Gå til hovedindhold
Version2 it for professionelle
Forsiden

Hovedmenu

  • It-nyheder
  • Blogs
  • It-job
  • It-firmaer
  • Emner
  • Opret bruger
  • Log ind
Se kommentarer (5)
Emner Privacy, It-jura

Softwareleverandør: Ukrypteret CPR-login er i orden

Hvis et CPR-nummer står alene, kan det være i orden ikke at bruge kryptering. Det mener Tabulex, der sælger webløsninger med ukrypteret CPR-login. Datatilsynet vil se på sagen.

Af Jesper Kildebogaard Fredag, 26. juni 2009 - 9:33

Indtast CPR-nummer, og du er inde. Unge, der vil tilmelde sig et knallertkursus på den lokale ungdomsskole, møder i mange kommuner en løsning, hvor de skal opgive deres CPR-nummer over en ukrypteret forbindelse for at logge ind.

Og det er ikke en fejl, fortæller leverandøren af webløsningen, Tabulex.

»Teknisk set er det korrekt, at CPR-nummeret suser af sted ukrypteret. Men CPR-nummeret er ikke en personfølsom oplysning, hvis det ikke kan knyttes til andre oplysninger om personen, for eksempel navnet,« siger Stig Korgaard, direktør for Tabulex.

Firmaet har talt med Datatilsynet, før softwaren kom på markedet, og har ifølge Stig Korgaard fået grønt lys til løsningen, .

»Kunderne tiggede og bad«

Ungdomskolerne, der køber softwaren, kan også vælge en løsning med brugernavn og password, men CPR-nummer-login er nemmere at håndtere, så det vælger de fleste.

»De har tigget og bedt om at få det lavet med CPR-nummer, fordi det er det, de har ved hånden. Kommunerne har jo adgang til CPR-numre på deres egne borgere, og så kan de tillade adgang for alle mellem 13 og 19 år,« forklarer Stig Korgaard.

Tabulex' løsning kunne også have været krypteret med den sikre protokol https, men det har firmaet fravalgt.

»Der er intet teknisk til hinder for det, men vi har vurderet, at det ikke var nødvendigt. Det ville give problemer på ungdomskolerne, som så skulle have hjælp til at bruge kommunens certifikat til det,« siger direktøren.

Til gengæld er der i den nyeste version taget et andet sikkerhedshensyn. Det eneste, de unge kan, når de er logget ind, er nu at tilmelde sig smykkelavningskurset, eller hvad der nu udbydes - der er ikke adgang til nogen information om andre tilmeldinger eller oplysninger om personen selv.

Det er gjort for at undgå potentielle uheldige situationer, hvor det for eksempel kan give en ungdomsskole-elev problemer, hvis andre kan lokalisere, hvor vedkommende befinder sig, ud fra listen over tilmeldinger, fortæller Stig Korgaard og understreger, at ændringen ikke er sket på baggrund af en konkret situation, men kun for at være på forkant.

Datatilsynet: Ikke normal praksis

Hos Datatilsynet kan kontorchef Lena Andersen ikke afvise, at Tabulex har fået grønt lys til at bruge CPR-numrene på en ukrypteret http-forbindelse, men hun har omvendt heller ikke har hørt om, at firmaet skulle have fået en undtagelse.

»Praksis er, at CPR-numre altid skal beskyttes med kryptering på nettet, uanset om det står alene,« siger Lena Andersen.

Tilsynet er i øvrigt på vej til at kulegrave hele Ungdomsskole-området, og her vil den udbredte brug af CPR-numre over ukrypterede forbindelser også blive kigget nærmere på, oplyser kontorchefen.

Stig Korgaard holder fast på, at Tabulex har rygdækning for firmaets brug af CPR-numre til login, men vil for en sikkerheds skyld kontakte Datatilsynet for at spørge igen, fortæller han.

Send Tweet
Udskriv

IT-job & karriere

  • Se alle it-job
  • Importer din kompetenceprofil fra LinkedIn
Microsoft specialist til Infrastructure Management
Udgivet 14. dec 2011 10.17
Lead Developer BizTalk - FAST stilling
Udgivet 24. nov 2011 13.06
SAP BusinessObjects Business Intelligence Specialist/Arkitekt
Udgivet 26. okt 2011 15.19
Erfaren BI konsulent til Business Information Management afdeling
Udgivet 8. dec 2011 9.44

Kommentarer (5)

Opret en konto eller log ind for at følge indhold på Version2 - og bliv opdateret via e-mail eller rss

Følg kommentarer
Rene Madsen 26. jun. 2009 - 10.20
 
Dårlig undskyldning

Ikke at bruge et certifikat er bare ren dovenskab.

