Nets: Vi fik en mistanke, testede nøgler og spærrede NemID på hardware

It-folk hos Nets fik en mistanke om, at NemID på hardware kunne være sårbar overfor Roca-angrebet - mistanken viste sig at holde stik.
23

Det var test af offentlige nøgler knyttet til NemID på hardware, der gav sikkerhedsfolkene hos Nets et praj om, at løsningen var sårbar i forhold et ny angrebsteknik.

Som Version2 tidligere har fortalt, valgte Nets i denne uge at lukke ned for NemID på hardware som følge af sårbarheden.

Angrebsteknikken, kaldet Roca, gør det kort fortalt muligt at regne sig frem til privat nøgle alene med kendskab til en offentlig nøgle i et PKI-setup, som blandt andet bruges i forbindelse med NemID.

I forbindelse med offentliggørelsen af Roca, er der også offentliggjort et testværktøj, hvor det er muligt at afprøve, hvorvidt en offentlig nøgle er sårbar i forhold til Roca.

»Vi har kørt samtlige nøgler (knyttet til NemID på hardware, red.) igennem,« siger Jens Jacob Larsen, chef for NemID product and delivery hos Nets.

Alle detaljer om Roca-angrebet er endnu ikke offentliggjorte. Det er planen, det skal ske 2. november i forbindelse med et indlæg på ACM Conference on Computer and Communications Security-konferencen, der finder sted i Dallas, Texas.

Hvad de manglende detaljer angår, fortæller Jens Jacob Larsen, at testprogrammet, som Nets har anvendt, lige nu fungerer som en black box, hvor det er usikkert, hvordan sårbarheden bliver identificeret i de offentlige nøgler.

Fik en mistanke

Folkene hos Nets begyndte at teste nøglerne, da de fik en mistanke om, at løsningen kunne være sårbar i forhold til Roca.

Mistanken opstår i kølvandet på, at Roca-angrebsteknikken bliver offentliggjort 16. oktober, fortæller Thomas Sølling, chef for NemID-medarbejdersignatur hos Nets.

»Der sidder nogle sikkerhedseksperter i vores it-afdeling, som begynder at undersøge, om sårbarheden faktisk gælder for vores løsning,« siger han og fortsætter:

»Det går op for os, at nogle private nøgler på NemID Hardware, er sårbare. Og det sker i løbet af 19. oktober, at vi finder ud af, der er et problem.«

På dette kontakter Nets fat i leverandøren af løsningen, Gemalto.

»Om fredagen (20. oktober, red.) beder vi dem tage produktet væk fra deres webshop, så der ikke er flere, der kan købe hardwaren,« siger Thomas Sølling.

Sidenhen har Gemalto bekræftet overfor Nets, at hardwaren anvender det sårbare Infineon-bibliotek.

Ny løsning

NemID på hardware har efter alt at dømme ikke været særlig udbredt. Nets har oplyst, at der var under 200 certifikater, der blev spærret i forbindelse med nedlukningen. Altså relativt få ud af den samlede NemID-brugerskare.

Ikke desto mindre, så går en del af aftalen mellem Nets og Digitaliseringsstyrelsen i forhold til NemID ud på, at det skal være muligt for borgeren at opbevare sin egen private nøgle. Den mulighed er med nedlukningen af den hidtidige hardware-løsning nu forsvundet.

Jens Jacob Larsen oplyser, at Nets er ved at kigge på flere alternative hardware-løsninger fra forskellige leverandører.

»Vi kommer med en hardwareløsning, det skal vi. Men vi skal først sikre os, at den er sikker.«

Nets ønsker på nuværende tidspunkt ikke at sige noget om, hvorvidt en fremtidig model for NemID på hardware kunne tænkes at involvere flere løsninger, modsat den tidligere Gemalto-løsning, hvor der kun har været en enkeltstående valgmulighed. Nets er heller ikke klar til at melde en konkret tidshorisont ud i forhold til, hvornår en ny hardware-løsning til NemID måtte være klar.

