Digital Signatur og NemID – fra chipkort til papkort

Det ville passe mig fint hvis man fjernede den misforståelse at cprnummeret er en validering. Det er blot et identitetsnummer.
Det eneste der bør forhindre fuld offentligørelse af CPR numre er den fadæse, at nummeret indeholder folks fødselsdag og køn. I mange henseender er ikke information, som er ønskeligt at dele offentligt i enhver sammenhæng.

Jeg har stadig utroligt svært ved at komme mig over den fatale designfejl NemID indeholder. Den er designet til glæde for staten og ikke for borgerne. Det er således states sikkerhed der er i fokus og ikke borgernes.
Det er staten, der ligger inde med alle de private nøgler ikke borgerne.
Det er også langt ude at måle succes i hvor mange der benytter OCES nemID, når der er et voldsomt moment af tvang i løsningen.
Var 2. verdenskrigs koncentrationslejre en succes fordi der var mange der benyttede dem?

Det er frygteligt ærgeligt hvis NemID designet ikke bliver tvunget til at afgå ved døden pga. kommende EU regler.
- og til hvis glæde er Eu reglerne tænkt? til staternes glæde eller borgernes?

De store overvågningsskandaler for tiden har ikke gjort problematikken om hvem der har adgang til de private nøgler nemmere.

Ideen med papkort er til gengæld super god. Jeg fatter ikke den store modstand mod papkort. Konceptet med engangsnøgler på et afkoblet medie er godt. Den eneste svaghed er, at alle efterhånden har et kamera i lommen via deres mobiltelefon, så kortet kan hurtigt kopieres.

"Var 2. verdenskrigs koncentrationslejre en succes fordi der var mange der benyttede dem?"
Synes du selv den sætning er seriøs?
Der var ikke mange der "benyttede" koncentrationslejrene - de blev anbragt, mishandlet og slået ihjel.
Det ville klæde dig at få fjernet dit uheldige skriv.
Og gør du det, så skal jeg gerne bede moderator om at fjerne dette også!

Hvorfor det?

Det er da fuldt legitimt at påpege at brugen af tvang er usympatisk, og da der på ingen måde er tale om at udsagnet går efter en navngiven person eller lignende, berettiger det på ingen måde at indlægget skal fjernes.

Endvidere, så uagtet hvad du mener, så er hele den centralt styrede overvågningsløsning, som NemID udgør, en glidebane mod en tvangsløsning som ikke lader 1984 noget tilbage (og hvor følgerne af tvangen heller ikke var rare).

Og nu vi er i samme periode, så bliver en løgn altså ikke til en sandhed, bare af at blive gentaget tilstrækkelig mange gange.

NemID er IKKE en digital signatur, men kun en SSO løsning - at man så prøver at bilde folk det ind, fordi man liiige fjerner udtrykket avanceret fra teksten, og derfor ikke behøver at tage hensyn til gældende lovgivning, ændrer ikke på sagen.

NemID er IKKE en digital signatur,
Prøv at høre Danske Bank om hvad deres holdning er til dette.
Jeg har fornylig indgået en "aftale" med DDB på nettet. For at den er gyldig blev jeg bedt om at bekræfte med min "Digitale Signatur" nemID.
Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.
Hvem mon har ret ? Hvor dan mon en dommer vil tolke det ?
/Claus

Hej Morten

Det er meget fint at du vil blogge om vores nationale digitale signatur og NemID. Jeg håber blot inderligt, at du har erkendt, at der blandt dit publikum herinde er en del relativt kompetente mennesker, der har godt greb om de vigtigste kernepunkter i sagen handler om.

Jeg håber derfor, at du ikke, som så mange andre der er tæt på udviklingen af systemerne, vælger at danse blindt og døvt omkring den 18 tons store lyserøde elefant med rotorblink på hovedet, der står midt i dagligstuen.

Eller sagt på en anden måde; hvis du vælger at forholde dig passivt/ukonstruktivt eller slet ikke forholde dig til de fatale og grundlæggende designfejl og problemer i NemID, så er din blog (ked af at sige det) fuldstændig ligegyldig, og du burde derfor spare dit krudt til når nets mangler inspiration til selvforherligende pressemeddelelser.

