Kontrakt-opsplitning: Ny NemID skal på flere hænder

Det bliver sandsynligvis flere forskellige leverandører, der skal udvikle den næste generation af NemID, fortæller digitaliseringsstyrelsen, der nu indkalder til markedsdialog.

Der skal flere virksomheder til fadet, når danskernes næste version af NemID skal udvikles.

Det fortæller Digitaliseringsstyrelsen, der har taget et skridt nærmere et udbud for NemID 2.0 og nu indkalder til markedsdialog med interesserede virksomheder.

»Vi håber, at rigtig mange vil melde sig, for vi vil gerne se, om vi kan dele udbuddet op i flere dele, så man ikke behøver at byde på det hele på én gang,« fortæller Marianne Sørensen, der er vicedirektør i styrelsen, til Version2.

Læs også: Aftale om NemID 2.0 faldet på plads: Papkortet får kniven

Udbuddet for den originale NemID var delt op i to dele - en for borgere og en for virksomheder - og Nets vandt som bekendt begge. I det nye udbud for NemID 2.0, der efter planen skal tages i brug i 2019, bliver den originale opdeling som minimum fastholdt, men sandsynligvis vil styrelsen opdele opgaven yderligere.

»Vi vil gerne dele opgaven endnu mere op for at få en mere modulær løsning fremadrettet,« siger Marianne Sørensen og fortsætter:

»Vi kommer til at dele det op på en eller anden måde, men præcis hvordan ved vi ikke endnu.«

Fordele ved flere leverandører

Den nuværende NemID-kontrakt med Nets DanID udløber i slutningen af 2017 - dog med mulighed for at forlænge kontrakten for at sikre en ordentlig overgangsperiode.

Ifølge Marianne Sørensen har erfaringerne med Nets ikke noget at gøre med, at man nu vil bryde kontrakten mere op.

»Vi vil gerne have en mere fleksibel infrastruktur, og så giver det meningen at gøre systemet mere modulært,« fastslår hun og fortsætter:

»Der er nogle fordele ved at få flere leverandører ind, fordi de kan specialisere sig, og komme med et standardprodukt til en specifik del af systemet.«

Læs også: NemID 2.0: Digitaliseringsboss holder døren på klem til NemID-nøglekort

Strategien kræver omvendt en del koordination og klare snitflader, så der ikke er funktioner, der udvikles dobbelt.

»Det er klart, at vi skal afveje, hvad det betyder for prisen og for produktets kvalitet, når vi beslutter, hvor meget opgaven skal brydes op,« understreger Marianne Sørensen.

Behov for modernisering

Med markedsdialogen, som styrelsen nu inviterer til, håber Marianne Sørensen at få nogle løsningsforslag på bordet, som Digitaliseringsstyrelsens egne it-arkitekter ikke havde tænkt på. Oplægget til dialogen er med vilje holdt i teknologineutrale toner, for ikke at udelukke gode ideer på forhånd.

»Vi vil ikke lægge os fast på, hvordan det skal løses fra starten,« siger vicedirektøren.

Ikke desto mindre har styrelsen nogle klare forventninger til funktioner, der skal moderniseres, fortæller Marianne Sørensen.

Læs også: Firecifret NemID-kode får Datatilsynet til at kræve godkendelsestekst fjernet

På borgersiden er der behov for at få skilt signaturdelen og autentifikationsdelen ad. Derudover er der brug for loginmuligheder på både høje og lave sikkerhedsniveauer, så man kan bruge løsningen mere fleksibelt - uanset om det bliver med papkort, fingeraftryk eller en tredje model.

»Vi kan se der er nogle spændende potentialer i de nyere teknologier, men der skal vi også være sikre på, at de kan leve op til det meget høje sikkerhedsniveau,« siger Marianne Sørensen.

Ét ID til virksomhedsejere

Når det kommer til NemID til virksomheder er der behov for et løft i brugervenligheden.

»Vi ser blandt andet på muligheden for at man kan bruge sin private NemID i virksomheden, så man slipper for at have flere forskellige ID’er,« fortæller vicedirektøren.

