mboost-dp1
PBS A/S
Så 400 personer ud af over 1.000.000 brugere har været berørt af en fejl, der hverken udgjorde en sikkerhedsrisiko eller havde nogle negative konsekvenser andet end at man ikke kunne logge på Skat og lignende - why is this news?
moulder666 (1) skrev:Så 400 personer ud af over 1.000.000 brugere har været berørt af en fejl, der hverken udgjorde en sikkerhedsrisiko eller havde nogle negative konsekvenser andet end at man ikke kunne logge på Skat og lignende - why is this news?
Fordi nemID er ONDT! Det er djævlens værk, og alle småfejl skal bruges som undskyldning for at brokke sig over hvor elendigt og forældet systemet er.
#1 & #2
Det er en "nyhed" på grund af at NemID er noget der er blevet tvunget hen over hovederne på folket.
Vi kan hurtig blive enige om at et system ikke er fejlfrit, og at det er en lav % sats af folket der er blevet ramt, men når man er decideret tvunget til at bruge det her system, så manglede det da også bare at det virkede for alle. (Og nej, jeg mener netbanking / offentlige sites, ikke at man bare kan gå ned på kommunen eller ringe ind i stedet)
Det er en "nyhed" på grund af at NemID er noget der er blevet tvunget hen over hovederne på folket.
Vi kan hurtig blive enige om at et system ikke er fejlfrit, og at det er en lav % sats af folket der er blevet ramt, men når man er decideret tvunget til at bruge det her system, så manglede det da også bare at det virkede for alle. (Og nej, jeg mener netbanking / offentlige sites, ikke at man bare kan gå ned på kommunen eller ringe ind i stedet)
Dejligt at de har rettet en lille fejl i sådan et lækkert system. Er rigtig glad for NemID. Nu kan jeg ikke lige huske hvad det var for en offentlig side jeg skulle logge ind på forleden, men heldigvis kunne man bruge NemID. Slipper for at skulle huske et utal af koder, eller bruge tid på at rekvirere et login.
Skønt system! Bliv ved med at forbedre det!
Skønt system! Bliv ved med at forbedre det!
Der er nu ikke meget værdi i denne "nyhed".
Omend ikke andet, så glæder det mig at vide at de rent faktisk arbejder på at udbedre fejl uanset størrelse.
Da jeg startede med at bruge NemID kunne jeg slet ikke komme igang, det ville bare ikke virke og så blev jeg da ellers godt knotten og kørte mit eget hate-riot på det fordømte pap-kort (det er pænt krøllet nu).
Det endte dog lykkeligt, nu virker det og faktisk synes jeg det er dejligt let at arbejde med. Det tager måske lige 2 sekunder længere at logge ind på min netbank, men det er så meget lettere alligevel :-)
Omend ikke andet, så glæder det mig at vide at de rent faktisk arbejder på at udbedre fejl uanset størrelse.
Da jeg startede med at bruge NemID kunne jeg slet ikke komme igang, det ville bare ikke virke og så blev jeg da ellers godt knotten og kørte mit eget hate-riot på det fordømte pap-kort (det er pænt krøllet nu).
Det endte dog lykkeligt, nu virker det og faktisk synes jeg det er dejligt let at arbejde med. Det tager måske lige 2 sekunder længere at logge ind på min netbank, men det er så meget lettere alligevel :-)
Det er en "nyhed" på grund af at NemID er noget der er blevet tvunget hen over hovederne på folket.
Vi kan hurtig blive enige om at et system ikke er fejlfrit, og at det er en lav % sats af folket der er blevet ramt, men når man er decideret tvunget til at bruge det her system, så manglede det da også bare at det virkede for alle. (Og nej, jeg mener netbanking / offentlige sites, ikke at man bare kan gå ned på kommunen eller ringe ind i stedet)
Interessant teori - jeg køber den bare ikke! :-)
Intet IT-system er perfekt eller fejlfrit! Og når vi er nede på, at de fejl der laves "nyheder" om berører under 0,4 promille af dem, der bruger systemet, må vi da komme under smertetærsklen! Hvor går grænsen ellers?
"Mogens fra Skelde har nu i 4 måneder været afskåret fra at bruge Skat.dk - hvad gør NemID ved problemet? Læs mere her!"
Min kæreste havde dette problem for lææææænge siden, hvilket betød hun fik sig et nyt NemID efter et par måneder uden hjælp fra DanID.
moulder666 (6) skrev:
Interessant teori - jeg køber den bare ikke! :-)
Intet IT-system er perfekt eller fejlfrit! Og når vi er nede på, at de fejl der laves "nyheder" om berører under 0,4 promille af dem, der bruger systemet, må vi da komme under smertetærsklen! Hvor går grænsen ellers?
"Mogens fra Skelde har nu i 4 måneder været afskåret fra at bruge Skat.dk - hvad gør NemID ved problemet? Læs mere her!"
Det er da en skam at du ikke køber en rigtig god teori om hvorfor denne slags artikler findes. Men så må du jo fortælle hvorfor de ikke burde findes.
