Nu kan du kryptere e-mails med NemID

Jeg tror ikke, at DanID understøtter det officielt, men Firefox-plugin'en Gmail S/MIME ( https://addons.mozilla.org/en-US/firefox/addon/592/ ) virker fint sammen med NemID for mig.

Jeg har endnu ikke forsøgt at installere DanIDs applikation på Ubuntu, men deres vejledning leder tankerne tilbage til tilstandene i Linux's barndom: Kan det virkelig passe, at man manuelt skal kopiere filer til systembibliotekerne?!

Hvis DanID tilbyder en krypteringsapplikation til Ubuntu, byder dagens standard, at man har et repository, hvorfra man uden videre kan installere applikationen. Ellers er NemID endnu engang blevet lidt svært for almindelige brugere.

Hvorfor (som Ole Wolf siger) skal man dog kopiere filerne manuelt til systembibliotekerne...

Installation af hjælpesoftware

1. Når din browser har downloadet softwaren skal du udpakke programmet til en valgfri destination på dit system
2. Dog skal filerne i undermappen "Qt" kopieres til /usr/lib

SUK!

Vi takker NemID/DanID for nu at gøre "The Linux Experience" unødvendig besværlig.

Ikke nok med det.
De opfordrer brugeren til at begå den dødssynd på deres vegne manuelt at ned-gradere pakken libqtgui4 fra 4.6.2 til 4.5.3

De har nok lavet det oprindeligt til Ubuntu 9.10 og så gad de ikke sørge for at det virkede direkte på 10.04.

[..]byder dagens standard, at man har et repository, hvorfra man uden videre kan installere applikationen.

1) Her kunne man påpege, at den gamle digitale signatur ikke krævede download af noget som helst. 2) Download kunne så passende være signeret. Nå nej, bekvemID er ikke en digital signatur:-(

Før nem-ID kunne man også downloade en DLL til Browseren. Jeg har gjort det, og lige pludselig ville Firefox ikke længere anerkende SSL certifikater. Jeg blev nød til at godkende dem manuelt hvert gang. Nå, men jeg prøver, med lidt held overskriver det nye lt det gamle lt...

Jeg tror ikke, at de skal regne med at få mange brugere af det produkt.

Hvem I alverden tør (eller måske rettere gider) kryptere noget som helst med en nøgle, som de ikke har kontrol over?

Især dumt, når der findes masser af sikre løsninger rundt omkring.

Istedet for NemIDs dårlige implementering af en forkert løsning vil jeg anbefale

Enigmail.

PS. Ubuntu brugere:
sudo apt-get install enigmail

Du har helt ret.
Men hvordan logger man ind på sin netbank eller på SKAT med sin PGP-nøgle?

PETER MOGENSEN,

Men hvordan logger man ind på sin netbank eller på SKAT med sin PGP-nøgle?

PGP?? Det er noget andet.

Men hvis NemID bliver lavet om til den måde som Jyske Bank gjorde i gamle dage, så ville man kunne logge ind uden brug af Java.

Oplys mig: Anvender Enigmail ikke OpenPGP til at signere emails?

Så vidt jeg har forstået NemID, så forlader ens private nøgle aldrig DanIDs servere. Men på DanIDs side står der:

Sådan kommer du i gang Du skal logge på selvbetjeningen og hente dit NemID e-mail-certifikat under Certifikatindstillinger.

Et certifikat som kan bruges til at signere emails indeholder så vidt jeg ved ens personlige nøgle eller hvad?

Jeg har lige installeret den på Thunderbird/XP. Sikke en bøvl. Ikke noget for moster Ida. Den nægtede at installere DLL-en, uden nogen hjælpsom fejlmeddelelse. Det virkede først da jeg i kontrolpanelet afinstallerede den gamle DanID software. Og nej jeg har ikke tænkt mig at bruge den med følsomme oplysninger. Men hvis den kan spare mig en tur til rådhuset...

NemID er måske en udemærket centraliseret authentication/SSO-løsning. De fandtes allerede i rigt mål, men ok, Staten Danmark ville have sin egen dybe tallerken, so be it.

Og det bliver man så ramt af nu, hvor man tror, man på en brugervenlig måde kan opskalere fra SSO-løsning til et PKI-framework. Det kunne man sådan set også, hvis man havde holdt sig til eksisterende standarder. Nu er det nødvendigt at hacke alle brugernes maskiner med kode. Man skal vedligeholde en positivliste over supporterede klienter og platforme, resten lades i stikken. Også de klienter, som i forvejen understøtter samtlige standarder mht. mail krypto.

Hvor var det lige, det gik galt?

Men hvis NemID bliver lavet om til den måde som Jyske Bank gjorde i gamle dage, så ville man kunne logge ind uden brug af Java.

Det er et rent implementationsspørgsmål fra bankens side. Case in point: Danske Banks iPhone applikation som går direkte på NemID API'et i stedet for at bruge en java applet.

PETER MOGENSEN,

Oplys mig: Anvender Enigmail ikke OpenPGP til at signere emails?

Aner det ikke.

Du spurgte:

Men hvordan logger man ind på sin netbank eller på SKAT med sin PGP-nøgle?

