Politisk flertal vil kulegrave sikkerheden i NemID

Et bredt flertal i Folketinget vil have undersøgt, hvordan sikkerheden i danskernes digitale signatur kan forbedres, så det bliver sværere at franarre brugerne deres login-oplysninger.

Tilliden til NemID har lidt et knæk, og det er nødvendigt med en kulegravning for at finde frem til sikrere løsninger, som befolkningen kan have tillid til.

Sådan lyder det fra et bredt flertal på Christiansborg, efter at Ingeniøren og Version2 har demonstreret, hvordan simple man-in-the-middle-angreb kan franarre brugerne deres login-oplysninger.

Læs også: Video: Så let kan kriminelle franarre dig dit NemID

»Jeg er meget overrasket over, at det er så let at franarre folk deres identitet og misbruge den. Det har ikke været mit indtryk fra de oplysninger, jeg har modtaget om sikkerheden, fra NemID. Demonstrationen viser, at der er et udviklingspotentiale for NemID, som vi klart skal undersøge,« siger den socialdemokratiske it-ordfører, Trine Bramsen.

S: Risikoen for identitetstyveri skal mindskes

Hun er langtfra overbevist om, at sikkerheden i det nuværende system er tilstrækkelig.

»Det er vigtigt for mig at understrege, at vi brugere til enhver tid også har et ansvar. Alt for mange tager sikkerhed på nettet for givet. Når det er sagt, synes jeg eksemplet fra videoen (Version2's demonstration, red.) viser, at det er alt for nemt at stjæle identiteter, og at NemID har begrænsninger,« tilføjer hun.

Læs også: Pærelet at narre NemID fra dig med klonede hjemmesider

Trine Bramsen vil tage problemet op på et møde med sin partifælle, finansminister Bjarne Corydon, som er ansvarlig for området.

»På den baggrund vil jeg tage stilling til, om vi kan foreslå yderligere initiativer, som både kan omfatte bedre information til borgerne og konkret arbejde med øget sikkerhed hos NemID. Det vigtigste i den her sag er, at vi mindsker risikoen for identitetstyveri,« siger hun.

Venstre: Vi må have garantier for sikkerheden

Bjarne Corydon skal i forvejen svare på spørgsmål om sikkerheden i NemID fra både Dansk Folkepartis it-ordfører, Dennis Flydtkjær, og fra Venstres it-ordfører, Michael Aastrup Jensen. Sidstnævnte mener, at Version2's demonstration giver 'et noget andet billede' af NemID's sikkerhed, end han har fået tegnet af myndighederne og af DanID.

»Det er klart, vi skal have garantier for, at der bliver rettet op på de problemer, der måtte være. Hersker der tvivl om sikkerheden, mister borgerne tilliden til systemet, og så går hele digitaliseringsprocessen i stå,« siger Venstre-ordføreren, der tirsdag stillede finansministeren et såkaldt paragraf 20-spørgsmål om sagen.

Konservative: Advarsel som på cigaretpakker

Også den konservative it-ordfører, tidligere justitsminister Brian Mikkelsen, er overrasket over, hvor enkelt det er at franarre danskerne deres NemID-koder. Han foreslår en advarsel til danskerne på deres NemID-nøglekort i stil med advarslerne på cigaretpakker.

»DanID skal selv fortælle om risikoen,« mener Brian Mikkelsen, som ikke personligt vil stille krav om højere sikkerhed.

»Jeg går ud fra, at DanID selv sørger for det,« siger han.

Enhedslisten: Er det klogt med én løsning?

Enhedslisten it-ordfører, Stine Brix, er som den eneste ikke overrasket, hvor enkelt phishing-angreb mod NemID kan gennemføres.

»Jeg tror ikke, phising-forsøg kan undgås, når man har så omfattende en løsning som Nem-ID,« siger hun.

Stine Brix vil dog også have undersøgt sikkerheden i NemID, men afventer svarene på de spørgsmål, som Venstre og Dansk Folkeparti har stillet finansministeren. Indtil da er hun ikke overbevist om, at sikkerheden er tilstrækkelig.

