Ny digital signatur følger ikke loven - det var for dyrt

Den kommende digitale signatur NemID lever ikke op til EU-lov om digitale signaturer. Det ville nemlig blive for dyrt, siger IT- og Telestyrelsen, der kalder loven helt irrelevant.
  1. juli får Danmark ny digital signatur: NemID slippes løs med en løsning, der adskiller sig på flere områder fra den gamle, blandt andet med centralt placerede private nøgler, som mange it-kyndige er kritiske overfor.

Men også juraen bag NemID har været diskuteret, for NemID lever ikke op til kravene i det EU-direktiv om 'elektroniske signaturer' fra 1999, som definerer løsninger for såkaldt kvalificerede certifikater baseret på hardware eller software.

At NemID dermed skulle være ulovlig, afviser IT- og Telestyrelsen på det bestemteste.

»Udbyderne af certifikater skal ikke overholde den lov, med mindre udbyderne markedsfører, at signaturen eller certifikatet er kvalificeret,« siger Palle H. Sørensen, centerleder for Digital Signatur hos IT- og Telestyrelsen.

Han mener, at diskussionen om lovgrundlaget er meningsløs - og i øvrigt lever den nuværende digitale signatur heller ikke op til kravene i loven. I Danmark har TDC i en periode udbudt kvalificerede certifikater, hvor der kun blev udstedt omkring 600 af dem. Der var simpelt hen ingen efterspørgsel, forklarer han.

»Direktivet er fra 1999 og har aldrig nogensinde fået medvind, fordi der ikke har været et marked for de krav, loven stiller op,« siger Palle H. Sørensen.

For dyrt at følge kravene

Problemet med loven er, at de meget specifikke krav gør, at barrieren for at udbrede kvalificerede certifikater på hardware i en national løsning er meget høj, fortæller centerlederen.

»Hvis et kvalificeret certifikat skal give mening, skal den private nøgle ligge i noget hardware, for eksempel et chipkort, som er certificeret efter nogle ganske givne standarder. Det medfører store omkostninger og hæmmer samtidig udbredelsen, fordi alle brugerne skal have en kortlæser for at bruge signaturen,« siger han.

»Så teknologien er ikke moden til det endnu. Men når vi har fået den nye digitale signatur i luften, vil arbejde på at migrere op til den løsning, som er beskrevet i loven,« siger Palle H. Sørensen.

Tjekker pas-nummer

Bortset fra certificeringen af hardwaren til opbevaring af nøglerne er NemID klar til at leve op til de øvrige krav i EU-reglerne. Der skal blot tilføjes et felt i certifikatet, som viser, at det er et kvalificeret certifikat, fortæller centerlederen.

Han regner med, at den hardware, som NemID i dag er baseret på, om nogle år vil kunne blive certificeret efter direktivets krav. Under alle omstændigheder vil der allerede i 2011 blive udstedt certifikater på chipkort, der afhængig af efterspørgslen vil kunne blive certificeret efter direktivets standarder.

Kravet om, at man enten skal møde personligt op, eller være kendt i forvejen, klares ved at borgerne allerede er kendt i deres netbank og giver sit samtykke, eller ved at kræve pas- eller kørekort-nummer, når certifikatet skal udstedes.

»Det er således ikke nødvendigt at møde personligt frem. Hvis man tidligere er mødt op personligt og har fået et dokument, kan man godt online få verificeret sin identitet,« siger Palle H. Sørensen.

Proceduren inkluderer også breve med koder, der bliver sendt til folkeregister-adressen, Løbende vil også kortene med engangskodeord blive sendt til den adresse.

Læs også:Danid til kritikerne: Få din decentrale, private nøgle til jul

Bag NemID står DanID, et firma under PBS, som ejes af de danske banker. Når NemID lanceres, vil alle netbankkunder i Danmark i løbet af efteråret blive nødt til at få en NemID for at logge ind. Det skal sikre den massive udbredelse af den digitale signatur, som den nuværende løsning aldrig opnåede.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (54)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Niels Dybdahl

Hvis et kvalificeret certifikat skal give mening, skal den private nøgle ligge i noget hardware, for eksempel et chipkort, som er certificeret efter nogle ganske givne standarder. Det medfører store omkostninger og hæmmer samtidig udbredelsen, idet alle brugerne skal have en kortlæser for at bruge signaturen,

Hvad er problemet i at bruge en USB-forbindelse? Det lyder som om at han ikke har sat sig ind i problemet.

