DIKU-speciale: Usability halter for NemID

En usability-evaluering i et speciale fra DIKU giver NemID dumpekarakter over en bred kam. Konklusionen giver login-tjenesten det nedslående prædikat ?tvungen succes?.

Et speciale på Datalogisk Institut ved Københavns Universitet giver brugeroplevelsen af NemID en hård medfart. Den folkelige opfattelse af NemID som værende svært bliver til fulde bekræftet.

»NemID er ikke nemt. I forhold til tidligere løsninger som den gamle digitale signatur og forskellige netbank-løsninger mener 59,2 procent af respondenterne, at det ligefrem er blevet sværere med NemID. Man kan lægge i tallene hvad man vil, men jeg synes det er opsigtsvækkende, at så mange ikke syntes, det var en forbedring,« siger Anders Bjerg Pedersen til Version2.

Læs også: NemID er SværID: Hver femte har brug for support

Den nyslåede datalog Anders Bjerg Pedersen er ophavsmand til specialet, der er blevet bedømt til topkarakteren 12. Han har blandt andet benyttet sig af spørgeskemaer fra 161 tilfældigt udvalgte NemID-brugere og en mere kvalitativ evaluering i form af tænke-højt-tests, hvor blandt andet aktiveringsprocessen er blevet gået efter i sømmene.

Det er formentlig det ekstra sikkerhedslag i form af det trefløjede papkort, som får folk til at synes, NemID er mere besværligt. Og for at det ikke skal være løgn, tyder Anders Bjerg Pedersens undersøgelser på, at udviklingen over tid går i den forkerte retning.

»Jo længere tid, der går, jo mindre praktisk synes folk, det er. Det synes jeg er et væsentligt indspark i debatten. Når noget, der er meldt ud som nemt og praktisk scorer lavere på de parametre over tid, så bør det give anledning til eftertanke,« siger Anders Bjerg Pedersen.

Undersøgelsen peger også på en meget høj andel af NemID-brugere, der har problemer med systemet efter aktivering, nemlig 22,7 procent. Men problemet opstår allerede, når brugerne skal aktivere deres NemID:

»I mine tænke-højt-test kunne fire ud af ni personer ikke selv finde ud af at aktivere deres NemID, og i spørgeskemaundersøgelsen var det 10 procent. Hvis vi ganger de 10 procent op, betyder det, at 300.000 ud af de 3 millioner NemID-brugere ikke kan finde ud af det, og det er et ret skræmmende tal,« siger Anders Bjerg Pedersen.

I specialet har hans testpersoner således fundet ikke mindre end ti kritiske usability-fejl i NemID-konceptet. Noget af forklaringen på, hvordan så mange fejl kan slippe igennem et så relativt gennemtestet koncept, har Anders Bjerg Pedersen fundet gennem aktindsigt i de brugerundersøgelser, IT- og Telestyrelsen har gennemført.

»Testpersonerne har testet en prototype-version af NemID med en ikke-eksisterende demo-netbank ? og at de i kommer ind i et særligt lokale med en særlig test-pc. Så fanger man jo ikke alle de problemer, der kan være med at brugerens egen pc måske ikke har java, eller at sikkerhedsindstillingerne er sat forkert,« siger Anders Bjerg Pedersen.

Dit speciale ender med at konkludere, at NemID kan betegnes som en ?tvungen succes?. Hvad lægger du i det?

»Ordet tvungen bruger jeg, fordi du ikke har noget alternativ. Hvis du vil være it-borger i Danmark, jamen så skal du have et NemID. Netbank og samtlige offentlige instanser bruger det, så der er ikke andre muligheder, hvis du vil have del i selvbetjenings-fremskridtet. Succes-delen kommer af, at det på kort tid er lykkedes at få en kritisk masse af brugere ?mere end dobbelt så mange som den gamle digitale signatur nåede at få på mange år. Og så vil jeg helt klart mene, at NemID rent sikkerhedsmæssigt er en forbedring i forhold til tidligere løsninger.«

Læs Anders Bjerg Pedersens speciale her (pdf)

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (36)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Rasmus Kaae

Det er da et specialeemne der er interessant at læse om. Selvom jeg kun har læst artiklen her på V2 - så er jeg ikke ubetinget enig i konklusionen.

Nu kunne det så være interessant at lave en sammenligning mellem en tidligere undersøgelse af den gamle digitalsignatur + et hav af forskellige netbanklogins mod NemID.

Isoleret set, så er NemID måske lidt bøvlet hvis man blot skal i netbank en gang i mellem. Det har en række banker dog imødekommet ved at fjerne brugen af papkort ved login og kun ved gennemførsel af betalinger og overførsler - hvilket reducerer brugerinteraktionen med NemID til et minimum.

I det store hele synes jeg det er en god ting, at banker har slået sig sammen med det offentlige så man kan bruge samme login til at se netbank og til at rette CVR, indberette skat og moms, m.m.

