Syddjurs indfører NemID-login på mobilen for de ansatte

Skal det forstår som at Syddjurs kommune tvinger deres ansatte til at logge ind gennem den gatekeeper der kontrollerer deres **private liv*', for at varetage deres arbejde, hvor entiteten må formodes at være en anden end som borger?

Næppe. Nemid udbydes også som medarbejdersignatur endda både med og uden CPR-nummer. Desuden kan bankerne også udstede løse nemid logins.

Næppe. Nemid udbydes også som medarbejdersignatur endda både med og uden CPR-nummer. Desuden kan bankerne også udstede løse nemid logins.

Uden at være 100 procent sikker, er der meget, der tyder på, at der er tale om medarbejdernes private NemID. Aarhus Kommune har implementeret en lignende løsning, ligesom også Aabenraa Kommune har gjort det.

Vh Morten, Version2.

Desuden kan bankerne også udstede løse nemid logins.

Javel ja, tænk den må du godt lige uddybe, for det er da vist en nyhed.

Skal det forstås som at bankerne kan udstede "et løst NemID" uden det er bundet til et CPR nummer?

Efter min opfattelse tolker jeg en afgørelse i Datatilsynet sådan, at man IKKE må forlange at en ansat benytter sin private NemId til logon osv.

http://www.datatilsynet.dk/afgoerelser/seneste-afgoerelser/artikel/kommu...

Men det er selvfølgelig klart, at såfremt der er tale om et "medarbejdercertifikat" stiller sagen sig meget anderledes :-)

Ja - når jeg så læser præsentationen fra Aabenraa kommune ovenfor, ser det ganske rigtig ud til at Datatilsynet har accepteret brugen - men KUN såfremt det er frivilligt for den ansatte om den ansatte vil benytte sin private NemID til formålet!

Rent teknisk vil de ansatte snart kunne logge ind fra deres telefoner og tablets gennem en Microsoft Forefront TMG-server, som tjekker, om en person er ansat i kommunen, ud fra NemID-login. Derefter bliver de sendt videre til en Citrix-server, som logger brugerne ind via AD’et.

Java appletten kan ikke køre på telefonen, så hvis dette skal fungere, skal man fra telefonen logge på en ekstern server og bruge NemID derfra. Alt andet lige må det reducere sikkerheden i NemID. Der kan ikke være NemID to-faktor sikkerhed i forhold til forbindelsen fra telefonen til den server hvor NemID appletten kører.

Der er rigeligt MiTM forvejen med NemID..

Man må som nævnt af Jesper L gerne tilbyde NemID som ekstra mulighed, så længe det ikke er eneste alternativ for adgang til information/systemer, der er kritisk for at kunne udføre arbejdet. At alternativet ofte kan være noget værre bøvl i det eksisterende setup, er noget hø, men ikke NemIDs skyld :)

I mangel af bedre, er det altså en brugbar måde hurtigt at give adgang til en række brugere, der ellers skal vente i kø til en fælles-pc, eller skal ind til et kontor til en stationær.

Skal man decideret behandle data, og ikke blot læse, er der strengere krav.

NemID er absolut ikke lykken i min optik, men i skrivende stund er et økonomisk fornuftigt alternativ (der lever op til sikkerhedskravene for det offentlige) ikke til at få øje på.

Ja - når jeg så læser præsentationen fra Aabenraa kommune ovenfor, ser det ganske rigtig ud til at Datatilsynet har accepteret brugen - men KUN såfremt det er frivilligt for den ansatte om den ansatte vil benytte sin private NemID til formålet!

Enig, man kan ikke læse det på anden måde.

Desuden kan bankerne også udstede løse nemid logins.

Javel ja, tænk den må du godt lige uddybe, for det er da vist en nyhed.

Skal det forstås som at bankerne kan udstede "et løst NemID" uden det er bundet til et CPR nummer?

Jeg har ikke undersøgt den del af sagen i detaljer. Så vidt jeg ved får man aldrig en fuldmagt i en dansk bank uden at man opgiver sit CPR nummer. Men du kan til en konto som ikke er din egen få et særskilt nemid login i nogen banker. Andre banker har valgt andre løsninger end nemid til erhverv.

