Bankerne: Vi ville gerne have NemID på hardware - men kan ikke

Den nye NemID-løsning med privat nøgle på en USB-token kan ikke bruges i netbanken. Det er rent teknisk umuligt, siger bankerne, som gerne ville have haft muligheden.

Nets DanID har nu - næsten to et halvt år for sent - lanceret muligheden for at få NemID, uden at DanID skal opbevare både din private og din offentlige nøgle.

Men NemID på hardware, som løsningen hedder, kan ikke bruges til netbank, og dermed skal danskere, som gerne vil have helt styr på egen private nøgle, stadig have et papkort med engangskoder til netbanken.

Læs også: NemID på egen hardware klar - men udenlandsk webshop har udsolgt

Selvom NemID udefra ligner ét samlet system, er det nemlig to helt forskellige tekniske løsninger, som via login-boksen giver dig adgang til netbanken og til offentlige websider (OCES). Og derfor er NemID til hardware kun kommet til de offentlige websider.

»Det kan rent teknisk ikke lade sig gøre, med mindre vi laver vores system fuldstændig om, har vi fået at vide. Og det har man ikke kunnet se en stor nok fordel i til at ville lave systemet helt om,« siger Jesper Goul, juridisk konsulent hos bankernes organisation Finansrådet, til Version2.

Fordelene ved at få sin private NemID-nøgle sikret i en kryptochip har i Version2’s it-kyndige univers været, at DanID så ikke opbevarer både den private og den offentlige nøgle på firmaets servere. Men faktisk er NemID på hardware også kommet til, fordi det er nemmere at bruge for handicappede, fortæller Jesper Goul.

»Vi er blevet spurgt af handicaporganisationer, om det vil kunne bruges i netbank, og de har været lidt kede af, at det ikke kan lade sig gøre. Det er vi også. Bankerne vil gerne have haft det af hensyn til de handicappede, og på grund af den kritik, som nogle har af NemID,« siger han.

I stedet håber han på, at det kan komme til senere.

»Det kan være, det bliver indført, når man engang i fremtiden giver NemID den helt store tur,« siger Jesper Goul.

Rent teknisk er forskellen på netbankernes NemID og den offentlige OCES-udgave af NemID, at man får et nyt korttidscertifikat, hver gang man logger på netbanken, mens OCES-certifikatet bliver udstedt én gang og er strengt personligt.

Med OCES-certifikatet og de rette koder kan man nemlig udgive sig digitalt for at være den person, man er, for eksempel når man køber og sælger ejendom, og derfor har nogle været bekymret over den måde, NemID har været designet på.

Både den offentlige nøgle og den strengt private nøgle, som tilsammen udgør den digitale identitet, bliver nemlig som standard opbevaret hos DanID. Ifølge DanID bliver adgangen til den private nøgle låst med brugerens password, som kun han eller hun kender.

Med muligheden for at få sin private nøgle på en kryptochip i stedet, kan man selv få fuld kontrol over sin private nøgle til NemID. Omvendt er der ingen hjælp at hente, hvis man mister nøglen. For eksempel til at dekryptere e-mails, man tidligere har krypteret med sin NemID.

Hos bankerne har man hele tiden været godt tilfreds med den nuværende løsning.

»Vi føler ikke, at det er det store problem, at nøglerne ligger hos Nets,« siger Jesper Goul til Version2.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (26)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Niels Didriksen

Hmm.. Måske er Jesper Goul fra Finansrådet ikke klar over at det er "ham selv" der ejer Nets-Danid.

Det er efterhånden svært at vurdere fordelingen af malice/incompetence i denne sag.

På den ene side, lugter det af, at den ene hånd ikke har vidst hvad den anden lavet, da man specificerede kravenen til systemet. Og på den anden side stinker det væk af, at nogen har været så forhippet med at få de private nøgler (TDC's gamle OCES feks.) ud af borgernes lommer og undgå udbredte markeds-standarder, at de fuldstændigt har overset konsekvenserne.

