mboost-dp1
Nets Holding A/S
Han vil dog ikke komme nærmere ind på, hvad disse tiltag kan være, da det vi lette vejen for de it-kriminelle.
DanID følger et klassisk eksempel på security by obscurity. Faktisk følger NemID flere klassiske eksempler på forkert design af sikkerhedssystemer, og tingene tager derfor deres forudsigelige gang. Vi mangler blot et DDoS angreb på DanIDs servere.
Det bedste vi kan få ud af NemID, er at splitte det hele ad og dokumentere det til skræk og advarsel for fremtidige sikkerhedsdesignere.
Først og fremmst - det er bullshit når manden siger at MITM ikke kan betale sig. Det er jo blevet udførst i virkeligheden hos Nordea. Forstår slet ikke hvordan han kan sige det.
Når det så er sagt.
#1 Der er da ikke noget "security by obscurity" hos NemID. Vil du konkretisere det?
Faktisk synes jeg løsningen er rigtig god - om end ikke perfekt. Det store problem med MITM er jo at hvis løsningen skal kunne køre i vores browsere har vi ikke nogen brugervenlig måde at tjekke om det rent faktisk er DanIDs formular vi er i gang med at logge ind på.
Alternativt skal vi jo til at installere software på vores computere - men det er der jo ingen som gider.
Endeligt har jeg heller ikke helt forstået hvorfor det hele skal køre i en Java Applet - men det er ærlig talt et mindre problem i min verden.
Når det så er sagt.
#1 Der er da ikke noget "security by obscurity" hos NemID. Vil du konkretisere det?
Faktisk synes jeg løsningen er rigtig god - om end ikke perfekt. Det store problem med MITM er jo at hvis løsningen skal kunne køre i vores browsere har vi ikke nogen brugervenlig måde at tjekke om det rent faktisk er DanIDs formular vi er i gang med at logge ind på.
Alternativt skal vi jo til at installere software på vores computere - men det er der jo ingen som gider.
Endeligt har jeg heller ikke helt forstået hvorfor det hele skal køre i en Java Applet - men det er ærlig talt et mindre problem i min verden.
Hey DanID, greetings from World Of Warcraft... hvor man in the middle angrebet blev brugt fordi "kinesere" ville stjæle virtuelt guld og sælge det for "små penge".
Så hvorfor skulle det dog være besværet værd når man kan stjæle rigtige penge... meget hurtigere og nemmere... ja hurra...
Så hvorfor skulle det dog være besværet værd når man kan stjæle rigtige penge... meget hurtigere og nemmere... ja hurra...
blacktiger (2) skrev:#1 Der er da ikke noget "security by obscurity" hos NemID. Vil du konkretisere det?
Så du mener ikke der er noget security by obscurity over nemid løsningen? Kan du så ikke lige henvise til hvor vi kan læse om setup'et?
Han vil dog ikke komme nærmere ind på, hvad disse tiltag kan være, da det vi lette vejen for de it-kriminelle.
Virker da ellers som et fint eksempel på security by obscurity...
Faktisk synes jeg løsningen er rigtig god - om end ikke perfekt. Det store problem med MITM er jo at hvis løsningen skal kunne køre i vores browsere har vi ikke nogen brugervenlig måde at tjekke om det rent faktisk er DanIDs formular vi er i gang med at logge ind på.
Ikke nok med at nemid er en umyndiggørelse af os alle men det er også i sig selv en MITM angreb på alt du bruger nemid til.
#4 Jeg tror (meget naiivt måske) at deres sikkerhedsarkitektur sikkert er fin nok men at de bare holder kortene ind til kroppen for en sikkerheds skyld. Jeg så naturligvis også gerne at de åbnede op for deres infrastruktur men det betyder ikke at de bygger deres system på security by obscurity. Man kan sagtens have et system der ikke besarer sig på security by obscurity uden at fortælle omverdenen hvordan det virker. Googles (eller Microsoft, eller Amazon, eller Facebook) sikkerhedsystem er der heller ikke nogen (uden for virksomheden) der ved noget om - derfor tror jeg ikke det er baseret på security by obscurity. Eller er det måske i virkeligheden derfor igen af dem fortæller os hvordan deres infrastruktur virker?
What? Det giver da ingen mening - eller også forstår jeg det bare ikke. Vil du uddybe?
Hubert skrev:Ikke nok med at nemid er en umyndiggørelse af os alle men det er også i sig selv en MITM angreb på alt du bruger nemid til.
What? Det giver da ingen mening - eller også forstår jeg det bare ikke. Vil du uddybe?