Der er næppe nogen der mener at et nyt system ikke kan have fejl i starten. Og det her er da også en af de mindre af slagsen. Men som lamtard er inde på så er det her system tvunget ned over hovedet på de stakler der død og pine ikke kan undvære deres netbank eller som absolut ikke kan bruge en test selvkode på skat eller andre steder.
Jeg havde det samme problem, at jeg kunne bruge netbank men ikke alle de offentlige sider. Problemet var meget simpelt, de manglede ligitimation, det eneste info de havde på mig hos DanID var: "Overført fra Bikuben", så jeg måtte ned i banken og vise dem mit pas og da jeg kom hjem virkede det fint med alle de offentlige sider. Jeg overvejer om det har været noget lignende, eventuelt overførsel af disse informationer fra bankernes systemer til DanID der er glippet. Det fik jeg så ordnet før februar godt nok.
Det er da en skam at du ikke køber en rigtig god teori om hvorfor denne slags artikler findes. Men så må du jo fortælle hvorfor de ikke burde findes.
Som sagt tidligere: Intet IT-system er perfekt eller fejlfrit! Og når vi er nede på, at de fejl der laves "nyheder" om berører under 0,4 promille af dem, der bruger systemet, må vi da komme under smertetærsklen! Hvor går grænsen ellers?
Vi har mange systemer, som vi bliver NØDT til at bruge, men hvor opmærksomheden ikke er så pokkers stor. Ville vi f.eks. få en nyhed ud af det, hvis 400 kunder ikke kunne benytte sig af Skat.dk? (hvis det IKKE var NemIDs skyld)
moulder666 (10) skrev:Som sagt tidligere: Intet IT-system er perfekt eller fejlfrit! Og når vi er nede på, at de fejl der laves "nyheder" om berører under 0,4 promille af dem, der bruger systemet, må vi da komme under smertetærsklen! Hvor går grænsen ellers?
Igen det er der vel heller ikke nogen der forventer. Og da slet ikke her på sitet. Men jeg må da alt andet lige kunne forvente at når jeg får trukket noget ned over hovedet så virker det bare så nogenlunde for mig når jeg vil benytte mig af skat.dk. De er jo selv inde på at skat.dk er et af stederne hvor man kan benytte sig af nemid når man læser på nemid.nu.
Vi har mange systemer, som vi bliver NØDT til at bruge, men hvor opmærksomheden ikke er så pokkers stor. Ville vi f.eks. få en nyhed ud af det, hvis 400 kunder ikke kunne benytte sig af Skat.dk? (hvis det IKKE var NemIDs skyld)
Jeg er ikke NØDT til at benytte mig af skat.dk. Jeg kan ordne det hele via papir hvis jeg har lyst. :)
Skulle jeg ønske at benytte mig af skat.dk er jeg NØDT til at bruge nemid, hvilket jeg ikke har nogen trang til at gøre.
#11 Jamen så lad os da vende den om. Hvor stor en brøkdel af brugerne skal opleve en fejl for at du mener det retfærdiggør en nyhed? Taler vi 0,1 promille? det er 1 ud af 10.000 der skal være berørte så - eller skal vi længere ned?
moulder666 (12) skrev:#11 Jamen så lad os da vende den om. Hvor stor en brøkdel af brugerne skal opleve en fejl for at du mener det retfærdiggør en nyhed? Taler vi 0,1 promille? det er 1 ud af 10.000 der skal være berørte så - eller skal vi længere ned?
Jeg er såmænd ophøjet ligeglad med om der kommer en artikel eller ej. Det eneteste jeg har gjort i det her tilfælde er at smide et link til an artikel på computerworld.dk
NemID virker pt. ikke på borger.dk og jeg har ikke engang været på Netbank tidligere idag.....
WTF...skulle lige teste det igen her 1 time efter...og da jeg kommer på borger.dk og trykker på Login linket...så er jeg sgu pludselig logget på !! Tidligere fik jeg en "kunne ikke logge ind" fejl !
Sikkert og nemt, hva? :/
WTF...skulle lige teste det igen her 1 time efter...og da jeg kommer på borger.dk og trykker på Login linket...så er jeg sgu pludselig logget på !! Tidligere fik jeg en "kunne ikke logge ind" fejl !
Sikkert og nemt, hva? :/
Kunne være interessant hvis fejlen ret faktisk BLEV specificeret. Men ud fra artiklen lyder det som om det kun har berørt folk der fik NemID automatisk gennem deres bank? Jep, det er beklageligt, og naturligvis skal der skrives om det, men nogen større katastrofe kan det næppe være.
Personligt er jeg glad for NemID, det er endeligt et nogenlunde sikkert system. Digital signatur var fsv. fint, men det var for let at få fat i keyfile passphrase med en smule trojanisering, så selvom jeg i princippet ikke er glad for key escrowing vil jeg mene at NemID modellen er den bedste form for sikkerhed der også er *praktisk gennemførligt* - nu mangler vi bare at man kan få en RSA token i stedet for nøglekortene :)
PS: jeg er heller ikke fan af at NemID kræver en Java applet, og surmulede i starten over at det egentligt ikke burde være nødvendigt. Forrige nummer af PROSA medlemsbladet havde dog en kort artikel om det, og jeg måtte bøje mig for de tekniske argumenter. Det' nødvendigt. Og det' rimeligt sikkert.