Peter Mogensen

Palle H. Sørensen skulle skamme sig.

Iøvrigt lyder det nu pludselig som om at hvis man vil gøre brug af de ikke-centralt lagrede "signaturer", der udstedes i 2011, så skal man først have en af den andre for at "netbanken" kan kende en ?!!

Jens Schumacher

Ja, den passer uden tvivl fint til en USB port, men kortlæseren skal jo stadig anskaffes.

Det manden mener er. Hvorfor en i helvede putte chippen på et kort i stedet for at bygge den direkte ind i en USB pind. Der findes masser af hardware token løsninger som består af en usb pind med indbygget chip.
Argumentet om kortlæser er dybt debilt.
Vi kan også placere chippen på månen. Så er det kun brugere med egen rumfærge der kan bruge NemId. Det er nogenlunde lige så logisk som at smække chippen på et kort.

Peter Mogensen

Det er nogenlunde lige så logisk som at smække chippen på et kort.

Og dog... kort-formfaktoren passer noget bedre i ens pung.
Men anyway... hvis man skal brueg 3-5 millioner af dem, så er det vel kun et politisk spørgsmål at få sat det igang.

Rene Madsen

Hvorfor kan jeg ikke få lov til blot at sende dem min pgp public key og så er det slut, så kan jeg selv vælge, hvordan jeg vil opbevarer min private nøgle.

Hvorfor kan jeg ikke få lov til at benytte min ssh-keygen public key?

Lad nu borgeren bestemme, hvad de vil anvende og ikke presse en løsning ned over alle borgerne.

Kristian Larsen

Er jeg den eneste som studser lidt over at f.eks. et kørekorts nr. er nok til at få en NemID nøgle - nu har vi set utallige eksempler på ID snyd mht. banklån oa. netop baseret på stjålne pas, sygesikringsbeviser og kørekort.

Nuvel, systemet er jo ikke til for borgeren so who cares....

Michael Nielsen

lol de fleste USB krypto tokens designed til at følge de "Besværlige" standarder mv.. koster mellem 20-60 dollars, omkring 100-300dkk.

Så man bruger en millard på at opfinde noget der ikke holder vand sikkerhedsmæssigt, men vil ikke bruge de 500 000 det kræves for at gøre det ordenligt ?

Hvorfor skal staten blande sig i hvordan vi opbevarere nøgler, hvis jeg mener jeg kan opbevare mine nøgler sikkert, så er det jo min sag.

Brian Jacobsen

"Kravet om, at man enten skal møde personligt op, eller være kendt i forvejen, klares ved at borgerne allerede er kendt i deres netbank og giver sit samtykke, eller ved at kræve pas- eller kørekort-nummer, når certifikatet skal udstedes."

Det må betyde at man kan kidnappe direktør Jensen - med tegnedrengen - og smide ham i kælderen et par dage.
Med hans kørekort kan man tilsyneladende få et NemID, der giver adgang til bankoplysninger, sund/sygdomsoplysninger, og alle andre oplysninger (i hvertfald når systemet er fuldt indført). Det sker sikkert over nettet, så man behøver ingen gang at bryde ind i hans hus.
Den gode nyhed er at man ikke længere behøver at skade manden for at få kontonumre og passwords, man kan bare stikke hånden ned i hans bag/inderlomme.

Gad vide hvor mange kørekort og pas der bortkommer i Danmakr om året? Hver eneste af de uheldige står nu overfor at miste hele deres (virtuelle) identitet.

