DanID's support: Se bort fra sikkerhedsadvarsel

21. marts 2012 kl. 10:0857
Support-telefonen hos DanID opfordrer brugerne til at ignorere den sikkerhedsadvarsel, der i øjeblikket popper op på skærmen.
person
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.
person

Support-funktionen hos DanID har her til morgen været under pres, efter at en natlig opdatering medførte en certifikatfejl for NemID-appletten.

Version2 har ringet til supporttelefonen på 80 30 50 70 for at høre, hvad brugerne bliver rådet til. Efter at være gået galt i byen i DanID's tast selv-sluse et par gange havner jeg som nummer ni i køen. Kort derefter er jeg nummer seks, og et minuts tid efter er jeg igennem hos supporten:

*Hej, jeg hedder Morten. Jeg forsøger at logge på sundhed.dk med mit NemID, men får en advarsel med ordlyden 'The application's digital signature cannot be verified. Do you want to run the application?'.

»Hvad står der nede under "From" - hvor kommer appletten fra?«

Artiklen fortsætter efter annoncen

Der står https://applet.danid.dk

»Og hvor forsøgte du at logge på?«

På sundhed.dk

»Det er, fordi vi har haft en fejl med en opdatering i nat. Du kan bare sætte hak i 'Always trust content from this publisher' og klikke på run.«

Artiklen fortsætter efter annoncen

Jobs

Dine job
Vis alle

Men jeg er opdraget med, at når der popper sådan en certifikatadvarsel op, så skal man være varsom med at fortsætte?

»Ja, og det er også helt fint. Men hvis du sætter fluebenet i 'Always trust content from this publisher', burde den ikke dukke op igen. Og hvis den gør, er du velkommen til at ringe til support igen.«

[aid:

Fokus
Emner
57 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Køb abonnementFå prøveabonnement

Jobs

Dine job
Vis alle

Fortsæt din læsning

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
57
Jesper Lund
3. april 2012 kl. 11:25

Nu hvor det er fastslået at NemID ikke var tilgængeligt, medmindre man tilsidesatte IT-sikkerheden, må næste spørgsmål være om hændelsen tæller som NemID nedetid?

  • more_vert
    • insert_linkKopier link
54
Finn Aarup Nielsen
27. marts 2012 kl. 11:47

Set fra NemID-brugerens synsvinkel er det nok en fordel af supporten giver dette råd lige i denne forbindelse: Hvis en uheldig NemID-bruger i fremtiden falder for en phishing-email til en fake NemID java-applet og får tømt sin konto kan han henvise til at han blot "havde hørt" at det var i orden at trykke ok. Det vil vel stille brugeren bedre når han gør krav overfor banken om at erstatte tabet.

  • more_vert
    • insert_linkKopier link
53
Peter Mogensen
27. marts 2012 kl. 10:44

Skal vi vædde med at vi får et svar, der er alt andet end et klart ja/nej? Sikkert noget med at det ikke er op til ministen at vurdere.

  • og derefter går den IT-politiske dagligdag videre med totalt ignorering af NemID-problemet.
  • more_vert
    • insert_linkKopier link
56
Peter Mogensen
3. april 2012 kl. 09:09

Skal vi vædde med at vi får et svar, der er alt andet end et klart ja/nej?

Hmm... nu fik vi så svaret. Og jeg tog jo så næsten fejl. Jeg synes dog stadig ikke at det er et helt klart "nej", for ministeren kategoriserer det åbenbart som nogle enkeltstående personlige fejl hos individuelle supportere - og så kan den IT-politiske dagligdag, som forudsagt, gå videre med totalt ignorering af NemID-problemet.

  • more_vert
    • insert_linkKopier link
50
Morten Krøyer
21. marts 2012 kl. 20:30

Jaja, bare spørg Skat. De sender stadig mails med links

  • more_vert
    • insert_linkKopier link
48
Adam Tulinius
21. marts 2012 kl. 16:47

.. gør det også.

" Der er kommet nyt certifikat til NemID Første gang du logger på efter den 21. marts, vil du blive spurgt, om du vil installere og køre Nets DanID applikation. Her skal du svare "Run" og eventuelt markere "Always trust content from this publisher".