Det kan man ikke.

DanID har villet bruge NemID til 2 ting.

1. Login

2. Kryptering/signering

Jyske Bank har har lavet et fremragende login system.

PGP har lavet et fremragende kryptering/signerings-system.

DaniD har 2 enestående dårlige login og krypterings/signeringssystemer.

Det kan man ikke.

Præcis.

Min pointe var at PGP ikke bringer en langt i forbindelse med at få stoppet NemID ned i halsen til netbank og SKAT.

P. Müller,

Danske Banks iPhone applikation som går direkte på NemID API'et i stedet for at bruge en java applet.

Det er meget dårlig løsning. Det kræver at jeg installere special lukket software på min telefon. No way. Jeg har ikke tillid til Danske Banks software.

Iøvrigt virker Danske Banks software ikke med min telefon. Heller ikke med den jeg køber næste år (som ikke er opfundet endnu og som bruger ny og endnu ukendt teknologi).

Jyske Banks løsning er den rigtige vej at gå: Brug standarder.

(Der er dele af JBs løsning som er lidt dum, men lad det nu ligge)

P. Müller,

Danske Banks iPhone applikation som går direkte på NemID API'et i stedet for at bruge en java applet.

Det er meget dårlig løsning. Det kræver at jeg installere special lukket software på min telefon. No way. Jeg har ikke tillid til Danske Banks software.

Iøvrigt virker Danske Banks software ikke med min telefon. Heller ikke med den jeg køber næste år (som ikke er opfundet endnu og som bruger ny og endnu ukendt teknologi).

Jyske Banks løsning er den rigtige vej at gå: Brug standarder.

(Der er dele af JBs løsning som er lidt dum, men lad det nu ligge)

Anvender Enigmail ikke OpenPGP til at signere emails?

Det er korrekt.

Ubuntu håndterer det med gpg (Gnu Privacy Guard), som er OpenPGP-compliant.

Min pointe var at PGP ikke bringer en langt i forbindelse med at få stoppet NemID ned i halsen til netbank og SKAT.

Det bringer dig så langt at du undgår afhængighed af NemID ifbm. dine krypterede emails.

For mig eget vedkommende vil jeg så langt som muligt boykotte NemID.

PS. Hvordan kan jeg gebyrfrit betale for mit medlemsskab af IDA uden en dansk bank og udenom PBS (f.eks. via paypal) ?

Jydske Bank bliver medlem af bankdata og flytter udviklingen af IT-systemer til Bankdata. Så mon ikke der er flere sectorløsninger på vej og færre egne løsninger?

Se Jyske Banks selskabsmeddelse pr. 1/9-2010, som kan findes på deres hjemmeside - og bedøm selv.

Ja Paypal er da en løsning, men det forudsætter at du har en paypal konto som ikke er tilknyttet en bankkonto, hvilket efterhånden er rimelig svært at klare. Men det er da muligt.

Hvis du derimod bruger en paypal med tilknyttet kort fra PBS, mener jeg at dine paypal handler bliver clearet gennem PBS (Nets) på et eller andet niveau. Ellers ville du jo ikke kunne se din kvittering for betaling på din konto.

Måske jeg rent faktisk skulle lave usporbare penge igen bare for at se hvordan jeg bliver indkredset som terrorist fordi jeg ikke kan sporet :) Beklageligvis er det ret tidskrævende jo....

Fair nok med Outlook 2011 for Mac da den netop er gået RTM, men Outlook 2010 har været på markedet et godt stykke tid nu (særlig når man inkluderer beta'en).

Det er meget dårlig løsning. Det kræver at jeg installere special lukket software på min telefon. No way.

Du kunne jo også vælge bare at bruge http://mobil.danskebank.dk

Den fungerer også med NemId uden at skulle indstallere software.

Jeg kan ikke lige overskue det, men betyder denne løsning ikke, at NemID så let som ingenting kan lave en liste over alle ens krypterede emails? Hver gang man sender en email, sendes lige dato, emne og modtager til NemID, når der forespørges om nøglen?
Hvis du eller modtageren er på en observationsliste, så tager krypteringen lige lidt længere tid, for så sendes hele emailen op.

Jeg ved ikke hvem DanID prøver at gøre glade med tiltaget. De der ønsker at sende sikker email bruger vel tredjeparts-løsninger, såsom PGP eller GPG, med et certifikat der ikke udløber og som de har clearet med de modtagere som de for alvor har brug for at udveksle krypteret email med. Resten er formentlig enten ligeglade eller er tilfredse med webklienter der anvender en krypteret forbindelse.

Er der noget jeg har misforstået?

Hver gang man sender en email, sendes lige dato, emne og modtager til NemID, når der forespørges om nøglen? Hvis du eller modtageren er på en observationsliste, så tager krypteringen lige lidt længere tid, for så sendes hele emailen op.

Ifølge DanID forlader ens private nøgle aldrig DanIDs servere. Så hele emailen må blive sendt til DanID hver gang man skal signere. Kryptering sker med offentlige nøgler, så der kræves ingen DanID kontakt hvis man allerede har den offentlige nøgle.

