Du kommer nok til at kunne logge på Google med MitID-enhed - men ikke omvendt

Christian, det er mit indtryk at hele OCES certifikatet med privat og public nøgle KUN bor i USB nøglen og den private nøgle aldrig forlader den.</p>
<p>Mao. er der ingen OCES nøgler i DanId's HSM for dem, der har hardware.

Men eftersom hardwaren ikke kan "alt" er man som hardware bruger nødt til at have den gamle "analoge" løsning med papkortet og DER ligger der nøgler i HSM'en til.

Som jeg forstår det så kan enhver papskive bruger aktivere OCES delen på sit papskive login med een papskive kode.

Det er også en af fejlene, at man ikke kan nøjes med "hardware" og så bruge den til det hele.

Det er det samme med den her lille nøglering, så slipper man for papkortet.....Bortset fra når nøgleringen går i stykker, så skal man bruge papkortet til at bestille en ny.

Summa summarum, man kan ikke slippe for papkortet (I fremtiden appen) så uanset hvor godt du så sikrer fordøren, så er bagdøren stadigvæk ringere og kæden er som bekendt ikke stærkere end det svageste led.

I min begrebsverden, så skal man væk fra hele "Nem" paradigmet når vi taler datasikkerhed - det er det simpelthen for alvorligt til at der spilles hasard på den måde det gøres.

Fra deres beskrivelse af digital signatur skrev de bla:

For at gøre brugen af digital signatur endnu sikrere, anbefales det ofte, at en bruger råder over flere nøglepar med tilhørende certifikater. Så kan et af disse nøgleparreserveres til at underskrive meddelelser eller til, når kommunikationen skal gøres uafviselig, dvs. sikring af, at afsenderen ikke senere kan benægte at have afsendt en meddelelse. Certifikatets anvendelse fremgår af certifikatet.</p>
<p>Det er nemlig langt fra al kommunikation, som det er nødvendigt at signere. Ofte vil brugeren blot have brug for at identificere sig, holde sin meddelelse hemmelig eller sikre dens integritet. For at adskille disse behov, kan det være fornuftigt med to eller flere forskellige nøglepar, f.eks. et par til signering samt et par til kryptering og dekryptering.
Den private nøgle, der bruges til den kommunikation, som kræver særlig høj sikkerhed, anvendes herved i mindre omfang og risikoen for kompromittering reduceres.</p>
<p>Det kan være ønskeligt eller nødvendigt for brugeren at opbevare en ekstra kopi af den private nøgle, der skal anvendes til at dekryptere meddelelser, som er krypteret med den tilsvarende offentlige nøgle. Også dette aspekt taler for anvendelsen af flere nøglepar, idet det i så tilfælde alene vil være den private nøgle til dekryptering af meddelelser og ikke den private nøgle til signering, der skal opbevares en kopi af.

Virkeligt visionært må man sige.

Christian, det er mit indtryk at hele OCES certifikatet med privat og public nøgle KUN bor i USB nøglen og den private nøgle aldrig forlader den.</p>
<p>Mao. er der ingen OCES nøgler i DanId's HSM for dem, der har hardware.

Jeg vil ikke påstå at du ikke har ret, for det hele er jo desværre omgærdet af en hel del mumbo-jumbo (security by obscurity er jo i Nets' verden noget af det bedste der eksisterer), men det ville vel fordre at der var en rigtig CA funktion, og det er jeg ikke vidende om.

Og under alle omstændigheder, så er jeg altså ikke helt tryg ved en (af andre) præfabrikeret løsning, hvor jeg bare får udleveret en dims med både den private og den offentlige nøgle, for så er nøglerne stadig ikke 100% under min kontrol, men kun sikret ved en accept af at jeg håber på at den der giver mig den i hånden har reelle hensigter.

Samt det, hvis det forholder sig som du siger, virker lidt bizart hvis begge nøgler er i dimsen, for så fordufter en stor del af fidusen (reelt er der jo så kun tale om selvsignering).

I min begrebsverden, så skal man væk fra hele "Nem" paradigmet når vi taler datasikkerhed - det er det simpelthen for alvorligt til at der spilles hasard på den måde det gøres.