Bemærk!! En fejl hos DanID gør at der i feltet Publisher står som UNKNOWN. Kontroller derfor at der i feltet From står https://applet.danid.dk inden du godkender."

Trist.

  • more_vert
    • insert_linkKopier link
46
Henrik Kramselund
21. marts 2012 kl. 16:11

Driftsinformation
Der er kommet nyt certifikat til NemID
Første gang du logger på efter den 21. marts, vil du blive spurgt, om du vil installere og køre Nets DanID applikation. Her skal du svare "Run" og eventuelt markere "Always trust content from this publisher".</p>
<p>Bemærk!!
En fejl hos DanID gør at der i feltet Publisher står som UNKNOWN. Kontroller derfor at der i feltet From står <a href="https://applet.danid.dk">https://applet.danid.dk</a&gt; inden du godkender.

#fail

Appletten vil ikke starte og giver:

Do you want content signed by "Nets DanID" to have access to your computer?
The digital signature of this certificate could not be verified. Do not trust this certificate if you do not known who issued it.</p>
<p>Nets DanID
Issued by: Thawte Code Signing CA - G2
Expires: lørdag den 14. februar 2015 00.59.59 mellemeuropæisk normaltid</p>
<p>This certificate was signed by an unknown authority
osv.

Nå, men så betyder det vel at jeg ikke skal lave noget i netbanken ...

  • more_vert
    • insert_linkKopier link
44
Lars Christensen
21. marts 2012 kl. 14:55

Nu har vi råbt og skreget i snart 2 år om et produkt der har nogle gedigne svagheder - uden at det har haft særlig effekt.

Nets gør fuldstændig som det passer dem - alene fordi det stærkeste værktøj "konkurrence om kunderne" til at luge dårlig kvalitet fra, er sat ud af spillet.

Man skulle tro at vi boede i 3. verdens land

Mvh Lars plbrake.dk

  • more_vert
    • insert_linkKopier link
47
Jesper Frimann
21. marts 2012 kl. 16:30

@Lars Christensen. Jeg må give dig ret. Jeg har nu i over en måned ikke kunne lave transaktioner i min netbank fordi nemid appletten crasher når jeg skal signere min transaktion. Jeg kan sagtens logge ind og bruge netbanken, jeg kan bare ikke lave en transaktion.

Og nu har min support sag så endelig været omkring nets.. og her er så svaret som min bank fik fra nets: "Dette problem er kendt fra andre kunder, og der findes desværre ikke andre løsninger pt. end at prøve fra en anden maskine ( i dette tilfælde jo så en tredje).

Fejlen dækker over en gruppe af fejl i programmet, som laver login og signering med NemID, der ikke findes selvstændige fejlkoder for. Det skyldes i høj grad, at fejltilstanden ikke er forudset. Notifikationer om fejlen er sendt til DanID (uden person og transaktions specifik data), ligesom fejlrapporter i f.eks. Microsoft office og Mozilla Firefox, og vi støtter DanID så godt vi kan for at få løst problemerne."

Eller sagt med andre ord. Vi er fløjtende lige glade med, at selv om du kører en officielt supporteret software stack so virker vores 'shit' ikke.

Det er simpelt hen til at blive rasende over. Det er så mega mega dårligt, at jeg sku må skrive til nogen når nu mit blodtryk er nede på normalt nivea igen.

// Jesper

  • more_vert
    • insert_linkKopier link
40
Morten Bulskov
21. marts 2012 kl. 14:38

Bare til info

  • more_vert
    • insert_linkKopier link
39
Morten Bulskov
21. marts 2012 kl. 14:36

Christian Hemmingsen er i det mindste ærlig om hvor han arbejder.

Jeg synes, udover det monumentale fuck up som diverse banker og NemID support udviser, at kommentarer som fra denne "Richard Rønn" er et problem. En hurtig søgning på Google gav nada i DK - intet. Der findes ikke en person med spor på google af det navn, udover selvfølgelig de to poster i dagens debat. Hvem får den brillante idé at lave sådan et indlæg på et IT nyhedsmedie - jeg håber ved den hellige ko ikke det er Nets!

