NemID-koder gemt på telefonen ødelægger netbank-sikkerheden

Hvis man gemmer sine NemID-engangskoder på sin smartphone, smuldrer sikkerheden. Alligevel downloader danskerne applikationer til netop at gemme papirkoderne digitalt.

Et papkort er for besværligt ? jeg tager da bare et billede af engangskoderne med min smartphone, så jeg altid har dem ved hånden.

Sådan tænker nogle af NemID-brugerne, til trods for at det er lodret imod reglerne at digitalisere de analoge papkort. Hele ideen med at have engangskoderne på papir er nemlig, at de skal være helt adskilt fra brugerens computer og smartphone.

Alligevel er applikationer, som er udviklet kun til at gemme koderne på en smartphone, blevet populære, og det går ud over sikkerheden. Det skriver Børsen.

I takt med at alle danske banker med respekt for sig selv har udviklet en mobil-applikation for netbank, kan en stjålen mobiltelefon være en gave til en it-kriminel, hvis også engangskoderne følger med på telefonen. Dermed er der typisk kun det selvvalgte kodeord tilbage mellem hackeren og fri adgang til netbanken ? afhængigt af hvilken sikkerhedsmodel, banken har valgt.

Selv uden digitalisering af engangskoderne kan en stjålen dametaske med både mobiltelefon og pung give hackere for let spil, mener sikkerhedsekspert Ulf Munkedal fra Fort Consult.

Papkortet med koder bliver nemlig ofte opbevaret i pungen, hvor man også har sygesikringskort med CPR-nummer, og dermed har tyven to af de tre oplysninger, der skal til for at logge ind med NemID.

Hans råd er, at man beskytter sin smartphone med adgangskode, og sørger for ikke at opbevare sine NemID-engangskoder samme sted som sin telefon.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (41)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Søren S. Nielsen

Altså bortset fra det SKRIGENDE INDLYSENDE i at det er dumt at opbevare koderne fra papkortet på den måde, så er der (så vidt jeg ved) ikke nogen af de netbank-apps der faktisk bruger nemid. Ét er at Børsen skriver den slags nonsens men at V2 så kopierer artiklen er lidt sølle...

  • 0
  • 1
Peter Andersen

Papkortet med koder bliver nemlig ofte opbevaret i pungen, hvor man også har sygesikringskort med CPR-nummer, og dermed har tyven to af de tre oplysninger, der skal til for at logge ind med NemID.

Det er muligt at deaktivere CPR login, så der i stedet skal anvendes et selvvalgt brugernavn. Det bruger jeg. Måske kun et lille løft i sikkerheden, men trods alt...

  • 0
  • 0
Jens Schumacher

Hvad mener du med "ikke nogen af de netbank-apps der faktisk bruger nemid."
Altså danske banks mobil app bruger cpr/nemId nummer + en mobil service kode i stedet for nemID passwordet + engangs koder fra nemID pap kortet.
Så jo. Pap koderne er i brug på bankernes mobil apps.

  • 1
  • 0
peter hansen

@Søren S. Nielsen og Peter Andersen

De personer, der forstår at beskytte sig - som I beskriver, at I gør - er ikke i fare for at få misbrugt NemID.
Men, desværre er der mange, der ikke tænker noget videre over sikkerheden - selvsamme opbevarer sikkert også pinkoden til dankortet i pungen - sammen med dankortet.
Følgerne når ens dankort bliver misbrugt er små, derimod er følgerne efter misbrug af NemID ganske alvorlige - og dækningen er IKKE som ved dankortet, man skal selv bevise at man har opbevaret NemID-kortet korrekt (og hvordan skal man lige bevise det ?), ellers skal man selv dække følgerne af misbruget. Det er der vist ikke så mange, der ved...

  • 0
  • 0
Søren J. Svendsen

Problemet er vel ikke, at folk gør sådan noget. Problemet er de spader, der har udtænkt designet i første omgang. Det svarer lidt til "du må ikke bære dine nøgler på din person, for hvis du nu taber den så har tyve fri adgang til dine låste døre!".

Sikkerhed skal fungere i virkeligheden og ikke være opfundet af verdensfjerne algoritmehajer, som mener at sikkerhed er godt, hvis dit password består af alenlange passwords som spXzWZt134!#¤ som du aldrig kan huske, skal skiftes hver 14. dag og skal helst ikke bruges mere end én gang og aldrig må skrives ned.