Læs også: Nets forsimpler NemID: Snart kan du bruge firecifret pinkode

Digitaliseringsstyrelsen har foreløbigt holdt indledende leverandør-arrangementer, hvor interessen har været massiv. For mange virksomheder er Danmark et interessant land, fordi den digitale modenhed er høj, vurderer Marianne Sørensen, der håber på at holde markedsdialogen i form af individuelle møder.

»Vi må se, hvor mange, der melder sig, før vi ved om det bliver fysisk muligt. Men det vil være gavnligt med individuelle møder, for vi er ved et punkt, hvor vi har brug for at komme mere i dybden.«

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (28)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
René Nielsen

Derovre er der fem udbydere af deres ”nem-ID” som alle bliver afregnet pr. login. Når man så logger ind, så huskes login-udbyderen til næste gang.

Det har den effekt at nedetid hos login-udbyderne – øjeblikkeligt rammer udbyderen på pengepungen. Og det er godt, for dermed sikres skarpheden, fordi langt de fleste borgere ”bliver” hos den udbyder som bare virker hver gang.

I øvrigt har ingen af de 5 selskaber mere end ca. 40 ansatte, så jeg så hellere at man indbød 3-4 selskaber som kunne udbyde til både borgere og virksomheder, selvom forslaget er et skridt i den rigtige retning.

Jan Gundtofte-Bruun

Vi nærmer os (omend langsomt) den bl.a. engelske model, hvor der er flere udbydere af samme funktionalitet, hvilket giver brugeren nogen valgfrihed -- og i øvrigt alternativer ved nedetid.

Men hvor er muligheden for selv at opbevare sin PRIVATE nøgle? Uden det kan det simpelt hen ikke være en troværdig signeringsløsning.

Kenn Nielsen

I øvrigt har ingen af de 5 selskaber mere end ca. 40 ansatte, så jeg så hellere at man indbød 3-4 selskaber som kunne udbyde til både borgere og virksomheder, selvom forslaget er et skridt i den rigtige retning.

Nu vil det være meget forkert at påstå at jeg er fortaler for BigCorp...

Når dét er sagt, så har jeg det lidt stramt med at man uddelegerer ansvaret.

Fordi:

Vi skal huske på det "bare" er et spørgsmål om hvilken hånd der skal stemple med vort "elektroniske faksimilestempel."
Hvilket så betyder at "mit faksimilestempel" kan ligge flere steder.
Og - måske - ligger "mit faksimilestempel" hos et firma, som delvist driftes fra indien.

Hvad med eksemplarkontrol ?

Jeg synes bestemt vi skal have flere udbydere, og gerne små, men kun hvis vi selv kan opbevare - og kontrollere - vores private nøgle.

Der er ingen grund til at replikere et misfoster.

K

Kenn Nielsen

>>muligheden for selv at opbevare sin PRIVATE nøgle<<

og selv at generere den!

Præcis !
Hvis den genereres andetsteds, så er det blot en kopi vi får.

Hvis man stoler på at 'generatorens' original bliver slettet - som i overskrevet på disk - har man så den eneste kopi.

Men med rettighedsgribbenes briller på, kan vi så tænke lidt over deres definition af eksemplarfremstilling, altså kortvarig lagring af "data på vej til dig".

Derfor er vi nødt til at have muligheden for at generere vor egen nøgle.

K

Jonas Iversen

Er der nogen ulemper ved at man selv har ejerskab af sin nøgle, i stedet for en "betroet" 3.part?

1: Vil 95% af brugerne egentlig være i stand til at forstår konceptet/håndtere sin egen nøgle korrekt?

2: Vil den reelle sikkerhed i virkeligheden blive dårligere fordi at hackere m.v. nu kan få fingre i denne nøgle, hvis PC'en bliver kompromitteret?
Vil der reelt bliver flere episoder med misbrug af identitet?

3: Giver håndtering af egen nøgle en 5000% fordobling af support henvendelser til NemID udbyderne?

Det er klart at i en perfekt verden, hvor vi alle har gode IT kompetencer, skal vi selv have 100% ejerskab af vores nøgle, men sådan ser verden desværre langtfra ud.