Sponseret indholdNy masteruddannelse i cybersikkerhed analyserer fejl fra Pearl Harbour til dronekrig
Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (23)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Helge Svendsen

Må man ikke foreslå at man hos Nets kigger på andre leverandører end Gemalto? Gerne noget hvor både driver og hardware er åbent. Det vil formegentlig gøre det nemmere at rette lignende fejl i fremtiden, hvor en opdatering af firmware / driver, samt en genudstedelse af certifikatet kunne løse sådanne problemer.

https://www.nitrokey.com/

https://www.primekey.com/

  • 2
  • 0
#2 Henrik Christian Grove

Det er godt at læse at i hvert fald nogen hos Nets er klar over at de skal levere en hardware-løsning.

Og den nemme måde at undgå at komme i en situation som den nuværende er at godkende flere løsninger, så har alternativer de kan anvise til folk der bruger en kompromiteret løsning. For det kommer til at ske igen.

  • 4
  • 0
#4 Henrik Madsen

Hvad med at lave en løsning som er så den kan bruges til "alt" NemID.

Grunden til den ringe udbredelse af NemID på hardware er vel primært at det rent faktisk virker så få steder og at man stadigvæk er tvunget til at have "PapID" løsningen aktiveret sideløbende.

F.eks en dongle i stil med kodeviseren, hvor det bare var muligt KUN at benytte den løsning uden at skulle have PapID og som virker "over alt" hvor NemID kan bruges.

  • 0
  • 0
#5 Povl H. Pedersen

Hvordan kan svagheden være en blackbox ? Kig på Java implementeringen: Først tager den BigInteger 1 og shifter left med remainder af noget primtalsdivision (med en meget lille primtalsliste). Og så laver man en binær AND med en maske.

Så der er noget der tyder på, at det ikke er tilfældige primtal, men muligvis nogen der er udledt af produktet af 2 tabelopslag. Eller man har benyttet noget med at plukke primtal ud fra noget et subset af primtallene. Der er en masse sub-kategorier af primtal her: https://en.wikipedia.org/wiki/List_of_prime_numbers

Da det er dyrt at faktorisere primtal (ellers kunned e knækkes), så vælges der simple algoritmer for at generere store primtal. Der er en gammel algoritme her: https://langui.sh/2009/03/07/generating-very-large-primes/ - Hvor ROCA testen kun bruger små primes op til 167, så er tabellen hos langui.sh op til 997. Og så kører man en Rabin-Miller der med 75% sikkerhed kan sige om det er et primtal, her itererer man så indtil man har en passende sandsynlighed for at det er et primtal.

    BigInteger modulus = ((RSAPublicKey) c.getPublicKey()).getModulus();

    for (int i = 0; i < primes.length; i++) {  
        if (BigInteger.ONE.shiftLeft(modulus.remainder(primes[i]).intValue()).and(markers[i]).equals(BigInteger.ZERO)) {  
            return false;  
        }  
    }

    return true;
  • 1
  • 0
#8 Jørgen Elgaard Larsen

Det er ikke et spørgsmål om leverandører.

Problemet ligger i, at man ikke kan få lov til at generere sin egen nøgle.

En af de helt store forudsætninger for PKI er netop, at den private nøgle er ... privat.

Hvis man skal sikre, at ens private nøgle ikke er kommet til andres kendskab, kan det kun ske ved, at man selv står for at generere den og opbevare den.

Det er klart, at der ikke er mange kunder til et produkt, hvor dette ikke er tilfældet.

Selvom den primære grund til at generere sin egen private nøgle er hemmeligholdelse, vil det også gøre systemet mindre sårbar dårlig software. Der kan altid være svagheder i forskellige implementationer (f.x. Debians tilfældighedsbummert), men ved at undgå monokultur, vil færre blive ramt at den samme fejl.

  • 3
  • 0
#9 Povl H. Pedersen

Og så lige et link til når man leder efter tallene: http://elenzil.com/esoterica/encoding/

Representing large numbers with only 8 bits.

Given 8 bits ABCDEFGH, this interprets AB as a binary number N between 1 and 4 inclusive, and CDEFGH as a binary number M between 1 and 64 inclusive. The entire number is interpreted as [(the Nth prime)^(10^M)] - 2.

This gives a reasonable range of unique values from 0 to about 10^54, including 0,1,2 and 3.

.. I guess this is fairly similar to fixed-point math.

Listed below first in uh.. unencoded order, then in ABCDEFGH order.

