DanID er klar med papkortets afløser

For 99 kroner kan danskerne til efteråret købe en lille token, der kan levere engangskoder til NemID-login i stedet for papkortet.

Plager konceptet med engangskoder på et analogt papkort dig, er der snart mulighed for at købe sig til et mere digitalt alternativ.

Til september lancerer DanID nemlig en kodegenerator, og nu er DanID klar til at dele billeder og pris. 99 kroner skal det koste at droppe papkortet og få en sort eller hvid kodegenerator, hvis batteri skulle kunne holde i 3-4 år.

Undervejs i login-proceduren trykker man på den enlige knap og får så en seks-cifret engangskode frem i displayet, på samme måde som med RSA's SecurID, der bliver brugt af mange firmaer med et højt sikkerhedsniveau.

DanID er i kontrakten med staten forpligtet til at levere en gratis løsning til borgerne, men har derudover frie hænder til at finde på alternativer, der koster penge.

Løsningen med engangskoder via en token var egentligt planlagt til lancering i første halvår af 2011, men da kalenderen nåede frem til juni, valgte firmaet at vente med lancering til september for ikke at brænde markedsføringen af i sommerferien.

Læs også: NemID-token forsinket til efter sommerferien

DanID har også tidligere arbejdet på en løsning, hvor mobiltelefonen kunne bruges til at generere engangskoderne, enten via sms eller med en applikation, der selvstændigt kunne generere koderne.

Men de planer blev lagt i mølposen, da man nåede frem til, at sikkerheden ville blive for dårlig. En smartphone bliver nemlig i stigende grad brugt sammen med NemID, for eksempel til netbank, og dermed ville en hacker, som fik kontrol over en telefon, have for nem adgang til at misbruge et NemID-login.

Problemet var også, at en selvstændig applikation ville skulle rumme de algoritmer, der ligger bag engangskoderne, som dermed blev sårbare over for reverse engineering.

Læs også: Derfor dropper DanID NemID som mobil-app

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (67)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Jørgen Larsen

Have "hvad"? Anvendelse af NemID via mobiltelefon eller at telefonen skal fungere som nøglekort?

Jeg "kender" mange der allerede har taget et billede af deres pap-kort med deres telefon. Så deres telefoner er allerede et nøglekort. Nogle har et billede af pap-kortet liggende på pc'ens skrivebord, andre har en kopi på hotmail. Hvorfor vil slutbrugerne "sløse" med sikkerheden på den måde? Fordi, de ønsker en enkelt og nem adgang, og de tilsidesætter gerne god sikkerhed.

  • 0
  • 0
Poul-Henning Kamp Blogger

Jeg kan simpelthen ikke forstå, hvorfor nogen vil foretrække en kluntet dongle i stedet for et lille stykke lamineret pap.

Kan du virkelig ikke ?

Ved du godt at NemID også bruges af virksomheder ?

Kan du stadig ikke ?

Jeg ville som sikkerhedsansvarlig i et firma insistere på disse tokens, for de kan ikke affotograferes.

Poul-Henning

  • 0
  • 0
Palle Kaastrup

Problemet med den nuværende NemID løsning er primært at MIN og alle andres private nøgler opbevares hos DanID. Det er stadig tilfældet med denne token.

Jovist kan man så nu slippe af med det analoge papkort og erstatte det med et digitalt "papkort". Men selv om mange er trætte af det analoge papkort, så er det ikke det som er det reelle problem.

Jeg er enig i at det er bedre end det analoge papkort, da denne token ikke kan kopieres og indehaveren vil opdage, hvis den bliver stjålet.

Dette er kun et forsøg på at få pøblen til at holde kæft uden hensyntagen til de reelle problemer som en masse dygtige folk har påpeget både før og efter lanceringen af NemID.

Giv os vores decentrale nøgler. Det er vi blevet lovet.

  • 0
  • 0
Henrik Høyer

Kun presseafdelingen hos danId kender til denne løsning. Deres kundeservice nægter at en sådan eksisterer ;-) Efter længere dialog med dem, må de konstatere at deres pressechef ved mere end dem...

De har nu forgæves forsøgt at få yderligere informationer med dette kan tilsyneladende ikke lade sig gøre - de regner med at der nok kommer noget på hjemmesiden på et tidspunkt.

Det regner jeg dog ikke med, da deres seneres nyhed/pressemeddelse på hjemmesiden er fra sommeren 2010 ;-)

  • 0
  • 0
Morten Holst Larsen

Nu håber jeg der er et lille øje i, så den kan sidde i nøglebundet. Jeg synes ikke jeg kan se den detalje på billedet.
Fordelen ved papkortet er, at det har kreditkortstørrelse, så derfor følger det mig trofast. Jeg går sjældent fra mine nøgler eller tegnebogen.