Holy shit, jeg skal have fat i en stor touch og streget nogle numre over ASAP =:-O

(Total uvidenhed om NemID og generel paranoia kan forekomme)

Peter H. Rankin Hansen

Jeg undrer mig over hvordan bankverden gang på gang ikke blot hopper over der hvor gærdet er lavest, men til stadighed insisterer på at kravle under, når det gælder sikkerhed - og så samtidig forventer, at vi skal have tiltro til deres produkter.

Jeg ved, at lige så snart jeg modtager mit nemid med posten, så taber jeg det (ups, jeg er frygtelig klodset). Så bliver jeg selvfølgelig nødt til at sætte hele alarmberedskabet i gang og få det afmeldt og have tilsendt et nyt - som jeg omgående taber (hovsa).
Jeg tror, at det bliver dyrt for dem, men jeg er bange for, at min klodsethed først ophører i det øjeblik de leverer en forsvarlig løsning - underligt sammenfald ;o)

Jesper Kildebogaard

@Michael Nielsen

Så man bruger en millard på at opfinde noget der ikke holder vand sikkerhedsmæssigt, men vil ikke bruge de 500 000 det kræves for at gøre det ordenligt ?

Hvis NemID udbredes til hele den voksne, danske befolkning - eller i hvert fald de tre millioner netbank-kunder, som ikke har andet valg - vil regningen for ekstra hardware ifølge dine priser være mellem 300 og 900 millioner kroner, og ikke den halve million, du skriver. Herfra skal udgifterne til engangskode-kortene selvfølgeligt trækkes fra - dem kender jeg ikke.

vh.

Jesper
Version2

Kristian Larsen

@Jesper:

Hvis vi nu bare som tankeeksperiment siger at engangskodekortene koster ca. 10 dkk stk. (inkl. forsendelse) og 3 mil danskere i gennemsnit bruger 4 kort om året så er prisen altså:
(3 mil x 4) x 10
12 mil x 10
120 mil

Derudover må der formodes at være en vis mængderabat ved køb af 3+ millioner enheder på en gang, så det er ikke svært at forestille sig at nettoudgiften vil være ca. 500 millioner.

Knud Larsen

Ja bankerne tabte sagen om digital signatur og hævnede sig ved at fastholde egen login code.
Dette er heller ikke en digital signatur.
Som brugere og skatteborgere gider vi ikke have så mange tåbelige systemer, til ting vi ofte kun bruger få gange.
Tag jer sammen også politikkerne og skab en international anerkendt løsning.
Hvis det bare er en login, kan den norske løsning med en secure id da bruges uden videre. Her kan man logge ind til flere banker med samme login og secureID. (udstedt fra en bank)

Michael Larsen

Jeg er ikke IT-mand, langtfra, men jeg læser med for at blive klogere. Derfor tillader jeg mig at spørge; kan du uddybe dit synspunkt Kyllesbeck ? Jeg sidder på et kontor og administrerer f.eks. faderskabsanmeldelser. Der skal man kunne bruge nem-id som digital signatur, og den bliver da også markedsført med ordene; "NemID er den nye digitale signatur. Det er din adgang til både offentlig og privat selvbetjening på internettet."

Peter Mogensen

den bliver da også markedsført med ordene; "NemID er den nye digitale signatur. Det er din adgang til både offentlig og privat selvbetjening på internettet."

Ja, den bliver markedsført som en officiel digital signatur - undtagen når nogen spørger ind til lov om digitale signaturer og problemerne ved produktet.

Nej, NemID skal for himlens skyld ikke bruges til noget som helst andet end et fælles loginsystem til PBS-relaterede ting.

Hvis man begyndte at bruge det bras til egentlige signatur-opgaver (og kryptering), så ville man stå med at meget alvoligt demokratisk problem.

Hvornår vågner politikerne op?

Niels Dybdahl

Kan du uddybe dit synspunkt Kyllesbeck ?

Til Michael Larsen: Kyllesbeck nævnte at NemID ikke kan bruges til f.eks at signere emails med. Men den hidtidige signatur kan man signere en email direkte i et almindeligt emailprogram, så modtageren kan være sikker på hvem afsenderen er (sådan burde det have været, men desværre klokkede TDC i implementeringen)

Så vidt jeg ved er sådan en signering juridisk bindende.