»Vi må jo spørge os selv om det er klogt med én løsning, som skal dække hele Danmark, og som bruges til så mange forskellige formål,« siger hun.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (42)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Jesper Henriksen

Jeg synes da det er et spørgsmål om at appellere til at folk får dobbelttjekket den adresse de er inde på når de taster deres fortrolige informationer ind. Jeg har tidligere set et billede af det site der blev brugt til at franarre folk deres nem-id når de skulle på nordea netbank. Jeg kunne ikke engang med de 2 billeder ved siden af hinanden hurtigt se hvilken var den rigtige.

  • 1
  • 0
Christian Nobel

"Et bredt flertal i Folketinget vil have undersøgt, hvordan sikkerheden i danskernes digitale signatur kan forbedres"

NemID er ikke en digital signatur hvis man skal henholde sig til loven om digitale signaturer, og det nytter altså ikke at blive ved med at hævde at det er en digital signatur (efter Goebbels princippet om gentagelse af en løgn), for det er klart i modstrid med ordlyden i loven!!

Herudover skal der ikke "kulegraves", "undersøges", eller "rettes op på", da det alt sammen er det samme som at læsse endnu mere guld over i en synkende dødssejler.

Staten skal erkende at NemID er en fuser (og man skal jo som bekendt aldrig gå tilbage til en fuser), og så kræve sine penge tilbage fra Nets!

Så kan Nets og bankerne gøre hvad de vil, det er bankverdenens problem - det offentlige skal have en ægte digital signatur!

  • 24
  • 1
Kim Schulz

....da nøjagtigt denne problemstilling blev fremlagt en masse steder allerede inden NemID var sat i drift? Det er jo ikke ny viden at man kan lave Man In The Middle angreb på NemId's gammeldags system.
Dengang blev det diskuteret i en uendelighed på både version2, ing.dk og mange mange andre sider samt sendt i et åbent brev til DanID.
Det er pinligt at sådanne løsninger blev benyttet i første omgang og det er endnu mere pinligt at DanID og deres 3-4 venner fortsat prøver på at bortforklare det med at det er brugernes skyld.
Tag jer sammen DanID og se at få lavet en sikker løsning der virker hver gang!

  • 14
  • 0
Nicolai Klausen

Det her er ikke kun et IT problem...

Hvor er retsordførende - Borgernes retssikkerhed er på spil.
Hvor er ervhersordførende - Virksomhedernes muligheder begrænses af en elendig løsning.

osv, osv... Jeg troede at hele ideen med at nedlægge IT&Tele styrelsen, var at IT ikke længere betragtes som noget selvstændigt, men en del af et større hele.

  • 15
  • 0
John Vedsegaard

Naturligvis kan man snyde nemID,men det kan man også med alle andre systemer - selv falske penge er der eksempler på gennem tiderne..

Det der skal til er meget mere enkle systemer som alle forstår og meget bedre forklaringer på hvordan man undgår at blive snydt, vel at mærke forklaringer der ikke! er lavet af de samme som laver systemerne.

  • 3
  • 5
Gert Madsen

Det er lykkedes DanID/Bankerne at få politikerne til at ignorere den relevante kritik ved at påstå kværulanteri.

Så her er vi så.

Vejen frem må være at politikerne sikrer sig nogle ordentlige rådgivere. Den hedengangne IT & Telestyrelse var i hvert fald ikke den opgave voksen.

  • 8
  • 0
Kenneth Mejnert

Personligt syntes jeg, at den gamle løsning var væsentlig bedre, da det var en rigtig digital signatur og man havde selv var i fuld kontrol med ens private nøgle, hvilket er hjørnestenen i private/public key kryptering, nemlig at den private nøgle er privat.

Kritikerne fremhævede dog følgende problemer med den:
- Den var ikke specielt mobil. Nan skulle eksportere sit certifikat og importere det på maskiner, hvor man ønskede at anvende signaturen.
- Fik man komprimtieret sin maskine fik angriberen adgang til både ens certifikat, samt mulighed for at opsnappe ens password.