#7 Ifølge din definition - hvem (med ikke ikke triviel infrastruktur) bruger ikke security by obscurity? (læs evt. min post #6)
edit: security by obscurity er ifølge alle andre noget helt andet. Nemlig at ens sikkerhed er baseret på at angriberen ikke forstår hvordan det virker frem for at han forstår hvordan det virker men ikke kan knække systemet. At holde et sikkert system hemligt er ikke security by obscurity - så medmindre du kan sandsynliggøre at nemID kun er sikkert fordi de ikke offentliggør kildekoden vil jeg ikke sige de bruger security by obscurity
edit: security by obscurity er ifølge alle andre noget helt andet. Nemlig at ens sikkerhed er baseret på at angriberen ikke forstår hvordan det virker frem for at han forstår hvordan det virker men ikke kan knække systemet. At holde et sikkert system hemligt er ikke security by obscurity - så medmindre du kan sandsynliggøre at nemID kun er sikkert fordi de ikke offentliggør kildekoden vil jeg ikke sige de bruger security by obscurity
DanID's administrerende direktør udtaler forresten følgende i kilden til denne nyhed...
Hvad fuck en i helvede er det i ryger inde hos DanID??? Tag jer sammen!!!!!!!!!!
Det er ikke mere end to dage siden jeg fik en mail fra SKAT med besked om at nu var min forskuds opgørelse klar og jeg skulle lige klikke på et link for at komme ind og tjekke det.
Jeg får desuden lignende mails hver eneste måned fra e-boks og har desuden flere mails med opfordringer om at logge på og direkte links til danske netbank sendt af [email protected]....
http://www.version2.dk/artikel/danid-vi-noedt-til-holde-vores-sikkerhedsberedskaber-os-selv-32580?utm_source=feed&utm_medium=rss&utm_campaign=nyheder skrev:Endelig vil vi gerne minde om, at man altid bruger sin sunde fornuft, når man færdes på nettet. Hvis noget ser anderledes eller underligt ud, så tjek det en ekstra gang. Vær især meget opmærksom på links i en e-mail. NemID, banker og offentlige tjenester vil normalt aldrig sende en uopfordret e-mail med et link, hvor du skal logge ind med NemID.
Hvad fuck en i helvede er det i ryger inde hos DanID??? Tag jer sammen!!!!!!!!!!
Det er ikke mere end to dage siden jeg fik en mail fra SKAT med besked om at nu var min forskuds opgørelse klar og jeg skulle lige klikke på et link for at komme ind og tjekke det.
Jeg får desuden lignende mails hver eneste måned fra e-boks og har desuden flere mails med opfordringer om at logge på og direkte links til danske netbank sendt af [email protected]....
blacktiger (6) skrev:#4 Jeg tror (meget naiivt måske) at deres sikkerhedsarkitektur sikkert er fin nok men at de bare holder kortene ind til kroppen for en sikkerheds skyld. Jeg så naturligvis også gerne at de åbnede op for deres infrastruktur men det betyder ikke at de bygger deres system på security by obscurity. Man kan sagtens have et system der ikke besarer sig på security by obscurity uden at fortælle omverdenen hvordan det virker. Googles (eller Microsoft, eller Amazon, eller Facebook) sikkerhedsystem er der heller ikke nogen (uden for virksomheden) der ved noget om - derfor tror jeg ikke det er baseret på security by obscurity. Eller er det måske i virkeligheden derfor igen af dem fortæller os hvordan deres infrastruktur virker?
Hvis man har behov for at holde noget hemligt for at holde det sikkert er det da security by obscurity. Det er heller ikke just et godt tegn i min verden.
What? Det giver da ingen mening - eller også forstår jeg det bare ikke. Vil du uddybe?
Har du fuld kontrol over hvem brugen af din 'underskrift'?
Men det viser sig jo allerede at systemet ser rigtig sikkert ud, som de skrev igår er der ud fra 500 millioner transaktioner kun været 8 tilfælde af fejl. Om fejl er hentydet til misbrug fortæller de dog ikke. Men lade os sige det er grundet misbrug. Så er det altså langt færre end da vi brugte digital signatur til at gå ind i vores netbanker.
Det som mangler efter min mening er, at fjerne muligheden for "man in the middle" angreb kan finde sted. Det gode ved nemid er dog at det er meget begrænset hvor meget man kan misbruge med 1 kode. Det er dog kun 1 site og som forbruger er man jo temlig godt sikret, da man ved hacker angreb kan få pengene tilbageført, dog med en selvrisiko afhængig af hvor uansvarlig man har været med ens login og ens kode.
Desuden forstår jeg ikke at bankerne er mere villige til at tilbageføre i tilfælde af forkert overførsel eller misbrug, hvor pengene er overført konto-konto? Troede ellers bankerne imellem at de arbejdede sammen for at stoppe kriminalitet og identiteten på hvor pengene bliver overført til er kendt. Er det virkelig muligt her i 2011 at overføre til en anonym konto og bare hæve dem uden konsekvens? Så tror pokker at disse angreb er blevet så populære når folk ikke bliver retsforfulgt eller politiet bliver inddraget når pågældende prøver at hæve pengene fra en lænset konto.
