Nets har fundet erstatning for sårbarhedsramt NemID-hardware
Nets har fundet en erstatning for den hardware-løsning med NemID, som blev suspenderet i oktober 2017 som følge af en sårbarhed. Det fremgår af en mail, Nets har udsendt 12. januar.
»Som du blev informeret om pr. e-mail den 24. oktober 2017, spærrede vi dit NemID på hardware, da vi blev bekendt med, at der var en sårbarhed på nogle eksemplarer af Gemaltos IDPrime.Net hardware, som anvendes til NemID på hardware,« står der i mailen, som Version2 har fået tilsendt en kopi af.
Forskere har fundet frem til en sårbarhed i en nøglegenererings-algoritme, som bliver anvendt i chips fra Infineon Technologies AG. Sårbarheden kaldes Roca (The Return of Coppersmith's Attack), og den gør det reelt muligt at regne sig frem til et offers private nøgle ud fra kendskabet til den offentlige nøgle. Roca-angrebet kan lade sig gøre i praksis for nøgler med en længde på op til 2048 bits. Der ligger flere værktøjer online, som gør det muligt at teste, om en nøgle er sårbar over for Roca-angrebet. Forskerne vurderer, at det vil koste op til 40.000 dollars i Amazons skytjeneste at knække en 2048-bits nøgle, mens prisen for en 1024-bits nøgle er op til 76 dollars. Systemet med offentlige og private nøgler gør det blandt andet muligt for at verificere, hvorvidt en person er i besiddelse af en privat nøgle, alene ud fra kendskabet til den offentlige nøgle. Kilde: https://crocs.fi.muni.cz/public/papers/rsa_ccs17 mfl.Roca-angrebet
I oktober spærrede Nets certifikater knyttet til NemID på hardware, efter virksomheden havde testet sig frem til, at løsningen var sårbarhed over for det, der har fået navnet Roca-angrebet.
Dette angreb går ud på, at det er muligt at regne sig frem til en persons private nøgle alene på baggrund af den offentlige nøgle.
Da den offentlige nøgle i sagens natur er kendt, kan det være et ganske stort problem.
Såfremt det lykkes en angriber at regne sig frem til et offers private nøgle, så kan angribere give sig ud for at være offeret - eksempelvis i forbindelse med digitale underskrifter.
NemID på hardware vil sige, at borgeren selv ligger inde med sin private nøgle, modsat den mere udbredte løsning, hvor den private nøgle er lagret centralt i Nets-regí.
Skal tilbyde hardware-løsning
Hardware-løsningen er efter alt at dømme ikke været særlig udbredt. Nets oplyste således tilbage i oktober til Version2, at under 200 certifikater blev spærret i forbindelse med nedlukningen. Altså relativt få ud af den samlede NemID-brugerskare.
Ikke desto mindre så går en del af aftalen mellem Nets og Digitaliseringsstyrelsen i forhold til NemID ud på, at det skal være muligt for borgeren at opbevare sin egen private nøgle.
Og nu er der altså fundet en erstatning for Gemalto-produktet. I skrivelsen fra 12. januar oplyser Nets videre, at det nye hardware-produkt er en ePass2003 fra Feitian.
»Vi planlægger at åbne for bestilling af NemID på hardware den 25. januar 2018. Vi opdaterer denne side med links til vejledninger om, hvordan man gør sin hardware klar til brug,« fremgår det af Nets' hjemmeside på nets.eu.
I en opfølgende mail forklarer pressemedarbejder hos Nets Mads Allingstrup, at NemID Nøglefilsprogram v1.7 bliver frigivet 25. januar, og at det skal bruges i forbindelse med opsætningen.
»Derudover er alt, som det plejer at være,« står der i mailen.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