  • 0
  • 0
Erik Jacobsen

Og så vil jeg helt klart mene, at NemID rent sikkerhedsmæssigt er en forbedring i forhold til tidligere løsninger.

Det ville være rart at høre hvilke konkrete sikkerhedsmæssige trusler, det vurderes at NemID er bedre til at imødekomme, samt argumenter derfor, samt om der er andre steder det vurderes at være blevet dårligere.

Sikkerhed kan ikke måles som 1 liter mælk, og får man 12 i specialet er det noget man bør vide. Men ok, det kan være det bare er journalisten.

  • 0
  • 0
Anders Poulsen

Det ville være rart at høre hvilke konkrete sikkerhedsmæssige trusler, det vurderes at NemID er bedre til at imødekomme, samt argumenter derfor,

Det står jo enhver frit for at kontakte DIKU og få udleveret/låne en kopi af specialet.
I øvrigt må jeg sige, at selvom det er åndet med papkortet, så synes jeg at NemID er nemmere. Nu var jeg så svineheldig at navigere igennem aktiveringsprocessen uden problemer, og siden har jeg nydt godt af at jeg ikke længere er bundet af obskure signatur-filer, der skal ligge på SAMTLIGE af de computere, jeg kunne tænkes at benytte. Før havde jeg digital signatur + 3 separate netbank logins, der alle benyttede sådan en fil. Med 2 hjemme computere og endnu én på arbejdet, var det et kæmpebøvl, bare at holde styr på hvor man kunne logge ind på hvad. For slet ikke at tale om at signaturfilen fra alm-brand bank slet ikke KUNNE flyttes! Den skulle gennem netbanken på en eller anden måde som simpelthen slet ikke virkede på en Mac. Feriekonto havde et separat login og så var der dén der 6-cifrede selvbetjeningskode fra kmd...
For slet ikke at tale om at konen havde glemt sin Digital Signatur adgangskode, hver gang hun skulle bruge den, da den jo blev brugt så sjældent (faktisk kun til Skat).
Så jeg er egentlig godt tilfreds med NemID, i hvert fald i sammenligning med tidligere.

  • 0
  • 0
Rasmus Gjørret

Det er sgu da pisse smart at man kan komme på sin bank, skat, pensionsinfo osv osv over alt fra hvilken som helst PC (med java, ja) bare ved at medbringe dette lille kort som altid er i min pung og dermed er med mig.
Det er genialt at det er det samme man bruger alle steder i stedet for at skulle have en digital signatur til det ene og en "webbank"-fil til sin webbank osv som ligger fast på pc'en.

Det giver virkelig fleksibilitet at man kan side i sin bank, til rådgivningsmøder osv og tjekke op på ting som kræver det her "sikre logon".

Nu har jeg ikke selv brugt det gamle digital signatur, men skulle der ikke der, installeres en applikationen på pc'en før at det spillede eller var det kun til import/export?

Jeg har kun haft positive oplevelser med NemID.

  • 0
  • 0
Brian Hvarregaard

Er det en datalog, der har lavet en vurdering ud fra spørgeskemaer som sit speciale? Jeg troede at dataloger lavede alt m,uligt med softwareudvikling, algoritmer og hardcore udvikling. Ikke samlede informationer fra spørgeskemaer...eller hvad?

  • 0
  • 0
Michael Nielsen

Det hele kunne havde været gjordt så rigtig (og sikkert), hvor det er nemmere end NemID, men den rigtige sikkerhedsmodel.

Mod at man skulle gå med en USB krypto token, i stedet for et stykke pap, med en løsning som jeg ved blev forkastet af mange sikkerhedsvirksomheder allerede i 1990'erne, som værende for usikker.

  • 0
  • 0
Rune Juhl Jacobsen

Nu har jeg ikke selv brugt det gamle digital signatur, men skulle der ikke der, installeres en applikationen på pc'en før at det spillede eller var det kun til import/export?

Ingen af delene. Jeg kørte også Linux dengang, og jeg husker noget med en Java-applet. Der var vist noget med at den Digitale signatur var indlejret i et HTML-dokument med noget base64-encoding.
Jeg har nu heller aldrig haft problemer med at have den Digitale signatur med rundt. Dels har den altid været på min bærbare, dels har den altid ligget på en krypteret disk på min server hvor den har været tilgængelig gennem SSH.

Til gengæld er jeg godt træt af at skulle have nøglekort frem hver eneste gang jeg skal sende en signeret/krypteret e-mail. Så meget at jeg stort set har droppet det med NemID. Jeg bruger stadig regelmæssigt min gamle Digitale signatur til at signere mails, men når den udløber...

  • 0
  • 0
Rune Juhl Jacobsen

Det ville være rart at høre hvilke konkrete sikkerhedsmæssige trusler, det vurderes at NemID er bedre til at imødekomme, samt argumenter derfor, samt om der er andre steder det vurderes at være blevet dårligere.