Det som mangler efter min mening er, at fjerne muligheden for "man in the middle" angreb kan finde sted. Det gode ved nemid er dog at det er meget begrænset hvor meget man kan misbruge med 1 kode. Det er dog kun 1 site og som forbruger er man jo temlig godt sikret, da man ved hacker angreb kan få pengene tilbageført, dog med en selvrisiko afhængig af hvor uansvarlig man har været med ens login og ens kode.
Desuden forstår jeg ikke at bankerne er mere villige til at tilbageføre i tilfælde af forkert overførsel eller misbrug, hvor pengene er overført konto-konto? Troede ellers bankerne imellem at de arbejdede sammen for at stoppe kriminalitet og identiteten på hvor pengene bliver overført til er kendt. Er det virkelig muligt her i 2011 at overføre til en anonym konto og bare hæve dem uden konsekvens? Så tror pokker at disse angreb er blevet så populære når folk ikke bliver retsforfulgt eller politiet bliver inddraget når pågældende prøver at hæve pengene fra en lænset konto.
Hubert (11) skrev:Hvis man har behov for at holde noget hemligt for at holde det sikkert er det da security by obscurity. Det er heller ikke just et godt tegn i min verden.
Som jeg skrev i #9 er security by obscurity når man dirkete baserer sikkerheden på at folk ikke ved hvordan det virker - er der noget der tyder på at DanID gør det?
Jeg synes bare du gentager dig selv. Jeg sagde meget klart at alle holder deres systemer ind til kroppen - "for en god ordens skyld". Ikke nødvendigvis fordi det burde være nødvendigt.
Du svarede heller ikke på om du synes Google, Facebook mm benytter security by obscurity. Og i det hele tager - hvem der ikke gør?
Hubert (11) skrev:
What? Det giver da ingen mening - eller også forstår jeg det bare ikke. Vil du uddybe?
Har du fuld kontrol over hvem brugen af din 'underskrift'?
Jeg fatter stadigvæk ikke hvad du mener? Kan du ikke uddybe med lidt mere end een linje?
blacktiger (13) skrev:
Som jeg skrev i #9 er security by obscurity når man dirkete baserer sikkerheden på at folk ikke ved hvordan det virker - er der noget der tyder på at DanID gør det?
Jeg synes bare du gentager dig selv. Jeg sagde meget klart at alle holder deres systemer ind til kroppen - "for en god ordens skyld". Ikke nødvendigvis fordi det burde være nødvendigt.
Det fremgår jo for fanden af resumeét at de ikke vil ud med hvilke sikkerhedstiltag de kan bruge fordi det vil lette arbejdet for de kriminelle. Du mener ikke det er security by obscurity?
Du svarede heller ikke på om du synes Google, Facebook mm benytter security by obscurity. Og i det hele tager - hvem der ikke gør?
Har google ikke været ude for at fortælle hvilke midler de benytter sig af i forbindelse med sikkerhedshåndtering?
Jeg fatter stadigvæk ikke hvad du mener? Kan du ikke uddybe med lidt mere end een linje?
Noget siger mig at uanset hvad jeg skriver så vil du ikke indse den umyndiggørelse vi er blevet underlagt...
Hubert (14) skrev:blacktiger (13) skrev:
Som jeg skrev i #9 er security by obscurity når man dirkete baserer sikkerheden på at folk ikke ved hvordan det virker - er der noget der tyder på at DanID gør det?
Jeg synes bare du gentager dig selv. Jeg sagde meget klart at alle holder deres systemer ind til kroppen - "for en god ordens skyld". Ikke nødvendigvis fordi det burde være nødvendigt.
Det fremgår jo for fanden af resumeét at de ikke vil ud med hvilke sikkerhedstiltag de kan bruge fordi det vil lette arbejdet for de kriminelle. Du mener ikke det er security by obscurity?
Nææ, det mener jeg ikke. Grunden til manden ikke gider udtale sig om det er naturligvis fordi (som han også siger flere gange) at sikkerhed er dynamisk og ændrer sig hele tiden. Derfor gider han bare ikke males op i et hjørne hvor han i dag siger at "man kunne forestille sig vi gjorde..." og når en ny angrebsvektor melder sig i morgen står alle journalister og siger "du sagde ... men det beskytter jo ikke mod det her".
Igen siger jeg. "security by obscurity" er når systemets sikkerhed er baseret på at folk ikke ved hvordan det virker. Og jeg tror ikke på at DanID ville falde fra hinanden hvis de offentliggjorde deres infrastruktur.
Hubert (14) skrev:
Du svarede heller ikke på om du synes Google, Facebook mm benytter security by obscurity. Og i det hele tager - hvem der ikke gør?
Har google ikke været ude for at fortælle hvilke midler de benytter sig af i forbindelse med sikkerhedshåndtering?