Hvor blot en af dem nu er, at vi står med 2 forskellige systemer.

»Det kan være, det bliver indført, når man engang i fremtiden giver NemID den helt store tur«

Haha.. Hvis dette skal oversættes til:

"Når man engang i fremtiden bliver nødt til at re-implementere NemID, med hensyn til -fremtidssikring -konkurrencesikring -de sidste 50 års matematiske landvindinger og sikkerhedsmæssige best-practices -uvildige eksperters kritik -borgernes behov at give NemID den helt store tur"

..ja så har han sikkert ret. Eneste irriterende detalje er, at vi som samfund må vente x antal år på Godot^H^H^H^H^H at blive "verdens bedste it-nation" og så naturligvis lige til lommerne og smide en lille milliard-håndfuld ekstra på konsekvenserne af de relevante beslutningstageres inkompetence/malice.

  • 30
  • 3
#2 Morten Hattesen

De fleste usability problemer ville være løst, hvis blot DanID ville indse, at brugen af en Java Applet (browser plugin) var en fejl, og man ændrede Nem-ID login (inkl bankernes) til blot at anvende en simpel HTML formular over https (TLS).

Det var præcis hvad jyskenetbank.dk anvendte (med et engangskode-papkort) inden nem-id.

Det ville løse følgende problemer:

  • Tilgængelighed på mobile platforme (iOS, Android m.fl)
  • Tilgængelighed på browsere (fx kan nem-id ikke længere anvendes med Chrome på OSX, fordi Java plugin ikke kan køre i en 32-bit Java)
  • Langt større "initial success rate" i modsætning til nu, hvor en stor andel af brugere først skal installere Java på maskinen, genstarte browseren og svare på et utal af dialoger - ikke "mormor-venligt".
  • Langt færre sikkerhedsmæssige sårbarheder - de fleste skyldes huller i Java, som kræver okonstante opdateringer af Java.
  • Tilgængelighed for handicappede (skærm-læsere m.v. virker ikke i applets)

Det eneste som DanID ville gp glip af, er at de ikke længere kan skubbe deres "kode i en gif fil der sniffer din hardware" ud på folks maskiner - i sig selv noget der minder om en dårlig virus. Men det vil nu i sig selv være en fordel, da brugere ikke længere skal acceptere en dialog der beder om ubegrænset adgang til hardwaren.

Når Java så er fjernet, kan man fortsætte diskussionen af hvem der skal besidde privatnøglerne (brugeren selv eller Dan-ID)

  • 8
  • 0
#3 carsten guldhammer

der burde nok kunne findes de penge af bankerne selv til at lave det om.

når vi nu har været vidne til at den lille små spare / små auktionær er på det nærmeste blevet udplyndret eftertrykligt af visse banker ved at blive fuppet til at hælde deres spare penge i smikede aktier og dårlig rådgivning hvor bankerene kun står ved håndvaskene og vasker deres hænder her bagefter, og når vi nu tilmed er vidne til her i går aftes at specielt danske bank fik banket politikerne på plads med bankpakke 2 så bankerne nærmest får lånene i bankpakkerne gratis når staten vælger at holde hånden under dem.

så mener jeg at bankerne burde betale selv for at lave den nem ide løsniong om til den her nye løsning..

  • 3
  • 1
#4 Jan Jensen

Bankerne kunne jo bare indrullere sig som OCES tjenesteudbyder, og give mulighed for at vælge mellem Netbank NemID og Hardware NemID, når brugeren skal logge på. Ligesom der gøres når man logger på f.eks. SKAT...

  • 6
  • 0
#5 Christian Panton

Så fordelen med papkortløsningen skulle være at DanID kunne hjælpe med at at låse ens nøgle op hvis man glemmer passwordet? Så er ens nøgle jo ikke beskyttet fra at det kun er brugeren som kan bruge den.