DanID har selvfølgelig mulighed for at tilbyde en tilsvarende webløsning. Mon de gør det?

Med den hidtidige signatur kan man også kryptere en email så kun modtageren kan læse den. Dette er nok lidt sværere at implementere som webløsning, men nok ikke umuligt.

Som offentlig myndighed (og sikkert også private) vil vel kunne sende dokumenter til DanID til at blive signeret med ens private nøgle (hvilket f.eks kunne bruges ved en faderskabsanmeldelse).

Den hidtidige signatur havde en levetid på 2 år (hvilket var årsagen til at jeg droppede den). Hvis den nye har ligeså kort levetid, så har jeg svært ved at se ideen med at signere dokumenter med den. I så fald er det kun det dyreste loginsystem som hidtil er skabt.

Peter Mogensen

DanID har selvfølgelig mulighed for at tilbyde en tilsvarende webløsning. Mon de gør det?

Med den hidtidige signatur kan man også kryptere en email så kun modtageren kan læse den. Dette er nok lidt sværere at implementere som webløsning, men nok ikke umuligt.

Øh???

Altså - hvis vi nu antager at en "webløsning" kun har standardiserede værktøjer til rådig (HTML, Javascript, SSL mv. **), så er problemet jo med signaturer at du enten skal have noget kode du har fået via nettet til at have adgang til din private nøgle, eller (alternativt) uploade din private nøgle til et server-side system, der signerer din email. Begge dele hul i hovedet.
Ang. kryptering af emails, så skal du have det samme kode til at kryptere noget du har skrevet med en nøgle som du stoler på (kun) er modtagerens.
Det er en smule mindre hul i hovedet, da der kun vil blive brugt offentlig tilgængelig information, men du skal dog stole på din service-udbyder i forhold til den konkrete mail.

Så hvordan du kommer til at det er sværere at kryptere end at signere ved jeg ikke. Begge dele dur ikke med en webløsning, men at signere er afgjort mere problematisk end at kryptere (eller validere).

**: Det ville iøvrigt ikke gøre det bedre, hvis vi havde flash eller alskens anden propritært stillet til rådighed af "webløsningens" ejer.

Niels Dybdahl

...eller (alternativt) uploade din private nøgle til et server-side system, der signerer din email.

I DanIDs system befinder de private nøgler sig netop på deres server. Så hvis de laver et webmailsystem, som man kan sende fra (noget lignende gmail eller hotmail), så kan de jo signere med det samme. Det ville ikke være vildt svært at implementere.

Så hvordan du kommer til at det er sværere at kryptere end at signere

Krypteringen er nem nok. Det gøres jo med modtagerens offentlige nøgle, så det er ikke anderledes end hidtidig. Men når modtageren så modtager sin email hjemme i Outlook Express eller Thunderbird og den private nøgle befinder sig hos DanID, så vil modtageren være nødt til at uploade sin email til DanID for at få den dekrypteret og det synes jeg er besværligt.

Daniel Udsen

Det der er sket med danID er at man har taget den mest almindelige brug af digital signatur nemligt det at kunne logge ind på en officiel hjemmeside og gjort det til hele funktionaliteten af DanID. Fordi de jo kan det samme(bruges til at logge på borger.dk) er det i DanID's marketing matriale det samme produkt. Mere teknisk er forklaringen realt ikke.

Rent teknisk er de to løsninger ligeså forskellige som ruko nøgler og magnetkort.

En real digital signatur kan meget mere end at give adgang til offentlige hjemmesider f.eks. at sikre kommunikationen mellem 2 private parter uden at den centrale server kan se eller og dekryptere, med danID kan en person med fuld adgang til danID's servere se og dekyptere alt der sendes sikret med NemID.

NemID er sikkerhed via burokrati, DanID har fuld adgang til alle nøgler, det er kun deres interne processer der forhindre misbrug. Og for at gøre det værre så har postvæsenet adgang til dine tophemmelige pin koder.

Jesper Lund

Nej, NemID skal for himlens skyld ikke bruges til noget som helst andet end et fælles loginsystem til PBS-relaterede ting.

