NemID under angreb?

2. juli 2010 kl. 09:4723
NemID fortæller brugerne, at der er konstateret tegn på sikkerhedsangreb. DanID's sikkerhedsfolk kommer nu på sagen.
Artiklen er ældre end 30 dage

»Sikkerhed kompromitteret. Vi har konstateret tegn på, at der foregår et sikkerhedsangreb.«

Sådan lyder beskeden fra NemID til flere brugere, der bliver ledt hen på denne side.

Artiklen fortsætter efter annoncen

To Version2-læsere har forklaret, at beskeden dukker op efter forsøg på at sende en besked til support-postkassen.

DanID's kommunikationschef Jette Knudsen er overrasket over at høre om det mulige sikkerhedsangreb, og vil på baggrund af Version2's henvendelse straks bede DanID's sikkerhedsfolk se på sagen.

Version2 følger op på sagen.

23 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
1
2. juli 2010 kl. 09:56

Er ikke skadesfro, men det er tæt på...

Hvad havde de regnet med?

3
Indsendt af Anonym (ikke efterprøvet) den fre, 07/02/2010 - 10:05

Jeg har kun lige klikket på det nævnte link i artiklen, men umiddelbart virker det som om det er en redirigering fra selve siden, og muligvis ikke et 'angreb' som sådan.

Det er ikke voldsomt interessant, men man ser da af og til false positives.

Nåh - prøvede lige nemid's side, og der kommer ingen besked her...?

5
2. juli 2010 kl. 10:21

Det er sikkert noget validering der går galt, og serveren er sat op til 'assume malice, before ignorance'. Andre systemer ville nok bare sige at der er sket en fejl, og så er den skid slået.

6
2. juli 2010 kl. 10:32

Meldte de ikke netop ud igår at "med NemID føler jeg mig tryg ved, at vi nu og i fremtiden vil være et hestehovede foran dem[de it-kriminelle]"? Hvordan plejer ting lige at forløbe efter sådan en udmelding?

Kegler...

7
2. juli 2010 kl. 10:33

Så valgte jeg at prøve at skrive til supporten via deres egen hjemmeside. Da jeg klikkede på at sende, kom advarslen med sikkerhedsangreb.

Skal vi vædde på om denne besked i virkeligheden betyder "Du kører ikke med en af de få browser/OS kombinationer vi har testet" ?

Poul-Henning

12
2. juli 2010 kl. 11:19

Skal vi vædde på om denne besked i virkeligheden betyder "Du kører ikke med en af de få browser/OS kombinationer vi har testet" ?

Det tvivler jeg på. Fejlmeddelsen kommer mere som en tilfældig meddelse man får når man 3 gange ikke har haft succes med det man forsøger. System virker meget paranoid. For at undgå cpr-opslags problemet, forsøgte jeg at oprette kl. 2 am. hvor belastningen burde være lav. Efter 3 mislykkede opslag i cpr-registeret er mit cprnummer blevet blacklistet og kan ikke oprette en ID. Det viste sig at diplomatpas ikke kan anvendes, da den type pas tilsyneladende ikke er opført i cpr registeret.....

13
2. juli 2010 kl. 11:57

hvad har dit pas med det at gøre ?? Mon ikke det mere har noget med din adresse at gøre

14
2. juli 2010 kl. 12:08

Min adresse er i pt. i Danmark så det burde ikke være problemet, derimod er tjenestepas/diplomatpas ikke udstedt af borgerservice eller politiet, så den nummerserie er formodenligt ikke opført i cpr. registeret.

18
2. juli 2010 kl. 13:18

Skal man oplyse pasnummer for at få en NemID ?? Det holder da vist ikke vand. Det er jo trods alt ikke alle der har et pas. Og det er da, endnu, ikke tvunget at have. (ligesom det heller ikke er et offentligt krav med billedlegitimation)

19
2. juli 2010 kl. 13:33

Skal man oplyse pasnummer for at få en NemID ??

På nemid.nu står der tydeligt at hvis man vil bestille det online skal man have pas eller kørekort. Ellers skal man møde personligt op på et borgerservicecenter.

Hvad forestiller du ellers at du som pas- og kørekortløs kan identificerer dig over for det offentlige med?