Jeg har ikke undersøgt den del af sagen i detaljer. Så vidt jeg ved får man aldrig en fuldmagt i en dansk bank uden at man opgiver sit CPR nummer. Men du kan til en konto som ikke er din egen få et særskilt nemid login i nogen banker. Andre banker har valgt andre løsninger end nemid til erhverv.

Og det var jo så ikke lige svaret på mit spørgsmål!

Der er intet problem i at banken kender min identitet, det er ikke det der drejer sig om.

Det drejer sig om hvorvidt banken kan udstede "et løst NemID" hvor entiteten IKKE er mit CPR nummer?

Det drejer sig om hvorvidt banken kan udstede "et løst NemID" hvor entiteten IKKE er mit CPR nummer?

I denne sammenhæng kan det ikke være netbank NemID'er som vi taler om, men enten OCES NemID eller medarbejdercertifikater (afhængig af hvilken løsning kommunen vil bruge).

Jan du kom med en nok så flot udmelding om banken kan udstede "et løst NemID", for efterfølgende at luske ud af debatten.

Så får man et svar?

Bortset fra det, Helge Sander (og digitaliseringsstyrelsen) sagde i sin tid at det skulle være frivilligt at benytte NemID.

Består frivilligheden så i at folk der ikke har NemID er udelukket fra dele af samfundet, for det er ikke muligt at ansøge om en videregående uddannelse uden.

Jeg undret over at hele debatten handler om lov og brug af NemID. Der er ingen der undrer sig over at der står at der anvendes NemID på mobilen. NemID findes som bekendt stadig ikke til mobile enheder, så hvordan er det lykkedes Syddjurs Kommune at få det til at virke? Og når man læser artiklen i KIT Magasinet er der på venstresiden af opslaget en artikel om at NemID kommer til mobile enheder i løbet af et år. Underligt at journalisten ikke kan se fejlen.

Svaret er at det slet ikke er NemID der anvendes mobilt, men nogle andre certifikater som virker mobilt.

Jeg læser af artiklen at der ikke er tale om en NemId løsning til mobilen, men blot at brugerens NemId bliver kontrolleret af backend serveren for at se om de er tilknyttet kommunen. Så der er ikke tale om en egl NemId mobil løsning men snare at bruge NemId oplysninger i et propreitært VPN system.

Jeg læser af artiklen at der ikke er tale om en NemId løsning til mobilen, men blot at brugerens NemId bliver kontrolleret af backend serveren for at se om de er tilknyttet kommunen. Så der er ikke tale om en egl NemId mobil løsning men snare at bruge NemId oplysninger i et propreitært VPN system.

Jo, men hvis du har authentificeret brugerne i dit proprietære VPN system med to-faktor el.lign. hvad skal du så med NemID?

Omvendt, hvis authentificeringen sker med NemID, som kører på den centrale server, hvordan sikrer du så forbindelsen mellem mobilt device og serveren?

Ja altså vi har jo ikke mange detaljer, at gøre godt med, i den korte artikle. Men den nævner ikke at to faktor bruges. Den nævner login med NemId login. Men du kan også logge på din webbank uden at bruge tofaktor, det skal først bruges når du vil "lave noget" derinde. Men igen der er ikke meget Info at arbejde med. Men jeg er overbevist om at det vil være en fejl, at læse det som om, der er blevet lavet en egl mobil NemId løsning til dem.

Mobilt NemID findes som bekendt ikke. Grunden til at bankerne kan signere transaktioner med NemID-nøglekortet skyldes at NemID ikke bare er NemID. Udgaven som bankerne benytter har implementeret muligheden for at skille de to faktorer ad, så man kan anvende nøglekort-delen uden at anvende adgangskode-delen. Denne mulighed findes ikke i den NemID resten af Danmark kan benytte, hermed også det offentlige.

Uanset om NemID anvendes til autentifikation eller verifikation, skal brugeren identificere sig gennem NemIDs to faktorer.

Syddjurs har implementeret en adgang til deres systemer fra PC'er, hvor brugeren logger på med NemID som "første faktor" og derefter med deres AD-login. I det mobile scenarie anvendes en app som har fået tildelt en brugernøgle der anvendes som "første faktor" (i stedet for NemID) og derefter logges igen ind med AD-login. Der er mao. ikke NemID involveret i det mobile scenarie.