Hvis du derimod tager det seriøst, at danskere er blevet frataget enhver mulighed for at sikre konfidentialiteten/integriteten/tilgængeligheden af deres nationale digitale identitet, så er det naturligvis en anden sag og din indsats hilses i høj grad velkommen.

Til uindviede skal det for en god sags skyld nævnes, at jeg bla. tænker på problemerne vedr. generering/opbevaring af privat nøgle, single-point-of-failure, monopol på ydelser der baserer sig på "digital signatur". Ejerskabet af infrastrukturen, samt hvilke interessenter systemet bør tilgodese.

Jeg tror derfor vi er mange, der venter med spænding på at du addresserer elefanten i stuen.. Efter et besøg på signaturgruppens hjemmeside er jeg ikke fortrøstningsfuld, men du er utroligt velkommen til at overraske.

Hej Claus,

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Det har de. Der ligger både en lov samt flere bekendtgørelser bag den juridiske gyldighed af NemID POCES som underskrift for dig eller mig selv som boger. En sådan sag er ikke værd at bringe for retten.

Det har de. Der ligger både en lov samt flere bekendtgørelser bag den juridiske gyldighed af NemID POCES som underskrift for dig eller mig selv som boger. En sådan sag er ikke værd at bringe for retten.

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

https://www.nemid.nu/dk-da/digital_signatur/juraen_bag_digital_signatur/

Givet på Christiansborg Slot, den 31. maj 2000
Under Vor Kongelige Hånd og Segl
Margrethe R.
Lov om elektroniske signaturer
https://www.retsinformation.dk/Forms/R0710.aspx?id=6193

Søg på Retsinformation (al tekst) på 'nemid'. Der dukker en del bekendtgørelser op der nævner NemID som sikker underskrift, men ingen love. En bekendtgørelse må vel være udfærdiget på baggrund af en lov, skulle jeg mene?

Hmm, gad vist om man kan fortolke at NemID overholder dette, specielt punkt C: (definition af Avanceret elektronisk signatur).

2) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

Hmm, gad vist om man kan fortolke at NemID overholder dette, specielt punkt C: (definition af Avanceret elektronisk signatur).

2) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

Nej, og det er præcis det der er meget vigtigt at holde fast i.

NemID proselytterne fremfører nemlig at det kun er gældende for en avanceret digital signatur (sic!) som beskrevet i loven, men i og med adjektivet avanceret er udeladt i forbindelse med NemID, så mener man ikke at man skal følge loven.

Så det er sådan set uhyre enkelt, der er ikke noget lovgrundlag for NemID!

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Som hovedregl er der i Danmark ingen formkrav til hvordan man indgår en bindende aftale. Derfor er en aftale underskrevet med "pen og blæk" ikke juridisk mere bindende end en aftale indgået via en webformular eller en mundtlig aftale.

Derfor tror jeg du kan være ganske sikker på at en dommer vil komme frem til at aftalen er bindende når du har godkendt den ved at anvende NemID. (Hvis aftalen i øvrigt kan betragtens som bindende)

Enkelte steder i dansk ret er der krav om at en aftale eller oplysning skal foreligge skriftligt. Her har der de sidste 15 år været gennemført lovændringer så det er klart af aftalen også kan ske digitalt. Men generelt skal det bare være klart for begge parter at der indgåes en aftale.

De bekendtgørelser der nævner NemID er højst sandsynlig på områder hvor der ikke er nogle særlige lovkrav til aftaleindgåelsen. Derfor er omtalen af NemID primært en angivelse af hvornår det offentlige skal anse en aftel for at være indgået. Som sådan kunne bekendtgørelsen lige så vel kræve et håndslag.

Uden vitterlighedsvidner mener jeg iøvrigt ikke at en analog underskrift er mere sikker end at aftalen er indgået ved hjælp af NemID.

