mboost-dp1

DanID

Digitalt papkort på vej fra NemID

- Via Computerworld DK - , redigeret af Net_Srak

Så kom dagen mange danskere har ventet på. Den 30. september bliver det muligt at få en elektronisk nøgleviser, som kan erstatte det til tider udskældte papkort, der bruges i forbindelse med NemID.

Nøgleviseren kommer til at koste 99 kroner og har en forventet levetid på tre til fire år. Dog oplyser DanID, at man stadig skal have et almindeligt nøglekort af pap liggende i hjemmet til at spærre nøglevisere og bestille en ny, når batteriet løber tør.

Den elektroniske nøgleviser skulle oprindeligt have været lanceret i løbet af sommeren, men endte ifølge DanID’s pressechef Søren Winge med at blive udsat, fordi man frygtede sommerferien ville overskygge lanceringen.

Søren Winge skrev:
Vi havde ganske rigtig planer om at komme med nøgleviseren i juni, men valgte at vente til efter sommerferien, så eventuelle markedsførings-indsatser ikke ville gå til i sommervarmen og så i stedet prioritere vores ressourcer på andre projekter.

Planerne om at lave en service, der sender koderne som sms’er til mobiltelefonen, er også blev definitivt droppet, fordi løsningen var for usikker.





Gå til bund
Gravatar #51 - Jne91
6. sep. 2011 20:14
webwarp (27) skrev:
Lykkelig for at være blind, det er en rigtig god løsning (som alle burde have), den grimme satan kan i få lov at beholde for jer selv..


Har aldrig før oplevet en blind beskrive noget som 'grimt' :P
Gravatar #52 - Magten
6. sep. 2011 20:16
Hadsund (47) skrev:
Det er korrekt! Så må man gå rundt med lidt pap, når man logger på mobilen. Det vil jeg personligt heller end et digitalt papkort til 100 kroner
Så du vil både have en authenticator app og et papkort, som skal bruges til henholdsvis computer og mobil logon?

Så vil jeg da klart foretrække en token.


Hadsund (48) skrev:
#46: Det er rigtigt at Blizzard ikke er en sikkerhedsbank i sig selv, men ideen er bedre end et digitalt papkort.
Ideen er dårlig fordi de begrænser enhederne du kan bruge. Jeg tror ikke du skal undervurdere hvor mange der bruger mobilbank og kommer til det i fremtiden.

http://www.version2.dk/artikel/mobilsucces-hos-dan...
Gravatar #53 - Hadsund
6. sep. 2011 20:25
#52: Man snakker om at 90% af al søgning vil ske over mobilen om 2-3 år. Så du har ret i din udtalelse angående mobilbank. En token koster lidt penge, men det er ikke de 100 kroner jeg græder over. Det er mere det at man skal have endnu en "større" fysisk genstand på sig der irritere mig.
Gravatar #54 - webwarp
6. sep. 2011 20:27
#51 kan kun anbefale at prøve at blive blind, er skønt at slippe for pap har alligevel altid mobilen på mig.
Gravatar #55 - Hubert
6. sep. 2011 20:29
Hadsund (53) skrev:
#52: Man snakker om at 90% af al søgning vil ske over mobilen om 2-3 år. Så du har ret i din udtalelse angående mobilbank. En token koster lidt penge, men det er ikke de 100 kroner jeg græder over. Det er mere det at man skal have endnu en "større" fysisk genstand på sig der irritere mig.


