morten storm petersen bloghoved

Digital Signatur og NemID – fra chipkort til papkort

Af 54

Måske har man en dag, hvor man sad og fumlede efter NemID papkortet tænkt: hvordan havnede vi egentlig lige her?

Det er jo et godt spørgsmål. Og kigger man ud over de andre lande i Europa finder man ikke et svar, for der er næppe to lande, som har valgt samme tilgang til digital signatur. På trods af fælles EU direktiv og teknisk standardisering betyder landegrænser og kultur tilsyneladende stadig meget på et område som digital signatur, som hænger tæt sammen med national lovgivning, retssikkerhed og suverænitet.

Som jeg argumenterede i mit sidst indlæg Næste generation af digital signatur, varer det ikke så længe, inden det skal planlægges, hvordan vi ønsker at udvikle signaturen efter NemID.

Hvor underligt det end lyder, så synes jeg, at der er mange gode forklaringer på, hvordan vi bevægede os fra chipkort i 1999 og havnede med papkort til den nye generation af digital signatur i 2010. Og når man skal planlægge fremtiden, er det godt at kende forhistorien.

EU Direktivet og pilotprojekterne i 1999

Der var op igennem 1990’erne store forhåbninger til anvendelsen af digital signatur baseret på RSA sikkerhedsalgoritmerne. Området gennemgik en stærk teknisk standardisering og lovgiverne i Europa lagde sig også i selen for at følge med udviklingen. Dette resulterede blandt andet i EU direktivet om digital signatur dateret 13. december 1999. Her kan man blandt andet læse:

”Electronic communication and commerce necessitate electronic signatures and related services allowing data authentication. The interoperability of electronic-signature products should be promoted”.

Som det fremgår, var målet ikke digital forvaltning, men elektronisk handel, med hele den aura af magi, som det begreb dengang havde i politiske kredse.

EU direktivet blev implementeret i dansk lov pr. 1. oktober 2000 ved ”Lov om elektroniske signaturer” . Der gives i øvrigt en fin oversigt over juraen bag den digitale signatur på hjemmesiden NemID.nu. På samme hjemmeside findes en grundig gennemgang af Historien om digital signatur.

Den tekniske standardisering for Offentlige Certifikater for Elektroniske Services (OCES) forankredes i ”Forum for Digital Signatur” hos Danske Standard i Charlottenlund. Her fastlagde leverandører og deltagere i de første pilotprojekter om digital signatur fra 1999 tekniske standarder på områder, hvor der ikke på det tidspunkt var oplagte internationale standarder eller erfaringer at pege på.

Et af de problemområder som gav virkelig mange og lange diskussioner, var håndteringen af CPR nummeret. For at signaturen kunne anvendes til offentlige forvaltning, var det nødvendigt at lave en kobling til CPR nummeret, men på den anden side havde man, dengang som nu, et behov for at holde det hemmeligt.

Der blev fremført mange forskellige tekniske løsningsforslag til indkodning af CPR nummer på en hemmelig måde i de offentligt tilgængelige certifikater, men på grund af det forholdsvis lille antal gyldige CPR numre blev disse alle opgivet på grund af risikoen for udtømmende søgning. I sidste ende blev det besluttet at lave et neutralt løbenummer (PID) i certifikaterne og en tilhørende online PID/CPR opslagstjeneste.

Offentlige tjenester har lov til at få udleveret det CPR nummer, der hører til certifikatet. Private tjenester skal indhente CPR nummeret fra brugeren, som dermed selv udleverer CPR nummeret, hvorefter tjenesten kan få bekræftet sammenhængen mellem CPR nummer og certifikat i PID/CPR tjenesten. Det er disse metoder, som anvendes i dag.

Alle blev nok mindet om de heftige følelser CPR nummeret til alle tider har kunnet vække i debattørerne, da Ekstrabladet tilbage i 2000 kaldte PID nummer for et nyt ulovligt CPR nummer og mistænkeliggjorde videnskabsministeriets Palle Sørensen, som igennem hele forløbet med digital signatur var en vigtig og dygtig drivkraft på området. Er der mon ikke snart nogen, som laver en forening: ”befri dit CPR nummer”, hvor vi kan vælge at offentliggør vore numre?

De første pilotprojekter om digital signatur i 1999 viste mestendels, at smartcard teknologien ikke var hverken moden eller brugervenlig nok til udrulning til borgere og virksomheder på daværende tidspunkt. Projekterne fik dog opstartet vigtigt arbejde omkring standardiseringen og arbejdet med sikkerhed, som det f.eks. kan genopleves i Kodeks for sikker anvendelse af digital signatur i pilotprojekterne.

OCES i 2003

Efter pilotprojekterne, og et mellemliggende SKI udbud på området, blev der udskrevet en projektkonkurrence om OCES i 2002.

Projektkonkurrencen og den vindende løsning fra TDC fjernede en række hindringer for udbredelsen, og sikrede igennem et langt sejt træk, at OCES infrastrukturen vandt udbredelse.
Teknisk var OCES digital signatur en software baseret løsning, hvor man, i stil med netbankernes sikkerhedsløsninger på det tidspunkt, opbevarede en privat signeringsnøgle på brugeren harddisk.