Formålet med Lov om elektroniske signaturer er først og fremmest at regulere en hypotetisk branche der skulle udstede kvalificerede certifikater for nøgler anvent til public key-kryptering. Kun §13 handler om den juridisk effekt og den er nærmest en cirkelslutning som siger at hvis en lov omtaler elektroniske signaturer så mener den blandt andet elektroniske signaturer som de er beskrevet i Lov om elektroniske signaturer.

Jeg er mig bevidst om, at der er mange kompetente læsere på version2, der er kritiske overfor NemID med nøglekort.

Bååååt! Sorry Morten. Du gik lige forbi den lyserøde elefant. Som frygtet.. Desværre..
Jeg nævnte intet omkring nøglekort, som ikke har noget med de problemer jeg refererede til.

Jeg håber, det var en smutter fra din side.

Og mange af de "kompetente læsere på version2" har talløse gange påpeget de fatale elementer i hele NemID-konceptet, hvilket jo også (ganske som forudset) har medført præcis de problemer der blev spået. Sidstkommende er den forfærdelige udsigt til at Nets (og dermed alle danskeres private nøgler samt nationale sikkerhedskrydsfelt) bliver solgt til en eller anden amerikansk hedgefont.

Det kan da ikke passe du ikke er opmærksom på den særdeles fagligt begrundede kritik, der er blevet fremført de sidste par år??

Vægtet med ønskerne om at styrke mobiliteten og forståelighed for alle befolkningsgrupper, mener jeg fortsat, at NemID med nøglekort var et brugbart kompromis.

Husk på, at ufatteligt få af de herligheder som NemID skulle medføre, har indfundet sig (Her fraregnes udbredelsen, som ville have været lige så stor med hvilken som helst anden løsning, der var blevet indført med tvang). Mobilitet er ihvertfald for længst skudt ned.

Men der er efterhånden mange afhængigheder i infrastrukturen, hvilket gør det vanskeligere og dyrere at lave markante ændringer fremadrettet.

JA MORTEN. Det var OGSÅ forudsagt for år tilbage. Og det vil kun blive dyrere og dyrere i takt med vi teknologisk set graver os længere ned i et proprietært og ufleksibelt hul. Og du behøver ikke at rose mig engang i fremtiden, når jeg får ret i den påstand. Forudsat vi ikke skrotter konceptet inden da.

For at være lidt konstruktiv:

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod en reel digital signatur med reelle private nøgler under borgerens kontrol?

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod at eliminere kostbare proprietære afhængigheder, der gør det "vanskeligere og dyrere at lave markante ændringer fremadrettet"?

Hvad vil DU gøre for at vi som samfund, kan arbejde os hen mod et system, der er hærdet mod risikoen for uønsket indflydelse fra ikke-nationale interesser?

--

Som sagt, lad os lige et øjeblik droppe papkort-snak og fokusere på den reelle elefant.

Det har virket som om danid kun har lavet deres hardwareløsning af pligt. i praksis er den næsten uanvendelig da den kun kan bruges meget få steder. Desværre virker det som om staten er helt ligeglad med ar det kun er bogstavet og ikke intentionen der er ført ud i livet.a

Det har virket som om danid kun har lavet deres hardwareløsning af pligt. i praksis er den næsten uanvendelig da den kun kan bruges meget få steder. Desværre virker det som om staten er helt ligeglad med ar det kun er bogstavet og ikke intentionen der er ført ud i livet.a

Den tekniske standardisering for Offentlige Certifikater for Elektroniske Services (OCES) forankredes i ”Forum for Digital Signatur” hos Danske Standard i Charlottenlund.

Nå! Nå? Den form for signatur er ikke noget værd i mine øjne. Private nøgler der opbevares af andre end borgeren selv, er ikke privat. Helt ubrugeligt. Jeg imponeres desværre ikke af at Dansk Standard har været med, tværtimod.

Skattevæsnet har en fortrinelig TastSelv login, og de kan kommunikere med borgerne via email. Hvis de så lige gjorde det muligt at jeg kunne uploade min PublicKey, så var den hjemme. Indtil da må man hente den fra http://pgp.mit.edu/

Den der OCES-dims er sikkert udmærket hvis man har brug for at have en "notar" som mellemand, men ellers kan jeg ikke se hvad den skal gøre godt for. Som signatur kan den ikke bruges.

