Populær app hjælper med at bryde NemID-regler: 'Folk gør det alligevel'

En ny app lader dig gemme NemID-nøglekortet digitalt på din iPhone. Men løsningen er ukrypteret og i strid med betingelserne for NemID. 'Bedre end ikke at have en app,' forsvarer udvikleren sig.

I top-100 over mest downloadede apps her og nu i Apples App Store findes iNemID. Appen lader dig gemme et billede af dit NemID-nøglekort og beskytte billedet med en kode.

Men løsningen er ukrypteret og bryder med betingelserne for NemID, hvor det klart fremgår, at '...du ikke må scanne dit nøglekort, indtaste dine nøgler på eksternt medium eller på anden måde digitalisere eller kopiere nøglerne.'

Mange NemID-brugere gemmer alligevel et billede af nøglekortet på telefonen, og derfor er appen bedre end ingenting, lyder det fra udvikleren bag.

Appen beskytter billedet af NemID-nøglekortet med en pinkode, men det kræver blot, at du slutter telefonen til en computer for at kunne se nøglekortet - billedet er nemlig ikke krypteret.

'iNemID er udviklet til dig, der har brug for et beskyttet NemID nøglekort til din enhed,' står der på hjemmesiden inemid.dk, men billedet er ikke krypteret - bør du ikke fortælle det?

»Det er et godt spørgsmål, om jeg bør det. Vil man blive udsat for mere tyveri, såfremt nøglekortet ikke er krypteret? Nøglekortet ligger kun lokalt gemt, så telefonen skal stjæles og herefter kobles op til en computer, hvilket begge er kriminelle handlinger. Så jeg kan godt forstå bekymringen om, at kryptering måske kan være en vigtig faktor, hvis nøglekortet blev gemt i skyen. Men da billedet kun lagres lokalt, føler jeg ikke, at der er et umiddelbart behov for at det er krypteret,« siger Pawel Szymon Czarny, der står bag iNemID, til Version2.

Han har dog set, at der allerede nu i App Store er flere brugere, der gør opmærksom på, at billedet ikke er krypteret.

»Hvis folk synes, kryptering er alfa og omega, vil jeg stærkt overveje at få det krypteret,« understreger Pawel Szymon Czarny.

Som nævnt bryder appen også reglerne for brug af NemID ved at lagre et billede af nøglekortet. Reglen eksisterer blandt andet for at sikre tofaktor-princippet, idet man ved at tiltvinge sig adgang til telefonen både kan få adgang til mobilbank og en repræsentation af papkortet.

Læs også: Derfor dropper DanID NemID som mobil-app

En lignende app, kaldet GemID, har tidligere været i søgelyset på grund af netop manglende kryptering, og fordi udvikleren ikke gjorde opmærksom på, at det var i strid med betingelserne for NemID.

»Der er det op til en selv, om man har lyst til at bruge iNemID til opbevaring og det er op til brugeren selv at vide, om det er i strid med betingelserne,« siger Pawel Szymon Czarny, der dog nu har tænkt sig at skrive det, så brugerne bliver gjort opmærksomme på det.

Men selve grundlaget for appen kommer af, af Pawel Szymon Czarny selv opbevarede nøglekortet i sin kamerarulle på telefonen. Det var besværligt og usikkert, og derfor udviklede han appen, fortæller han.

»Jeg lavede iNemID ud fra mit eget behov, fordi jeg som borger har NemID-nøglekortet, og jeg synes, det er upraktisk at have med. Så jeg tog et billede af det med min telefon, og så blev det gemt i galleriet, så hver gang, jeg skulle bruge NemID, skulle jeg finde det frem i galleriet. Eftersom jeg tog flere billeder, skulle jeg bladre længere hver gang,« siger Pawel Szymon Czarny til Version2 og fortsætter:

»Samtidig er det åbent, så alle har adgang til mit galleri og kan kigge på nøglekortet. Det var jeg ikke så glad for. I sidste ende lavede jeg en genvej med en folder til NemID og så lå det ret tilgængeligt. Derfor tænkte jeg, at der nok var andre med samme ønsker, og derfor ville jeg lave en app til mig selv og de folk, der har lyst til at have NemID liggende.«

Appen er gratis at hente, så for at få udviklingsomkostningerne dækket har Pawel Szymon Czarny placeret en reklame, som kan fjernes gennem et køb i appen på syv kroner.