/Morten

  • more_vert
    • insert_linkKopier link
43
Peter Lind
21. marts 2012 kl. 14:51

En hurtig søgning på Google gav nada i DK - intet.

Du har vist brug for et google kursus. Der er minimum et hit på google, der ikke relaterer til version2. Hvis man tillader et videre efternavn (det er vel set før at folk ikke har brugt deres fulde navne som brugernavne) så er der to hits.

Derudover kan det være ligegyldigt hvem vedkommende er: det er indholdet i kommentaren, der er vigtigt, ikke diverse conspiracy theories. Giv vedkommende en tommel-ned hvis du er uenig.

  • more_vert
    • insert_linkKopier link
34
Per Kjær Jensen
21. marts 2012 kl. 13:36

Lån og Spar Bank skriver på deres hjemmeside:

"Alle kunder får hertil morgen en popup i deres netbank, omkring DANID_DIGITAL_SIGNATUR.

Før du kan logge på skal du klikke på knappen 'Run'"

Nordea skriver:

"I øjeblikket er Nets DanID i gang med at forny certifikat. Det bevirker desværre lige nu, at certifikatet beskrives som ”UNKNOWN” (ukendt). Der burde stå ”Nets DanID”. Det er sikkert nok at sætte flueben i ”Always trust content from this publisher" og logge på Netbank."

Så nogle banken giver det samme svar som DanID.

  • more_vert
    • insert_linkKopier link
37
Henrik Kramselund
21. marts 2012 kl. 13:46

Lån og Spar Bank skriver på deres hjemmeside:

"Alle kunder får hertil morgen en popup i deres netbank, omkring DANID_DIGITAL_SIGNATUR.

Før du kan logge på skal du klikke på knappen 'Run'"

ROFL! Jeg er jo ved at trille ned af stolen - stop stop stop, jeg kan slet ikke klare så meget fail på en dag :-)

... så fremover skal man blot INDEN man sender folk til en malware applet skrive "der kommer en advarsel og det er OK, bare tryk videre - trust me!"

pyhh - er der snart flere områder NemID kan fejle på?

  • more_vert
    • insert_linkKopier link
45
Jakob Ottesen
21. marts 2012 kl. 15:32

Jeg kan supplere med Jyske Netbanks info. De skriver på deres login-side (kl. 15:27):

Første gang du logger på efter den 20. marts, vil du blive spurgt, om du vil installere og køre Nets DanID applikation. Her skal du svare "Run" og eventuelt markere "Always trust content from this publisher"

Tog ligeledes et skærmdump.

  • more_vert
    • insert_linkKopier link
30
Henrik Høyer
21. marts 2012 kl. 13:01

Jeg talte med NemId kl. 08:35 i morges. Deres officielle svar var "tryk bare ok". Jeg bad dem escalere fejlen, tale med overordnede, checke deres prodedurer, forklarede at det ikke kunne være korrekt. De De bekræftede at jeg skulle trykke "ja", på trods af at det var ville betyde at jeg overtrådte deres betingelser for brug af nemId. Supporten undersøgte sagen gentagne gange, og bekræftede at jeg "bare skulle trykke ja". Hele samtalen er optaget på vores ip telefoni system, og det var supporten klar over.

  • more_vert
    • insert_linkKopier link
42
Morten Andersen
21. marts 2012 kl. 14:45

@Henrik: Det er fint at du gjorde supporten opmærksom på at du optog samtalen. Jeg vil blot for en god ordens skyld (idet der er mange misforståelser) gøre opmærksom på, at det havde du ikke behøvet. I Danmark er det altid fuldt lovligt at optage sine samtaler, uden at informere andre i samtalen. Det eneste krav for at have lov til at optage er, at man selv deltager i samtalen.

Man har som udgangspunkt også ret til at offentliggøre samtalen efterfølgende, med mindre indholdet kan falde ind under andre mere generelle bestemmelser. F.eks. straffelovens bestemmelser om personlige oplysninger der må kunne forlanges hemmeligholdt (Straffeloven § 264d) eller lign. bestemmelser. Man kan naturligvis også blive holdt erstatningsansvarlig hvis samtalen indeholder forretningshemmeligheder som man ikke har ret til at afsløre o.s.v. Der stilles også yderligere krav hvis man er en journalist, idet offentliggørelsen da skal være i overensstemmelse med god presseetik.