For min skyld ville det ikke gøre noget hvis jeg skulle møde personligt op hos en statsautoriseret (og kontrolleret) "elektronisk låsesmed", selv generere (eller lade noget trusted OS værktøj gøre det) min private nøgle som lægges på blank hardware (f.eks. den Yubikey jeg selv kommer med) , og ud fra den generere min offentlige nøgle, som så oploades til en statskontrolleret CA.

På den måde ville det også være muligt for private at sende krypterede mails, ikke kun tækkes det offentliges SSO behov.

Du er herre over den nøgle der kan bruges til at manden i midten kan foretage underskrift på dine vegne.

Christian, det er mit indtryk at hele OCES certifikatet med privat og public nøgle KUN bor i USB nøglen og den private nøgle aldrig forlader den.

Mao. er der ingen OCES nøgler i DanId's HSM for dem, der har hardware.

Ahr, det er vist at overdrive lidt.</p>
<p>Du er herre over den nøgle der kan bruges til at manden i midten kan foretage underskrift på dine vegne.</p>
<p>Men 100% kontrol over din egen underskrift det mener O'Brien sandelig ikke du skal have.

Du har ret, der burde have stået "Hele ideen med Digital signatur er at du selv har kontrol over din egen digitale signatur"

Som det er nu, så er det som du også siger et system hvor jeg beder nogen andre om at skrive under på mine vegne og så skal jeg stole på at de ikke bruger min underskrift uden mit vidende, til andet end det JEG beder om.

Så længe de ikke kan tilbyde en løsning hvor jeg selv får lov at generere min digitale signatur og at JEG har kontrol over så meget af den, at ingen anden på nogen måde KAN bruge den (Udover hvis de tvinger mig til at afsløre den), så længe vil jeg ikke have NemID / MitID

Hele ideen med NemID på hardware var jo at man så kunne være herre over sin egen digitale signatur.

Du er herre over den nøgle der kan bruges til at manden i midten kan foretage underskrift på dine vegne.

Men 100% kontrol over din egen underskrift det mener O'Brien sandelig ikke du skal have.

Umiddelbart er der ikke noget der tyder på det, for på Skats side "tilbydes" kun login med nøglekort eller nøglefil.</p>
<p>Men hvad, det er jo også kun omkring 8-10% af skatteyderne (og vel omkring 10-15% af brugerne) Skat pisser op og ned ad ryggen ved at lukke for tast-selv koden

For at være helt ærlig så er det sgu noget roderi at man tilbyde 3-4 forskellige løsninger, men hver løsning har noget den ikke virker til (Udover papkortet og velsagtens i fremtiden appen).

Fatter ikke at staten ikke har stillet det som et krav, at de muligheder der udbydes skal være lige universelle og skulle kunne "alt".

Med hensyn til at pisse borgerne op og ned af ryggen, så er det nok fordi du ikke har forstået at i Danmark er systemet ikke til for borgerne, men derimod er borgerne til for systemet.

Hvad fedt er der ved at have "NemID på hardware" når man samtidigt er tvunget til at have papkortet som backup løsning. Hele ideen med NemID på hardware var jo at man så kunne være herre over sin egen digitale signatur.

Ret beset så virker NemID på hardware vel, som jeg læser det, kun på offentlige hjemmesider, ikke andre NemID login sider og slet ikke på din bank.

Så om 2 år skal man have en fysisk nøgle med sig for at logge på "NemID/MitID"?
Det er jo rart i dag at man bare kan godkende det med telefonen.

Jeg kan heller ikke forestille mig at NemID (MitID) på hardware fungerer eller vil fungere på sites som Aula og det bliver spændende at se om det vil virke på SKAT når de nu lukker for Tast-selv.

Men hvad, det er jo også kun omkring 8-10% af skatteyderne (og vel omkring 10-15% af brugerne) Skat pisser op og ned ad ryggen ved at lukke for tast-selv koden

Jeg tvivler på det med PUK koden - udfra mit kendskab til enrollment processen.</p>
<p>Og nej desværre: dækningskortet bliver tyndere og tyndere efterhånden som specielt private aktører ikke gider at supportere løsningen (eller bare benytte nemlogin ). Selv eboks understøtter det ikke længere, og jeg kan kun få fat i min post via borger. dk ?

