It-sikkerhedsrådets forslag: 1 central hjemmeside til alle NemID-login

Det virker superfedt med Verified by VISA, 17 redirects over diverse sider og så kommer der en side hvor du skal taste noget ekstra. .

Det er jo netop det der er problemet idag med Nem-ID. Du ved ikke om det er rigtigt at forsikringsselvskabet er begyndt at bruge Nem-ID, om skat bruger loginfællesskabet og kommunen en tredie site til at have appletten på, eller bibloteket, datingsiden.......

Som vist her på Version2 er det umuligt at se på en side om den er ægte. Men ved du at du absolut kun må indtaste dine engangskoder på https://login.nemid.nuSå vil jeg mene at det er en god måde at rette op på problemerne, indtil der kommer en løsning der ikke er afhængig af et privat firma ( det bør ligge under et ministerie, det skal ikke generere overskud ).

Det passer ikke.

Man kan altid benytte en løsning, hvor den enkelte identitet tilspørges som den man er. Det kan gøres på et rimeligt almindeligt site, under forudsætning af, at der overholdes en række enkle regler.

Da det ikke i forvejen kan vides, om der er opstået en identifikationssituation på et sådant site, så vil det ikke være muligt at "oprette" en falsk identifikation. Det vil heller ikke være muligt at vide hvad der bliver tilspurgt med, og derfor vil det heller ikke være muligt at kende svaret.

I princippet det samme, som sker når du ringer til f.eks. banken, og de stiller spørgsmål til dig, som kun dig og banken kan kende svaret på. Banken, eller andre, kan ikke vide om du ringer til dem og derfor ikke forudse om du vil identificeres. Du kan ikke vide hvad der bliver spurgt om i de kontrolspørgsmål der stilles. Du kan ikke engang vide, om de vil have svaret på telefon, eller om de siger du skal sende en sms eller en mail med svaret.

Det kan man sagtens gøre over nettet.

Selve krypteringen op mod de forskellige aktører, kan håndteres med Digital Signatur. Når selve identiteten gensidigt er fastslået, kan de forskellige aktører vælge deres individuelle løsning, herunder Digital Signatur, som jeg anser som den mest sikre. Det har også den fordel, at det er rimeligt platform uafhængigt.

Ddos angreb, er ikke et stort problem. De kan midlertidigt lukke af for selve identifikationsdelen, og måske også for selve den Digitale Signatur. Men det er kun noget som udgør en chikane, ikke en egentlig kompromittering af person følsomme data. Og alle Ddos angreb, får hurtigt ende ;)

Holder man ulemperne op, altså primært den trælse mulighed for Ddos, imod de fordele der ligger, herunder at kunne bekæmpe egentlig identitetstyveri, så ser jeg kun fordele ved at benytte en single-site-model i forbindelse med identifikationen.

Det er fordi, at man kan stjæle andres identitet, helt uden de forurettede har mulighed for at opdage det, at man oplever langt det meste kriminalitet på nettet. Indfører man en løsning, hvor alle kan identificerer sig over for alle, så forsvinder ( reduceres ) denne mulighed for identitetstyverier.

Sat rigtigt sammen, vil det i øvrigt også kunne benyttes som aflastning for CPR eller CVR, hvor det er påkrævet med en egentlig sikker identifikation, men hvor det ikke er nødvendigt at man benytter CPR eller CVR. F.eks. i forbindelse med Rejsekort, eller andre situationer, hvor man skal identificerer sig, men hvor man ikke identificere sig over for en myndighed.

Det kan laves, så man faktisk kan stå med 2 mobiltelefoner og kigge hinanden lidt over skulderen, imens man sikkert identificere sig selv / hinanden. Man kan også bare stå i en butik, og blive tilspurgt på en sådan løsning, og bekræfte sin identitet via en mobiltelefon. Eller identificerer sig selv, over for en bruger på et socialt site, hvis vedkommende mener man er en anden end den man udgiver sig for.

Igen, det er fordi der er helt åbent for identitetstyverier, at man ikke kan gøre nettet sikkert. Hvem som helst, kan jo udgive sig for hvem som helst. Men ingen, kan falsk udgive sig for at være en identitet, hvis den rigtige identitet kan tilspørges som den vedkommende er.

NemId, Digital signatur, eller tilsvarende løsninger, gør det ikke alene. De indeholder ikke, i sig selv, en identifikationsløsning, derfor virker de ikke.

Man må holde op med at jappe tinene igennem. Der findes løsninger på alle de opgaver der er med det Digitale samfund. Men vælger man ensidigt, herunder uden redundans, så går det galt.

Man kommer ingen steder med pisk og tvang, slet ikke når den løsning man vælger, ikke virker som forventet og man allerede har skrottet den gamle løsning. Så er man låst, og kan ikke komme hverken frem eller tilbage.