Så det er vel en afvejning af hvilken af de to løsninger der reelt giver mest sikkert/mindst misbrug. Jeg har ikke selv svaret....men det kan være I har?

Henning Wangerin

Det er bare så frygteligt svært, at stikke et smartcard eller USB-enhed i ens mobiltelefon......

Ja det er det. Enig.

Men der er to ting i det.

  • Jeg savner (lidt) en mulighed for at kunne logge ind med brugernavn/password, selvom jeg bruger hardwareversionen. Ligesom jeg kan logge ind i netbanken uden at skulle bruge papkortet, men skal bruge kortet når jeg vil overføre penge.

  • At lave drivere til at kunne snakke med hardwaren fra en mobiltelefon burde i min optik være muligt, men mindre det er noget som forhindres lowlevel af mobilproducenterne. Producenterne har fundet ud af at lave memory-sticks med både normal USB og microUSB, så jeg ser ingen grund til at smartcardløseren ikke skulle kunne snakke med både telefonen og computeren.

Hvorvidt folk så gider slæbe rundt på den ekstra hardware er så det valg der følger med, når man vælger den løsning.

/Henning

Bjarne Nielsen

Jeg savner (lidt) en mulighed for at kunne logge ind med brugernavn/password, selvom jeg bruger hardwareversionen.

Jeg forstår ikke helt, hvad du ønsker dig her. Er det:

1) et alternativt login, så du ikke altid behøver bruge hardware, eller
2) et ekstra login, som supplement når du bruger hardware, for at øge troværdigheden?

Personligt er jeg skuffet over, hvor lidt man reelt kan med hardware løsningen - det er tydeligvis et uønsket stedbarn. Alternativet er jo så, at have en elektronisk identitet mere, men den kan jo så alt, og hvis grunden til at vælge hardware i første omgang er, at man er utryg ved det, så har man tabt.

Her vil jeg godt kunne ønske mig en to-trins løsning: en fælles login-løsning, som for min skyld gerne må være central (det er de data, som der låses op til, jo alligevel), og en anden løsning til juridisk forpligtende underskrifter (og her vil det være naturligt at stille krav om, at det altid kan ske på måde, hvor underskriveren har fuld kontrol - tænk bare "hardware" her).

Det ville også gøre det mere tydeligt, at det ikke er tale om - som jeg ellers hører mange sige - at data er sikret med NemID, men derimod kun at vores adgang der er sikret på den måde. Data er sikret på anden vis, og kan følgelig også tilgås af andre på anden vis.

PS: Jeg har ikke hardware - ikke, som mange ellers tror, pga. prisen - det er udelukkende fordi at den kan alt for lidt, kom for alt sent, og tydeligvis ikke er særligt godt understøttet.

Dave Pencroof

"Det skal NemID 2.0 kunne
Identifikation og autentifikation, herunder håndtering af den samlede livscyklus for identiteter og deres akkreditiver.
Kilde: Digitaliseringsstyrelsen"

Jeg finder denne ide yderst gummi-agtig, og med muligheder for at overvåge os alle i hoved og r....
Med alt hvad vi foretager os på denne "service"
Hvor længe gemmes disse data ?
Hvilket formål kan der fremtidigt være med opsamling af disse data ?
Bliver der tænkt grundlæggende sikkerhed, ved opbygning af NemID 2 (please surprise me "Se & Hør") ?

Det er bare så frygteligt svært, at stikke et smartcard eller USB-enhed i ens mobiltelefon....


Nu har jeg meget lidt tiltro til "smartphones", for det vises gentagne gange at yderst følsomme data finder vej til Apple/Google/trediepart(bla Fjæsbog som er totalt hæmningsløse, i deres aftale stiller de jo krav på ALT hvad de kan fange om dig !) til trods for sandboxing, og enten danner grundlag for flere og specifikke reklamer, eller "gennem shady tredieparter" direkte misbrugt, plus FBI NSA oa. (det sidste jeg har læst og set om bla NSA er at de er totalt sikre på, at de har krav på, at vide det de vil vide.
DR2 14-07-16 kl 00:25 Kan big data redde verden. hen mod slutningen tales der om "mørke data" !