  • 0
  • 0
Nikolaj Halberg

Ja jeg er også spændt på at se hvordan DanID har tænkt sig at implementere løsningen der er direkte sammenligenlig med f.eks. Blizzards Authenticator (som er en Digipass GO 6) som bruges til 2-faktor godkendelse af login til Blizzard's online spil.

Det største problem med DanID's token vil sikkert være at de sammenkæder token med ens NemID INDEN det bliver sendt til folk = så ryger en stor del af sikkerheden på nøjagtig samme måde som når de sender kodebrev og papkort ud samtidig.

Deres eksterne leverandør som laver/ udsender nøglekort og kodebreve og DanID har forresten stadigvæk rod i deres system.

Jeg har i forrige måned modtaget 2 stk. nyt NemID (altså hele "du har ikke haft NemID før og skal have det nu" brev tsunamien) på samme dag til mit gamle firma som jeg allerede havde NemID til (og som blev afmeldt hos Skat i oktober/ november 2010) og lur mig om jeg ikke i sidste måned modtog 3 stk. 100% identiske "Dit nemID er nu spærret" breve igen på samme dag.

Efter henvendelse til DanID fik jeg samme smøre som sidste år med at "tja tjo... der var vist nogle problemer med deres eksterne leverandør"... yderst betryggende... eller hov nej vent...

Se desuden her: http://www.version2.dk/grupper/digitalsignatur/forum/14334 og her: http://www.version2.dk/artikel/18676-redningskrans-paa-vej-til-til-nemid...

  • 0
  • 0
Niels Wind

Når SecurID kan have en Android app, kan NemID også.

Er en mobil en lige så god multi-faktor sikkerhed som et kopier-bart pap-kort (jeg har da en backup-kopi i boksen, samt et ekstra kort jeg kan skifte ned det samme) ? Ja det er det. Og så slap man for at skulle bestille ekstra kort.

Den eneste fordel pap-kortet kunne have, var hvis koderne blev brugt i rækkeflg, så man kunne strege ud var langt man var kommet. Så kunne man se hvis nogen havde en kopi, for så ville man skulle springe en 'udbrugt' kode over.
Kan du måske huske hvor mange koder du har tilbage på dit kort?

  • 0
  • 0
Vijay Prasad

Smart at fokusere på pap-kortet, og samtidig få introduceret en ekstra revenue-stream :)

De danskere jeg kender i udlandet vil sikkert meget gerne have sådan en, så de slipper for at møde op på ambassade og betale gebyr for at få et pap-kort udleveret. (specifikt Indien, hvor at møde op på ambassaden kan være flere dages rejse)

Mvh,

  • 0
  • 0
Nikolaj Halberg

Grunden til at du ikke kan se noget øje på billedet er at det ikke er et billede af en fysisk eksisternde OTP generator, som f.eks. her:

http://eu.blizzard.com/store/_images/product?productId=221004518&type=3&...

men en 3D model.

Jeg har forgæves forsøgt at finde frem til hvilken leverandør de vil benytte til tokens (ved hjælp af min gode ven Google ;)), men min søgen har endnu ikke båret frugt.

  • 0
  • 0
Daniel Gertsen

Den ser godt nok tyk ud på billedet, den token.

Jeg kunne godt tænke mig nogle fysiske specifikationer på den tingest...

For flere år tilbage så jeg en token der var væsentligt mindre og tyndere, så jeg håber det er et synsbedrag på billedet.

Når det så er sagt, foretrækker jeg mobilen som kode-generator any day.
Denne token har samme problem som papkortet: Det er noget ekstra man skal have med sig, og man kan kun logge på når man har den på sig.
Dvs. hvis man glemmer den hjemme eller mister den, kan man ikke logge på.
Mobilen glemmer man yderst sjældent, og den kan erstattes samme dag hvis den mistes.

  • 0
  • 0
Peter Andersen

@Henrik

Bemærk at denne token løsning KUN er til private. Deres erhvervslæsning er igen igen igen forsinket, og de fortsætter derfor med den gamle/nuværende digital medarbejder signatur løsning.

Har netop bestilt digital signatur pga NemID erhverv forsinkelse og måtte opstille en separat pc til formålet da digital signatur ikke spiller med vores citrix farm, så jeg venter med længsel på NemID og blev glad da jeg læste om den token. Har som Poul heller ikke lyst til at have kopiérbare kort liggende... Og nu skriver du den token kun er for private! - Kan du underbygge det? :(

  • 0
  • 0
Morten Kjeldgaard

fra Danske Bank. Det var en lille lommeregner i kreditkortstørrelse, der kan generere nøgler. Jeg kunne aldrig finde den når jeg skulle bruge den, og den var for fed og skrøbelig til at have i tegnebogen. Man skulle indtaste en PIN kode før den kunne bruges, og man skulle sidde og trykke tal ind på et elendigt tastatur. Jeg skulle jævnligt have en ny, fordi LCD displayet hurtigt gik i stykker.

