MinSundhed-app’en på kant med loven: Svigter svagtseende danskere

10. januar kl. 03:4511
MinSundhed-app’en på kant med loven: Svigter svagtseende danskere
Illustration: Region Midt.
App’en MinSundhed er den næstmest downloadede herhjemme og spiller en helt central rolle kampen mod coronavirus. Men app’en overholder ikke loven om webtilgængelighed, og det rammer blandt andre 65.000 borgere med synshandicap. Myndigheden bag lover at rette ind.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Efter en fortumlet begyndelse på epidemibekæmpelsen herhjemme satte det offentlige for alvor skub i massetestningen af danskerne i foråret 2020. Borgere kunne finde svar på de tusindvis af PCR-prøver på app’en MinSundhed, der dermed kom til at spille en nøglerolle i befolkningens dagligdag og vejen til genåbning af samfundet.

Log ind og læs videre
Du kan læse indholdet og deltage i debatten ved at logge ind eller oprette dig som ny bruger, helt gratis.
11 kommentarer.  Hop til debatten
Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
11
11. januar kl. 11:42

Reelt fjerner du den ene faktor

Nej. Man benytter samme allerede godkendte sikkerhedsniveau, som til alle andre services hvor man stoler på at browseren har styr på ens login. Plus at NemId appen er 2nd factor.

Du kan argumentere for at det er svagere at bede browseren om at huske det. Men alting er svagere end at huske en 2048 bit RSA i hovedet.

Hertil kommer at browseren kun foreslår at indsætte NemId login i samme domæne, så et husket login modvirker phishing.

På UI niveau kender NemId domænet ens genbesøg, og præsenterer to muligheder: Send anmodning til NemId app eller Login med brugernavn. Hvis ikke første "send" fungerer så skiftes automatisk til indtastning af brugernavn.

Domænet behøver ikke at lagre cpr eller login. Det kan nøjes med at lagre en token i http only cookieds, som ikke kan bruges fra andre browsere eller devices.

Hvis man først har fået stjålet sin telefon, har gemt NemID-oplysningerne i browseren og er en af de, sikkert mange, brugere der bruger en svag pinkode til telefon og samme kode til NemID App, så skal de nok blive hyggeligt

Dette er en helt reel angrebsvektor. Men den rammer alle typer services, og apps med pinkode i endnu større stil. Så dette scenarie er ikke et argument for at undgå webapplikationer eller huskede logins.

10
11. januar kl. 10:47

Jeg er ikke enig....

Ja, NemID benytter 2-faktor, men der er ingen grund til at slække på sikkerheden af den ene faktor. Reelt fjerner du den ene faktor i NemID hvis man tillader at NemID-formularen kan gemme CPR/brugernavn og kodeord i browseren på deres mobil - den sidste faktor der er tilbage er NemID App el. Nøglekort.

Hvis man først har fået stjålet sin telefon, har gemt NemID-oplysningerne i browseren og er en af de, sikkert mange, brugere der bruger en svag pinkode til telefon og samme kode til NemID App, så skal de nok blive hyggeligt....

Blot fordi NemID udsættes for phishing- og keylogger-angreb er der ingen grund til at opfinde nye problemer for NemID / MitID.

Hvis man introducerer en "Gem mine informationer"-checkbox, så vil der alt andet en lige være en del brugere der tænker "ej for hvor smart... lad mig bruge det" og ikke tænker over konsekvenserne eller på hvilke devices de aktiverer det. Da man i NemID kan bruge sit CPR-nummer fremfor brugernavn, vil der helt sikkert være mange der gør sig brug af dette, og det vil være et sikkerhedsmæssigt problem at brugerne får mulighed for at gemme det i deres browser (cookie, local storage eller måske det eksperimentelle PasswordCredential API [virker ikke i Firefox og Safari]).

9
11. januar kl. 10:25

Set i lyset at man i NemID kan logge ind med CPR-nummer eller brugernavn, vil det være rimelig skidt at NemID tilbyder at huske login-oplysningerne (f.eks. CPR-nummer) i browseren.

Nej.

Fordi NemId / MitId er 2faktor, så er der ingen sikkerhedsproblem med dette. Og det skal naturligvis kun være et tilvalg, som man kun tilvælger i en browser på et device man stoler på.

Det er klart man ikke skal lege den leg på bibliotekets offentlige computer. Men da man i forvejen må antage at man stoler 100% på browseren i sin mobiltelefon, er der intet i vejen for at den autocompleter ens brugernavn på samme måde som den autocompleter kreditkort oplysninger eller øvrige logins og passwords. Iøvrigt for at undgå genbrug af brugernavn og password.

Desuden er NemId pt. implementeret i en iframe. Dvs. at alle kan let og uden problemer phishe dit brugernavn og password hvis blot du laver een tastefejl i et domæne eller søgning og logger ind.

Sikkerheden består i at man anmoder om authentikering i browseren, og gennemfører authentikering på NemId appen.

8
11. januar kl. 09:52

Det er ikke det eneste sted, jeg ville hente kørekortappen, den kan så ikke bruges på min telefon Iphone6. For mig virker det somom at det er en bevidst strategi at lave en forældelse af produkterne for at tvinge os til køb af nyt.

