"Myndighed bag MitID efter kritik af sikkerheden: »Det er den måde systemet virker på«"

Nå sådan - det er helt med vilje? så er vi mere rolige.....

En teenager kan med andre ord blokere for kritisk infrastruktur. Er der en voksen til stede?

Hvad sker der, hvis Nets sælger til et amerikansk firma, eller til et andet usikkert 3. land? Så overholder de vel ikke længere GDPR?

Det er korrekt. MitID er kritisk national infrastruktur, og derfor får Nets næppe lov til at afhænde tjenesten til hvem de vil. I mine øjne - og selv om jeg ellers er meget liberalt anlagt - vil det eneste rigtige være, at den danske Stat overtager denne løsning. At have en national identitetsløsning på private hænder - uanset om hænderne er danske eller ej - sætter hele det danske samfunds sikkerhed på en unødvendig prøve, uden at der opnås nogen fordel ved det - kun øget risiko.

Siden mitID er kommet til har jeg taget mig til hovedet, fordi jeg kan ikke få øje på bedre sikkerhed, selvom jeg virkelig prøver. Jeg har selv gættet flere venners brugernavn, så det betegner jeg ikke som hemmeligt medmindre det er meget svært at gætte. Derefter mangler man "swipen" - hvor er så 2FA ???? Det havde man i det mindste med nemID da man også havde kodeord + swipe. det er jo 2-faktor. Ved mitID er det jo stort set kun 1-faktor som jeg ser det. Nu har eksperimentet bevist at de kan lukke en bruger ud, og hvis man så ved uheld swiper, så er der en anden der har fået adgang. Ingen 2-fa her. Jeg kan ikke forstå at ingen under udviklingen har hejst flaget her og sagt "Det er ikke smart, det kan vi ikke udrulle".

"Det viser en undersøgelse af sikkerheden i MitID, som Version2 har foretaget. På bare en enkelt nat lykkedes det Version2 at gætte 11.000 valide MitID-­brugernavne med en meget simpel kodestump, der gættede på danske fornavne. "

Nej nej nej, hvordan kan det gå til? Vi er jo netop blevet bildt ind, at det er for at forbedre sikkerheden, at vi har skullet igennem dette udskilningshelvede, som lukker en stor del af befolkningen ude fra samfundet. Selv Pernille Vermund kan ikke hænge på - og så må der jo virkeligt gøres noget. Når først toppen af samfundet ikke kan hænge på, så må der gribes ind, forstås:

"I sidste uge kom Pernille Vermund (NB) for skade at smide sin telefon væk. Dermed blev hun uforvarende kastet ind i den digitaliseringens labyrint, som en stor befolkningsgruppe er faret vild og blevet marginaliseret i. »Det er et kæmpe problem, som vi skal gøre noget ved«, siger Nye Borgerliges formand. »Jeg er veluddannet, jeg er velorienteret, jeg bruger digitale medier hver dag. Men da jeg mistede min telefon og skulle aktivere MitID i den nye, så var det mildest talt så kompliceret, at jeg i raseri var ved at smide telefonen væk. Og når det er så kompliceret for mig, er der ikke noget at sige til, at folk giver helt op og ikke vil mere«, fortsætter Pernille Vermund. Hun måtte gå gennem fire forskellige kommuner for at få en ledig tid i borgerservice, der lå tidligere end slutningen af oktober for at sikre sig adgang til sin egen økonomi og offentlig kommunikation. »Jeg kunne risikere at blive indkaldt til noget vigtigt, som jeg ikke ville se det før slutningen af oktober. Det er jo helt meningsløst«."https://politiken.dk/indland/art9002642/Partiledere-Tiden-er-kommet-til-at-samle-Danmarks-digitale-underklasse-op

Det kan vi virkeligt ikke have!

Og her i valgkampen kappes politikerne, som har været ansvarlige for sumpen, om anger og gyldne løfter om, at det skal blive bedre.

"»Det er jo komplekst, fordi vi har så mange digitale platforme, og at rulle digitaliseringen baglæns vil være dumt. Men en del af svaret er at produktudvikle nogle systemer, der er mere intuitive for de digitalt udfordrede, men også for alle dem, der har kompetencerne. Noget handler om at lave undtagelser for dem, der har det sværest, og etablere en assistance for dem, der har det svært og ikke har et netværk til at hjælpe sig. Og så skal vi se på hele setuppet med stat, kommuner og regioner og have fokus på, hvor vi har muskelkraften. I stedet for at have fem parallelle it-systemer i regionerne bør vi lave ét fælles og investere de ressourcer, der spildes i de forskellige siloer«, siger Lars Løkke Rasmussen. "