Det er jo forrykt! Og sikkerheden i NEMid skulle vel være tænkt ud fra, hvad folk gør og ikke hvad nogen teoretiske betragtninger mener man bør gøre. Efterlyses: Sikkerhed bygget til hverdagsbrug.

  • 0
  • 0
Kristian Lund

Vi render rundt med et Visa-kort, med hvilket man kan købe ting i vores navn tusindvis af steder.
Vi har dumme passwords, eller det samme i brug nærmest alle steder.
Vi har vores papkort i samme lomme, pung eller taske som mobiltelefonen.
Vores computer og telefon husker vores passwords, og har rigelig anden information på os.

Den fysiske opdeling af korrekte responser, og den enhed med hvilken man logger på, er i princippet fin - begge skal stjæles for at man kommer nogen vegne.

Men folk vælger selv mellem nemhed og sikkerhed. Den fysiske adskillelse virker kun hvis den opretholdes af brugeren, og det gør den ikke. Men irritationsmomentet at skulle bruge kortet (som, npr det opbevares sammen med mobilen ingen ekstra sikkerhed giver!), betyder at folk vælger det simple eller velkendte password.

Hvis din metode ikke tvinger folk til bedre sikkerhed (og det gør denne ikke), så har du ikke vundet noget ved at tvinge den ned over folks hoveder. Stil hellere arbitrære, tilfældige krav til folks kodeord, så det bliver nødt til at være nyt og stærkt.
Og lad mig så for fanden gemme mine koder på samme app som jeg logger ind med; forskellen i sikkerhed er neglicibelt (men det skal vel sælges som sær-service senere).

PS: Og, ligesom Visa-kort mm. ligger den bedste sikkerhed jo i at man kan lukke kortet, så snart det forsvinder. Det samme kan man efterhånden med mobilen selv.

  • 0
  • 0
Michael Thomsen

Hvis man blot tager et billede og gemmer på telefonen er det ikke mere sikkert end at have nemid-kortet i pungen.

Hvis man derimod bruger en app, som krypterer billedet og kræver en pinkode for at vise billedet er sikkerheden bedre (jeg går ud fra, at apps ikke blot gemmer billedet i klar-tekst, for så var der vel ingen mening med at have en app?).

Hvis man gik skridtet videre og brugte SIM-kortet som nøglekort, så ville kunderne slippe for en masse bøvl og sikkerheden ville være mindst lige så god som nu. Men det ville selvfølgelig også kræve, at danid fulgte nogle standarder, så den løsning er nok for meget forlangt..

  • 0
  • 0
Anders Poulsen

Umiddelbart kan jeg ikke afvikle NemIDs Java på min smartphone (en iPhone). Dermed er det vel ikke mindre sikkert at have et billede af kortet dér end f.eks. at opbevare selve kortet i nærheden af æggeuret i køkkenet (eller en hvilken-som-helst anden vilkårlig genstand)?
I øvrigt. Hvis jeg ikke må opbevare kortet i nærheden af min computer, telefon, pung eller bare bære det på min person, hvor i alverden forestiller I sikkerheds "eksperter" jer så, at jeg skal opbevare det?
Jeg er helt med på at I sikkert synes at ethvert misbrug af mit nemID kort er selvforskyldt, hvis jeg ikke som minimum opbevarer det i en aflåst bankboks, men helt ærligt, hvad blev der lige af NEM delen af nemID?

  • 0
  • 0
peter hansen

@Anders Poulsen
Det er NemID/Nets, der udstikker retningslinjerne for korrekt opbevaring af papkortet.
Årsagen til at du ikke må tage et billede af papkortet er at kortet derved kan kopieres.
Papkortet er NemIDs fysiske del.
Du må gerne opbevare kortet på din person, dog ikke sammen med en kopi af dit password.
Mange ønsker at gøre det lettere for sig selv ved at gemme et billede på telefonen af papkortet, men dette er ikke tilladt, og kan i yderste tilfælde betyde at du selv skal betale regningen i tilfælde af misbrug.