Nææ - det er der sådan set ikke nogen der ved. Bortset fra de kinesere der hackede google i kina og fik fat i en bug-rapport/tracker (som aldrig er blevet offentliggjort), så er der ikke nogen der ved hvordan googles login-system virker.
Hubert (14) skrev:
Jeg fatter stadigvæk ikke hvad du mener? Kan du ikke uddybe med lidt mere end een linje?
Noget siger mig at uanset hvad jeg skriver så vil du ikke indse den umyndiggørelse vi er blevet underlagt...
Helt ærlig - jeg føler mig ikke specielt mindre umyndiggjort efter jeg har fået et papkort. Så medmindre du begrunder hvorfor du synes vi er blevet det så kan jeg altså ikke diskutere det. Sorry.
Jeg prøver virkelig ikke at være på tværs med vilje
#15 sikkert den gamle diskussion, hvor nogen føler sig umyndiggjort af at selve oces certifikatet ligger på en nets server, og ikke som en fil på din computer, eller på et chipkort du har med dig.
selvom jeg ikke har den største tillid til nets, så tror jeg deres servere har mere sikkerhed end min egen pc eller tegnebog.
selvom et chipkort nok er sikkert, så er kortlæser og hele cirkusset der følger med et chipkort, meget mere besværligt end NemID
selvom NemID kunne spille mere åbent med kortene, må man give dem, at antallet af succesfulde netbankangreb er faldet drastisk efter indførelsen af nemid, har dog ikke linket til artiklen ved hånden.
selvom jeg ikke har den største tillid til nets, så tror jeg deres servere har mere sikkerhed end min egen pc eller tegnebog.
selvom et chipkort nok er sikkert, så er kortlæser og hele cirkusset der følger med et chipkort, meget mere besværligt end NemID
selvom NemID kunne spille mere åbent med kortene, må man give dem, at antallet af succesfulde netbankangreb er faldet drastisk efter indførelsen af nemid, har dog ikke linket til artiklen ved hånden.
#10
Alle er ting man skal afmelde/tilmelde og dermed ikke er uopfordret? Måske du skulle ryge lidt mindre selv ;)
#10 skrev:Hvad fuck en i helvede er det i ryger inde hos DanID??? Tag jer sammen!!!!!!!!!!
Det er ikke mere end to dage siden jeg fik en mail fra SKAT med besked om at nu var min forskuds opgørelse klar og jeg skulle lige klikke på et link for at komme ind og tjekke det.
Jeg får desuden lignende mails hver eneste måned fra e-boks og har desuden flere mails med opfordringer om at logge på og direkte links til danske netbank sendt af [email protected]....
Alle er ting man skal afmelde/tilmelde og dermed ikke er uopfordret? Måske du skulle ryge lidt mindre selv ;)
blacktiger (15) skrev:Helt ærlig - jeg føler mig ikke specielt mindre umyndiggjort efter jeg har fået et papkort. Så medmindre du begrunder hvorfor du synes vi er blevet det så kan jeg altså ikke diskutere det. Sorry.
Lad mig tillade at give et eksemple:
Køb af hus, der skal du underskrive med din nemid signatur.
Så er spørgsmålet skriver du under, eller beder du danid om at bruge deres systemer til at skrive under på en købskontrak på dine vegne? Du har ikke adgang til din egen signatur, det er kun danid der har det, og der er intet der forhindre DanID i at flagge din nemID på en måde så den ikke kan bruges til at underskrive skøde.
Ergo du er nu umyndiggjordt for at skrive under på et skøde, da du ikke selv råder over muligheden for at træffe dine egne valg.
Med tanken på MITM angreb og det §20 spørgsmål om nemid koderne fra sidste (?) år, så kan andre også (forholdsvis let) bruge din signatur til at skrive under på køb og salgsskøder i dit navn.
Saxov (18) skrev:Lad mig tillade at give et eksemple:
Jeg udnytter din tilladelse til at give et eksempel. ;-)
Et eller andet stykke papir, der skal du underskrive på den gammeldags måde.
Så er spørgsmålet skriver du under, eller overtaler du bare en eller anden (som ikke kender dig og ikke aner hvordan din underskrift bør se ud) til at notere i sin arbejdsgivers system at nogen har lavet en krøllet streg på et stykke papir?
Du har adgang til din egen signatur, men det har så mange andre også.
Med tanken på kopimaskiner, kameraer, printere osv. så kan andre også (temmligt let) bruge din signatur til at skrive under på ting og sager i dit navn.
Ja, DanID kan revoke dit certifikat. Men det gør de vel kun hvis der er en god grund til det, dvs. Hvad sker der hvis din signatur bliver misbrugt, hvordan vil du revoke den? Jeg synes nu det lyder som en fordel, hvis det overhovedet har betydning.
blacktiger (15) skrev:
Det fremgår jo for fanden af resumeét at de ikke vil ud med hvilke sikkerhedstiltag de kan bruge fordi det vil lette arbejdet for de kriminelle. Du mener ikke det er security by obscurity?