I de første år fra 2003 til 2006 skete der en hastig produktudvikling af digital signatur infrastrukturen i takt med at de praktiske erfaringer og nye behov viste sig. Nogle af de forbedringer der blev indført var:

  • Mulighed for OCES certifikater for unge mellem 15 og 18 år.
  • Tvungen brug af stærkt password til aktivering af signaturen i de forskellige browsere
  • Signatur leveret på ”CD Rom” og USB stick
  • Mulighed for straks udlevering af signatur fra borgerservices i kommuner
  • Udstedelse til borgere med adressebeskyttelse eller bosiddende i udlandet
  • Bedre løsninger til blinde og svagtseende
  • Open source softwarekomponenter (opensign og openlogon) til tjenesteudbydere
  • Straks-udstedelse med Tastselv kode, medarbejder bredbånds installationsadresse eller voice respons løsning.

De mest udbredte offentlige identifikationsmekanismer tilbage i starten af 0’erne var henholdsvis tastselvkoden fra Skat og fælles pinkode fra KMD. Begge løsninger havde et langt liv parallelt med at digital signatur voksede sig stærkere, og udgjorde sammen med en konkurrerende løsning fra PBS kaldet Net-ID, de største konkurrenter i hvad nogle medier dramatisk kaldte signatur-krigen tilbage i 2004. Se for eksempel en artikel om Net-ID fra dengang.

Den nye generation af OCES signaturer blev lanceret med NemID til private i sommeren 2010 og NemID til erhverv sommer 2012.

Hvordan gik det med direktivet og signaturen i Europa imens?

Det oprindelige EU direktiv resulterede i mange implementeringer af kvalificeret signatur rundt omkring i Europa. De fleste løsninger baserede sig på smartcards og havde også en anvendelse som ID kort. Trods store investeringer i mange lande, har denne løsningstype ikke fremvist overbevisende mængder af elektroniske transaktioner, og i praksis er der i dag flere forskellige typer af elektroniske ID løsninger i næsten alle lande. Det kan man f.eks. læse mere om i IDABC esignatures projektet - se afsnittet ”final report”.

Som også beskrevet i Anders Boisens blog indlæg, er der nu en EU forordning undervejs. Denne forordning skal give en ramme for, at de mange nationale elektroniske ID løsninger kan bringes til at fungere på tværs af landegrænser.

Så hvor den oprindelige tilgang fra EU var at lave én teknisk og sikkerhedsmæssig standard, er ambitionen nu at kunne få forskelligartede systemer til at samarbejde, baseret på erfaringerne fra EU projektet STORK..

Tilbage til fremtiden

Nogle har ment, at den internationale standardisering og specielt EU forordningen vil skabe hindringer for en løsningstype, som den nuværende danske NemID. Det mener jeg egentlig ikke. Jeg mener, at vi i Danmark løbende vil have frihed til at videreudvikle de digitale signaturløsninger, som passer til vore behov og de sikkerhedsrisici vi løbende må gardere os imod.

I forhold til sikkerhedsudfordringerne tror jeg, at man om vores rejse med digital signatur kan sige, som Churchill sagde i forbindelse med sejren i andet slag om El Alamein: ”Now this is not the end. It is not even the beginning of the end. But it is, perhaps, the end of the beginning.”

At denne rejse så undervejs skulle omfatte et papkort til den digitale signatur, det havde vi nok ikke forestillet os, da vi sad og bøvlede med chipkort i 1999. Men kortet er til at forstå for alle, og hæver barrieren for angriberne.

Hvordan mon vi bedst kommer videre herfra, når der skal planlægges en efterfølger til NemID sortimentet fra 2017?

Jeg håber måske, at man fra offentlig side vil have selvtillid nok, til at forsøge at dele infrastrukturen og udfordringerne op i nogle mindre bidder.

Kommentarer (54)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Andreas Bach Aaen

Det ville passe mig fint hvis man fjernede den misforståelse at cprnummeret er en validering. Det er blot et identitetsnummer. Det eneste der bør forhindre fuld offentligørelse af CPR numre er den fadæse, at nummeret indeholder folks fødselsdag og køn. I mange henseender er ikke information, som er ønskeligt at dele offentligt i enhver sammenhæng.

Jeg har stadig utroligt svært ved at komme mig over den fatale designfejl NemID indeholder. Den er designet til glæde for staten og ikke for borgerne. Det er således states sikkerhed der er i fokus og ikke borgernes. Det er staten, der ligger inde med alle de private nøgler ikke borgerne. Det er også langt ude at måle succes i hvor mange der benytter OCES nemID, når der er et voldsomt moment af tvang i løsningen. Var 2. verdenskrigs koncentrationslejre en succes fordi der var mange der benyttede dem?

Det er frygteligt ærgeligt hvis NemID designet ikke bliver tvunget til at afgå ved døden pga. kommende EU regler. - og til hvis glæde er Eu reglerne tænkt? til staternes glæde eller borgernes?

De store overvågningsskandaler for tiden har ikke gjort problematikken om hvem der har adgang til de private nøgler nemmere.

Ideen med papkort er til gengæld super god. Jeg fatter ikke den store modstand mod papkort. Konceptet med engangsnøgler på et afkoblet medie er godt. Den eneste svaghed er, at alle efterhånden har et kamera i lommen via deres mobiltelefon, så kortet kan hurtigt kopieres.

  • 17
  • 5
#2 Jette Hartmann

"Var 2. verdenskrigs koncentrationslejre en succes fordi der var mange der benyttede dem?" Synes du selv den sætning er seriøs? Der var ikke mange der "benyttede" koncentrationslejrene - de blev anbragt, mishandlet og slået ihjel. Det ville klæde dig at få fjernet dit uheldige skriv. Og gør du det, så skal jeg gerne bede moderator om at fjerne dette også!

  • 7
  • 24
#3 Christian Nobel

Hvorfor det?