NemID er IKKE en digital signatur, men kun en SSO løsning - at man så prøver at bilde folk det ind, fordi man liiige fjerner udtrykket avanceret fra teksten, og derfor ikke behøver at tage hensyn til gældende lovgivning, ændrer ikke på sagen.

Lige så mange gange har modstanderne blandet NemID for erhverv og person sammen.

Om TOTP (papkort) er en digital signatur er en lang diskussion, faktum er, at med rette plugin, så kan du faktisk godt bruge det til at signere (eks din email) med.

De andre løsninger, hardware og udstedelse til nøglefil er i høj grad lige så meget en digital signatur, som TDC's gamle løsning var i sin tid. Nøglefils delen er faktisk nøjagtig samme teknologi. Hardware løsningen baserer sig, naturligt nok, på en hardware implementering af teknologien fra nøglefils løsningen.

PKCS11 / X509 / PKI.

Lige så mange gange har modstanderne blandet NemID for erhverv og person sammen.

Og?
Nu er der jo ligesom ikke en speciel kontekst her der siger at der kun kan drøftes NemID for erhverv - og i og med NemID for private fylder ret meget i landskabet, så er det også det der bør tages fat i først.

Om TOTP (papkort) er en digital signatur er en lang diskussion, faktum er, at med rette plugin, så kan du faktisk godt bruge det til at signere (eks din email) med.

Og faktum er at de fleste herinde ikke som så mener at selve papkortet er det helt store problem (det er bare uelegant), men at man skal forholde sig til den reelle elefant.

De andre løsninger, hardware og udstedelse til nøglefil er i høj grad lige så meget en digital signatur, som TDC's gamle løsning var i sin tid. Nøglefils delen er faktisk nøjagtig samme teknologi. Hardware løsningen baserer sig, naturligt nok, på en hardware implementering af teknologien fra nøglefils løsningen.

Og?

Du mener altså at bare noget er gjort forkert tidligere, så legitimerer det at man ikke gør tingene korrekt nu - og så kan elefanten blive ved med at stå i stuen.

Du mener altså at bare noget er gjort forkert tidligere, så legitimerer det at man ikke gør tingene korrekt nu - og så kan elefanten blive ved med at stå i stuen.

Du snakker udenom Christian.

Nej, jeg mener du skulle læse Niels Didriksens indlæg ovenfor, han påpeger nogle reelle problemer med NemID løsningen, herunder ejerskabet.

Jeg er enig med dig i at TOTP (papkort) løsningen er uelegant og har sine svagheder. Hvad enten det er Java eller javascript, så er der stadig et MITM problem per design.

Hvis du har nogle reelle argumenter i retning af at "NemID ikke er en rigtig signatur", altså hardware og nøglefils løsningen, så kom endelig med dem.

Signaturløsningen i 2003 var helt standardiseret med en nøglefil på borgerens computer, hvor borgeren selv skulle følge en vejledning i at sætte sikkert password i Internet Explorer. Det blev ret hurtigt klart, at det var et urealistisk ansvar at give almindelige borgere, og det blev (sikkert med rette) betragtet som en sikkerhedsbrist.

Lige præcis, for ikke at sige, hvor mange pc'ere og hard diske, der blev solgt i den blå avis, eller blot smidt i til affald, med gyldige nøgler på.

Det er der ikke nogen "Nem" løsning på, og derfor kan man spekulere lidt på, om "NemID" måske var det rigtige navn.

God sikkerhed er aldrig nemt.

Hvis du har nogle reelle argumenter i retning af at "NemID ikke er en rigtig signatur", altså hardware og nøglefils løsningen, så kom endelig med dem.

Og du taler om jeg snakker udenom - kunne du så ikke starte med at læse og forstå hvad jeg tidligere har skrevet.

NemID er ikke en rigtig (og ej heller lovlig) digital signatur, al den stund at man ikke selv har kontrollen over egne nøgler - længere er den ikke!

En af årsagerne til de store problemer med NemID, er jo at man laver en "one-size-fits-all"-løsning.