Kenneth Mejnert

Jeg savner (lidt) en mulighed for at kunne logge ind med brugernavn/password, selvom jeg bruger hardwareversionen. Ligesom jeg kan logge ind i netbanken uden at skulle bruge papkortet, men skal bruge kortet når jeg vil overføre penge.


Det er jo ikke noget NemId kan løse. Det skal være understøttet af applikationen, som anvender NemId til autentifikation.

Hvorvidt folk så gider slæbe rundt på den ekstra hardware er så det valg der følger med, når man vælger den løsning.


Det har jeg meget svært ved at forestille mig. Nu har jeg kun kendskab til en løsning, som BlackBerry har til smartcard, hvor man via bluetooth parer en smartcard reader med telefonen. Det er den mest kluntede og ubrugervenlige løsning jeg længe har set. Den er der ingen, som vil anvende.

Kenneth Mejnert

Nu har jeg meget lidt tiltro til "smartphones", for det vises gentagne gange at yderst følsomme data finder vej til Apple/Google/trediepart(bla Fjæsbog....


I dette tilfælde er det ikke smartphonen, som du skal have tiltro til, men producenten af krypto-hardwaren, som opbevarer certifikatet. Fidussen med certifikater på smartcard er jo netop, at den private nøgle ikke kan eksporteres.

Kenneth Mejnert

Personligt er jeg skuffet over, hvor lidt man reelt kan med hardware løsningen - det er tydeligvis et uønsket stedbarn. Alternativet er jo så, at have en elektronisk identitet mere, men den kan jo så alt, og hvis grunden til at vælge hardware i første omgang er, at man er utryg ved det, så har man tabt.

PS: Jeg har ikke hardware - ikke, som mange ellers tror, pga. prisen - det er udelukkende fordi at den kan alt for lidt, kom for alt sent, og tydeligvis ikke er særligt godt understøttet.


Jeg har NemId på hardware, og det er bestemt ikke verdens bedste løsning. Personligt synes jeg dog, at den er bedre en alternativet, som er, at min private nøgle skal opbevares hos DanId, eller helt at måtte undvære løsningen.

Den er understøttet på alle offentlige digitale services (som jeg er stødt på i hvert fald), da de anvender NemLogin. Så har jeg lært at leve med, at den måske ikke virker andre steder. Det er jo hjemmesiden, der anvender NemId til autentifikation, som skal understøtte NemID på hardware, og mig bekendt har DanId ikke mandat til at tvinge brugere af deres løsning til at understøtte alle dele af løsningen.

Henning Wangerin

Jeg forstår ikke helt, hvad du ønsker dig her. Er det:

Du giver faktisk selv svaret her

Her vil jeg godt kunne ønske mig en to-trins løsning: en fælles login-løsning, som for min skyld gerne må være central (det er de data, som der låses op til, jo alligevel), og en anden løsning til juridisk forpligtende underskrifter (og her vil det være naturligt at stille krav om, at det altid kan ske på måde, hvor underskriveren har fuld kontrol - tænk bare "hardware" her).

Jeg har endnu ikke haft brug nemid til andet end SSO (når vi ser bort fra transaktioner i netbanken), men derfor har jeg stadigvæk ikke lyst til at skulle afgive en generalfuldmagt til et "tilfældigt" firma som man jo reelt gør når men bestiller et OCES certifikat. Derfor her JEG det ikke.

Godt nok er der mange som har forsøgt at overbevise mig om at jeg skulle have det, men ikke overbevisende nok til at jeg har givet efter. Og de offentlige ting virker jo fint nok med nøglen på hardware.

Derudover undrer det mig grænseløst at der ingen problem er i at have firma-nøgler liggende som filer, men de personlige nøgler SKAL med djævlens magt ligge på en specifik hardware dims. Jeg har masser flere cryptocards og kortløsere som jeg bruger til bla SSH, men de skulle absolut køre deres egen standard :-(

/Henning

Henning Wangerin

Det har jeg meget svært ved at forestille mig. Nu har jeg kun kendskab til en løsning, som BlackBerry har til smartcard, hvor man via bluetooth parer en smartcard reader med telefonen. Det er den mest kluntede og ubrugervenlige løsning jeg længe har set. Den er der ingen, som vil anvende.