  • 4
  • 0
Maciej Szeliga

...at det ikke skal være muligt at snyde systemet. Undskyldningen med at det ikke kan lade sig gøre (fordi det koster for meget) er noget pjat, det er bare et spørgsmål om økonomi. Hvad så når (selv om jeg personligt er meget imod) vi skal have elektrononiske valg ? Hvordan vil Venstre, Socialdemokratiet m.v. have det med at Piratpartiet bliver Danmarks størst parti med 85% af stemmerne ?

  • 8
  • 0
Jens Larsen

Jeg vil gerne hører om hvor og hvornår Digital Signatur er mere sikker en nemID's papkort løsning for den normalle borger. Hvilket vil sige en der ikke konstant tjekker div. cetificater + addresseliner + IP + hvilke processer der kører på hans comp + antivirus + whatever før hvergang man logger på netbank.

Jeg brugte Nordea's Digital Signatur da jeg havde det, så det bliver hoved sagligt ud fra den erfaring jeg snakker.

De problemer jeg kan se med Digital Signatur er:
- Hvis en hacker/phiser får fat i min digitale nøgle + navn + kodeord, kan han til hver tid (og flere gange) logge på min netbank og gøre hvad han vil.
- Det var muligt for en hacker at lave et trojansk hest til at opsnappe digitale nøgle + navn + kodeord hos folk, og så kan han i fred og ro nappe penge når han selv ville.

Disse 2 problemer har nemID med papkortet løst.

Ved at de så har indført nye problemer som:
- single point of failur, hvis de bliver hacket, så er alle på skideren.
- vi skal have tillid til dem at systemet ikke bliver udnyttet indefra

Jeg ser ikke hvordan en normal dum bruger der har virus/trojan/whatever på sin comp, som går ind på en phiser side og aflevere samtlige oplysninger, skulle være mere sikker hvis han selv havde sin private nøgle.
Altså selvom han havde en lille USB der er specialbygget til at indeholde hans private nøgle, så kan jeg stadig ikke se hvordan det kan sikres.
Hvis det er en phiser side, så kan den jo bare sende forspørglsen fra den rigtige hjemmeside direkte over til USB'en (på samme måde som nemID blev phiset, men nu er det bare en hardware USB istedet for et nr fra et papkort).

Min frygt med USB er at de kan ende ud med samme problem som der var med at have sin egen private nøgle som en fil, det er at det bliver muligt at lave et program der kan opsnappe den private nøgle, og sende al dette information videre til bagmanden, som så kan planlægge stille og roligt hvornår han vil stjæle deres penge.

Med nemID, så kan angripet kun ske når brugeren aktivt logger på, og derved er det ikke muligt at lave en trojansk hest til at opsnappe alle de nødvendige oplysninger, og give til en bagmand der så kan stjæle pengene når han vil.

Hvilket er en af hovedgrundene til at jeg personligt ser nemID som sikre for en ikke IT-kyndige bruger, end Digital signatur var.

  • 1
  • 5
Daniel Udsen

nemid/danid har et par problemer en politisk/burokratisk gennemgang nok ikke vil finde.

Det er ikke en digital signatur løsning men en SSO løsning baseret på OTP teknologi.

Nets sprogbrug omkring det er forvirende selv for IT folk pga overnstående.

Danid/nemid's hovedside er placeret i polynesien(http://en.wikipedia.org/wiki/Niue), hvilket allerede her signalere til folk at man ikke skal forvente "seriøse" tld adresser, bank.cn vil hermed se legitim ud.

Danid/nemid bruger en embedded applet og ikke en redirect, hvikket gør at man ikke får en adressebar der siger nemid.fake.nu men kun ser den side man tror man logger på til, og hvis danid/nemid bliver udbredt vil der opstå en blindhed blandt brugere ang hvor de forvente at skulle bruge deres nemid/danid koder.

Og oven i det så er NemID/DanID's vejledninger i hvad man skal passe på med i forhold til Nemid/danid
ikke ligefrem noget pedagogisk mæsterværk.

Intet af dette er rent teknisk sikkerheds brister eller angiver at danid/nemid's teknisk løsning har fejl, det er mere stuktur mæssigt at man ikke har tænkt faktisk brugeradfærd ind i løsningen.