NemID med papkort Ifølge DanID bliver adgangen til den private nøgle låst med brugerens password, som kun han eller hun kender.

NemID på hardware Med muligheden for at få sin private nøgle på en kryptochip i stedet, kan man selv få fuld kontrol over sin private nøgle til NemID. Omvendt er der ingen hjælp at hente, hvis man mister nøglen.

  • 9
  • 0
#6 Christian Nobel

Er tiden ikke ved at være moden til at man tager skridtet til at adskille bank og samfund.

Lad bankerne hvis de synes det er sjovt fortsætte med deres fælles centrale login løsning, og lad så den milliard samfundet har postet i det såkaldte "NemID" gå til at samtlige borgere kan tilbydes en sikker digital signatur, der ikke er rodet sammen med bankforretninger.

  • 15
  • 0
#7 Rasmus Faber-Espensen

Så fordelen med papkortløsningen skulle være at DanID kunne hjælpe med at at låse ens nøgle op hvis man glemmer passwordet? Så er ens nøgle jo ikke beskyttet fra at det kun er brugeren som kan bruge den.

DanID kan ikke låse nøglen op, hvis du har glemt koden. De kan til gengæld generere en ny til dig og få udstedt et nyt certifikat. Fra et bruger synspunkt er det svært at se forskel, men teknisk er der naturligvis stor forskel.

  • 2
  • 0
#10 Carsten Jørgensen

Her er den korte version:

De danske banker besluttede at lave én fælles sikkerhedsløsning baseret på korttidscertifikater. Efterfølgende kom IT- og Telestyrelsens OCES-II udbud, men da bankerne allerede var igang blev de to løsninger samlet i NemID. Samme brugeroplevelse, men to forskellige bagvedliggende systemer.

Når OCES-III bliver udbudt om nogle år stiller Digitaliseringsstyrelsen nye krav - og hvis det igen ender i en ny fællesløsning kan det være bankerne går med fordi løsningerne kan kravspecificeres samtidig...

Ikke noget nyt eller mærkeligt i det.

"kode i en gif fil der sniffer din hardware" Udover beskyttelse imod Mand-in-the-Middle osv er java appletten lokalt på din maskine den der, via recursive SRP-protokoller baseret på dit password og din OTP, etablerer forbindelsen ind i DanID's HSM så privatnøgle operationerne kan laves der. I Netbanken sker privatnøgle operationerne inde i java appleten lokalt på din maskine.

"en simpel HTML formular over https" Er der nogen der i 2012 mener det er en sikker løsning for noget så vigtigt som DanID?

"Så fordelen med papkortløsningen skulle være at DanID kunne hjælpe med at at låse ens nøgle op hvis man glemmer passwordet?" Nyt password = nyt certifikat. DanID kan ikke låse nøglen op.

  • 2
  • 3
#11 Jesper Poulsen

"Så fordelen med papkortløsningen skulle være at DanID kunne hjælpe med at at låse ens nøgle op hvis man glemmer passwordet?" Nyt password = nyt certifikat. DanID kan ikke låse nøglen op.

Men DanID kan, på forlangende fra den dømmende magt, give adgang til dokumenter der er sikret med NemID på papkort. Det har været oppe på et §20-spørgsmål i Folketinget.

  • 3
  • 0
#13 Peter Kyllesbeck

DanID kan ikke låse nøglen op, hvis du har glemt koden. De kan til gengæld generere en ny til dig og få udstedt et nyt certifikat. Fra et bruger synspunkt er det svært at se forskel, men teknisk er der naturligvis stor forskel.

Det svarer jo så til, at man mister nøglen (den gamle). Man får en ny, og det, man tidligere har brugt 'den gamle' nøgle til (f. eks. kryptering), er tabt. Så hvad er forskellen? Både med pap og hardware mister man den private nøgle. - eller er der noget jeg overser (i betydningen undgår at se, modsat overskue)

  • 0
  • 0
#14 Jesper Lund

Er tiden ikke ved at være moden til at man tager skridtet til at adskille bank og samfund.