Uden at vide det så vil jeg tro at den er på en størrelse med en rsa token og det er ikke meget værre end ekstra bilnøgle i nøgle bundet
Gravatar #56 - Hadsund
6. sep. 2011 20:32
True that! Jamen det skal da prøves ingen tvivl om det. Håber det bare virker!
Gravatar #57 - kasperd
6. sep. 2011 20:46
Lowkey (11) skrev:
Jeg kan ikke vurdere hvor sikker en javabaseret løsning er, i forhold til Googles 2-step verification, som mange sikkerhedsbevidste brugere nok benytter, der ikke benytter nogle browser plug-ins.
Nu er der meget stor forskel på Google og Nemid. Den meget væsentlige forskel er at Google skal konkurrere med andre firmaer som leverer en lignende service. Hvis du ikke er tilfreds med det Google anvender, så kan du vælge en anden leverandør. Derfor er Google nødt til at lave det bedst mulige, hvis de vil undgå at en konkurrent kommer med noget der er bedre.

Nemid har derimod ingen konkurrenter. Hvis du er utilfreds med Nemid kan du ikke vælge en anden leverandør. Dermed er Nemid ikke nødt til at levere det bedst mulige for at holde på brugerne.

Jeg finder det uheldigt at man vælger at afskaffe en situation hvor flere virksomheder konkurrerer på kvaliteten af deres løsning for derefter at give en virksomhed et landsdækkende monopol. Før i tiden kan man skifte til en anden bank hvis man var utilfreds med hvordan deres netbanks login system virkede. Jeg har personligt skiftet bank for at slippe for ustabile java applets. På den måde fik jeg mulighed for at bruge en netbank der fungerede upåklageligt i 6½ år uden at jeg nogensinde skulle bruge java. Og nu har de så indført Nemid som genindfører alle de problemer som jeg skiftede bank for at slippe for.

csstener (22) skrev:
Hvorfor laver de ikke en finger aftryks-læser
Jeg ville nægte at bruge det. Jeg er principiel modstander af biometrisk identifikation. Det er mit valg hvor meget pres der skal til før jeg vil overdrage min identifikation til andre. Hvis de ønsker at jeg skal bruge fingeraftryk til identifikation, så vil jeg bede dem om at sende mig en finger jeg kan bruge til formålet.

Derudover er der så mange tekniske problemer med biometrisk identifikation, at det ikke er sikkert. Biometrisk identifikation kræver for det første fysisk sikkerhed omkring deres scannere. Det kan man ikke garantere ude ved klienten.

Hubert (43) skrev:
Fordi hvis dit biometriske 'password' bliver kompromitteret er det ikke særligt let at lave om.
Det minder mig om dette citat (som jeg desværre ikke kan huske kilden til).
One of the most important principles in security:
A secret that cannot be readily changed should be regarded as a vulnerability.
Gravatar #58 - Jackiass
6. sep. 2011 21:04
De4_Kia (36) skrev:
#33 Flot eksempel du kommer med. Som #34 siger, er kørekort ikke påkrævet, så jeg vælger selv om jeg vil have det eller ej.

Det gør jeg derimod ikke med Skat, alle skal betale Skat før eller senere.
Så du kan derfor ikke bare vælge om du vil betale eller ej.
Derfor nægter jeg at betale for noget, som jeg allerede har betalt for engang via min skat.


Ja, det er jo hele min pointe. Man SKAL ikke have kørekort og man SKAL ikke have denne token for at kunne betale skat eller bruge nemid. Du har jo netop IKKE betalt den af dine skattepenge, så derfor skal du frem med pungen for denne ekstra ydelse. Hvordan du tror at du allerede har betalt den via skat kan jeg ikke forstå.
Gravatar #59 - HerrMansen
6. sep. 2011 23:05
Jeg kan kun sige - thank god at det kun er min bank der absolut kræver nemID. Alle de offentlige instanser godtager mit gamle Digital Signatur...er...signatur.
Gravatar #60 - inglorious bosterd
6. sep. 2011 23:06
Ja for den der "USB-pen" vil passe rigtigt nemt i min pung i stedet for mit dankort...., undskyld jeg mener nøglekort... danskerne har truly intet at bruge ders tid på med den medfart de kort har fået...
Gravatar #61 - Laziter
6. sep. 2011 23:36
Et mere "smart" alternativ i kreditkort størrelse
Det ville jeg synes en del bedre om end den anden løsning..
Gravatar #62 - FritzFarlig
7. sep. 2011 04:29
#50: Ja, det gør Alrekr jo... er du dum eller hvad? :)
Gravatar #63 - skipperskip
7. sep. 2011 04:56
Alrekr (46) skrev:
#44: Sikkerheden fungerer efter princippet 'noget du ved og noget du har'. 'Noget du ved' er dit password og brugernavn/cpr-nummer. 'Noget du har' er din nøgle. Nøglen skal være adskilt for at sikkerheden er i orden. Og undskyld mig, men Blizzard er ikke lige så kritiske rent sikkerhedsmæssigt, som det offentlige er.