Personligt er jeg glad for NemID, det er endeligt et nogenlunde sikkert system. Digital signatur var fsv. fint, men det var for let at få fat i keyfile passphrase med en smule trojanisering, så selvom jeg i princippet ikke er glad for key escrowing vil jeg mene at NemID modellen er den bedste form for sikkerhed der også er *praktisk gennemførligt* - nu mangler vi bare at man kan få en RSA token i stedet for nøglekortene :)
PS: jeg er heller ikke fan af at NemID kræver en Java applet, og surmulede i starten over at det egentligt ikke burde være nødvendigt. Forrige nummer af PROSA medlemsbladet havde dog en kort artikel om det, og jeg måtte bøje mig for de tekniske argumenter. Det' nødvendigt. Og det' rimeligt sikkert.
caffery (15) skrev:WTF...skulle lige teste det igen her 1 time efter...og da jeg kommer på borger.dk og trykker på Login linket...så er jeg sgu pludselig logget på !! Tidligere fik jeg en "kunne ikke logge ind" fejl !
Ja, det er fanme irriterende når fejl forsvinder. Jeg hader den slags.
Hæh grundet CSC vs prosa halløjet er der åbnet for den eneste rigtige digitale signatur igen...
https://danid.dk/export/sites/dk.danid.oc/da/priva...
https://danid.dk/export/sites/dk.danid.oc/da/priva...
snemarch (19) skrev:Hubert: "eneste rigtige"? Kom med begrundelse for den sætning, i kontekst af at de fleste danskere ikke er über it-kyndige :)
Hvorvidt de fleste danskere er it-kyndige eller ej ændrer vel ikke på at nemid ikke lever op til kravene for Digital Signatur...
#20: min pointe er at det er en sikkerhedsrisiko at have din digitale signatur keyfile liggende på din egen maskine. It-kyndige ved dette, og *nogle* af dem håndterer så dette sikkerhedsproblem... men den almindelige dansker? trojan, *bang*, fuld adgang til netbank og offentlige systemer.
Jeg er ikke så glad for key escrow, men har svært ved at se en bedre metode når systemet skal fungere for masserne.
Jeg er ikke så glad for key escrow, men har svært ved at se en bedre metode når systemet skal fungere for masserne.
Terratroll, NemID er pretty much så nemt som det kan gøres hvis du vil have et sikkert system. Men du kan måske foreslå et system med sikker authentification, verification og beskyttelse mod eavesdropping, replay attacks og så videre?
Det med kurserne kan du ikke bruge til en skid, folk går for fanden på kurser for at lære at åbne og gemme og printe dokumenter.
Og selv hvis man ikke tænker så meget på sikkerheden, HVAD er så besværligt ved NemID? Uha, man skal HUSKE et brugernavn og en kode, og så skal man hive et nøglekort frem. Nøglekortet er muligvis *be*sværligt, men svært er det fandme ikke.
Den gamle digitale signatur derimod kunne være en bitch at få til at virke. Til initial install har jeg ikke fundet en metode der ikke krævede IE med admin rights, og derefter ex+import for at få certifikaterne over i en anden browser. Forklar den procedure til en *normal* person på Vista/Win7 der bare godt kan lide Chrome eller FireFox?
Det med kurserne kan du ikke bruge til en skid, folk går for fanden på kurser for at lære at åbne og gemme og printe dokumenter.
Og selv hvis man ikke tænker så meget på sikkerheden, HVAD er så besværligt ved NemID? Uha, man skal HUSKE et brugernavn og en kode, og så skal man hive et nøglekort frem. Nøglekortet er muligvis *be*sværligt, men svært er det fandme ikke.
Den gamle digitale signatur derimod kunne være en bitch at få til at virke. Til initial install har jeg ikke fundet en metode der ikke krævede IE med admin rights, og derefter ex+import for at få certifikaterne over i en anden browser. Forklar den procedure til en *normal* person på Vista/Win7 der bare godt kan lide Chrome eller FireFox?
snemarch (21) skrev:#20: min pointe er at det er en sikkerhedsrisiko at have din digitale signatur keyfile liggende på din egen maskine. It-kyndige ved dette, og *nogle* af dem håndterer så dette sikkerhedsproblem... men den almindelige dansker? trojan, *bang*, fuld adgang til netbank og offentlige systemer.
Jeg er ikke så glad for key escrow, men har svært ved at se en bedre metode når systemet skal fungere for masserne.
Det undrer mig lidt at din pointe er noget der slet ikke har relevans for mit indlæg?
snemarch (25) skrev:#24: har det ikke? Bør det *rigtige* valg af teknologi ikke tage hensyn til målgruppen?
Har du nogle konkrete grunde til at du ser den gamle digitale signatur som det rigtige valg?
AHh så er jeg med. Når jeg skriver den eneste rigtige Digitale Signatur så mener jeg den der var lavet før man mente det var nødvendigt at lave om den forolkning man havde af det EU direktiv der fortæller hvad en Digital Signatur er. Ifølge den gamle fortolkning kan NemID ikke være en Digital Signatur. :)
NemID overholder ikke PKI standarden selvom deres kryterings ekspert påstår det modsatte. og sådan kan vi jo blive ved.