At det ikke er lavet, er jo ikke ensbetydende med at det ikke kan laves så det er brugbart.

Når jeg propper men usb-token i computeren, dukker mit name op på listen over certifikat(fil)er som ligger på maskinen. Hiver jeg den ud, er det væk igen.

Jeg kan virkeligt ikke se nogen grund til at det ikke skulle være muligt på en telefon, medmindre OS-udbyderen har lukket for at kunne snakke med kortlæseren. Om det er via USB, bluetooth eller hyletoner kommunikationen bruger til at snakke med smartcardet er i min optik 100% ligegyldigt, omend jeg nok vil fortrække USB, da en ledning er lidt sværere at aflytte eksternt end et radiosignal.

MHT om folk gider slæbe hardware tingen med rundt, er jo ikke værre end alle dem der har en nummerviser og slæber den med rundt.

/Henning

Henning Wangerin

Den er understøttet på alle offentlige digitale services (som jeg er stødt på i hvert fald), da de anvender NemLogin

Det er nemlig et lovkrav af alle offentligt siden skal understøtte den. Og så er det jo nem at bruge det fælles login, og kun implementere det en enkelt gamg

Det er jo hjemmesiden, der anvender NemId til autentifikation, som skal understøtte NemID på hardware, og mig bekendt har DanId ikke mandat til at tvinge brugere af deres løsning til at understøtte alle dele af løsningen.

Lige netop. Og da hardware-versionen ikke er særligt udbredt, er der ikke særligt mange private (hvis nogen - jeg har ingen fundet) som har implementeret den.

/Henning

Kenneth Mejnert

At det ikke er lavet, er jo ikke ensbetydende med at det ikke kan laves så det er brugbart.
...

MHT om folk gider slæbe hardware tingen med rundt, er jo ikke værre end alle dem der har en nummerviser og slæber den med rundt.


Min kommentar gik også på, hvorvidt jeg troede, at folk vil slæbe rundt på den ekstra enhed.

Det kan givetvis gøres bedre, end den løsning jeg så fra BlackBery, men der er grænser for, hvor brugervenligt (eller mobilt) man kan gøre det, hvis man som minimum skal slæbe rundt på en ekstra enhed (den med certifikatet), men nok mere sandsynligt to enheder (ledning, kortlæser etc), der kan forbinde certifikat med den mobil/tablet. Det er der jo ingen, som gider rende rundt med....

Bjarne Nielsen

Jeg kan virkeligt ikke se nogen grund til at det ikke skulle være muligt på en telefon, medmindre OS-udbyderen har lukket for at kunne snakke med kortlæseren.

Jeg ved, at der findes "nøgledimser" (jeg ved ikke, hvilket certificeringsniveau de er på, så lad os nøjes med at bruge den tekniske term "dims" om dem), som understøtter NFC, hvis man ikke vil have nøgler på sin telefon.

Men det næste problem bliver så netop understøttelsen: meget af sjove i dag kører på en browser platform, og der sandboxer man helt generelt meget voldsomt; og det er helt generelt en god ting, men det er noget rod, når man kommer med et godt formål som f.eks. nøgledimser, og gerne vil bryde ud af sandboxen for at få fat i hardware.

Og så er vi nok tilbage ved hønen og ægget: der er ikke rigtigt noget marked for standard hardwaredimsen, for der er hverken nogen fornuftig standard eller nogen udbredt understøttelse af dem, fordi de ikke er særligt udbredte, fordi der ikke rigtigt er noget marked for dem...

Der er dog efter sigende en rimelig understøttelse (i hvert fald i princippet, og hvis man taler om USB) i Chromes API, og jeg ved at Firefox folkene har lange diskussioner med sig selv om det samme for tiden - om det er nok, eller om det er for sent i forhold til 2. faktor med one-push apps på "smart"-phones, er så en anden snak.