Men i det omtalte tilfælde er der næppe noget til hinder for at offentliggøre samtalen.

  • more_vert
    • insert_linkKopier link
38
Thue Kristensen
21. marts 2012 kl. 14:04
  • more_vert
    • insert_linkKopier link
27
Jørgen Henningsen
21. marts 2012 kl. 12:34

Godt tænkt :)
Det har jeg luret lidt over.
Først og fremmest, så kender vi (jeg) ikke årsagen til fejlens opståen.
Men det KAN være en mulighed der er blevet afprøvet. At DanID er blevet udsat for et forsøg på et direkte MIM angreb.
Helt godt gået, hvis det lykkedes at gøre dette, "ved roden".

Ja det er da lykkeligt. Nu har jeg lige forsøgt for 3. gang at komme på skat. Hver gang med en fejlmelding. Gad vide hvem der nu sidder med mine "hemmelige" koder.

  • more_vert
    • insert_linkKopier link
23
Morten Andersen
21. marts 2012 kl. 12:15

Nemid har jo outsourcet support til et 3. partsfirma der får at vide hvordan forskellige ting skal håndteres (Javaproblemer og alt det). Men når der er nogle nye problemer, som dette, så famler de sig frem og i dette tilfælde har nogle 'kvikke' supportmedarbejdere så bare sagt at de skal trykke på OK knappen, fordi det tilsyneladende virker. Det er egentlig meget menneskeligt og let at se hvordan den slags kan ske. I mange situatinoer kan det jo være fint at supporteren tænker selvstændigt. Til sammenligning så er dem der betjener hotlinen i f.eks. den amerikanske sundhedsstyrelse, nogle dresserede abekatte der kører efter et script, og som du ikke kan få til at sige så meget som et ord der ikke står heri. Det er ofte ikke så brugbart.

Når det er sagt bør Nemid naturligvis indskærpe overfor supporten at alt hvad der har med sikkerhed, certifikater o.s.v. at gøre skal køre efter bogen og at brugeren derfor må vente med at logge på til fejlen er væk.

  • more_vert
    • insert_linkKopier link
51
Lars Christensen
22. marts 2012 kl. 01:31

Hej Morten Andersen,

Ja undskyld mig! Hvad ville du sige til at stewardessen overtog styringen af flyet på din næste charterrejse, bare fordi hun havde set en film om Anders And?

At de kvajer sig i US, er næppe det samme som at så kan Nets ansatte uden behøring viden eller erfaring bare kvaje rundt i over 3.000.000 brugeres IT-sikkerheds adgang til snart sagt en hvilken som helst platform i DK!

Jeg håber virkelig at dette var den sidste pind til SlemIds exit fra NETS/DanID's lokaliteter. Lad dog et (ikke bankrelateret) firma overtage drift samt god videreudvikling, jeg kan anbefale den lokale børnehave - de er gode til sandkager og næppe mindre ansvarsbevidste end Nets!

Mvh Lars plbrake.dk

  • more_vert
    • insert_linkKopier link
28
Indsendt af Thomas Hansen (ikke efterprøvet) den ons, 03/21/2012 - 12:38

Når det er sagt bør Nemid naturligvis indskærpe overfor supporten at alt hvad der har med sikkerhed, certifikater o.s.v. at gøre skal køre efter bogen og at brugeren derfor må vente med at logge på til fejlen er væk.

  1. Fejlen MÅ ikke opstå. Alene at få denne fejl en enkelt gang, må ikke ske. Det må ikke ske, hverken hvis fejlen ligger hos DanID eller hvis fejlen ligger hos klienten. Uanset hvordan man vender og drejer det, så er det en sikkerhedsbrist i selve NemID løsningen at denne fejl kan opstå.

  2. Som andre skriver, så er der ingen ide i, at man instruerer muge-karlen i at holde lågen lukket, efter hestene er stukket af.

