NemID-ansvarlig: Lavine af kritik kom bag på os

Det kom bag på IT- og Telestyrelsen, at der opstod så meget kritik af NemID-løsningen og at så mange skulle have hjælp. Samtidigt har styrelsen fået aftalt med DanID, at alt over ti procent afviste brugere skal tælle som nedetid.

Da champagneglassene blev løftet ved lanceringen af NemID 1. juli, begyndte også de kritiske historier om den nye løsning, som afløste den gamle digitale signatur. I et omfang, der kom ganske bag på myndighederne.

»Vi havde gjort meget på at forberede os på pressens interesse, men personligt blev jeg alligevel overrasket over, hvor meget man gik rundt omkring det her for at finde hårene i suppen,« sagde Palle H. Sørensen, leder af Center for Digital Signatur hos IT- og Telestyrelsen.

Det skete på Dansk IT's årlige konference om it-sikkerhed, der fandt sted onsdag og torsdag.

I løbet af 2010 blev der således skrevet 2.300 historier i pressen om NemID, og omkring halvdelen var kritiske. Heraf har Version2 til dato bragt 185 artikler, hvori søgeordet NemID indgår. Men man skal ikke lade sig påvirke af den dækning og tro, at NemID er usikker, mente centerlederen.

»De overskrifter, der har været i aviserne om NemID, er jo ikke rigtige,« sagde han.

Til gengæld havde han konstateret, at den gamle digitale signatur nu pludselig var blevet meget populær.

»Det er sjovt, som man i visse kredse er blevet meget glad for den nu ? aldrig har den været så populær, som efter NemID blev lanceret. Siden 2003 har den digitale signatur ellers stået for skud for at være uduelig,« sagde Palle H. Sørensen.

Supporten kunne ikke følge med

Han indrømmede dog nogle kiks med NemID, som IT- og Telestyrelsen har arbejdet på at rette op på sammen med DanID og bankerne.

Blandt andet var der et uventet stort pres på supporten til NemID, som betød dårlig betjening af borgerne, hvis de løb ind i problemer med den nye løsning.

»Vi må erkende, at kritikken omkring supporten var berettiget. Der var en overvældende mængde henvendelser til supporten, der oversteg det værst forudsete. Det gjorde vi løbende noget ved, og det ser ud til, at det værste nu er overstået, og der er fundet et naturligt leje,« sagde Palle H. Sørensen.

Et andet kritikpunkt har været nedbrud hos DanID. Især i oktober, hvor der var flere timelange afbrydelser.

»Det er klart, at folk bliver meget ophidsede, når de vil overføre penge, og det går ned. Men i virkeligheden har det ikke været så slemt. Problemet var, at DanID ikke har været så gode til at kommunikere ud, hvis driften var nede,« vurderede Palle H. Sørensen.

Kravet til DanID er 99,9 procent oppetid, udover planlagt nedetid, og i oktober blev det kun til 99,22 procent. Statistikken for november og december var dog ikke klar, fordi DanID og styrelsen ikke har været enige om definitionen. DanID mente således, at tjenesten var oppe, selvom måske halvdelen af brugerne blev smidt af.

Læs også: DanID forsøgte at sminke NemID's nedetider

Efter en lang diskussion med DanID er sagen nu klappet af. Fremover vil nedetids-uret begynde at tikke, så snart der er problemer med mere end 10 procent af transaktionerne, fortalte centerlederen.

Folk vil forstå papkortet
Der har også været brok over at skulle bruge et papkort med engangsnøgler, men den løsning var nødvendig for at hæve sikkerheden, lød det. Problemet med den gamle løsning var nemlig, at den krævede, at borgernes computer var fri for malware.

»Mange synes, at kortet er lidt irriterende, men hvis de vidste, at det er for at øge sikkerheden, er jeg sikker på, at de godt kan forstå det,« sagde Palle H. Sørensen, som også nævnte de alternative løsninger, der er på vej.