Ja det er der noget der tyder på. Manden udtaler det jo selv i artiklen...
Nææ, det mener jeg ikke. Grunden til manden ikke gider udtale sig om det er naturligvis fordi (som han også siger flere gange) at sikkerhed er dynamisk og ændrer sig hele tiden. Derfor gider han bare ikke males op i et hjørne hvor han i dag siger at "man kunne forestille sig vi gjorde..." og når en ny angrebsvektor melder sig i morgen står alle journalister og siger "du sagde ... men det beskytter jo ikke mod det her".
Det er jo også fair nok at man stiller sig kritisk over for pressen. Men så skal man nu stille med nogle bedre argumenter end security by obscurity.
Igen siger jeg. "security by obscurity" er når systemets sikkerhed er baseret på at folk ikke ved hvordan det virker. Og jeg tror ikke på at DanID ville falde fra hinanden hvis de offentliggjorde deres infrastruktur.
Det kan vi jo strengt taget ikke udtale os om. Jeg håber da heller ikke at det bliver aktuelt men risikoen for misbrug findes i den grad allerede selvom danid mener det er noget teoretisk pjat.
Har google ikke været ude for at fortælle hvilke midler de benytter sig af i forbindelse med sikkerhedshåndtering?
Nææ - det er der sådan set ikke nogen der ved. Bortset fra de kinesere der hackede google i kina og fik fat i en bug-rapport/tracker (som aldrig er blevet offentliggjort), så er der ikke nogen der ved hvordan googles login-system virker.
[/quote]
Hvad er det værste der kan ske hvis dit google login bliver kompromitteret? Og hvad er det værste der kan ske hvis dit nemid bliver kompromitteret. Jeg ved godt hvad jeg ville foretrække.
Helt ærlig - jeg føler mig ikke specielt mindre umyndiggjort efter jeg har fået et papkort. Så medmindre du begrunder hvorfor du synes vi er blevet det så kan jeg altså ikke diskutere det. Sorry.
Hvis man bliver umyndiggjort som det hed tidligere mister du retten til selvbestemmelse inden for nogle områder. Her under kunne du ikke selv skrive under på juridisk bindende papirer. Ligesom du ikke selv kan skrive under på et digitalt juridisk bindende dokument med nemid.
Jeg prøver virkelig ikke at være på tværs med vilje
Det var nu heller ikke det jeg mente. Men hvis du ikke kunne se værgemålet eller umyndiggørelsen i nemid løsningen uden yderligere udybelse virkede det for mig lidt omsonst at forsætte. #18 havde dog et godt eksempel.
Igen siger jeg. "security by obscurity" er når systemets sikkerhed er baseret på at folk ikke ved hvordan det virker. Og jeg tror ikke på at DanID ville falde fra hinanden hvis de offentliggjorde deres infrastruktur.
Det ville jo være rart, hvis det ikke faldt fra hinanden, så hvorfor offentliggør de det ikke?
Det gør de ikke, fordi det er ikke sikkert, og et MTIM angreb viser tydeligt dette, så hvad ellers ligger der under gemmerne?
Herudover er tilgangen til de fysiske, og efter deres design, nødvendige centrale servere, som man kan sprænge i luften eller køre DDoS angreb på, for at lægge hele Danmark ned også nødvendige at holde hemmelige.
Dét er også security by obscurity. Der skal kun 1 illoyal NemID medarbejder til at vælte dette.
henrikmk (21) skrev:Det ville jo være rart, hvis det ikke faldt fra hinanden, så hvorfor offentliggør de det ikke?
Bare fordi det hele ikke falder fra hinanden, betyder det jo ikke at det er ligegyldigt. Det ER et ekstra lag af sikkerhed, at der er hemmeligheder.
henrikmk (21) skrev:Det gør de ikke, fordi det er ikke sikkert, og et MTIM angreb viser tydeligt dette, så hvad ellers ligger der under gemmerne?
Intet er 100% sikkert, og ca. alt sammenligneligt kan brydes med MITM. Enhver med forstand på sikkerhed vidste alt dette før det blev bevist i medierne.
henrikmk (21) skrev:Herudover er tilgangen til de fysiske, og efter deres design, nødvendige centrale servere, som man kan sprænge i luften eller køre DDoS angreb på, for at lægge hele Danmark ned også nødvendige at holde hemmelige.
Nu arbejder jeg ikke hos DanID, så jeg ved ikke hvordan de håndterer dette. Men bla. fordi de har ret tæt forbindendelse til den financielle sektor, kan jeg forestille mig at de gør det på samme måde som bankerne, eller i hvert fald ca. lige så godt. Og bankerne kender jeg, for der arbejder jeg. Og der kan du godt bombe hele vores hostingfacilitet med servere, harddiske, bånd osv. Erfaringen viser at vi kan skifte til backup på få minutter.
