Finansminister afliver teori om NemID som spionsoftware

Er der kun den ene udgave af nemid appletten? Hvis man har adgang til opdaterings-mekanismen, og det må man antage at nets har, vil det være relativt nemt at lade den "opdatere" sig selv til en "overvågnings-version".

Det siger han vel også i "Det ville kræve, at Nets DanID blev pålagt en designændring af NemID-systemet.".

Uden at skulle blive alt for konspiratorisk kan man vel mene, at han dårligt kunne sige andet? Og at han sikkert kan dække sig ind under en paragraf om "rigets sikkerhed" hvis (når?) det viser sig at være en sandhed med modifikationer.

The truth is out there, Scully. goes off to find ye olde tin-foil hat

Hvis man er tilstrækkelig paranoid, så kan man også godt se situationen hvor PET eller FET dukker op hos Nets med eller uden en dommerkendelse og siger, vi skal have listet det her ind på Xs computer og i øvrigt, så har vi aldrig været her!

At NemID ikke LÆSER fra maskinen.. "Som NemID er designet i dag, er det ikke teknisk muligt for myndighederne at bruge NemID som indgang til at udføre dataaflæsning af borgeres computere."

Men der er ikke svaret på, om NemID kan deploye anden payload til at udføre denne opgave..

Jeg ville gøre dette ved :
1. Installere en payload på klienten.
2. Lade en cluster / supercomputer tage "stik-prøver" af diskene.
3. Hvis der er noget "interessant" på maskine, bliver denne markeret til yderligere undersøgelse.

Er ikke lige den store konspirantionsteoretiker eller render rundt med alu-folie på hovedet, men svaret kan ikke bruges til så meget andet end at sige, at NemID IKKE læser data fra maskinerne.. Svaret afviser IKKE, at NemID kan bruges til installation af anden software.

Det er ikke så sundt når man leger Brevik light og virkelig tror "they are out to get you".

At der kan skabes en atomkrig i morgen er ikke det samme som at der vil starte en atomkrig i morgen.

Hvis nogen vil prøve hvad en trojansk NemID-hest kan i praksis, så gå ind på
https://www.agol.dk/elgaard/sand/
og kør filen sand.html - og det skal du selvfølgelig gøre i en Virtual Machine, for programmet gennemroder alle dine filer og lister dem på skærmen. Der ligger noget kildekode i samme subdir, men du kan reelt ikke vide og det er samme program der bliver kørt. Måske gør det program du kører der noget mere/andet.

Så der er ingen teorier om at man kan få et java-program som NemID til at gennemrode borgernes filer, tage kopier af SSH-nøgler og sende dem til en anden server etc. Det er indiskutabelt at det kan lade sig gøre. Indtil videre har NemID nok ikke implementeret denne del, men det er ret nemt at gøre det.

Er det ikke strafbart for en minister at svare noget, der er faktuelt forkert?

Ud fra et teknisk synspunkt er svaret lidt mangelfuldt.

Vi ved at DanID forsøger at genererer et unikt ID for brugerens computer på mindst tre forskellige platforme. Vi ved at dette gøres på en måde der ligeledes giver DanID's applikation adgang til at læse vilkårlige informationer fra computeren (op til hvad systemets indbyggede adgangskontrol tillader).

Nu får vi så at vide at der er elementer af designet der gør det teknisk umuligt for DanID at bruge denne adgang til at tilgå brugerens private data.

Det interessante spørgsmål er så: Hvori ligger denne tekniske forhindring?

Privatlivspolitikken, Certificatpolitikken og kontrakten mellem DanID og Staten er muligvis yderligere juridiske forhindringer. Men kan vi få en uddybning at de tekniske forhindringer som det påstås eksisterer?

Har du belæg for at det er faktuelt forkert at Digitaliseringsstyrelsen har stillet DanID et spørgsmål og fået det citerede svar tilbage?

"I tilknytning hertil kan Digitaliseringsstyrelsen oplyse, at et sådant pålæg om en designændring af NemID-systemet ville være i strid med Certifikatpolitik for OCES-personcertifikater"

Øh. Jeg mener at have forstået at denne certifikatpolitik foreskriver at den private nøgle skal opbevares - privat.
Og dermed at NemID i sig selv er i strid certifikatpolitikken.

Jeg er selvfølgelig godt klar over at det kun er ministerens ansvar ikke at vildlede folketinget og at han (principielt) ikke kan gøre for hvis embedsværket referer et faktuelt forkert svar fra et privat firma videre til ham.

Men hvor går grænsen for at nogen i ministeriet må bruge hovedet selv? Og hvor langt skal folkestyret finde sig i at blive spist af med lodrette løgne under dække af at "det siger dem, der har lavet det"?