...prøv at trykke på det allerførste link i artiklen. Hint: det er endda i den første linje. :)

  • 0
  • 0
Henrik Madsen

Specialet inkluderer nok andet en spørgeskemaer, der er også nævnt tænke-højt-øvelser. Og lur mig om ikke der er et pænt stort teoriafsnit.

Efter at have skimmet specialet igennem må jeg sige at det
er meget svært at få øje på et teoriafsnit. For mig virker det snarere som politisk bestillingsarbejde.

Jeg arbejder med statistik til daglig, og er også indblandet i spørgeskemaundersøgelser. Nogle af de mest almindelige forudsætninger for at opnå valide resultater af spørgeskemaundersøgelser kan jeg ikke se er opfyldt her; den er kun testet på vejlederen og en enkelt anden repræsentativ bruger (giver stor usikkerhed om spørgsmålene forstås korrekt), der er ikke flere spørgsmål for de samme latente faktorer (hvilket man ellers altid har for a sikre validitet - og at der eksempelvis gennem valg af spørgsmål ikke 'lægges ord i munden på dem der svarer' - derudover er der grimme statistiske ting, såsom at fitte en normalfordeling på data hvor udfaldsrummet er et interval.

Det undrer mig også, at der ikke er lavet en SEM analyse baseret på enten Maximum Likelihood eller PLS. Umiddelbart lader det til, at konklusionerne er draget udelukkende på grundlag af marginale betragtninger. En sådan besvarelse ville, som jeg lige ser det, lede til dumpekarakter i kurser vedrørende spørgeskemaundersøgelser og analyser af de resulterende data.

  • 0
  • 0
Anders Poulsen

En sådan besvarelse ville, som jeg lige ser det, lede til dumpekarakter i kurser vedrørende spørgeskemaundersøgelser og analyser af de resulterende data.

Så er det jo heldigt for den studerende, at det er et speciale i usability og ikke i statistik eller spørgeskemaundersøgelser.

  • 0
  • 0
Kevin Rasmussen

Nu har jeg læst en del af hans rapport ved at følge linket i starten af artiklen og især under afsnittet om sikkerhed drager han nogen helt fine konklusioner...udelukkende udfra de spørgsmål han stiller og de svar han får.

Det falder mig dog for brystet at han konkluderer at sikkerheden anses for at være langt højere ved at lade DanID opbevare nøglerne og at det derfor er DERES sikkerhed der er afgørende for om NemID kan/vil blive kompromitteret.
Jeg hæfter mig her ved det faktum at ALLE i dk tvinges over til at benytte NemID. Det værre sig politikere, myndigheder, ansatte i forsvaret, på ambasadder mm.

EMC som er det selskab der står bag RSA SecurID ansås også (og anses dog stadig) som en af de sikreste systemer i verden og her opbevares de lokale nøgler (kundernes server keys) godt nok ikke centralt men det gør master nøglen og alle informationer om hvilke token ID'er der tilhører hvilke kunder (og derved alt der skal bruge til at logge ind på en kundes system - hvis man da lige bruteforcer PIN koden først selvfølgelig), og de har jo lige meldt ud at de har haft ubudne gæster på deres netværk over længere tid. Det kunne sagtens være flere måneder eller år. Det frygtes her at de ubudne har trukket de kritiske oplysninger ud og EMC kan ikke afvise (hverken bekræfte eller afvise) at de er løbet med master nøglen.
Denne løsning ligner i sin arkitektur temmelig meget NemID. Og med tanke på at man kun skal hacke ét system for at få adgang til hele Danmark, er det i sig selv at holde alle for nar at påstå der er mere sikkerhed i NemID, end i den gamle digitale signatur. Jovist det er meget sværre at hacke ENKELTPERSONERS profil, men hvis nu man som gevisnt får adgang til et helt lands bank konti, virksomhedregistre, skatte oplysninger og finansielle forholod så har man alt man skal bruge til at berige sig selv, social engineering og nok oplysninger til at kunne "overtale" enhver til at forråde sit land. Så err jeg temmelig sikker på en eller anden slyngelstat nok tager chancen på et tidspunkt.
Se det er HER jeg ryster af harme over en sådan konklusion.

  • 0
  • 0
Svante Jørgensen

Oprettelsen af NemID var meget besværligt (for mig i hvert fald), men det var lige da det udkom og der var børnesygdomme og travl kundesupport. Så det kunne jeg sådan set godt forstå.

Det er fedt at man kan logge ind fra hvilken som helst computer og ikke behøves at bekymre sig om at den aflurer ens password, da den ikke kan bruge pap-kort nøglen igen. Det mest irriterende er deres single sign-on, hvor det skulle være muligt at logge ind på ét website med NemID og derefter besøge alle NemID websites i samme session uden at skulle logge ind igen.
Det virker bare ikke, og det er pisse forvirrende når de lægger op til at det gør. Så vidt jeg har læst mig frem til har det at gøre med forskellige rettighedsniveauer, men det er totalt ugennemskueligt for brugeren.