Og bomber du backup'en også, så har vi også en plan for det.
Men derfor har jeg stadig ikke tænkt mig at give dig adresserne. Selv om vi kan klare et bombeangreb, selv et successfuldt et, så er livet stadig nemmere for os hvis bombemanden ikke kan finde os.
Hubert (20) skrev:
Hvad er det værste der kan ske hvis dit google login bliver kompromitteret? Og hvad er det værste der kan ske hvis dit nemid bliver kompromitteret. Jeg ved godt hvad jeg ville foretrække.
Det var ikke pointen, pointen var at jeg ikke kender et eneste loginsystem om infrastrukturen er kendt. Og selv om NemID gik langt over budget tror jeg alligevel google har brugt flere penge på deres.
Hubert (20) skrev:
Hvis man bliver umyndiggjort som det hed tidligere mister du retten til selvbestemmelse inden for nogle områder. Her under kunne du ikke selv skrive under på juridisk bindende papirer. Ligesom du ikke selv kan skrive under på et digitalt juridisk bindende dokument med nemid.
Nu ved jeg faktisk ikke meget om hvordan den offentlige infrastruktur er. Men hvorfor er det du mener du er blevet umyndiggjort. Lad os nu rent faktisk antage du har brug for at signere et dokument digitalt, hvorfor skal du så bruge den signatur DanID har? Du er da fri til at skrive under med hvilken signatur du har lyst til - bare det er din. Modsat en underskrift kan man have lige så mange digitale signaturer man vil. Hvad er det magiske med DanIDs signatur som gør at det absolut er den du skal underskrive med? Juridisk set er den ene digitale signatur er lige så god som den anden
NB: Dette er et reelt spørgmål som jeg gerne vil have svar på.
myplacedk (22) skrev:Bare fordi det hele ikke falder fra hinanden, betyder det jo ikke at det er ligegyldigt. Det ER et ekstra lag af sikkerhed, at der er hemmeligheder.
Sikkerhed skal være i flere lag men security by obscurity bør ikke være et af lagene... Og da slet ikke ved et så vigtigt system...
Intet er 100% sikkert, og ca. alt sammenligneligt kan brydes med MITM. Enhver med forstand på sikkerhed vidste alt dette før det blev bevist i medierne.
Og alligevel prøver danid at få det til at fremstå som et teoretisk problem. Skræmmende ikke?
Nu arbejder jeg ikke hos DanID, så jeg ved ikke hvordan de håndterer dette. Men bla. fordi de har ret tæt forbindendelse til den financielle sektor, kan jeg forestille mig at de gør det på samme måde som bankerne, eller i hvert fald ca. lige så godt. Og bankerne kender jeg, for der arbejder jeg. Og der kan du godt bombe hele vores hostingfacilitet med servere, harddiske, bånd osv. Erfaringen viser at vi kan skifte til backup på få minutter.
Og bomber du backup'en også, så har vi også en plan for det.
Den fysiske sikkerhed omkring danid's maskin park er på højde med den TDC brugte til deres nøglecenter.
Men derfor har jeg stadig ikke tænkt mig at give dig adresserne. Selv om vi kan klare et bombeangreb, selv et successfuldt et, så er livet stadig nemmere for os hvis bombemanden ikke kan finde os.
Det er et overkommeligt problem at finde ud af den slags.
Det er ikke nogen hemmelighed at bankdata har adresse på
erritsø bygade 102 i fredericia. Datacenteret findes formentlig et andet sted men igen hvis man vil finde det er det til at klare.
blacktiger (23) skrev:
Det var ikke pointen, pointen var at jeg ikke kender et eneste loginsystem om infrastrukturen er kendt. Og selv om NemID gik langt over budget tror jeg alligevel google har brugt flere penge på deres.
Point being? Jeg mindes ikke at danid har overskredet budgettet?
Nu ved jeg faktisk ikke meget om hvordan den offentlige infrastruktur er. Men hvorfor er det du mener du er blevet umyndiggjort. Lad os nu rent faktisk antage du har brug for at signere et dokument digitalt, hvorfor skal du så bruge den signatur DanID har? Du er da fri til at skrive under med hvilken signatur du har lyst til - bare det er din. Modsat en underskrift kan man have lige så mange digitale signaturer man vil. Hvad er det magiske med DanIDs signatur som gør at det absolut er den du skal underskrive med? Juridisk set er den ene digitale signatur er lige så god som den anden
NB: Dette er et reelt spørgmål som jeg gerne vil have svar på.
Der er flere ting i dit indlæg. NemID er ikke en digital signatur men en sso løsning. Man har så valgt at denne sso løsning skal kunne bruges til at underskrive digitale dokumenter til det offentlige.