  • 0
  • 0
#11 Michael Cederberg

Må man ikke foreslå digitaliseringsstyrelsen at bruge pengene på noget andet. Ud fra Nets kommunikation kan man læse at der er 200 brugere på denne platform.

Fordi man har gjort platformen så ubrugelig som muligt, netop for at undgå at folk valgte denne løsning.

Det ved du faktisk ikke noget om. Jeg tror det er fordi folk synes det er nemmere med et papkort/token og at disse kan bruges på alle devices. I starten (dengang det var en Java løsning) så var ønsket om at kunne bruge NemID på mobiltelefoner og tablets meget stort. I praksis er NemID stort set ikke brugt som digital signatur, men primært til authentikering.

  • 1
  • 2
#12 Henrik Christian Grove

Det ved du faktisk ikke noget om. Jeg tror det er fordi folk synes det er nemmere med et papkort/token og at disse kan bruges på alle devices

At det ikke kan bruges på alle devices er jo en del af ubrugeligheden af hardware-løsningen, så det underbygger egentlig det du foregiver at argumentere mod.

Jeg synes også hardware-løsningen er mere besværlig end papkort-løsningen, men jeg har vægtet sikkerheden omkring min personlige nøgle højere. Jeg tror også at mere end 200 ville have valgt hardware-løsningen hvis den ikke havde været så svær at bruge - og havde kunne bruges til mere.

  • 0
  • 0
#13 Morten V. Christiansen

Problemet ligger i, at man ikke kan få lov til at generere sin egen nøgle.

En af de helt store forudsætninger for PKI er netop, at den private nøgle er ... privat.

Hvis man skal sikre, at ens private nøgle ikke er kommet til andres kendskab, kan det kun ske ved, at man selv står for at generere den og opbevare den.

Det er klart, at der ikke er mange kunder til et produkt, hvor dette ikke er tilfældet.

I NemID på hardware genereredes den private nøgle på hardware, som aldrig kom i nærheden af NETS, og nøglen kunne ikke trækkes ud af dette hardware. Så i den forstand "generede man selv" den private nøgle. Man havde bare ikke mulighed for at kopiere den, Hvilket er en fordel.

Problemerne i forhold til brugbarheden var a) at man ikke kunne bruge det på bank-siden (hvor man bruger et andet nøglesystem), b) at man ikke kunne bruge det til nøgleadministration og c) at det krævede installation af propreritære drivere fra tredjepart, hvilket altid trigger en mere eller mindre berettiget paranoia.

Den lille brugerbase har også betydet, at supporten på produktet har været begrænset. Nogle browsere er f.eks. pludselig holdt op med at fungere med produktet, eller har krævet særlige indstillinger, og Nets har ikke bemærket det.

Derfor er jeg faktisk lidt imponeret over, at de fanger dette sikkerhedsproblem.

  • 1
  • 0
#14 Henrik Madsen

Det ved du faktisk ikke noget om. Jeg tror det er fordi folk synes det er nemmere med et papkort/token og at disse kan bruges på alle devices. I starten (dengang det var en Java løsning) så var ønsket om at kunne bruge NemID på mobiltelefoner og tablets meget stort. I praksis er NemID stort set ikke brugt som digital signatur, men primært til authentikering.

Jeg ved da i hvert fald at grunden til at jeg har fravalgt NemID på hardware er pga manglende useability.

NemID på hardware kan jo :

  1. Ikke bruges på netbank.
  2. Ikke bruges på en hel masse andre steder som tilbyder login med NemID.
  3. Kun fungere, hvis man har Java installeret.
  4. Ikke fungere som standalone, men kræver at man har PapID ved siden af.
  5. Kun bruges med en computer.

Systemet er jo lave så tåbeligt at man ikke kan undgå at have et PapID kort, uanset om man har NemID på hardware eller endda også hvis man har kodeviseren.

Og jeg syntes da ellers NemID var ret meget en digital signatur sidst jeg købte et hus og ejendomsmægleren sagde jeg skulle bruge NemID for at få skødet skrevet over i mit navn.

Heldigvis er huse ret dyre så når man siger at man ikke har NemID, så finder ejendomsmægleren en løsning så de kan få huset solgt alligevel..

  • 0
  • 2
#16 Michael Cederberg

At det ikke kan bruges på alle devices er jo en del af ubrugeligheden af hardware-løsningen, så det underbygger egentlig det du foregiver at argumentere mod.

