Henrik Stig Jørgensen

Rss
Personligt feed med nye kommentarer i tråde, du overvåger:
https://www.version2.dk/mit/0/kommentarer?token=HPnHcLYhJ8jCXC_UoTnfzqY2R9xpwMBmKONAZAek0jk

Kommentarer

Kommentar til NemID -- Har I drukket af natpotten ?

Re: øv PHK, du er jo helt galt afmarcheret

Jeg er enig i at debatten forringes af tåbelige kommentarer og anekdoter, konspirationsteorier og politisk betonede indlæg. Det er nu engang sådan internettet altid har været siden dagene med dk.mudderkast, om man kan lide det eller ej. Men det største tågehorn, uden sammenligning, er for mig a...
Kommentar til NemID -- Har I drukket af natpotten ?

Min våde drøm!

Hej Poul-Henning. Ja, det er vel bl.a. mig du refererer til når du taler om inkompetente, hysteriske NemID-kritikere med våde drømme om forkromede PKI-løsninger og sølvpapirshatte. Det kan være vi var nået længere med din debatstil, men jeg bifalder den ikke. Din artikel fremstiller det som et...
Kommentar til DanID: Java-applet skal beskytte mod man-in-the-middle-angreb

Forkert

I den forbindelse beskytter Java-appletten mod man-in-the-middle-angreb, fordi DanID med denne løsning har bedre kontrol over dataene hele vejen fra afsender til modtager. Java-appletten INTRODUCERER et man-in-the-middle-angreb! Man-in-the-middle-angreb foregår ved, at malware ændrer i de data,...
Kommentar til It-advokat til NemID-kritikere: Sæt dog tingene i perspektiv

Forkert præmis

@Martin Det virker hysterisk, når man hver eneste gang, der bare er en lille mulighed for misbrug, så straks taler om, at der er et fundamentalt problem. Vi har at gøre med et system, der skal give borgerne en juridisk gyldig, digital underskrift. Hvis man, som her, proiriterer udbredelse og b...
Kommentar til DanID vil vise Java-kode frem: »Vi har intet at skjule«

Re: Fingerprint på tilfældige pc'ere

@Thomas Dine bemærkninger om HTTPS (HTTP i SSL) er stadig helt forkerte. SSL understøtter public key- eller to-vejs -kryptering hvor serveren sender et certifikat til klienten, og klienten sender et certifikat til serveren, og begge sider kan afgøre om de ønsker at truste modpartens certifikat....
Kommentar til NemID's Java-hul: Din bank kan snage i alt på din harddisk

Re: Med al respekt for lange forklarings indlæg.

@Maxx Jeg er fuldstændig enig med dig og Stephan i det scenarie du opridser her, og jeg deler din frustration over at se det uundgåelige ske uden at være i stand til at overbevise beslutningstagerne. Det ville heller ikke være nødvendigt at overbevise nogen om dette scenarie hvis det i Danmark ...

Re: Henrik Stig Jørgensen,

I øvrigt, hvis nogen har en sandbox/virtualiseret maskine til ukompromitteret eksekvering af NemID-appletten, ville jeg være meget interesseret i et thread-dump (jstack). Nå nej, det er jo en applet; Åbn Java Console og tryk "v".

Re: Henrik Stig Jørgensen,

Ved du hvor cachen ligger? Javas egen eller NemIDs? Sun-Javas applet-cache ligge typisk i ~/.java/deployment/cache/ medmindre man har ændret det i Java Plugin Control Panel. Mht. NemIDs cache ved jeg det ikke da jeg ikke har i sinde at eksekvere appletten. I øvrigt, hvis nogen har en sandbox/...