NemID i sin nuværende konstruktion, kan jo være udemærket til visse ting. Feks. er der ingen problem i visse sikkerhedsbrister i pengetransaktioner, så længe bankerne der udbyder løsningen, også er dem der bærer ansvaret hvis sikkerheden brydes.

Man har jo over tid haft forskellige sikkerhedsniveauer i den analoge/papirverdenen, afhængigt af hvor alvorlige konsekvenser en fejl kan have, samt hvor nemt/sandsynligt det er at en fejl bliver hurtigt opdaget.

Feks. kan skoleindskrivning fint klares med den nuværende NemID. Det er begrænset skade der sker, hvis en elev indskrives fejlagtigt af nogen, som vil drille.
Derimod mener jeg at den digitale tinglysning er fuldstændig vanvittig. Sikkerheden er simpelthen ikke god nok til at håndtere noget, som totalt kan ruinere hvem som helst.

Det er fint, at der skal være visse kompromisser for at få en brugbar løsning til hr og fru Hansen. Men der mangler totalt erkendelsen af at der så er visse ting, som signaturen ikke kan/bør bruges til.

Og du taler om jeg snakker udenom - kunne du så ikke starte med at læse og forstå hvad jeg tidligere har skrevet.

NemID er ikke en rigtig (og ej heller lovlig) digital signatur, al den stund at man ikke selv har kontrollen over egne nøgler - længere er den ikke!

Hør nu Christian. Nu må du forholde dig til virkeligheden :-D

PKCS11, X509, PKI.

Du HAR magten over din egen nøgle med nøglefils løsningen og med hardware løsningen. Og for at bruge dine egne ord, "Så er den ikke længere."

TOTP (papkort) er en anden diskussion.

Du har ret i at egenkontrol over den private nøgle er helt centralt.

Det er jeg glad for du er enig i. Så er vi så langt :)

Jeg er udemærket klar over hvilke risici, der er forbundet med at have de private nøgler liggende på borgeres computere. Jeg ser det bare ikke som andet, end en enkelt blandt mange af de risici der er forbundet med digitale signaturer (og lignende løsninger som NemID). Og at den derfor ikke bør have sær-behandling ifht alle de andre risici.

Nu hvor det er åbenlyst, hvor store ulemper der er ved den nuværende konstruktion, og i lyset af at du også har "godkendt" kontrol med egen nøgle som helt centralt, har den videre udvikling af NemID vel givet sig selv.

Herfra er det vel bare, at sætte alle sejl til for at skrotte den monolitiske konstruktion, og arbejde hen mod
-et system bestående af best practices for PKI
-tilbud om at acceptere bruger-genererede nøgler ind i systemet
-"modularisering" der muliggør konkurrence og udskiftning af dele/lag af systemet.
-anvendelse af udbredte standarder/teknologier, der muliggør implemetering på flest mulige platforme, og tilbyder flest mulige anvendelser.
-Overdragelse af drift/udvikling/ejerskab til en offentlig konstruktion, med reel repræsentation af de danske brugere/borgere.

Jeg har læst dine indlæg, og synes det er fantastisk, at du "giver bolden op". Men jeg savner i den grad et reelt fremadrettet og visionært bud fra dig, på hvilken retning vi skal.

Uanset hvad, så mener jeg at det eneste tilnærmelsesvist valide argument FOR NemID i sin nuværenende konstruktion er den med at "borgerne er så dumme og inkompetente at de ikke kan betroes ansvar for deres egen digitale identitet", ikke er godt nok, til at afholde os fra at gøre det rigtige.

Du HAR magten over din egen nøgle med nøglefils løsningen og med hardware løsningen. Og for at bruge dine egne ord, "Så er den ikke længere."

Mig bekendt, så er de gyldne løfter om standarder som PKCS11 og X509 ikke meget værd, når de er pakket ind i hardware, jeg ikke kan styre. Kan jeg lave en afledt nøgle med nøglefils-løsningen? Kan jeg importere mit certifikat i min mailklient ect? Kan jeg tage mine nøgler og min forretning andetsteds med nøglefils-løsningen? Ect?