Nets, der står bag NemID, er ikke glade for, at man opfordrer folk til at bryde med betingelserne for NemID, men det er i praksis svært at se, hvad de kan gøre ved det - appen er egentlig bare en avanceret kameraapp med pinkodebeskyttelse. De så dog gerne, at Pawel Szymon Czarny oplyste brugerne om, at de bryder med betingelserne. Og så ligger navnet iNemID også lidt for tæt op ad det officielle navn, lyder det fra Nets.

»Vi er i gang med at kontakte ham, der har lavet den, dels for at gøre ham opmærksom på, at han opfordrer til, at man bryder NemID-reglerne, og dels at han er meget tæt på vores vareregistrering med iNemID-navnet,« siger Ulrik Marschall, kommunikationsmedarbejder i Nets, til Version2.

»Jeg har ikke hørt fra dem. Hvis de har ret i deres postulater, vil jeg gerne i dialog med dem. Det skal ikke være det,« siger Pawel Szymon Czarny til Version2.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (19)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Peter Reinhold

Med den ene hånd, "Du må ikke gemme dine NemID informationer på din telefon, beskyttet af en pinkoder", med den anden, "Du må gerne overføre 1500 kroner, via din telefon, beskyttet af en pinkode"

Det er ærligt talt lidt svært at se hoved og hale i NETS komplet ulogiske regelsæt, men, de tjener selvfølgeligt ikke penge på den App, det er nok derfor.

Steffen Sørensen

Det er jo lidt som en dobbelt op på den kriminelle handling i NemId projektet.
Hvis jeg kun har mit papkort, men skulle være så uheldig at miste det, skal tyven stadig kende mit login samt mit password. Det anser jeg for umuligt med almen internetviden (forbrugeren). På denne måde er jeg sikret at jeg ingen kriminelle handlinger laver.

Hvis jeg tager et billede af papkortet og gemmer det på min smartphone (hvor de fleste har en skærmkode) og mister den, skal tyven stadig kende login og password. Han skal så oveni Den tillægger jeg 10% mere sikkerhed end hvis jeg kun havde papkortet. Men nu har jeg så lavet en kriminel handling. Mening?

Begge historier kræver alligevel en smule af tyven der burde være bevist om at han laver noget der er ulovligt og derfor kan straffes efter det. Skal vi så ikke droppe at gøre folk der tager et billede af papkortet til kriminelle når forløbet næsten er det samme og man i princippet gør det samme, bare på en anden måde?

Disse er fiktiv tænkte eks. Jeg har faktisk været dum nok til at rende rundt med papkortet og gør det stadig (det synes jeg personlig er smart nok)

Søren Malling

For at bruge NemID kræver det også at du kender CPR nummeret på papkortets ejer?

Jeg er typen som opbevarer mit NemID papkort i min pung, sammen med mit sygesikringskort - stiller det mig ikke bare endnu dårligere end hvis jeg har et billede af kortet på min telefon og ikke noget papkort?

Eller bryder jeg en anden regel, som jeg er tvangsunderlagt?

Rasmus Faber-Espensen

NemID er forsøgt designet, så at man skal angribe to steder for at kunne overtage et NemID.

Man kan få adgang til én transaktion per angreb ved f.eks. at lave et MITM-angreb, men generelt skal man f.eks.:
* stjæle nøglekort og aflure adgangskode
* stjæle nøglekort og opsnappe pinkode-brev
* affotografere nøglekort og installere en keylogger på brugerens maskine.

Der er naturligvis huller i systemet: f.eks. kan man stjæle et NemID ved at få ændret en borgers CPR-adresse, men princippet er nogenlunde dækkende.

Lad os nu antage, at DanID tillod opbevaring af et affotograferet nøglekort på en smartphone.

DanID tillader brug af NemID på smartphones. I øjeblikket gennem forskellige bankers apps, men i fremtiden også gennem en Javascript implementation af login-appletten.

Nu kan man så overtage et NemID ved at lave et målrettet stykke malware, der dels aflæser nøglekortet og dels aflytter brugernavn+kodeord.

Så længe iNemID ikke har mange brugere er det nok ikke specielt interessant, men hvis det blev udbredt ville det være en oplagt angrebsvektor.

Det er af samme årsag, at NemID ikke har lavet en nøgleviser-app.