Man vil inden sommeren både kunne få en hardware-løsning, for eksempel et smartcard, der gør den private nøgle helt decentral, eller få engangskoderne på anden vis end via papkortet, for eksempel fra en applikation på telefonen.

»Men midlerne, vi havde til udbuddet, rakte ikke til at finansiere det. Så de løsninger bliver brugerfinansierede,« forklarede han.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (34)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Michael Nielsen

"Der har også været brok over at skulle bruge et papkort med engangsnøgler, men den løsning var nødvendig for at hæve sikkerheden, lød det. Problemet med den gamle løsning var nemlig, at den krævede, at borgernes computer var fri for malware."

Var der ikke lige den udmelding fra DanID, at alle maskiner skulle være fuld opdateret, og malware fri, før man måtte bruge NemID ?

se
http://www.mathx.dk/dotnetnuke/Blog/tabid/74/EntryId/54/NemID-Hold-din-P...

http://epn.dk/teknologi2/branchen/article2242459.ece

https://www.nemid.nu/om_nemid/regler/regler_for_brug_af_nemid/

Der efter fordi NemID er sårbar over for phising, så skal jeg bare lave en virus der omdirigere din internet traffik via en proxy, som jeg har sat op, der præsentere den samme bruger flade som du leder efter, men når du logger ind bruger jeg dine nøgler til at hacke din bank, eller andet, mens jeg holder dig hen, med nogle "tekniske beskder", jeg skal trods alt kun bruge.

  1. brugernavn
  2. password
  3. 2-3 nøgler for at lænse din bankkonto.

SUK NemID er ikke et hak bedre end den gamle løsning, den er faktisk nemmere at hacke via social engineering, end den gamle løsning var.

Men den gamle løsning havde nogle problemer, som kan nemt løses via et crypto token - der findes et hav af den på nettet, alle har skærme, og kan være total immun over for malware, maskinens tilstand, og kan bruges på offentlige tilgængelige computere uden problemer.

Men det vil ingen høre på.

  • 0
  • 0
Niels Didriksen

Mange synes, at kortet er lidt irriterende, men hvis de vidste, at det er for at øge sikkerheden, er jeg sikker på, at de godt kan forstå det,« sagde Palle H. Sørensen, som også nævnte de alternative løsninger, der er på vej.

Først lancere en totalt utidssvarende og upraktisk løsning i pap gratis. Derefter tage kassen for den løsning, der burde have været lavet i første omgang(*). Og som med al sansynlighed er billigere i drift for monopolet.

(*)Forudsat det bliver muligt for borgeren at lave afledte nøgler, så man ikke behøver at betale dummebøder, hver gang man skal tage et skridt i det digitale samfund.

  • 0
  • 0
Keld Sørensen

mislykkede IT-projekter skal vi betale millioner af kroner til, FØR nogen tager action ?

Det er dog utroligt, at man kan være SÅ inkompetente og STADIG hæve sin løn - nogle gange med ekstra bonus !

GlemID og giv os en løsning, hvor vi ikke deponerer integriteten hos andre og som er nem at anvende - en real NemID - det er da skide smart, men ikke i den nuværende udformning !

  • 0
  • 0
Peter Stricker

»Det er sjovt, som man i visse kredse er blevet meget glad for den nu – aldrig har den været så populær, som efter NemID blev lanceret. Siden 2003 har den digitale signatur ellers stået for skud for at være uduelig,« sagde Palle H. Sørensen.

Den gamle digitale signatur blev med rette kritiseret. Den eneste årsag til at den nu er blevet populær er, at den nu er afløst af en horribelt ringe løsning.

Jeg er ikke helt enig med Palle H. Sørensen i at det er sjovt.

  • 0
  • 0
Michael Thomsen
  1. 2-3 nøgler for at lænse din bankkonto.