Så ja jeg har nogle grunde til at mene at at den gamle Digitale Signatur var et bedre valg.
snemarch (23) skrev:Terratroll, NemID er pretty much så nemt som det kan gøres hvis du vil have et sikkert system. Men du kan måske foreslå et system med sikker authentification, verification og beskyttelse mod eavesdropping, replay attacks og så videre?
Det med kurserne kan du ikke bruge til en skid, folk går for fanden på kurser for at lære at åbne og gemme og printe dokumenter.
Og selv hvis man ikke tænker så meget på sikkerheden, HVAD er så besværligt ved NemID? Uha, man skal HUSKE et brugernavn og en kode, og så skal man hive et nøglekort frem. Nøglekortet er muligvis *be*sværligt, men svært er det fandme ikke.
Den gamle digitale signatur derimod kunne være en bitch at få til at virke. Til initial install har jeg ikke fundet en metode der ikke krævede IE med admin rights, og derefter ex+import for at få certifikaterne over i en anden browser. Forklar den procedure til en *normal* person på Vista/Win7 der bare godt kan lide Chrome eller FireFox?
Det ville måske være rigtgit, hvis dét bare ikke var fordi at årsagen til at dit PW til MenID ikke er case-sensitive fordi der menes det ville gøre det nemmere for ikke-IT folk at bruge.
Så sikkerheden lider...mens folk STADIG skal have et kursus i at bruge lortet...lose-lose.
#26: når du siger "PKI standarden", mener du så X.509 certifikater, eller er den en standard for selve infrastrukturen som jeg ikke kender til? :)
Bumbum, for mig at se er det vigtigste at vi får etableret en digital signatur infrastruktur her i .dk, og får *alle* borgere over på den, gør den så let tilgængeligt som muligt, men stadig med fornuftig sikkerhed. Digitale signaturer mellem forskellige landes borgere er nok lige optimistisk nok at forsøge at få gennemført nu og her, og de folk der har behov for det pt. har det vel også fint med at bruge andre løsninger.
Måske havde det været en idé at give folk mulighed for at få adgang til sin signatur i et standard certifikat-format, så man kunne bruge det til at signe og kryptere emails; hvis det var en *yderligere* mulighed må man formode at de folk der benyttede mulighede nogså kunne beskytte deres certifikat. Men som det ser ud nu synes jeg at NemID er at ganske udmærket kompromis, der går i den rigtige retning.
---
#27: uheldigt at det ikke er case-sensitive, men altså... folk der får adgang til en digital signatur keyfil kan bruteforce den offline, smide et Amazon EC3 cluster eller russisk botnet efter det, whatever - og det skal nok få fat i de usikre passphrases.
Med NemID har du ikke adgang til den rå keyfil - jeg har ikke forsøgt mig med at logge på mange gange med forkert password, men man må gå ud fra at der er rate-limiting, evt. banning efter X forkerte forsøg, og derudover kan du selv hvis du gætter/stjæler username+passphrase ikke logge på uden faktor#2, nøglekortet.
Så REELT SET er resultatet højere sikkerhed på trods af manglen på case sensitivity.
Bumbum, for mig at se er det vigtigste at vi får etableret en digital signatur infrastruktur her i .dk, og får *alle* borgere over på den, gør den så let tilgængeligt som muligt, men stadig med fornuftig sikkerhed. Digitale signaturer mellem forskellige landes borgere er nok lige optimistisk nok at forsøge at få gennemført nu og her, og de folk der har behov for det pt. har det vel også fint med at bruge andre løsninger.
Måske havde det været en idé at give folk mulighed for at få adgang til sin signatur i et standard certifikat-format, så man kunne bruge det til at signe og kryptere emails; hvis det var en *yderligere* mulighed må man formode at de folk der benyttede mulighede nogså kunne beskytte deres certifikat. Men som det ser ud nu synes jeg at NemID er at ganske udmærket kompromis, der går i den rigtige retning.
---
#27: uheldigt at det ikke er case-sensitive, men altså... folk der får adgang til en digital signatur keyfil kan bruteforce den offline, smide et Amazon EC3 cluster eller russisk botnet efter det, whatever - og det skal nok få fat i de usikre passphrases.
Med NemID har du ikke adgang til den rå keyfil - jeg har ikke forsøgt mig med at logge på mange gange med forkert password, men man må gå ud fra at der er rate-limiting, evt. banning efter X forkerte forsøg, og derudover kan du selv hvis du gætter/stjæler username+passphrase ikke logge på uden faktor#2, nøglekortet.
Så REELT SET er resultatet højere sikkerhed på trods af manglen på case sensitivity.
snemarch (28) skrev:uheldigt at det ikke er case-sensitive, men altså...
Egentlig ikke.
Jojo, det er lidt sværere at bruteforce hvis der er både store og små bogstaver. Men det har større betydning om der er bare ét tegn mere.
Dvs. da de besluttede at det ikke skulle være case-sensitive, kunne de kompensere rigeligt ved at øge minimum-længden med ét tegn.