Det er da fuldt legitimt at påpege at brugen af tvang er usympatisk, og da der på ingen måde er tale om at udsagnet går efter en navngiven person eller lignende, berettiger det på ingen måde at indlægget skal fjernes.

Endvidere, så uagtet hvad du mener, så er hele den centralt styrede overvågningsløsning, som NemID udgør, en glidebane mod en tvangsløsning som ikke lader 1984 noget tilbage (og hvor følgerne af tvangen heller ikke var rare).

  • 12
  • 5
#4 Christian Nobel

Og nu vi er i samme periode, så bliver en løgn altså ikke til en sandhed, bare af at blive gentaget tilstrækkelig mange gange.

NemID er IKKE en digital signatur, men kun en SSO løsning - at man så prøver at bilde folk det ind, fordi man liiige fjerner udtrykket avanceret fra teksten, og derfor ikke behøver at tage hensyn til gældende lovgivning, ændrer ikke på sagen.

  • 17
  • 4
#5 Claus Bo Larsen

NemID er IKKE en digital signatur, Prøv at høre Danske Bank om hvad deres holdning er til dette. Jeg har fornylig indgået en "aftale" med DDB på nettet. For at den er gyldig blev jeg bedt om at bekræfte med min "Digitale Signatur" nemID. Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir. Hvem mon har ret ? Hvor dan mon en dommer vil tolke det ? /Claus

  • 5
  • 2
#6 Niels Didriksen

Hej Morten

Det er meget fint at du vil blogge om vores nationale digitale signatur og NemID. Jeg håber blot inderligt, at du har erkendt, at der blandt dit publikum herinde er en del relativt kompetente mennesker, der har godt greb om de vigtigste kernepunkter i sagen handler om.

Jeg håber derfor, at du ikke, som så mange andre der er tæt på udviklingen af systemerne, vælger at danse blindt og døvt omkring den 18 tons store lyserøde elefant med rotorblink på hovedet, der står midt i dagligstuen.

Eller sagt på en anden måde; hvis du vælger at forholde dig passivt/ukonstruktivt eller slet ikke forholde dig til de fatale og grundlæggende designfejl og problemer i NemID, så er din blog (ked af at sige det) fuldstændig ligegyldig, og du burde derfor spare dit krudt til når nets mangler inspiration til selvforherligende pressemeddelelser.

Hvis du derimod tager det seriøst, at danskere er blevet frataget enhver mulighed for at sikre konfidentialiteten/integriteten/tilgængeligheden af deres nationale digitale identitet, så er det naturligvis en anden sag og din indsats hilses i høj grad velkommen.

Til uindviede skal det for en god sags skyld nævnes, at jeg bla. tænker på problemerne vedr. generering/opbevaring af privat nøgle, single-point-of-failure, monopol på ydelser der baserer sig på "digital signatur". Ejerskabet af infrastrukturen, samt hvilke interessenter systemet bør tilgodese.

Jeg tror derfor vi er mange, der venter med spænding på at du addresserer elefanten i stuen.. Efter et besøg på signaturgruppens hjemmeside er jeg ikke fortrøstningsfuld, men du er utroligt velkommen til at overraske.

  • 24
  • 1
#7 Bjarke Alling

Hej Claus,

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Det har de. Der ligger både en lov samt flere bekendtgørelser bag den juridiske gyldighed af NemID POCES som underskrift for dig eller mig selv som boger. En sådan sag er ikke værd at bringe for retten.

  • 2
  • 0
#8 Christian Nobel

Det har de. Der ligger både en lov samt flere bekendtgørelser bag den juridiske gyldighed af NemID POCES som underskrift for dig eller mig selv som boger. En sådan sag er ikke værd at bringe for retten.

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

  • 0
  • 0
#9 Bjarke Alling

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

https://www.nemid.nu/dk-da/digital_signatur/juraen_bag_digital_signatur/

Givet på Christiansborg Slot, den 31. maj 2000 Under Vor Kongelige Hånd og Segl Margrethe R. Lov om elektroniske signaturer https://www.retsinformation.dk/Forms/R0710.aspx?id=6193

  • 3
  • 0
#11 Johnny Larsen

Hmm, gad vist om man kan fortolke at NemID overholder dette, specielt punkt C: (definition af Avanceret elektronisk signatur).

2) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

  • 6
  • 0
#12 Christian Nobel

Hmm, gad vist om man kan fortolke at NemID overholder dette, specielt punkt C: (definition af Avanceret elektronisk signatur).

2) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

Nej, og det er præcis det der er meget vigtigt at holde fast i.

NemID proselytterne fremfører nemlig at det kun er gældende for en avanceret digital signatur (sic!) som beskrevet i loven, men i og med adjektivet avanceret er udeladt i forbindelse med NemID, så mener man ikke at man skal følge loven.

Så det er sådan set uhyre enkelt, der er ikke noget lovgrundlag for NemID!

  • 8
  • 0
#13 Peter Makholm Blogger

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Som hovedregl er der i Danmark ingen formkrav til hvordan man indgår en bindende aftale. Derfor er en aftale underskrevet med "pen og blæk" ikke juridisk mere bindende end en aftale indgået via en webformular eller en mundtlig aftale.

Derfor tror jeg du kan være ganske sikker på at en dommer vil komme frem til at aftalen er bindende når du har godkendt den ved at anvende NemID. (Hvis aftalen i øvrigt kan betragtens som bindende)

Enkelte steder i dansk ret er der krav om at en aftale eller oplysning skal foreligge skriftligt. Her har der de sidste 15 år været gennemført lovændringer så det er klart af aftalen også kan ske digitalt. Men generelt skal det bare være klart for begge parter at der indgåes en aftale.

