Myndighed bag MitID efter kritik af sikkerheden: »Det er den måde systemet virker på«

Jeg er ikke helt med på, hvorfor denne issue ikke kan genskabes for NemID, som det påstås i artiklen: Hvis I udvælger de samme 17 personer med NemID, taster deres CPR-nummer i brugernavn og forsøger med tilfældige koder 200 gange i timen over et døgn - så bliver der også spærret for deres NemID. Og det er uendeligt mange gange lettere at chikanere tilfældige personer på den måde med NemID, da man her ikke blot vil spærre for login; nej, man vil spærre for selve deres NemID efter x antal mislykkede forsøg. Og Version2 skulle bruge en nat på at finde 10000 brugernavne til MitID. Til NemID er brugernavnet vores CPR-nummer, hvilket jo nærmest er offentlig tilgængelig information. Det er baseret på en matematisk formel, så kan man i Excel på 5 minutter beregne sig frem til alle danske CPR-numre = så har man gættet sig til samtlige 4.8 mio. brugernavne i NemID på 5 minutter. Med det in mente, så er MitID da væsentligt bedre designet.

Pu-ha, man tør næsten ikke bruge MitID efter læsning af artiklen.

Dermed gik vi videre for at bevise, at brugerne kan lukkes ned i større skala. 17 frivillige indgik i forsøget og blev lukket ned af en anden lille kodestump, der konstant indtastede deres korrekte brugernavne. Så længe den gør det, kan de rigtige indehavere ikke logge ind, og deres MitID-app vil konstant vise dem en anmodning om at swipe. Hvis de swiper, lukker de angriberen ind.

Det havde været interessant at se et billede af den anmodning. Hvem er den fra? Jeg er enig i mange af kritikpunkterne, men hvis jeg som bruger ikke kan genkende anmodningens herkomst, ville jeg ikke swipe.

Hvis man ikke havde læst det var vicedirektøren i Digitaliseringsstyrelsen som udtalte sig, så ville man da tro det var Nets som forsvarede sin løsning til sidst mand.

»Jeg vil anbefale at man undlader at forsøge at lave opskrifter til, hvordan man kan chikanere brugere. Det er ulovligt og det vil være meget problematisk hvis man forsøger at opfordre til DDoS-angreb.«

Hold nu op hvor er det en pinlig samtale... Jeg er med på at man som ansvarlig gerne vil forsvare sig lidt. Men det her er jo sådan en ledelsesstil, som desværre underminere en tillid og tro på et demokratisk retfærdig samfund... Hårde ord, men det er simpelthen ikke iorden. Anerkend fejlene og fokuser på at få dem rettet istedet.

Selvom det ikke er samme skala (og måske helt sammenligneligt), så får jeg minder hen til filmen "The Pentagon Wars", hvor James Burton får til opgave af Kongressen at observere afprøvningen af flere nye våben under udvikling i Pentagon, herunder The Bradley Fighting Vehicle-projektet - som var under udvikling i 17 år med en pris på 14 milliarder dollars. Han finder ud af at testene der laves er utilstrækkelige, der manipuleres og sker korruption. Ledelserne er ligeglade fordi enhver, der forsøger at gennemføre ærlige test, til sidst bukker under for presset for at opnå sin næste forfremmelse. Hvis der kan proklameres nul fejl, så bliver man jo forfremmet.

Det er ikke en fejl, det er en feature.... ~ »Det er den måde systemet virker på«

Så kan DDOS vel oversættes til DirekteDumtOgSløset når/hvis et så simpelt angreb lykkedes.

Nuvel, nu er det (nok) muligt at undgå borgerservice hvis/når ens 'simple' brugernavn bliver ramt ved at ringe til mitID telefon support.... indtil de bliver lagt ned når 'opskriften' bliver misbrugt af nogle med rigtig dårlige intentioner :ø(

Komisk-A(lie), inkompetente og dyrt betalte kommunikations folk.... Men, her går det godt (så længe det..) og så længe folk husker deres nye komplicerede brugernavn, men det er jo deres problem. (så, sælg sælg sælg mens det stadig har værdi)

Hvis sikkerheden ligger i at "vælge et kompliceret brugernavn" er #Digitaliseringsstyrelsen godt nok gået galt i byen... ALT LOGIK hænger sammen med et brugernavn som er unik, samtidigt med et "KOMPLICERET PASSWORD" og med øget sikkerhed ved digital godkendelse/certifikat ved login. Få nu det password på! Kombination øger sikkerheden med en meget høj faktor...