Læste lige før, at der er op mod 190.000 mindre selvstændige, der ikke er klar til at indberette Digitalt. Tsk tsk tsk..... Med det der pt. foregår omkring NemID, så er der ikke engang belæg for at tvinge disse virksomheder til noget som helst. Selv Skat, aner ikke hvad de roder med, hvordan kan man så stille krav om at andre har deres på det rene ?

Ta det roligt, gør det rigtigt, det er i alles interesse.

Alle kæmper for at få det til at virke, undtagen DanID / Netz, som faktisk skal levere varen. De forekommer helt uberørte af egne fejl og andres kritik.

En midlertidig løsning kan være, at man får en SMS, hvor der står hvor mange penge man vil flytte til hvem, samt en kode man skal returnere, hvis dette er korrekt.

I den aktuelle sag har 8 personer fået overført ialt 700.000kr, dvs 87.000kr i gennemsnit. Der burde have være genereret en sms eller anden advarsel.

Eller en "Denne transaktion er usædvanlig, log ind igen om en time for at bekræfte".

Det er sjældent at en modtager ikke vil kunne vente så længe, og transaktioner til en anden bank sker alligevel først næste dag.

Men det løser jo kun problemet med banken, ikke problemet med identitetstyveri.

Mobiltelefoner kan naturligvis også overtages af en hacker, så Den Endelige Løsning(tm) kræver et bedre sikret device, som er i stand til at præsentere handling+challenge, verificere bankens signatur af sammenhængen mellem disse, samt generere en accept-kode til returnering til banken.

Og dermed er sms-bekræftelse vel egentlig en død sild? Jeg tænker på at mange efterhånden bruger smartphone til bank, facebook, surf, sms, mail mv. og hvis en del af systemet er inficeret af et skummelt program må man vel gå ud fra at hele systemet kan opføre sig skummelt. Nogen der har mere teknisk indsigt end mig der kan udtale sig? Kan man lave en løsning som er 99,9 pct sikker?

Det er rigtigt Rune.

Jeg tror bare at det der opponeres kraftigt imod i hele den her NemId sag er, at konceptet med at den private nøgle opbevares hos DanId, er blevet forsvarret hele vejen igennem, med at det var så løsningen var sikret mod den angrebsvinkel hvor en hacker overtager klientcomputeren (altså kunne komme til nøglen). Det har de fleste godt vidst, er en angrebsvinkel der er umådelig svær at beskytte imod, og at NemIds løsning på ingen måde er sikker imod dette. Det er derfor svært at sluge nu, at vi både skal have en løsning der er sårbar overfor phising, trojanere og hacking af serveren (tyveri af nøgler hos DanId == identitetstyveri), og at årsagerne til de valg der er truffet viser sig ikke at holde overhovedet, og at der så samtidigt ikke gøres noget ved det. Sagt på en anden måde: De angreb der er foretaget har vist at den totale sikkerhed vil blive bedre og antallet af agrebsvinkler mindsket, hvis folk selv kan få deres private nøgle og opbevare denne. Hvorfor rette vi så ikke denne fejl i designet med det samme?

det var ikke ment som at sige noget negativt om dig!.. men forslaget går på en descideret enkelt stående side(site) som alle skal tilgå fysisk via deres browser, for at logge på .. ikk?.. og det er ikke det samme som google logon.. i min optik i hvert fald.

måske vi bare misforstår hinanden.. diskussion på krot skriftlig form er aldrig optimal :-)

Er det bare mig, eller anbefaler det kære bestyrelsesmedlem virkelig at alle skal bruge samme side for at logge på!!?

(Ironi kunne have forekommet)

Er det bare mig, eller anbefaler det kære bestyrelsesmedlem virkelig at alle skal bruge samme side for at logge på!!?

Applet'en kommer vel fra og kommunikerer vel med forskellige sites med et andet single point of failure alligevel.

Men logger man ind fra en enkelt side, burde det jo være muligt at lave redundans og evt. et kontrollerbart kø-system til ekstreme situationer. Hjemmesider behøver ikke ligge på én server med én forbindelse, selvom man tilgår dem via det samme domæne.

Det kunne også hjælpe meget at reducere java applet'en i størrelse, da den jo skal loades hver gang.

(Evt. til nul bytes og så implementere login i noget andet...)

er det jo kun en lille del af problemet (og måske den mindste, da penge kan tælles), men hvad nu hvis det er et teleselskab, en e-handelsshop, et dating site, eller (gys) en kommune (som man jo snart ikke mere kan kontakte på andre måder - catch 22), hvor man jo fra parnassets side mener alle skal bruge "NemID" som login løsning.

Jep.

Man kan løse problemet ved, at man tilbyder selve identificeringen over et site. Og krypteringen over Digital Signatur, eller tilsvarende.

Selve det at kunne identificerer sig, skal være en åben løsning, så man kan identificerer sig over for alle.

Det VED de også godt i forvejen. Men de VIL ikke. De har fået det tilbudt for år siden, men de vil kun kigge på NemID- løsningen.