Græsrødder om ny NemID-løsning: Umiddelbart fornuftig - men alt for sent
Næsten to et halvt år skulle der gå, før Nets DanID nu snart lever op til kontrakten med staten om NemID.
Helt fra starten var det nemlig meningen, at borgerne skulle kunne vælge at få deres private nøgle til den dybt personlige digitale signatur bygget ind i hardware, som borgeren så havde fuld kontrol over. I stedet har danskerne haft den private del af NemID-nøglen liggende centralt på DanID’s servere.
Den 20. november lancerer DanID det nye produkt ’NemID på hardware’, og dermed får borgerne nu mulighed for at vælge en løsning, der ikke kræver fuld tillid til DanID. Det glæder Jesper Lund, der er en del af bestyrelsen i IT-Politisk Forening, og som har fulgt NemID-projektet tæt med kritiske briller.
»Umiddelbart lyder deres løsning meget fornuftigt. Din private nøgle kommer ikke til at ligge hos en tredjepart, og det er det afgørende, for så kan de ikke bruge den på dine vegne,« forklarer han.
Med ’NemID på hardware’ er den private nøgle bygget ind i en chip på et smartcard, som man forbinder til computeren via USB. Det kommer til at koste 350 kroner, hvis man vil skifte papkort ud med chipkort, men løsningen virker kun til den såkaldte OCES-del af NemID, hvilket betyder, at den ikke kan bruges til netbank.
Forsinkelsen på næsten to et halvt år, og prisen på 350 kroner, er Jesper Lund ikke tilfreds med.
»Det er selvfølgeligt noget skidt, at den rigtige løsning først kommer nu. Så har man vænnet folk til, at andre godt kan opbevare den private nøgle, og det er jo en dårlig idé. Og så skal man desuden betale for at få sin digitale signatur tilbage - efter staten har eksproprieret den,« siger han.
Digital Post genindfører problemerne
Det største problem, set med Jesper Lunds øjne, er dog, at staten i mellemtiden har indført Digital Post, som skal bruges til al kommunikation mellem borgerne og den offentlige sektor, i takt med at papirbreve bliver udfaset.
Dermed er den helt store fordel med den nye NemID-løsning lagt død.
»Det er fint nok at lave en digital signatur, så vi kan signere breve digitalt - men så får staten en rigtig dårlig ide med Digital Post, det webmail-lignende system, som de tvinger os til at bruge. Vi kommer aldrig til at sende en digital signeret e-mail til det offentlige, for det vil de ikke modtage nu,« siger Jesper Lund.
Dermed skal borgerne nu igen stole på et privat firma og centralt drevne tjenester. I dette tilfælde E-boks som står bag Digital Post.
»Vi er tilbage til udgangspunktet - at vi skal stole på en central server, som opbevarer og underskriver vores post for os. Dem, der har kontrol over serveren til Digital Post, kan i princippet agere helt på mine vegne. Det er ikke DanID’s skyld, men Moderniseringsstyrelsens,« siger Jesper Lund.
Fordi en e-mail som udgangspunkt kan læses af alle servere, den passerer på internettet, har det aldrig været tilladt at føre brevveksling med følsomme oplysninger mellem den offentlige sektor og borgeren via almindelig e-mail.
Det er nødvendigt at kryptere og signere meddelelsen, med en digital signatur, og så kan modtageren i den anden ende låse beskeden op. Da den første digitale signatur blev lanceret for over ti år siden, blev det muligt. Men hverken borgerne eller myndighederne endte med at bruge signaturen, som var låst til én bestemt computer, ret meget.
I stedet kom så i 2010 NemID, hvor den private nøgle blev opbevaret centralt, og borgerne fik tilsendt engangskoder og så kunne logge ind og lade Nets DanID bekræfte, at du var, hvem du var.
Kommentarer (15)
Jeg skal måske præcisere, at vi i IT-Politisk Forening naturligvis gerne så, at man også fik mulighed for at generere sin egen nøgle. Men chipløsningen er bestemt et godt skridt, idet DanID nu endelig forsøger at leve op til den del af kontrakten.
Vi glæder os til at se den konkrete løsning. Indtil videre har vi hørt forlydender, men der er ikke noget officielt endnu. Så vi har ikke gået de tekniske detaljer igennem endnu.
Men som Jesper siger - det er lidt lige meget, så længe man alligevel skal igennem Offentlig Digital Post.