JØRGEN THOMSEN,

Jeg kan ikke lige overskue det, men betyder denne løsning ikke, at NemID så let som ingenting kan lave en liste over alle ens krypterede emails?

Helt korrekt.

Men det er rent faktisk meget værre. NemID kunne tage en kopi af alle dine mails og alle dine filer. Et par medlemmer af IT-Politisk forening har lavet to eksempler på hvad NemID har adgang til:
http://datanom.net/nemid/
https://www.agol.dk/elgaard/sand/

Jeg skal lige advare om at ovennævnte applikationer har adgang til alt det som NemID har adgang til. Det er det som de skal demonstrere. Hvis ikke du har tillid til de to programmmøre, så skal du ikke køre programmet. Det ene program lister alle de filer som du har adgang til, så brug en computer som der ikke ligger fortroligt materiale på.

Jeg ved ikke hvem DanID prøver at gøre glade med tiltaget.

Jeg tror at målgruppen er meget lille. Privat kan jeg ikke se noget behov for signeret eller krypteret email og arbejdsmæssigt har vi aldrig haft behov for det.

Jeg antager at Målgruppen er folk som arbejder med personhenførbare oplysninger som ikke kan sendes med ukrypteret email. Og for dem synes jeg det er fint nok at de kan bruge allerede eksisterende identiteter hos NemID til også at kryptere emails. Men mon ikke nærmere det vil være jobfunktionsidenditeter end personlige identiteter som skal bruges til kryptering (af hensyn til ferier, sygdom etc)?

Findes der egentlig nogen antispamfiltre som giver særbehandling til signerede emails? Hvis der gør, så kunne det være et argument for altid at signere sine emails. Men det er nok for bøvlet hvis man skal indtaste en NemID kode for hver email. (Skal man egentlig det med den nye løsning?)

Men det er rent faktisk meget værre. NemID kunne tage en kopi af alle dine mails og alle dine filer

Det gælder vel samtlige som har lavet software som du har installeret på din PC. Her er der vel mere tale om at sikkerheden er lav i Windows, Linux og BSD end om at NemID har en særstilling.

Skal man sende krypteret email, kræver det også at modtageren har NemID, såfremt DanID skal sige god for den. Så kun mellem personer der begge har et dansk personnummer kan man udveksle NemID-krypteret email. For krypteret email til resten af verden må ud og finde en separat løsning.

Og krypteret email til offentlige myndigheder eller forsikringsselskaber eller læger via DanID (som flere påpeger) -- nej, vel?

Jeg håber at et stort flertal af danskere vil betakke sig for at en stor andel af deres private, personlige oplysninger skal runde DanID, hvilket som I jo siger vil være tilfældet hvis man anvender NemID til email-kryptering.

jeg forventer nu ikke at noget som helst der kommer fra nem ide er synderligt nemt

detr har min kosrpondance / forsøg på oprettelse af MIN NEM IDE profil lært mig

alt hvad der kan gørres besværligt / dobbeltmoralsk / selv modsigende / diskreminerende

det B L I V E R gjort besværligt / dobbeltmoralsk / selv modsigende / diskreminerende

eksembel :

som skrevet på et tidligere indlæg herinde :

hvis mkankender cpr nr på en som man har set sig sur på, så kan man faktisk chikanere vedkommende ved at loge på med den pågældenes cpr nr og taste koden forkert med vilje 3 gange og så blokeres ved kommendes NEM IDE.

MEN

når jeg selv skal aktivere min NEM IDE med min MIDLERTIDGE adgangskode så blokeres min NEM IDE og midlertidige adgangskode efter K U N et forsøg hvis jeg er så uheldig at løbe ind i den tidsfrist der er for at aktivere NEM IDE

DET kalder jeg diskrimination

Hej Niels,

Ifølge DanID forlader ens private nøgle aldrig DanIDs servere

Det tror jeg du har misforstået (eller også har jeg). Hvor har de sagt det henne?

Ifølge DanID forlader ens private nøgle aldrig DanIDs servere. Så hele emailen må blive sendt til DanID hver gang man skal signere. Kryptering sker med offentlige nøgler, så der kræves ingen DanID kontakt hvis man allerede har den offentlige nøgle.

Det er ikke nødvendigt at sende hele emailen til DanID. En S/MIME signeret email indeholder en digital signatur på en hash af meddelelsen, så det er kun nødvendigt at sende en hash af meddelsen til DanID.

Det er rigtigt, at DanID lover at den private nøgle aldrig forlader deres servere. Bemærk forøvrigt, at den private nøgle ikke er det samme som certifikatet (som jeg så en anden debattør være forvirret om).

Skal man sende krypteret email, kræver det også at modtageren har NemID

Det tror jeg du har misforstået. For at sende krypteret email skal man have modtagerens offentlige nøgle. Om du bruger den offentlige nøgle fra NemID eller en anden offentlig nøgle er lige meget, da NemID så vidt jeg har forstået bruger samme nøgleteknologi som de fleste andre.

Men DanID gør det nemt at finde de offentlige nøgler som de har udgivet. De har en formular til det på deres website.