  • 0
  • 0
Loke Dupont

@Peter Hansen

Jeg tror ikke Anders' problem var at forstå at NemID udstikker retningslinjerne, hans spørgsmål gik mere på hvad det sikkerhedsmæssige argument skulle være i hans situation? Om papkortet ligger analogt eller digital i samme taske eller samme jakkelomme er vel fuldstændig ligegyldigt?

  • 0
  • 0
Kristian Lund

@Loke:
"Om papkortet ligger analogt eller digital i samme taske eller samme jakkelomme er vel fuldstændig ligegyldigt?"

True (bortset fra at, som andre har påpeget, en digital kopi kan ligge bag flere sikkerhedslag og derfor ofte er at foretrække).
Det ændrer selvfølgelig ikke på at reglerne for NemID, ligesom den løsningsmodel de skal "beskytte", er tåbelige.

  • 0
  • 0
peter hansen

@Loke Dupont
Nej, det er ikke ligegyldigt - ved ældre løsninger (med nøglefiler) var det muligt for hackere at lave keylogging. Derved kunne de få fat på password og kopierede de også nøglefilen, ville de kunne få fuld adgang. Noget lignende ville kunne lade sig gøre, hvis man opbevarer et billede af kortet på telefonen.

  • 0
  • 0
Svante Jørgensen

Hold op hvor er der meget hysteri i denne debat.
Der er altså flere problemstillinger inde i billedet her.

Kort sagt beskytter papkortet (som du kan bære på dig) dig mod elektroniske angreb, og dit kodeord (som du selvfølgelig ikke bærer på dig) beskytter dig mod fysiske angreb.

Papkortet beskytter mod rene elektroniske angreb som fx replay-attacks, keyboard snooping, optagelse af kodeord på usikre netværk, eller afluring af kodeord på afstand. Denne beskyttelse er nødvendig fordi angrebene for det meste udføres uden brugerens viden. Men en ny kode fra papkortet skal bruges ved hvert login, så det kan ikke (i praksis betale sig at) brydes rent elektronisk.

Hvis en tyv stjæler din pung vil du i 99% af tilfældene opdage det med det samme eller inden for 24 timer.
Det vil sige gerningsmanden har 24 timer til at gætte dit password, hvilket er det sidste han mangler. Men han kan ikke brute-force det, da NemID er de eneste der kan bekræfte et rigtigt gæt - og de lader ikke nogen prøve at logge ind og gætte kodeord en million gange på 24 timer. Hele fordelen ligger i at du inden for meget kort tid VED at din sikkerhed er kompromitteret, og du kan lukke ned for adgangen hurtigt. Derfor er det sikkert.

  • 0
  • 0
Kristian Lund

@Peter Hansen

Du har selvfølgelig ret i at keylogging og i det hele taget root-adgang til maskinen er et sikkerhedsproblem, hvis man har respons-koderne liggende på telefonen.

Men det er er det under alle omstændigheder. Hvis jeg har adgang til alle funktioner på din computer eller telefon, kan jeg jo bare gribe din session næste gang du logger ind, så har jeg adgang så længe den varer. Det eneste der er vundet ved det fysiske papkort, er at angriberen kun får adgang til at gøre hvad der passer ham én gang, ikke flere. Han har så selvfølgelig kun brug for én...
Vi har, ikke overraskende, brug for kontrol med vores egne maskiner, for at være sikre når vi bruger dem. Intet kan omgå dette faktum.

@Svante
Se ovenstående for hvorfor papkortet ikke beskytter mod noget relevant. Du har selvfølgelig 100% ret i din pointe om tyveri af pung, og det samme gør sig gældende omkring tyveri af ens mobiltelefon - og vil selvfølgelig også gøre det hvis respons-koderne lå på den.

Hvad med om vi bare antog at folk har styr på deres platform, og tænkte lidt mere over dens sikkerhed - ellers er intet sgu alligevel sikkert...

  • 0
  • 0
peter hansen

@Karsten Lund
Antage at folk har styr på deres platform ?
Prøv at sige det til nogen, der ikke arbejder med IT til daglig.

Jeg mener, at det største problem med NemID er den manglende dækning/omvendt bevisbyrde, der ligger i betingelserne for anvendelsen. Indehaver skal SELV bevise, at kortet er blevet opbevaret korrekt, ellers skal man selv betale i tilfælde af misbrug.
Med din holdning vil det betyde at de, der ikke har forstand på IT tvinges til at betale.