Nu er det ikke ligefrem den retning som udviklingen går i... Næste gang du skal ansøge din bank om et lån, kan du slippe for at besværet med at indsamle dine lønsedler til dokumentation for din indkomst. Du kan blot give din bank et samtykke til at hente dine oplysninger i e-indkomst registeret. Det er netop muliggjort ved en lovændring. Indtil videre skal der gives samtykke hver gang (lovkrav), men om et par års bliver det krav sikkert fjernet (det skal være NEMt, ikke?), og derefter bliver det skrevet ind i bankens generelle betingelser at de må hente "dine" e-indkomst oplysninger når der er behov for dette.

  • 2
  • 0
#15 Jesper Lund

Nej, læs hvad der står i §20-spørgsmålet.

Så vidt jeg husker svaret står der at det vil være teknisk muligt for DanID at omgå deres egen sikkerhed, således at de kan skaffe sig adgang til at bruge din private nøgle hvis staten kræver dette. Det kunne f.eks. være afluring af dit password som jo modtages af DanIDs Java applet.

En anden mulighed er brute force angreb på dit password som i mange tilfælde vil have en (for) lav entropi. Mig bekendt har vi aldrig fået dokumentation for at DanID's HSM ødelægger den private nøgle efter et antal forkerte password forsøg?

Svaret på § 20 spørgsmålet siger også at tilsvarende "angreb" er teknisk umuligt ved NemID på hardware.

  • 2
  • 0
#16 Jesper Lund

"en simpel HTML formular over https" Er der nogen der i 2012 mener det er en sikker løsning for noget så vigtigt som DanID?

Det svageste led i systemet er MiTM angreb via falske NemID websider (phishing) og man-in-the-browser angreb hvor din computer er inficeret med malware. Jeg kan ikke se at Java applets giver nogen beskyttelse mod disse ting som Javascript ikke gør?

Hvis sikkerheden i NemID kun kan "opretholdes" ved at en Java applet skal indsamle alle mulige oplysninger om min computer (det kan Javascript kode ikke), er der noget fundamentalt galt med systemet.

EDIT: ovenstående bemærkninger gælder netbank delen af NemID. I forhold til adgangen til OCES delen, vil Java nok have nogle sikkerhedsmæssige fordele, men det falder primært tilbage på det fejlagtige design med central opbevaring af de private nøgler. Java er også påkrævet hvis jeg vælger NemID på hardware, selvom det burde være muligt at lave denne smartcard løsning med åbne standarder.

  • 3
  • 0
#17 Carsten Jørgensen

Der står, at løsningen skal laves om hvis politiet ønsker en teknisk mulighed for at anvende borgerens digitale signatur eller dekrypteringsnøgle.

Jeg kan kun udtale mig for 2007-2009 da jeg var med i projektet: Der var ingen bagdøre i løsningen.

Det er en movie plot trussel at tro de efterfølgende skulle have ødelagt NemID med en bagdør. I kan alle sammen lave 10 løsninger, der både er hurtigere, billigere og mere effektiv, end at NemID skulle ændres til at kunne opsnappe brugernes password.

http://www.ft.dk/samling/20072/almdel/uvt/spm/219/svar/574868/601811/ind...

  • 1
  • 1
#18 Carsten Jørgensen

"Det svarer jo så til, at man mister nøglen (den gamle). Man får en ny, og det, man tidligere har brugt 'den gamle' nøgle til (f. eks. kryptering), er tabt."

Det er korrekt.

"Så hvad er forskellen? Både med pap og hardware mister man den private nøgle."

Hvis man er blind eller svagtseende kan hardwaren sikkert læse koden højt og hvis det er en bekymring, at DanID opbevare den private nøgle kan man selv opbevare den på sin token.