Det er ikke nødvendigt at sende hele emailen til DanID. En S/MIME signeret email indeholder en digital signatur på en _hash_ af meddelelsen, så det er kun nødvendigt at sende en hash af meddelsen til DanID.

Tak for forklaringen. Dvs at det kun er ved dekryptering af emails at man skal sende emailen til DanID. Eller gøres det også via en hash?

Hej Jesper

[quote]Ifølge DanID forlader ens private nøgle aldrig DanIDs servere

Det tror jeg du har misforstået (eller også har jeg). Hvor har de sagt det henne?[/quote]

Det læser jeg ud fra:

Brugerens private nøgle forefindes på intet tidspunkt ukrypteret og kan ikke anvendes uden for det særligt sikrede kryptografiske hardwaremodul.

på siden https://www.nemid.nu/om_nemid/hvad_er_nemid/sikkerhed/teknikken_bag_nemid/

OS X løsningen er til Thunderbird ;0). Mon ikke de fleste bruger Mail.app...

Dvs at det kun er ved dekryptering af emails at man skal sende emailen til DanID. Eller gøres det også via en hash?

Ved S/MIME kryptering genereres der en symmetrisk sessions-nøgle. Den bruges så til at kryptere meddelelsen og bliver derefter krypteret under den offentlige nøgle. For at dekryptere en S/MIME besked skal sessions-nøglen så først dekrypteres af den private nøgle, hvorefter den bruges til at dekryptere meddelelsen.

Det vil altså sige, at det er nok at sende den krypterede sessions-nøgle til DanID og få dem til at dekryptere den med din private nøgle. Så kan man derefter bruge sessions-nøglen til at dekryptere selve meddelelsen uden at det er nødvendigt at sende hele meddelelsen til DanID.

Hej Niels,

[b]Fra https://www.nemid.nu/om_nemid/hvad_er_nemid/sikkerhed/teknikken_bag_nemi... Brugerens private nøgle forefindes på intet tidspunkt ukrypteret og kan ikke anvendes uden for det særligt sikrede kryptografiske hardwaremodul.

Det var lidt en kryptisk (bada-bum-tish!!!!) formulering.

Nogen (læs:version2) burde nok få NemID til at verficere dette, men min opfattelse baseret bla. på debatterne herinde er, at der er følgende setup i DanID:

Brugeren danner nøglerne i den applet, der hentes ned på klienten og krypterer den private nøgle med sit eget, brugervalgte password. Den private nøgle gemmes krypteret i deres hardwaremodul og kan ikke hentes ud af dette modul ukrypteret.

Når en bruger skal signere et eller andet (fx en transaktion eller en email), så hentes den krypterede privatnøgle ned i appletten, hvor den dekrypteres med det password brugeren anvendte og kan herefter bruges til signering.

Hej Jesper,

Det at Rasmus Faber-Espensen ovenfor har haft success med at kombinere NemID med Firefoxpluginnet GMail S/MIME tyder på at DanID har valgt at understøtte S/MIME standarden (som Rasmus senere beskriver) bygger på at en hash af emailen signeres. Så det er altså ikke nødvendigt at hive ens private nøgle ud af DanIDs servere.

Niels:

For at sende krypteret email skal man have modtagerens offentlige nøgle. Om du bruger den offentlige nøgle fra NemID eller en anden offentlig nøgle er lige meget

Ja, det har du naturligvis ret i!

Hej Niels,

Så det er altså ikke nødvendigt at hive ens private nøgle ud af DanIDs servere.

Det er muligt, at jeg er en torsk, men jeg kan slet ikke se den konklusion ud af det du skriver.

DanID skriver selv, at den private nøgle sikres af et brugerpassword som bruger kun selv kender (og som aldrig sendes til DanID). Derfor kan der ikke ske en signering af emailen (eller en hash af den) i hardwaremodulet - for i dette findes den private nøgle ikke i klartekst men kun krypteret.

Man vil naturligvis altid kun signere en hash-værdi og ikke hele meddelelsen, men det ændrer ikke på, at man skal have adgang til den private nøgle på et eller andet tidspunkt i klartekst - og det er min opfattelse, at dette kun sker på klienten.

(men jeg kan naturligvis tage fejl)

Ja, man skal desværre indtaste NEMID kode hver gang.

Så før vi har en lidt bedre løsning til engang nøgler, så er et kort med ~ 150 nøgler nok lidt problematisk ift. at bruge det hver gang man sender mails.

Jesper Lund Stocholm skrev:

Det er muligt, at jeg er en torsk

Uha, du lokker godt nok :-)

Men det er klart, at du er forvirret. DanID gør alt hvad de kan for at forvirre på det punkt.

Faktum er, at nøglen ikke genereres lokalt, men i en hardware-token på serveren. NemID skriver:

Generering og anvendelse af den private nøgle kan kun foregå i specielle sikrede kryptografiske hardware-moduler under brugerens fulde kontrol. Brugerens private nøgle forefindes på intet tidspunkt ukrypteret og kan ikke anvendes uden for det særligt sikrede kryptografiske hardwaremodul.

https://www.nemid.nu/om_nemid/hvad_er_nemid/sikkerhed/teknikken_bag_nemid/

Det er naturligvis noget vrøvl, at generering af nøgler foregår "under brugerens fulde kontrol", al den stund at det sker på en central server i et lukket serverrum, langt fra brugeren.