Det er fint med lidt erkendelse af problemet - langt om længe - men det er den forkerte tilgang. Vi skal ikke fortsætte "fuld fart frem" - vi skal stoppe op, tage en tænkepause, og få de løsninger, som faktisk er vigtige, men dårlige, til at fungere ordentligt. Og så skal vi faktisk luge ud, og nøjes med at digitalisere, når det er en ubetinget god idé, som løser store problemer, og hvor det har en reel chance for at lykkes på en god måde, så alle kan være med. Uanset hvad der tilstrømmer parti- og kandidatstøttekasserne her i valgkampen, skal vi ikke bare fortsat digitalisere bevidstløst derudaf, og så klamre os til at lave særordninger for dummernikkerne (Pernille Vermund, f.eks.) Det er det, der ville være dumt!

Det burde undersøges, hvordan vi er havnet i denne suppedas. Hvis der på møderne mellem topbeslutningstagere og lobbyister lige falder et par forblommede ord om ledige stillinger med gode lønninger, som lige mangler den rette mand, så er det i mine øjne regelret korruption - men utroligt svært at afsløre. Men vi kan godt sætte en kæp i hjulet ved at lave en karensperiode mellem ansættelser i nøglestillinger i det offentlige og i det private. Det kan man i andre lande.

For der må være en eller anden forklaring på, at vore beslutningstagere har handlet i årevis med hovedet under armen - for advarende røster har det jo ikke skortet på, og dumme er de garanteret ikke:

"Lars Løkke Rasmussen, formand for Moderaterne, medgiver et medansvar for som leder af tre regeringer siden 2009 at have glemt borgerne i it-begejstringen: »Vi har levet i denne digitaliseringstidsalder, alle har ligesom bare taget iPhones ned fra hylden. Jeg er så gammel, at jeg kan huske, da jeg fik min første mobil og tog en studentereksamen uden computer. Teknologien er kommet og kommet, og vi har grebet ud efter og forfulgt de muligheder, som jo også er fantastiske, men så er der noget, vi bare har overset her. Og det er vi nødt til at gøre bedre«, siger Løkke uden dog at have politikudviklet nok til at adressere flyvefærdige løsninger: .."

Hvorfor har man overset det, når man er blevet overdynget med advarsler? Der må være en forklaring, og mit gæt er statsautoriseret korruption, og at man ligeså stille hen ad vejen via VL-klubber, middage, konferencer, studierejser etc. er blevet lidt for gode venner med BigTechs lobbyister, og nu anser disse som sit egentlige bagland. Befolkningen er bare kvæg.

Selv Datatilsynet hjælper med at opbygge BigTechs støttegrupper, hvor alle kender hinanden (fra golfbanen?), og kan sidde og klappe hinanden på ryggen, uden kritiske borgeres øjne i nakken:https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2022/sep/specialudvalg-om-forskning

Hvor er de kritiske stemmer i dette udvalg? Hvor er Etisk Råd? Hvor er analogistyrelsen? Thomas Birk Kristiansen, som efterhånden er ekspert på dette område? Ikke engang Datatetisk Råd (som jeg ikke har meget tiltro til) er indkaldt. Det ligner en BigTech-lobbyistgruppe for undergravelsen af borgernes rettigheder tilegne sundhedsdata. Når vi fortsætter med disse ensidigt BigTech-venlige magtfulde udvalg, fårvi aldrig styr på digitaliseringen - vi borgere bliver kørt over meden damptromle.

Nå, det var en afstikker, men illustrerer alligevel godt det jerngreb, BigTech har taget om os og vore myndigheder.

"den nye aftale skal sikre, at efterretningstjenesternes dataindsamling kun foregår, når det er nødvendigt for at fremme USA’s nationale sikkerhed, uddyber man."

Hvad er det for noget fis! Skal de ikke simpelthen lade være med at indsamle data i andre lande?

Jeg håber sandelig ikke, at EU hopper på den limpind, for det er da i mine øjne en "catch-all"-tilladelse. Hvis de vil have data herfra, må de gå via dommerkendelse fra europæiske domstole - i Danmark via danske domstole.

Hvorfor skal vi den ene gang efter den anden trækkes igennem disse latterlige cirkusser for at tækkes både BigTech og NSA? Så længe USA insisterer på deres ret til at høste europæiske data - i al hemmelighed - kan der ikke komme en holdbar løsning.