De bekendtgørelser der nævner NemID er højst sandsynlig på områder hvor der ikke er nogle særlige lovkrav til aftaleindgåelsen. Derfor er omtalen af NemID primært en angivelse af hvornår det offentlige skal anse en aftel for at være indgået. Som sådan kunne bekendtgørelsen lige så vel kræve et håndslag.

Uden vitterlighedsvidner mener jeg iøvrigt ikke at en analog underskrift er mere sikker end at aftalen er indgået ved hjælp af NemID.

Formålet med Lov om elektroniske signaturer er først og fremmest at regulere en hypotetisk branche der skulle udstede kvalificerede certifikater for nøgler anvent til public key-kryptering. Kun §13 handler om den juridisk effekt og den er nærmest en cirkelslutning som siger at hvis en lov omtaler elektroniske signaturer så mener den blandt andet elektroniske signaturer som de er beskrevet i Lov om elektroniske signaturer.

  • 7
  • 0
#14 Morten Storm Petersen

@Peter - tak for detaljerne på dette punkt. I forhold til netbankerne er der yderligere den komplikation, at man her ved logon med NemID nøglekort ikke anvender OCES, men såkaldte korttidscertifikater, hvor de private nøgler kun genereres og anvendes i én session. Men det ville bestemt være interessant at se en retspraksis på området, det tror jeg mange ville være interesseret i.

@Niels og Christian. Jeg er mig bevidst om, at der er mange kompetente læsere på version2, der er kritiske overfor NemID med nøglekort. Jeg vil gerne også have opmærksomhed på de andre og mere traditionelle signaturløsninger i det nuværende NemID sortiment, herunder NemID på hardware og medarbejdersignatur med nøglefil, så vi også tænker over hvordan disse kan anvendes.

Tilbage i 2007/8 hvor designet af NemID med nøglekort blev lavet, var det største sikkerhedsproblem hos borgerne Trojanere, som også kunne opsamle nøglefiler. Vægtet med ønskerne om at styrke mobiliteten og forståelighed for alle befolkningsgrupper, mener jeg fortsat, at NemID med nøglekort var et brugbart kompromis.

Men der er efterhånden mange afhængigheder i infrastrukturen, hvilket gør det vanskeligere og dyrere at lave markante ændringer fremadrettet.

  • 3
  • 5
#15 Niels Didriksen

Jeg er mig bevidst om, at der er mange kompetente læsere på version2, der er kritiske overfor NemID med nøglekort.

Bååååt! Sorry Morten. Du gik lige forbi den lyserøde elefant. Som frygtet.. Desværre.. Jeg nævnte intet omkring nøglekort, som ikke har noget med de problemer jeg refererede til.

Jeg håber, det var en smutter fra din side.

Og mange af de "kompetente læsere på version2" har talløse gange påpeget de fatale elementer i hele NemID-konceptet, hvilket jo også (ganske som forudset) har medført præcis de problemer der blev spået. Sidstkommende er den forfærdelige udsigt til at Nets (og dermed alle danskeres private nøgler samt nationale sikkerhedskrydsfelt) bliver solgt til en eller anden amerikansk hedgefont.

Det kan da ikke passe du ikke er opmærksom på den særdeles fagligt begrundede kritik, der er blevet fremført de sidste par år??

Vægtet med ønskerne om at styrke mobiliteten og forståelighed for alle befolkningsgrupper, mener jeg fortsat, at NemID med nøglekort var et brugbart kompromis.

Husk på, at ufatteligt få af de herligheder som NemID skulle medføre, har indfundet sig (Her fraregnes udbredelsen, som ville have været lige så stor med hvilken som helst anden løsning, der var blevet indført med tvang). Mobilitet er ihvertfald for længst skudt ned.

Men der er efterhånden mange afhængigheder i infrastrukturen, hvilket gør det vanskeligere og dyrere at lave markante ændringer fremadrettet.

JA MORTEN. Det var OGSÅ forudsagt for år tilbage. Og det vil kun blive dyrere og dyrere i takt med vi teknologisk set graver os længere ned i et proprietært og ufleksibelt hul. Og du behøver ikke at rose mig engang i fremtiden, når jeg får ret i den påstand. Forudsat vi ikke skrotter konceptet inden da.

For at være lidt konstruktiv:

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod en reel digital signatur med reelle private nøgler under borgerens kontrol?

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod at eliminere kostbare proprietære afhængigheder, der gør det "vanskeligere og dyrere at lave markante ændringer fremadrettet"?

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod et system, der er hærdet mod risikoen for uønsket indflydelse fra ikke-nationale interesser?

--

Som sagt, lad os lige et øjeblik droppe papkort-snak og fokusere på den reelle elefant.

  • 16
  • 3
#16 Andreas Bach Aaen

Det har virket som om danid kun har lavet deres hardwareløsning af pligt. i praksis er den næsten uanvendelig da den kun kan bruges meget få steder. Desværre virker det som om staten er helt ligeglad med ar det kun er bogstavet og ikke intentionen der er ført ud i livet.a

  • 0
  • 0
#17 Andreas Bach Aaen

Det har virket som om danid kun har lavet deres hardwareløsning af pligt. i praksis er den næsten uanvendelig da den kun kan bruges meget få steder. Desværre virker det som om staten er helt ligeglad med ar det kun er bogstavet og ikke intentionen der er ført ud i livet.a

  • 0
  • 0
#18 Hans Schou

Den tekniske standardisering for Offentlige Certifikater for Elektroniske Services (OCES) forankredes i ”Forum for Digital Signatur” hos Danske Standard i Charlottenlund.