Jeg foretrækker 100x det lille papkort fra NemID. Det ligger i min tegnebog, så jeg har det altid lige i nærheden. Det er let og hurtigt at bruge, og man skal ikke rode med en eller anden irriterende plastikdims. Hurra for simple løsninger.

  • 0
  • 0
Brian Matzon

Hvordan skulle det laves så sikkerheden ikke blev mindre?

Seriøst?

Mener du at et stykke papir er MERE sikkert end en applikation på min mobiltelefon?

Jeg kan godt se at der kan være flere angrebs vektorer på en mobil telefon, men i det mindste er det noget mere komplekst at få nøglerne ud, end et stykke papir, i min pung, i min åbne baglomme.

Ja, jeg har mit nemid med mig - fordi man skal jo bruge det alle mulige steder nu om dage.

Nej jeg har ikke en selvstændig biometrisk sikret lomme til kortet.

  • 0
  • 0
Henrik Høyer

DanId har flere gange udmeldt at løsnnigen til erhverv er udskudt og at de derfor kommer med en ny version af digital medarbejder signatur. Man kan håbe at denne opdatering fixer problemerne så det ikke (som nu) kræver en masse extra arbejde for os at få det til at fungere i wts/citrix miljøer.

Som skrevet tidligere har jeg forgæves forsøgt at få flere informationer ud af danId, men de er (som vanligt) tavse...

Mine erfaringer med dem er, at når de bruger ordet "NemId" så drejer det sig KUN om privat løsningen.

  • 0
  • 0
Henrik Høyer

@Palle Kaastrup.

Selvom kan ikke kan købe/bestille enheden før til efteråret (grundet markedsføringsmæssige årsager). Så kan man vel godt forvente at vi kan få flere informationer om hvordan det er meningen af denne token skal benyttes.

Det kunne tyde på tokenløsningen stadig ikke er udviklet, og at dette blot er endnu en forsinkelse som "pakkes ind i undskyldninger".

  • 0
  • 0
Brian Matzon

@PHK
Jamen, bare det at jeg skal "swipe" min telefon gør at den er mere sikker.

At der så kan være pinkode på både telefon samt applikation - og måske ansigtsgenkendelse gør at det potentielt set kan blive meget mere sikkert.

Jeg vil ikke benægte at hvis man fik fat i min telefon kunne man med garanti få fat i "et eller andet". Men det er immervæk NOGET mere besværligt end at stjæle min pung eller kort og bare folde nemid kortet ud.

  • 0
  • 0
Peter Mogensen

Jeg kan godt se at der kan være flere angrebs vektorer på en mobil telefon, men i det mindste er det noget mere komplekst at få nøglerne ud, end et stykke papir, i min pung, i min åbne baglomme.

Seriøst?

Med pap-kortets funktionalitet liggende i mobil-telefonen er der pludselig en mulighed for at med at kompromitere EN enhed, så er der mulighed for at få adgang til alt hvad der skal til for at overtage din identitet - og det vel at mærke sandsynligvis uden du opdager det.

Med pap-kortet i din lomme skal man for det første være fysisk til stede og for det andet vil jeg gætte på at du hurtigere opdager at dit pap-kort er væk.
Og hvad skal du bruge pap-kortet til, hvis du ikke også kender brugerens password? Nu vel... det kan brute-forces, men det er ikke umiddelbart anvendeligt. Har du kompromiteret telefonen, så får du det imidlertid forærende sammen med alle koderne på pap-kortet. Er pap-kortet i din lomme kommer der kun 1 kode af gangen til din telefon, så igen vil det at kompromitere telefonen være begrænset anvendeligt i forhold til at koderne/kode-generatoren var på telefonen.

  • 0
  • 0
Jesper Lund Stocholm Blogger

Hej Brian,

Seriøst?

Mener du at et stykke papir er MERE sikkert end en applikation på min mobiltelefon?

Ja for pokker - både ud fra en teknisk vinkel (se Peers kommentar) men også ud fra sociale aspekter. Spørg dig selv, hvor ofte du ikke har vidst hvor din pung var i det sidste år - og spørg dig bagefter det samme spørgsmål men om telefonen (eller dine nøgler, jvf snak om at have dongle i nøglebundtet).

Det er måske mig, der er mærkelig - men af en eller anden grund passer jeg massivt bedre på min pung end på min telefon.

  • 0
  • 0
Brian Matzon

for lige at skære ind til benet i den her ...