  • 0
  • 0
Jesper Louis Andersen

Er det en datalog, der har lavet en vurdering ud fra spørgeskemaer som sit speciale? Jeg troede at dataloger lavede alt m,uligt med softwareudvikling, algoritmer og hardcore udvikling. Ikke samlede informationer fra spørgeskemaer...eller hvad?

Datalogi som disciplin er temmeligt bred. Der er også dele af datalogien som omhandler usability, human-computer-interaction og lignende felter. Ikke at jeg aner en fløjtende fis om det dog. Men det er en del af faget, nonetheless.

Derfor så ja, du bør liige checke hvilken type datalog du ansætter. Ellers får du den forkerte ansat meget hurtigt. Men det gælder sådan set for en del fag.

  • 0
  • 0
Henrik Værø

NemID har fungeret ok for mig, både oprettelsen og den daglige brug. Til kritiske ting som banktransaktioner er det ok at skulle finde kodekortet frem. Men at skulle skrive både password og finde kodekortet frem og taste koden derfra ind bare for at se trivielle meddelelser uden særlig følsomme oplysninger i eBoks er et irritationsmoment. Det er overkill og burde kunne gøres mere smidigt.

Som for eksempel i min mobilbank; der er proceduren netop ændret sådan at jeg kan nøjes med at skrive pinkode på mobiltelefonen hvis jeg bare skal checke kontooplysninger. NemID-koden skal kun i brug hvis jeg skal overføre penge. Så hænger tingene sammen.

  • 0
  • 0
Jesper Louis Andersen

Jeg arbejder med statistik til daglig, og er også indblandet i spørgeskemaundersøgelser.

Henrik,

Mange tak. Jeg har som datalogistuderende argumenteret hårdt for at du som datalog også bør have et eller flere grundkurser i statistik. Specielt hvis du er eksperimentaldatalog eller arbejder med usability. Minimumsgrænsen er at få tilstrækkeligt med viden til at du ved hvornår du skal hive en statistiker ind over arbejdet.

Ellers risikerer du netop at det arbejde du udfører bliver set ned på af fagfolk, fordi det ikke dækker de minimumskrav man som statistisk vidende vil stille.

En sådan besvarelse ville, som jeg lige ser det, lede til dumpekarakter i kurser vedrørende spørgeskemaundersøgelser og analyser af de resulterende data.

Specialet fik 12 datalogisk set. Rimeligt underholdende at det så står til dumpekarakter statistisk set. Det belyser bare nødvendigheden af at fikse dette problem.

Jeg tror heller ikke det er isoleret til datalogi. Jeg vil forvente at temmelig mange fag ikke benytter sig af den viden som findes, selv om de burde.

  • 0
  • 0
Jakob Damkjær

Som sådan har de jo mangler på områder man ikke kræve fra specialer.

Men efter en skimning af det så er der et par graverede fejl som en medvejleder med erfaring med statestik og spørgeskema undersøgelsen burde ha fanget.

Der bruges i de spørgeskemaer jeg har set på i specialet 5 valgmuligheder. Dette advare introduktionskurser i spørgeskema design imod da det leder til et "mellemvejs bias" da folk godt kan li at være gennemsnitlige.

Se fx side 98 hvor alting ligger ret nært 3 på en skala fra 1-5.... its a biach aint it. Hvor Y aksen har en ret interessant opdeleing... troede den startede på 0 normalt...

Desuden er der en stor overvægt af unge mænd og i særdeleshed med højt (egenvuderet) it kundskabsniveau (se side 81-83). Nej jeg mener ikke den objektive beskrivelse som de bruger siger noget om brugerens IT kundskaber da den også bygger på informationer som folk selv opgiver.

Desuden burde der være et eksklusion kriterie for brugere der opgiver de er super whizbang IT mennesker men får en meget lav score på deres IT test.

Man burde ha lavet en faktisk test til at besteme den faktisk IT kundskab og brugt denne parameter til at stratificere data (som burde ha ligget efter spørgeskemaet således at den ikke påvirker det).

Man burde desuden ha statifcieret data for at udelukke den forske der er på de grupper man har udspurgt.

Samtidigt burde man i det eksperimentelle design ha sørget for at man faktisk beskriver den danske befolkning og ikke bare unge mænd som mener de er superbrugere men ikke kan finde ud af NemID.

Prisværdig indsats men ikke noget der rigtig kan bruges til at vurdere NemID...

mvh
Jakob cand.agro

  • 0
  • 0
Peter Hansen

1) Det er ikke ægte PKI (bruger har ikke fuld rådighed over den private nøgle)

2) I tilfælde af misbrug skal bruger selv bevise at vedkommende har handlet korrekt (der er ikke nogen klare definitioner på dette)

3) Løsningen er blevet tvunget ned over hovedet på alle netbank-kunder - ingen alternativer.