Der er så lige den hage ved systemet, at du netop ikke har din nøgle.
Nøglen ligger altid hos DanId, dit papkort giver dig blot adgang til din nøgle.
Det ny digitale papkort er heller ikke en personlig nøgle, desværre.
DanId har altid din krypteringsnøgle, ikke som før, hvor det kun var dig, som havde den.

Mine problemer med NemId er, at du ikke selv ejer din personlige krypteringsnøgle, og at javaappletten har ubegrænset læse og skriveadgang til ALLE filer på din computer.
Gravatar #64 - Mr.Smiley
7. sep. 2011 05:00
Artiklen skrev:
Den elektroniske nøgleviser skulle oprindeligt have været lanceret i løbet af sommeren, men endte ifølge DanID's pressechef Søren Winge med at blive udsat, fordi man frygtede sommerferien ville overskygge lanceringen.


Say what ?
Er der nogen her der sidder og venter sygeligt spændt på den fætter? Vil den ændre alt om hvordan i ser på bank-login osv?

Jeg ku forstå den udtalelse, hvis det havde været et spil/en film.. Men da ikke en dims der gi'r dig koder når du trykker...
Gravatar #65 - Hubert
7. sep. 2011 05:07
skipperskip (63) skrev:
Der er så lige den hage ved systemet, at du netop ikke har din nøgle.
Nøglen ligger altid hos DanId, dit papkort giver dig blot adgang til din nøgle.
Det ny digitale papkort er heller ikke en personlig nøgle, desværre.
DanId har altid din krypteringsnøgle, ikke som før, hvor det kun var dig, som havde den.

Mine problemer med NemId er, at du ikke selv ejer din personlige krypteringsnøgle, og at javaappletten har ubegrænset læse og skriveadgang til ALLE filer på din computer.


Det er ikke helt korrekt at appletten har fuld adgang. Den har i sagens natur ikke flere rettigheder end den bruger der kører den. Kører du på en admin konto har den rettigheder til alt men kører du den med en begrænset bruger har den begrænset rettigheder.
Gravatar #66 - spangsberg
7. sep. 2011 05:13
#45

Jeg bruger da ikke NemID når jeg går på min mobil-bank, så hvad er problemet??
Gravatar #67 - Hubert
7. sep. 2011 05:29
kasperd (57) skrev:
Nu er der meget stor forskel på Google og Nemid. Den meget væsentlige forskel er at Google skal konkurrere med andre firmaer som leverer en lignende service. Hvis du ikke er tilfreds med det Google anvender, så kan du vælge en anden leverandør. Derfor er Google nødt til at lave det bedst mulige, hvis de vil undgå at en konkurrent kommer med noget der er bedre.

Nemid har derimod ingen konkurrenter. Hvis du er utilfreds med Nemid kan du ikke vælge en anden leverandør. Dermed er Nemid ikke nødt til at levere det bedst mulige for at holde på brugerne.