Problemet er at lave en sikker hardware løsning som kan bruges alle steder. Jeg har svært ved at se en løsning som rent faktisk forbedrer sikkerheden og som ikke bliver temmelig dyr.

I NemID på hardware genereredes den private nøgle på hardware, som aldrig kom i nærheden af NETS, og nøglen kunne ikke trækkes ud af dette hardware. Så i den forstand "generede man selv" den private nøgle. Man havde bare ikke mulighed for at kopiere den, Hvilket er en fordel.

Problemet er at det at generere nøglen er en ikke deterministisk operation. Når du genererer nøglen på korten, så har du ingen mulighed for at checke om kortet har fejl eller bagdøre i operationen (som i dette tilfælde). Hvis man har en operation hvori der indgår en random generator, så bør man tænke meget over hvor random denne generator er (NSA’s og RSA Securitys narrestreger omkring DUAL_EC_DRBG viser hvor vigtigt det er).

Det er helt fint at implementere en standard krypteringsalgoritme på kortet, for der kan man verificere at den krypterer korrekt og at den ikke lækker information. Det er en deterministisk operation. Men nøglegenerering er meget problematisk.

Man havde bare ikke mulighed for at kopiere den, Hvilket er en fordel.

Det er rigtigt godt at når nøglen først er kommet ind på kortet at den så ikke kan tages ud igen. Sådan skal det være. Men i praksis lægger du en pæn portion tillid til dem der producerer kortet … hvem ved … måske er der nogle diagnostics funktioner eller fejl i implementeringen på kortet der gør at nøglen alligevel kan lækkes. Det mindste man kan kræve er at inferfacet mellem nøglekortet og computeren er standardiseret og at driveren til computeren er udviklet af nogle andre end kortet.

  1. Ikke bruges på netbank.

Fordi netbank ikke bruger digital signatur. Netbank authentikerer dig. Dine handlinger logges på netbank serveren – de signeres ikke. I princippet kunne banken skrive i loggen at du havde gjort alverdens ting og du har ingen mulighed for at modbevise det. På samme måde som alle andre steder jeg er rendt ind i når det gælder NemID.

Og jeg syntes da ellers NemID var ret meget en digital signatur sidst jeg købte et hus og ejendomsmægleren sagde jeg skulle bruge NemID for at få skødet skrevet over i mit navn.

Nej, det bruges ikke som digital signatur også selvom du havde kunnet bruge dit HW cad. Også i det tilfælde så er det blot authentikering og logning af dine handlinger.

Hvis det skulle være ”rigtig” digital signatur, så skulle tinglysningen producere et dokument som blev sendt til din computer i et veldefineret format (fx PDF). Du skal have et program på din computer som kan vise dokumentet på din skærm. Du skal også have et program der kan signere dokumentet på din computer og du skal så sende signaturen tilbage til tinglysningen.

Intet af ovenstående kan ske på nettet – alt skal ske på din computer. For så snart du bruger en webbaseret PDF viewer eller en webbaseret signatur service, så implicerer det tillid til disse services. Og hvis du først skal ud og have tillid til disse services så kan du lige så godt have tillid til tinglysningens logfil …

Så for at digital signatur kan give en sikkerhed for brugerne ud over hvad den nuværende papkort løsning giver, så skal du have en computer og noget software som du har 100% tillid til. Det er svært at forestille sig at det får en udbredelse ud over de 200 der har valgt det i den nuværende løsning.

(NemIDs nøgleviser er en lidt bedre løsningen end papkortet men ikke en grundlæggende forskellig løsning)

  • 3
  • 0
#17 Henrik Madsen

Fordi netbank ikke bruger digital signatur. Netbank authentikerer dig. Dine handlinger logges på netbank serveren – de signeres ikke. I princippet kunne banken skrive i loggen at du havde gjort alverdens ting og du har ingen mulighed for at modbevise det. På samme måde som alle andre steder jeg er rendt ind i når det gælder NemID.

For at være helt ærlig, så er jeg egentligt ret ligeglad med de tekniske detaljer som sådan.

Det eneste jeg interesserer mig for, er at få en løsning hvor jeg har mulighed for selv at opbevare min nøgle og løsningen virker til "alt".