Du behøver kun EN nøgle fra nøglekortet. I hvert fald i de banker jeg har prøvet skal man kun taste en nøgle fra nøglekortet når man logger ind. Efterfølgende er kodeordet nok når man vil lave en transaktion.

Det er en (af mange) designmæssig katastrofe i mine øjne.

  • 0
  • 0
Palle Kaastrup

Man vil inden sommeren både kunne få sin private nøgle udleveret i hardware-form

Betyder det så at den private nøgle ikke længere opbevares centralt? Eller er der blot tale om en elektronisk udgave af papkortet?

Jeg spørger, fordi nogen siger det ene og andre siger det andet. Som sædvanlig er DanID fuldstændig tavse som graven.

  • 0
  • 0
Peter Mogensen

Man vil inden sommeren både kunne få sin private nøgle udleveret i hardware-form,

Jeg må anse det for en fornærmelse af kritikerne, hvis det skal tages bogstaveligt.
Man skal slet ikke have sin private nøgle [b]"udleveret"[/b]! Det er en man selv genererer, hvorefter man udlever den offentlige nøgle til dem. Har de intet fattet?

  • 0
  • 0
Jesper Louis Andersen

Som jeg har forstået det har de så ikke din private nøgle, men stadig "skabelonen" til den. Så de kan genskabe den. Det er jo stadig dem der har generet nøglen ligegyldig hvordan du så opbevare den.

Det er det samme som at have din private nøgle at man har det råmateriale som har været brugt til at skabe den, så at sige. Så det er ikke nogen hjælp at de ikke har en privatnøgle i det tilfælde.

Hele tricket i privatnøglen er at den er, well, [i]privat[/i]. Det vil sige at den er genereret på din egen computer, med et program hvis kildekode er offentligt tilgængelig eller; den er genereret inde i en hardwaretoken således at det kun er tokenen selv der kender nøglen. Alt andet er naturligvis ikke en privatnøgle. Jeg har det fint med at DanID stiller et "nemmere program" til rådighed for de bogere som ikke lige magter at lave deres egen nøgle selv, men man skal have muligheden, uden tvivl - og det skal foregå på deres egen computer i alle tilfælde.

Grunden herfor er såre simpel: Nøglen skal benyttes til signering. Det vil sige at den skal have højde som en digital underskrift. Du kan lige så godt gå efter højeste niveau med det samme og lave det væsentligt mere sikkert end en gammeldags analog underskrift. Hvis Malware er et problem, så tvinger du bare en faktor mere indover med et nøglekort oveni som DanID står for. Men med den løsning kan DanID IKKE signere noget i mit navn.

Dertil skal privatnøglen (eller en parallelt genereret privatnøgle alt efter kryptosystem) anvendes til fortrolig kommunikation via kryptering. Det kan naturligvis være et problem hvis DanID kan læse med på mine fortrolige dokumenter - for hvis vi kan lave et system hvor det IKKE er muligt, hvorfor skulle vi så ikke? Akkurat ligesom jeg ikke har noget at skjule hvis jeg ikke gør noget ulovligt, så har DanID ingen grund til at kunne kigge hvis jeg ikke gør noget ulovligt (begge sætninger beror på et præmis som ikke gælder, så udsagnet er altid sandt, rent retorisk).

--

Det værste er at vi havde masser af kritik af systemet væsentligt før det blev lanceret - men det var først efter lanceringen at interessen for systemet steg til et niveau hvor avismedierne bestemte sig for at kigge på det - Nu skulle borgerne jo til at bruge det.

Som før skrevet er der et række punkter hvor NemID løsningen er uheldig:

  • Teknisk findes der væsentligt bedre løsninger som sikrer BEGGE parter ligeligt i transaktionerne (I den nuværende model handler det mere om bankens sikkerhed end borgerens).

  • Brugervenlighedsmæssigt halter løsningen. Dels har den ældre generation svært ved papkortet, dels har den yngre generation naturligvis et had til papkortet, når nu deres mobiltelefon sagtens kan være den anden faktor.

