NemID's akilleshæl: Adgangen går via Californien
Da den seneste Java-opdatering fra it-mastodonten Oracle i Californien tirsdag 15. oktober begyndte at rulle ind på danskernes computere, betød det samtidig, at en stadigt mere central del af den danske infrastruktur – NemID – ikke længere fungerede.
Uanset hvor ansvaret ligger for dette kollaps, så vidner begivenheden om de problemer, der kan opstå, når en væsentlig del af landets digitale infrastruktur hviler på en tredjeparts platform.
Oracle gør sig næppe store overvejelser om den danske NemID-implementering, før en ny version af Java frigives. Og dermed har den danske stat og Nets – som for staten og bankerne har udviklet NemID – meget begrænset kontrol over, om NemID går i sort efter en opdatering af Java.
I den forbindelse er det ingen trøst, at NemID er i gang med at udfase brugen af Java. I forbindelse med kollapset gentog Nets ellers i medierne meldingen om, at der er en ny version af NemID på vej, baseret på Javascript – der trods navnet ikke har noget med Java at gøre.
Men hovedargumentet for det skifte handler ikke om stabilitet og sikkerhed. Det handler om, at Javascript – modsat Java – også fungerer på mobile platforme. Hvad angår stabiliteten, kan et skift til Javascript faktisk vise sig at forværre problemet.
For mens Java-løsningen i udgangspunktet kører på en homogen platform – nemlig den, som Oracle leverer – så kører Javascript-løsningen direkte i browseren. Dermed skal NemID kunne fungere på endnu flere platforme, nemlig browsere som Chrome, Internet Explorer, Safari og Firefox. Og heller ikke her har Nets kontrol over, hvornår og hvordan de bagvedliggende firmaer – Google, Microsoft, Apple og Mozilla – udsender opdateringer, som i princippet kan knække funktionaliteten i NemID.
Et illustrativt eksempel i frisk erindring var, da Version2 under overskriften ‘Nyt NemID-kiks: Internet Explorer 11 afvist af offentlige websider’ kunne fortælle, at Microsofts nyeste browser ikke uden videre fungerer med NemLogin, som er statens NemID-baserede login-portal, der giver adgang til blandt andet skat.dk og borger.dk.
Det konkrete tilfælde havde tilsyneladende ikke noget med browserens Javascript-håndtering at gøre, men ikke desto mindre var fejlen netop resultatet af en opdatering af et stykke software hos brugerne, som hverken Nets eller staten har kontrol over – men som alligevel danner basis for adgangen til borgernes digitale selvbetjening hos offentlige myndigheder.
I modsætning til situationen med en Java-baseret NemID-løsning er det dog forholdsvis enkelt at skifte til en alternativ browser, hvis fremtidens Javascript-baserede NemID skulle fejle i én browser-model – som it-sikkerhedsekspert og Version2-blogger Henrik Kramshøj fra Solido Networks gør opmærksom på.
Det Javascript-baserede NemID er bebudet klar i 2. kvartal næste år. Hvor godt løsningen kommer til at spille sammen med forskellige browsere og styresystemer, må tiden og den konkrete implementering vise. Men Henrik Kramshøj påpeger, at det formentlig kommer til at afhænge af, hvor meget af NemID-koden der kører på klienterne – altså i brugernes forskellige browsere, browserversioner og styresystemer – og hvor meget der kører centralt hos Nets. Jo mere kode, der skal køre på et ukendt antal klient-konfigurationer, des større er sandsynligheden for, at noget går galt.
En anden Version2-blogger, software-udvikleren Poul-Henning Kamp, slår under overskriften ‘Keep it simple NemID’ til lyd for, at Nets skærer ned på kompleksiteten i NemID og i stedet læner sig op ad gængse metoder og standarder til login og sikkerhed.
Under alle omstændigheder er de seneste NemID-problemer endnu en påmindelse om, at der ikke findes en backup til danskernes digitale adgang til offentlige myndigheder. Og at danske myndigheder dermed ikke selv er herrer over, hvornår den digitale dør smækker i hovedet på borgerne.
Under det seneste NemID-kollaps meddelte Digitaliseringsstyrelsen i første omgang, at der ikke findes steder i det offentlige, hvor NemID er eneste indgang for borgerne – og nævnte en telefonopringning som et eksempel på et alternativ. Efterfølgende ville Digitaliseringsstyrelsen over for Version2 dog ikke garantere, at det faktisk forholder sig sådan.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
