Her er statens bedste bud på mobil NemID-løsning
NemID skal også kunne bruges på mobilen, men hvordan den nød knækkes, er Digitaliseringsstyrelsen i gang med at tænke over.
To analyser af forskellige løsninger har nemlig vist, at det enten bliver væsentligt dyrere at udvikle end de 8 millioner kroner, der var afsat, eller at sikkerheden skal sænkes i mobilløsningen.
Her er de løsninger, som får den bedste vurdering i analyserne, som Rambøll står bag.
Højeste sikkerhedsniveau: Lokal applikation er bedst
I den første analyse, hvor udgangspunktet er samme sikkerhedsniveau som NemID på desktoppen, peger pilen på lokale applikationer, der så skal udvikles til Android, iOS og Windows Phone.
Forskellige bud på en ren webbaseret løsning, hvor man logger ind via browseren på mobilen, bliver forkastet som enten teknisk umulig eller for usikker. Hybrid-løsninger, hvor lokale applikationer bliver kombineret med webløsninger, er mindre brugervenlige end en ren app-løsning, lyder konklusionen.
Dermed er det to løsninger med login via lokalt installerede applikationer, som trækker det længste strå. Konceptet her er, at de forskellige tjenesteudbydere, altså for eksempel Skat, kan udvikle en mobil-applikation, der rummer en centralt udviklet NemID-komponent, nemlig et såkaldt statisk indlejret bibliotek, der kommunikerer med serverne hos DanID.
Da bankerne er på vej med en løsning, der bruger samme princip, vil man kunne genbruge kode til denne komponent, lyder det.
En variant deler opgaverne op, så brugerne skal installere en dedikeret NemID-applikation, som kun står for kontakten til DanID, mens en anden applikation så står for login og selve den service, som brugeren ønsker. Dermed skal man downloade to applikationer for at komme i gang.
Men denne løsning kræver, at applikationerne kan ’kalde’ hinanden på telefonen, hvilket Windows Phone 7 ikke understøtter. I version 8 af Microsofts mobilplatform skulle den funktion dog være på plads.
Disse to mobil-app-bårne løsninger lå altså bedst placeret i vurderingen af forskellige løsninger - men var som sagt for dyre.
Derfor tog Digitaliseringsstyrelsen og Rambøll en runde 2 med en ny analyse, hvor sikkerhedskravene blev sænket.
Lavere sikkerhedsniveau: Webproxy er billigst
I stedet for at bruge en engangskode fra papkortet ved hvert login, blev der set på løsninger, hvor man kunne logge på med NemID på desktoppen og så aktivere mobiladgang og få login-koder til formålet - på samme måde som bankerne giver mobiladgang til netbank.
Her er det en webbaseret løsning, der vinder skønhedskonkurrencen.
Tanken er her, at en bruger ligesom på desktoppen logger på via browseren. Men i stedet for at blive præsenteret for den fulde, Java-drevne NemID-login, sendes mobil-brugeren videre til en anden webside for at logge ind med mobil-NemID-koderne.
Efter vellykket login ekspederes brugeren tilbage til tjenesten, dog med et stort stempel i panden om, at der blev brugt et lavere sikkerhedsniveau end med fuld NemID, og at adgangen til fx personfølsomme oplysninger så skal tilpasses. Det er heller ikke muligt at bruge signering.
Det smukke ved denne løsning er mulighed for at få den klar hurtigere end de andre. NNIT, som driver Nemlogin.dk, kan nemlig få opgaven uden et nyt, tidskrævende udbud, fordi opgaven kan tilføjes den eksisterende kontrakt. Og med en samlet pris på 7-13 millioner kroner er løsningen væsentligt billigere end alternativerne, fordi der ikke skal udvikles og opdateres en applikation til tre platforme, ligesom tjenesteudbyderne som en kommune eller Skat heller ikke har store udgifter.
På minus-siden er risikoen for man-in-the-middle-angreb, hvor en hacker kan efterligne den officielle mobil-login-webside og lokke brugerne til. Her foreslår rapporten forskellige tricks til at mindske problemet, for eksempel at login-siden skal vise et billede eller et spørgsmål, som brugeren selv på forhånd har valgt.
Hvilken løsning, det ender med, afhænger nu af en ny analyse, som Digitaliseringsstyrelsen har sat i gang, nemlig en afdækning af, hvordan mobil NemID-adgang vil blive brugt, og om det er en gangbar vej at skrue ned for sikkerhedsniveauet for mobil adgang, på samme måde som bankerne har gjort det.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
