MitID - et spørgsmål om tillid

23. marts kl. 13:2014
it sikkerhed
Illustration: Sikorka/Bigstock.
Når vi møder staten gennem digitale tjenester, bliver de repræsentanter for myndighederne. Derfor er tillid altafgørende. Seneste test af vores tillid er sikkerheden omkring NemID. Dansk IT og Digitaliseringsstyrelsen er ikke helt enige om, hvordan det lige går.
Artiklen er ældre end 30 dage

Udspil fra Dansk IT: Sikkerheden bliver ikke taget alvorligt

Hinnerk Frech, Politisk konsulent ved Dansk IT

I løbet af de seneste uger har vi i medierne igen kunnet læse om flere sikkerhedsudfordringer i digitale systemer i det offentlige. Først såede flere eksperter tvivl om sikkerheden bag MitID’s login. Så kunne Berlingske fortælle om et par direktører fra Fyn, der blev erstattet med en fremmed person i CVR-registeret. Med et klik blev de frataget ejerskab og tilgang til deres egne virksomheder – alt på grund af mangelfuld sikkerhedsdesign i en digital tjeneste, der muliggjorde det for enhver dansker med NemID at overtage andres virksomheder. 

Da direktørerne opdagede fejlen, var Digitaliseringsstyrelsen gået på weekend, og derfor måtte direktørerne håbe på, at de ukendte kriminelle intet alvorligt foretog sig til næste mandag. 

Og til sidst måtte vi erfare i medierne, at MitID endnu engang ikke har styr på grundlæggende sikkerhedsmekanismer. Et sikkerhedscertifikat udløb, og derfor kunne brugerne ikke tilgå hjemmesiden med på en sikker måde. 


Det er yderst problematisk, at offentlige IT-løsninger gang på gang er i mediernes fokus på grund af manglende IT-sikkerhed. Jeg har personlig ret stor tillid til offentlige IT-systemer. Men hver gang min bank opfordrer mig til at skifte til MitID, så kan jeg ikke undgå, at mediernes overskrifter om sikkerhedsudfordringer spøger i mit hoved. Og så glæder jeg mig over, at jeg kan beholde NemID bare lidt endnu. Denne følelse er kun blevet større igennem de seneste nyheder om MitID. 

Artiklen fortsætter efter annoncen


Med enhver ny afsløring af manglende IT-sikkerhed i offentlige systemer bliver borgernes tillid svækket. Mens det samme gør sig gældende for private løsninger, har statslige digitale løsninger en særlig status. De fleste af borgernes interaktioner med staten foregår digitalt. 

Om det er med Skat, borgerservice, skoler, eller med sundhedsvæsnet - digitale løsninger er blevet en repræsentant for staten overfor borgeren. Rammes systemerne konstant af sikkerhedsbrister og andre skandaler, så er det ikke kun tilliden til digitale løsninger, men også tilliden til staten helt generelt, der smuldrer. Mange vil spørge: Hvis staten ikke har styr på digitale løsninger – og dermed borgernes personfølsomme data – hvad har den så styr på?


Dette er et farligt spørgsmål for både staten og demokratiet, og det må ikke komme så langt. Derfor er det vigtigt, at statslige myndigheder tager IT-sikkerheden mere alvorligt, end det tilsyneladende er tilfældet. Der skal investeres massivt i sikkerhed og sikkerhedskompetencer. Sikkerhed må komme i første række. Der skal være styr på grundlæggende sikkerhedsprocesser, og et godt sikkerhedsniveau skal implementeres i løsningernes design fra starten af. Sikkerhed må ikke være hastværk eller et add-on. 

I et land, der er så digitaliseret som Danmark, vil det være farligt at tabe borgernes tillid til tværgående statslige services som MitID på grund af sikkerhedsbrist. En investering i IT-sikkerhed er vigtigt i sig selv, men det er også en investering i borgernes tillid til staten, og dermed demokratiet. Uden borgernes tillid kan den danske stat ikke overleve længe. 

Svar fra Digitaliseringsstyrelsen: Vi styrker sikkerheden i MitID

Adam Lebech, vicedirektør i Digitaliseringsstyrelsen svarer:


Først og fremmest er vi helt enige med Hinnerk Frech i, at IT-sikkerheden i offentlige tjenester er et afgørende parameter for digitaliseringen af vores samfund. Det er af samme årsag, at vi med overgangen fra NemID til MitID styrker sikkerheden væsentligt og ruster Danmark til fremtidens digitale udfordringer og muligheder. 


Helt grundlæggende styrker MitID sikkerheden på tre områder: I den tekniske løsning, i forhold til identifikationsmidlerne og i kravene til identitetssikring, hvilket blandt andet beskytter danskerne bedre mod internettrusler som fx identitetstyveri i forbindelse med social engineering og phishing. Der kan selvfølgelig aldrig gives 100 procent garantier, når man taler om it-sikkerhed og kriminelles forsøg på at svindle, men med de mange opdaterede tiltag i overgangen fra NemID til MitID bør der ikke herske tvivl om, at vi står med en sikker løsning.