4) Udbudsprocessen var temmelig anløben - udbudskravene betød i praksis, at PBS var selvvalgt. Hvad skal man med en lovgivning om åbent udbud, hvis den bare kan omgås ?

5) NemID omgår bevidst loven om Digital Signatur. Men i oplysningsmateriale lader man alligevel NemID fremstå som en digital signatur. Denne lemfældige omgang med centrale begreber indenfor digital sikkerhed borger ikke for en grundlæggende tillid til arkitekterne bag løsningen.

Samlet set er der grund til at være bekymret. I hvert fald vil jeg opfordre til at være meget forsigtig med at anvende NemID til offentlig selvbetjening - selv har jeg ikke aktiveret den.

  • 0
  • 0
Leif Bertelsen

Det er smart, at man kan gå på fx. netbank fra en hvilken som helst PC’er.
Og det er også helt fint, hvis sikkerheden er hævet.
Men brugervenlighed er der meget småt med, specielt i NEMID’s hjemmeside!
Jeg kan godt forstå de mange kritiske bemærkninger om brugervenligheden, og det er mig stadig uforståeligt, at NEMID ikke snart tager kritikken alvorlig og får en brugervenlig hjemmeside.
Hvorfor ikke få et brugerpanel til at teste??
Det dur ikke at ”teknokrater” med deres mange kompentancer ”bare” kører derudsaf - få fat i fru Jensen fra Kæret og hr. Pedersen for rækkehusene til at teste.
Men det er som at slå i en dyne - NU har Teknokraterne lavet noget som teknokrater kan bruge - og så er det ligemeget med alle all andre!!

  • 0
  • 0
Svend Lyngsø

MenID.nu reager ikke på henvendelser og forstå ikke at det er volapyk for almindelige mennesker.
Det ved jeg for jeg underviser 60+ og hjælper dem. De er en gruppe som er forholdsvis svage i EDB.
Installer NemID er faktisk umulig for dem på nemid.nu, så jeg spørger dem om de har fået den af Deres Bank, for de forklare det meget bede. Men det kan nemid.nu ikke tage ved lære af.
De reager heller ikke igennem ”Kontoret for it-kompetencer og tilgængelighed (KIK)”
Men når de først har det fået installeret gå det rimelig men og de kan bruge det.

  • 0
  • 0
Erik Jacobsen

I lyset af de andre kommentarer, og en meget hurtig læsning af dele af specialet, er det nok "bare" et speciale i brugervenlighed (som jo hedder brugerANvendelighed, på engelsk "usability", ikke noget med "friendliness").

Enkelte interessante punkter. Der står i specialet

Med enormt overvejende sandsynlighed nej.

Sammenhængen er strengt taget ligegyldig, for en sådan udtalelse hører slet ikke hjemme i et akademisk arbejde. Det er useriøst.

Sammenhængen er så om man kan stole på om DanID vil misbruge sin position, og der mener forfatteren så "nej", uden at analysere noget, stort set.

Forfatteren glemmer belejligt at DanIDs kunde er den danske stat, og at staten har ganske vide beføjelse når det gælder "rigets sikkerhed". Man kunne sagtens anlægge den betragtning, at der er en rimelig sandsynlighed for at staten har, eller planlægger, en bagdør til systemet, som følgelig er hemmelig for os andre.

Forfatteren beskæftiger sig heller ikke synderligt med monopolproblematikken - ud over at anføre at der i sagens natur ikke er noget valg.

Forfatteren beskæftiger sig heller ikke med problemet at denne Java-applet får fuld adgang til brugerens maskine - igen en sød lille ting statsmagten vil kunne udnytte.

DanID skriver om "Genkendelighed". Der er oplagte angrebsmuligheder, baseret på denne genkendelighed, som ikke anføres. Eet eksempel: Hvis den lokale golfklub bruger NemID som login, skal skurken gøre 2 ting: skaffe sig adgang til golfklubbens webserver, modificere siderne en smule, så en anden applet hentes til login. Denne registrerer så brugernavn og password, rapporterer en eller anden ligegyldig fejl, og giver så videre til den rigtige NemID. Ingen aner uråd. Anden del er så at skaffe en kopi af nøglekortet. Det kan kopieres uden at man se, at det er kopieret.

(Eller agerer som Man In The Middle med en enkelt af nøglerne fra kortet, som rapporten beskriver).

Sikkerheden for NemID afhænger nu af golfklubben og brugerens omgang med kortet.

Ja, der skal to ting til, men ingen af dem er synderligt svære for skurkene tæt på offeret.

BrugerANvendeligheden i forbindelse med sikker opbevaring af kodekortet behandles (vistnok) ikke i specialet. Hvad har brugerne tænkt sig at gøre, hvad gør de? Skal vi have et pengeskab, eller må det ligge i skuffen? Og hvorfor får brugerne ingen troværdig information om hvad der godt nok? Oplagte spørgsmål i forbindelse med brugerANvendelighed, synes jeg.