Jeg kan af andre af dagens kommentarer forstå, at Nets er en Norsk virksomhed. I den forbindelse, vil jeg pege på, at der netop har været en anden stor offentlig IT skandale, Polsag. Der tilsvarende har rødder i Norge. Er der dermed tale om, at Danske skatteborgeres penge, skal bruges til at eksperimenter sig frem til IT-løsninger, der skal finde anvendelse i Norge ?

Det er ikke betryggende for Danske borgere, at vi igen skal se en sag, hvor udenlandske virksomheder, overlades et stort ansvar i Danmark, uden at disse virksomheder lever op til dette.

I forbindelse med nuværende og foreslået lovgivning, er jeg stærkt i tvivl om, det overhovedet er inden for grundlovens rammer, at der tildeles så stor magt, til udenlandske interesser. Oven i købet interesser, der er uden for EU-samarbejdet.

Ud over dette, så ligger der en mulighed i samkøring af data, på koncernniveau. Her skal det påpeges, at disse data dermed kan flyttes uden for EU's og Danske juridiske muligheder.

Mangel på sikkerhed, åbenhed, og sporbarhed, i den konstellation, er helt uacceptabel !

  • more_vert
    • insert_linkKopier link
33
Christian Hemmingsen
21. marts 2012 kl. 13:25

Jeg kan af andre af dagens kommentarer forstå, at Nets er en Norsk virksomhed. I den forbindelse, vil jeg pege på, at der netop har været en anden stor offentlig IT skandale, Polsag.
Der tilsvarende har rødder i Norge.
Er der dermed tale om, at Danske skatteborgeres penge, skal bruges til at eksperimenter sig frem til IT-løsninger, der skal finde anvendelse i Norge ?</p>
<p>Det er ikke betryggende for Danske borgere, at vi igen skal se en sag, hvor udenlandske virksomheder, overlades et stort ansvar i Danmark, uden at disse virksomheder lever op til dette.

Nets er en ikke en norsk virksomhed. Den er en nordisk virksomhed med hovedsæde i Ballerup. Nets er en fusion mellem de norske firmaer BBS og Teller og danske PBS. Derudover er der en masse andre mindre firmaer i Nets gruppen i Norden og Baltikum.

Hvordan Nets hænger sammen kan ses påhttp://www.nets.euGå ind under "About Nets" og "Organisation".

  • more_vert
    • insert_linkKopier link
32
Peter Makholm
21. marts 2012 kl. 13:21

Jeg kan af andre af dagens kommentarer forstå, at Nets er en Norsk virksomhed. I den forbindelse, vil jeg pege på, at der netop har været en anden stor offentlig IT skandale, Polsag.

Skulle vi ikke lige mane denne i jorden. Nets er en fussion af PBS og den tilsvarende norske virksomhed. Holdingselskabet er tilsyneladende registreret i Danmark. Der er 4 aktionære der har mere en 5% af aktierne: 3 danske banker og en norsk.

Datterselskabet NETS DanID er ifølge CVR.dk startet 3 år før offentliggørelsen af fusionen der gjorde PBS til NETS.

  • more_vert
    • insert_linkKopier link
25
Peter Makholm
21. marts 2012 kl. 12:23

Nemid har jo outsourcet support til et 3. partsfirma der får at vide hvordan forskellige ting skal håndteres (Javaproblemer og alt det). Men når der er nogle nye problemer, som dette, så famler de sig frem og i dette tilfælde har nogle 'kvikke' supportmedarbejdere så bare sagt at de skal trykke på OK knappen

Men det er jo ikke første gang at DanID's supporter-stab brænder sig på ikke at eskalere sikkerhedsrelaterede forspørgsler til kompetente personer.

Mon der er tale om samme supporter der forsøgte at forklare hvorfor NemID endnu ikke var supporteret på mobiltelefoner? Havde supporten ikke også nogle søforklaringer vedrørende de famøse gif-filer.

Jeg mener helt klart at der tegner sig et mønster af en organisation der ikke tager denne slags supportsager alvorligt. Det kan ikke længere afskrives som enkelte menneskelige fejl blandt supporter-staben.