  • 12
  • 0
Torkil Bladt

Er der nogen der kan sige hvorfor man har valgt at brugeren skal indtaste sin personlige kode som noget af det første, og først derefter bliver spurgt om koden fra Nøglekortet.
Jyske Bank havde tidligere den omvendte rækkefølge, hvilket så vidt jeg kan se giver langt større sikkerhed. Login foregik som følger
1 Indtast brugernavn -> banken ved hvem du påstår at du er
2 Banken spørger efter en bestemt kode fra nøglekortet med et bestemt nr-> Kunden ved at han har fat i banken, ingen anden kender kombinationen af brugernavn, nøglekort nr og hvilke koder der står på den.
3 Kunden indtaster den kode fra kortet der blev spurgt efter, og derefter passwordet. -> Banken ved at kunden har både password og nøglekort.

Transaktioner brkræftes med en kode fra kortet, ikke passwordet.
En evt fisker vil kun kunne få password og een af koderne fra kortet, så vidt jeg kan se det kan man ikke bruge det til ret meget.

Er grunden til at man ikke gør det som man gjorde i Jyske Bank at man bruger sit nøglekort for hurtigt? Jeg betragter mig selv som en gennemsnitlig bruger og bruger næppe mere end 2-3 koder om ugen.
Hvis Nem-ID (eller hvad firmaet nu hedder) får et vist beløb pr login, burde de også have råd til at sende nye nøglekort ud hver anden måned til storforbrugere.

  • 2
  • 1
Christian Nobel

Hvilket er en af hovedgrundene til at jeg personligt ser nemID som sikre for en ikke IT-kyndige bruger, end Digital signatur var.

Med fare for at fremstå som elitær, så nytter det ikke at lave en løsning der lefler for laveste fællesnævner, hvis det sætter sikkerheden over styr.

Alt andet lige, så kræves der kørekort for at køre bil, truckkort for at køre med gaffeltruck, uddannelse for at betjene diverse maskiner hvor mennesker kan komme til skade etc, etc.

Og hvis ikke man kan (og pt. er det ikke lige til) konstruere et system der er 200% idiotsikkert, så er man nødt til at stille krav til brugerne - det kunne være i en form for kørekort (og bemærk når man tager kørekort lærer man at køre bil, ikke at køre specifikt Ford).

Og så for 117 gang: NemID er ikke og bliver aldrig en lovlig digital signatur

  • 15
  • 2
Jens Larsen

1 Indtast brugernavn -> banken ved hvem du påstår at du er
2 Banken spørger efter en bestemt kode fra nøglekortet med et bestemt nr-> Kunden ved at han har fat i banken, ingen anden kender kombinationen af brugernavn, nøglekort nr og hvilke koder der står på den.
3 Kunden indtaster den kode fra kortet der blev spurgt efter, og derefter passwordet. -> Banken ved at kunden har både password og nøglekort.

Det vil stadig have samme problem som det MITM angrip Ingeniøren udførte på NemID.
Se evt videoen igen

Transaktioner brkræftes med en kode fra kortet, ikke passwordet.
En evt fisker vil kun kunne få password og een af koderne fra kortet, så vidt jeg kan se det kan man ikke bruge det til ret meget.

Her er jeg enig med dig, det ville være sikkere. Dog ikke mere end at phiseren så skulle spørge om en ny nøgle fra kortet (tænk at du får at vide at nøglen er forkert indtastet, og skal indtaste en ny).

  • 3
  • 0
Kasper Dupont

Er der chance for at der ved samme lejlighed bliver gjort noget ved den manglende åbenhed omkring sikkerheden?

Udtalelser som nedenstående giver mig den opfattelse at danid har valgt løsninger baseret på security-through-obscurity og faktisk ikke har nogen anelse om hvorvidt deres system ikke er sikkert.