Tjoe men skepsis er nu meget godt at have, når man tænker på hvor meget overvågning der er i dag, tag f.eks de oversøiske kabler mellem US/EU, f.eks TAT-14 hvor NSA har splitters på fibrene der hvor de kommer i land ved Tuckerton/Manasquan hvor de kører ting som NarusInsight m.m. for at finde interessante ting i trafikken. (Hvis man vælger at tro på de rygter der har været fremme)

Så at Nemid vil kunne bruges til overvågning vil da ikke være urealistisk, udanset hvad det officielle svar vil være.

Problemet er nu også, at hvis nogen kan, så kan andre også.

Jeg vil sammenligne med tvang om, at der skal installeres en bagdør i alle hjem, så politiet KAN få adgang - ikke dermed sagt, at de gør det.

MEN! Det betyder, at en evt. tyv kun skal finde ud af at åbne én dør for at kunne få adgang til alle hjem.

Hvis angsten, for at dette skulle ske, giver titlen "Breivik Light", så har jeg intet problem med det. Hellere det end at gå rundt i en lille, lyserød verden og tænke, at "Det gør folk nok ikke..."

»Som NemID er designet i dag, er det ikke teknisk muligt for myndighederne at bruge NemID som indgang til at udføre dataaflæsning af borgeres computere

Den slags udtalelser skal politkerne nok værre lidt mere påpasselige med, især når vi kommer til en løsning som nemID hvor firmaet bag fra starten har misledt om teknikken.

Teknikken med at bundle en binær ekececutable sammen med en host uden at ændre på host programmets funtionalitet er etableret blandt malvare skribenter, og det vil ikke kræve nogen ændriger i nemid's codebase at inkludere en hemmelig "payload".

Det interesante spørgsmål er ikke om det er teoretisk mugligt med den brugte teknologi det ved vi det er eftersom NemID eksekvere native code på folks maskiner uden for JVMet's sandkasse.

Det interesante spørgsmål er om staten vil garentere at ministeriet ville opdage og straffe PET/NemID hvis de fandt på at bruge nemid til at distribuere en startstojaner, et simpelt politisk/juridisk spøgsmål. Har han svaret på det endnu?

Jeg læser, at det er en juridisk hindring, altså at DanID ikke må trænge ind på en given brugers PC, for med det grundlag man bygger koden på, så er det om muligt endnu nemmere for DanID at hacke en given bruger, end det er for selv den ringeste hacker.

Hvorfor man holder fast i denne tekniske mulighed, og svaghed, er for mig uforståligt.
Det er ikke nødvendigt med en løsning der bygger på kode med kendt svag sikkerhed, så der må være en anden årsag til, at man fastholder løsningen.
Der er sandsynligvis ikke grund til egentlig konspirationsteori, der er nok mere grund til at tro motivet for dette valg, er langt mere trivielt. Men det er helt sikkert at valget ikle har hrundlag o sikker identifikation af brugeren, ej heller i sikkerhed omkring løsningen, hverken for bruger eller de almindelige erhvervsdrivende.

Der skal særligt kigges på at DanID fortsat ikke indeholder en egentlig identifikationsløsning, men kun en loginløsning, som fortsat er åben og under angreb fra et efterhånden stort antal hackere.
At lovgive og dermed flytte ansvaret omkring sikkerhed over på brugerne, betyder ikke at der dermed er skabt større sikkerhed. Der er altså ikke yale om at der leveres en sikker løsning omkring selve NemID, hvilket også er et oprindeligt krav til løsningen.

Der er tale om, at der ikke er leveret nogen sikker loginløsning, og drr er slet ikke leveret nogen identifikationsløsning.

Det ved Ministeren allerede, og han ved også at det kun er juridiske detaljer i en kontrakt, som han bygger sit dementi på.

