Digitaliseringsstyrelsen giver ’go’ til NemID på mobile enheder

Ansvaret for at modvirke XSS, ligger hos dem der benytter sig af nemid's login, fx bankerne. Java appletten er så vidt jeg lige kan gennemskue, cirka lige så modtagelig for XSS, som en javascript løsning vil være det. Hvis nogen med held fik lagt slem kode på en banks hjemmeside, kunne man jo bare skifte <object name="DANID_DIGITAL_SIGNATUR" etc., ud med det man nu fandt nødvendigt, ved at pille ved DOM'en. Langt de fleste ville ikke kunne se forskel, så længe XSS'eren har gjort sit arbejde godt nok. MITM(og vel egentlig herunder CSRF) kan man nok heller ikke rigtigt beskytte sig imod, da problematikken her jo hovedsageligt handler om phishing. Security by obscurity er og bliver ikke sikkert, det svarer til at lægge nøglen under dørmåtten. Vi kan komme med nok så teknisk indviklede og dyre løsninger, men hvis fru Hansen ikke kan gennemskue phishing/åbner for betjenten uden at have set legitimation, hjælper det ikke ret meget.

De kunne ikke sikre løsninge ved brug af java - den er ufattelig sårbar over for MITM angreb.

Med javascript, bliver det endnu nemmere at angribe brugerne, med lidt cross-site scripting, eller bare simple wrapning af scripts, da nu bliver kildekoden også synligt (altså svækker det eksisterende "security by obscurity concept")..

Det forkommer mig at det her bare åbner ladeporten mere (for transaktions sikkerheden)..

Men i det mindste slipper vi for at skulle havde java i browseren, som lukker en lade på på klient maskinerne..

Virker ikke som en fornuftig løsning til mig, da det nu forkommer mig endnu nemmere at hacke brugere..

Uh well, det er man jo ligeglade med.

og forventer da også at det gælder desktop, så man kan afspillere den kæmpe sikkerheds risiko i form af Java.. Fornuftigt valg og nu er løsningen,7913, sikret en levetid mange år frem modsat den eksisterende.

Mon ikke bliver udvidet til , eller noget vildere. Og helst at formen bliver genereret af javascript clientside, så man er sikker på at javascript er sat til i brugerens browser. Så kunne encrypt funktionen basere sig på noget arbejde á la det her: http://www.hanewin.net/encrypt/Men hvordan det skal koste så mange millioner, går sgu også over min forstand. De kunne jo også have valgt at det kun er web-login/authentication, som skulle javascriptes og så lade diverse eksisterende løsninger køre videre som java løsninger.

Hvad skal man i det hele taget med javascript til nemID? Er der ikke tale om en

Er meget spændt på at se hvor meget javascript man kan få for 47/15 mio og hvad det skal gøre? Lave et unikt fingerprint? Der må være mere?

Security through obscurity - here we go.

Er der nogen system arkitekter der kan forklare mig hvordan det kan koste 47 millioner at lave det om? Lige umiddelbart lyder det til at de skal lave dele af det bagved system om, samt vælger de måske at lave noget refaktorering og ekstra funktionalitet med oveni?

Lige umiddelbart lyder det i mine ører til at de er hårdt koblet af Java og appletten. Sådan opfatter jeg det ihvertfald! Hvis overstående postulat er sandt, så er systemet dårligt skruet sammen.

Det lyder da helt vanvittigt, man kan jo nærmest bygge systemet nyt helt fra bunden til den pris, men kan selvfølgelig også være man gør det bag om scenen.

"Den samlede pris for at få NemID til at virke på mobile enheder bliver 47 millioner kroner, som bankerne og den offentlige sektor hver betaler halvdelen af."

Bankkunderne*

Kan det virkelig være rigtigt at det kommer til at tage 10 mand 1 år at lave en javascript udgave af NemID login delen? Har antaget de koster 1000,-/t.

Påfaldende som Nets ligner nedenstående...

"I care not what puppet is placed on the throne of England to rule the Empire, ... The man that controls Britain's money supply controls the British Empire. And I control the money supply."

Baron Nathan Mayer Rothschild, 1777-1836

Så mangler vi bare at bankerne og det offentlige begynder, at optimere deres selvbetjeningsløsninger til mobile enheder. En JavaScript version af NemID løser jo langt fra alle de problemer som løsningerne har.

Der står ikke rigtigt noget i pressemeddelelsen om det, men jeg gætter på at man også kan bruge et almindeligt EDB-apparat til NemID, og Java-udgaven dermed bliver skrottet.

Om ikke andet; det lyder godt med en løsning hvor man ikke skal installere lukket og fremmed software på sit apparat, for at få adgang til sin bank eller EPJ-data. Så hopper jeg sgu med på NemID-vognen, når det kommer.

...på den virkelige lanceringsdato.

Jeg lægger ud med 4 kvartal 2015