  • Det politiske i løsningen er at bankerne har fået et monopol de aldrig skulle have haft. Det ser vi nu, hvor de vil tage penge for den for borgeren bedre løsning i mobiltelefonen.

  • Det transparente problem er den lukkethed der er i løsningen. Hvor findes dokumentet som teknisk beskriver helt præcist hvorledes løsningen fungerer? Hvor er det det (offentlige) forum hvormed man har diskuteret forskellige løsningen? Hvordan kan jeg stole på et system jeg ikke kender indmaden af?

  • Slutteligt er løsningen bogstaveligt talt at pisse på borgerens sikkerhed. Men NemID løsningen står vi væsentligt ringere stillet end ved den gamle Digitale Signatur. Nok var den gamle DS elendig, men den havde i det mindste bogeren i centrum af løsningen og ikke bankerne.

End of Rant.

  • 0
  • 0
Simon Mikkelsen

De kan være lige glade med kritikken, for de har tvunget folk til at bruge det. Når man tvinger folk på den måde, kan man ikke bruge succesmål såsom antal aktiveringer eller logins, for folk har ikke noget valg. Men det var jo også hele PBS pointe til at starte med: Det her skal nok blive en succes, for vi tvinger dem!

  • 0
  • 0
Henrik Sørensen

Som jeg har forstået det har de så ikke din private nøgle, men stadig "skabelonen" til den. Så de kan genskabe den. Det er jo stadig dem der har generet nøglen ligegyldig hvordan du så opbevare den.

Men jeg håber at jeg tager fejl. Så de ikke har hverken skabelonen eller selve nøglen liggende.

Jeg har ikke nærlæst debatreglerne, men jeg vil tro at det er ok IKKE at svare på en post hvis man ikke kender svaret, eller mener at der er risiko for at man ikke har forstået emnet.

  • 1
  • 0
Peter Mogensen

Hvorfor vælger I så at ignorerer kritikken?

Tjae... jeg forstår heller ikke rigtig reaktionen. Det lyder jo nærmest som om de siger de havde regnet med at kunne tie kritikken ihjel.

Som Jesper Poulsen rigtigt skriver, så har mediernes kritik af NemID været - well - underdimensioneret. Faktisk har den ikke rigtig formået at tage fat i det egentlige problem. Så DanID har da fået meget mindre kritik end de faktisk havde fortjent.

  • 0
  • 0
Peter Schumann

Jeg synes det er ret fjollet, at danid ikke har sørget for at registrere domænenavnet nemid.dk. Der kan nemt opstå tvivl om hvor nemid hører hjemme og hvem de er.

Man kunne komme til at logge på et forkert sted....

.NU er et top level cc domænenavn tilhørende en lille øgruppe ude i Stillehavet. Hvorfor har nemid ikke sørget for at få registreret nemid.dk før nemid blev rullet ud til alle eller endnu bedre, før beslutningen blev taget, at det skulle hedde nemid?

  • 0
  • 0
Morten Saxov

Grunden til at de ikke har nemId.dk skyldes at det i flere år har været brugt, for at repræsentere en nemId løsning som et andet firma har.

Desuden så er det sikkert for at øge ens troværdighed, at de vælger at den centrale hjemmeside ligger på en selvspændig ø, under New Zealandsk styre. En ø, hvis TLD bliver styret af et amerikansk firma, og hvor reglerne for TLD'et er underlagt såvel amerikansk som britiske lovmæssige krav.

  • 0
  • 0
Peter Mogensen

Suk... NemID debatten er næsten til at tude over.

Den har efterhånden degenereret til en kakofoni af 2 efterhånden urelaterede emner:
* Folk, der er sure på pap-kortet, men som har en bemærkelsesværdig ringe interesse i at diskutere den sikkerhed det giver i forhold til de løsninger de synes at ønske sig.
* Folk, der kritiserer de betydeligt mere alvorlige problemer med DanID - som f.eks. de centralt lagrende private nøgler. Problemer som desværre bliver næsten totalt ignoreret af pressen, da det åbenbart er meget nemmere at forholde sig til om folk synes et pap-kort er besværligt.