Et stykke papir, som gud og hver mand kan læse og kopiere, kan man da ikke gøre mere sikker end et stykke elektronisk himstragims.

Man kan pakke papiret ind i en beholder af en eller anden art, men papiret er og blive en ringe sikkerhed, bortset fra den fysiske tilstedeværelse.

Telefonen, eller anden elektronisk enhed, kan man på alle mulige måder, sikre i hoved og røv.

Jeg er enig i at man potentielt set kan "infiltrere" den elektroniske enhed, men det er der jo diverse løsninger til.

Jeg har meget meget svært ved at se hvordan Objekt A, som kan læses og kopieres meget meget "let", er mere sikkert end Objekt B, som ikke kan læses og kopieres "let" er mere sikkert.

  • 0
  • 0
Brian Matzon

Det er måske mig, der er mærkelig - men af en eller anden grund passer jeg massivt bedre på min pung end på min telefon.

Ja, det er jo så der kæden falder af.

Det første jeg gør når jeg kommer på arbejde eller hjem, er at tømme mine lommer.

Det er muligt for enhver af mine familie medlemmer eller kollegaer at få fysisk adgang til både min telefon og min pung.

Min telefon er "låst" - det er min pung ikke.

  • 0
  • 0
Ask Holme

Hej Brian

Jamen, bare det at jeg skal "swipe" min telefon gør at den er mere sikker

Hvorfor tror du, at man kun vil kunne få informationerne ud ved at sidde med en oplåst telefon i hånden ?

Der er vist efterhånden ret mange eksempler på folk, der kan tilgå hvad som helst i en smartphone via rent elektroniske kanaler.

  • 0
  • 0
Ask Holme

Jeg har i øvrigt hørt om flere tilfælde, hvor de mindre banker bruger NemId på erhvervsløsningerne via signaturer der egenligt er personlige signaturer men på en eller anden måde er udstedt så medarbejderen kan have både en til arbejdet og en anden til det private

  • 0
  • 0
Peter Mogensen

Jeg er enig i at man potentielt set kan "infiltrere" den elektroniske enhed, men det er der jo diverse løsninger til.

Hvis du havde ret i det, så er der jo per definition intet, der kan slå sikkerheden i den gamle TDC signatur. Alt bøvlet med at få folk til at beskytte deres computer imod "infiltration" kunne jo blot være undgået ved at anvende en af dine løsninger.

For lige at skære ind til benet: At Objekt A kan læses og kopieres "lettere" end Objekt B er din påstand. Jeg har peget dig i retning af nogle grunde til at det måske ikke er en særlig gennemtænkt påstand. Bl.a. skal man være fysisk tilstede for at læse Objekt A og det er betydeligt nemmere for ejeren af Objekt A at opdage hvis det bliver kopieret end med Objekt B.
Tænk over det ... denne gang.

  • 0
  • 0
Brian Matzon

Bl.a. skal man være fysisk tilstede for at læse Objekt A og det er betydeligt nemmere for ejeren af Objekt A at opdage hvis det bliver kopieret end med Objekt B.

Det er så nok der vi er ude i en vurdering :)

Ideen med det analoge medie er at sikkerheden består i fysisk tilstedeværelse, der er ingen anden sikkerhed.

Det synes jeg godt kan gøres bedre, vha. en eller anden elektronisk anordning.

Det er min vurdering, at min personlige sikkerhed, bliver øget ved at have det i en applikation, med den sikkerhed den nu skal have.

Argumentet om at, fordi der potentielt set kan være fjernadgang til enheden, så er den per definition mere usikker synes jeg er lidt tynd. Ikke nødvendigvis usand, men jeg vil gerne tro at vi rent faktisk kan producere ting der ER mere generelt sikre, end det analoge medie, som trods alt også sagtens kan kopieres eller lign.

  • 0
  • 0
Søren rasmussen

jeg havde mit ActiveCard i over et år, og jeg brugte det meget. jeg havde det endda med i militæret, og det holdte.. jeg tror bare man skal lærer at passe på sine ting, og ikke forvente at det kan holde til alt.

Jeg forstå så ikke hvorfor man skulle gå væk fra ActiveCard.. synes det var dejlig nemt..

  • 0
  • 0
Ask Holme

men jeg vil gerne tro at vi rent faktisk kan producere ting der ER mere generelt sikre, end det analoge medie, som trods alt også sagtens kan kopieres eller lign.

Men det er jo præcis det DanID gør via deres token løsning. De anvender teknologi til at forbedre sikkerheden i forhold til den analoge løsning.
Løsningen tager de gode ting fra den analoge løsning ved at kræve fysisk tilstedeværelse og bruger teknologi til at forhindre affotografering og andre former for analog kopiering. Din token kan (som udgangspunkt) ikke kopieres, den kan kun stjæles.