Hvad angår signering, skal du lægge mærke til ordene "kan ikke anvendes uden for det særligt sikrede kryptografiske hardwaremodul". Sagen er nemlig, at nøglen ikke forlader hardwaremodulet under normal brug. I stedet sender man det, man ønsker krypteret, igennem hardwaremodulet. Hardwaremodulet har indbygget en processor, som kan kryptere input.

Hardwaremoduler af den slags kræver typisk brugerens løsen som input for at kunne kryptere - men det er i praksis ligegyldigt. Sagen er, at du sender dit password til DanID, som så stopper det ind i hardware-tokenet.

Teknisk set er det naturligvis muligt for dem at opsnappe dit løsen og bruge det igen.

DanID har hele tiden hævdet, at deres løsning er sikret, netop fordi de private nøgler rent teknisk ikke kan forlade hardwaremodulet.

Men med kniven på struben måtte de så afsløre, at det faktisk ikke er rigtigt. Det fremgår af svaret på et spørgsmål fra Folketingets udvalg for videnskab og teknologi til videnskabsministeren:

Det kan ikke afvises, at det, ved at omgå alle praktiske, tekniske og proceduremæssige sikkerhedsforanstaltninger, som DanID via certifikatpolitikerne og DanID’s certificeringspraksis er underlagt, vil være muligt for DanID at lave en ren softwareklon/backup af serveren med brugernes private kryptonøgler.

http://www.ft.dk/samling/20091/almdel/uvt/spm/199/svar/734271/881356.pdf

Svaret fortsætter dog:

Det skal understreges, at selvom alle sikkerhedsforanstaltninger blev overtrådt, og der således i teorien er mulighed for at lave en softwareklon, vil dette ikke give DanID adgang til brugernes private nøgler, da disse er krypteret, og dermed utilgængelige uden anvendelse af brugerens selvvalgte adgangskode, der ikke kendes af DanID.

Men igen: For at kunne lade hardwaremodulet kryptere med din personlige kode, må DanID jo sende den videre fra dig til hardwaremodulet. Uanset at dette som standard gøres krypteret, er DanID i en perfekt situation til at lave man-in-the-middle-angreb. Du har reelt ingen mulighed for at kontrollere, om de kan opsnappe dit løsen undervejs.

Mvh

Jørgen Elgaard Larsen
Bestyrelsesmedlem
IT-Politisk Forening

Det er muligt at sende krypteret e-mails med PGP Desktop Home når man kun er i besiddelse af modtagerens offentlige nøgle. Det virker i hvert fald med den nuværende OCES certifikat. Jeg kunne sende en krypteret e-mail til mig selv fra en konto hvor der ikke er tilknyttet noget certifikat.

Normalt vil ens e-mail klient nægte at kryptere en mail hvis man ikke osse kan digitalt signere den, fordi kryptering foresages i klienten og så vil man ikke bagefter kunne læse den e-mail man har sent fra Sent mappen.

Med PGP Desktop Home/Email sker krypteringen ikke i klienten. PGP Desktop ligger som en proxy server mellem klienten og TCP/IP stacken og krypterer når det sendes. Så den originale e-mail ligger stadig ukrypteret i Sent mappen.

Eneste bagdel er, at PGP Desktop Home koster 91 Euro.

Man kan hente en gratis 30-dages prøveversion fra PGP og selv prøve det.

Er der nogen der ved om der findes en tilsvarende GPG løsning?

Brugeren danner nøglerne i den applet, der hentes ned på klienten og krypterer den private nøgle med sit eget, brugervalgte password. Den private nøgle gemmes krypteret i deres hardwaremodul og kan ikke hentes ud af dette modul ukrypteret.

Nope. Du kan sagtens skifte password uden at skulle have ny nøgle. Password er blot et password. Det har ingen tilknytning til nøglen udover DanID.

Er der nogen der ved om der findes en tilsvarende GPG løsning?

Måske kan dette?

http://www.gpg4win.org/

Det er vist ikke helt det samme.

14 Archiving e-mails in an encrypted form You should also archive your important - and hence possibly encrypted - e-mails in only one way: encrypted. Of course you can simply save a clear text version of your texts, but that is actually not required. If your message was supposed to be secret, it should not be stored on your computer in clear text. Therefore you should always store your encrypted sent e-mails in an encrypted form! You can probably already guess the problem: To decrypt your archived (sent) e-mails, you will need the private key of the recipient - and you don't or will ever have it ... So what to do? Very easy: You also encrypt to yourself! The message is encrypted once for the actual person you are writing to - e.g. Adele - and once more for you, using your own public certificate. This way, you can later make the e-mail legible using your own private key. Gpg4win will automatically encrypt each encrypted message to your own certificate. To do this, Gpg4win uses your sender e-mail address. If you have multiple certificates for an e-mail address, you have to select the certificate to encrypt to during the encryption process. In short: You have encrypted an e-mail using the public certificate of the person you are corresponding with, and used it to answer him. Kleopatra additionally encrypts your sent encrypted e-mails using your own public certificate, so that the messages remain legible for you.

