Helge Sander: Netbanken skal give adgang til rådhuset

Hvad har banken med offentlige ydelser at gøre? Skal det offentlige og private virksomheder syltes ind i hinanden? Er det virkelig borgerlig politik?

Hvis det havde været Socialdemokraterne, så var det vel gennem fagforeningen, man skulle tilgå offentlige ydelser?

Thomas

Banken skal holde sig ude af min kontakt til det offentlige. TAK!

Med NemID har PBS og dermed bankerne alligevel fuld adgang til alle digital signatur-baserede services. Det skyldes at NemID er baseret på en fejlimplementering af PKI hvor PBS (DanID - en del af PBS) udsteder borgernes privatnøgler og gemmer en kopi af denne på deres egen server. Der er godt nok tilføjet et ekstra sikkerhedslag i form af engangskoder, men også her er det PBS der udsteder disse - og er selvfølgelig nødt til at bevare en liste eller algoritme til verifikation af disse koder.

Det betyder at PBS har fuld kontrol over borgernes digitale signatur og vil være i stand til at kunne logge ind på samtlige services der benytter digital signatur til autentifikation - vel at mærke med borgerens identitet.

Det skal dog ikke tages så tungt, da denne løsning aldrig vil se dagens lys da den er i direkte strid med Lov om digitale signaturer.

Thomas og Peter, der er ikke noget galt i at have en 3.parts identitetsudbyder. Det er faktisk en af grundtankerne i føderal sikkerhed.

Offentlige institutioner og staten har i forvejen direkte adgang til alle oplysninger om borgerne. Nu skal bankerne så også have fælles adgang til oplysninger om borgene. Næste skridt bliver vel man kan købe sig til (personfolsømme) infomationer, f.eks. i stil med CPR registrets forretningsmodel.

HS (og statens) forhold til IT sikkerhed er totalt håbløst.

Jeg er enig med Henrik i, at DanIDs konkrete implementering af digital signatur er betænkelig, netop af de grunde han fremhæver.

Peter

Jeg gider end ikke kommentere Sanders halv-desparate pr-kampagne for et dødsdømt initiativ. Det er udsalg før lukketid op til en ministerrokade hvor medierne alle antager at Sander er ude.

Problemet er meget større fordi de end ikke er begyndt at arbejde på løsninger.

Men du skriver

Thomas og Peter, der er ikke noget galt i at have en 3.parts identitetsudbyder. Det er faktisk en af grundtankerne i føderal sikkerhed.

Hvis du med "føderal sikkerhed" hentyder til SAML og NemLogin, så husk lige på at det intet har med sikkerhed at gøre. SAML er en kommerciel kartelkonstruktion som forsøger at indføre Identity Providers som qua det teknologiske design har intravenøst afkrævet "trust".

Det betyder at service providers skal tage andres påstande om at de er dig for gode varer uden nogen form for grundlag andet end deres ord.

Identity Providers i SAML forstand er et kommercielt man-in-the-middle attack, hvor de selv eller en successfuld hacker kan gøre hvad som helst i dit navn uden nogen mekanisme til at spore eller begrænse angrebet.

Baggrunden for SAML var de andre store spilleres kommercielle misundelse og afstandtagen til Microsoft Passport - tanken om en monopolspiller - de ville have andel af fløden så det blev til et kartel i stedet.

I Danmark vil Sander (læs Finansministeriet fordi det er dem der svinger pisken) så lave en Microsoft Passport 2.0 i form af Nemid uden nogen sikkerhedsmæssig værdi - tværtimod er risikokoncentrationen i sig selv sikkerhedsdestruktivt og virker stærkt markedsforvridende.

Der er alt galt i at have en 3.parts identitetsudbyder. Det er en destruktiv overflødighed.

Men som sagt - problemet er meget større fordi embedsssytemet er end ikke begyndt at tænke i løsninger. Alle ressourcerne bruges til at sælge dårligdommene uden at tænke i behov og dynamiske tilpasningsprocesser.

Men hvem skulle også få embedssystemet til at tænke i samfundsøkonomi og effektivisering af den offentlige sektor? Der er jo ingen som kræver det af dem. De skal bare spare regnskabskroner - men det betyder ikke at man kan se om besparelsen destruerer mere værdi end man sparer eller - det større problem - om man understøtter en fortsat tilpasning af de stive offentlige systemer til de faktiske behov.

Når du accepterer "føderal", så er du fanget i en planøkonomisk tankegang som blokerer for effektivisering.

Helt fint med mig

Bankens adgangsprocedure er jeg nemlig tryg ved og derfor bør det samme system også kunne give mig adgang til mine eventuelle person-følsomme data i det offentlige.