Og lige netop det sidste punkt kommer en mobil applikation aldrig til at opfylde. Android applikationer kan decompiles af enhver med bare en smule viden indenfor feltet og når det er sket så skal man bare finde det seed som er gemt i din telefon for at skabe en perfekt kopi.
En token derimod kan indkapsle algoritmen i hardware enheder, der kan være tæt på umulige at gennemskue.

  • 0
  • 0
Peter Mogensen

Ideen med det analoge medie er at sikkerheden består i fysisk tilstedeværelse, der er ingen anden sikkerhed.

Forkert.
Den er en del af et 2-faktor system. Den anden faktor er dit password (som du har i hovedet).

Det synes jeg godt kan gøres bedre, vha. en eller anden elektronisk anordning.

Hvorved du gør det til et 1-faktor system.

Argumentet om at, fordi der potentielt set kan være fjernadgang til enheden, så er den per definition mere usikker synes jeg er lidt tynd. Ikke nødvendigvis usand, men jeg vil gerne tro at vi rent faktisk kan producere ting der ER mere generelt sikre, end det analoge medie, som trods alt også sagtens kan kopieres eller lign.

Bemærk at du snakker mobil-telefoner: Enheder, der i dag er ækvivalente til en alm. PC - en generelt programmerbar maskine med netadgang.
Du kan givetvis producere elektroniske "ting", som er mere sikre, men det er IKKE alm. mobil-telefoner.

  • 0
  • 0
Michael Thomsen

Jeg forstår sådan set godt, at DanID ikke ønsker at nøglekortet skal genereres som en mobil-app grundet mangel på sikkerhed på en mobiltelefon; men hvorfor de ikke ønsker at benytte SIM-kortet virker sært; men det er muligvis fordi de ikke er gode venner med teleselskaberne?

En oplagt mulighed ville være at bruge GBA (3GPP TS 33.220), som authentificerer (tovejs, one might add) en tredie-parts server via teleselskabets core-netværk. Kombineret med IMS ville man kunne logge ind via sin mobil via sim-kortet og via sin PC med en USB-dongle.

Det ville også være lettere for os med 2+ nemID, da der sagtens kan ligge mere end en login-vector på hver enhed.

  • 0
  • 0
Brian Matzon

Hvorved du gør det til et 1-faktor system.

hov hov, jeg har aldrig sagt at der ikke skal være kodeord på den elektroniske løsning.

Jeg siger at den liste af koder skal være på min mobiltelefon, eller anden enhed, som er beskyttet.

Derudover er nemid login'et samme forløb, med kode som på det analoge medie.

Du kan givetvis producere elektroniske "ting", som er mere sikre, men det er IKKE alm. mobil-telefoner.

Tja, der er vi nok bare uenig.

  • 0
  • 0
Brian Matzon

Og lige netop det sidste punkt kommer en mobil applikation aldrig til at opfylde. Android applikationer kan decompiles af enhver med bare en smule viden indenfor feltet

Jeg tror vi generelt antager at en evt. implementation ikke beror sig på "security through obscurity" ;)

Dekompilation er ikke en faktor her.

  • 0
  • 0
Casper Bang

Hmm så skal man rende rundt med endnu en dims?!

Jeg forstår ikke helt argumentet mht. reverse-engineering, der lyder som naiv "security through obscurity". Google's two factor auth er f.eks. baseret på åbne standarder på området RFC 4226* med TOTP** overbygningen. Selv deres implementation er tilgængelig*** som open souce projekt.

*http://www.ietf.org/rfc/rfc4226.txt
** http://tools.ietf.org/html/draft-mraihi-totp-timebased-06
***http://code.google.com/p/google-authenticator/

Someone enlighten me please?

  • 0
  • 0
Peter Mogensen

hov hov, jeg har aldrig sagt at der ikke skal være kodeord på den elektroniske løsning.

Brian, forklar mig hvorfor man ikke bare har anvendt din magiske løsning med "kodeord" til at gøre folk PC'ere generelt sikre, så vi bare kunne have anvendt den gamle digitale signatur?

  • 0
  • 0
Brian Matzon

Jeg har ikke sagt at den gamle løsning var sikker.
Jeg siger bare at jeg gerne vil have mit nøglekort på min telefon.

Såfremt vi har den løsning, skal man have keylogger og andet sjovt på BÅDE min computer OG min telefon.

Med papir løsningen skal man kun have keylogger på computeren, da man jo bare kan kopiere mit kort fra min pung (ondsindet kollega, kone, kæreste osv) eller "låne" det fra mit bord eller skuffe.

Edit: den ekstra sikkerhed kommer i at det ikke er så let at få en nøgle ud af nøglekortet, pga det ekstra lag sikkerhed. Når først man har en nøgle, er sikkerheden den samme på begge løsning, of course.