Jeg finder det uheldigt at man vælger at afskaffe en situation hvor flere virksomheder konkurrerer på kvaliteten af deres løsning for derefter at give en virksomhed et landsdækkende monopol. Før i tiden kan man skifte til en anden bank hvis man var utilfreds med hvordan deres netbanks login system virkede. Jeg har personligt skiftet bank for at slippe for ustabile java applets. På den måde fik jeg mulighed for at bruge en netbank der fungerede upåklageligt i 6½ år uden at jeg nogensinde skulle bruge java. Og nu har de så indført Nemid som genindfører alle de problemer som jeg skiftede bank for at slippe for.


Netop monopolet er sammen med umyndiggørelsen et af de helt store problemer med nemid. Det kan som andre monopoler vise sig at blive meget dyrt for samfundet over tid.


Det minder mig om dette citat (som jeg desværre ikke kan huske kilden til).[quote]One of the most important principles in security:
A secret that cannot be readily changed should be regarded as a vulnerability.


Rigtig godt citat.
Gravatar #68 - praktikant muffe AKA pewbe
7. sep. 2011 05:53
De4_Kia (30) skrev:
2. Jeg vil stadigvæk være afhængig af papkortet

Nej, du vil ikke være afhængig af det, du skal bare have det liggende (ikke nødvendigvis i din pung).
Gravatar #69 - Hansyarn
7. sep. 2011 06:52
Hvorfor kan man ikke bare bruge en kortlæser og dit Dankort/Visa ??

Med sådan en kortlæser ville være dejligt nemt at logge ind og ikke skulle huske på kodeord.
Gravatar #70 - skipperskip
7. sep. 2011 06:56
Hubert (65) skrev:

Det er ikke helt korrekt at appletten har fuld adgang. Den har i sagens natur ikke flere rettigheder end den bruger der kører den. Kører du på en admin konto har den rettigheder til alt men kører du den med en begrænset bruger har den begrænset rettigheder.


Korrekt, men der er jo ingen grundt til, at applette skal have læse/skrive-rettigheder til alle dine filer. Appletten burde have kørt i en sandkasse.
Gravatar #71 - Justin
7. sep. 2011 06:56
Hubert (65) skrev:
skipperskip (63) skrev:
Der er så lige den hage ved systemet, at du netop ikke har din nøgle.
Nøglen ligger altid hos DanId, dit papkort giver dig blot adgang til din nøgle.
Det ny digitale papkort er heller ikke en personlig nøgle, desværre.
DanId har altid din krypteringsnøgle, ikke som før, hvor det kun var dig, som havde den.

Mine problemer med NemId er, at du ikke selv ejer din personlige krypteringsnøgle, og at javaappletten har ubegrænset læse og skriveadgang til ALLE filer på din computer.


Det er ikke helt korrekt at appletten har fuld adgang. Den har i sagens natur ikke flere rettigheder end den bruger der kører den. Kører du på en admin konto har den rettigheder til alt men kører du den med en begrænset bruger har den begrænset rettigheder.


Skulle det gøre det bedre ???
den har stadig væk afgang til ALLE mine filer

eller forslår du af man skal oprette en kræftige begrænset konto, eller bruge gæste kontoen når man skal bruge netbanken
Gravatar #72 - Hansyarn
7. sep. 2011 06:58
Hvorfor kan man ikke bare bruge en kortlæser og dit Dankort/Visa ??

Med sådan en kortlæser ville være dejligt nemt at logge ind og ikke skulle huske på kodeord, ikke bare Netbank men alle steder på nettet.
Skulle kortet blive væk kunne man have et master kode så man kunne slette det gamle kort og tilføje det nye.
Gravatar #73 - Justin
7. sep. 2011 07:00
Hansyarn (72) skrev:
Hvorfor kan man ikke bare bruge en kortlæser og dit Dankort/Visa ??

