Nets afviser bagdør i NemID

9. januar 2013 kl. 07:4610
Nets afviser bagdør i NemID
Illustration: Christian Panton.
En mulighed for at bruge en særlig Administrator-pinkode på NemID's hardware-token, har vakt opmærksomhed hos blogger. Nets afviser al grund til bekymring.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Da Nets i oktober 2012 lancerede NemID på hardware, var der mange privacy-bekrymrede borgere, der drog et lettelsens suk:

Endelig var der mulighed for at få en digital identitet, hvor borgeren selv kontrollerede den private nøgle - og ikke som med papkort-modellen, hvor Nets opbevarer både den offentlige og den private nøgle.

Nu har den krypteringsinteresserede blogger og internetaktivist Christian Panton kigget nærmere på den særlige USB-token, som NemID på hardware skal bruges sammen med. I et blogindlæg har han beskrevet, hvordan han har fundet en særlig Admin-pinkode i den medfølgende software fra leverandøren Gemalto.

»Hvis man taster koden forkert 5 gange, låses token permanent. Således skriver NemID på deres hjemmeside. Hvad de ikke skriver er, at det kun er den såkaldte “User-pin” som låses og pinkoden låses ikke permanent. Den kan åbnes igen (unblockes) ved hjælp af en Admin-pin. Dette fremgår tydeligt af konfigurationværktøjerne til smartcard’et som sidder inden i det hardware token, som NemID siger at vi skal bruge,« skriver Christian Panton i blogindlægget.

Artiklen fortsætter efter annoncen

Dermed kunne man tro, at en tredjepart med fysisk adgang til ens NemID på hardware-token og kendskab til admin-passwordet kunne udgive sig for at være indehaveren.

Christian Panton har forelagt problematikken for Nets, hvilket har affødt endnu et blogindlæg.

»Et standard kort fra Gemalto er “født” med user-PIN bestående af 4 nuller. Det har vi bedt Gemalto ændre til maskingererende PIN’s for NemID edition. Som du sikkert har konstateret, skriver Gemalto user-PIN på kortet (på den del, der ikke ind indsættes i læseren) og under aktiveringen giver vi brugeren mulighed for at ændre denne PIN. Under udviklingen konstaterede vi imidlertid, at kortene default var født med samme admin-PIN (40 nuller så vidt jeg husker). For at undgå misbrugssituationer, hvor admin-PIN ikke er blevet ændret, bad vi Gemalto lave en version, hvor admin-PIN sættes til tilfældige maskingenererede værdier,« skriver Nets' PKI-ekspert Peter Lind Damkjær i sit svar til Christian Panton.

Christian Panton er grundlæggende tilfreds med svaret, men peger dog på, at det principielt er betænkeligt, at token-ejeren ikke ved, om der findes en liste over de maskingenererede admin-pinkoder - og hvem der i givet fald har adgang til den.

Læs blogindlæggene i deres helhed på christian.panton.org.

10 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Fortsæt din læsning

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
9
11. januar 2013 kl. 10:30

Et Post system der ikke kan sende dokumenter videre til andre systemer..

Kan man sige "not invented here"...

Man laver et crappy system - og genopfinder basis teknologi, men gør det værre og mindre funktionelt end det der i forvejen eksisterede.

10
11. januar 2013 kl. 11:01

Helt enig- drop det !

8
9. januar 2013 kl. 14:09

Så GLEM dog det GlemID !

Hvor længe skal vi vente på de slatne politikkere - KOM DOG I GANG med at få det system gjort mere sikkert - HALLO ... nej, de sover stadig ... deres løn ryger jo også ind på kontoen alligevel !

7
9. januar 2013 kl. 14:01

Et system med skjulte gif-bagdøre, skjulte admin passwords og deslige er ikke noget der er værd at stole på.

3
Indsendt af Henrik B Sørensen (ikke efterprøvet) den ons, 01/09/2013 - 08:37

Kunne godt tænke mig at vide hvor mange IT professionelle ( med kendskab til sikkerhed ), som rent faktisk har tillid til NemID.

5
9. januar 2013 kl. 08:51

Kunne godt tænke mig at vide hvor mange IT professionelle ( med kendskab til sikkerhed ), som rent faktisk har tillid til NemID.

De færreste - håber jeg... Et hviklen-som-helst system der kræver 100% tillid til en 3. part har sikkerhedsproblemer.

6
Indsendt af Henrik B Sørensen (ikke efterprøvet) den ons, 01/09/2013 - 09:02

Michael,

Det er lidt samme holdning, jeg har :-(

1
9. januar 2013 kl. 08:27

Hvad sker der hvis admin pinkoden tastes forkert x gange?

2
9. januar 2013 kl. 08:36

Hvad sker der hvis admin pinkoden tastes forkert x gange?

Vi må antage at chippen ristes af højspænding, en lille sprængladning pulveriserer chippen og til sidst ætses resterne i syre.

...det kan også være at jeg har set Mission Impossible for meget men det ville gøre mig en hel del tryggere.

4
Indsendt af Henrik B Sørensen (ikke efterprøvet) den ons, 01/09/2013 - 08:44

SEJT!!! Det lyder som et sikkerhedssystem, jeg lagde ind i mine skoleopgaver på studier, efter jeg fandt ud af, at en anden elev kopiere mine opgaver: Den ristede spor 0 på harddisken, hvis man tastede forkert kode ;-)

Vil STRAKS lægge en sikkerhedsforanstaltning ind i vores nye software : Hvis man taster forkert kode, sletter jeg alle systemdatabaserne, sletter alle brugere fra Exchange / AD, afinstallerer alle servere og smadrer HyperV installationerne. Hmm.. Hvordan hulen får jeg udvidet den løsning til, at et par ampere sendes igennem administratoren og resten af IT folkene?

KAFFE!!!!