Ja det virker mest på mig som om hardware løsningen er en løsning som de tilbyder fordi det står i udbudsmaterialet at de skal, men ikke noget de reelt set gider.

Jeg kan heller ikke forestille mig at NemID (MitID) på hardware fungerer eller vil fungere på sites som Aula og det bliver spændende at se om det vil virke på SKAT når de nu lukker for Tast-selv.

Jeg ved at med Aula lovede man at der kom en løsning så folk uden NemID (Folk der er fritaget og indvandrere som har børn i skolerne, men endnu ikke kan få NemID) kunne logge ind.

Det endte dog med at de halvvejs i processen valgte at nu gad de ikke rode mere med det, så forældre uden NemID kan ikke tilgå Aula overhovedet.

Jeg er lidt undtagelsen fordi jeg var med i processen så tidligt at de i det mindste forsøgte, så jeg har deres halve løsning og kombineret med lidt "hacking" har jeg nu alligevel adgang.

Jeg kan dog ikke se beskedder markeret som "følsomt" men jeg har dog mulighed for at se almindelige beskedder.

Den arrogance og ligegyldighed, som dem fra skolevæsenet som har arbejdet med at få det her til at fungere for adskillige forældre, blot på vores skole, har mødt fra Kombit er helt ekstrem. Jeg kunne forstå at Københavns kommune til et møde også havde udtrykt at den holdning var meget problematisk, da de har "mange" som ikke har NemID og som ikke lige kan FÅ det overhovedet endnu.

Jeg tvivler på det med PUK koden - udfra mit kendskab til enrollment processen.

Og nej desværre: dækningskortet bliver tyndere og tyndere efterhånden som specielt private aktører ikke gider at supportere løsningen (eller bare benytte nemlogin ). Selv eboks understøtter det ikke længere, og jeg kan kun få fat i min post via borger. dk ?

Ikke rigtigt - jeg har NemId på hardware, og den var ganske rigtig spærret ca. 2 måneder for et par år siden, hvorefter DanId fremsendte ny token baseret på en anden leverandør uden beregning, og den har virket fint siden.</p>
<p>Og så vidt jeg ved ligger mit OCES certifikat med private key KUN på tokenet.

Ok, jamen så fik de det jo løst.

Som jeg husker det så har du ret i at nøglen efter Nets udtalelse kun ligger på din dongle.

Som jeg husker det så har Nets dog din "PUK" kode så hvis de rette får fat i din dongle så kan de godt nulstille koden og få adgang til din digitale identitet alligevel. Dette er dog meget meget bedre end med SSO løsningen.

De fik ikke tilfældigvis i samme ombæring løst det så man rent faktisk kan bruge NemID på hardware, universelt, alle steder hvor der er NemID ?

Jeg fravalgte NemID på hardware i sin tid, fordi den alligevel ikke virkede på min netbank og det er sådan set på den jeg, om man må sige, mangler det mest.

Så om 2 år skal man have en fysisk nøgle med sig for at logge på "NemID/MitID"? Det er jo rart i dag at man bare kan godkende det med telefonen. I såfald at det bliver et krav med den fysiske nøgle, håber jeg de laver en USB-C version, man kunne frygte det offentlige kun formår at lave en USB-A.

Ikke rigtigt - jeg har NemId på hardware, og den var ganske rigtig spærret ca. 2 måneder for et par år siden, hvorefter DanId fremsendte ny token baseret på en anden leverandør uden beregning, og den har virket fint siden.

Og så vidt jeg ved ligger mit OCES certifikat med private key KUN på tokenet.

<a href="https://www.version2.dk/artikel/nets-spaerrer-nemid-paa-hardware-paa-gr…;.

Jamen jeg mente det jo nok.