Nå! Nå? Den form for signatur er ikke noget værd i mine øjne. Private nøgler der opbevares af andre end borgeren selv, er ikke privat. Helt ubrugeligt. Jeg imponeres desværre ikke af at Dansk Standard har været med, tværtimod.

Skattevæsnet har en fortrinelig TastSelv login, og de kan kommunikere med borgerne via email. Hvis de så lige gjorde det muligt at jeg kunne uploade min PublicKey, så var den hjemme. Indtil da må man hente den fra http://pgp.mit.edu/

Den der OCES-dims er sikkert udmærket hvis man har brug for at have en "notar" som mellemand, men ellers kan jeg ikke se hvad den skal gøre godt for. Som signatur kan den ikke bruges.

  • 7
  • 2
#19 Helge Svendsen

NemID er IKKE en digital signatur, men kun en SSO løsning - at man så prøver at bilde folk det ind, fordi man liiige fjerner udtrykket avanceret fra teksten, og derfor ikke behøver at tage hensyn til gældende lovgivning, ændrer ikke på sagen.

Lige så mange gange har modstanderne blandet NemID for erhverv og person sammen.

Om TOTP (papkort) er en digital signatur er en lang diskussion, faktum er, at med rette plugin, så kan du faktisk godt bruge det til at signere (eks din email) med.

De andre løsninger, hardware og udstedelse til nøglefil er i høj grad lige så meget en digital signatur, som TDC's gamle løsning var i sin tid. Nøglefils delen er faktisk nøjagtig samme teknologi. Hardware løsningen baserer sig, naturligt nok, på en hardware implementering af teknologien fra nøglefils løsningen.

PKCS11 / X509 / PKI.

  • 1
  • 8
#20 Christian Nobel

Lige så mange gange har modstanderne blandet NemID for erhverv og person sammen.

Og? Nu er der jo ligesom ikke en speciel kontekst her der siger at der kun kan drøftes NemID for erhverv - og i og med NemID for private fylder ret meget i landskabet, så er det også det der bør tages fat i først.

Om TOTP (papkort) er en digital signatur er en lang diskussion, faktum er, at med rette plugin, så kan du faktisk godt bruge det til at signere (eks din email) med.

Og faktum er at de fleste herinde ikke som så mener at selve papkortet er det helt store problem (det er bare uelegant), men at man skal forholde sig til den reelle elefant.

De andre løsninger, hardware og udstedelse til nøglefil er i høj grad lige så meget en digital signatur, som TDC's gamle løsning var i sin tid. Nøglefils delen er faktisk nøjagtig samme teknologi. Hardware løsningen baserer sig, naturligt nok, på en hardware implementering af teknologien fra nøglefils løsningen.

Og?

Du mener altså at bare noget er gjort forkert tidligere, så legitimerer det at man ikke gør tingene korrekt nu - og så kan elefanten blive ved med at stå i stuen.

  • 6
  • 3
#21 Helge Svendsen

Du mener altså at bare noget er gjort forkert tidligere, så legitimerer det at man ikke gør tingene korrekt nu - og så kan elefanten blive ved med at stå i stuen.

Du snakker udenom Christian.

Nej, jeg mener du skulle læse Niels Didriksens indlæg ovenfor, han påpeger nogle reelle problemer med NemID løsningen, herunder ejerskabet.

Jeg er enig med dig i at TOTP (papkort) løsningen er uelegant og har sine svagheder. Hvad enten det er Java eller javascript, så er der stadig et MITM problem per design.

Hvis du har nogle reelle argumenter i retning af at "NemID ikke er en rigtig signatur", altså hardware og nøglefils løsningen, så kom endelig med dem.

  • 0
  • 3
#22 Morten Storm Petersen

@Niels: Et af mine formål med at gennemgå udviklingen af signaturløsningerne i Danmark de sidste 10 år var egentlig at give et bedre grundlag for at diskutere den fremadrettede udvikling.

Du har ret i at egenkontrol over den private nøgle er helt centralt.

Signaturløsningen i 2003 var helt standardiseret med en nøglefil på borgerens computer, hvor borgeren selv skulle følge en vejledning i at sætte sikkert password i Internet Explorer. Det blev ret hurtigt klart, at det var et urealistisk ansvar at give almindelige borgere, og det blev (sikkert med rette) betragtet som en sikkerhedsbrist.

Man kan få et godt indtryk af diskussionen dengang her

Senere demonstrerede en IT specialist i TV Avisen, hvordan man kunne stjæle den private nøglefil og password med en trojaner, uden at brugeren havde mulighed for at opdage det efterfølgende. Det hjalp jo heller ikke på humøret.

I 2008 designet af NemID gav løsningen med engangskoder og central opbevaret nøglefil en vis modstandskraft imod sikkerhedsproblemer på borgernes computere og risikoen for at miste sin signatur uden at kunne opdage det. Til gengæld blev løsningen kompleks.

Der er vel stadig ikke noget som tyder på, at borgernes computere er et sikkert sted at have nøglefilerne. Men måske kan et bud på fremtidige løsninger indeholde en kombination af en lokal og en central nøgle, så den centrale del ikke bliver helt så sikkerhedskritisk. Et eksempel på den strategi kan man f.eks. finde i Alexandra instituttets ITSCI projekt - pdf. Denne type løsninger har dog også svagheder ifht. DOS etc.