Kort sagt, du er nød til at ha' eget certifikat. Om det behøver at være et OCES certifikat, eller om du kan bruge et "GPG certifikat" - kalder man det det? - er jeg ikke klar over.

Fidusen med PGP Desktop Home/Email er, at det ikke er nødvendigt at ha' egen krypteringscertifikat. Mailen ligger ukrypteret i Sent mappen.

Det ku' f.eks være nyttigt når man skal sende oplysninger - mrd bl.a cpr nr - til en offentlig myndighed og du ikke selv har/ønsker et OCES certifikat.

Der er ikke formkrav i dansk ret, så de vil ikke kunne nægte at modtage det. Det er så "deres problem".

Kort sagt, du er nød til at ha' eget certifikat.

Det laver man som en del af GPG. Det er OpenPGP-compliant og benytter den samme infrastruktur. Man binder certificatet til en person vha. "web of trust" (http://en.wikipedia.org/wiki/Web_of_trust)

kan bruge et "GPG certifikat" - kalder man det det?

Gpg4win er baseret på GnuPG. GnuPG følger OpenPGP, så ethvert OpenPGP-compliant certificat kan anvendes.

Fidusen med PGP Desktop Home/Email er, at det ikke er nødvendigt at ha' egen krypteringscertifikat.

Det kan jeg ikke se fidusen i. Du kan ganske vist sende noget "krypteret", men modtageren ved ikke hvor det stammer fra. Dermed bliver det sendte intet værd for modtageren.
Noget andet er: Hvis det kun er krypteret med modtagerens offentlige nøgle, så kan enhver dekryptere det igen. Det giver falsk tryghed.

Mailen ligger ukrypteret i Sent mappen.

Som Gpg4win-folkene skriver: "If your message was supposed to be secret, it should not be stored on your computer in clear text."

Det ku' f.eks være nyttigt når man skal sende oplysninger - mrd bl.a cpr nr - til en offentlig myndighed og du ikke selv har/ønsker et OCES certifikat.

Nej, det er ikke nyttigt i sådan en situation. Et certificat sikrer at du er afsenderen. Uden certificat er der ingen (og især ikke modtageren) der ved hvem afsenderen er. Der står måske Axel Hammerschmidt i From-feltet, men det kan enhver jo skrive. Hvis du signerer (og krypterer) med dit certificat, så er der ingen tvivl om at afsenderen er Axel Hammerschmidt.

Noget andet er: Hvis det kun er krypteret med modtagerens offentlige nøgle, så kan enhver dekryptere det igen. Det giver falsk tryghed.

Sikke noget sludder. Fidusen med assymetrisk kryptering er netop, at ALLE kan kryptere en mail til en modtager ved brug af modtageres offentlige nøgle, men kun modtageren kan dekryptere den med sin private nøgle.

Nej, det er ikke nyttigt i sådan en situation. Et certificat sikrer at _du_ er afsenderen. Uden certificat er der ingen (og især ikke modtageren) der ved hvem afsenderen er. Der står måske Axel Hammerschmidt i From-feltet, men det kan enhver jo skrive. Hvis du signerer (og krypterer) med dit certificat, så er der ingen tvivl om at afsenderen er Axel Hammerschmidt.

Igen sludder. Du signerere mailen med DIN private nøgle (som alle kan verificere med DIN offentlige nøgle) og du krypterer mailen med MODTAGERENS offentlige nøgle (som kun modtageren kan dekryptere med sin private nøgle).

Normalt vil ens e-mail klient nægte at kryptere en mail hvis man ikke osse kan digitalt signere den, fordi kryptering foresages i klienten og så vil man ikke bagefter kunne læse den e-mail man har sent fra Sent mappen.

Jeg kender ingen mailklienter, der tvingere brugeren til både at signere og kryptere en mail. Du kan da selv vælge om du vil 1) kryptere, 2) signere eller 3) signere og kryptere. Er 3 din default opsætning, således at du ikke bliver spurgt/kan vælge inden du sender, så er et personligt certifikat naturligvis påkrævet for at underskrive mailen.

Jesper.

Et certificat sikrer at _du_ er afsenderen. Uden certificat er der ingen (og især ikke modtageren) der ved hvem afsenderen er.

Når du ringer til kommunens sagsbehandler skal du blot oplyse dit cpr nr. Der er ikke nogen anden kontrol. Så snakker i sammen om alt mellem kommunen og dig.

Det er sådan set en lignende situation der er med PGP Desktop Home/Email uden OCES.

Jeg ved ikke om kommunen vil godtage "web of trust". Men det er overflødigt i denne situation.

Kenneth.

Jeg kender ingen mailklienter, der tvingere brugeren til både at signere og kryptere en mail.

Prøv med Outlook Express.

Axel, hvis du mener dit sidste indlæg seriøst, hvad vil du så med det PGP-software?

Det er så rivende ligegyldigt!

Prøv med Outlook Express.