  • more_vert
    • insert_linkKopier link
14
Richard Rønn
21. marts 2012 kl. 11:17

Prøv at ring derind. De siger helt sikkert, at du skal afvente. Der kan jo sidde en supporter, som laver en fejl. Det er trods alt menneskeligt at fejle

  • more_vert
    • insert_linkKopier link
16
Lars Kr. Lundin
21. marts 2012 kl. 11:30

Prøv at ring derind. De siger helt sikkert, at du skal afvente. Der kan jo sidde en supporter, som laver en fejl. Det er trods alt menneskeligt at fejle

Der er mindst to brugere, der har fået enslydende svar om at ignorere den manglende sikkerhed.

At supporten ikke som udgangspunkt har instruktion om at manglende sikkerhed betyder at brugeren må prøve igen senere, er ikke en fejl hos en enkel supporter, men derimod en fejl i supportens instruktion.

At DanID så åbenbart har udstedt nye instruktioner til supporten, er det der på engelsk kaldes at lukke stalden efter at hesten er stukket af.

  • more_vert
    • insert_linkKopier link
15
Kenn Nielsen
21. marts 2012 kl. 11:26

Prøv at ring derind. De siger helt sikkert, at du skal afvente. Der kan jo sidde en supporter, som laver en fejl. Det er trods alt menneskeligt at fejle..

Jeg må desværre nok mistænke dig for at gå DanID's ærinde, når du først siger det er menneskligt at fejle, og dernæst garanterer at svaret nu er et andet..

K

  • more_vert
    • insert_linkKopier link
26
Jesper Udby
21. marts 2012 kl. 12:23

...under forudsætning af at "Richard Rønn" optræder med sit rigtige navn...

  • more_vert
    • insert_linkKopier link
29
Christian Nobel
21. marts 2012 kl. 12:40

Jeg kan se at du er ny debattør her - er din stillingsbetegnelse hos Nets "Damage Controller"?

  • more_vert
    • insert_linkKopier link
31
Christian Hemmingsen
21. marts 2012 kl. 13:11

Jeg kan se at du er ny debattør her - er din stillingsbetegnelse hos Nets "Damage Controller"?

Nej, min stillingsbetegnelse er IT-udvikler og jeg er ikke ansat i DAN-ID (men i en anden afdeling i Nets). Jeg kan godt lide cola og da jeg har adgang til adressebogen kunne jeg rimelig nemt konstatere at der ikke er ansat nogen Richard Rønn i Nets (eller DAN-ID). Jeg venter spændt på Jespers cola, så SHIP IT!

  • more_vert
    • insert_linkKopier link
13
Christian Nobel
21. marts 2012 kl. 11:13

Det er ikke sådan at V2 måske kunne vække kollegaerne på de store dagblade, så befolkningen får (mere kompetent) information om hvad der sker, og hvordan de bør forholde sig?

  • more_vert
    • insert_linkKopier link
10
Richard Rønn
21. marts 2012 kl. 11:06

Jeg har lige ringet derind. De råder mig til at at afvente, at de løser problemet. I har nok fået fat i en svipser i supporten.

  • more_vert
    • insert_linkKopier link
9
Lars Skovlund
21. marts 2012 kl. 10:52

De skulle i stedet have svaret "Du er nødt til at svare nej. Hvis det giver dig økonomiske tab eller tab af nogen anden art, så erstatter vi det. Uden diskussion."

  • more_vert
    • insert_linkKopier link
11
Palle Due Larsen
21. marts 2012 kl. 11:07

Det bedste råd er "Bliv hvor du er! Rør ikke ved noget! Vi fikser problemet". Men er det næstbedste ikke at klikke "Run"? Hvorfor dog altid stole på applet.danid.dk med fare for aldrig at se dialogen igen?

  • more_vert
    • insert_linkKopier link
8
Jesper Stocholm
21. marts 2012 kl. 10:45

Hvis jeg var sådan én, så ville jeg mobilisere hele mit netværk af droner og igansætte mit automatiserede MiM-angreb på NemID nu. Når folk så får en advarsel så ringer de jo ind til DanID og får at vide, at de bare skal afvikle min onde applet.