  • 0
  • 0
Filip Larsen

Ud over fysisk tyveri af telefonen er der i dag også den sikkerhedesrisiko man kender fra den netforbundne PC, nemlig, at et ondsindet program skjult installeret på telefonen kan aflure de oplysninger man indtaster eller overfører, og i dette tilfælde er det sikkerhedsmæssigt bedst, at oplysningerne fra nøglekortet som helhed ikke på noget tidspunkt optræder i klartekst på telefonen. Om så identitetsmisbrug ud fra fysisk tyveri af både næglekort og telefon er mere eller mindre sandsynlig end misbrug ud fra elektronisk indbrud på telefonen må være en individuel afvejning. Husk dog, at ved elektronisk indbrud har tyven potentielt alle tre nødvendige oplysinger, mens almindeligt fysisk tyveri højest giver en (hvis man har valgt egen login-navn) eller to af oplysningerne.

  • 0
  • 0
Loke Dupont

@Peter Hansen

Hvis hackere har komprimiteret maskinen, så ville det alligevel kunne omgå systemet, ved simpelthen at bede brugeren indtaste sit nemid, og så bruge det i baggrunden til at udføre deres handlinger istedet. Det er jo også derfor NemID kræver man holder sin maskine opdateret med sikkerhedsopdateringer. Desuden vil jeg mene at det er muligt at beskytte sine nøglekort noget mere digital, med fx truecrypt

  • 0
  • 0
peter hansen

@Loke Dupont
Det, du mener er et phishing angreb, antager jeg.
Dette kan man sikre sig imod ved altid at bede browseren om at verificere de anvendte certifikater.
Desværre er der mange, der ikke gør dette.

Det er mere alvorligt at man gør brugeren ansvarlig, istedet for at lave en bedre løsning, hvor banken selv tør stå inde for sikkerheden.

  • 0
  • 0
Nikolaj Brinch Jørgensen

Undskyld men var hele ideen med papkortet ikke at man skulle kunne have i sin pung? Hvorfor er det ellers udformet som et kredit kort? Det var vel meningen at man skulle kunne logge på NemID fra en hvilken som helst maskine (uden at have en nøglefil med på USB/Diskette osv.).

At man så kan opbevare kortet digitalt med øget sikkerhed, burde være noget DanID beskæftiger sig med at gøre legalt, og tilmed spytte gode Apps ud til formålet (evt. med password beskyttelse). SÅ kunne jeg også vælge at f et nyt kort udsendt elektronisk i stedet for med Postdanmark (hvilket ville være nemmere for mig og billigere for Danmark).

Det kræver nok desværre at man modernisere det nye system.

  • 0
  • 0
Loke Dupont

@Peter Hansen

Det jeg mener er en variant af et phising angreb. Hvis hackeren har adgang til at læse filer fra maskinen (som var dit scenarie ved gemte kort) så er det ganske sandsynligt han også har mulighed for at skrive data til maskinen, og ville derfor kunne ligge sit eget certifikat ind som trusted anyhow. Så kan du verificere dit certifikat alt det du vil, når det alligevel er trusted.

Jeg er enig i det er problematisk at gøre brugeren ansvarlig for sikkerheden, men så ender vi hurtigst med den mest fladpandede og usikre løsning fordi alle skal kunne være med.

  • 0
  • 0
Stig Larsen

Opbevar dine Nemid koder i en bankboks, det skal selvfølgelig ikke være den samme boks hvor du også opbevarer andre papirer.
Hvor er forskellen mellem at have et digitalt billede af papkortet og have selve papkortet i tasken?
Artiklen må jo betyde at Nemid ikke er sikkert, med mindre man vælger løsningen herover.

  • 0
  • 0
Kristian Lund

@Peter Hansen
Jeg hedder altså Kristian :-)

Når jeg siger vi skal antage at folk har styr på deres platform, mener jeg selvfølgelig ikke at vi skal stole blindt på at det er tilfælde. Men hvis det ikke er tilfældet, er sikkerheds-slaget allerede tabt; en telefon eller maskine under en andens kontrol er (som jeg skriver) en sikkerhedsfare ligegyldigt hvor mange papkort jeg skal bruge før jeg laver det fatale login som tillader angriberen adgang til alting alligevel.