At kørekort app'en ikke fungerer på ældre telefoner er jo ikke noget med tilgængelighed at gøre, men fordi det rent teknisk ikke har været muligt at løse på en hensigtsæssig måde på gamle telefoner. Som det har været omtalt rigtig mange gange, også her på Version2, så er årsagen at man at i kørekort-systemet ikke har borgerens foto liggende. For at man kan have tiltro til kørekort-app'en kan man selvfølgelig ikke tillade, at folk bare snupper et selfie og derefter har et digitalt kørekort. Derfor læses det fra NFC-chippen i borgeres pas ifm. oprettelse af det digitale kørekort.

Ja, man kunne selvfølgelige lave en løsning hvor borgerservice kunne tage et pasfoto til brug i det digitale kørekort og gemme det i et eller andet nyt system som kørekort app'en kunne læse. Men det er måske også at skyde gråspurve med kanoner når man stadig har et fysisk kørekort og det ikke står til afskaffelse.

7
11. januar kl. 09:28

Det er ikke det eneste sted, jeg ville hente kørekortappen, den kan så ikke bruges på min telefon Iphone6. For mig virker det somom at det er en bevidst strategi at lave en forældelse af produkterne for at tvinge os til køb af nyt.

Når man skal betale et girokort i netbanken er felterne til nummeret for små til at man kan kontrollæse indtastningen, og den er skrevet gråt i gråt.

6
11. januar kl. 08:35

NemID loginboksen burde foreslå at huske ens login, så man i browseren på sin mobil hvor man er væsentlig mere privat, kan nøjes med at klikke "login", acceptere login i NemId app og så fortsætte sin rejse.

Set i lyset at man i NemID kan logge ind med CPR-nummer eller brugernavn, vil det være rimelig skidt at NemID tilbyder at huske login-oplysningerne (f.eks. CPR-nummer) i browseren. At ville understøtte det på en løsning som Sundhed.dk vil være endnu værre, da du har adgang til hovedparten af dine sundhedsoplysninger fra forskellige kilder inkl. mere eller mindre hele din EPJ gennem Sundhed.dk.

5
10. januar kl. 15:27

Bekvemmelighed. I app'en kan du nøjes med at logge ind med PIN- eller biometrics, uden at skulle have fat i papkort, app eller noget tredje.

Det er et udemærket argument, at man let skal kunne authentikere.

Men det kan snildt fungere i en browser på samme måde, herunder authentikering via nemid appen. (Som er et godt eksempel på hvad en app bør bruges til)

NemID loginboksen burde foreslå at huske ens login, så man i browseren på sin mobil hvor man er væsentlig mere privat, kan nøjes med at klikke "login", acceptere login i NemId app og så fortsætte sin rejse.

Regionerne ønsker: At alle borgere tilbydes en app..

Således begynder processen helt og aldeles forkert.

Der skulle have stået:

Regionerne ønsker at alle borgere tilbydes en digital, åben og tilgængelig platform hvor...

4
10. januar kl. 14:55

En af grundene til, at vi har haft lidt svært ved at møde de her krav, er, at vi har brugt Angular i JavaScript.

Øhhh?

Jeg har ikke oplevet tilgængelighedsproblemer på grund af Angular.

Det er muligt, at de bruger nogle sære plugins, men det er vel ikke Angulars skyld.

3
10. januar kl. 14:21

»En af grundene til, at vi har haft lidt svært ved at møde de her krav, er, at vi har brugt Angular i JavaScript. Der er et meget stort open source community, hvor man kan hente færdige komponenter, som man kan bruge på sit website eller i sin app. Det har vi også brugt til MinSundhed. Stort set alle komponenterne er amerikanske, og derfor understøtter de ikke den måde, EU vil have tilgængelighed på. Vi står over for at skulle skifte teknologi til sommer. Vi kommer til at implementere en ny teknologi på MinSundhed, der gør, at vi skal skrive hele vores frontend om. I den forbindelse implementerer vi tilgængelighedsdirektivet, så vi kommer op på den rigtige side af at overholde reglerne.«

Det lyder som en af to ting:

  • Jakob Uffelmann ved ikke hvad han taler om.
  • Udviklerne er ikke deres job voksent og har valgt et JavaScript framework ud fra deres personlige præference i stedet for ud fra kravene til produktet (tilgængelighedsdirektivet).
1
10. januar kl. 13:19

Browsere understøtter i stort omfang ekstra tilgængelighed og personlig tilpasning, og alt dette ryger lige i spanden når man udvikler apps istedet for web.

Her er bla. hvad apps lider under, medmindre man brænder budget af på at udvikle den dybe tallerken som browsere allerede har:

  • Ingen links eller bookmarks til ønskede sider
  • Ingen tilpasning af zoomniveau
  • Ingen auto oplæsning af tekst
  • Ingen kontrast indstilling
  • Ingen extensions med egne tilpasninger
  • Fylder permanent på ens device
  • Kan eksekvere kode og monitorere bag brugerens ryg selv når appen ikke er i brug
  • Omstændig opdateringscyklus
  • Indhegnet af Google eller Apple

Forinden havde man nemlig fået foretaget sin egen test for omkring en halv million kroner, der kortlagde, at der var problemer med applikationens tilgængelighed for blandt andet svagtseende.

Budget for app plus test burde have været brugt på at forbedre sundhed.dk

Der er ingen grund til at have den app.

Web er frit og vejen frem.