Personligt opfatter jeg nu hverken mit pasnummer eller mit kørekortnummer som hemmeligheder - så hvor meget identifikation der er i det ved jeg nu ikke.

20
2. juli 2010 kl. 13:46

sorry, men den holder altså ikke. Er man dansk statsborger, med dansk adresse, er man fra statens side udstyret med et sundhedskort som eneste legitimation. Der er ikke krav om at man skal have hverken pas eller kørekort.

22
2. juli 2010 kl. 13:50

Der er ikke krav om at man skal have hverken pas eller kørekort.

Nej, og det er heller ikke et krav for at få NemID.

24
3. juli 2010 kl. 10:47

ved nemid er hvor manuelt det hele skal være i en digital verden......

25
5. juli 2010 kl. 10:36

så problemerne med bestillingen har ikke noget med browseren at gøre. Men jeg har ikke været inde på deres support side, så her ved jeg ikke hvad det måtte ske.

26
5. juli 2010 kl. 11:39

Jeg lejede en lånebil ved min mekaniker i onsdags og han har nu alle muligheder for at bestille mig en NemID online. Argh! Det her er ligesom min lån og spar netbank med to niveauer af passwords, hvor man kan vælge et 1234-agtigt password til første niveau (Jeg er egentlig ligeglad med om andre kan se indestående på min bankkonto). Det har de så på et tidspunkt valgt også skal give adgang til min e-boks. Hvorfor er det nu at jeg ikke er tryg ved at de her folk synes at jeg skal give dem en generalfuldmagt til en nøgle, der skal kunne logge ind på alle offentlige tjenester?

Jeg vil se om ikke jeg kan komme til at kalde NemID for NemFuldmagt lige så mange gange som jeg kommer til at læse "Den nye digitale signatur" i medierne :-(

27
5. juli 2010 kl. 12:58

En kollega gjorde mig også lige opmærksom på at mit kørekort også lister mit cpr-nr, hvilket jeg egentlig ikke havde tænkt over, så min mekaniker er faktisk udstyret med alt hvad han skal bruge. Jeg fortalte endda at bilen gerne måtte være i fin stand, fordi jeg skulle på ferie, så han kan bare bestille en NemID og så komme forbi og tømme min postkasse, når posten har været der. Og vi skal jo også alle have postkasser hængende, fordi posten ikke længere skal gå op til brevsprækken :-(

21
2. juli 2010 kl. 13:50

Nej, men de giver dig jo også stadig mulighed for at få NemID ved personligt fremmøde. Det virker som en acceptabel sikkerhedsforanstaltning i mine øjne.

Da CPR-numre er forholdsvis lette at få fat i, er det god stil at de beder om en oplysning mere som de kan krydstjekke med.

17
2. juli 2010 kl. 12:24

(slettet fordi jeg havde skrevet noget sludder)

15
2. juli 2010 kl. 12:19

...lidt i stil med "Catastrophic failure". Jeg elsker fejlmeddelelser der bare varsler dommedag uden at give nogen form for info som modtageren rent faktisk kan bruge til noget.

8
2. juli 2010 kl. 10:39

Jeg testede det, og fik fejlen. Men jeg sidder også bag en corporate firewall/proxy der piller i mine pakker, og sikkert fjerner/tilføjer headers i mine browser requests. Så jeg tror bare det er et udtryk for "checksum failed". Har desværre ikke mulighed for at teste med en "clean" forbindelse lige nu, men det kan andre lige verificere...

Man kan evt. spørge nemid om hvorfor man ikke kan bestille vha. digital signatur ?

11
2. juli 2010 kl. 10:59

Slår man "Send browserdetaljer med denne forespørgsel" fra virker det. Også med FireFox.

Det gjorde det i hvert fald for mig da jeg spurgte NemID hvorfor jeg ikke kan benytte min rigtige Digitale Signatur til at bestille en NemID.

10
2. juli 2010 kl. 10:58

og nu har jeg så bestilt NemID, fordi det virkede :(

Avs, det var en skidt beslutning.

2
2. juli 2010 kl. 10:03

De har nok ikke testet for brugere med onde hensigter :-)