Hvis netbank reelt set ikke er det samme som "log ind hos skat" om man så må sige, så må de kalde løsningen noget andet.

Så længe det er NemID både til login på netbank og "log på borger.dk" så bør løsningen virke til begge dele.

  • 0
  • 2
#18 Michael Cederberg

For at være helt ærlig, så er jeg egentligt ret ligeglad med de tekniske detaljer som sådan. Det eneste jeg interesserer mig for, er at få en løsning hvor jeg har mulighed for selv at opbevare min nøgle og løsningen virker til "alt".

Jeg vil også gerne have en lomme-fussionsreaktor til min bil der kører på bananskræller. Også selvom det ikke giver mening rent teknisk.

Du kan ikke få en digital signatur løsning der giver mening, uden at der skal være noget custom software på din egen maskine. Og hvis det skal give mening så skal du yde en stor indsats for at sikre din computer. For ellers kan du nemt ende med at når du tror du signerer overførsel af 100 kr til moster Oda, så har jeg hacket din computer til at signere at du sælger din førstefødte til mig for en ølkapsel …

Selvom det kan være at du og 199 andre nørder er villige til at leve med ovenstående, så er det ikke til at forestille sig at den brede befolkning skulle ønske sig sådan en løsning. Bl.a. fordi den lægger et enormt ansvar på den enkelte for IT sikkerhed.

Hvis netbank reelt set ikke er det samme som "log ind hos skat" om man så må sige, så må de kalde løsningen noget andet.

Løsningen hedder sådan set NemID … det er et godt navn. Men jeg er enig i at at tale om løsningen som digital signatur er et problem. For det er det i praksis ikke.

Så længe det er NemID både til login på netbank og "log på borger.dk" så bør løsningen virke til begge dele.

Men når nu det vil kræve en del arbejde for din netbank (og andre) at få det til at virke og der kun er 200 løsninger i omløb, så tror jeg private virksomheder vælger at bruge pengene andre steder (uden at jeg i øvrigt har noget inside information om det).

Selv hvis Nets havde lavet NemID anderledes, så tror jeg stadigvæk ikke der ville være et stort ønske om at lave løsninger der kræver et stort footprint på din lokale computer. Netbankerne findes godt nok til Android og iOS, men der er hverken lavet applikationer til Windows Mobile OS, Blackberry, Windows, macOS, Linux, etc. Og man kan ikke lave en ”browser only” løsning der er sikker …

Set i lyset af at der for en måned siden var en som på dette site mente at det var mere sikkert at have et foto et papkortet på hans mobiltelefon end et papkort i lommen, så tror jeg mere det er der man skal sætte ind. Fx ved at pensionere papkortet og i stedet tvinge alle til at bruge kodeviseren. Det vil hæve sikkerheden.

  • 1
  • 0
#19 Henrik Madsen

Du kan ikke få en digital signatur løsning der giver mening, uden at der skal være noget custom software på din egen maskine. Og hvis det skal give mening så skal du yde en stor indsats for at sikre din computer. For ellers kan du nemt ende med at når du tror du signerer overførsel af 100 kr til moster Oda, så har jeg hacket din computer til at signere at du sælger din førstefødte til mig for en ølkapsel …

Selvom det kan være at du og 199 andre nørder er villige til at leve med ovenstående, så er det ikke til at forestille sig at den brede befolkning skulle ønske sig sådan en løsning. Bl.a. fordi den lægger et enormt ansvar på den enkelte for IT sikkerhed.

Desværre for dig er der så allerede en løsning som tyske netbanker har brugt længe, som kan køres på en inficeret maskine hvor du alligevel vil være i stand til at opdage det hvis du er ved at overføre penge til en anden end den du tror, eller et højere beløb.

https://www.youtube.com/watch?v=5gyBC9irTsM

Men når nu det vil kræve en del arbejde for din netbank (og andre) at få det til at virke og der kun er 200 løsninger i omløb, så tror jeg private virksomheder vælger at bruge pengene andre steder (uden at jeg i øvrigt har noget inside information om det).

Men dette er jo en klassisk hønen/ægget debat.

Er der kun 200 brugere fordi man ikke rigtigt kan bruge hardware versionen til ret meget.

Eller kan hardware versionen ikke ret meget, fordi der er så få brugere.