  • 0
  • 0
Michael Peters

Om det er pap eller et lille stykke elektronik er en side af sagen, men en anden er økonomi.

Det er jo lidt smart af NemId at starte med et papkort og så forlange penge for det smarte (til dem der synes det er smart med en elektronisk dims i lommen.

Set med mine øjne er det blot et smart træk for et genere nogle penge fra forsvarsløse forbrugere, der er tvunget ind i DanId's monopol.

Hvad hvis det havde været omvendt og den elektroniske kodegenerator var kommet først - ville man så forlange penge for pap kortet eller ville nogen mon i det hele taget bruge papkortet.

  • 0
  • 0
Peter Mogensen

Jeg har ikke sagt at den gamle løsning var sikker.

Det har jeg heller ikke påstået du gjorde.
Jeg sprugte dig hvad der gjorde at man ikke bare kunne have anvende dit forslag til en "sikker" løsning for det nuværende system på det gamle.

Jeg siger bare at jeg gerne vil have mit nøglekort på min telefon.

Ja - det er jeg klar over.

Såfremt vi har den løsning, skal man have keylogger og andet sjovt på BÅDE min computer OG min telefon.

... du har altså ikke tænkt dig at bruge NemID på din telefon, men kun at få vist koden på dens skærm?
Hvordan har du tænkt dig at sikre at alle andre holder den disciplin?

Med papir løsningen skal man kun have keylogger på computeren, da man jo bare kan kopiere mit kort fra min pung (ondsindet kollega, kone, kæreste osv) eller "låne" det fra mit bord eller skuffe.

At tage noget fra din pung kræver stadig en fysisk tilstedeværelse, som det at installere en keylogger ikke gør.

Edit: den ekstra sikkerhed kommer i at det ikke er så let at få en nøgle ud af nøglekortet, pga det ekstra lag sikkerhed.

Er det kun i mine ører at det lyder cirkulært?

  • 0
  • 0
Martin Brynskov

Bare lige for at slå en ting fast: Sikkerhedsfaktor er ikke knyttet til, om man bruger rent digitale løsninger, eller om de digitale løsninger kan tilgås via samme interface. Det er et rent teoretisk begreb, der opregner antallet af "strategier" eller vektorer, man skal benytte for at kunne bryde sikkerheden.

Alle systemer er således de facto 1-faktor-systemer, for hvis man bare overtaler brugeren til at lukke sig ind, fx ved at tilbyde sex/penge/undgå afpresning, så er man home free.

Så definitionen af, hvad der adskiller en vektor fra en anden er i høj grad et definitionsspørgsmål.

Diskussionen er altså meningsløs, så længe den står mellem papir vs. bits og mobil vs. dims. 2-faktor-løsninger kan opnås på flere måder.

Det, som er det interessante at diskutere er, HVOR sikker man vil være. Og evt. også om der kun skal være et enkelt sikkerhedsniveau til alle auth-handlinger. Vi (offentligheden) kender faktisk ikke de konkrete overvejelser, og det ville da være en start at få dem på bordet.

Dertil kommer hele diskussionen omkring en decentral vs. DanID-centraliseret nøgle-struktur. Det er mere politisk.

Og så lige et PS: Bortkomst af mobiler anmeldes generelt meget hurtigere end bortkomst af tegnebøger.

  • 0
  • 0
Brian Matzon

Tror jeg vil runde af her...

At tage noget fra din pung kræver stadig en fysisk tilstedeværelse, som det at installere en keylogger ikke gør.

Enig. I en ren digital løsning, kan man potentielt set gøre det hele uden en fysisk tilstedeværelse.

I en analog løsning kræver det en fysisk tilstedeværelse.

Min vurdering er at det er meget let at få fingre i mit nemid kort. Et lag sikkerhed oven på det ville være rart.

Det er min vurdering at jeg vil være mere udsat fra en lokal tilstedeværelse end en online drive-by identitets tyveri.

Du må åbenbart have et bedre IRL vennesæt end jeg har ;)

  • 0
  • 0
Peter Mogensen

Alle systemer er således de facto 1-faktor-systemer, for hvis man bare overtaler brugeren til at lukke sig ind, fx ved at tilbyde sex/penge/undgå afpresning, så er man home free.

For at det ikke skal være meningsløst bør vi nok starte med at se bort fra de scenarier, hvor det foregår med brugerens (betalte eller ej) accept.

Og blot en note, så opfatter jeg ikke diskussionen med Brian som et spørgsmål om pap-kort vs. artiklens elektroniske dims.