Erik Jensen

Problemet med disse apps er, at man ikke har nogen ide om hvor ens data ender. Det er muligt at app'en i første version ikke har internetadgang - men det får den sikkert i anden version, og det er meget få, som får set på apps ændrede rettigheder i forbindelse med opdateringer.

For mig at se, er det største problem, at folk overlader deres nøglekort til fremmed software, som de ikke nødvendigvis kan stole på.
Hvis jeg var hacker, ville det første jeg gjorde da være at lave en app "iNemtID", som uploader billedet til min server. Min app giver naturligvis også mulighed for at huske brugernavn og adgangskode til NemID. Hvis bare 1% er dumme nok til at indtaste alle informationer - og det er de nok da jeg skriver i appens beskrivelse, at den er super sikker og alt er beskyttet af en kode - så vil jeg have alt jeg skal bruge for en del personer.

Henrik Mygind

Appen er gratis at hente, så for at få udviklingsomkostningerne dækket har Pawel Szymon Czarny placeret en reklame, som kan fjernes gennem et køb i appen på syv kroner.

Og da reklamen skal bruge internet-adgang (Gætter jeg på) er det ikke underligt at appen kræver internet-adgang. Og så er det ikke utænkeligt at billedet bliver sendt afsted til en fremmed server.
Jeg ville have større tiltro til en app der ikke var beregnet til nemid - men alle slags billeder.

Ken Poulsen

Om nogen har taget en foto kopi af mit nøglekort uden at jeg har set det eller stjålet data fra min telefon, er der vel nok større chance for at finde dem digitalt, end i den analoge verden...
Så om mit papkort ligger ukrypteret på min telefon ("som jeg kan remote wipe") eller den ligger ukrypteret i min skuffe (som jeg ikke vogter over 24/7) er den digitale løsning i mine øjn bedre sikret...

carsten guldhammer

nem ide er udviklet til dig ???

ja vi har jo ikke ligefrem fået noget valg.

så istedet for burde der stå "nem ide er proppet ned i halsen af dig"

dan ide nægter jo at lytte til de kilometer lange kritik punkter der har været omkring nemide, så set i det lys forstår jeg godt at folk skidder på den såkaldte aftale der er om at man ikke må kopiere sine nøgler eller scanne dem eller fotografere dem...

Jan Friberg

Hvis jeg var hacker, ville det første jeg gjorde da være at lave en app "iNemtID", som uploader billedet til min server.


Tja selv om den er legitim og ikke sender billedet, så ville jeg som hacker straks gå efter denne app. App fortæller jo direkte hvor billedet ligger(endda i ukrypteret format) Det er da langt sikrere at have billedet liggende som et tilfældigt billede taget med kameraet.

Oleksandr Shturmov

Hvis jeg tager et billede af papkortet og gemmer det på min smartphone (hvor de fleste har en skærmkode) og mister den, skal tyven stadig kende login og password. Han skal så oveni Den tillægger jeg 10% mere sikkerhed end hvis jeg kun havde papkortet. Men nu har jeg så lavet en kriminel handling. Mening?

Tyven skal netop ikke kende dit skærmløssen, men blot forbinde med et kabel til en anden datamat for at have fat i billedet. Foranstaltningen er der nok i øvrigt for ikke at skulle tage hensyn til mulige programmelsårbarheder (som der er nok af) i enten din lommedatamat(iPhone, mm.), eller de datamater(Windows, mm.) du ellers forbinder lommedatamaten til.

Anders Rosendal

Jeg ville have større tiltro til en app der ikke var beregnet til nemid - men alle slags billeder.

Fordi ingen har interesse i at se telefon-billeder som en person mener er super hemmelige?
Jeg gætter på at folk tager noget mere "interessante" billeder som skal sikres end folk tager af deres papkort.

Så tror en generel app til at gemme billeder er noget mere usikker.

Brian Hansen

Jeg tror mit pap kort holdt i 10min før jeg scannede det ind og smed det et sted jeg altid kan få adgang til det, bare jeg er på nettet.
Kan andre finde det, og hacke sig ind til det? Sikkert! Bruger jeg lange ækle passwords til minnnetbank? Det er sku lige før jeg i protest har lyst til at linke til filen...

Allan S. Hansen

Smide folk af hvis de ligger deres billede ukrypteret på telefonen? Så jeg ikke kan komme i kontakt med det offentlige eller min bank?