»Nets-Danid har et antal foranstaltninger som skal imødegå det opstillede scenarie, såfremt det opstår. Af sikkerhedsmæssige årsager kan vi ikke oplyse det nærmere indhold af disse.«

»Jeg synes ikke, at det er en god idé at føje flere elementer til jeres dækning«

  • 9
  • 0
Jens Larsen

Med fare for at fremstå som elitær, så nytter det ikke at lave en løsning der lefler for laveste fællesnævner, hvis det sætter sikkerheden over styr.

Men er rigtig Digital signatur ikke mere usikker i den form at hvis den bliver phiset, så vil en bagmand jo kunne gå ind alle steder med din Digitale signatur. NemID papkortet skal virker jo kun 1 gang hvis det bliver phiset.
For at stjæle rigtig Digital signatur + brugernavn + kodeord kan der laves en trojansk hest til det, og brugeren vil jo intet vide før det er forsent.

Jeg syndes ikke at man skal sige "hvis du bliver phiset er det din egen skyld". For der skal nok være nogle tilfælde hvor en brugere ikke har haft en chance.

Og hvis ikke man kan (og pt. er det ikke lige til) konstruere et system der er 200% idiotsikkert, så er man nødt til at stille krav til brugerne.

Nogle krav måske, men man kræver jo heller ikke at man er uddanet mekaniker for at få lov til at kører bil.

Og så for 117 gang: NemID er ikke og bliver aldrig en lovlig digital signatur.

Undskyld hvis jeg fik det til at lyde som om nemID var en rigtig digital signatur, det var ikke meningen. Min mening var at sætte nemID vs digital signatur op imod hinanden, med fokus på digital signaturs svaghedder.

  • 1
  • 0
Michael Lykke

Det er ret nemt at svare på. Den fik aldrig den udbredelse, der var håbet på.


Nej, men hvis man nu havde tvunget den ned over hovedet på folk som man gjorde med NemID så havde den haft den samme udbredelse.
Jeg har fx ikke selv bestilt et NemID men har alligevel modtaget det, plus at jeg kan ikke længere logge ind i mit bank uden - Hvis man havde gjort det samme med signaturen så havde vi sparet 1 milliard kroner plus undgået flere af de tåbeligheder der er ved NemID.

  • 4
  • 0
Peter Eriksen

Er der ikke nogen af de kyndige folk her fra Version 2 som kunne invitere samtlige IT-ordfører (gerne incl. ministre) til et 3 timers grundkursus i sikkerhed, digitale signaturer mv.

Så kan det være, at vi en gang for alle kan få banket ind i hovedet på politikkerne at NemID IKKE er en digital signatur, at det ikke er sikkert og at det generelt bare er en ommer.

PS: Kan vi så ikke samtidig få tvunget dem til at fjerne den her ganske misvisende side: https://www.nemid.nu/om_nemid/hvad_er_nemid/den_nye_digitale_signatur/

  • 5
  • 0
Jesper Poulsen

Kritikerne fremhævede dog følgende problemer med den:
- Den var ikke specielt mobil. Nan skulle eksportere sit certifikat og importere det på maskiner, hvor man ønskede at anvende signaturen.

Nej, det skulle ikke importeres. Det skulle bare anvendes.
Jeg importerede det ikke, men havde det liggende på en USB-stick der blevet sat i maskinen hver gang jeg skulle bruge det. Intet installeret, intet importeret.

  • 0
  • 0
Morten Andersen

Det er en stor udfordring at løse scenariet hvor brugeren taster forkert URL og bevidstløst følger de instruktioner der kommer frem. Det gør sig også gældende for den tidligere digitale signatur hvor nøglen lå lokalt på systemet - brugeren havde ingen mulighed for at se hvad der blev signeret men skulle blot taste password ind. Dermed kunne man tro man loggede ind på et bibliotek mens man i virkeligheden foretog en transakation o.s.v. det var 100% styret af "man in the middle". Det samme gør sig gældende for meget af det der har været foreslået her i debatten som værende bedre end Nemid!

  • 1
  • 1
Per Krarup

For at stjæle rigtig Digital signatur + brugernavn + kodeord kan der laves en trojansk hest til det, og brugeren vil jo intet vide før det er forsent.