Og det er sådan set kun relevant ved netop bruteforcing (og dictionary attack, for dem som mener det er noget helt andet), og de gør temmeligt meget for at du ikke får det krypterede/hashede kodeord.
snemarch (28) skrev:#26: når du siger "PKI standarden", mener du så X.509 certifikater, eller er den en standard for selve infrastrukturen som jeg ikke kender til? :)
X.509 er en del af PKI ja. Der er dog visse problemer med X.509 som man skal være opmærksomme på. Men vi har sørme også ting vi skal være opmærksomme på ved NemID...
Bumbum, for mig at se er det vigtigste at vi får etableret en digital signatur infrastruktur her i .dk, og får *alle* borgere over på den, gør den så let tilgængeligt som muligt, men stadig med fornuftig sikkerhed. Digitale signaturer mellem forskellige landes borgere er nok lige optimistisk nok at forsøge at få gennemført nu og her, og de folk der har behov for det pt. har det vel også fint med at bruge andre løsninger.
Du får IKKE alle borgere over på NemID. De forsøger at tvinge folk ind ved at fratage folks netbank. Men jeg vil hellere undvære min netbank end jeg vil overgive min private nøgle til en "trustet" 3. part. Der er jo en grund til at det hedder en privat nøgle ikke?
For mig at se ville det være vigtigere at få lavet en løsning der reelt giver sikkerhed til borgerne end at få noget juks klar hurtigst muligt.
Måske havde det været en idé at give folk mulighed for at få adgang til sin signatur i et standard certifikat-format, så man kunne bruge det til at signe og kryptere emails; hvis det var en *yderligere* mulighed må man formode at de folk der benyttede mulighede nogså kunne beskytte deres certifikat. Men som det ser ud nu synes jeg at NemID er at ganske udmærket kompromis, der går i den rigtige retning.
Det havde været en ide at lave en løsning hvor den private nøgle faktisk var privat. Og uden utidig indblanding fra 3. part. WoT ville være et fornuftig bud her. Men det er nok for svært for hr og fru frikadelle så jeg må ofre min netbank adgang og så iøvrigt være glad for at min nye "gamle" digitale signatur virker.
myplacedk (29) skrev:Egentlig ikke.
Jojo, det er lidt sværere at bruteforce hvis der er både store og små bogstaver. Men det har større betydning om der er bare ét tegn mere.
Dvs. da de besluttede at det ikke skulle være case-sensitive, kunne de kompensere rigeligt ved at øge minimum-længden med ét tegn.
Og det er sådan set kun relevant ved netop bruteforcing (og dictionary attack, for dem som mener det er noget helt andet), og de gør temmeligt meget for at du ikke får det krypterede/hashede kodeord.
Ja den kommentar var ret malplaceret. Regne stykket har været lavet et utal af gange her på siden. Dictionary attack er ikke det samme som bruteforce angreb. Først nævnte er dog relelativt let at undgå hvis man benytter sig af salt når hash'en udregnes.
#30: jeg er pricipielt ikke *glad* for key escrowing, og personligt ville jeg også have det bedst med selv at have min private nøgle i min egen varetægt - men jeg har "the greatest good for the greatest number" brillerne på her. Kunne dog rigtigt godt tænke mig noget detaljeret teknisk info om implementeringen af NemID systemet, og hvad konsekvenserne er hvis det lykkes nogen at bryde ind i deres lokalnet.
At tvinge netbank over på NemID er en smule beskidt taktik, men hvis det skal slå igennem er der nødt til at være One System To Rule Them All - og ja, web of trust ville være lækkert, men som du selv siger er det for meget for hr og fru Jensen.
#31: dictionary er bare én form for bruteforce :) - og salt er primært mod rainbow tables, det forpurrer ikke dictionary attacks (det sløver dem dog med en salt-size faktor, hvilket er ønskværdigt).
At tvinge netbank over på NemID er en smule beskidt taktik, men hvis det skal slå igennem er der nødt til at være One System To Rule Them All - og ja, web of trust ville være lækkert, men som du selv siger er det for meget for hr og fru Jensen.
#31: dictionary er bare én form for bruteforce :) - og salt er primært mod rainbow tables, det forpurrer ikke dictionary attacks (det sløver dem dog med en salt-size faktor, hvilket er ønskværdigt).
snemarch (32) skrev:#30: jeg er pricipielt ikke *glad* for key escrowing, og personligt ville jeg også have det bedst med selv at have min private nøgle i min egen varetægt - men jeg har "the greatest good for the greatest number" brillerne på her. Kunne dog rigtigt godt tænke mig noget detaljeret teknisk info om implementeringen af NemID systemet, og hvad konsekvenserne er hvis det lykkes nogen at bryde ind i deres lokalnet.
De vil jo påstå at der intet sker ved at du kommer ind på lokal nettet. Men det lyder ret hult når det samtidig efterhånden burde være offentlig kendt at der er mindst en bagdør i systemet.
At tvinge netbank over på NemID er en smule beskidt taktik, men hvis det skal slå igennem er der nødt til at være One System To Rule Them All - og ja, web of trust ville være lækkert, men som du selv siger er det for meget for hr og fru Jensen.