Jeg er i øvrigt helt enig omkring problemet med bevisbyrde - det er totalt skævt og et kæmpe skridt tilbage.

  • 0
  • 0
Anonym

Jeg kan ikke se at sikkerheden er meget værre end de banker der lader deres brugere logge ind uden brug af nøglekort.

Dette er tilfælde med fx. lån & spar bank, hvor brugerne kan være om de vil bruge nøglekortet eller ej på login siden.
Godt nok skal man efterfølgende bruge papkortet for at overføre penge, men sende meddeleser til banken, logge ind i e-boks, og se samtlige oplysninger om en er frit tilgængelig ved blot at bruge cpr nr. og kode.
Det er desuden IKKE muligt at slå denne "feature" fra.

  • 0
  • 0
Kim Bygum

Dette er tilfælde med fx. lån & spar bank, hvor brugerne kan være om de vil bruge nøglekortet eller ej på login siden.
Godt nok skal man efterfølgende bruge papkortet for at overføre penge, men sende meddeleser til banken, logge ind i e-boks

Du skal bruge kortet, hvis du vil i e-boks fra Lån & Spar

  • 0
  • 0
Flemming Seerup

Det lader desværre til at være en rigtig stor del af de danske banker, som tillader login uden nøglekort.

Og ja, hvis man så bare kunne slå denne feature fra.

Iøvrigt kræver eBoks generelt, at man skal være autoriseret via NemID, før man kan komme i eBoks, så det er ikke kun Lån og Spar.

  • 0
  • 0
Kim Bygum

Sandsynligheden for at min mobil bliver stjålet, uden at min pung bliver det, er vel relativ lille.

Og hvis papkortet er i min pung, hvor ligger forskellen så?

Stadigvæk, at man "ved kun at hacke et sted" kan få adgang til både dit kort og dine koder (når du bruger telefonen til adgang). Tilsvarende gælder hvis du har kortet skannet ind på din hjemmecomputer og bruger den til adgang.

  • 0
  • 0
Michael Thomsen

Jeg synes, at I skulle prøve at tage fat i jeres banker. Jeg har prøvet med lsb og de er totalt ligeglade; men hvis tilstrækkelig mange hiver fat i dem, kan det være, at de begynder at vågne op.

At man kan logge ind uden brug af nøglekort mener jeg er en kæmpekatastrofe. De kunne ikke engang oplyse hvor jeg kan se en log over hvornår og hvorfra der er logget ind.

Næste katastrofe er, at man kun skal bruge nøglekort ved login og ikke ved efterfølgende overførsler (hvis man vælger login med nøglekort). Heller ikke det problem forstår de.

Det er mig en gåde hvordan virksomheder (danske banker, danid, visa, mc (og sony for den sags skyld)) kan have så inkompetente medarbejdere ansat i deres sikkerhedsafdelinger.

  • 0
  • 0
Nikolaj Brinch Jørgensen

Næste katastrofe er, at man kun skal bruge nøglekort ved login og ikke ved efterfølgende overførsler (hvis man vælger login med nøglekort). Heller ikke det problem forstår de.

Ja sådan er det som oftest. Det synes jeg kun er godt, for det ville være håbløst at benytte systemet hvis man hele tiden skulle taste koder ind fra det kort.

Man taster heller ikke secure id ind hver gang man sende en mail, eller taster password hver gang man sender en IM, SIM PIN hver gang man sende en SMS. Der er perimetersikkerhed, og i bankens tilfælde (Danske Bank) skal man så afgive sit password igen ved overførsler (sikkert også andre transaktioner), hvilket må være sikkerhed nok i deres øjne.

Det er klart at der sikkert kan beskyttes bedre, men på et tidspunkt må galskaben hører op, det skal også være til at bruge.

  • 0
  • 0
Kim Bygum

Især hvis det er krypteret når det ligger på mobilen

Det er ligegyldigt, om det er krypteret, hvis du har malware på telefonen/computeren -- du lukker op for indholdet, når du vil logge ind, og så er det tilgængeligt for malwaren.

  • 0
  • 0
Log ind eller Opret konto for at kommentere