Jørgen Elgaard Larsen
Bestyrelsesmedlem
IT-politisk Forening
-
8 -
0
"Da den første digitale signatur blev lanceret for over ti år siden, blev det muligt. Men hverken borgerne eller myndighederne endte med at bruge signaturen, som var låst til én bestemt computer, ret meget."
Den var IKKE låst til én bestemt computer. Jeg brugte min på samtlige computere jeg kom i nærheden af, uanset om det var mine egne computere eller andres. Det fungerede fint.
-
6
-
0
For at bruge den private NemID-nøgle, kræver det så at man installerer closed source software fra DanID på sin computer? Jeg har ikke kunnet se nogle detaljer om dette endnu.
Det ville for det første være meget uheldigt fordi DanID så i teorien kan læse alle ens private dokumenter på computeren.
For det andet, hvad er så garantien for at man underskriver det man tror man underskriver (og kun det), hvis det foregår i DanID's software?
-
5
-
2
For at bruge den private NemID-nøgle, kræver det så at man installerer closed source software fra DanID på sin computer? Jeg har ikke kunnet se nogle detaljer om dette endnu.
Uden at vide det med sikkerhed, mindes jeg en udmelding fra peter lind damkjær, hvor han forklarede bankernes fravær i understøttelsen med, at udbyderne skulle tilbyde parallel infrastruktur, for at kunne håndtere den nye løsning. Jeg tolker derfor dette som, at det er på udbyder side, der skal installeres software fra DanID.
-
1
-
1
Uden at vide det med sikkerhed, mindes jeg en udmelding fra peter lind damkjær, hvor han forklarede bankernes fravær i understøttelsen med, at udbyderne skulle tilbyde parallel infrastruktur, for at kunne håndtere den nye løsning. Jeg tolker derfor dette som, at det er på udbyder side, der skal installeres software fra DanID.
En ting er bankerne som bruger en separat udgave af NemID uden persistente private nøgler (netbank NemID), og vi ved at netbank NemID ikke kommer til at fungere med det nye hardware. Personligt synes jeg at det er en stor fordel at få adskilt mine netbank nøgler fra mine nøgler til offentlige systemer (hvis/når jeg bliver tvunget til at bruge NemID hos det offentlige), selvom adskillelsen ikke er så god som man kunne ønske sig det (der er ingen mulighed for permanent at blokere OCES NemID delen med private nøgler hos DanID, når man har en netbank aftale).
En anden ting er hvordan OCES NemID kommer til at fungere med NemID på hardware. Vil vi stadig få smidt DanIDs proprietære Java applet i hovedet på de websites som bruger OCES NemID? Og hvis ikke, hvordan skal det undgås?
Det ved vi om en måned hvor den tekniske løsning er klar, så det er mere hensigtsmæssigt at tage diskussionen til den tid (synes jeg).
-
3
-
0
Det ved vi om en måned hvor den tekniske løsning er klar, så det er mere hensigtsmæssigt at tage diskussionen til den tid (synes jeg).
Enig. Men når du nu i artiklen siger "Umiddelbart lyder deres løsning meget fornuftigt.", så synes jeg at det er relevant at påpege mulige gotcha's. Jeg synes ikke vi har information nok til at kunne sige om løsningen er fornuftig endnu.
-
4
-
0
Endelig - så'n en må jeg ha' - men, men, men...
For det første så kunne jeg ikke drømme om at betale 350kr for en løsning (nemid), som jeg/vi allerede har betalt én gang for over skatten.
Dernæst, hvis min OCES bliver hacket/misbrugt, så står JEG til ansvar, med efterfølgende problemer og bevisførelse! Kort sagt; nej tak - modsat bank-login hvor banken dækker misbrug i tilfælde af misbrug.
For det 3. så skal min login til Netbank, Det offentlige, og 117 andre "Foreninger", under ingen omstændigheder være med den samme kode (delvsit løst).
Og for det 4. så kan jeg ikke sende en signeret email med den "dims".
Nu er jeg nok ikke den typiske "Hr og Fru Danmark", men når DanId ikke kan finde ud af at bruge basale ting, som mindsker spoofing (login på 117.000 forskellige hjemmesider; og ikke en gang har et .dk domæne), og dertil ingen forskel på store og små bokstaver i kodeord - så er jeg stået af...
Men når alt kommer til alt, så foretrækker jeg selvbetjening, som kan udføres når JEG har tid, men DanId's NemId-løsninger/betingelser har ind til videre, kort sagt medført, at jeg af princip nægter at bruger det til andet end netbank - og som følge deraf, må det offentlige døje med mine analoge papirer i stedet for.