Jeg mener ikke vi kan sætte vores sikkerhed over styr på grund af fru frikadelle der tror der er noget galt med computeren fordi word ikonet er flyttet på skærmen... Laveste fælles nævner bør ikke være hvad vi skal tænke på når vi taler om vores elektroniske identitet.
#31: dictionary er bare én form for bruteforce :) - og salt er primært mod rainbow tables, det forpurrer ikke dictionary attacks (det sløver dem dog med en salt-size faktor, hvilket er ønskværdigt).
Rainbow table er jo så også et dictionary angreb :)
#34: bagdør? Har du noget substans bag denne anklage, eller referer du blot til at systemet bruger en Java applet (Ligesom mange sites der anvendte den tidligere digitale signatur også krævede), der zomg!1! kunne misbruges til at læse filer og andet?
NemID er ikke kun "laveste fællesnævner". Det er også et spørgsmål om at få nok brugere til at der er en anvendelig standard der bliver taget seriøst, og at skabe tillid iogmed at man undgår at 90% (tal grebet ud af den blå luft :)) af brugernes signatur+passphrase kan stjæles med en trojan.
Rainbow table == dictionary angreb? Mjah, mjoh - en pænt specialiceret form. Sådan som jeg ser udtrykkene anvendt hentyder brute-force normalt til exhaustive key space search, dictionary attack er normalt et "dumt" angreb ligesom brute-force, blot med key space reduceret til prædefinerede dictionary, og rainbow table så det specifikke precomputed hash chain angreb... men det er smag og behag, I guess :)
NemID er ikke kun "laveste fællesnævner". Det er også et spørgsmål om at få nok brugere til at der er en anvendelig standard der bliver taget seriøst, og at skabe tillid iogmed at man undgår at 90% (tal grebet ud af den blå luft :)) af brugernes signatur+passphrase kan stjæles med en trojan.
Rainbow table == dictionary angreb? Mjah, mjoh - en pænt specialiceret form. Sådan som jeg ser udtrykkene anvendt hentyder brute-force normalt til exhaustive key space search, dictionary attack er normalt et "dumt" angreb ligesom brute-force, blot med key space reduceret til prædefinerede dictionary, og rainbow table så det specifikke precomputed hash chain angreb... men det er smag og behag, I guess :)
Hubert (34) skrev:De vil jo påstå at der intet sker ved at du kommer ind på lokal nettet. Men det lyder ret hult når det samtidig efterhånden burde være offentlig kendt at der er mindst en bagdør i systemet.
Er der nogen som helst troværdig kilde på den påstand?
Fra den officielle beskrivelse, så er nøglerne beskyttet af en HSM og optræder aldrig i klartekst udenfor HSM'en. Desuden er de private nøgler krypteret under en nøgle afledt af bl.a brugerens adgangskode. Det er umiddelbart en bedre sikring end bankerne beskytter pinkoder til betalingskort!
snemarch (38) skrev:#34: bagdør? Har du noget substans bag denne anklage, eller referer du blot til at systemet bruger en Java applet (Ligesom mange sites der anvendte den tidligere digitale signatur også krævede), der zomg!1! kunne misbruges til at læse filer og andet?
Kunne vi ikke holde niveauet som før? Det har intet med javaappletten at gøre. Men alt med hvad hvad der er meldt ud om at DanID med lukke politiet ind hvis de kommer med en dommerkendelse...
NemID er ikke kun "laveste fællesnævner". Det er også et spørgsmål om at få nok brugere til at der er en anvendelig standard der bliver taget seriøst, og at skabe tillid iogmed at man undgår at 90% (tal grebet ud af den blå luft :)) af brugernes signatur+passphrase kan stjæles med en trojan.
De 90% var ikke skuldt voldsomt meget forbi. DanID er forpligtiget til at have 3 millioner brugere af nemid inden 2015.
Jeg er ikke helt sikker på årstallet men det er i det nabolag.
Rainbow table == dictionary angreb? Mjah, mjoh - en pænt specialiceret form. Sådan som jeg ser udtrykkene anvendt hentyder brute-force normalt til exhaustive key space search, dictionary attack er normalt et "dumt" angreb ligesom brute-force, blot med key space reduceret til prædefinerede dictionary, og rainbow table så det specifikke precomputed hash chain angreb... men det er smag og behag, I guess :)
Et rainbow table angreb er jo blot et angreb med en precompileret liste på samme måde som et dictinary angreb. Her er nemid ikke sårbar så længe det lykkes danid at holde hashes hos dem selv.
Brute force er blot at bruge musker eller i det her tilfælde cpu kraft til at prøve alt af. Igen er nemid ikke sårbar på grund af designet.
Pally (39) skrev:
Er der nogen som helst troværdig kilde på den påstand?
Fra den officielle beskrivelse, så er nøglerne beskyttet af en HSM og optræder aldrig i klartekst udenfor HSM'en. Desuden er de private nøgler krypteret under en nøgle afledt af bl.a brugerens adgangskode. Det er umiddelbart en bedre sikring end bankerne beskytter pinkoder til betalingskort!