Mit kort ligger ukrypteret i min pung, mindst lige så farligt - fordi som tidligere nævnt i tråden der ofte er CPR m.m. i den også.
Faktisk ved jeg også oftere hvor min telefon er, end min pung.

Men blot det at sådan en problemstilling opstår, afsløre jo en del af problemerne med metodikken i NemID.

Cristian Ambæk

Gider nets lige at klappe gælderne i.

Nets, der står bag NemID, er ikke glade for, at man opfordrer folk til at bryde med betingelserne for NemID

Men i må lager et billed på min PC som i gemmer data i?
Eller hvis man ringer til support (ikke mig) og spøger med hensyn til at man skal sige ok til den java boks der kommer ved f.eks. Netbank logind så siger i blank "bare tryk >>altid godkend<<".

Hvilket begge er stærkt kritisabelt.

Eller endnu bedre. NemID er så dårlig, og så mange klager telefonisk. At nets har fået lov til at ignorer opkald i hvad var det nu 3-5 minutter? Før nets behøver at tage telefonen. For at sorter så mange brugere fra som mulig.

Ikke for at snakke om nedetid, ustabilitet, dårlig sikkerhed, at nets ikke kan forsvare sig imod et lille D-DOS angreb o.s.v.

Jeg syntes det er fint med sådan en app. Jeg har også selv et billed af mit papkort på min PC. Dog har jeg også hele disken krypteret.

Men hvis det er et enormt problem for nets at billedet i appen ikke er krypteret. Så giv udvikleren en pose penge og få ham til at udvikle det eller lav det selv. Men stop klynkeriet.

Klavs Klavsen

Mit kort ligger ukrypteret i min pung, mindst lige så farligt - fordi som tidligere nævnt i tråden der ofte er CPR m.m. i den også.
Faktisk ved jeg også oftere hvor min telefon er, end min pung.

Nu er angrebsfladen BETYDELIGT mindre - når man fysisk skal have fat i din pung.

Udenlandske hackere (som vist er dem der hacker banker for det meste), vil have meget sværere ved at stjæle en fysisk ting, end ved at hacke din tlf.

Så jo - der er en god grund til at man ikke skal have sit nøglekort på sin tlf.

Pawel Czarny

Først og fremmest tak for interessen for iNemID. Det er glædeligt at emnet omkring digitalisering af NemID nøglekortet kan skabe en sund debat. Jeg håber selvfølgelig, på mine og alle andre danske borgeres vegne, at vi snart får en bedre og mere tidssvarende løsning til vores borgerservice login. I mellemtiden har vi lavet iNemID, der opstod på baggrund af et personligt behov om at lægge mit nøglekortbillede bag i beskyttelse samtidigt med at det var nemt og hurtigt at lægge ind og finde frem.

Af selvsamme grund har vi bevist valgt ikke at synkronisere data fra appen til nettet. Derfor er al kode udelukkende lokalt gemt på brugerens enhed og/eller på brugerens iTunes på PC'en, såfremt man anvender synkronisering. Vi understreger at iNemID har ingen interesse i at hente deres brugers nøglekort eller andre informationer gemt (fx PIN-kode).

Angående reklamesøjlen er en API, der kører på AdMob (fra Google) og iAd (fra Apple). Disse scripts fungerer 100% særskilt fra resten af programkoden og har derfor ingen tilgang til billeder eller andre informationer i appen. Endvidere er In App Purchase funktionen (fjernelsen af reklamesøjlen) en lille ramme til iAd'en, der simpelthen fjerner visningen af API'en når brugeren har valgt at slå denne fra.

Som Version2 skriver i ovenstående artikel er iNemID er skabt til os, der ikke er vilde med papirløsningen og finder billedegalleriet på vores enhed utilstrækkeligt, både mht.komfort og sikkerhed. Personligt er jeg endvidere mere tilbøjelig til at miste papiremner fremfor at miste mine digitale.

Med hensyn til varemærkebeskyttelsen af NemID ønsker iNemID selvfølgelig ikke at træde nogen over tæerne og vi vil gerne i dialog med DanID såfremt de mener at iNemID bryder med loven for immaterielle rettigheder. Ironisk nok var DanID selv gode til at "hapse" NemID varemærket fra Assemble A/S tilbage i 2010.

Mvh,
Pawel

Log ind eller Opret konto for at kommentere
Brugerundersøgelse Version2
maximize minimize