Det virker som en mærkelig sikkerhed når den kan omgås.

Til gengæld er det næsten umuligt for en dansker i udlandet at få MitId. Uden dansk telefonnummer og måske et udløbet pas(ældre pas) skal man ned på Borgerservice, som ikke findes i udlandet. Et nyt pas kan også være besværligt at få.

Havde det så bare være en "klassisk" bug, så det kunne være løst hen over en weekend. Men en designfejl er straks værre og her er mit beskedne up-front forslag: Vi scanner jo passet, så I har allerede brugerens fulde navn, så hvad med at putte noget AI i løsningenog sikre at hele eller dele af brugerens fulde navn IKKE kan indgå i MidID navnet?

»I MitID er adgangskoden indlejret i MitID appen, til forskel fra NemID nøgleappen, hvor adgangskoden lå uden for appen. Når man indtaster koden i app’en, er man bedre beskyttet mod fx keyloggermisbrug, som vi kender fra ”bibliotekssagerne” med NemID, hvor kriminelle via. en såkaldt ’keylogger’ kunne aflure brugernes adgangskode, når brugeren tastede den ind på en selvbetjeningsløsning på en hjemmeside. MitID app’en er samtidig bedre beskyttet med en centralt valideret kode end en lokalt (på telefonen) valideret kode, som tilfældet er i NemID. Det gør det teknisk sværere at angribe MitID på mobilen.«

Kan nogen lære Hr. Lebech forskellen på en simpel 6 cifret usikker pinkode som MitID app'en benytter, og en reel adgangskode. Samt belære ham lidt om at i MitID med nøgleviser / chip dvs. uden app, ligger indtastning af adgangskode på det website/app hvor man logger ind med MitID dvs. at det er åbent for keyloggermisbrug som man kender fra NemID. Ja ja.... det rammer kun den brøkdel af befolkningen der benytter nøgleviser eller chip, men det er stadig muligt.

Det var godt nok en grundig dokumentation for inkompetencen i Digitaliseringsstyrelses ledelse. Egl synes jeg, det er ubehageligt, når folk på den måde udstiller sig selv i offentligheden, men det er nok svært at forestille sig, at den slags problemer kan imødegås, med mindre man får ryddet op i ledelsen. Hvis han f.eks. nogensinde selv har brugt MitId, ville han nok ikke påstå "at en anmodning udløber automatisk efter kort tid:" - eller også har han en forståelse af begrebet "kort tid", der ikke rigtigt harmonerer med et nogenlunde acceptabelt sikkerhedsniveau. Er der nogle, der har testet, hvor lang tid man kan vente med at godkende en anmodning? Jeg har ikke testet grænsen, men har flere gange ventet flere minutter uden problemer.

Så hvis Rusland nu planlage en fysisk aktion i Danmark og gerne ville flytte mest mulige PET/Politi/FE væk fra deres daglige opgaver, så finder man 100.000 personers MitID brugernavn og meget gerne brugernavnet på alle i folktinget så angriber man MitID løsninge og skaber opstandelse. Når så Rusland kan se at nu har de ro, så gennemføre de deres fysiske aktion i Danmark.

En løsning som MitID må IKKE fortælle om brugernavnet findes. i oprettelse øjeblikket skal man som borger angiver fx 10 ønskede brugernavne, systemet kommer så tilbage og præsentere dig for 2 eller 3 af dem du ønskede, et af de præsenterede skal man så vælge. De andre 7-8 brugerid kan være en blanding af allerede taget ID'er eller bare tilfældigt fra valgte.

"Myndighed bag MitID efter kritik af sikkerheden: »Det er den måde systemet virker på«"

Nå sådan - det er helt med vilje? så er vi mere rolige.....