Re: Henrik Stig Jørgensen,

jeg mente at huske man skulle lave en java.policy fil med præcis hvilke permissions man ønsker Det er kun hvis den ikke er signeret. Men ved alle de eksisterende applets der er i brug til netbanker og også den gamle digitale signatur er der tale om applets der er signerede og beder om permissio...
Kommentar til DanID vil vise Java-kode frem: »Vi har intet at skjule«

Re: Fingerprint på tilfældige pc'ere

@Thomas Jeg ved ikke helt hvor jeg skal starte, men samtlige af dine bemærkninger om HTTPS er forkerte! HTTPS er HTTP wrappet i SSL/TLS. Med SSL kan lave klientside validering af certifikater og man kan sikre data-integriteten af data sendt over SSL. Der gælder dermed også, at forbindelsen er...

Re: Endnu en ny stor sikkerhedsbrist

For det først er det ikke "signingen" der gør at appletten kan alt. Det afhænger helt af hvilke permissions den beder om og forudsætter brugeren accepterer. En applet skal dog være signeret for at kunne bede om forhøjede permission. I en standard Java-installation har en signed applet...
Kommentar til DanID: Derfor bruger vi en signeret Java-applet

Re: Open source

Så længe vi ikke kan køre med en udgave vi har compiled selv, er det umuligt at være sikker på at den source vi får at se, svarer til det der rent faktisk bliver kørt. Nej, det ville det alligevel være. En signed applet har fuld adgang til alle JFC-classes; DanID kan til enhver tid kalde Runtim...
Kommentar til NemID's Java-hul: Din bank kan snage i alt på din harddisk

Re: Persondataloven

@ole Nej, DanID kan aldrig opfattes som databehandler; de identificerer og autentificerer brugeren, ikke data. I så fald kunne man også kalde ISP'en for databehandler. Den går ikke.
Kommentar til NemID's Java-hul: Din bank kan snage i alt på din harddisk

Re: Persondataloven

@Ole Tag et kig på persondatalovens §41 stk. 3: Den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges el...
Kommentar til NemID's Java-hul: Din bank kan snage i alt på din harddisk

Tak for interessen!

Tak til IT-politisk forening for at vise interesse for sagen. Jeg har længe undret mig over at diverse IT faggrupper har været så tavse i denne sag. Jeg håber samtidig at IT-politisk forening vil følge op på dette samt udvide deres kritik, da dette jo kun er en del af problemet; Java-appletten ...

Re: Måske et debilt spørgsmål men

Glemte lige at nævne, at NemID giver en funktionalitet der ligner single-sing-on, men i stedet for at autentificere dig overfor myndighederne, autentificerer du dig overfor DanID, som derefter proxyer al kommunikation mellem dig og myndighederne. Det ligner måske single-sign-on, men er så vanvit...

Re: Måske et debilt spørgsmål men

Single-sign-on er et system der muliggør at autentifikation i et system giver implicit autentifikation til et andet system. I UNIX kender du det måske ifbm. PAM og GSSAPI. Ved brug af public key kryptografi er single-sign-on ikke nødvendigt da autentifikationen er implicit gennem det successful...

Fokuser på problemerne

Når sikkerheden i et system til sikring af identitet brydes er det klart at systemet ikke kan bruges til identifikation. Den eneste løsning ville være at etablere en parallel identitet, men denne tankegang fører kun til uendelig regression. Det er jo lige før jeg får medlidenhed med DanID i den...
Kommentar til Vinderen er fundet: En tablet pc hedder tavle-pc på dansk

Re: Apple iPad ikke en PC

Sludder. Begrebet personal computer blev brugt før IBM lavede deres Ok! Jeg ser ligepludselig den cirkelsluttede logik i mit tidligere indlæg. Men hvis PC kan referere til alle typer arkitekturer, er PC da synonymt med "computer"?
Kommentar til Vinderen er fundet: En tablet pc hedder tavle-pc på dansk

Apple iPad ikke en PC

Version2’s sommerkonkurrence om at finde det bedste danske navn for apparater som for eksempel Apples iPad er slut... Ikke helt; Apples iPad er så vidt jeg ved baseret på ARM-arkitekturen, mere specifikt ARM Cortex-A9 MPCore. Der er sikkert nogle PC-tablets på markedet, men jeg tror det hovedsa...