Det eneste alternativ til at underskrive digitale dokumenter til det offentlige til nemid er TDC's gamle digitale signatur. Og det er slut i 2013. Kontrakten med nemid løber stadig 2-3 år efter det hvis jeg ikke husker forkert. Så får vi 2-3 år uden en digital signatur hvor vi kan blive tvunget til at bruge en sso løsning der benytter security by obscurity som et af lagene i sikkerheden. Hyggeligt ikke?
Hubert (24) skrev:Sikkerhed skal være i flere lag men security by obscurity bør ikke være et af lagene...
Det er så din holdning, andre har en anden. End of story.
Hubert (24) skrev:Det er ikke nogen hemmelighed at bankdata har adresse på
erritsø bygade 102 i fredericia. Datacenteret findes formentlig et andet sted men igen hvis man vil finde det er det til at klare.
Nej, det er ikke så svært at slå op i en telefonbog. Vi gør nu heller ikke så meget for at holde receptionens lokation hemmelig. Og det var sådan set heller ikke pointen, det var bare et hurtigt eksempel. Jeg snakker ikke så pokkers meget om vores RIGTIGE sikkerhedsmæssige hemmeligheder.
Men morede du dig så meget med at finde vores reception at du overså pointen? Kan du se hvordan en bombesikret bygning alligevel er i bedre stand efter et bombeangreb, hvis angriberen ikke kan finde bygningen?
Og at hvis en adresse er hemmelig, så siger det intet om graden af hvor bombesikret bygningen er?
Hubert (24) skrev:Og alligevel prøver danid at få det til at fremstå som et teoretisk problem. Skræmmende ikke?
Hvis jeg var dig, ville jeg ikke gå så højt op i hvad deres PR-folk siger. (Har jeg egentlig ikke fortalt dig det før?)
Det er ikke deres opgave at uddanne befolkningen i at designe sikkerhedssystemer, og det kan de heller ikke. Deres opgave er at berolige befolkningen. Uanset hvor slemt deres sludder er og bliver (og hvad vi synes om at deres forstand på sikkerhed ikke skinder igennem PR'en), så er det ingen hindring i at de kan have kloge sikkerhedsfolk som sidder og arbejder på fornuftige systemer i fred.
Jeg kan da antyde at hvad jeg læser her på newz at DanID siger, og hvad jeg hører fra folk som snakker med DanID's fagfolk, ikke altid minder lige meget om hinanden. Så kan man jo overveje om nogen lyver, eller om der bare er forskel på hvad forskellige faggrupper fokuserer på. Men de forklaringer jeg hører fra mine kolleger giver noget mere mening end dem jeg får fra journalisterne.
myplacedk (26) skrev:Det er så din holdning, andre har en anden. End of story.
Og der skal bestemt også være plads til forskellige holdninger. Jeg savner dog bare et eneste fornuftigt argument for at security by obscurity virker.
Nej, det er ikke så svært at slå op i en telefonbog. Vi gør nu heller ikke så meget for at holde receptionens lokation hemmelig. Og det var sådan set heller ikke pointen, det var bare et hurtigt eksempel. Jeg snakker ikke så pokkers meget om vores RIGTIGE sikkerhedsmæssige hemmeligheder..
Hah nej man kan ikke just påstå at i gør meget for at holde adressen hemlig. Den er fra hjemmesiden.
Men morede du dig så meget med at finde vores reception at du overså pointen? Kan du se hvordan en bombesikret bygning alligevel er i bedre stand efter et bombeangreb, hvis angriberen ikke kan finde bygningen?
Der skal heldigvis mere til førend jeg morer mig. Det var jo blot hvad en hver der ville finde det bombe sikrede bygningsværk ville gøre.
Og at hvis en adresse er hemmelig, så siger det intet om graden af hvor bombesikret bygningen er?
Nej det siger intet om hvor sikker bygningen er. Hvilket jeg heller ikke har givet udtryk for men det siger en del om dem der mener at skal være et lag af sikkerheden omkring bygningen.
Det er ikke deres opgave at uddanne befolkningen i at designe sikkerhedssystemer, og det kan de heller ikke. Deres opgave er at berolige befolkningen. Uanset hvor slemt deres sludder er og bliver (og hvad vi synes om at deres forstand på sikkerhed ikke skinder igennem PR'en), så er det ingen hindring i at de kan have kloge sikkerhedsfolk som sidder og arbejder på fornuftige systemer i fred.
Korrekt men de har nu engang fået den opgave der hedder at de skal passe på vores digitale indentiteter. Og hvis de så mener det er nødvendigt at benytte sig af security by obscurity for at nå det mål er de næppe de rigtige til jobbet.
Jeg kan da antyde at hvad jeg læser her på newz at DanID siger, og hvad jeg hører fra folk som snakker med DanID's fagfolk, ikke altid minder lige meget om hinanden. Så kan man jo overveje om nogen lyver, eller om der bare er forskel på hvad forskellige faggrupper fokuserer på. Men de forklaringer jeg hører fra mine kolleger giver noget mere mening end dem jeg får fra journalisterne.