Derfor vil jeg gerne slå fast, at der ikke er grund til at være bekymret i overgangen til vores alle sammens nye digitale ID. Hinnerk Frech løfter alligevel i sit indlæg nogle konkrete bekymringer, som der dog har brug for lidt yderligere forklaring.


Til at starte med henviser Hinnerk Frech til en sikkerhedsopdatering tilbage i MitIDs spæde dage i oktober. Her tilføjede vi endnu et sikkerhedstrin, så man bliver yderligere beskyttet mod identitetstyveri ved at gøre det endnu sværere for kriminelle at snyde sig adgang til at ændre andres oplysninger i selvbetjeningsuniverset på MitID.dk. Helt konkret er der indført en karensperiode, der betyder, at man skal logge ind to gange med minimum en times mellemrum, for at kunne gennemføre ændringer i fx telefonnummer eller e-mailadresse på MitID.dk. Det beskytter endnu bedre beskyttelse mod det i forvejen sjældne tilfælde, at nogen skulle lykkes med at narre en borger til at lukke dem ind i deres selvbetjeningsunivers.


Dette er et meget godt billede af, hvordan overgangen fra NemID til MitID er med til at styrke sikkerheden, da MitID er opbygget på en måde, der gør os i stand til løbende at optimere og udvikle løsningen for at tage højde for omkringliggende omstændigheder fx udviklingen i trusselsbilledet.    


Hinnerk Frech taler også om, at webadressen MitID.dk i en kort periode oplevede en midlertidig fejl, der betød, at selvom man fortsat kunne benytte MitID til at logge på offentlige og private selvbetjeningsløsninger, var det ikke muligt at tilgå den specifikke webadresse MitID.dk uden at skrive www foran adressen. Fejlen skyldtes, at et certifikat var udløbet som følge af en beklagelig fejl i overdragelsen af domænet MitID.dk fra Statens IT til Nets. Fejlen viste sig ved, at man fik en fejlmeddelelse, når man ville tilgå MitID’s website via webadresserne MitID.dk eller https://MitID.dk - en fejl der hurtigt blev løst. Igen er der ikke tale om noget, der har kompromitteret sikkerheden på sitet, og selve MitID-løsningen har også virket hele vejen igennem.


Vi er derfor helt enige med Hinnerk Frech, når han siger, at investeringer i IT-sikkerhed samtidig er en investering i borgernes tillid til staten. Det er af samme årsag, at vi overgår fra NemID til MitID. Trusselsbilledet er ikke en statisk størrelse, og derfor bør IT-sikkerhed heller ikke være det. I stedet ligger værdien i at være i stand til at optimere og udvikle, som er en af de primære kompetencer ved vores alle sammens nye digitale ID. 

14 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
13
25. marts kl. 18:15

Hvis det handler om tillid, hvorfor så ikke skabe konkurrence på tillid. Jeg har i dag i min netbank mulighed for at vælge mellem NemID og MitID. Jeg ved godt at der kun et en der virker for mig, men systemerne kan godt let håndtere flere løsninger.

Lad os få konkurrence på tillid også!

11
24. marts kl. 16:04

NemID har fungeret godt i mange år, men nu er det brudt sammen. Som dansk ingeniør, der arbejder i et fjernere udland, så blev NemID anulleret og jeg mistede min digitale identitet. Jeg har igennem det sidste år hverken kontakt med min bankkonto, min pensionskasse eller med e-boks. Jeg har mistet forbindelsen til det offentlige Danmark fordi Nets fejlede i fremsendelse af en ny nummerviser - og nu vil Nets a/s ikke vil genfremsende Jeg er så at sige blevet "landsforvist" - det opleves i hvert fald sådan. NemID kan kun genoprettes ved at rejse til en Borgerservice 12000 km væk! - siger Nets a/s - Sådan er betingelserne for udearbejdende ingeniører fjernt fra det digitale Danmark, vi er temmelig alene (verdens bedste IT-nation som en statsminister Anders Rasmussen omtalte DK). En nation som ikke engang kan reparere sit eget system og knytte en tabt forbindelse - - - men dette er jo men helt anden side af debatten om sikkerheden i NemID og MitID. Sjovt nok så fungerer dette underudviklede land jeg bor i uden noget NemID eller MitID saludos klaus lynge

10
24. marts kl. 13:47

Tillid, hvordan?

Hvordan skal folk få tillid til de digitale løsninger, når Staten/Digitaliseringsstyrelsen ikke selv har tillid til løsningerne?