@Andreas: Jeg mener at NemID på hardware understøttes bredt i det offentlige. Bankerne anvender jo ikke OCES, så de understøtter det ikke, ligesom der kan være private tjenesteudbydere, som ikke har prioriteret at understøtte løsningen på visse platforme. Det bedste ville selvfølgelig være, hvis alle tjenesteudbydere automatisk understøttede alle varianter, og man kan jo opfordre dem til at få rettet problemer.

  • 1
  • 2
#23 Helge Svendsen

Signaturløsningen i 2003 var helt standardiseret med en nøglefil på borgerens computer, hvor borgeren selv skulle følge en vejledning i at sætte sikkert password i Internet Explorer. Det blev ret hurtigt klart, at det var et urealistisk ansvar at give almindelige borgere, og det blev (sikkert med rette) betragtet som en sikkerhedsbrist.

Lige præcis, for ikke at sige, hvor mange pc'ere og hard diske, der blev solgt i den blå avis, eller blot smidt i til affald, med gyldige nøgler på.

Det er der ikke nogen "Nem" løsning på, og derfor kan man spekulere lidt på, om "NemID" måske var det rigtige navn.

God sikkerhed er aldrig nemt.

  • 1
  • 1
#24 Christian Nobel

Hvis du har nogle reelle argumenter i retning af at "NemID ikke er en rigtig signatur", altså hardware og nøglefils løsningen, så kom endelig med dem.

Og du taler om jeg snakker udenom - kunne du så ikke starte med at læse og forstå hvad jeg tidligere har skrevet.

NemID er ikke en rigtig (og ej heller lovlig) digital signatur, al den stund at man ikke selv har kontrollen over egne nøgler - længere er den ikke!

  • 5
  • 3
#25 Gert Madsen

En af årsagerne til de store problemer med NemID, er jo at man laver en "one-size-fits-all"-løsning.

NemID i sin nuværende konstruktion, kan jo være udemærket til visse ting. Feks. er der ingen problem i visse sikkerhedsbrister i pengetransaktioner, så længe bankerne der udbyder løsningen, også er dem der bærer ansvaret hvis sikkerheden brydes.

Man har jo over tid haft forskellige sikkerhedsniveauer i den analoge/papirverdenen, afhængigt af hvor alvorlige konsekvenser en fejl kan have, samt hvor nemt/sandsynligt det er at en fejl bliver hurtigt opdaget.

Feks. kan skoleindskrivning fint klares med den nuværende NemID. Det er begrænset skade der sker, hvis en elev indskrives fejlagtigt af nogen, som vil drille. Derimod mener jeg at den digitale tinglysning er fuldstændig vanvittig. Sikkerheden er simpelthen ikke god nok til at håndtere noget, som totalt kan ruinere hvem som helst.

Det er fint, at der skal være visse kompromisser for at få en brugbar løsning til hr og fru Hansen. Men der mangler totalt erkendelsen af at der så er visse ting, som signaturen ikke kan/bør bruges til.

  • 5
  • 0
#26 Helge Svendsen

Og du taler om jeg snakker udenom - kunne du så ikke starte med at læse og forstå hvad jeg tidligere har skrevet.

NemID er ikke en rigtig (og ej heller lovlig) digital signatur, al den stund at man ikke selv har kontrollen over egne nøgler - længere er den ikke!

Hør nu Christian. Nu må du forholde dig til virkeligheden :-D

PKCS11, X509, PKI.

Du HAR magten over din egen nøgle med nøglefils løsningen og med hardware løsningen. Og for at bruge dine egne ord, "Så er den ikke længere."

TOTP (papkort) er en anden diskussion.

  • 1
  • 6
#27 Niels Didriksen

Du har ret i at egenkontrol over den private nøgle er helt centralt.

Det er jeg glad for du er enig i. Så er vi så langt :)

Jeg er udemærket klar over hvilke risici, der er forbundet med at have de private nøgler liggende på borgeres computere. Jeg ser det bare ikke som andet, end en enkelt blandt mange af de risici der er forbundet med digitale signaturer (og lignende løsninger som NemID). Og at den derfor ikke bør have sær-behandling ifht alle de andre risici.

Nu hvor det er åbenlyst, hvor store ulemper der er ved den nuværende konstruktion, og i lyset af at du også har "godkendt" kontrol med egen nøgle som helt centralt, har den videre udvikling af NemID vel givet sig selv.

Herfra er det vel bare, at sætte alle sejl til for at skrotte den monolitiske konstruktion, og arbejde hen mod -et system bestående af best practices for PKI -tilbud om at acceptere bruger-genererede nøgler ind i systemet -"modularisering" der muliggør konkurrence og udskiftning af dele/lag af systemet. -anvendelse af udbredte standarder/teknologier, der muliggør implemetering på flest mulige platforme, og tilbyder flest mulige anvendelser. -Overdragelse af drift/udvikling/ejerskab til en offentlig konstruktion, med reel repræsentation af de danske brugere/borgere.

Jeg har læst dine indlæg, og synes det er fantastisk, at du "giver bolden op". Men jeg savner i den grad et reelt fremadrettet og visionært bud fra dig, på hvilken retning vi skal.

Uanset hvad, så mener jeg at det eneste tilnærmelsesvist valide argument FOR NemID i sin nuværenende konstruktion er den med at "borgerne er så dumme og inkompetente at de ikke kan betroes ansvar for deres egen digitale identitet", ikke er godt nok, til at afholde os fra at gøre det rigtige.

  • 5
  • 0
#28 Niels Didriksen

Du HAR magten over din egen nøgle med nøglefils løsningen og med hardware løsningen. Og for at bruge dine egne ord, "Så er den ikke længere."