Der er heldigvis mulighed for at begrænse brugen af NemID til netbank logon og intet andet. Det gør man ved at fravælge OCES certikat delen, og dermed den digitale "signatur" til offentlige og private tjenester (udover netbank).

Det er det eneste positive der er at sige om NemID og den kommende digitale "signatur" (der ikke er en digital signatur).

Daniel Udsen

meget simpelt man sender alle engangskoder via postvæsenet, uden anden sikkerhed end brevhemmeligheden(en juridisk/burokratisk konstruktion).

Det en af de ting vi tager for givet fordi sådan har det altid været.

Tidligere kom der kun en oprettelses kode ud og man blev gjort orienteret om hvis den blev brugt.

Digital signatur havde den egenskab af en meget højere teoretisk sikkerhedgrad end det gamle post baserede system, med DanID er den forsvundet.

Peter Kyllesbeck

Andre har fuldt ud besvaret dette, men fra NemID's egen FAQ.
[citat]
"Kan NemID bruges til sikker e-mail?

Ja, NemID giver mulighed for at udveksle sikker, krypteret e-mail og digital post (den digitale postkasse på borger.dk), og vil kunne bruges kvit og frit på alle gængse platforme (Mac, Linux og Windows)."
[/citat]

Bemærk at det er via borger.dk

Samme sted står også:
[citat]
Må jeg kopiere mit nøglekort eller scanne nøglekortet ind på min computer?

Nej, en væsentlig del af sikkerheden vil blive kompromitteret, hvis du indscanner eller kopierer dit nøglekort.
[/citat]

Link: https://danid.dk/export/sites/dk.danid.oc/da/om_danid/ny_digital_signatu...

Theodor Norup

Gad vide hvor mange kørekort og pas der bortkommer i Danmakr om året? Hver eneste af de uheldige står nu overfor at miste hele deres (virtuelle) identitet.

Eller endnu nemmere: Gå over på dit lokale bilværksted og snup A4-mappen med lånebilkontrakter mens værkføreren kigger væk. Indhold: En stor samling navne, adresser med tilhørende kørekortnumre. Med lidt held også CPR-numre.

Eller alliér dig med din værkfører. Insiderjobs er nu engang de letteste.

Det er vel overflødigt at minde om at mange af de USA'nske identitetstyverier lettes af deres tilbøjelighed til at anvende gas/elregninger og registreringsattester som "proof of identity".

Jesper Lund

Claus Bruun skrev:

Så vidt jeg er informeret, bliver vi udover bankerne også tvangsindagt til at bruge NemID til login på skat.dk og andre offentlige tjenester...

Det er korrekt at login til SKAT (og indgivelse af selvangivelse digitalt) vil kræve OCES delen, når SKAT fjerner deres TastSelv kode login næste år. Det samme gælder sikkert andre offentlige services.

Men hvis man (som jeg) ikke har/får noget OCES certifikat på NemID, må man bare lade være med at bruge de digitale offentlige "services". Længere er den ikke!

Selvangivelser kan stadig indgives med papir. Det bliver sådan set værst for SKAT hvis (når) de fjerner min TastSelv adgang. Så er det nemlig slut med at jeg leger tasteabe for dem. Altså dyrere administration for SKAT.

Ulrik Suhr

Skal jeg forstå det således at NemID vil lave et public/private key system og derefter "holde" ens keys for en?
Det i sig selv er lidt af en modsætning da den private nøgle helst gerne skulle ligge 1 sted...

hvornår får vi en korrekt impl. af pub/priv keys så man kan undgå papiret?
For hvis det er rigtigt med den impl. der er beskrevet er det vel et overgangs system til det rigtige kommer..... Eller har jeg misset noget?

Niels Dybdahl

Skal jeg forstå det således at NemID vil lave et public/private key system og derefter "holde" ens keys for en? Det i sig selv er lidt af en modsætning da den private nøgle helst gerne skulle ligge 1 sted...

Sådan har jeg forstået systemet. Og den private nøgle kommmer til kun at ligge et sted, nemlig hos DanID.