Ja, signaturen kan stjæles, men den kan ikke misbruges, for den er låst til den maskine eller de maskiner som brugeren ønsker den låst til. Det er netop det forhold der gør den gamle/ægte digitale signatur lidt besværlig at benytte på skiftende maskiner.

  • 0
  • 3
Jan Borup Coyle

Kære Medier, Debatører, Politikkere og andre paranoide folk.

Nu må alle virkeligt prøve at de realiteten i øjenene.

NemId er måske ikke verden absolut sikreste system, men at der kun været været under en håndfuld forsøg på misbrug af NemId, mens samtlige Danskere endeligt har fået et centralt system som er mere sikkert end alle tidligere initiativer, det må sku da siges at være en succes, lige meget om man kan lide NemId eller ej.

Ja, man kan selvfølgelig lave en fingeraftryks plade, øjenscanning, DNA-test eller noget helt andet og sættes på NemId, men det vil virkeligt bare være endnu mere besværligt at bruge og penge lige ud af vinduet set i forhold til de misbrug som sker.

Slå for pokker nu koldt vand i blodet, og lad folk tænke selv, og lad så være med at spilde endnu flere skatte penge på, at se spøgelser alle steder.

  • 2
  • 9
Lars Tørnes Hansen
  • 11
  • 1
Jesper Poulsen

Slå for pokker nu koldt vand i blodet, og lad folk tænke selv, og lad så være med at spilde endnu flere skatte penge på, at se spøgelser alle steder.

Du bør sætte dig ind i mulighederne med NemID, både de "gode" og de dårlige. Og når du så har gjort det, så bør du spørge dig selv om du vil lægge hele dit liv (for det er hele dit digitale liv, dvs. dit liv) i sådan en gang juks og makværk.

Jeg vil ikke lægge mit liv i NemID's varetægt. Jeg anvender kun NemID til netbank og kun via en virtuel PC. NemID er simpelthen for stor en sikkerhedsrisiko at slippe løs direkte på mit system, idet JAVA-appletten har nogle rettigheder der sætter integriteten af mit system over styr.
Spørg så derefter dig selv om menigmand har det samme indblik i NemID's virkemåde og om vedkommende er i stand til at vælge den løsning der sikrer ham bedst?

  • 9
  • 0
Jesper Poulsen

Dermed kunne man tro man loggede ind på et bibliotek mens man i virkeligheden foretog en transakation o.s.v. det var 100% styret af "man in the middle". Det samme gør sig gældende for meget af det der har været foreslået her i debatten som værende bedre end Nemid!

Hvordan vil du gøre det på end-to-end-kryptering med et certifikat der er udstedt af samme CA som står bag signaturen?

Du kan ikke lave MiTM med ægte PKI, for det er end-to-end-krypteret. Med en kryptotoken kan du ikke engang få din nøgle stjålet.

  • 4
  • 1
Jan Borup Coyle

@Jesper Poulsen

Du får nærmest NemId til at lyde en sygdom når du begynder at tale om man vil lægge sit liv i deres hænder.

Det eneste jeg forsøger at fortælle er at lige gyldigt hvor mange kondomer du tager på, Virtuel PC eller alle sikkerheds systemer, så er der ikke nogen systemer som er 100% sikre, og selv DU vil kunne blive udsat for Pishing, hvis det blev gjort på den rigtige måde.

Jeg appellerer derfor bare til at folk tænker selv, og så er det jeg mener det er helt hul i hovedet at smide gode penge efter en kulegravning, som ikke kommer et eneste skridt tættere på en bedre sikkerhed.

  • 1
  • 7
Michael Kristensen

Man er da ikke sikker blot fordi der står det rigtige i adressefeltet. Det er ikke umuligt at overtage en DNS server - eller endnu simplere at tilføje noget i offerets hosts fil og dermed omdirigere f.eks. nordea.dk til en vilkårlig maskine på nettet.

