Forening: Unødvendigt at bruge usikker Java-applet til NemID

Man kan lave det med en ganske almindelig HTML Form som har været supportet i browsere siden tidernes morgen.

Appletten giver adgang til brugerens computer, selvom det ikke er nødvendigt, til forskel fra Digital Signatur, hvor det var nødvendigt.

Dan ID har ingen fornuftig forklaring. Det er et problem når en virksomhed, som det er meningen vi skal have tillid til, giver sig selv flere rettigheder, end de reelt har behov for.

"Misbrug forudsætter, at webstedet distribuerer en Java-applet, som ikke bare indeholder NemID-login, men også indeholder kode til at spionere på brugerens pc eller installere programmer."

Og hvordan er det LIIIGE at et websted ÆNDRER en signed applet?

At det er en underlig løsning, ændrer ikke på at den applet aldrig kommer til at gøre andet end det den var planlagt til at gøre.

Jeg formoder at nemid login appletten er den samme overalt - og dvs ikke bare en eller anden jar man kan få udleveret og signe med ind i sin egen løsning.

Hvorfor er det at der i det hele taget skal bruges en applet? Jyske Netbank der benytter en tilsvarende sikkerhedsmodel, klarer sig fint uden applet?

Jeg kunne godt tænke mig et overblik over, teknik, fordele og ulemper, forsvar og kritik af NemID.

Må jeg foreslå vi samler alt tilgængelig viden om NemID, beskrevet i et let forståeligt sprog og med fyldige referencer det mest naturlige sted til den slags:

http://da.wikipedia.org/wiki/NemID

I forhold til hvor mange kommentarer der er til hver NemID artikel, må da der også være nogle fakta, som kan beskrives leksikalt.

Jeg finder det skuffende at man ikke har brugt muligheden til at skabe en ren html baseret løsning som både har en enklere arkitektur og virker på flere enheder end den java baseret. Det var rimeligt med den gamle pga certifikatet, men nu er der ingen grund til at holde fast i java.

Det var rimeligt med den gamle pga certifikatet, men nu er der ingen grund til at holde fast i java.

Det kommer nu an på hvad du mener med "gamle".

Mht. single-signon funktionen har Jyske Bank i gennem mange år vist os (hvis nogen skulle være i tvivl) at det kan klares Java, men blot med javascript, SSL og HTML.

Mht. offentlig signatur funktionen, så var det kun "rimeligt" i den gamle fordi der skulle genereres et nøgle-sæt på brugerens computer. MEN! i den gamle kunne man jo vælge 3. parts software som man evt. stolede mere på til at generere sin nøgle. I NemID er man bunden til at stole ubetinget på DanID til alt. Så selv den gamle java applet var bedre.

Jeg synes personligt også, at det er skuffende når DanID ikke vælger en ren HTML eller JavaScript-løsning, da disse ville kunne bruges på langt flere platforme. Fx var jeg vandt til at kunne checke min netbank fra mobilen, så længe jeg havde mit papkort med mig, da login-proceduren netop var klaret via JavaScript.

Jeg har svært ved at forestille mig en moderne sikkerhedsløsning, implementeret i ren HTML og JavaScript og hvor en tredje part tager sig af authentifikationen.

Problemet med HTML og Javascript er at du ikke kan se hvem der sender det til dig. Det er ikke signeret, og har du først tilladt websitet som "trusted site", som er krav ved flere sites, er disk adgang så sandelig en mulighed.

At benytte VBScripts under lignende forhold, ændre ikke oddsene til det bedre. Og er iøvrigt ikke en mulighed uden for windows.

Men hvorfor så en signeret java applet ?

Fordi du med en signeret applet har du samme sikkerhed for at udbyderen er den de påstår de er, som du har med SSL/TLS krypterede forbindelser. Det er nemlig i vid udstrækning den samme teknologi der benyttes. Og så bliver appletten til NemID i øvrigt hentet over en krypteret (SSL) forbindelse.

Det at en applet er signeret åbner, så vidt jeg husker, også for at den kan oprette forbindelser ud af det domæne den er loaded i.
Kombineret med muligheden for at oprette sikre kommunikations kanaler, gør at data kan verificeres, uden at det website man logger ind på kan se kommunikationen. Selvom de måske gerne ville.

Endelig er det at en signeret applet har disk adgang, jo ikke nyt. Det nye er at det ikke længere er den enkelte tilfældige service udbyder, med deres egen special tilpassede applet og tvivlsomme selfsigned certifikater, der bliver givet adgang til din personlige data, samt certifikat og password til din digitale signatur.

Det tror jeg nu, at jeg vil sætte pris på hver eneste gang jeg benytter mit NemID.

Et andet problem er DanID ikke tilbyder support i nogen form hvis man har problemer med deres applet på Linux.

Videnskabs Ministeriet har sammen med DanID ingået en aftale om "kun" at supportere Windows og Mac. Dvs. at hvis man ikke kan få appletten til at virke under Linux er man helt uden nogen form for hjælp.

I betragtning af at Danske Banks applet har gjort noget så tåbeligt som at matche på strengen "sun" i navnet på ens JVM, så kan man vist ikke blot sige at folk uden Windows og Mac selv har ansvaret for at deres system overholder de konkrete standarder.

Dvs. ... sådan en beslutning må da være i lodret strid med B103

Tjae.. jeg har en længere dialog med en medarbejder i IT og Telestyrelsen, hvor jeg forgæves prøver at få uddybet beslutningsgrundlaget, og det juridiske aspekter af beslutningen uden at få noget brugbart svar. I et af svarene står der bl.a.:

Beslutningen om kun at understøtte, men ikke supportere de allermindst udbredte platforme er som nævnt taget på baggrund af en afvejning af udbredelse og økonomi. FDIMs (Foreningen af Danske Interaktive Medier) kortlægning af udbredelsen af browsere og operativsystemer er lagt til grund for beslutningen.

Beslutningen om kun at understøtte, men ikke supportere de allermindst udbredte platforme er som nævnt taget på baggrund af en afvejning af udbredelse og økonomi.

Ja - det er det samme ævl, som de altid har liret af - også før B103. Det får du også hvis du spørger Danske Banks support i dag.
Spørgsmålet er om de overholder en veldefineret standard - og det er jo tydeligvis ikke givet.