Seriøst - hvis DanID tog sikkerheden seriøst, så ville de fortælle alle, der ringede ind, at der er problemer med deres system og at man må prøve senere.

  • more_vert
    • insert_linkKopier link
22
Indsendt af Thomas Hansen (ikke efterprøvet) den ons, 03/21/2012 - 12:12

Hvis jeg var sådan én, så ville jeg mobilisere hele mit netværk af droner og igansætte mit automatiserede MiM-angreb på NemID nu. Når folk så får en advarsel så ringer de jo ind til DanID og får at vide, at de bare skal afvikle min onde applet.

Godt tænkt :) Det har jeg luret lidt over. Først og fremmest, så kender vi (jeg) ikke årsagen til fejlens opståen. Men det KAN være en mulighed der er blevet afprøvet. At DanID er blevet udsat for et forsøg på et direkte MIM angreb. Helt godt gået, hvis det lykkedes at gøre dette, "ved roden".

  • more_vert
    • insert_linkKopier link
12
Dennis Krøger
21. marts 2012 kl. 11:08

Men det ville jo ødelægge deres oppetid, så kunne de risikere at tabe penge. I det horrible scenarie, må lidt problemer med sikkerheden gerne ignoreres... :)

  • more_vert
    • insert_linkKopier link
7
Indsendt af Thomas Hansen (ikke efterprøvet) den ons, 03/21/2012 - 10:38

Dermed har DanID trukket hele sikkerhedsgrundlaget ud af deres egen løsning. Det er lige til at flæbe over, at man ikke kun udviser mangler ved selve driften, men også i forbindelse med support. Ikke nok med, at brugerne skal forholde sig til deres egen sikkerhed, på deres egne maskiner. Nu skal de også kende til DanID's system, ellers kan de ikke finde ud af om det er lokalt eller hos DanID er er noget galt. Og på Engelsk. Skal morfar også til at lære fremmedsprog, for at kunne benytte NemID. Det næste krav bliver vel en Bachelor fre MIT.

DanID. Udvis dog lidt respekt over for det ansvar i har, det er simpelthen noget svineri det der.

  • more_vert
    • insert_linkKopier link
6
Peter Holm Jensen
21. marts 2012 kl. 10:34

Amatøragtigt

... og Danske Bank har lært lidt af lektien, de er skiftet til nød login procedure.

  • more_vert
    • insert_linkKopier link
3
Christian Nobel
21. marts 2012 kl. 10:30

I disse dage afholdes den årlige rygklapperkonference i Århus.

Måske der var nogen der her til formiddag skulle stille sig op på scenen og sige:

Hallo klaphatte, er det dette fundament I vil bygge fremtiden på?

  • more_vert
    • insert_linkKopier link
2
Brian Jacobsen
21. marts 2012 kl. 10:28

Jeg er ikke stærk i certifikat hejs, men hvis man laver en 'Always trust this publisher' betyder det så at man altid stoler på publisher som 'UNKNOWN'? Det lyder lidt som et wildcard til alle certifikater, der måtte dukke op i forbindelse med et bestemt domæne (jeg antager at 'Always trust this publisher' er knyttet til domænet).

Mon hackere kan finde på at sætte publisher til UNKNOWN? Og har det nogen betydning?

  • more_vert
    • insert_linkKopier link
5
Slettet bruger
21. marts 2012 kl. 10:32

"This publisher" må da om noget referere til det specifikke certifikat og ikke navne eller andet deri.

  • more_vert
    • insert_linkKopier link
1
Jacob Christiansen
21. marts 2012 kl. 10:22

Det var dog et fantastisk råd fra DanID. God måde at opdrage brugerne på "Ignorer sikkerhedsadvarsler". Der smed de lige de sidste mange års opdragelse mod phising væk! Flot DanID.

  • more_vert
    • insert_linkKopier link
4
Jan Gundtofte-Bruun
21. marts 2012 kl. 10:32
  • slow clap *

Virkelig godt gået. Danmark er på vej til en spændende fremtid.

  • more_vert
    • insert_linkKopier link