Med sådan en kortlæser ville være dejligt nemt at logge ind og ikke skulle huske på kodeord, ikke bare Netbank men alle steder på nettet.
Skulle kortet blive væk kunne man have et master kode så man kunne slette det gamle kort og tilføje det nye.


fordi ikke alle har en kortlæser, og jeg tror det ville blive pænt dyrt hvis bankerne skulle betale for af sende kortlæser ud til alle deres kunder
Gravatar #74 - Hubert
7. sep. 2011 07:00
Justin (71) skrev:
Hubert (65) skrev:
skipperskip (63) skrev:
Der er så lige den hage ved systemet, at du netop ikke har din nøgle.
Nøglen ligger altid hos DanId, dit papkort giver dig blot adgang til din nøgle.
Det ny digitale papkort er heller ikke en personlig nøgle, desværre.
DanId har altid din krypteringsnøgle, ikke som før, hvor det kun var dig, som havde den.

Mine problemer med NemId er, at du ikke selv ejer din personlige krypteringsnøgle, og at javaappletten har ubegrænset læse og skriveadgang til ALLE filer på din computer.


Det er ikke helt korrekt at appletten har fuld adgang. Den har i sagens natur ikke flere rettigheder end den bruger der kører den. Kører du på en admin konto har den rettigheder til alt men kører du den med en begrænset bruger har den begrænset rettigheder.


Skulle det gøre det bedre ???
den har stadig væk afgang til ALLE mine filer

eller forslår du af man skal oprette en kræftige begrænset konto, eller bruge gæste kontoen når man skal bruge netbanken


Jeg foreslår dig sådan set ikke at bruge en admin konto hele tiden...
Gravatar #75 - Pally
7. sep. 2011 07:40
Hubert (74) skrev:

Jeg foreslår dig sådan set ikke at bruge en admin konto hele tiden...

Årets bedste råd! Virker på tværs af alder, køn, hudfarve, religion og OS.
Gravatar #76 - kasperd
7. sep. 2011 09:07
Hubert (65) skrev:
Den har i sagens natur ikke flere rettigheder end den bruger der kører den.
Allerede før nemid kom frem satte jeg en separat bruger op på mit system, som jeg bruger til netbank adgang og andre økonomisager. Da jeg gjorde det var det nu udfra en idé om at netbanken skulle være lidt bedre beskyttet imod alt det andet jeg laver på min computer. Det var ikke tanken at det var for at beskytte min computer imod bankerne.

Det betyder godt nok at nemid nu i princippet kunne overtage nok kontrol over den bruger til at de kunne overvåge alle min økonomiske transaktioner. Er det rimeligt at nemid også kan se hvad jeg foretager mig med min konto i Schweiz?

En separat bruger er en slags sandkasse. Men det er en lidt besværlig sandkasse at bruge. Rettigheder i den slags systemer burde faktisk organiseres som et hierarki i stedet for det flade system man har nu med kun to niveauer.

Det er ikke nemids skyld at rettighedssystemet ikke er hierarkisk opbygget. Men det er deres skyld at de kræver deres applet beder om flere rettigheder end den har brug for.
Gravatar #77 - Hubert
7. sep. 2011 10:37
kasperd (76) skrev:
Allerede før nemid kom frem satte jeg en separat bruger op på mit system, som jeg bruger til netbank adgang og andre økonomisager. Da jeg gjorde det var det nu udfra en idé om at netbanken skulle være lidt bedre beskyttet imod alt det andet jeg laver på min computer. Det var ikke tanken at det var for at beskytte min computer imod bankerne.

Det betyder godt nok at nemid nu i princippet kunne overtage nok kontrol over den bruger til at de kunne overvåge alle min økonomiske transaktioner. Er det rimeligt at nemid også kan se hvad jeg foretager mig med min konto i Schweiz?

En separat bruger er en slags sandkasse. Men det er en lidt besværlig sandkasse at bruge. Rettigheder i den slags systemer burde faktisk organiseres som et hierarki i stedet for det flade system man har nu med kun to niveauer.

Det er ikke nemids skyld at rettighedssystemet ikke er hierarkisk opbygget. Men det er deres skyld at de kræver deres applet beder om flere rettigheder end den har brug for.