  • 1
  • 0
Morten Andersen

Jesper, det er faktisk lidt en misforståelse. Rent krypteringsmæssigt kan man godt lave en protokol der er sikker mod et MITM angreb. Men det angreb der er foretaget i videoen m.m. er faktisk ikke et klassisk MITM-angreb idet brugeren jo ikke afvikler de legitime software, men derimod noget "der ligner" men som er under kontrol af angriberen. Det er altså et "Man in the middle hvor angriberen bestemmer hvilken software en af parterne skal udføre".

I det aktuelle angreb er det således angriberen selv der terminerer den legitime forbindelse til NemID, mens han blot udnytter brugeren som en marionetdukke til at foretage de kritiske operationer, via den falske software.

Forestil dig f.eks. følgende løsning: I stedet for nøglekortet har brugeren et USB token med en signeringsnøgle på. Brugeren kunne ved prompt for password i dialogboks godkende én signering med denne nøgle. Der ville i så fald være et API til rådighed lokalt for at aktivere dette, som ville blive benyttet af appletten. Angriberen kan sende en falsk applet ud der ligeledes udnytter dette API til at foretage 1 stk. signering - men det han signerer er de data han selv er interesseret i at få signeret, for at afslutte eksempelvis et login-forløb.

Angrebet fungerer også i det scenarie hvor den legitime applet bruger signaturmekanismen til at indgå i en Diffie-Hellman lignende protokol mod serveren -- en protokol som burde være sikker overfor MITM. Pointen er her, at angriberen selv genererer de hemmelige værdier m.m. i DH-protokollen og kun involverer brugeren (via den falske applet) i selve signeringssteppet.

Problemet er endnu mere dybt end blot et spørgsmål om protokoller: Det er et autentifikationsproblem. På samme måde som med en klassisk underskrift på papir. Selv hvis vi antager at ingen kan eftergøre den kan du stadig blive snydt hvis du f.eks. skriver under på noget uden at læse det igennem (f.eks. hvis den låneaftale er blevet forbyttet i posten med et dokument der ligner, men hvor du skriver under på noget helt andet!).

Den egentlige løsning består i at sikre at brugeren ved hvad han/hun skriver under på, men hvis vi - som i eksemplet - antager angriberen selv skriver softwaren brugeren kører er dette vanskeligt at garantere, i hvert fald uden et trusted display.

  • 3
  • 0
Kasper Dupont

Man kan ikke lave mitm angreb imod SSL blot ved at ændre en DNS record. Og hvis ikke der bruges SSL, så står der jo ikke det rigtige i URLen.

At ændre hosts filen kræver at man kompromitterer klienten. Ingen løsning kan være sikker hvis klienten er kompromitteret.

  • 0
  • 0
Kasper Dupont

Det er rigtigt at der ikke er tale om et mitm angreb udfra den sædvanlige definition. Men i mangel af bedre navn vil jeg stadig kalde det for et mitm angreb.

Problemet er at du indtaster dine login oplysninger direkte på hvert enkelt site hvor du vil logge ind. Ingen brugere kan forventes at kende den rigtige URL på samtlige sites der legitimt anvender nemid.

Det problem kan løses ved at login dialogen altid ligger på det samme https site uanset hvilket site du er ved at logge ind på. Brugeren skal stadig sikre sig at URLen er korrekt, men det er langt nemmere at sikre sig, hvis man kun skal huske en URL i stedet for 100 forskellige.

Samtidigt så jeg gerne at HSTS blev brugt på sitet og var et krav for alle sites der ønsker at anvende nemid.

Hvis vi samtidigt kan lære brugerne at gemme et bookmark til den https URL hvor login foregår er vi nået et godt stykke vej i beskyttelsen imod phishing.

Systemet kunne gøres lidt mere brugervenligt ved at tilføje en ekstra feature til login siden. Hvis man bruger sit bookmark til at logge ind er der ikke noget site man kan blive redirectet tilbage til. I stedet burde man blive præsenteret for en liste over de sites man har brugt hidtil og en anden liste over alle legitime sites, der anvender nemid.

På den måde kan man
1. Vælge sit bookmark
2. Logge på
3. Vælge det site man vil ind på fra listen

På den måde har man både bedre brugervenlighed og bedre sikkerhed.

  • 0
  • 0
Log ind eller Opret konto for at kommentere