Mener også at de i hvert fald dengang meldte ud at de ikke ville åbne for den løsning igen fordi afløseren for NemID stod lige for døren.....Men som altid med offentlige løsninger så er alt under en 100% overskridelse af tidsfristen jo utopi.

Lukkede de ikke ned for den mulighed fordi der viste sig en svaghed i de dongler de solgte folk ?

https://www.version2.dk/artikel/nets-spaerrer-nemid-paa-hardware-paa-grund-saarbarhed-1082081/

Så længe det er Nets som skal lægge "min" hemmelige nøgle på denne enhed, hvordan kan jeg så være sikker på at de ikke også lige gemmer denne nøgle et eller andet, andet sted.

Hvordan kan jeg være sikker på at der ikke kan laves kopier af denne nøgle, altså at en "se og hør kilde" ikke kan lave duplikater af U2F donglen.

Desuden ser det også ud til at denne hardwareløsning bliver noget makværk som bliver bygget ovenpå, altså så man stadigvæk skal have den almindelige og mindre sikre løsning som backup og sidst men ikke mindst så ser det ud til at man stadigvæk ikke er i stand til at lave en hardware baseret løsning som virker på alle former for NemID/MitID.

Den gamle NemID på hardware virkede jo f.eks også kun med OCES delen og ikke Netbanken, kunne man forestille sig at denne løsning bliver på samme måde.

Sidst men ikke mindst ser det jo også ud til at selve min digitale signatur, stadigvæk ligger i HSM modulerne hos Nets.

Hvad sikkerhed og den kommende U2F-løsning til MitID angår, så oplyser Digitaliseringsstyrelsen, at løsningen vil indeholde folks private nøgle, som bruges i autentifikations-sammenhæng.

Så min digitale single signon nøgle ligger på U2F løsningen, men det er stadig single signon hvor den "digitale signatur" ligger i deres HSM, så intet er i realiteten ændret.

I dag er det muligt at tilkøbe en løsning til NemID, der kaldes NemID på hardware. Her er der tale om en fysisk enhed, der indeholder folks private nøgle, som dermed ikke ligger lagret centralt hos Nets DanID.

Lukkede de ikke ned for den mulighed fordi der viste sig en svaghed i de dongler de solgte folk ?

Jeg gætter på at det må være fordi de gerne vil sikre 2 ting:

1. at enheden har preloadet den private nøgle (formodentlig en gpg nøgle) og
2. at enheden er opsat korrekt (ligesom man f.ex. på en yubikey kan tvinge touch for alle operationer) - sålees at disse ændringer ikke kan ændres, uden at nøglen nulstilles og den private nøgle slettes.

Hvilket sådan set er ganske rimelige ønsker.. Et mere frit hardware valg ville være rart (jeg har allerede en yubikey :) - men jeg kan godt forstå deres behov for at sikre opsætningen af enheden og at den private nøgle faktisk KUN er på enheden, da det jo formodentlig er en gpg nøgle.

Det der med at de udsteder et temporært certifikat når man skal underskrive, lugter at en høker-løsning for at understøtte "noget eksisterende".. de BØR selvfølgelig bruge den GPG signeringssupport der er default i GPG (og også understøttet i yubikey).. Jeg håber de lægger nogle mere præcise detaljer om hvordan det bindes til ens hardware nøgle.. Og alt der her garanterer jo stadigvæk ikke at personen der "trykkede på hardware nøglen på dette rette tidspunkt og kunnen pin-koden til denne" - faktisk har SET hvad de underskrev (MITM angreb).. Er det ikke i tyskland de har en "mere avanceret enhed" - der kan vise hvad man underskriver på enheden? Alternativt KUNNE man jo tilbyde at man kunne "se hvad man underskrev på en alternativ enhed" - således at man indrapporterede til centrail signeringsservice hvad man vil have underskrevet og HVEM der skal underskrive - og så kan underskriveren, starte sin "underskriv-check-indhold" app på f.ex. en mobiltlf. - som jo så automatisk kan vise hvad der ligger til vedkommende - og vedkommende kan så markere det som læst (på anden enhed end fra hvor de underskriver) - hvis man vil have den ekstra sikkerhed..