Kenneth spørger til en mailklient - ikke et stykke misforstået crap-software.

Det her er Version2, ikke legestuen i den lokale børnehave. Paint er mere tegneprogram end OE er mailklient.

Rasmus Faber-Espensen,

Ved S/MIME kryptering genereres der en symmetrisk sessions-nøgle. Den bruges så til at kryptere meddelelsen og bliver derefter krypteret under den offentlige nøgle.

Jeg har læst din forklaring mange gange, og det er stadig uklart for mig hvad du mener.

Min påstand er: DanID kan læse indholdet af al den mail du kryptere. Enten via den Java applet du downloader, eller på serveren via den software der er der.

Så hvis jeg vil sende en hemmelig besked til Alice, som jeg ikke på nogen måde er interesseret i bliver fremlagt i evt. retssag senere, så kan jeg ikke benytte NemID. Jeg må gøre det på en anden måde.

Jeg lytter. Jeg vil gerne forstå det.

Prøv med Outlook Express.

Jeg må tilstå, at jeg er ærlig talt helst fri. :-)
Der er dog intet i denne support artikel fra Microsoft, der indikerem, at kan ikke kan sende en krypteret email uden også at underskrive den (http://support.microsoft.com/kb/168726), hvilket foranlediger mig til at tro, at du ikke har konfigureret din mailklient korrekt.

Axel ... hvad vil du så med det PGP-software?

Kryptering med PGP Desktop Home/Email sker ikke i mail klienten, men under afsendelsen mellem klienten og smtp serveren. Man behøver ikke at kunne læse sin afsendte krypteret e-mail i Sent mappen, den er ikke krypteret i klienten. Derfor behøver an ikke signerer den. Det sidste er en forudsætning for at mailen osse bliver krypteret med afsenderens offentlig nøgle.

Det der sker, svarer til at man putter brevet i en kuvert, som kun modtageren kan åbne.

Axel, du skrev:

Når du ringer til kommunens sagsbehandler skal du blot oplyse dit cpr nr. Der er ikke nogen anden kontrol. Så snakker i sammen om alt mellem kommunen og dig. Det er sådan set en lignende situation der er med PGP Desktop Home/Email uden OCES. Jeg ved ikke om kommunen vil godtage "web of trust". Men det er overflødigt i denne situation.

Hvis du mener ovenstående seriøst, hvad vil du så med det PGP-program?

Det program tjener absolut intet formål i dit tilfælde, udover at du kan virke smart overfor mindrebegavede du måtte støde på i din hverdag!

Kenneth.

Der er dog intet i denne support artikel fra Microsoft, der indikerem, at kan ikke kan sende en krypteret email uden også at underskrive den (http://support.microsoft.com/kb/168...), hvilket foranlediger mig til at tro, at du ikke har konfigureret din mailklient korrekt.

Min klient er skam konfigureret korrekt.

APPLIES TO Microsoft Outlook Express 5.0 Microsoft Outlook Express 4.0 Microsoft Windows 98 Standard Edition

Non sequitur :-)

Derfor behøver an ikke signerer den. Det sidste er en forudsætning for at mailen osse bliver krypteret med afsenderens offentlig nøgle.

Hvis du skal blive ved med at komme med så horible postulater, kan du så ikke være venlig at prøve at dokumentere det?
Det er ikke et krav at en mail skal underskrives før at den kan krypteres med en offentlig nøgle. At det så giver god mening at gøre, så modtageren kan verificere afsenderen, det er så noget helt andet, men det er altså ikke et krav.

Min klient er skam konfigureret korrekt. APPLIES TO Microsoft Outlook Express 5.0 Microsoft Outlook Express 4.0 Microsoft Windows 98 Standard Edition Non sequitur :-)

Det ville jo hjælpe, hvis du skrev hvilken mailklient du brugte så. Du har bare skrevet, at med outlook express der kunne man ikke kryptere uden at underskrive, og det viser artiklen jo klart ikke er sandt.

Jesper.

Når du ringer til kommunens sagsbehandler skal du blot oplyse dit cpr nr. Der er ikke nogen anden kontrol. Så snakker i sammen om alt mellem kommunen og dig. ... [quote]Hvis du mener ovenstående seriøst, hvad vil du så med det PGP-program?

[/quote]

Der er folk der ikke kan benytte en telefon. Døve og hørehadicappede, f.eks.

Nogle informationer kan være så omfattende eller komplicerede, at det kun er praktisk at overlevere dem i skriftlig form.

Find selv på flere.

Min påstand er: DanID kan læse indholdet af al den mail du kryptere. Enten via den Java applet du downloader, eller på serveren via den software der er der. Så hvis jeg vil sende en hemmelig besked til Alice, som jeg ikke på nogen måde er interesseret i bliver fremlagt i evt. retssag senere, så kan jeg ikke benytte NemID. Jeg må gøre det på en anden måde.

Da DanId har kontrol over samtlige private nøgler, vil de altid kunne læse indholdet af den mail du kryptere.
Hvis Alice og Bob vil kommunikere med vished om, at DanId ikke han læse med, må de bruge noget andet end NemId.