Til næste år skulle der komme mulighed for at man istedet får sin private nøgle på en USB-pind, men det bliver sikkert noget man skal betale for at få.

Jesper Lund

Men kommer vi ikke til at mangle nogle informationer ? Jeg mener, der er flere og flere som kun rapporterer direkte til skat og evt. eboks og ikke sender årsopgørelser mere. Og både skat og eboks dropper den fælles pinkode...

Jeg har ikke hørt at E-boks dropper deres pinkode (?), men den tid den sorg. I nødstilfælde er der vel stadig netbank -> e-Boks adgangen, og hvis E-boks ligesom SKAT virkelig med vold og magt vil prøve at tvinge borgerne over på det nye NemID/Microsoft Passport single-sign-on (NemID er ikke en "digital signatur"..), vælger folk forhåbentligt at stemme med fødderne og fravælge E-boks hvor det er muligt. E-boks er heller ikke nogen sund konstruktion for borgerne.

Hos SKAT kan du bede om en papirkopi af oplysningerne i din skattemappe (NEMpapir ordningen)
http://www.skat.dk/SKAT.aspx?oID=149722

Du kan også bede om at få forskudsopgørelsen på papir, ligesom du kan ændre forskudsopgørelsen per papir.

Det bliver ikke nemmere/billigere for SKAT hvis de fjerner min TastSelv adgang.

Ellers kan man altid bede om aktindsigt hos SKAT eller bruge persondatalovens regler om at se de oplysninger som de har registreret med dit samtykke.

Vi har pligt til at indgive selvangivelse, men den digitale "signatur" (NemID) har ikke noget juridisk grundlag udover et samtykke fra borgerne som du naturligvis kan vælge ikke at give (eller er det ikke et "samtykke"). Derfor kan staten ikke slippe af sted med at kræve NemID, selv om de prøver at give os det indtryk. Der er også masser af mennesker i dette land som ikke bruger computere eller internet, nogle fordi de ikke har råd.

Måske bliver det lidt mere besværligt, men hellere det end at blive udsat for den ultimative digitale umyndiggørelse med DaniD's digitale "signatur" hvor du ikke længere kontrollerer din egen underskrift.

Jesper Lund

Du mener at der er NemID -> netbank -> e-boks adgang. Hvad skal det hjælpe?

At du kan få lov [sic!] til at se dine "egne" dokumenter i E-boks, hvis de virkelig fjerner KMD pinkode adgangen som jeg normalt bruger p.t. (hvad jeg ikke har hørt at E-boks vil gøre, og KMD pinkoden er noget andet end SKAT's TastSelv kode).

Jeg har ikke noget problem med NemID til netbanken. Når OCES-delen er fravalgt, er der tale om en formålsspecifik adgang som kun kan bruges eet sted, din netbank. Netbank delen fungerer teknisk alene som en one-time-password (OTP) løsning uden bruge af centrale private nøgler (alle nøgler er temporære og ophører med at eksistere når du logger af, ifgl. en præsentation af DanID på ITU den 10/5; slides kan findes under "digital signatur" gruppen her på version2.dk).

I netbanken er det banken som hæfter for misbrug, og så er det rimeligt at banken vælger sikkerhedsløsningen inden for rimelighedens grænser (OCES-delen med centrale nøgler er langt uden for rimelighedens grænser). Hvis de vil have OTP fra papkort, får de OTP fra papkort selvom det er mere irriterende, og jeg køber ikke nødvendigvis sikkerhedsargumentet (der er stadig masser af muligheder for man-in-the-middle angreb fordi sikkerhedsmodellen alene er identifikation af dig og ikke klient-side validering af transaktionen; et eksempel kunne være browser hijacks, men det er primært bankernes problem, ikke forbrugernes).

Palle Sørensen

Hermed til almindelig oplysning, da der tilsyneladende fortsat er mange misforståelser om NemID.

NemID er baseret på PKI-teknologi, hvor der både indgår et X509. v.3 certifikat, en privat og en offentlig nøgle. NemID til offentlige myndigheder er reguleret i OCES-certifikatpolitikkerne, der kan findes på https://www.signatursekretariatet.dk/certifikatpolitikker.html.