Hvorfor har man så lidt tillid til sine egne løsninger, at man har så lange dokumenter med ansvarsfraskrivelse, at selv en garvet jurist ikke vil kunne læse det igennem indenfor den time-out, som er opsat for tilmeldingen? Hvorfor skulle der gå adskillige år, inden man etablerede et sted, hvor folk kunne henvende sig, når systemet ikke virkede/blev misbrugt? Og hvorfor blev det ikke indført pga., men på trods af Digitaliseringsstyrelsen, som i hvert tilfælde forsøgte at bagatellisere problemet? Hvorfor har man så lidt tillid til løsningen, at man flytter det juridiske ansvar over på borgeren? Feks. hvor er Digitaliseringsstyrelsen i sagen fra Syddjurs, hvor kommunen har en kvittering på afsendelse af et brev i E-boks, men hvor ingen af modtagerne har set noget til brevet?

Så, Adam Lebech, der er masser af konkrete sager at tage fat på. Men først og fremmest skal løsningerne være så sikre at Staten/Digitaliseringsstyrelsen er klar til lægge egen hånd på kogepladen.

8
24. marts kl. 12:46

Jeg mindes en episode, et godt stykke tid efter NemID var blevet indført, hvor en teenager 2 gange i løbet af en måned lagde NemID ned i timevis med et DDOS angreb bestilt for ca. 100 kr. Derefter besluttede DanID at sikre NemId mod DDOS.

6
24. marts kl. 10:02

Jeg synes det er uheldigt at adgangskoden fra NemID, hvor den indtastes skjult, nu bruges som BrugerID i MitID, hvor den indtastes synligt.

2
24. marts kl. 07:25

Problematisk løsning. Det er svært at have højere tiltro til en løsning hvor man hører ting som "overdragelsen af domænet MitID.dk fra Statens IT til Nets" . Det er en offentlig løsning, så naturligvis skal noget så centralt som domænet håndteres at staten ikke et privat firma.

Apropos private firmaer. Løsningen bliver primært promoveret som en løsning hvor man skal udlevere en masse data og acceptere vilkår hos én af to amerikanske firmaer. Alene for at kunne downloade et program til brug med løsningen. Noget der er helt unødigt og en stor angrebsvektor, drop nu det program og fokuser på den primære løsning.

Der er dog højning af sikkerheden: Den primære løsning i MitID, hvor man bruger nøgleviseren, er bedre end papkortet. Man kan i sagens natur ikke affotografere alle koder i sådan en dims. Samt den skal aktiveres efter den modtages, modsat papkort der kunne stjæles og bruges inden den nåede borgeren.

12
24. marts kl. 20:32

Papkortet er væsentlig mere sikkert end en hvilken som helst IT løsning. Det ligger, hvor det ligger uden adgang for nogen. Og hvis hele huset er blevet "hacket" eller tømt af en tyv, så opdager man det jo og kan spærre kortet.

14
27. marts kl. 13:32

Papkortet er væsentlig mere sikkert end en hvilken som helst IT løsning. Det ligger, hvor det ligger uden adgang for nogen. Og hvis hele huset er blevet "hacket" eller tømt af en tyv, så opdager man det jo og kan spærre kortet.

Det samme gælder den primære løsning til MitID = kodeviseren. Kodeviseren er endda endnu bedre end papkortet, i og med at papkortet kan man affotografere ved et indbrud. På den måde stjæle alle koderne og lade papkortet blive hvor det er. Mens kodeviseren mig bekendt kun viser en kode én gang - så for at stjæle koderne skal man fysisk stjæle kodeviseren, hvilket vil blive opdaget og kan spærres.

Så det er primært den sekundære løsning til MitID = programmet til Android og Mac der er det svage led.

7
24. marts kl. 11:04

Jeg vil helt klart også vælge kodeviseren frem fo appen, når jeg bliver beordret over på MitID. Enhver app kan hackes, og ved at have kodeviseren et andet sted end telefon og computer, mindskes risikoen for at en tyv kan få alle de nødvendige dele på en gang.

9
24. marts kl. 12:52

Hvis du bruger MitId services, og indtaster brugernavn/adgangskode på din telefon, kan denne ikke samtidig indgå som den anden faktor i 2-factor authentication. Hvis telefonen hackes på root level, kan begge faktorer brydes på én gang, og så er det ikke længere 2-factor.

1
23. marts kl. 16:55

Er det nu heller ikke muligt at markere at man vil følge en eventuel debat på en artikel, hvor der endnu ikke er debat-indlæg?

/Henning

3
24. marts kl. 07:33

Er det nu heller ikke muligt at markere at man vil følge en eventuel debat på en artikel, hvor der endnu ikke er debat-indlæg?

Jo oppe i toppen er der et flueben der hedder "følg denne debat".

4
24. marts kl. 08:43

Af hvad jeg kan se, så dukker den afcheckingskasse kun frem hvis der allerede er en kommentar. Jeg kan ikke finde den kontrol hvis jeg besøger en artikel som endnu ikke har nogen kommentarer.

5
24. marts kl. 09:04

Pladsholder

Af hvad jeg kan se, så dukker den afcheckingskasse kun frem hvis der allerede er en kommentar.

Det er ganske vist ikke pænt at gøre den slags. Hvor der er en vilje, er der en vej!