@Rasmus Faber-Espensen, jeg er også lutter øre, hvis du mener at S/MIME eller lign. skulle kunne lave om på det.

Du har bare skrevet, at med outlook express ...

Tvivler på Nemid understøtter OE 5.0 og 4.0 med sikker e-mail.

Tvivler på Nemid understøtter OE 5.0 og 4.0 med sikker e-mail.

Så du mener altså, at Microsoft i senere versioner af OE er begyndt at tvinge folk til at underskrive en mail, hvis de vil kryptere den med et offentligt certifikat? Det tror du da vel ikke engang selv på. Igen, prøv du lige at gå din konfiguration igennem....

Kenneth.

Er det rigtigt forstået, at du slet ikke selv har Outlook Express? For hvordan kan du så udtale dig om min OE konfiguration?

Det tror du da vel ikke engang selv på. Igen, prøv du lige at gå din konfiguration igennem....

Der sker det, hvis jeg ønsker at afsende en e-mail krypteret med modtagerens (offentlige) OCES certifikat fra en mail konto hvortil der ikke er tilknyttet mit OCES certifikat, at OE 6.0 melder, at e-mailen tillige vil blive krypteret med en 40-bit nøgle.

Hvis nogen 3. part så skulle opsnappe denne "sikker e-mail" vil det være en smal sag for vedkommende at læse indholdet, fordi 40-bit kryptering kan brydes ret nemt.

Derfor sender jeg selvfølgelig ikke den pågældende e-mail.

Er det rigtigt forstået, at du slet ikke selv har Outlook Express? For hvordan kan du så udtale dig om min OE konfiguration?

Det er fuldstændig korrekt. Jeg bruger heller ikke IE, men det forhindre mig ikke i at vide, hvordan den fungerer.

Der sker det, hvis jeg ønsker at afsende en e-mail krypteret med modtagerens (offentlige) OCES certifikat fra en mail konto hvortil der ikke er tilknyttet mit OCES certifikat, at OE 6.0 melder, at e-mailen tillige vil blive krypteret med en 40-bit nøgle. Hvis nogen 3. part så skulle opsnappe denne "sikker e-mail" vil det være en smal sag for vedkommende at læse indholdet, fordi 40-bit kryptering kan brydes ret nemt. Derfor sender jeg selvfølgelig ikke den pågældende e-mail.

Unskyld mig, men hvordan har det relevans for din påstand om, at man ikke kan sende en krypteret mail uden at signere den? Det lyder snarere som et velkendt problem med OEs håndtering af S/MIME.

Jeg bruger heller ikke IE, men det forhindre mig ikke i at vide, hvordan den fungerer.

Et er et kort at læse - en anden et skib at føre.

Unskyld mig, men hvordan har det relevans for din påstand om, at man ikke kan sende en krypteret mail uden at signere den?

Når e-mailen (osse) er krypteret med en indbygget 40-bit nøgle i OE6, der er nem at bryde, så er det ikke sikker e-mail, vel?

Eller har du svært ved at forstå, at en kæde kun er så stærk som det svageste led?

@Axel:
Jeg giver op. Du taler som du har forstand til, og vil tydeligvis ikke læse og (i det mindste bare prøve at) forstå, hvad der bliver bøjet i neon for dig.

Jeg giver op.

Du har svært ved at forstå, at en kæde kun er så stærk som det svageste led.

Du har svært ved at forstå, at en kæde kun er så stærk som det svageste led.

Og det kommer fra den der [u]er[/u] det svageste led. Farvel!

@Axel: Jeg giver op. Du taler som du har forstand til, og vil tydeligvis ikke læse og (i det mindste bare prøve at) forstå, hvad der bliver bøjet i neon for dig.

Sådan er Axel. Han ved alt om intet og er ikke bange for at vise det.

Det er bedre at holde munden lukket og lade folk tro du er et fjols end at åbne munden og fjerne enhver tvivl.

I øvrigt står der på den føromtalte Microsoft page

http://support.microsoft.com/kb/168726

OLEXP: How to Digitally Sign and Encrypt Messages in Outlook Express:

Configuring Security Features in Outlook Express To use any of the security features in Outlook Express, you must first configure the program to use your digital ID (certificate).

"To use any of the security features ... you must first ..."

Så selv om det omhandler OE 4.0 og 5.0, så kan det der står vel ikke forstås på anden måde, end at det er et krav at afsenderen er i besiddelse af et certifikat.

DanID har været så underlige, at de ikke fra staren af har indtænkt at programmerer deres software til afsendelse af sikre e-mail tilgængeligt for blinde og svagsynede! I praksis kan jeg ikke bruge softwaren, og kan dermed ikke få nogen glæde af NemID til afsendelse af sikre e-mails! For dårligt, at DanID ikke tænker sig om!

[ironi kan forekomme]
De skriver ellers, at man kan "sende fortrolige e-mails med din kommune eller din bank",(https://www.nemid.nu/support/sikker_e-mail/) så det forventes vel, at de kan hjælpe.

Outlook 2010 er heller ikke supporteret endnu. Jeg troede ellers man var bagud når man boede i Udkantsdanmark, men åbenbart ikke.