  • 0
  • 0
#19 Jesper Lund

Hvis man er blind eller svagtseende kan hardwaren sikkert læse koden højt og hvis det er en bekymring, at DanID opbevare den private nøgle kan man selv opbevare den på sin token.

Jeg går ud fra at den private nøgle på smartcarded er beskyttet af et password, som minimum en 4-cifret pinkode (der vist er standarden på sådanne smartcards?). Det må være smartcard'et som validerer dette password/pin.

Sammenlignet med papkort NemID vil det reducere indtastningsbehovet for de svagtseende. Med NemID på papkort skal man indtaste brugernavn og password, og derefter aflæse en OTP kode eller modtage et telefonopkald med koden.

Man kan ikke komme helt ud over indtastning hvis det skal være to-faktor med noget man ved og noget man har.

  • 0
  • 0
#20 Christian Panton

"en simpel HTML formular over https" Er der nogen der i 2012 mener det er en sikker løsning for noget så vigtigt som DanID?

Jeg vil påstå at vænne danskerne til at køre kode på deres maskine og at få danskerne til at installere Java (+200 CVE's siden 2007), har gjort mere negativt ved den almene it-sikkerhed i DK, end en HTML formular, som havde været en lavere hængende frugt for kriminelle. Men nu er det jo også bankerne som har designet det her, så det er jo ligemeget at hr. og fru Danmark har hullede privat pc'ere, sålænge det ikke koster bankerne noget.

  • 4
  • 0
#22 Finn Christensen

Hmm.. Måske er Jesper Goul fra Finansrådet ikke klar over at det er "ham selv" der ejer Nets-Danid.

Nu ikke så 'ond' Niels :), Jesper Goul er juridisk konsulent og det fortæller jo, han ikke har forstand på emnet, og kun fortæller hvad der hviskes i øresneglen.

Men ellers har du ret, bankerne havde også her deres egen grådighed i kikkerten, så de glemte brugernes interesser.

Hvem som helst havde fattet konceptet uden vrøvl, hvis SlemID var født som en USB-dims, nemlig den der nu endelig kommer til OCES.

Fedtspilleriet (korttidscertifikat), der blev valgt som overgangsløsning, viser jo de pressede deres egen løsning ned på discountniveau. Det er gebyrgribben, beslutningstagerne, der skal hales frem i lyset og afklapses, da både Finansråd og Nets alene er hyret skankepersonale.

  • 1
  • 0
#23 Nils Bøjden

"Det kan rent teknisk ikke lade sig gøre, med mindre vi laver vores system fuldstændig om, har vi fået at vide. Og det har man ikke kunnet se en stor nok fordel i til at ville lave systemet helt om,"

Når man som leverandør skal til at foretage ændringer gælder det selvfølgelig altid om at de ændringer man foretager ser så komplicerede, betydningsfulde og altomfattende ud, således at når man starter forhandlingerne om prisen på grisen, vil man have disse argumenter med til forhandlingerne.

Standard salgs procedurer, men ikke nødvendigvis noget med virkeligheden at gøre.

  • 0
  • 0
#24 lArs hAnsen

Det kan rent teknisk ikke lade sig gøre, med mindre vi laver vores system fuldstændig om, har vi fået at vide. Og det har man ikke kunnet se en stor nok fordel i til at ville lave systemet helt om,

Så bankerne kan med andre ord ikke se en fordel i at kunne forhindre man-in-the-middle angreb som en signatur løsning effektivt ville kunne forhindre.

  • 0
  • 0
#26 Kenn Nielsen

Kom så i dag:

Nu skal bankerne rette op på deres blakkede rygte.

Så dette var første trin i den kommende kaskade af "hør hvor alvorligt vi tager jer" efterfulgt af et par PR-stunts hvor der gøres meget ud af at følge nogle ankenævnsafgørelser.

K

  • 0
  • 0
Log ind eller Opret konto for at kommentere