Ovenstående er ikke en diskussion af NemID, det kan vi klare andre steder, men blot min egen lille udredning af at det selvfølgelig ikke er et speciale om sikkerhed, som jeg troede først. Det er om "usability", og sikkerhedsafsnittet er der kun som baggrundsinformation. Fair nok.

  • 0
  • 0
Casper Kjær

Jeg synes kritikken mod NemID er helt urimeligt og fuldstændig fejlplaceret. Denne artikel fremhæver aktiverings processen som besværlig og ikke særlig bruger venlig. For det første kan det godt være det er besværligt, men det er kun noget man skal gøre en gang og der er en support telefon man kan ringe til og få hjælp hvis man ikke kan finde ud af det. For det andet er der en årsag til at processen er så omstændig, og det er sikkerhed. Det er jo alt afgørende at det er den rette bruger som får adgang til NemID kontoen. En sådan aktivering vil altid være besværlig lige gyldig hvordan man udformer systemet, og den er desuden ikke meget forskellig fra systemer så som Skats tast selv kode. Det jeg mener man skal fokusere på er bruger oplevelsen efter aktiveringen, og den er væsentligt forbedret. Ikke alene er det nemmere at benytte NemID fra flere forskellige computere, det er også mere sikkert. Før skulle hr og fru Danmark slæbe rundt på deres digitale certificaker og installere dem på alle de computere de kunne tænke sig at logge ind med digital signatur på. Ikke alene var det meget besværligt og teknisk svært for ikke it kyndige danskere, der var også en markant større sikkerheds risiko forbundet med denne løsning. Jeg tør vædde på at der er mange offentlige biblioteker hvis computere ligger inde med kopier af digitale certifikater fra borgere som har glemt at slette deres certifikater efter endt brug, eller simpelthen ikke forstod vigtigheden af at slette certifikatet. Med den nye NemID løsning håndterer brugeren ikke selv sit certifikat og der er dermed ikke nogen problemer forbundet med at glemte certifikater bliver kopieret og misbrugt.

  • 0
  • 0
Jakob Damkjær

"Mange tak. Jeg har som datalogistuderende argumenteret hårdt for at du som datalog også bør have et eller flere grundkurser i statistik. Specielt hvis du er eksperimentaldatalog eller arbejder med usability. Minimumsgrænsen er at få tilstrækkeligt med viden til at du ved hvornår du skal hive en statistiker ind over arbejdet."

Fra konklusionen:
"Som specialets primære omdrejningspunkt har vi planlagt og gennemført to forskellige typer evalueringer af NemID: tænke-højt og elektroniske spørgeskemaer i to stadier. Undersøgelserne er bygget på solidt fagligt grundlag og anvender videnskabeligt anerkendte metoder til indsamling og bearbejdning af data. Vi er desuden kommet med best practice i forhold til udelukkende online distribution og udformning af spørgeskemaer."

Den afsluttende sætning i dette afsnit kan ikke siges sandfærdigt at afspejle virkeligheden, ihvertfald ikke spørgeskema delen.

Det er ikke en kritik af dit arbejde, det er noget din vejleder burde ha gjort dig opmærksom på inden du afleverede/startede med at modtage svar.

Du bruger et værktøj (spørgeskemaet) som ikke er nemt eller trivielt at bruge, men desvære meget nemt at bruge forkert.

Der burde du være blevet vejledt til at ha søgt en statistisk konsultation hos en af de statistikere, som KU har ansat til bla. dette formål, da du formulerede din statisktiske protokol (spørgeskemaundersøgelsen).

Da spørgeskemaet fra en let læsning virker som den metode de primære data i dit speciale kommer fra, kan man argumentere at dette burde ha haft mere opmærksomhed ud fra et metodeperspektiv.

"De identificerede observationer viste sig under grupperingen primært at dreje sig om en mangel på forståelse af de bagvedliggende koncepter, single-signon, nøglekortet og en generelt middelmådig tilfredshed med systemet"

En del af den middelmådige holdning kommer muligvis fra et middelværdi bias da du har en mulighed i dine spørgeskemaer for dette (dvs. ulige antal svarmuligheder eller neutral midtpunkt). Det kan selvfølgeligt diskuteres men lige ud fra de data der presenteres virker det som om der er mange der ikke har en holdning hverken positiv eller negativ...

Det er klart et interessant emne men der må nok andre undersøgelser til før vi kan sige noget om hvordan den generelle befolkning mener om NemID, selv om denne undersøgelse klart gør opmærksom på nogle af problemstillingerne der bør undersøges nærmere.

Mvh
Jakob

PS! Tillykke med 12 tallet og specialet.