Kenn Nielsen

Nu har jeg kun kendskab til en løsning, som BlackBerry har til smartcard, hvor man via bluetooth parer en smartcard reader med telefonen. Det er den mest kluntede og ubrugervenlige løsning jeg længe har set. Den er der ingen, som vil anvende.

Men bluetooth er svjv åben, og uden USB's problematikker med at kunne tilgå 'ting' i maskinen udenom processoren.

Brugervenlighed.. det må være et spørgsmål om applikations-programmering.

K

Lars Nielsen

YubiKey er et godt solidt stykke hardware der har kunnet klare flere år i mit nøglebundt:
https://www.yubico.com/products/yubikey-hardware/

Jeg håber at et firma leverer en NemID 2.0 løsning til den hardware.

Med hensyn til selv at kunne vælge udbyder så er EU lovgivningen klar:
Har du et kvalificeret certifikat fra en anden udbyder har du lov til at bruge dette.

Det er dog svært at lave et kvalificeret certifikat og lovgivningen har ændret sig;
fra LOV nr 417 af 31/05/2000 ; Lov om elektroniske signaturer
https://www.retsinformation.dk/Forms/R0710.aspx?id=6193#K3

til LOV nr 617 af 08/06/2016; Lov om supplerende bestemmelser til forordning om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked
https://www.retsinformation.dk/Forms/R0710.aspx?id=180237

der referer til: EU Certificate Regulation (EU) No 910/2014 electronic identification and trust services
http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1465560314400&uri=CEL...

Som heldigvis stadig i artikel 26 siger:

"An advanced electronic signature shall meet the following requirements:
(a) it is uniquely linked to the signatory;
(b) it is capable of identifying the signatory;
(c) it is created using electronic signature creation data that the signatory can, with a high level of confidence, use under
his sole control; and
(d) it is linked to the data signed therewith in such a way that any subsequent change in the data is detectable."

Så nej, andre må ikke opbevare en kopi af nøglen og skrive at det er et kvalificeret certifikat eller avanceret elektronisk signatur.
Artikel 26, punkt (a) er en klar formulering af "Non-repudiation";
https://en.wikipedia.org/wiki/Non-repudiation

At en elektronisk underskrift kan påvise ejerskab hvis én og kun én person har adgang til den hemmelige nøgle.

Hvis 10 har adgang til den hemmelige nøgle kan man jo ikke påvise hvem der lavede underskriften og derved ikke dokumentere at et evt. hus salg, låneaftale eller kontrakt er underskrevet af den man handlede med.

Det er derfor ulovligt at videregive sådanne nøgler til andre.
For det er det samme som at forfalske en underskrift i vores digitale tidsalder.

..men i Danmark har vi en OCES standard der gør at NemID ikke behøver at være kvalificeret.
https://www.nemid.nu/dk-da/digital_signatur/oces-standarden/

Da vi er med i EU har borgere dog stadig krav på at kunne bruge et kvalificeret certifikat fra et andet EU land frem for NemID, hvis borgeren er i besindelse af et sådant.

Da jeg spurgte på kommunen hvordan jeg bruger et kvalificeret certifikat fra et andet EU land i stedet for NemID fortalte de at at de efter at have snakket med deres IT gut at de kender til hvad et "Kvalificeret certifikat" er og at de derfor ikke har løsninger til en sådan situation.

Hvis der er nogen af jer der har gode erfaringer med et kvalificeret certifikat fra et andet EU land så send mig venligst en E-mail :)
(helst ét der optræder på en national "Trusted Service List")

Peter Lind Damkjær

Lars Nielsen skrev:

Så nej, andre må ikke opbevare en kopi af nøglen og skrive at det er et kvalificeret certifikat eller avanceret elektronisk signatur.

Hvis du med dette mener, at man ikke kan have et setup, der genererer kvalificerede elektroniske signaturer baseret på en løsning med en central signeringsservice, tager du fejl.

I eIDAS (EU Regulation No 910/2014) står der eksplicit i Appendix II (3), at en sådan tjeneste kun kan leveres af en kvalificeret tillidstjenesteudbyder.

Log ind eller Opret konto for at kommentere