Ministeren ved også, at DanID ikke kan leverer en sikker identifikationsløsning, for det er ikke deres ejendom. De ejer ganske enkelt ikke de imaterielle rettigheder til, og de udnytter enhver mulighed, herunder deres mulighed for lovændring, til ikke at tilegne sig disse imaterielle rettigheder. Der må kun være en leverandør og det er DanID. En virksomhed der i øvrigt ikke ønsker at opretholde deres driftsgrundlag i Danmark, men som åbent ønsker at det slal ligge i Norge. Altså er der tale om, at man ønsker at tilbyde DanID en permanent løsning, hvor der uden grundlag i at levere nogen substatiel vare, sender penge ud af Danmark.
" Bare følg pengene " Det er hvad det handler om, intet andet.
Først var det "liberaliseringen" af jobformidling, så var der en række IT projekter, hvor polsag faldt ud, så solgte man de store Danske selskaber for en slik, og nu NemID, som flyttes ud af landet.
Det er vanskeligt at forstå hvordan man fra politisk side, fortsat kan finde de ønskeligt, at der foregår denne " penge eksport ", og endnu mere vanskeligt at forstå hvorfor der udvises en så omfattende medvirken fra politisk side.
SÅ svært er det vel ikke at observere, når alle pengene havner i de samme 3 lokaliteter. Kanaløerne & Frankrig, Sverige og Norge.
Under behørig hensyntagen til, at der i alle tilfælde er tale om, at man kun udnytter handel med Danskernes persondata.
Løsningerne er underordnet, dem vil man ikke levere, ej heller høre om, det handler kun om værditilvækst, skabt gennem handel med data, betalt af Danske skatteydere, både i "udviklingsfasen" og gennem den efterfølgende drift.
Varen, den er man ligeglad med. Der kommer ingen i job, for det er ikke målet, det bliver aldrig enkelt at opklare politisager, for det er ikke målet, det bliver aldrig nemt at identificere sig på nettet, for det er ikke målet. Man leverer ikke engang en ordentlig loginløsning, eller dokumenthåndtering, for det er ikke målet. Man brænder hellere diesel af og skriger op om tvangsdigitalisering og pisk.
Bare man slipper for at levere en vare, for det handler netop om ikke at leverer en vare, og fortsat kræve betaling. Leverer man en vare, så er man ansvarlig, det er mam ikke interesseret i. Vil andre levere en vare, så gælder det om, at sørge for, at holde dem ude af Business, for ellers mister man sin pengemaskine.

Bare følg pengene.

I et forsøg for at forstå problematikken lavede jeg et projekt, jeg kaldte DumID, som IT-politisk forening er bekendt med.

Hvad Ministeren ikke forstår (hvorfor får de ikke fat i nogle kyndige folk), er netop bare at man har installeret NemID fra DanID, og har trykt på godkend applets fra denne leverandør (som er default), så har man åbnet sin maskine permanent.

Det er ikke noget krav om en design ændring i NemID appletten, da den overhovedet ikke behøver at være involveret i sagen.

Alt hvad der skal til er at jeg laver et spion program, og får DanID til at signere den, nu ligger jeg dette lille spion program på en side, som jeg ved midt "offer" vil besøge, ideelt set en side hvor NemID bruges, fordi så bliver man ikke mistænksomt over hvorfor java starter (de fleste aner ikke det sker, men jeg har tændt for console - som betyder hver gang en java applet starter, smider den en konsol i hovedet på mig, som en advarsel)..

Der ligger man en lille java-applet - 1x1 pixel, ingen vil bemærke den, fordi du kan gemme den i baggrunden, og kun folk der kører med debugværktøjer ville ligge mærke til den.

Dette program, kan være latterligt lille, fordi det eneste den skal gøre er at starte en program (evt, sig selv) i baggrund, således at når der navigeres væk fra siden stopper programmet ikke...

Dette program kan nu forbinde til andre services i verden, og da den kører i din browser scope, og bruger, er det ingengang sikkert at din windows firewall vil opdage at der åbnes en forbindelse til port 80 (http) på en maskine i verden... Hvorfra appletten kan downloade hvad som helst.

Altså det er en LØGN at det kræver en design ændring, det kræver ingengang en ændring af NemID appletten, det kan bare være en sekundær applet der hentes ind... Som er speciel designet til at installere spyware.. Det er hvis endda også mulighed uden at bruge signerede applets, men det er trivielt med en.

DumID appletten som jeg skrev i en parodi med NemID, gjorde netop dette.. Du aktiverede den første applet, og godkendte certifikatet (jeg valgte med vilje en self-signed, så bruger blev advaret), når personen så sage ok, viste appletten sig, den næste side dumpede indholde af din disk..

SUK, politikere har ingen teknisk indsigt, eller vælger at skjule noget, jeg ved ikke hvad tilfældet er.

Men svaret fra finansministeren er endten fuld ud LØGN, eller total 100% uvidenhed. Jeg håber det er det sidste, for ellers er staten fuld ud korrupt, men med 100% uvdenhed, der leder landet... - the Blind leading the blind :-(.

Desværre er det ikke det rigtige spørgsmål, Bjarne Corydon svarer på.

Han svarer på: Kan NemID-appletten, som den er i dag, udspionere folk? Det kan den ikke, og det har kritikere som IT-politisk Forening vist heller aldrig troet.

Det rigtige spørgsmål er: Er teknologien valgt således, at NemID-appletten principielt set kunne udspionere folk?

Og her er svaret ja. Det kræver blot "en ændring af designet", dvs en ændring af DanIDs kode. Og det er det, der er problemet.