NemID kan både bruges til at logge på hjemmesider og til at underskrive web-formularer. Den 2. august 2010 vil NemID desuden kunne anvendes til kryptering og underskrift af e-mails fra de gængse e-mail-klienter. NemID sikrer således autenticitet, integritet og uafviselighed, når der afgives en elektronisk signatur på et dokument eller en e-mail.

Man kan læse mere om NemID konceptet på: http://www.digitalsignatur.dk/visArtikel.asp?artikelID=1065.

Peter Mogensen

Det er bare for meget ...

NemID er baseret på PKI-teknologi, hvor der både indgår et X509. v.3 certifikat, en privat og en offentlig nøgle.

Det er ikke PKI, hvis I har den private nøgle!

NemID til offentlige myndigheder er reguleret i OCES-certifikatpolitikkerne, der kan findes på ...

Det har der ikke været tvivl om. Spørgsmålet er om man realistisk kunne vælge lortet fra.

NemID kan både bruges til at logge på hjemmesider og til at underskrive web-formularer.

Og til dem, som ikke ønsker at det skal foregå via jer?

Den 2. august 2010 vil NemID desuden kunne anvendes til kryptering og underskrift af e-mails fra de gængse e-mail-klienter.

Tak, men nej tak.

NemID sikrer således autenticitet, integritet og uafviselighed, når der afgives en elektronisk signatur på et dokument eller en e-mail.

Sludder og vrøvl. Sålænge andre end mig selv har den private nøgle, så sikrer det absolut intet.

Hvad er det lige for nogle "misforståelser", du tror, du udreder ved den gang øregas og udenomssnak Palle.

Jeg er rystet over hvor absurd det her teater efterhånden er ved at blive. Tag jer dog sammen!

Martin Kofoed

Her er lige et tilfældigt Google-hit om PKI:

It is critical to safeguard the private key associated with the X.509 certificate. If the private key is compromised, the integrity of the corresponding X.509 certificate is violated because another entity besides the client is capable of generating digital signatures that represent the client's identity. If a private key is compromised, the CA can revoke the X.509 certificate, which causes it to become unusable for encryption and digital signatures.

I, kære DanID, er "another entity besides the client".

Hvem har misforstået hvad?

Peter Kyllesbeck

Så længe DanID/NemID partout vil beholde den private nøgle overholdes grundlaget for PKI ikke.
Det er jo også 'kun' med det offentlige man kan 'underskrive' digitalt.

Når man så indfører Smartcard står der (http://www.digitalsignatur.dk/visArtikel.asp?artikelID=1065)

NemID på smartcard

En løsning, hvor den offentlige digitale signatur lagres på et smartcard, er under udvikling. Her vil brugerens private nøgle blive genereret og lagret direkte på kortet, hvorefter brugeren fysisk vil have den private nøgle i sin besiddelse. Nøglen vil være beskyttet af software og brugerens personlige adgangskode. Smartcard-løsningen vil kun omfatte offentlig digital signatur. NemID til netbankerne vil fungere som tidligere beskrevet.

Altså fortsat kun 'offentlig digital signatur'

Christian Melchior

Palle, Som det vidst har været nævnt i tidligere debatter, så er det ikke videre heldigt at der er modstridende oplysninger på den hjemmeside du henviser til og de svar der er blevet givet på $20-spørgsmål om NemID.

Hvis det rent faktisk var tilfældet at i aldrig havde adgang til den personlige adgangskode (hvilket der findes protokoller for), så kunne man godt være sympatisk over for idéen om at have nøgler liggende på en central server - Som det ser ud i øjeblikket, not so much.

Fra http://www.ft.dk/samling/20072/almdel/uvt/spm/219/svar/574868/601811.pdf:

Det bemærkes, at hvis DanID ved lov eller en dommerkendelse blev tilpligtet at skabe adgang til anvendelse af en borgers digitale signatur, ville DanID ved at omgå de etablerede tekniske og proceduremæssige sikkerhedsforanstaltninger gennem modificering af den etablerede løsning kunne muliggøre afluring af borgerens personlige kode, som efterfølgende kan anvendes til aktivering af borgerens digitale signatur eller dekrypteringsnøgle.