  • 0
  • 0
Jesper Poulsen

Og langt hovedparten af skribenterne herinde på Version2 hører til i sidste gruppe. Derfor er det så meget mere irriterende at der ikke er mere fokus på det problem. Det burde være en smal sag for Version2 at tage fat i den problematik, når du debatten i forvejen foregår i deres forum.
Enten har Version2 berøringsangst overfor emnet eller også er de for autoritetstro overfor DanID.

Kom så Version2. Vis at I er IT-mediet over dem alle. Tag NemID ved hornene og stil jer kritisk overfor situationen.

  • 0
  • 0
Peter Schumann

Jeg synes det er sikkehedsmæssigt ukorrekt, at bruge et andet ccTLD (country code Top Level Domain) til noget så dansk som det nemid, der bliver påtvunget alle danskere.

Der kan alt for nemt blive forvirring om det er nemid.dk eller nemid.nu.

Hvis du logger dig på nemid.dk istedet for nemid.nu, så har nemid.dk din adgang til nemid.nu.

Hvis DNS posioning sker på nemid.dk, eller nemid.dk's hjemmeside bliver kompromitteret, ser jeg et stort sikkerhedshul.

  • 0
  • 0
Morten Saxov

Peter, nej faktisk mener jeg ikke at jeg stoler mere på NuNames end dk-hostmaster, nok nærmere en del mindre, men kan godt se at jeg i min hast for at svare havde glemt et <sarcasm> omkring den sidste del af min post.

Men nej, ærligt syntes jeg det er super ubetryggende at DanId ikke har
a) sikret et hoved domain på "dansk jord"
b) at deres certificater udstædes fra et domain der hedder Trust2408.com [1], og ikke fra fx danid.dk
c) at det der skal til for at lave et man-in-the-middle angreb mod danske brugere, er at ændre hvad urlen "https://applet.danid.dk&quot; resolver til, fx via overloading i (for windows brugere) hosts fil.

[1] https://www.nemid.nu/support/ofte_stillede_spoergsmaal/

  • 0
  • 0
Jan Harries

Almindelige mennesker, som der trods alt stadigvæk er langt flest af, aner intet om malware og dybere IT.

Derfor er det nemt at lyve for dem, og sige at NemID er NEMT og SIKKERT, hvilket det overhovedet ikke er.

NemID er lettere at cracke end et C64 spil fra 1986, og det er den skinbarlige sandhed.

  • 0
  • 0
Michael Nielsen

Jeg gav min bank supportere en skræk, da hun mente at NemID er så sikker (det siger DanID jo)..

Jeg beskrev et meget simplet scenarie.

laver en hjemme side der ligner jeres, jeg beder om brugernavn, password, og en nøgle, nøjagtig som I gør, melder tilbage til brugeren at systemet er desværre nede pga service.. I mens lænser jeg lige bank kontoen, med de informationer du frivilligt afgav.

  • 0
  • 0
Peter Jensen

"Men midlerne, vi havde til udbuddet, rakte ikke til at finansiere det. Så de løsninger bliver brugerfinansierede,"

Med andre ord, først presser man os til at bruge et lorte system der fungerer langt dårlige end eksisterne (som var udemærket!) og hvis vi skal have noget som er mindre dårlig må vi selv betale yderligere?!

Hold kæft nogle svin.

  • 0
  • 0
Palle Kaastrup

Først bruger man mere end 870 millioner på udvikling af NemID.

Halvdelen kommer fra bankerne - og dermed fra bankkunderne som er dig og mig.

25% kommer fra det offentlige - altså skattekroner som betales af...dig og mig.