Hardware-key'en vil pt. adskille min netbank fra den offentlige del, så det må da være den eneste fordel jeg kan se - men hvor længe varer det, at de 2 (3) er adskilt (som det burde være)?
-
1
-
1
I Jespers udemærkede artikel skriver han, at
"Fordi en e-mail som udgangspunkt kan læses af alle servere, den passerer på internettet, har det aldrig været tilladt at føre brevveksling med følsomme oplysninger mellem den offentlige sektor og borgeren via almindelig e-mail."
Dette er nok noget af det mest tåbelige, SikkerhedsDanmark har fundet på. Ikke at det ikke er rigtigt! For ja, en e-mail kan læses af alle servere, den passerer. Men fordi alternativet - overførsel af data med PostDanmark - absolut ikke er mere sikkert.
En e-mail passerer en server, hvor en administrator har mulighed for at læse min mail. Men risikoen for at et brev om tvangsfjernelse af mine børn (eller hvad man nu måtte anse for at være meget personligt) lander hos en uvedkommende er langt fra negligibel. Det kræver bare, at postbuddet kommer til at aflevere brevet på en forkert adresse. Og den slags sker jævnligt.
Faktisk vil jeg mene, at risikoen for at mit brev kommer i forkerte hænder er større end risikoen for at NETS medarbejdere vil misbruge mit certifikat.
-
2
-
0
Hvorfor skal vi absolut genopfinde den dybe tallerken igen og igen.
Der findes standard open source løsninger til kryptering af email. (nogle mail programmer understøtter det allerede, og hvis det er open source, kan andre programmer integere det).
Der findes standard open source løsninger til signering af emails (de fleste email programmer understøtter det)
Vi har standard løsninger til CA problematikken, digitale signaturer m.v.
Det eneste der mangler er integrationen til hardwaren.
Men vi skal bruge milliarder på at genopfinde de dybe tallerkerner.. Ingen under det offentlige altid mangler penge.
-
3
-
0
Hvorfor skal vi absolut genopfinde den dybe tallerken igen og igen.
Fordi det åbenbart var den eneste løsning på det simple problem at folk dårligt kan garanteret sikkerheden af private nøgler på deres computere som DanID havde fantasi til.
Alle de løsninger du snakker om har i standardudgaven det problem at det ikke kun er brugeren, der er interesseret i integriteten af vedkommendes private nøgle. Både CA og bruger af den offentlige nøgle er interesseret i at vide at den private nøgle ikke bare flyder.
Og for at løse det, har man så lavet et system, der ikke tager noget som helst hensyn til brugerens sikkerhed, men kun til CA's. Dvs. bankerne.
Trist.
-
3
-
0
Men fordi alternativet - overførsel af data med PostDanmark - absolut ikke er mere sikkert
Der er den afgørende forskel at der i tilfældet PostDanmark foreligger en lovgivning, som foreskriver hvem der har ansvaret for sikkerheden, samt hvad man må, og ikke må gøre med brevet undervejs.
Så selvom der er åbenlyse svagheder ved at bruge PostDanmark, så er man i den digitale verden endnu ringere stillet.
-
0
-
0
Det lykkedes DanID at overholde den sidste deadline (20/11) med NemID på hardware. Tillykke med det.
Nu er der information på deres webside med det eksotiske domæne
https://www.nemid.nu/privat/nemid_paa_hardware/
For at komme i gang skal man have et stykke egnet hardware. DanID lover at der minimum vil være et stykke hardware på godkendelseslisten (det er formuleringen!!), og der er kun et, den tidligere omtalte Gemalto enhed. Den skal åbenbart have en særlig NemID-branding, men det er ikke klart hvad dette indebærer. Forhåbentlig er den virkelig tamper proof..
Hardwaren kan man ikke købe hos DanID. Den skal købes i en tysk webshop, som ikke ser sig i stand til at oplyse pris incl moms til forbrugere, eller angive forsendelsesomkostningerne. Ved at lave et fiktiv ordre til Mr NN i Danmark, fik jeg en samlet pris på 32.34 EUR eller ca 250 kr. Der er mængderabat ved at købe flere, og enheden bliver først senere knyttet til et DanID certifikat (ved "aktivering"), så der skulle ikke være noget i vejen for at gå sammen om en bestilling.