Jeg mener ikke at have givet udtryk for at det er ok at nemid har lavet appletten så den kræver flere rettigheder end nødvendigt.

Og jeg har bestemt aldrig givet udtryk for at nemid er en god løsning eller noget man bør satse på i fremtiden. Jeg håber blot at man om knap 5 år ser lyset og skrotter det her system til fordel for et system med åbne snitflader så vi kan få nogle konkurrende systemer istedet for det her tåbelige monopol man har givet til danid.
Gravatar #78 - Saxov
7. sep. 2011 10:54
kasperd (76) skrev:
Det betyder godt nok at nemid nu i princippet kunne overtage nok kontrol over den bruger til at de kunne overvåge alle min økonomiske transaktioner.
Kræver NemID ikke admin rettigheder? i så fald, er det jo ikke kun den pågældende bruger der er kompromiteret.
Gravatar #79 - troldefar
7. sep. 2011 11:02
Jeg er fint tilfreds med den sikkerhedsløsning der er.
Det er sq kun en bonus at de i det hele taget har taget de mere teknisk krævende i betragtning med hensyn til et digitalt "nøglekort".
De kunne meget nemt have sagt at folk bare kunne nøjes med papkortet og så lade det være slut med det.
Men papkortet er rigeligt fint. Det kan godt være det ikke er en fancy digital og 21'st century-løsning. Men det virker super fint, hvis man har store problemer med at bruge det. Eller synes at det er for besværlig at skulle gå måske 5 meter hen til sin pung, for at hente det, eller hvor man nu ellers ligger skidtet. Så skal man ikke have adgang til noget som helst.
Stop nu med det jeg-bor-stadig-hos-mine-forældre-og-jeg-vil-have-is-hver-dag-mentalitet og lær, at nogen gange så skal man lave en smule manuelt arbejde.

/rant off!
Gravatar #80 - kasperd
7. sep. 2011 11:06
Hubert (77) skrev:
Jeg mener ikke at have givet udtryk for at det er ok at nemid har lavet appletten så den kræver flere rettigheder end nødvendigt.
Mit indlæg var ikke et forsøg på at korrigere dig. Hvad du skrev var korrekt (og jeg ratede dit indlæg som relevant før jeg svarede på det). Mit indlæg var blot ment som en uddybelse af situationen. Jeg tror vi er enige på de punkter.

Saxov (78) skrev:
Kræver NemID ikke admin rettigheder?
Nej. Der kræves admin rettigheder for at installere java, men når først java er installeret kan nemid køres som en vilkårlig bruger.
Gravatar #81 - Hubert
7. sep. 2011 11:55
kasperd (80) skrev:
Mit indlæg var ikke et forsøg på at korrigere dig. Hvad du skrev var korrekt (og jeg ratede dit indlæg som relevant før jeg svarede på det). Mit indlæg var blot ment som en uddybelse af situationen. Jeg tror vi er enige på de punkter.


Jeg må indrømme at jeg ikke havde bemærket at du havde ratet mit indlæg. Men ja det lader til at vi er ret enige. Også i at det er voldsomt uheldigt at nemid kan kompromittere din 'bank bruger' og på den måde følge med i andre forretninger du skulle lave på den bruger.

Gravatar #82 - cryo
7. sep. 2011 12:11
Hubert (77) skrev:
Jeg mener ikke at have givet udtryk for at det er ok at nemid har lavet appletten så den kræver flere rettigheder end nødvendigt.


Nu er det vel rimelig meget alt eller intet med Java, så enten kan den meget lidt eller den er signet og man vælger at stole på at den kan agere på sine vegne.

OT,
Jeg forstår dog ikke alt den kritik (ikke nødvendigvis fra dig).. antager folk at NemID skulle have lavet en applet som bevidst læser eller skriver følsomme filer på ens konto? Det er rimelig tin-foil-agtigt.