Et certifikat koster for det mindste under 500,- for det billigste https://www.digitaltcertifikat.dk/da/produkter/

Og ja, det skal måske være noget der giver en grøn bjælke, eller hvad man nu har lyst til.

Men i min optik, så er det ren og skær sjusk ikke at bruge det ved så følsomme oplysninger. Hvis man vælger at bruge de billige certifikater, så kan man uden de store omkostninger kunne dele dem ud til alle der skal bruge et site, hvorpå der skal bruges et CPR nummer.

»Der er intet teknisk til hinder for det, men vi har vurderet, at det ikke var nødvendigt. Det ville give problemer på ungdomskolerne, som så skulle have hjælp til at bruge kommunens certifikat, siger direktøren.

Problemer på ungdomsskolerne... De skal da ikke have anden hjælp en alle andre der skal ind på siden = ingen hjælp.

Hvis de skal have content op, så har de forhåbentligt ikke adgang til den kode der har med CPR numrene at gøre - ellers er de da helt tabt bag af en vogn...

  • Stem op 0
  • Stem ned 0
  • Log ind eller opret en konto for at skrive kommentarer
Lars Sommers billede
Lars Sommer 26. jun. 2009 - 11.06
 
CPR alene er også vigtig info

Hvis vi ser på hvem der kan udnytte CPR-oplysningerne, når de transmitteres mellem en elev og skolen eller kommunens server, er hovedparten måske nogen der har noget med skolen eller kommunen at gøre. F.eks. andre elever.

De har givet vis ikke super svært ved at finde ud af hvilke elever (elevnavne) der har hvilke fødselsdage, og så er navn og nummer kædet sammen.

  • Stem op 0
  • Stem ned 0
  • Log ind eller opret en konto for at skrive kommentarer
Christian Schmidts billede
Christian Schmidt 27. jun. 2009 - 13.24
 
Re: Dårlig undskyldning

Udover indkøb og installation af certifikat skal websitet også have sit eget IP-nummer (eller i hvert fald være det eneste site på IP-nummeret, der bruger port 443, medmindre det deler et stjernecertifikat med andre sites på samme domæne).

Så det er lidt mere bøvlet end som så. Dermed ikke sagt, at det er en dårlig idé.

  • Stem op 0
  • Stem ned 0
  • Log ind eller opret en konto for at skrive kommentarer
Rene Madsen 27. jun. 2009 - 17.37
 
Re: Dårlig undskyldning
Udover indkøb og installation af certifikat skal websitet også have sit eget IP-nummer (eller i hvert fald være det eneste site på IP-nummeret, der bruger port 443, medmindre det deler et stjernecertifikat med andre sites på samme domæne

Stadig ikke nogen undskyldning... Bare fordi det er besværligt at lave et minimum af sikkerhed, så skal man ikke undlade den form for sikkerhed.

Så må man anskaffe flere IP adresser, de koster mig bekendt i sig selv ikke penge.

  • Stem op 0
  • Stem ned 0
  • Log ind eller opret en konto for at skrive kommentarer
Anonym (ikke efterprøvet) 28. jun. 2009 - 09.47
 
Sådan går det galt

CPR-nummeret er så hybersensitivt at det principielt ikke må¨bruges til noget. HVERKEN som "sikkerhed" eller som "reference" - førstnævnte giver falsk sikkerhed, sidstnævnte ødelægger datasikkerheden.

Du kan teoretisk få et nyt cpr-nummer, men det er så besværligt at det i praksis er tæt på de samme sikkerhedsproblemer som biometri.

»De har tigget og bedt om at få det lavet med CPR-nummer, fordi det er det, de har ved hånden. Kommunerne har jo adgang til CPR-numre på deres egne borgere, og så kan de tillade adgang for alle mellem 13 og 19 år,« forklarer Stig Korgaard.

Ungdomsskoler burde slet ikke have adgang til eller ret til at bruge cpr-nummer til noget.

Man tænker sig ikke om, det centrale systemer skaber ikke løsninger og decentralt tager man bare første den bedste model.

Der er ingen tvivl om at dette er groft uansvarlig misbrug af cpr-nummeret - uanset om den specifikke service er sensitiv eller ej. Problemet er ikke så meget om der er en teoretisk risiko for det specifikke system, men at det generelt underminerer sikkerhed ved at lade nogen tro at det er i orden.

Nej - man må ikke bruge "moderat fysisk pres" til at få tilståelser og man må heller ikke misbruge cpr-nummeret. Tag jer sammen !