  • 0
  • 0
Per Gøtterup

En krypto-token er klart at foretrække fremfor papkortet. Det er nemlig sådan at folk typisk vil opbevare papkortet i tegnebogen, hvor man også opbevarer dankort, sygesikringsbevis og så videre. En krypto-token placeres typisk i nøglebundtet eller i en taske eller lomme, afhængigt af design.

Med en tegnebog med NemID papkort er man som tyv meget langt i at kunne misbruge det for mange bruger CPR-nummer som brugernavn (det står på sygesikringsbeviset) og måske noget andet personligt som password, noget som måske også kan findes i tegnebogen. Ja, at folk direkte har en seddel med dankort-PIN, password og så videre i tegnebogen er set skræmmende ofte.

Det gamle system hvor man skulle have både en nøgle på den anvendte maskine og et kodeord var faktisk sikrere.

  • 0
  • 0
Maxx Frøstrup

Ja, undskyld men jeg har egentlig aldrig rigtigt løbet ind i de problemer digital Signatur bliver beskyldt for. Nu har jeg så også mit certifikat på en USB nøgle og har det ingen andre steder end der.
Proccessen til at gøre det var og er en smule indviklet, og jeg har kun gjort det 8 gange (på 8 forskellige windåser).
Jeg kan huske min mor fik sit første Digitale signatur af komunen på en cd-dims, det blev vist aldrig rigtigt taget i brug. Men tror egentlig udgiften til disse cd'er kommer til at være gående mod udgiften til papkort?
Men disse proccesser giver mig egetnlig de samme fordele som NemID giver mig til Netbank, med ligende sikkerhed og ulemper i form af at uden USB nøgle kan jeg ikke komme på.
Hvis min USB stick dør, så er ny anskaffelse en meget dyr proccess, ikke så meget usb-sticken som anskaffelsen af en ny digital signatur.

På den anden side kan jeg jo netop med min USB-stick bruge f.eks. Borger.dk forudsat jeg har adgang til en USB port og at der er java på dåsen. Men der må være nogen derude der har haft store problemer med dette.

Min sikkerhed er i praksis den samme, Noget jeg har + Noget jeg ved (plus brugernavn?) forskellen er at JEG har kontrollen over min USB nøgle. Jeg kan fysisk se og mærke om den bliver misbrugt, da dette ville kræve den blev taget fra mig. Og det ansvar vil jeg gerne selv bære. Dog forstår jeg da at det at gå rundt med en USB-stick for mange er både uhensigtmæssigt og unaturligt, jeg er jo trods alt nørd.
Og de hurtige vil nok pege på telefoner eller andre "online devices" som nøgle lager. Nej, pointen med min stick eller mit NemID kort er jo netop at de er OFFLINE. Når jeg ikke har kontrollen over hvornår de er i brug, så har jeg ingen kontrol med min digitale identitet.

Jeg må også melde mig under fanerne af folk der nogenlunde let kom igennem NemID aktiveringen, men egentlig kun fordi jeg bevidst lod være med at tænke, tage stilling til EULA og TOS, og kom igennem netbanken.
Jeg hjalp min mor gennem via NemID.nu og det var ikke let, heldigvis lod vi igen være med at tage stilling til andet end at vi havde et offenligt dokument vi skulle bruge det på (indenfor 14 dage).

Indtil videre så er alt hvad jeg møder i forbindelse med NemID at det er lige ud af landevejen og det virker stort set hele tiden. Forudsat du lukker øjnene og fortsætter fremad.

Jeg synes stadigt det er et spændende projekt, jeg kan ikke lide det, og regner kraftigt med noget katastrofalt rammer systemet, om 1 års tid cirka.
Men det er stadig en spændende idealogi.

Indtil da må jeg jo bare selv sørge for at skille mit liv ad i privat sektor og Offentlig sektor da jeg aldrig kunne drømme om at udstede en blanco adgang til nogen af parterne.

  • 0
  • 0
Peter Hansen

Hvis man kigger lidt på NemIDs løsning til email kan jeg godt forstå at specialeforfatteren ikke inkluderede den. Mage til bras skal man lede længe efter. I hvert fald har man sikret sig at der ikke er nogen der gider at sende krypterede eller signerede emails til det offentlige - det er bare for besværligt.

  • 0
  • 0
Per Lind

Jeg er helt enig i at det skulle kvalificeres op mod andre metoder og systemer. Selv har jeg tidligere bevist at de svage bliver forbigået og det behøver man ikke at tillade, men den snottede arrogance som båd udbyderen af NemID og IT Styrelsen udviser, så er det jo svært at få dem til at lytte til fornuft.

Voice biometrics klarer alle de ting som NemID ikke selv kan!

  • 0
  • 0
Jesper Poulsen

Nu har jeg ikke selv brugt det gamle digital signatur, men skulle der ikke der, installeres en applikationen på pc'en før at det spillede eller var det kun til import/export?

Ingen af delene, rent faktisk. Når det kom til stykket var det kun *nix'erne (inkl. OS X) der magtede at håndtere signaturen ordentligt.