Der kunne være fejl i programmet, ja, men det gælder alle programmer i den discretionary access control-verden vi altså stadig stort set befinder os i (dog er Mac OS X begyndt at shippe mere og mere MAC i deres nye system).
Gravatar #83 - Hubert
7. sep. 2011 13:31
cryo (82) skrev:
Nu er det vel rimelig meget alt eller intet med Java, så enten kan den meget lidt eller den er signet og man vælger at stole på at den kan agere på sine vegne.

OT,
Jeg forstår dog ikke alt den kritik (ikke nødvendigvis fra dig).. antager folk at NemID skulle have lavet en applet som bevidst læser eller skriver følsomme filer på ens konto? Det er rimelig tin-foil-agtigt.

Der kunne være fejl i programmet, ja, men det gælder alle programmer i den discretionary access control-verden vi altså stadig stort set befinder os i (dog er Mac OS X begyndt at shippe mere og mere MAC i deres nye system).


Jeg tror ikke at folk er bange for at Danid skulle snage. Det er mere et spørgsmål om at de har lavet en applet der giver mulighed for det når det angiveligt ikke har været nødvendigt.
Gravatar #84 - myplacedk
7. sep. 2011 14:11
Taxwars (29) skrev:
myplacedk (14) skrev:
NemID-appletten bliver brugt til mere end login. Fx. når du kvitterer for en overførsel i netbanken er det NemID-appletten igen, og der gør den meget mere end bare at bekræfte hvem du er.


"Den gør meget mere" så som?

Når du fx. overfører penge, kvitterer du. I dag gør du det ved at skrive din kode i NemID-appletten, det gjorde du nok også før NemID. (Jeg ved ikke om alle netbanker fungerer ens på dette punkt.)

Før betød den kvittering, at banken noterer hvad du har bedt om. I en retssag har man ikke meget mere end bankens ord for det. Banken lyver nok ikke (hvis en bank er ondsindet er det næppe på den måde), men der kan være så meget andet galt. Fx. et man-in-the-middle angreb, hvor du kommunikerer gennem en computer som ændrer kontonummeret på vej fra din PC til banken. Eller software som ændrer HTML'en i din browser.

I dag bliver teksten du ser i appletten digitalt signeret direkte i appletten, uden den helt store mulighed for at anden software kan vise dig andet tekst end der bliver signeret. Dvs. nu er det ikke længere bankens påstand fra bankens egne maskiner, nu er der en 3. part som har det direkte fra et plugin helt inde i din browser, næsten uden mulighed for snyd.
(Det er ikke en digital signatur som man bruger i fx. emails, men det er nogenlunde samme teknik der bliver brugt.)

Kort sagt: Du er gået fra at banken har info fra egen server, til at en 3. part har det direkte fra din browser. Det gør det sværer at være fusker, og nemmere at lave en efterforskning.
Gravatar #85 - kasperd
7. sep. 2011 21:11
cryo (82) skrev:
Der kunne være fejl i programmet, ja, men det gælder alle programmer
Jeg går meget målrettet efter at mine computere modtager software fra så få kilder som muligt. På den måde er der færrest muligt der kan kompromittere min sikkerhed ved at levere defekt software og ikke levere sikkerhedsopdateringer.

Hvordan kan det være rimeligt at danid kan kræve at sikkerheden af alle computere i Danmark skal slækkes ved at kræve at der tilføjes endnu en angrebsflade ved at have software fra endnu en leverandør som man ikke engang selv kan vælge.

Derudover er der et potentielt sikkerhedshul som meget nemt kunne være indført i hele sikkerhedsmodellen omkring signaturer på disse applets.

Man bliver bedt om at godkende at applets fra nemid altid får disse ekstra rettigheder når man kører dem. Lad os antage at nogen har svaret ja på det spørgsmål (man bliver sikkert spurgt igen og igen indtil man svarer ja). Hvad sker der så, hvis der findes et alvorligt sikkerhedshul i appleten?