Selv hvis Nets havde lavet NemID anderledes, så tror jeg stadigvæk ikke der ville være et stort ønske om at lave løsninger der kræver et stort footprint på din lokale computer. Netbankerne findes godt nok til Android og iOS, men der er hverken lavet applikationer til Windows Mobile OS, Blackberry, Windows, macOS, Linux, etc. Og man kan ikke lave en ”browser only” løsning der er sikker …

Selvfølgelig kan man lave en browser-only løsning som er sikker.

Det kræver blot at sikkerheden ligger i en ekstern enhed. Man kan vel sige at Chip-Tan systemet er beviset for at du tager fejl eftersom det jo netop ER en browser-only løsning på min computer.

Som NemID er skruet sammen idag er det jo heller ikke en skid sikkert, vi har jo set hvordan man med forholdsvis simple midler kan lave et Man in the Middle angreb.

Lige nu er den primære grund til at denne svaghed ikke udnyttes mere, nok mest at Danmark er så lille et land at banditterne kan finde større penge ved at hacke andre systemer.

Set i lyset af at der for en måned siden var en som på dette site mente at det var mere sikkert at have et foto et papkortet på hans mobiltelefon end et papkort i lommen, så tror jeg mere det er der man skal sætte ind. Fx ved at pensionere papkortet og i stedet tvinge alle til at bruge kodeviseren. Det vil hæve sikkerheden.

Jamen vi er helt enige om at papkortet er forældet, det var det sådan set allerede dengang man kom med NemID og det var der også kritiske røster som fremførte dengang.

Men hvorfor så ikke modernisere systemet og i det mindste tilbyde folk at de kan få en kodeviser med deres selvgenererede nøgle i og så bruge den kode som genereres af dongle'n som selve nøglen, frem for idag hvor ens koder og engangskoder blot bruges til Single Sign On løsning.

  • 0
  • 0
#20 Michael Cederberg

Desværre for dig er der så allerede en løsning som tyske netbanker har brugt længe, som kan køres på en inficeret maskine hvor du alligevel vil være i stand til at opdage det hvis du er ved at overføre penge til en anden end den du tror, eller et højere beløb.

Det er ikke rigtigt. Det er ikke en løsning der kører på en inficeret maskine. Det er en løsning der kører på en extern dedikeret sikker computer. En meget simplistisk computer, men alligevel en computer. Browseren er blot en kommunikationskanal i dette tilfælde.

Men dette er jo en klassisk hønen/ægget debat. Er der kun 200 brugere fordi man ikke rigtigt kan bruge hardware versionen til ret meget. Eller kan hardware versionen ikke ret meget, fordi der er så få brugere.

Det nye hotte er at folk kan betale vha. deres mobiltelefon. Sådan at de ikke skal slæbe rundt på et plastickort. Virksomheder opgiver i stigende grad secure HW tokens og skifter i stedet til app generede tokens på folks smartphone. Fordi det er billigere og fordi folk ikke gider rende rundt med mange dimser. Derfor vil din ultrasecure løsning ikke få mange brugere.

Selvfølgelig kan man lave en browser-only løsning som er sikker. Det kræver blot at sikkerheden ligger i en ekstern enhed. Man kan vel sige at Chip-Tan systemet er beviset for at du tager fejl eftersom det jo netop ER en browser-only løsning på min computer.

Som sagt er det ikke længere en browser only løsning.

Når det er sagt har ChipTAN flere gange været oppe her (måske er det dig der har bragt det frem?). I mine øjne er det fin og meget sikker løsning:

  • Den kører på dedikeret sikkert hardware
  • Den har et display som viser hvad man signerer
  • Den kan et keyboard man fysisk skal trykke på en knap før noget signeres

Men for at gøre løsningen billig og handy, så har den også en række svagheder:

  • Displayet er for lille til at bruge den til andet end betalinger. Hvis man skal kunne signere låneaftaler, tinglysninger eller ansøgninger om optagelse i børnehave så skal der et meget større grafisk display til.
  • Kommunikationskanalen mellem computeren og ChipTAN har meget lav båndbredde og derfor håbløst til mere komplicerede ting.
  • Hardware og software leveres af banken og dermed kræves der at brugeren stoler på samme. Det giver ikke mening når netop bank og bruger juridisk er modparter i transaktionen.