Hvis ja, må du meget gerne uddybe.

Du HAR magten over din egen nøgle med nøglefils løsningen og med hardware løsningen.

Sikke noget notorisk vrøvl.

Hvordan kan jeg have magten over noget der ligger hos andre - og lad nu være med at tale udenom!

Mig bekendt, så er de gyldne løfter om standarder som PKCS11 og X509 ikke meget værd, når de er pakket ind i hardware, jeg ikke kan styre. Kan jeg lave en afledt nøgle med nøglefils-løsningen? Kan jeg importere mit certifikat i min mailklient ect?

Hele ideen er at nøglen ligger på hardware token, kun der, er gennereret og udstedt der, og ikke kan fjernes derfra. Ellers er der ikke noget formål.

Så vidt jeg ved kan du ikke udstede lokale nøgler afledt af din lokal nøgle. Hvorfor skulle man også? Jeg har svært ved at se, et hverdags problem, der kræver den funktionalitet, men måske du har et godt eksempel?

Du ønsker ikke at importere din nøgle i din mail client. Det jeg har gjort er at bruge en mail client, der understøtter PKCS11 interfacet (Firefox/Thunderbird). Der registrerer du så et nyt crypto device på linje med dit software device, dvs det, der kan loade alm på disken liggende nøglefiler.

Det andet device er således et interface ud på selve hw token (usb device), der så står for at lave crypto operationerne. Privat nøglen forlader således aldrig det device, hvorpå det er udstedt.

Jeg bruger det daglig både som borger og ansat til at signere/kryptere mine mails med.

Hvordan kan jeg have magten over noget der ligger hos andre - og lad nu være med at tale udenom!

Hardware og nøglefils løsningen ligger ikke hos andre, den ligger dig. På dit token eller på din pc.

Jeg opgiver videre diskussion herfra, det giver ikke mening at diskuttere med folk, der lever i deres egen virkelighed.

Jeg taler ikke udenom, jeg synes du skulle læse lidt om de standarder jeg henviser til, og sætte dig ind i, hvordan en udstedelses proces på eks crypto hardware som det fra Gemalto eller Marx virker.

Selv er jeg af den overbevisning at de ikke har en gyldig underskrift på "aftalen", men jeg er sikker på at de mener at det digitale aftryk jeg har sat har samme gyldighed som en underskrift med pen og blæk på papir.

Det er for domstolene at vurdere og de vil kigge på lovteksten, som gør det helt klart at en digital signatur er lige så god som en med blæk.

Hvor usympatisk og forkert NemID end er, har vi ikke mulighed for at have vores egne private love.

Det interessante på den side af sagen er, at i gamle dage aftalte man selv med banken hvad der var en signatur.

F.eks var det meget typisk at et firmas transaktioner, ud over underskrift, skulle være stemplet med et bestemt stempel der kun anvendtes til netop bank-transaktioner.

Den slags kundeservice har bankerne naturligvis ikke råd til mere.

Så vidt jeg ved kan du ikke udstede lokale nøgler afledt af din lokal nøgle. Hvorfor skulle man også? Jeg har svært ved at se, et hverdags problem, der kræver den funktionalitet, men måske du har et godt eksempel?

Tjae, hvis jeg nu havde lyst til at lave et ssl certifikat til en webserver som kunne validers af min hardware, eller iøvrigt bruge det til andre ting, der ikke har med Nets at gøre

Tjae, hvis jeg nu havde lyst til at lave et ssl certifikat til en webserver som kunne validers af min hardware

Ahh, nej, det kan du ikke.

Og spørgsmålet er, om det er ønskeligt, at man kunne? Kæden fra serverens ssl certifikat til det udstedende CA bliver jo i så fald endnu mere mudret, end det er i dag.

Hvis du ser på listen af CAs i dag, så synes jeg den liste er så RIGELIGT lang nok. Alt for lang faktisk. Det er derfor man nu er nødt til at lave et "super server cert". EVSSL.

Og spørgsmålet er, om det er ønskeligt, at man kunne? Kæden fra serverens ssl certifikat til det udstedende CA bliver jo i så fald endnu mere mudret, end det er i dag.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Hvis du ser på listen af CAs i dag, så synes jeg den liste er så RIGELIGT lang nok. Alt for lang faktisk.