Jeg opfatter det som at Brian ønsker hans mobile lomme-computer med netadgang (som tilfældigvis også kan telefonere) og som ligeså vel som enhver anden computer kan bruges til at tilgå netbank eller andet NemID på også skal have softwaremæssig afgang til de engangsnøgler, der ellers ville stå på pap-kortet.
I mine øjne gør det hele ideen med engangsnøglerne ligegyldigt.

  • 0
  • 0
Martin Brynskov

@Peter:

For at det ikke skal være meningsløst bør vi nok starte med at se bort fra de scenarier, hvor det foregår med brugerens (betalte eller ej) accept.

Helt enig i, at det selvfølgelig er sat på spidsen, men folk bliver ved med at tale meget kategorisk om faktor dit og dat. Så indtil det ophører, er ovennævnte pointe relevant.

Så jeg synes bestemt, at Brian har fat i noget, som ikke bare kan affejes sådan lidt hovskisnovski. Det her er meget mere end teknik. Der er lande, hvor 1/3 af BNP passerer igennem mobiler, lande, der er langt mere usikre end lille søde DK. Så selvfølgelig kan det lade sig gør.

Og bare før the flamewars begynder: Jeg er ikke naiv og siger, at alt blot skal sendes over SMS. Men vi har p.t. IKKE et oplyst grundlag for at nedgøre kravet om ordentlige (bruger-, udvikler, og konkurrentvenlige) mobilløsninger. Det er min påstand, at det simpelthen ikke er noget, der prioriteres tilstrækkeligt. Måske helt bevidst, men så skal man jo bare indrømme det i stedet for at gribe til FUD-strategier.

  • 0
  • 0
Casper Bang

Inden for system sikkerhed snakker man om 3 niveauer; noget man ved (password), noget man har (token) og noget man er (biometri). Two-factor sikkerhed inkluderer således de første 2 af disse.

Argumentet imod at få en token-generator på sin mobil giver mening ud fra dén betragtning, at så kunne denne jo ligesågodt indbygges i selve klient applikationen og token udvekslning foregå transparent.

Men... det er dog stadigvæk two-factor auth, man kan tilfældigvis bare benytte sin token-generator til også at gå i banken med! En tyv er jo hverken værre eller bedre stillet med den ene frem for den anden; begge er personlige effekter (noget man har). Mobilen har ovenikøbet ofte den fordel, at den er password beskyttet.

Et kompromis kunne også være, at bank applikationen kan fungerer i 2 modes. 1) Som read-only klient, men med token-generator eller 2) Som full-blown klient med transaktionsmulighed, men uden token-generator. Så har brugeren da trods alt et valg.

Istedet for at gøre tingene svære at bruge (klassisk convenience vs. security debat) skulle man måske hellere se lidt mere på "plan B" foranstaltninger, som PHK skrev om for nyligt.

  • 0
  • 0
Peter Mogensen

Jeg har nu svært ved at se hvordan det kan blive et nuance-spørgsmål at skelne pointen om at det konkrete forslag fra Brian:

[i]"I mit tilfælde vil jeg gerne have at min telefon, via en applikation, kunne danne nøgler for mig."[/i]

... gør hele konceptet med engangsnøglerne ligegyldigt fra:

"at nedgøre kravet om ordentlige (bruger-, udvikler, og konkurrentvenlige) mobilløsninger."

Mener du at Brians forslag er en fornuftig løsning på at imødekomme det krav du snakker om?

  • 0
  • 0
Martin Brynskov

Brian har vist sagt flere ting, så jeg vil ikke gøre mig til talsmand for ham. Men det her udsagn:

Jeg siger bare at jeg gerne vil have mit nøglekort på min telefon.

er vist ret tæt på min pointe: "Det kan gøres uden papir og dims, men ikke uden flere faktorer (som ofte vil involvere flere parter). Skal vi ikke prøve at have en præcis diskussion om det."

  • 0
  • 0
Jesper Lund

version2.dk skriver

DanID er i kontrakten med staten forpligtet til at levere en gratis løsning til borgerne, men har derudover frie hænder til at finde på alternativer, der koster penge.

Hvis man skal tro Videnskabsministeriet og diverse §20 svar til Folketinget, er DanID også kontraktligt forpligtet til at levere en løsning, hvor den private nøgle ikke opbevares hos DanID (typisk omtalt som smartcard/USB løsning).

Det omtales f.eks. i denne gennemgang af høringssvar ved seneste revision af person certifikatpolitikken
https://www.signatursekretariatet.dk/pdf/ca/hoeringsnotat.pdf

Ministeriet skriver bl.a.

Certifikatpolitikken er en standard, der beskriver de grundlæggende krav, der skal opfyldes ved udstedelse af OCES certifikater og tager ikke stilling til porteføljen af konkrete udstedelser hos operatører. Politikken har i afsnit 7.3.1 opstillet krav, som også dækker løsninger med nøglegenerering hos brugeren.