Det i artiklen nævnte tiltag vil kun blive realiseret ifbm. udrulning af NemID - dermed vil bankernes logon også ændres til NemID. NemID er finansieret med 200 mio. kr. fra staten og 800 mio. kr. fra bankerne.

Som tidligere nævnt er der definitivt ingen sikkerhed i NemID.

DanID løsningen er såvidt jeg forstår faktisk langt værre end Henrik fremstiller den.

PBS(som ejes af bankerne) gemmer ikke en kopi af ens private nøgle - de gemmer ORIGINALEN - så man aldrig selv får nøglen udleveret.

Jeg skal ihvertfald ikke have DanID - så hellere undvære digital signatur.

Helle for ikke at være den første hvis nøgle bliver misbrugt - ligesom dengang med startspærre på bilerne først blev misbrugt og forsikringerne afviste alle krav, fordi det jo ikke kunne brydes..

Grunden til at jeg ikke meldte flytning via den digitale mulighed var at der ikke var support for andet end Windows. Går man gennem netbanken bliver det ikke mere non-Windows.

Få nu fjernet de platformsafhængige begrænsninger så alle kan være med.

øhh - jeg har da brugt BEC's netbank løsning på Linux i mange år.

Dog var der en bug i senere versioner (rev10+) af java 1.6 - så jeg har bare holdt mig på en tidligere version og har ikke gidet at teste om nyere udgaver virker.

Ligeledes med den nuværende digitale signatur - den virker top nice i firefox på Linux.

Ligeledes med den nuværende digitale signatur - den virker top nice i firefox på Linux.

Ja det gør den - også på andre platforme. Der er bare lige den detalje, at i og med at NemLogin løsningen kræver adgang til borgerens PKCS12 keystore (indeholdende både privat- og offentlig nøgle) er sikkerheden kompromitteret, hvilket IKKE er "top nice"!

Det fatale ved dette design er, at borgeren ikke selv har kontrol over hvilken software der har adgang til privatnøglen. Hvis man benyttede standard CERT-AUTH i TLS/SSL protokollen ville det være op til borgerens valg browser hvilken software der tilgik privatnøglen.

Det er ikke netbanken jeg skyder på. Det de offentlige løsninger. Det bliver ikke bedre for Linux-brugere at man benytter netbank for at komme ind. Jeg har Digital Signatur og Linux og det virker ganske fremragende sammen. Men når kommunens løsning mht. digital adresseskift kun virker med Windows, så er man jo lige vidt. Derfor er løsningen ikke at få forbindelse gennem netbank. Løsningen er at få det offentlige Danmark til at lave et interface der ikke er låst til én platform.

øhh.

De 2 løsninger jeg har set er: 1)den hvor de bruger https cert auth - så spørger firefox (hvis den er sat op korrekt) hvilket certifikat den skal servere.

2) en lille java app - der spørger efter stien til dine certifikater (medmindre du smider den i .openoces i dit home) og så læser pkcs12 filen deri - hvilket den KUN kan hvis du giver det korrekte kodeord.

Hvori består problemet? (jeg må have misforstået noget)

Hvori består problemet?

Problemet består i at borgeren bliver påtvunget et stykke software til behandling af privatnøglen (den lille java app).

Denne java-applet skal have net-adgang for at virke, og borgeren har ingen kontrol over hvad der bliver sendt til serveren. I princippet kan denne java-applet sende hele borgerens keystore til en server hos Økonomistyrelsen (som står for NemLogin) hvormed sikkerheden er kompromitteret.

Ved at benytte standard CERT-AUTH i TLS/SSL protokollen kan borgeren selv vælge hvilken software borgeren stoler på - til læsning af ens privatnøgle (typisk i form af browservalg)

Det er vigtigt at understrege, at NemLogin (OpenOCES) er open-source, og at fejlen langt fra er så graverende som NemID løsningen hvor sikkerheden er fuldstændig kompromitteret fra start af - i og med at DanID genererer borgernes privatnøgler.

I øvrigt; da den digitale signatur i NemLogin-løsningen kun bruges til identifikation og IKKE kryptering er det ikke engang nødvendigt for denne java-applet at have adgang til borgerens privatnøgle. Bemærk, at der dermed ikke er nogen garanti for ægtheden!

P.S. Ja, NemLogin-appletten bruger faktisk privatnøglen til kryptering af et token, der identificerer brugeren overfor serveren, men dette kan bedst betegnes som Security by Obscurity.

Nej, men der er noget ivejen med at det er et sted hvor jeg er kunde i en anden sammenhæng - og især min bank.