Hvis man skal lave en mere generel ChipTAN løsning, så skal man lave en form for tablet med en skærm der kan vise dokumenter. Den skal også have en kommunikationskanal der kan håndtere "dokumenter" i megabyte størrelse – fx WiFi eller bluetooth. Det skal være en open source løsning, hvor devicen ikke leveres af modparten men hvor brugeren selv vælger leverandør. I praksis er dette en separat full feature computer. Det vil være en sikker løsning hvis computeren er sikker.

At holde en generisk løsning sikker over tid, samt at få folk til at bruge den vil være det svære. Specielt hvis de skal hive nogle et halv hundrede kroner op ad lommen for at være med.

Som NemID er skruet sammen idag er det jo heller ikke en skid sikkert, vi har jo set hvordan man med forholdsvis simple midler kan lave et Man in the Middle angreb.

NemID er sikkert nok til det det bruges til. Og det er kernen når man snakker sikkerhed.

Jamen vi er helt enige om at papkortet er forældet, det var det sådan set allerede dengang man kom med NemID og det var der også kritiske røster som fremførte dengang.

Papkortet er ikke forældet. Det er en fin og sikker løsning, så længe folk forstår hvad two-factor authentication går ud på, og at de derfor ikke skal tage billeder af papkortet men netop gå rundt med det. At tilføje elektronik gør ikke løsningen mere sikker. Desværre viser det sig at folk ikke forstår two-factor authentication – det er det der er galt ved papkortet. Hvis vi havde et ultrasecure HW store for nøgler så ville vi nok alligevel rende ind i folk som gemte backup af nøglerne på dropbox (hvis det var muligt).

Men hvorfor så ikke modernisere systemet og i det mindste tilbyde folk at de kan få en kodeviser med deres selvgenererede nøgle i og så bruge den kode som genereres af dongle'n som selve nøglen, frem for idag hvor ens koder og engangskoder blot bruges til Single Sign On løsning.

Fordi det kun hæver sikkerheden hvis du går hele vejen. Det nytter ikke at udskifte din hoveddør med en fra en bankboks, hvis dine vægge er lavet af krydsfiner og dine vinduer kan åbnes med en skruetrækker.

  • 2
  • 0
#21 Jan Vennike

Her 2 måneder efter har jeg rykket Nets for en opdatering - men de henviser blot til at de er "arbejder på at løse problemet". Må sige de ikke rider samme dag som de sadler :-(

Ikke fordi jeg mangler min NemID - det er heldigvis yderst sjældent jeg har brug for den og kan trods alt læse min meget få EBoks beskeder fra det offentlige på tlf, hvor der ikke kræves NemID - sjovt nok.

  • 2
  • 0
#23 Henrik Madsen

Her 2 måneder efter har jeg rykket Nets for en opdatering - men de henviser blot til at de er "arbejder på at løse problemet". Må sige de ikke rider samme dag som de sadler :-(

Ikke fordi jeg mangler min NemID - det er heldigvis yderst sjældent jeg har brug for den og kan trods alt læse min meget få EBoks beskeder fra det offentlige på tlf, hvor der ikke kræves NemID - sjovt nok.

Jeg syntes egentligt at det har været rystende tydeligt lige fra starten af at Nets slet ikke har ønsket denne løsning og har forsøgt sig med et "selvopfyldende profeti" hvor man har kunnet påstå at der intet ønske er i befolkningen for en sådan løsning.

Dette har man så gjort ved, først at komme med løsningen meget sentm, derefter at begrænse den så den kun virker nogen steder og med krav om at man skal have et papkort som backup og senest hvor de opdager en fejl og ikke ligefrem har travlt med at fikse problemet.

Der er kun een grund til at de er kommet med en løsning til at starte med og det er at de var kontraktligt forpligtet til det.

  • 2
  • 0
Log ind eller Opret konto for at kommentere

Routing-fejl sendte Nem-login til tælling i 17 timer: Borgere kunne ikke få corona-svar

13
Job fra Jobfinder
Mest debatteredeMest læste
Webinars and Whitepapersopen_in_new
Whitepaper
Whitepaper
Digital transformation styrker den grønne omstilling
Se flereopen_in_new
Jobfinder Logo
Upload dit CV
Få nye job via e-mail
Upload din jobannonce
Job fra Jobfinder