Det afhænger vel af om man mener et paragraf 20 svar er en troværdig kilde?
Hele side 3 er spændende læsning.
Hubert (40) skrev:
NemID er ikke kun "laveste fællesnævner". Det er også et spørgsmål om at få nok brugere til at der er en anvendelig standard der bliver taget seriøst, og at skabe tillid iogmed at man undgår at 90% (tal grebet ud af den blå luft :)) af brugernes signatur+passphrase kan stjæles med en trojan.
De 90% var ikke skuldt voldsomt meget forbi. DanID er forpligtiget til at have 3 millioner brugere af nemid inden 2015.
Jeg er ikke helt sikker på årstallet men det er i det nabolag.
Lige en tilføjelse:
Når du skriver at vi skal have alle med og WoT ville være for svært for fru fikadelle går vi netop efter laveste fælles nævner.
Hubert (37) skrev:drbravo (36) skrev:#35
Den 3. part er ejet af din bank. Stoler du på din bank?
Jeg stoler på min bank når det kommer til opbevaring og rådgivning af mine penge. Men det betyder ikke at jeg har lyst til at betro dem min digitale identitet...
Så din digitale identitet betyder mere for dig end dine finanser? Hvis din opsparing på 375.000 pludselig var et lån på 200.000, hvordan vil du så have det?
[quote=drbravo (43)
Så din digitale identitet betyder mere for dig end dine finanser? Hvis din opsparing på 375.000 pludselig var et lån på 200.000, hvordan vil du så have det? [/quote]
Hvis du nu tænker dig om burde du vide at det slet ikke er muligt at lave et lån i mit navn uden min underskrift. Som du måske er klar over sker der ikke ret meget digitalt i bankerne uden det bliver registreret så jeg er ikke så bekymret for at konverteret en opsparing til et lån. Sjovt nok er banken næppe interresseret i det heller. De hæfter for tabet... :)
Så din digitale identitet betyder mere for dig end dine finanser? Hvis din opsparing på 375.000 pludselig var et lån på 200.000, hvordan vil du så have det? [/quote]
Hvis du nu tænker dig om burde du vide at det slet ikke er muligt at lave et lån i mit navn uden min underskrift. Som du måske er klar over sker der ikke ret meget digitalt i bankerne uden det bliver registreret så jeg er ikke så bekymret for at konverteret en opsparing til et lån. Sjovt nok er banken næppe interresseret i det heller. De hæfter for tabet... :)
#41: interessant læsning - det ville være rart at vide hvordan vores passphrases anvendes i systemet. Hvis det sendes verbatim til NemID for derefter at anvendes som (del af?) dekrypterings-passphrase, så kan det ganske rigtigt aflures.
Det bekymrer mig ikke voldsomt i forhold til stederne hvor NemID anvendes (hvis jeg havde gang i en narkoring, så ville jeg sgu nok kryptere mine beskeder anderledes, og undgå ting som email), men kunne bestemt godt tænke mig mere åbenhed om systemet.
#42: bemærk ordet *kun* i sætningen :)
Det bekymrer mig ikke voldsomt i forhold til stederne hvor NemID anvendes (hvis jeg havde gang i en narkoring, så ville jeg sgu nok kryptere mine beskeder anderledes, og undgå ting som email), men kunne bestemt godt tænke mig mere åbenhed om systemet.
#42: bemærk ordet *kun* i sætningen :)
snemarch (45) skrev:#41: interessant læsning - det ville være rart at vide hvordan vores passphrases anvendes i systemet. Hvis det sendes verbatim til NemID for derefter at anvendes som (del af?) dekrypterings-passphrase, så kan det ganske rigtigt aflures.
De kommer desværre ikke helt ind på hvordan de kan gøre det. Men de har muligheden, hvilket de ikke ville have hvis systemet var designet med bare en smule fornuft og sikkerhed i tankerne.
Det bekymrer mig ikke voldsomt i forhold til stederne hvor NemID anvendes (hvis jeg havde gang i en narkoring, så ville jeg sgu nok kryptere mine beskeder anderledes, og undgå ting som email), men kunne bestemt godt tænke mig mere åbenhed om systemet.
Det er såmænd ikke så meget min narko ring jeg er nervøs for. Der benytter jeg mig af pgp alligevel. Men jeg kan sagtens være nervøs for hvad der sker den dag danid bliver kompromitteret.
#42: bemærk ordet *kun* i sætningen :)
[/quote]
Det ændrer vel ikke på at fru frikadelle er laveste fællesnævner? :) Og når hun skal kunne benytte systemet uden problemer så skal systemet designes efter hendes behov.
Hubert (41) skrev:Pally (39) skrev:
Er der nogen som helst troværdig kilde på den påstand?
Fra den officielle beskrivelse, så er nøglerne beskyttet af en HSM og optræder aldrig i klartekst udenfor HSM'en. Desuden er de private nøgler krypteret under en nøgle afledt af bl.a brugerens adgangskode. Det er umiddelbart en bedre sikring end bankerne beskytter pinkoder til betalingskort!
Det afhænger vel af om man mener et paragraf 20 svar er en troværdig kilde?
Hele side 3 er spændende læsning.