Bevares, jeg stoler da på DanIDs gode hensigter. Men hvorfor er jeg nødt til det - hvorfor skal det vende den vej? Jeg ville have det meget bedre med en løsning, hvor jeg ikke var nødt til at stole på DanID, fordi det ganske enkelt var principielt umuligt for dem at udspionere mig, når jeg logger på min netbank. Og en sådan løsning er ikke blot mulig, den er endda ikke specielt besværlig at lave. Det kræver blot, at man bruger åbne standarder i stedet for at tro, at man kan opfinde det hele bedre selv.

Finansministeren henviser til DanIDs såkaldte privatlivspolitik
https://www.nets-danid.dk/om_nets_danid/privatlivspolitik/index_13.html

Det samme gjorde DanID sidste år da de blev afsløret i at snage i vores computere, på trods af at de havde bedyret det modsatte (da IT-Politisk Forening i august 2010 påpegede at en signeret Java applet kunne læse borgernes filer).

Men det er ikke den aftale som folk får præsenteret, når de helt "frivilligt" indgår en aftale med DanID om NemID. Det er derimod dette dokument
https://www.nemid.nu/om_nemid/regler/regler_for_nemid/

Hvis man læser afsnit 3.7, er det noget mindre klart at DanID indsamler oplysninger om borgernes computere og sender dem til DanID. Der står ganske vist "Som en del af sikkerheden registrerer DanID tidspunkter, hvor du bruger NemID, IP-adressen og andre oplysninger om den enhed, du bruger NemID fra.", men det er i et afsnit om en lokal log fil.

Uanset hvad har vi altså mindst to, delvist modstridende, "aftaler" om hvad DanID kan og ikke kan på vores computere.

Hvor fjernt ligger tanken om at der skulle eksistere et tredje dokument, som DanID kan hive frem, hvis de en dag vil noget mere end indsamling af en checksum?

Vi ved at det er teknisk muligt (som Carsten Agger skriver) i den normale betydning af ordet, og det eneste som gør det "umuligt" i følge Finansministeren er diverse aftaler og forretningsgange hos DanID.

... Jeg må indrømme at jeg synes det er forstemmende at iagtage den måde dansk politik foregår på.

Der er jo ingen med teknisk indsigt, der er bare det mindste i tvivl om hvad problemstillingen er: NemID kræver du lader DanID køre kode på din computer med rettigheder til at tilgå filsystemet og brugerne har reelt INGEN måde at detektere om dagens nye version af den applet gør noget DanID i går lovede ikke, at den ikke ville gøre.
At man så som særlig teknisk bruger har mulighed for at sandboxe den og måske endda monitorere hvad den nærmere laver (strace?) er ligegyldigt. Alm. mennesker kan overvåges ved simple tekniske opdateringer - ikke i designet, men i koden.

At sådan en pointe skal være så umulig at få igennem til et niveau, hvor folketinget tager klart og entydigt stilling til om det er sådan en system Danmark ønsker at tvinge folk til at bruge er lige til at græde over.
Embedsværket skulle skamme sig over den måde de opfører sig på. Befolkningen er sgu da ligeglade med om de ikke lige har de kode-linier i dag, der gør det, hvis det blot er et spørgsmål om at de tilføjes og at kalde det en "designændring" at gøre det er gennemført uærligt.

Synes du er ufattelig langt ude at du sammenligner de folk der har været skeptiske omkring DanID med en vis Nordmand - Jeg håber du tænker dig grueligt grundigt om førend du næste gang sammenligner almindelige menesker med en massemorder - du burde skamme dig at komme med sådanne udtalelser

Befolkningen er sgu da ligeglade med om de ikke lige har de kode-linier i dag, der gør det, hvis det blot er et spørgsmål om at de tilføjes og at kalde det en "designændring" at gøre det er gennemført uærligt.

Ja, de får "designændring" til at lyde som noget der er omtrent lige så omfattende, som at ombygge IC4-togene til at køre på el. I virkeligheden skal de bare omdøbe et standard "fjernaflæsningsprogram" til "pause.gif".

Udtaler han sig under straffeansvar? nej vel!

Han kan sludrer nok så meget, hvem vil tro på det, som en anden skrev i sine kommentar;
"Og NemID er på vej til Norge. Så er der åbnet mulighed for, at man lader fremmede magter overvåge Danske borgere."

Tænk lige på den!

Alle de spørgsmål der hidtil er stillet, danser uden om sagens kerne.

Spørgsmålet burde formuleres kort og kontant: "Kan ministeren garantere, at nemid ikke bruges og ikke vil blive (forsøgt) brugt til at ...".

Jeg tror, at ministeren med al magt vil forsøge at knibe sig uden om at svare koncist på netop det spørgsmål. En af de ministre der burde spørges, er justitsministeren.

Jeg ville så anbefale Ministeren at svare: "Ja, jeg kan garantere, at det nuværende design ikke vil blive forsøgt brugt til [overvågning]". For det vil kræve en ændring af koden, som Ministeren kan fortolke som "ændring af design".