Well, jeg så jo egentligt helst at NemID blot var en helt almindeligt (statsligt) drevet CA. Men det bliver nok aldrig tilfældet, da bankerne jo så ikke kan stille troldboder op over det hele. :P

Det er for domstolene at vurdere og de vil kigge på lovteksten, som gør det helt klart at en digital signatur er lige så god som en med blæk.

Og den eneste lov der eksisterer her i landet for elektroniske signaturer siger bla:

§ 3. Stk. 2.) Avanceret elektronisk signatur: En elektronisk signatur, der

a) entydigt er knyttet til underskriveren,

b) gør det muligt at identificere underskriveren,

c) skabes med midler, som kun underskriveren har kontrol over, og som

d) er knyttet til de data, den vedrører på en sådan måde, at enhver efterfølgende ændring af disse data kan opdages.

§ 10. Stk. 3. Nøglecentre må ikke opbevare eller kopiere de personers signaturgenereringsdata, som nøglecentret gennem udstedelsen af certifikater måtte have fået kendskab til.

Hvor usympatisk og forkert NemID end er, har vi ikke mulighed for at have vores egne private love.

Men sagen er jo at lige præcis i tilfældet NemID, så har Nets deres egne love, da de ved udelukkelsen af adjektivet avanceret påberåber sig at de ikke skal følge lovgivningen.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Hvis det var under min kontrol, så var det jo mig der afgjorde om det var ønskeligt.

Nej heller ikke :-D

De certifikater, du køber til bruger autentisering fra nogle af de andre på nettet kan med garanti heller ikke det.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Der er nogle usage bits i certifikatet selv, der beskriver, hvad det kan bruges til iflg X509 standarden.

Men de er jo også kun sat for at den pågældende CA kan tage sig betalt for andre anvendelser. Der er jo ikke noget teknisk problem. Og hvis NemID var statsligt eje/financieret af borgerne, var der jo heller ikke det samme behov for at tage sig betalt for den feature.

Men de er jo også kun sat for at den pågældende CA kan tage sig betalt for andre anvendelser. Der er jo ikke noget teknisk problem. Og hvis NemID var statsligt eje/financieret af borgerne, var der jo heller ikke det samme behov for at tage sig betalt for den feature.

Det er een af grundene.

Sikkerhed er en anden grund, du vil gerne kunne verificere en servers SSL certifikat direkte til CA'en.

Disse bør således udstedes fra CA'en certifikat og ikke dit eget.

Den slags kundeservice har bankerne naturligvis ikke råd til mere.

Nej det er da klart, for rentemarginalen og gebyrerne samt direktørlønningerne har vist historisk set aldrig været højere.
</sarcasm>

Hvis vi så i det mindste kunne få en klar adskillelse af stat og kirke ^^^ bank, så man var 200% garantere at der var vandtætte skodder mellem bankernes SSO løsning, og adgangen til alt andet, så kunne bankerne for min sag skyld gøre hvad de ville.

Beklager doppelt posts, hvorfor kan man ikke slette sine egne posts..

Beklager doppelt posts, hvorfor kan man ikke slette sine egne posts..

Fordi man aldrig er 100% sikker på at IT systemer opfører sig som man tror de bør gøre - tankevækkende!

Fordi man aldrig er 100% sikker på at IT systemer opfører sig som man tror de bør gøre - tankevækkende!

Det er bare et spørgsmål om rent faktisk at læse specifikationerne tror jeg.

Det er bare et spørgsmål om rent faktisk at læse specifikationerne tror jeg.

Jamen fantastisk, så fik vi jo lige opskriften på hvordan vi undgår fremtidige IT katastrofer (og andre uheld og ulykker for den sags skyld).

Sådan fungerer den virkelige verden bare ikke, fordi folk ligesom dig tror!

Og ud over tro (som hører hjemme i en kirke), så er der også antagelser og almindeligt sjusk, samt de mere kulpøse sider af hvordan verden fungerer, så derfor er det overmåde vigtigt at være skeptisk.

