DanID: Vi ruller fejlramt certifikat tilbage

Nets DanID har besluttet at rulle det certifikat tilbage, som onsdag formiddag udløste en sikkerhedsadvarsel til alle brugere, som forsøgte at logge på med NemID.

Alle brugere, som onsdag morgen forsøgte at logge på netbanken, Skat, Sundhed.dk eller andre tjenester, som bruger NemID, blev mødt med en sikkerhedsadvarsel.

Læs også: Natlig opdatering smadrer NemID-certifikat - Danske Bank skifter til nød-login

Nu oplyser Nets DanID, at det fejlramte certifikat bliver trukket tilbage, indtil fejlen er rettet.

»Vi har besluttet at rulle det tilbage,« siger pressechef Søren Winge til Version2.

En fejl i certifikatet kan ses som en væsentlig sikkerhedsbrist i forhold til tilliden mellem brugeren og afsenderen, fordi det er meningen, at brugeren skal reagere på sådan en fejl ved at afvise certifikatet.

Et opkald til NemID's supporttelefon lidt efter klokken 9 onsdag morgen afslørede, at kunderne i øjeblikket skulle regne med forlænget ventetid på grund af mange henvendelser.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (9)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Anonym

Et forældet certifikat, betyder ikke så meget for forældede og usikre løsninger. Der er i forvejen så store mangler i tilliden, til både løsningen og driften af NemID, så hvis de ruller hele NemID løsningen tilbage, er der slet ikke noget problem.

  • 3
  • 0
#2 Henrik Høyer

Det er ikke "bare" tale om at man har glemt at forny et certifikat. Det er meget værre, de har ikke signeret appletten korrekt. Hvordan en ikke korrekt signeret applet nogenside kan smutte gennem deres (tilsyneladende manglende) test procedurer og ud i produktionsmiljøet (og herfra ud til alle nemid brugere!) er utilgiveligt.

  • 13
  • 0
#4 Glenn Dufke

Der er intet i verden der er totalt sikkert. Så længe det er menneskeskabt, uanset hvilken login løsning eller andet sikkerhedsrelateret, kan det ikke være 100% sikkert. Det er fysisk umuligt :) - Kan det køre, kan det brydes

Men der er ingen tvivl om at NemID er epic fail. Deraf benytter jeg også kun løsningen til det absolutte nødvendige.

  • 5
  • 0
#5 Ole Kaas

Nice! - det lyder som det NemID burde have været. Om ikke andet fandt jeg følgende efter et par klik - en håndfuld gode råd til offentlige it-projekter.

Do – Create a decentralized, distributed system so that all existing components can be linked and new ones can be added, no matter what platform they use

Don't – Try to force everyone to use a centralized database or system, which won't meet their needs and will be seen as a burden rather than a benefit

Do – Be a smart purchaser, buying the most appropriate systems developed by the private sector

Don't – Waste millions contracting large, slow development projects that result in inflexible systems

Do – Find systems that are already working, allowing for faster implementation

Don't – Rely on pie-in-the-sky solutions that take time to develop and may not work

http://e-estonia.com/e-estonia/how-we-got-here

  • 7
  • 0
#6 Peter Makholm Blogger

Det bliver interessant at se hvordan denne hændelse kommer til at optræde i driftsstatistikken. Jeg får stadigvæk "Publisher: UNKNOWN" når jeg forsøger at logge ind på min bank og skat.dk.

Ifølge diftsstatus på nemid.nu har vi så været nede i 6 timer og 30 minutter og nærmer os derfor hastigt 1% nedetid. For det er vel at betragte som nedetid? Er det ikke? Jeg håber at nogen husker at følge op på dette når driftsstatistikken for marts foreligger.

Som certifikatet ser ud nu kan jeg i hvert fald ikke have tillid til at det virkelig er den rigtige applet jeg henter. De anvender jo ikke engang DNSSEC så jeg kan have tillid til at jeg i det mindste forsøger mig med den rigtige IP-adresse.

(På den anden side skal man nok have lidt mere styr på den slags før man begynder at lege med DNSSEC)

  • 5
  • 0
#7 Peter Brodersen

Tag og kopier det Estiske system, Det er bare for sejt!

http://e-estonia.com/components/digital-signature

Digital signatur, sygesikringskort og pas på en gang og totalt sikkert + mulighed for mere. Det er bare noget som virker !!

Husk, at når du læser den officielle side for det estiske system, så svarer det til at en ester, der lige har bøvl med deres system, går ind på https://www.nemid.nu/om_nemid/about_nemid/ og læser om mulighederne ved det danske system.

Dagens NemID-fejl er torskedum. NemID-supporthåndteringen er torskedumt. Men jeg har ingen forhåbninger om, at supporthåndtering på magisk vis pludselig skulle blive bedre, blot fordi der vælges et andet produkt og et andet brand.

Der er ingen tvivl om, at NemID er ét af Version2-læsernes yndlingsemner. Jeg tror dog, det er ekstremt vigtigt at være opmærksom på, om problemerne skyldes specifikt NemID, eller om de også kunne have været opstået ved en anden løsning (fx den gamle og rent faktisk digitale signatur, "Digital Signatur").

Den tekniske NemID-fejl er klart NemID-relateret i forhold til Java-løsningen. Supporthåndteringen er dog ikke.

  • 2
  • 1
Log ind eller Opret konto for at kommentere