Det er direkte useriøst at kalde det for 'en bagdør'. Politiet kan med en dommerkendelse kræve procedurerne for HSM adgang tilsidesat. Ergo: der findes en procedurel beskyttelse (formodenlig noget a la masterkey opsplittet i 3 shares opbevaret forskellige steder og opsplitning mellem ansatte der har fysisk adgang til HSM'er og ansatte med root adgang til server/db). Hvis man ikke har tillid til dette, har man ikke tillid til domstolene. Det vil måske gælde i en banan-republik, men skulle vi pludselig en dag vågne op i Banan-Danmark med El Presidente Villy, så har vi sgu større problemer end vores signeringsnøgler.
Hvis ellers det er lavet som jeg vil forvente, så vil selv et procedure-brud ikke være nok - der skal med stor sandsynlighed først skrives specifik kode til hardware modulerne, som skal signeres af leverandørerne og loades til modulerne, hvilket kræver fysisk adgang.
Pally (47) skrev:
Det er direkte useriøst at kalde det for 'en bagdør'. Politiet kan med en dommerkendelse kræve procedurerne for HSM adgang tilsidesat. Ergo: der findes en procedurel beskyttelse (formodenlig noget a la masterkey opsplittet i 3 shares opbevaret forskellige steder og opsplitning mellem ansatte der har fysisk adgang til HSM'er og ansatte med root adgang til server/db). Hvis man ikke har tillid til dette, har man ikke tillid til domstolene. Det vil måske gælde i en banan-republik, men skulle vi pludselig en dag vågne op i Banan-Danmark med El Presidente Villy, så har vi sgu større problemer end vores signeringsnøgler.
Hvis ellers det er lavet som jeg vil forvente, så vil selv et procedure-brud ikke være nok - der skal med stor sandsynlighed først skrives specifik kode til hardware modulerne, som skal signeres af leverandørerne og loades til modulerne, hvilket kræver fysisk adgang.
Vi kan af forskellige årsager ikke vide hvorvidt det er useriøst. Du ved intet om hvorledes det skal foregå. Jeg kender noget til setup'et men ikke nok til at vide hvordan det skal gøres. Men jeg vil til stadig fastholde at det er en bagdør der kan udnyttes.
Javaapplet problemstillingen er relativt let at omgå men denne problemstilling er ude af vores hænder...
Hubert (48) skrev:Vi kan af forskellige årsager ikke vide hvorvidt det er useriøst. Du ved intet om hvorledes det skal foregå. Jeg kender noget til setup'et men ikke nok til at vide hvordan det skal gøres. Men jeg vil til stadig fastholde at det er en bagdør der kan udnyttes.
Javaapplet problemstillingen er relativt let at omgå men denne problemstilling er ude af vores hænder...
Ved at forholde mig til de oplysninger der er offentliggjort mener jeg du er useriøs.
Datum: nøgler er beskyttede af en HSM, dvs af et hierarki af nøgler der i sidste ende er beskyttet af HSM'ens master-key. Det er standard indenfor bank verdenen.
Datum: bruger nøgler er herudover beskyttet af dele der afledes deres personlige kodeord.
Datum: Der er procedural kontrol med adgang til HSM'er; det er endvidere under løbende ekstern kontrol. Det er osse standard indenfor bank verdenen.
Datum: Beskrivelsen i §20 svaret tyder stærkt på, at en dommerkendelser ikke kan efterkommes straks; men vil kræve "en modificering af den etablerede løsning", hvilket jeg klart tolker som en ændring af HSM'ens interne kode (hvilket jeg erfaringsmæssigt ved ikke er trivielt at uploade). Det er osse standard indenfor bank verdenen.
Jeg ser *intet* der er usædvanligt i en løsning, hvor sensitive data beskyttes via en HSM. Ud fra de tilgængelige oplysninger ser jeg *ingen* grund til at have mindre tillid til denne løsning end bankers beskyttelse af pin-koder eller CA'ers opbevaring af rod-certifikaters private nøgler.
Du kommer med en påstand om en bagdør og påstår kendskab til setup'et. Jeg kender til området generelt men ikke den specifikke løsning. Så, værsågod, kom med noget, der er blot en smule konkret, som understøtter din påstand.
#48
Jeg har intet problem med at du mener min påstand er useriøs. Det gør du bare det flytter intet...
Jeg hverken må eller vil tale om den specifikke løsning. Jeg kan blot igen henvise til svaret fra DanID der viser at der er mulighed for at omgå sikkerheden. Hvorvidt det er let eller ej er ikke så vigtigt. Det vigtige vil altid være at det er muligt med den løsning man har valgt særligt når der er rig mulighed for løsninger der ikke har denne svaghed.
Jeg har intet problem med at du mener min påstand er useriøs. Det gør du bare det flytter intet...
Jeg hverken må eller vil tale om den specifikke løsning. Jeg kan blot igen henvise til svaret fra DanID der viser at der er mulighed for at omgå sikkerheden. Hvorvidt det er let eller ej er ikke så vigtigt. Det vigtige vil altid være at det er muligt med den løsning man har valgt særligt når der er rig mulighed for løsninger der ikke har denne svaghed.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund