henrik knopper bloghoved

One Ring to rule them all...

...and in the darkness bind them.

Jeg erindrer at jeg for nyligt så en opgørelse der viste at en del flere jyder end sjællendere havde aktiveret NemID til brug overfor det offentlige.

Artiklens pointe var at jyderne havde taget føringen i IT-parathed.

Underforstået: Alle har da klar fordel af at kontakte det offentlige elektronisk, alle har fuld tiltro til NemID og alle ønsker at bruge samme nøgle til banken og til biblioteket. Så når man ikke bruger NemID til det offentlige så er det fordi man er bagud.

Det er ikke tilfældet! Jo altså, det kan godt være at pointen holder. Hvad ved jeg? Men forudsætningerne gør ikke.

Selvom det er fristende vil jeg her undlade at fortsætte debatten om offentlige myndigheders brug af digital selvbetjening.

Jeg vil heller ikke blande sikkerheden omkring NemID ind i sagen, men fokusere på det sidste punkt:

Jeg har ikke aktiveret min NemID til offentlige hjemmesider - og jeg bliver den allersidste i køen den dag vi bliver tvunget til det - fordi det er mig inderligt imod at tage min banknøgle frem når jeg skal bestille en bog på biblioteket.

Kunne jeg vælge ville jeg gerne have 3 nøgler:
* En der vedrører min identitet (pas, sygesikring, kørekort, tinglysning, skat).
* En der vedrører mine penge.
* En til alt det andet (bibliotek, telefon, el, vand, etc).

Det vil være ok hvis den øverste kan bruges til at udstede de to nederste, men de 3 nøgler skal bruge forskellig teknologi.

Som det allerede er vist, er det kun et spørgsmål om tid, før der er nogen der finder en svaghed i et nøglesystem. Indtil videre bliver der brugt flest kræfter på at finde svagheder i de systemer der vedrører penge. Derfor skal der ikke være mulighed for at kriminelle kan teste deres kopinøgle i biblioteket før de bruger den i banken, på samme måde som de kriminelle i dag typisk tester et stjålent kreditkort med en betaling på 1-2$ for at sikre det virker, inden de tømmer kontoen helt.

Jeg vi gerne værne mere om min identitet end om mine penge. Konceptet om en fælles nøgle til det hele huer mig ikke.

Er jeg paranoid? Nok?

Er jeg alene?

Kommentarer (6)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Morten Wulff

Du må altså slås med mig, for at få den sidste plads i køen, når vi tvinges over i NemID i det offentlige.

Det er fint nok at bankerne slår sig sammen og laver et fælles log-in system. Men det er ikke OK at metoden til min kommunikation med det offentlige er kontrolleret af en privat virksomhed. Hvis staten vil have mig til at benytte digital selvbetjening, må staten lave sit eget login-system. Så er det nok nogen der spørger: "jamen din ISP er jo også en privat virksomhed, og de vil jo stadig kontrollere din metode til kommunikation, hvis staten laver en NemID-pendent" - jo, det er rigtigt, men i det mindste er der ikke noget ISP-monopol, og hvis min internetudbyder opfører sig ondskabsfuldt eller kontrollerende, så vælger jeg da bare en anden udbyder. Det er idag ikke muligt, da DanID har monopol på NemID.

  • 4
  • 0
#2 Christian Nobel

Har ikke NemID på nogen måder - det gør banken noget mere besværligt, men sådan må det åbenbart være.

Og jeg stiller aldrig op i køen - endvidere så skal den nye åndssvage postkasselov vel have lidt berettigelse, de kan sende mig et brev hvis de vil mig noget.

  • 3
  • 0
#5 Thue Kristensen

Som det allerede er vist, er det kun et spørgsmål om tid, før der er nogen der finder en svaghed i et nøglesystem.

Der er da allerede fundet svagheder.

  • Der er ikke designet nogen måde for brugerne at vide, om en NemID-dialog er reel. Se fx Version2's demonstration. Og brugerne har ikke fået at vide, hvilke adresser som NemID bruges på. Så vidt jeg ved, så har brugerne ikke engang fået at vide, at NemID kun må bruges på https-sider.

  • Manglende brug af DNSSEC giver angriberne mulighed for at sende dig til en server kontrolleret af dem

  • Manglende brug af HTTPS pinning giver angriberne mulighed for et angreb som det på gmail i Iran.

  • Jeg går ud fra at de heller ikke bruger HTTP Strict Transport Security (det kan ikke gøres ordentligt uden DNSSEC, som de jo ikke bruger), hvilket åbner for angreb sådan som sslstrip.

  • Nogle af de sider hvorpå NemID bruges har elendige SSL-opsætninger, fx skat.dk (Modsat punkterne ovenover ved jeg dog ikke om dette kan omsættes til et angreb på NemID).

  • 0
  • 0
#6 Michael Degn

Du er så absolut ikke alene. Jeg har NemID til banken - som jeg har isoleret i Virtualbox. OCES-delen er ikke aktiveret og bliver det heller ikke.

Hele NemID konstruktion strider simpelthen imod, hvad jeg kan og vil acceptere rent sikkerhedsmæssigt.

Din idé med en tredeling af nøgler synes jeg lyder fornuftigt. Det svarer til at lave afledte nøgler - og det synes jeg er den rigtige vej at gå.

  • 0
  • 0
Log ind eller Opret konto for at kommentere