  • 0
  • 0
Jesper Poulsen

Det har en række banker dog imødekommet ved at fjerne brugen af papkort ved login og kun ved gennemførsel af betalinger og overførsler - hvilket reducerer brugerinteraktionen med NemID til et minimum.

Og dér falder kæden så af. Det er muligt at man ikke kan andet end at kigge, hvis man ikke har papkortet, men har du kigget på det der kan kigges på?

Samtlige bankfinansielle forhold; gæld, renter, formue. Dertil samtlige kontonumre. Og ens postadresse.
Det er FAIL.

Og der skal ikke mere til end en keylogger gemt i et rootkit...

Min bank tilbyder også muligheden for adgang uden nøglekort. Skal man lave noget aktivt, mens man er inde, skal nøglekortet i brug.
Logger man ind med nøglekortet, er man inde. Der skal efterfølgende ikke bruges nøglekort. Nu skal jeg bare have dem til at fjerne muligheden for at logge ind [u]uden[/u] nøglekort.

  • 0
  • 0
Henrik Mikael Kristensen

Usability problemer jeg tit støder på i forbindelse med NemID:

  • Applet'en gider ikke at loade, før man reloader siden 2-3 gange.

  • Når man indtaster bruger/pass, og trykker "Send", sker der som regel ingenting første gang. Send knappen bliver disabled, og så kan man sidde der og glo.

  • Når man skal indtaste nøgle, hvilket jeg ikke kan regne ud, hvorfor man nogen gange ikke skal, sker der heller ingenting. Jeg har lige spildt 2 nøgler idag på "ingenting", hvor man så kan sidde og overveje, hvorfor jeg får absolut nul feedback fra applet'en om, hvad den laver.

Gentages procedurerne kommer den godt nok, og det er jo det man lærer at gøre som bruger.

Det er bare svært at være sikker på som bruger, at der ikke er nogen der kigger med, når man skal sidde og gentage så vigtig en procedure som login i et aflukket system.

Det er iøvrigt ikke noget, jeg har set i andre systemer, andet end at jeg så får en hårdt og kontant "adgang afvist" eller noget.

Kan man forestille sig nogen som helst anden loginprompt, der opfører sig sådan?

  • 0
  • 0
Henrik Schmidt

Ja, den havde jeg sjov med en overgang. Så vidt jeg husker, skulle man installere Thunderbird på OS X, for at få det til at virke, men det var det mindste af det.

Hver eneste gang jeg tilgik en krypteret mail, skulle jeg skrive en ny kode ind. Tænk, hvis man havde bare ti krypterede mails at komme igennem. Det ville være et mareridt.

I øvrigt havde jeg problemer med at få det til at virke, så jeg kontaktede deres support. Jeg spurgte, om de havde en mail adresse, som man kunne sende en test email til, for den de brugte i brugervejledningen virkede ikke, og jeg kunne ikke finde en i deres register.

Ifølge supportmedarbejderen kunne de ikke modtage krypteret mail. Det siger vist alt.

  • 0
  • 0
Morten Andersen

Lyder som et rigtigt spændende speciale, som specialeskriveren har lavet. Jeg synes dog, at han tager munden lidt for fuld, når han siger

"I mine tænke-højt-test kunne fire ud af ni personer ikke selv finde ud af at aktivere deres NemID, og i spørgeskemaundersøgelsen var det 10 procent. Hvis vi ganger de 10 procent op, betyder det, at 300.000 ud af de 3 millioner NemID-brugere ikke kan finde ud af det, og det er et ret skræmmende tal,"

Jeg mener ikke, at man, baseret fra en spørgeskemaundersøgelse med 161 respondenter, bare kan slutte, at potentielt 300.000 NemID brugere ikke kan finde ud af NemID.

Undersøgelsen bør gentages med et større antal respondenter, før man kan konkludere noget endeligt.

Dog stor ros til specialeskriveren for at påpege problematikken.

Mvh Morten (som dog ikke selv har haft problemer med NemID)

  • 0
  • 0
Morten Jensen

@Jan Harries

Lyder som om din browser ikke er go til JAVA

Jeg oplevede problemer med nemID da jeg brugte en open source java implementering. Siderne loadede ikke, appletten svarede ikke osv., så det kan meget vel være relateret til JRE implementeringen.
Derudover er jeg enig i stort set alle andre sikkerhedskritiske indlæg i denne tråd. Det er håbløst at man i dagens Danmark udbyder en digital signatur-løsning der ikke er en digital signatur i juridisk/teknisk forstand. Hvorfor må vi ikke få PKI?

SKAT udfaser TastSelv koden, SU udfaser fælles pinkode og sådan er det over hele linien. Selvfølgelig får NemID "stor succes" målt på antal brugere: Man kan jo snart ikke bruge andet :)

  • 0
  • 0
Log ind eller Opret konto for at kommentere