Desværre er der en række begrænsninger, hvoraf en er en show stopper for mig.
1) Der skal installeres software på computeren for at bruge Gemalto USB enheden. Dels en driver til selve USB enheden som man skal hente hos Gemalto, dels en særlig IDPrime.NET NemID Edition driver som man skal hente hos DanID.
2) Disse drivere findes til Windows (dog ikke Windows 8) og Mac (dog ikke Mac OS 10.8, altså den seneste version). Hint: hvis man nu havde valgt noget med åbne standarder og open source, ville der ikke være alle disse problemer når OS leverandører formaster sig til at lave en ny version.
Og så kommer den kolde spand vand: "Linux understøttes desværre ikke." Så vidt jeg ved kræver statens aftale med DanID at der skal tilbydes løsninger til som minimum Windows, Mac og Linux? Det overholder DanID ikke.
Jeg går ud fra at det betyder, at Linux brugere kan blive fritaget for at deltage i den offentlige tvangsdigitalisering. Linux brugere har jo ikke mulighed for at anskaffe en digital signatur som respekterer deres ret til privatliv (hvor de selv opbevarer og har kontrol over deres private nøgle).
3) NemID på hardware vil kun virke hvis tjenesteudbyderen aktivt understøtter det. Det var implementeret på nemid.nu selvbetjening og på det offentliges NemLogin (login.sikker-adgang.dk, som man videresendes til fra skat.dk, borger.dk, etc etc), men ikke hos et pensionsselskab (tilfældigt valgt) og ikke hos Danske Spil. Det er selvfølgelig lidt tidligt at fælde dom på dette punkt, da flere kan komme til.
4) Man skal stadig køre en Java applet for at bruge "NemID på hardware". Hvis nogle havde håbet at de med NemID på hardware kunne undgå Java, og den relativt store sikkerhedsrisiko som det medfører at tillade afvikling af Java applets i browseren (sikkerhedseksperter anbefaler som bekendt at man afinstallerer Java browser plugin), bliver de altså skuffede.
-
6
-
0
Så blev det juleaften... øøøh 20/11 Det lykkedes DanID at overholde den sidste deadline (20/11) med NemID på hardware. Tillykke med det.
Siden, hvor man kan bestille den pågældende hardware, siger “Please note first kits will be shipped from November 26th”, så man kan let argumentere for, at løsningen ikke er klar endnu.
2) Disse drivere findes til Windows (dog ikke Windows 8) og Mac (dog ikke Mac OS 10.8, altså den seneste version). Hint: hvis man nu havde valgt noget med åbne standarder og open source, ville der ikke være alle disse problemer når OS leverandører formaster sig til at lave en ny version. Og så kommer den kolde spand vand: "Linux understøttes desværre ikke." Så vidt jeg ved kræver statens aftale med DanID at der skal tilbydes løsninger til som minimum Windows, Mac og Linux? Det overholder DanID ikke.
Webshop'en skriver "Support of main Microsoft, Mac and Linux OS versions", så det må være NemID, der bevidst vælger ikke at understøtte hverken Windows 8, Mac OS 10.8 eller Linux.
-
0
-
0
Webshop'en skriver "Support of main Microsoft, Mac and Linux OS versions", så det må være NemID, der bevidst vælger ikke at understøtte hverken Windows 8, Mac OS 10.8 eller Linux.
Hvis man følger Windows driver linket fra nemid.nu, er der også en Linux driver til USB enheden på websiden. De anbefaler at man installerer pakken libccid fra sin Linux distro, og de henviser til source koden hos Debian
http://support.gemalto.com/index.php?id=pc_usb_sl
Altså "sudo apt-get install libccid", og så er den del hjemme. Sådan skal det gøres.
Men så ødelægger DanID det hele ved at der ikke er en Linux driver for deres åbenbart proprietære smartcard IDPrime .NET NemID edition.
-
0
-
0
dels en særlig IDPrime.NET NemID Edition driver som man skal hente hos DanID. [...] Man skal stadig køre en Java applet for at bruge "NemID på hardware".
Så hvis DanID på den måde har fuld adgang til ens maskine, hvordan ved man så at det er det rigtige man underskriver? DanID kunne jo lave et falskt overlay med deres fulde kontrol over maskinen. Umiddelbart virker det så meningsløst at opbevare sin egen privatnøgle, når DanID alligevel skal have fuld adgang til alt.
Jeg henviser også til min kommentar ovenfor.
-
2
-
0
Tilføj kommentar