Staten har som resultat af den gennemførte udbudsforretning, hvor DanID A/S blev valgt som leverandør sikret, at borgerne fortsat har mulighed for at anskaffe en certifikatløsning med egen generering af og opbevaring af nøgler.

Der er også et par §20 svar hvor smartcard løsningen omtales som noget DanID er forpligtet til at levere (mod brugerbetaling), og hvor deadline er 1. halvdel af 2011.

Se f.eks. svar på spørgsmål 36 her
http://www.ft.dk/samling/20091/almdel/uvt/spm/33/svar/673421/776834.pdf

Diskussionen handler alene om rimeligheden i at den decentrale løsning lanceres senere (igen nævnes "første halvdel af 2011").

Den nøglegenerator fra DanID, som version2.dk artiklen beskriver, er ikke det som tidligere har været behandlet i f.eks. ovennævnte svar til Folketingets medlemmer. Men sammenfaldet i den oprindelige deadline (første halvdel af 2011) er altså lidt pudsigt.

Så hvad sker der egentligt? Kommer DanID med to nye NemID produkter til september: kodegeneratoren og den rigtige smartcard løsning? Eller...?

  • 0
  • 0
Peter Mogensen

@Martin

Jeg ved ikke hvilken del af Brians pointe du mener jeg overser, men vi er da vel forhåbentlig enige i at det at generere engangsnøglerne (den ene faktor) softwaremæssigt på det samme system som man potentielt jævnligt taster den anden faktor (password) ind på for at bruge authentifikeringsløsningen - og som principielt blot er en alm. computer med netadgang under brugerens administration er en dårlig ide? Ikk'?

  • 0
  • 0
Jesper Kildebogaard

Hej Jesper

Version2 har flere gange de seneste måneder bedt DanID om et svar på dit spørgsmål (om hvornår der kommer en decentral nøgle).

Svaret har indtil videre været, at de kunne de ikke sige lige nu eller lignende. Det har heller ikke hjulpet, at den sædvanlige kommunikationschef holder ferie nu, og at den teknisk kyndige, som tidligere har fortalt om projektet, er flyttet til noget helt andet.

Vi skal nok fortsætte med at jagte svaret.

vh.

Jesper
Version2

  • 0
  • 0
Peter Mogensen

Enkelte hér er så godt oppe i årene, at Portemonæ'en er den enkelt-ejendel De altid har styr på ( +- ).

Jeg er nu så gammel at jeg sagtens kan magte at forlægge både min pung og min mobil - men god pointe.
Mobilen kan jeg dog ringe til.

Spørg en 18-årig, om De har mere styr på deres mobil, eller deres pung.

Den fysiske placering? - ja.
Tror du at de generelt evner at vurdere om de har styr på IT-sikkerheden på den?

  • 0
  • 0
Rasmus Christensen

Danske Banks mobil applikation til IPhone giver mulighed for at man via sin netbank laver en kode så man ikke skal anvende NemId koderne hver gang man skal logge ind på netbanken. Hvor sikker er man så kontra anvendelse af NemId kortet? Ideen med billed af kortene på mobil er da meget fin, men måske man skal til at overveje hvor åben en mobil er og hvor mange apps man bare henter ned?

Jeg synes selv det er rart at kunne komme på netbanken, når jeg nu ingen igen har glemt nemid kortene.

En dongle, nej tak.

  • 0
  • 0
Jens Mikkelsen

Marketing årsager er altså en elendig årsag til at vente med at sende et produkt på markedet.
Kunne da lige forstille mig at når de så sender donglen ud og begynder at reklamere for den, så er der flere der vil have den end de havde regnet med - så bliver der lang leverings tid.
Hvorfor ikke bare begynde at sælge den nu og så først reklamere for den til efteråret.
Jeg tror den rigtige grund til at den ikke er kommet er at de slet ikke er klar.

  • 0
  • 0
Log ind eller Opret konto for at kommentere
Jobfinder Logo
Job fra Jobfinder

Call to action

Plager konceptet med engangskoder på et analogt papkort dig, er der snart mulighed for at købe sig til et mere digitalt alternativ. Til september lancerer DanID nemlig en kodegenerator, og nu er DanID klar til at dele billeder og pris. 99 kroner skal det koste at droppe papkortet og få en sort eller
hvid kodegenerator, hvis batteri skulle kunne holde i 3-4 år. Undervejs i login-proceduren trykker man på den enlige knap og får så en seks-cifret engangskode frem i displayet, på samme måde som med RSA's SecurID, der bliver brugt af mange firmaer med et højt sikkerhedsniveau. DanID er i kontrakten med staten forpligtet til at levere en gratis løsning til borgerne, men har derudover frie hæ...