NemID nøgleapp på vej til smartphones og tablets

Alle der seriøst beskæftiger sig med IT-sikkerhed, er enig i at Multi-Factor™ login, forbedrer sikkerheden. Første faktor er så fx et CPR-nummer. Anden faktor kan være et password (adgangskode/kodeord/løsen).

Hvis tredje faktor er en engangsnøgle, såsom NemID papkort er det, så er det en væsentlig forbedring i forhold til ovenstående. Det er en engangsnøgle. Den er fysisk, hvis ikke man bryder sikkerheden ved at tage en kopi af den på sin smartphone, som de fleste gør. Papkort er dog dyre, for der skal fysisk sendes et nyt papkort ud med mellemrum, og det svenske Postnord har ikke gjort dette billigere.

Dette nye supplement med second factor på den samme smartphone, som man bruger til at logge ind med, til at stole på? Hvis ens smartphone er blevet inficeret af en fremmed magt, eller nogen nærmere på, kan man så have tillid til dette supplement?

kan man så have tillid til dette supplement?

- Aldrig i livet!

Første faktor er så fx et CPR-nummer. Anden faktor kan være et password (adgangskode/kodeord/løsen).

Der er jeg så en kender uenig. Multifactor burde ikke inkludere dit login-navn (CPR-nummer) som en faktor. Derudover er et CPR-nummer ikke at regne for en hemmelighed, at vi anvender det som et, er en fejltagelse der er gået på for længe. (https://www.version2.dk/blog/jamen-cpr-nummeret-er-da-ikke-hemmeligt-52932)

Med din beskrevne løsning oven for er der kun 2-faktor, ikke 3-faktor.

Multifaktor betegnes generelt til at have 3 typer af faktors:
a) noget du ved (hemmelighed)
b) noget du er (fingeraftryk og lignende)
c) noget du har (NemID papkort og lignende)

Fordi du bruger flere af samme slags faktorer giver dig ikke flere faktorer i multifaktor authentication.
Ergo at bruge to passwords af type du kender (og ikke er onetime only use) er stadig kun 1-faktor.

Så.. hvorfor så ikke også en program til vores computere?

Hvorfor?

Som jeg forstår app'en fungere den også når du logger med NemID på din computer. Noget i retning af......du bliver promptet med NemID-login, du indtaster brugernavn og kodeord, NemID sender dig en notifikation på din telefon / tablet, du åbner app'en og godkender login, NemIDs system fanger du har godkendt login og appletten viderestiller dig til det site du ønskede at logge ind på.

Hvad hvis min telefon bliver kompromiteret? Så er der pludselig åbnet for fri adgang til slikbutikken. Telefonen er fint til 2 faktor til Google og Facebook, hvor det er begrænsede beløb man kan få fat i. Men det er en anden sag hvis man kommer ind i banken.

Ingen har endnu kompromiteret et papkort. At nogen har kompromiteret det menneske som havde papkortet, er en anden sag.

Ingen har endnu kompromiteret et papkort.

Nej, men det er yderst trivielt at kompromittere det mobilfoto af papkortet som rigtig mange allerede nu har liggende på deres mobiltelefon (og sikkert også i iCloud, Dropbox eller hvad folk nu har som online backup).

Nej, men det er yderst trivielt at kompromittere det mobilfoto af papkortet som rigtig mange allerede nu har liggende på deres mobiltelefon

Ligesom det også er rimeligt trivielt at benytte en kompromitteret telefon (Eller computer for den sags skyld) til at tage et billede af pågældende papkort .

Så snart man kan bruge Nem-ID i nærheden af et netforbundet kamera, er papkortet i princippet i fare...

Jeg har dog svært ved at komme med nogen bedre løsning jf. KISS-princippet...

Men det er en anden sag hvis man kommer ind i banken.

Nu er banken formentlig dit mindste problem, hvis din NemID bliver misbrugt. Banken er kun penge, som de ovenikøbet hæfter for i stor udstrækning. Det er straks langt værre, hvis misbruget bliver brugt til ID tyveri.

Er der nogen, der ved om app's, man har givet tilladelse til at åbne andre app's (f.eks. SnapChat), også vil kunne åbne Nem-ID app'en? Hvad skulle forhindre andre app's i at benytte NemID app'en?