Den er allerede signeret, og der er sikkert mange som har en cachet udgave af applet med signatur. Nemid kan udgive en opdatering, men hvad forhindrer mig i at placere den gamle udgave med sikkerhedshullet på min hjemmeside og udnytte hullet i appleten til at tage kontrol over alle de computere, der besøge min hjemmeside?

Appleten er jo allerede underskrevet, og en side der bruger den gamle udgave behøver jo ikke hjælpe klienten med at finde ud af at der findes en ny udgave. Altså ikke blot en ekstra angrebsflade, men en angrebsflade uden nogen måde for brugerne at sikre sig at de bruger den mest opdaterede udgave af softwaren.

Endnu en grund til at køre netbank under en separat bruger. Når man giver appleten de ekstra rettigheder gælder det kun den bruger man går det under. Hvis man nogensinde igen anvender samme bruger til at tilgå andre websites er man altså mere udsat.

Jeg vil straks kontakte nemid for at spørge dem hvad de har gjort for at beskytte brugerne imod dette angreb.

myplacedk (84) skrev:
I dag bliver teksten du ser i appletten digitalt signeret direkte i appletten, uden den helt store mulighed for at anden software kan vise dig andet tekst end der bliver signeret.
Det er ikke korrekt. De kunne nemt erstatte appleten med et andet stykke software som gør noget andet, og det er ikke noget brugerne vil opdage når de bruger det.

myplacedk (84) skrev:
Det er ikke en digital signatur som man bruger i fx. emails, men det er nogenlunde samme teknik der bliver brugt.
Hvis de fremviser en offentlig nøgle og et dokument der er underskrevet med den pågældende offentlige nøgle, så ville jeg ganske enkelt benægte at det var min offentlige nøgle.
Gravatar #86 - kasperd
7. sep. 2011 21:50
kasperd (85) skrev:
Jeg vil straks kontakte nemid for at spørge dem hvad de har gjort for at beskytte brugerne imod dette angreb.
Dette specifikke punkt af diskussionen fortsætter i en ny tråd: http://newz.dk/forum/software/aabent-brev-til-dani...
Gravatar #87 - Justin
8. sep. 2011 12:23
Hubert (74) skrev:

Jeg foreslår dig sådan set ikke at bruge en admin konto hele tiden...


prøver lige igen det lader til af du misforstod mit spørgsmål første gang

ligeglydigt hvilken slags konto jeg bruger, til dagligt så vil jeg have adgang til alle min filer fra den, og hvis jeg logger på netbank fra den konto så vil appletten også have fuld adgang til ALLE mine filer

så nu prøver jeg spørge igen, om du foreslår af man skal oprette en ekstra konto til når man skal bruge netbank

Gravatar #88 - Magten
8. sep. 2011 12:33
Justin (87) skrev:
så nu prøver jeg spørge igen, om du foreslår af man skal oprette en ekstra konto til når man skal bruge netbank
Han svarede på det sidst.

Han foreslår dig at du opretter en bruger der ikke har admin rettigheder, og bruger den til alt hvad der ikke kræver admin rettigheder.
Gravatar #89 - Hubert
8. sep. 2011 14:41
Justin (87) skrev:
Hubert (74) skrev:

Jeg foreslår dig sådan set ikke at bruge en admin konto hele tiden...


prøver lige igen det lader til af du misforstod mit spørgsmål første gang

ligeglydigt hvilken slags konto jeg bruger, til dagligt så vil jeg have adgang til alle min filer fra den, og hvis jeg logger på netbank fra den konto så vil appletten også have fuld adgang til ALLE mine filer

så nu prøver jeg spørge igen, om du foreslår af man skal oprette en ekstra konto til når man skal bruge netbank


Hvis du er bekymret for at danid vil snage i dine filer så ja. Men omvendt kan du jo så også sige at du skal have en seperat konto til alt software der potentielt kunne udnyttes til at få adgang til dine filer på computeren.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login