Problemet er den bovlamme håndtering i Datatilsynet som ikke stiller krav til de andre ministerier om at tage sig sammen. Det efterlader alle andre i håbløse problemer så man forfalder til grove fejl som denne.

Det går galt når de centrale myndigheder ikke understøtter en flerlagsstruktur hvor man håndterer ændring i rettigheder så man decentralt ikke behøver at misbruge cpr-nummereret.

Ethvert system skal håndtere sin egen access kontrol som etablerer lokal genkendelse. Indrullering og revokation er så et særskilt punkt uafhængigt heraf fordi de afhænger af den specifikke kontekst.

  • Stem op 0
  • Stem ned 0
  • Log ind eller opret en konto for at skrive kommentarer

Tilføj kommentar

Opret en konto eller log ind for at følge indhold på Version2 - og bliv opdateret via e-mail eller rss

Følg kommentarer
Log ind herunder eller opret en bruger for at skrive kommentarer
Du kan logge ind med din e-mail-adresse
Der er forskel på store og små bogstaver i adgangskoden.
Glemt adgangskode?

Seneste nyt

4 gode sikkerhedsråd: Sådan gør du firma-pc'en vinterferieklar

Udgivet 10. feb 8.01Opdateret 10. feb 8.01

Konklusion af Polsag-review fra 2009: Elendig kode hånd i hånd med elendig kontrakt

Udgivet 10. feb 6.59Opdateret 10. feb 9.21

It skal spare kommunerne for 165 millioner kroner i 2012

Udgivet 9. feb 16.02Opdateret 9. feb 16.02

Adobe: Vi laver ikke Flash til Android-udgaven af Chrome

Udgivet 9. feb 15.15Opdateret 9. feb 15.15

Så oldnordisk er politiets it-miljø: Nostalgisk gensyn med 1980’erne

Udgivet 9. feb 14.22Opdateret 10. feb 9.05
Flere it-nyheder »
Få it-nyheder og blogs hver dag med Version2's nyhedsbrev.

Seneste debat

  1. Konklusion af Polsag-review fra 2009: Elendig kode hånd i hånd med elendig kontrakt

    7 comments.
    Last update 19 minutter 33 sekunder
    Skrevet af Adam Tulinius
  2. 4 gode sikkerhedsråd: Sådan gør du firma-pc'en vinterferieklar

    3 comments.
    Last update 24 minutter 54 sekunder
    Skrevet af Maciej Szeliga
  3. Så oldnordisk er politiets it-miljø: Nostalgisk gensyn med 1980’erne

    11 comments.
    Last update 36 minutter 32 sekunder
    Skrevet af Jesper Kildebogaard
  4. Stop SOPA, PIPA, ACTA, TPP og alle dem der kommer efter

    51 comments.
    Last update 39 minutter 28 sekunder
    Skrevet af Jesper Lund Stocholm
  5. Apple vildleder danske kunder med dårlig serviceordning

    16 comments.
    Last update 1 time 10 minutter
    Skrevet af Jesper Poulsen
  6. Dansk it-firma: Befriende med e-mailfri januar

    4 comments.
    Last update 1 time 30 minutter
    Skrevet af Morten Marquard
  7. Domæne-forening: Lov om .aarhus og .cph var for tynd

    12 comments.
    Last update 1 time 41 minutter
    Skrevet af Nikolaj Brinch Jørgensen
  8. Opdateret liste over danske iværksættere

    2 comments.
    Last update 5 timer 51 minutter
    Skrevet af Therese Hansen
Mere debat »

Information

  • Kontakt redaktionen
  • Job- og annoncesalg
  • Teknisk support
  • Om Version2
  • Brugerbetingelser
  • Privatlivspolitik

Aktuelle emner

  • Agil udvikling
  • Android
  • Bruttolønsordning
  • Business Intelligence
  • Cloud computing
  • Digitaliseringsstyrelsen
  • HTML5
  • Harddisk-priser
  • IE9
  • Intranet
  • It-sikkerhed
  • Kindle Fire
  • Multimedieskat
  • NemID
  • OS X Lion
  • Open source CMS
  • Projektledelse
  • Scrum
  • Sharepoint intranet
  • Storage
  • Ubuntu 11.10
  • Virtualisering
  • Windows 8
  • Windows Phone 7
  • iOS 5
  • iPhone 4S

Tjenester

  • Android-app
  • iPhone-app
  • RSS-feeds
Følg @version2dk
Få it-nyheder og blogs hver dag med Version2's nyhedsbrev.

Version2 udgives af

  • Mediehuset Ingeniøren A/S work Skelbækgade 4 1717 København V
  • Tlf. work 33265300