslået om pigen har fået en andens NemID eller bare har fået knyttet sit eget NemID til en andens konto.

Hvis det sidste er tilfældet har banken da i hvert fald lavet mere end een fejl når de spærrer hendes NemID i stedet for bare at rette tilknytningen.

Det ville klæde Version2 at få afklaret dette spørgsmål, så debatten kan komme på sporet.

Et mere generelt spørgsamål om NemID er hvilke andre tjenester der tillader manuel tilknytning af NemID til andre personers data?
Hvor kan jeg se en liste over, hvilke ID der har adgang til mine bankdata, skattedata mm.?

Og for at gøre det hele lidt bedre er NemID nu på delvist Norske hænder, det giver lidt interessante perspektiver at se på.

Problemet ligger måske i, at identifikation (bankernes medvirken i udstedelse af NemId) og autorisation (bankernes tildeling af adgang til konto) ikke er tydeligt adskilt. Og at autorisationen bygger på mere eller mindre implicitte koblinger mellem NemId, CPR-numre, bankkonto og dokumenter.

Beskrivelsen tyder på at det var en autorisationsfejl i banken, og så er der kludder i beføjelser, hvis det fører til nedlæggelse af identiteten.
Og det er et problem hvis identiteten i forhold til samfundet (NemId) styres af en af de mulige anvendere (Bankerne) blot fordi de kludrer i deres eget autorisationssystem.

Så tilslutning til andre der beder om det samme - lad os få forløbet afklaret og debatten på sporet af det reele problem.

En ting er i hvert falt sikkert. Når os der læser Version2 hver dag, ser hvor problematisk det er for os at blive enige om, så er der problemer.

Problemer med et ID vi skal bruge så personligt, så vil jeg personligt ikke røre det med en ildtang. Jeg kører ned i banken og ordner mine bankforretninger.

Jeg forstår ikke dem der fortsætter at forsvare NemID efter alt den virak. Og hvor er NemID henne i denne debat ??

@Jette Hartmann. For den enkelte person er det fuldstændig ligegyldigt, om der er tale om en menneskelig fejl eller systemfejl.

Der vil altid være menneskelige fejl, lige fra at nogen får en dag eller to til at glæde sig over den ene million kroner nogen fik sat ind på kontoen ved en fejl, til den dumme fejl, som ramte den 17-årige.

Dorte: Det er faktisk ikke alene et spørgsmål om, at det for den enkelte person opleves som den samme ene sikkerhedsfejl. Det ER faktisk det samme sikkerhedsproblem set i et lidt større perspektiv.

Selv hvis DanIDs interne beskyttelse af nøgler m.v. er så sikker, som DanID hævder, så er arkitekturen omkring sikkerheden tydeligvis usikker, både på teknisk og operationelt plan: Ideen med centrale nøgler, fejlagtige procedurer for breve med nøglekort, fejlagtige procedurer for, hvordan bankernes sikrer sig, at DanID knyttes til den rigtige person, manglende tilgænglighed fra tablet PC'ere, muligheden for at DanID kan pålægges at "rette lidt" i deres applet, m.v., indgår alt sammen i det miljø, som borgernes sikkerhed skal vurderes indenfor.

Problemet er dermed, at selv om DanID isoleret set ikke ser ud til at have begået en fejl i denne sag, så viser fejlen ikke desto mindre, at borgernes sikkerhed netop skal vurderes ud fra et større perspektiv end det ser ud til, at DanID eller IT & Telestyrelsen har gjort. Der slås alene på, at NemID er sikker - men det nytter ikke, med mindre hele setup'et omkring NemID også er det.

Jeg har i dag modtaget et brev med mit nye NemID - i samme brev lå nøglekort, Nem ID information osv.

Har jeg misforstået et eller andet vedr. sikkerheden i systemet, eller skal jeg bare være glad for at det brev fandt vej til mig?

Bjørn