Hvilken lov/bekendtgørelse?

Og husk det skal altså være noget der kan findes på retsinformation, så en reference til en eller anden lokumsaftale, eller mere eller mindre lovlig fortolkning er altså ikke juridisk gældende.

Det er fri bevisførelse i Danmark, så der er ingen formkrav til hvordan ting skal gøres. Reelt er loven om digital overflødelig isoleret til danske forhold - man skal bare kunne overbevise retten at det er gået redelig til. Det er i andre lande formkrav til aftaler m.v. og det gør det er nødvendig at lovgiv om det på EU-plan.

succes

Succes? Succes for hvem? For nazisterne? Han (Andreas Bach Aaen) kunne i det mindste have sat //benyttede// og succes i citationstegn. Sammenligningen er dårlig og virker provokerende på mig, som en dårlig spøg over mindet om ofrene.

Men Andreas' sætning giver dog en slags mening: Morten Storm Petersens indlæg er meget "Storm-P agtigt", bl.a. fordi MSP ikke nævner de fatale fejltagelser i forbindelse med anbringelse af filer på brugerens maskine - eller i det hele taget ikke beskriver, hvor lidt de ansvarlige vidste om noget som helst med sikkerhed. Man bør nok forhindre Morten Storm P i at få indflydelse på fremtidige versioner af Internet log-in services.

Internet Explorer

Hvorfor bruger du betegnelsen "Internet Explorer" for en browser? Det er da tegn på manglende forståelse af, hvordan man styrer sikkerhed ved at være den, der stiller krav til leverandørprodukter via protokolstandarder?

hvor borgeren selv skulle følge en vejledning i at sætte sikkert password i Internet Explorer.

Jeg tror ikke Christian. Jeg har erfaring med moces /poces på source kode niveau som en konsekvens af min profession.

koncentrationslejre handler om en stat der gør overgreb på dens borgere (og andre). Det er heldigvis sjældent at IT i sig selv giver en dødelig udgang. Det overgreb som jeg har en klar holdning til handler om overvågning af borgerne.
En hel del af dette er staten ret sikkert kommet til delvist uforsætligt, da regeringen ønskede en kvantitativ succes med borgerselvbetjening. Bankerne havde succes med deres netbanker og højere gebyrer i filialere. Her var der noget staten kunne koble sig på. Bankerne tog anmodningen op og de havde interesse i en løsning hvor de var mellemmand og dermed kunne få en forretning hvor de kunne tage sig betalt pr. transaktion ligesom i deres øvrige forretninger.
Alt dette førte til et katastrofalt design, men centralt opbevarede nøgler ( en drøm for PET) og en java løsning med fulde rettigheder på alle de tilsluttede borgers PCer. Hvad skulle forhindre staten/PET/Nets i at lave en special applet til en bestemt borger, der lige slog webcam'et til?

De vi har brug for en en løsning hvor borgere kan kommunikere sikkert med hinanden og statens institutioner, hvor man kan identificere modtageren. Dette kan gøres meget sikkert uden centralistiske transaktionssystemer, uden pivåbne sikkerhedshuller der muliggør statsovervågning af borgerne i eget hjem og uden centralt opbevarede nøgler der muliggør at staten/Nets kan underskrive hvadsomhelst i dit navn.
Jeg tager et tabu frem for at råbe op så flere kan få øje på glidebanen.
Morten Storm Petersen jeg håber bestemt at du ikke igen overser Niels Didriksens "18 tons store lyserøde elefant med rotorblink på hovedet, der står midt i dagligstuen.". Det må have stået dig klart hvilke holdninger til NemID der har været på dette forum i mange år før du blev blogskribent. Der har bl.a. været mange fortalere for Jyske Banks papkortløsning som også til sidst kom til at virke med en ECMA-script løsning.

Al staten delvist uforsætligt har fået dette designmæssige misfoster til verden firgør dem ikke for ansvaret. Jeg skal som borger også leve op til love som jeg aldrig har læst. Vi skulle gerne meget langt væk fra 1984' mantra "uvidenhed er styrke".