Godt, vi har NOYB og Max Schrems til at holde dem i ørerne. Jeg vil opfordre alle til at melde sig ind og støtte NOYB (og man får oveni købet fine klistermærker og etuier til at beskytte mod aflæsning af dankort og til at lukke for pc-kameraet ved indmeldelse :-))

Nets/DanID har en lang tradition for ikke at sikre sig mod selv de mest udbredte angrebstyper. Det var først da NemID to gange blev lagt ned af en teenager, der bestilte et DDOS angreb for 100 kr., at de fandt ud af, at man skulle sikre løsningen mod DDOS. Samtidig var NemID alle dage sårbar overfor phishing/MiM angreb, da man skulle taste koder på alle mulige websider.

Det overrasker mig på ingen måde, MitID er sårbart overfor den form for DOS angreb, V2 her beskriver.

Vermund er en joke hvis hun ikke kan finde ud af det. Jeg gjorde det forleden og det tog få minutter alt i alt

Det er hvis du kan gå den snorlige vej. Hvis du er et af grænsetilfældene, så er det borgerservice. Og der er så tilstrækkeligt mange grænsetilfælde til at det fuldkommen har lagt borgerservice ned i mange kommuner.

Det var godt nok en grundig dokumentation for inkompetencen i Digitaliseringsstyrelses ledelse.

Ja, det må man sige. Lidt af det jeg faldt over under vejs:

»Typisk benytter eksempelvis virksomheder, antenneforeninger med flere den samme IP-adresse for al udgående trafik. Der skal derfor tages højde for, at flere forskellige brugere benytter samme IP-adresse. Derfor er grænsen sat med dette for øje. Grænsen er dog dynamisk og kan hurtigt ændres, hvis risikobilledet ændres.«

Man kan ikke tælle fejlforsøg via IP adresser. De skal tælles via sessioner, og derfor er sessionsbegrebet omgærdet af særlig sikkerhed i alle browsere. Og der skal kun være 1 forsøg pr. session. Taster man forkert, må man starte en ny session. Antallet af samtidige sessioner fra samme IP adresse skal begrænses til en vis procentdel af det antal potentielle brugere som benytter samme adresse. Hvis ikke man tæller pr. session kan man netop ikke ændre grænsen - uanset risikobilledet. Så svaret er skudt pænt ved siden af.

»Angrebet giver mulighed for individuel chikane. Det er dog muligt løbende at blackliste IP-adresser. Jeg ved ikke, om det er sket i det tilfælde, du nævner endnu.«

Og hvad gør man så hvis angrebet kommer fra en IP adresse som er NAT'et sammen med tusindvis af reelle brugere? Bum.

»Det er ikke et angreb, vi eller bankerne har set i praksis.

Hvis man står med ryggen til ser man ingenting, og derfor sker det ikke. Den udtalelse er der vist lidt Komiske Ali over.

Det er selvfølgelig også noget, man hele tiden vil overveje. Det har en konsekvens med højere sikkerhed. Stiller man meget høje krav til brugernavnene, vil man udelukke en gruppe brugere.

Når man har valgt at brugernavnet skal holdes hemmeligt, og at det skal gøres obskurt for at højne sikkerheden, så var det måske en glimrende idé netop at udelukke den gruppe brugere som ikke kan finde ud af det.

Bekymringen for denne slags angreb er en generel problemstilling. At lave opskrifter på, hvordan man laver DDoS-angreb er ikke godt, og det er ulovligt.

Opskrifterne på DDoS angreb findes i ti-tusind vis allerede, og russiske statshackere er ganske uimponeret over dansk lovgivning. Det gør vel bare deres arbejde mere spændende. Med den logik der lægges for dagen her, kan vi ende i en situation hvor det offentliges ansvar ophører, fordi man som bruger ikke lavede et brugernavn som var obskurt nok til at det ikke kunne hackes. Man skal måske overveje at kalde det et password, og ikke vise det i klartekst på skærmen, så i det mindste brugeren selv er klar over, at han skal holde det hemmeligt.

Har det angreb, jeg har lavet, trigget nogle alarmer i jeres system? »Nu er det ikke os der driver løsningen.

Så det er ikke Digitaliseringsstyrelsens ansvar? Hvis ikke Digitaliseringsstyrelsen har systemejerskabet til MitID hvem har så? Der er vist noget som ikke er på plads her.

Denne slags mærkelige pladder-svar får mig til at tænke tilbage på de mange mærkelig svar vi i tidens løb modtog fra Telestyrelsen, hver gang der blev stillet kritiske spørgsmål til noget. Dengang var det forretnings- og politik spørgsmål som blev affejet med mærkelige og ligegyldige svar, som indikerede ringe systemforståelse. Men det her er kritisk national infrastruktur, som potentielt har betydning for rigets sikkerhed, så den slags svar fungerer ikke her.