Mig bekendt, så er de gyldne løfter om standarder som PKCS11 og X509 ikke meget værd, når de er pakket ind i hardware, jeg ikke kan styre. Kan jeg lave en afledt nøgle med nøglefils-løsningen? Kan jeg importere mit certifikat i min mailklient ect? Kan jeg tage mine nøgler og min forretning andetsteds med nøglefils-løsningen? Ect?

Hvis ja, må du meget gerne uddybe.

  • 7
  • 0
#30 Helge Svendsen

Mig bekendt, så er de gyldne løfter om standarder som PKCS11 og X509 ikke meget værd, når de er pakket ind i hardware, jeg ikke kan styre. Kan jeg lave en afledt nøgle med nøglefils-løsningen? Kan jeg importere mit certifikat i min mailklient ect?

Hele ideen er at nøglen ligger på hardware token, kun der, er gennereret og udstedt der, og ikke kan fjernes derfra. Ellers er der ikke noget formål.

Så vidt jeg ved kan du ikke udstede lokale nøgler afledt af din lokal nøgle. Hvorfor skulle man også? Jeg har svært ved at se, et hverdags problem, der kræver den funktionalitet, men måske du har et godt eksempel?

Du ønsker ikke at importere din nøgle i din mail client. Det jeg har gjort er at bruge en mail client, der understøtter PKCS11 interfacet (Firefox/Thunderbird). Der registrerer du så et nyt crypto device på linje med dit software device, dvs det, der kan loade alm på disken liggende nøglefiler.

Det andet device er således et interface ud på selve hw token (usb device), der så står for at lave crypto operationerne. Privat nøglen forlader således aldrig det device, hvorpå det er udstedt.

Jeg bruger det daglig både som borger og ansat til at signere/kryptere mine mails med.

  • 2
  • 4
#31 Helge Svendsen

Hvordan kan jeg have magten over noget der ligger hos andre - og lad nu være med at tale udenom!

Hardware og nøglefils løsningen ligger ikke hos andre, den ligger dig. På dit token eller på din pc.

Jeg opgiver videre diskussion herfra, det giver ikke mening at diskuttere med folk, der lever i deres egen virkelighed.

Jeg taler ikke udenom, jeg synes du skulle læse lidt om de standarder jeg henviser til, og sætte dig ind i, hvordan en udstedelses proces på eks crypto hardware som det fra Gemalto eller Marx virker.

  • 3
  • 4
#32 Poul-Henning Kamp Blogger

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Det er for domstolene at vurdere og de vil kigge på lovteksten, som gør det helt klart at en digital signatur er lige så god som en med blæk.

Hvor usympatisk og forkert NemID end er, har vi ikke mulighed for at have vores egne private love.

Det interessante på den side af sagen er, at i gamle dage aftalte man selv med banken hvad der var en signatur.

F.eks var det meget typisk at et firmas transaktioner, ud over underskrift, skulle være stemplet med et bestemt stempel der kun anvendtes til netop bank-transaktioner.

Den slags kundeservice har bankerne naturligvis ikke råd til mere.

  • 5
  • 0
#33 Niels Didriksen

Så vidt jeg ved kan du ikke udstede lokale nøgler afledt af din lokal nøgle. Hvorfor skulle man også? Jeg har svært ved at se, et hverdags problem, der kræver den funktionalitet, men måske du har et godt eksempel?

Tjae, hvis jeg nu havde lyst til at lave et ssl certifikat til en webserver som kunne validers af min hardware, eller iøvrigt bruge det til andre ting, der ikke har med Nets at gøre

  • 3
  • 0
#34 Helge Svendsen

Tjae, hvis jeg nu havde lyst til at lave et ssl certifikat til en webserver som kunne validers af min hardware

Ahh, nej, det kan du ikke.

Og spørgsmålet er, om det er ønskeligt, at man kunne? Kæden fra serverens ssl certifikat til det udstedende CA bliver jo i så fald endnu mere mudret, end det er i dag.

Hvis du ser på listen af CAs i dag, så synes jeg den liste er så RIGELIGT lang nok. Alt for lang faktisk. Det er derfor man nu er nødt til at lave et "super server cert". EVSSL.

  • 1
  • 2
#35 Niels Didriksen

Og spørgsmålet er, om det er ønskeligt, at man kunne? Kæden fra serverens ssl certifikat til det udstedende CA bliver jo i så fald endnu mere mudret, end det er i dag.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Hvis du ser på listen af CAs i dag, så synes jeg den liste er så RIGELIGT lang nok. Alt for lang faktisk.

Well, jeg så jo egentligt helst at NemID blot var en helt almindeligt (statsligt) drevet CA. Men det bliver nok aldrig tilfældet, da bankerne jo så ikke kan stille troldboder op over det hele. :P

  • 4
  • 0
#36 Christian Nobel

Det er for domstolene at vurdere og de vil kigge på lovteksten, som gør det helt klart at en digital signatur er lige så god som en med blæk.

Og den eneste lov der eksisterer her i landet for elektroniske signaturer siger bla:

§ 3. Stk. 2.) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

§ 10. Stk. 3. Nøglecentre må ikke opbevare eller kopiere de personers signaturgenereringsdata, som nøglecentret gennem udstedelsen af certifikater måtte have fået kendskab til.

Hvor usympatisk og forkert NemID end er, har vi ikke mulighed for at have vores egne private love.

Men sagen er jo at lige præcis i tilfældet NemID, så har Nets deres egne love, da de ved udelukkelsen af adjektivet avanceret påberåber sig at de ikke skal følge lovgivningen.