De sidste 25% skal komme fra private virksomheder, som jo naturligvis - ligesom bankerne - sender regningen videre til kunderne. Dvs. dig og mig.

Eterfølgende tilbyder man så brugerne at de kan købe en sikker løsning, hvis de ikke vil nøjes med den usikre (med central opbevarede private nøgler).

Hørte jeg nogen sige CASH COW. Hertil kan tilføjes ord som monopol, udynamisk, usikker, single point of failure.

Find selv på flere ord.

  • 0
  • 0
Per Gøtterup

At påstå at en central server med alle dele af nøglerne og et papkort skulle være sikrere end det gamle system med to ud af de tre "noget man har, noget man ved og noget man er", er inkompetence på højeste plan.

At begrunde det med malware på folks pc'er er næsten værre. Hvis en privat nøgle og kode er blevet kompromitteret skyldes det enten at kunden har udlånt sin private nøgle og tilhørende kode eller at kunden har fået malware på sin pc som har snuppet begge.

Begge dele er resultatet af uansvarlighed hos kunden, og det kan man tage forbehold for i netbankens betingelser, og sikre at kunden selv hæfter for tab som følge af dem, og dermed er der ikke noget problem for bankerne.

At folk så stadig kommer til at miste en masse penge er helt fint med mig; så kan folk lære at opføre sig ansvarligt på den dyre måde.

Og kan vi så få lov til igen at bruge vores gamle nøgle?! - Jeg skriver gerne under på en udvidet selvrisiko i forhold til denne - for jeg ved at den er meget sikrere end det super-ringe NemID.

  • 0
  • 0
Anonym

Jeg vil indtrængende bede alle om at undgå at gøre disse spørgsmål personlige.

Ingen tvivl om at fejlen er forkerte mål snarere end forkerte midler. Ingen alternativ gennemførelse kunne have ændret herpå, dvs. det er nonsens at noget "kom bag på". Baggrundsanalysen var utilstrækkelig og der er ikke meget mere at sige om det.

Men ingen enkeltpersoner kan træffe beslutninger i den offentlige sektor. Der er altid en mere kompleks beslutningsproces bag.

At denne proces fungerer dårligt i Danmark ved vi alle, men ligesom ingen enkeltperson kan træffe en beslutning, så er der heller ingen enkeltperson som kan ændre beslutningen.

Det helt store problem omkring NemId er at man (først og fremmest Finansministeriet som meget aktivt pressede bank-modellen igennem) begik grove fejl i udbudsprocessen fordi måldannelsen var forfejlet.

Nu hænger man på historien og herunder en kontrakt hvor ingen vil betale regningen for at rette op på fejlene selvom alle kan se at regningen for ikke at gøre ændre beslutningen er mange størrelsesordener større.

Danmark har IKKE råd til at afvente næste udbud, men der hersker pt. handlingslammelse omkring hvordan man så håndterer problemet.

Uanset hvad - så bliver sagen ikke nemmere af at gøre den til personspørgsmål - uanset om man skyder på Palle i ITST eller Lars i FM.

Vi har 2 spørgsmål her.
a) Hvordan den offentlige sektor retter op på en fejl uden at forværre den. Et planøkonomisk system kan træffe god beslutninger, men når de træffer dårlige så kan det gå helt galt. Nemid er et af alle tiders værste eksempel.

b) Hvordan vi skal indrette digitaliseringen af samfundet. Uden en bedre model er alle retninger lige tåbelige.

  • 0
  • 0
Filip Larsen

Måske en petitesse i den store sammenhæng, men i skrivende stund summer de tre afstemningsprocenter (20%, 24%, og 54%) i venstre kolonne af artiklen altså til 98% i stedet for de forventede og langt mere troværdige 100%. Måske en bedre afrunding i automatikken eller en lille forklaring om hvordan tallene behandles vil være på sin plads i forbindelse med disse afstemninger.

  • 0
  • 0
Log ind eller Opret konto for at kommentere