Fra http://www.digitalsignatur.dk/visArtikel.asp?artikelID=1065#9:

DanID har på intet tidspunkt brugerens personlige adgangskode.

Jesper Lund

Palle Sørensen fra ITST skrev:

NemID sikrer således autenticitet, integritet og uafviselighed, når der afgives en elektronisk signatur på et dokument eller en e-mail.

Nej, nej og atter nej!

Den kryptografiske operation med min "private" nøgle som udgør den digitale underskrift sker på en central server som jeg ikke har nogen kontrol over. Ord som authencitet, uafviselighed og integritet giver ingen mening i den sammenhæng. De er stjålet fra et rigtigt PKI system (som vi ikke får med OCES-delen af NemID).

To-faktor elementet i NemID (password + OTP) sikrer at borgeren bliver identificeret over for den centrale server. Ikke andet.

1) Der er ingen sikring mod at DanID underskriver dokumenter uden borgerens accept. Det fremgår sort på hvidt af det §20 svar fra ITST til Folketinget, som andre henviser til.

2) Derudover, og hvad der i praksis er langt værre, er der ingen sikring mod man-in-the-middle angreb hvor borgeren klient-side præsenteres for et andet dokument end det som i virkeligheden "underskrives" på den centrale server.

En digital underskrift af et dokument skal være en klient-side operation [helst] på et tamper-proof hardware device for at være sikker, og for at de fine ord "authencitet, uafviselighed og integritet" kan bruges.

Oven i disse problemer er der blandt andet den reelle bekymring over den magt som DanID (sammen med staten) opbygger ved at misbruge CA rollen til at gøre sig til part i alle transaktioner, for eksempel for at overvåge dem (staten) eller "beskatte" dem (transaktionsgebyrer uden reel konkurrence). Denne farlige symbiose mellem stat og bankkartel ses også på betalingsområdet.

Niels Didriksen

Jeg er rystet over hvor absurd det her teater efterhånden er ved at blive. Tag jer dog sammen!

Enig.. Det er som en ond drøm. Det ville ikke være så slemt, hvis de ansvarlige tog kritikken seriøst. Men det ses jo gang på gang at personer som Palle Sørensen kun blander sig for at gentage usandheder og derefter forsvinde med halen mellem benene igen uden at svare på de mange usædvanligt konkrete kritikpunkter.

Claus E. Thorsen

Sikkerhed handler jo om en balance mellem sikring og convenience. NemID forsøger at få flere til at have og bruge en digital signatur - det syntes jeg faktisk ITST skal have ros for.

De og DanID skal tilgengæld ikke have ros for kun at tilbyde én model - der er for er meget nordkoreansk tænkning. ITST burde opstille nogle regler for, hvad der skal til for at en signatur kan blå-stemples samt være godkender af disse løsning. Så kunne vi få flere udbydere og løsninger at vælge i mellem. Desværre vælger man i stedet at tildele monopol og forgylde et enkelt firma (man betaler kassen til DanID!!).

Michael Nielsen

[quote]
@Michael Nielsen

Så man bruger en millard på at opfinde noget der ikke holder vand sikkerhedsmæssigt, men vil ikke bruge de 500 000 det kræves for at gøre det ordenligt ?  

Hvis NemID udbredes til hele den voksne, danske befolkning - eller i hvert fald de tre millioner netbank-kunder, som ikke har andet valg - vil regningen for ekstra hardware ifølge dine priser være mellem 300 og 900 millioner kroner, og ikke den halve million, du skriver. Herfra skal udgifterne til engangskode-kortene selvfølgeligt trækkes fra - dem kender jeg ikke.
[/quote]

Beklager jeg droppede en 000 gruppe.

Prisen er 500 000 000, mens DanID systemet, som jeg forstår det har kostet 1 000 000 000, altså næsten det dobbelte af at gøre det ordenligt.

Log ind eller Opret konto for at kommentere