  • 4
  • 1
#44 Niels Didriksen

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Men de er jo også kun sat for at den pågældende CA kan tage sig betalt for andre anvendelser. Der er jo ikke noget teknisk problem. Og hvis NemID var statsligt eje/financieret af borgerne, var der jo heller ikke det samme behov for at tage sig betalt for den feature.

  • 1
  • 0
#45 Helge Svendsen

Men de er jo også kun sat for at den pågældende CA kan tage sig betalt for andre anvendelser. Der er jo ikke noget teknisk problem. Og hvis NemID var statsligt eje/financieret af borgerne, var der jo heller ikke det samme behov for at tage sig betalt for den feature.

Det er een af grundene.

Sikkerhed er en anden grund, du vil gerne kunne verificere en servers SSL certifikat direkte til CA'en.

Disse bør således udstedes fra CA'en certifikat og ikke dit eget.

  • 0
  • 0
#46 Christian Nobel

Den slags kundeservice har bankerne naturligvis ikke råd til mere.

Nej det er da klart, for rentemarginalen og gebyrerne samt direktørlønningerne har vist historisk set aldrig været højere.

Hvis vi så i det mindste kunne få en klar adskillelse af stat og kirke ^^^ bank, så man var 200% garantere at der var vandtætte skodder mellem bankernes SSO løsning, og adgangen til alt andet, så kunne bankerne for min sag skyld gøre hvad de ville.

  • 4
  • 0
#50 Christian Nobel

Det er bare et spørgsmål om rent faktisk at læse specifikationerne tror jeg.

Jamen fantastisk, så fik vi jo lige opskriften på hvordan vi undgår fremtidige IT katastrofer (og andre uheld og ulykker for den sags skyld).

Sådan fungerer den virkelige verden bare ikke, fordi folk ligesom dig tror!

Og ud over tro (som hører hjemme i en kirke), så er der også antagelser og almindeligt sjusk, samt de mere kulpøse sider af hvordan verden fungerer, så derfor er det overmåde vigtigt at være skeptisk.

  • 2
  • 2
#51 Steen Thomassen

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

Det er fri bevisførelse i Danmark, så der er ingen formkrav til hvordan ting skal gøres. Reelt er loven om digital overflødelig isoleret til danske forhold - man skal bare kunne overbevise retten at det er gået redelig til. Det er i andre lande formkrav til aftaler m.v. og det gør det er nødvendig at lovgiv om det på EU-plan.

  • 1
  • 1
#52 Donald Axel

succes

Succes? Succes for hvem? For nazisterne? Han (Andreas Bach Aaen) kunne i det mindste have sat //benyttede// og succes i citationstegn. Sammenligningen er dårlig og virker provokerende på mig, som en dårlig spøg over mindet om ofrene.

Men Andreas' sætning giver dog en slags mening: Morten Storm Petersens indlæg er meget "Storm-P agtigt", bl.a. fordi MSP ikke nævner de fatale fejltagelser i forbindelse med anbringelse af filer på brugerens maskine - eller i det hele taget ikke beskriver, hvor lidt de ansvarlige vidste om noget som helst med sikkerhed. Man bør nok forhindre Morten Storm P i at få indflydelse på fremtidige versioner af Internet log-in services.

  • 1
  • 2
#55 Andreas Bach Aaen

koncentrationslejre handler om en stat der gør overgreb på dens borgere (og andre). Det er heldigvis sjældent at IT i sig selv giver en dødelig udgang. Det overgreb som jeg har en klar holdning til handler om overvågning af borgerne. En hel del af dette er staten ret sikkert kommet til delvist uforsætligt, da regeringen ønskede en kvantitativ succes med borgerselvbetjening. Bankerne havde succes med deres netbanker og højere gebyrer i filialere. Her var der noget staten kunne koble sig på. Bankerne tog anmodningen op og de havde interesse i en løsning hvor de var mellemmand og dermed kunne få en forretning hvor de kunne tage sig betalt pr. transaktion ligesom i deres øvrige forretninger. Alt dette førte til et katastrofalt design, men centralt opbevarede nøgler ( en drøm for PET) og en java løsning med fulde rettigheder på alle de tilsluttede borgers PCer. Hvad skulle forhindre staten/PET/Nets i at lave en special applet til en bestemt borger, der lige slog webcam'et til?

De vi har brug for en en løsning hvor borgere kan kommunikere sikkert med hinanden og statens institutioner, hvor man kan identificere modtageren. Dette kan gøres meget sikkert uden centralistiske transaktionssystemer, uden pivåbne sikkerhedshuller der muliggør statsovervågning af borgerne i eget hjem og uden centralt opbevarede nøgler der muliggør at staten/Nets kan underskrive hvadsomhelst i dit navn. Jeg tager et tabu frem for at råbe op så flere kan få øje på glidebanen. Morten Storm Petersen jeg håber bestemt at du ikke igen overser Niels Didriksens "18 tons store lyserøde elefant med rotorblink på hovedet, der står midt i dagligstuen.". Det må have stået dig klart hvilke holdninger til NemID der har været på dette forum i mange år før du blev blogskribent. Der har bl.a. været mange fortalere for Jyske Banks papkortløsning som også til sidst kom til at virke med en ECMA-script løsning.

Al staten delvist uforsætligt har fået dette designmæssige misfoster til verden firgør dem ikke for ansvaret. Jeg skal som borger også leve op til love som jeg aldrig har læst. Vi skulle gerne meget langt væk fra 1984' mantra "uvidenhed er styrke".

  • 2
  • 0
Log ind eller Opret konto for at kommentere
Job fra Jobfinder
Tip redaktionen