De folk jeg har talt med fra danid har såmænd også virket fornuftige nok men vi har så heller ikke talt sikkerhed eller mangel på samme. Det er jo iøvrigt værd at bemærke at det ikke er en journalist der har skrevet at de ikke vil hoste op med noget info. Det er direktøren selv...
myplacedk (19) skrev:Jeg udnytter din tilladelse til at give et eksempel. ;-)
Et eller andet stykke papir, der skal du underskrive på den gammeldags måde.
Så er spørgsmålet skriver du under, eller overtaler du bare en eller anden (som ikke kender dig og ikke aner hvordan din underskrift bør se ud) til at notere i sin arbejdsgivers system at nogen har lavet en krøllet streg på et stykke papir?
Du har adgang til din egen signatur, men det har så mange andre også.
Med tanken på kopimaskiner, kameraer, printere osv. så kan andre også (temmligt let) bruge din signatur til at skrive under på ting og sager i dit navn.
Ja, DanID kan revoke dit certifikat. Men det gør de vel kun hvis der er en god grund til det, dvs. Hvad sker der hvis din signatur bliver misbrugt, hvordan vil du revoke den? Jeg synes nu det lyder som en fordel, hvis det overhovedet har betydning.
Ja, min håndsignatur kan kopieres og bruges af andre, det kan min nemid også, så der er ingen forskel.
MEN DanID kan enten revoke min signatur hvis de vil, eller blot nægte mig at bruge den til specielle ting, fx adgang til skødeskrivning, eller et lignende seperat system. De kan ikke revoke min håndsignatur, men eftersom alle køb og salg skal underskrives digitalt og vha. nemId, såeh...
Dog kan man stadig på papir udfylde en fuldmagt til ens advokat, og lade denne underskrive papirene, hvis der er tid nok til det, og man acceptere at man ikke selv får lov at se det endelige skøde der skrives under på.
Hubert (27) skrev:Jeg savner dog bare et eneste fornuftigt argument for at security by obscurity virker.
Du stiller det forkerte spørgsmål. Hvilke argumenter er der for, at security by obscurity gør sikkerheden dårligere?
Saxov (28) skrev:MEN DanID kan enten revoke min signatur hvis de vil, eller blot nægte mig at bruge den til specielle ting, fx adgang til skødeskrivning, eller et lignende seperat system. De kan ikke revoke min håndsignatur, men eftersom alle køb og salg skal underskrives digitalt og vha. nemId, såeh...
At en digital signatur kan revokes, er en del af sikkerheden. Uden den mulighed kan du ikke gøre noget hvis andre får fat på en kopi og begynder at underskrive i dit navn.
Killa (29) skrev:Du stiller det forkerte spørgsmål. Hvilke argumenter er der for, at security by obscurity gør sikkerheden dårligere?
Nej jeg stiller det korrekte spørgsmål. Danid og myplace.dk synes åbenbart at security by obscurity fremmer sikkerheden. Jeg savner bare et godt argument for at det skulle være tilfældet.
Vi kan se på krypterings algoritmer. Hvilken tilgang har sikkerhed har man der? Benytter man sig af security by obscurity eller viser man alt frem?
Hubert (30) skrev:Jeg savner bare et godt argument for at det skulle være tilfældet.
Argumentet er indlysende, og du har fået det flere gangei denne tråd. Jeg ved du har læst det, for du har svaret på det. Som sagt er du velkommen til at have din egen holdning, men jeg tror ikke der er flere tilbage der gider høre den igen i denne tråd.
Hubert (30) skrev:Vi kan se på krypterings algoritmer.
Nej. Det er noget helt andet. Der er fordele ved at holde en krypteringsalgoritme hemmelig, men det er en bedre ide at bruge en åben, kendt, anerkendt og udbredt algoritme. Det princip kan man ikke bruge til specialløsninger.
myplacedk (31) skrev:Argumentet er indlysende, og du har fået det flere gangei denne tråd. Jeg ved du har læst det, for du har svaret på det. Som sagt er du velkommen til at have din egen holdning, men jeg tror ikke der er flere tilbage der gider høre den igen i denne tråd.
Du tænker på de bombe sikre datacentre..? Jeg har medgivet at den fysiske sikkerhed omkring danids maskin park var på højde med TDC's nøgle center. Med mindre de har flyttet maskinerne selvfølgelig. Det er dog ikke noget argument for security by obscurity som sådan på andet end fysisk sikkerhed men nu taler vi jo datasikkerhed...
Og selvfølgelig vil du helst at kritik af nemid bliver holdt på et minimum hvor du kan argumentere imod kritikken. Det er også fair nok men jeg mener nu at du godt kan argumentere bedre end du har gjort indtil videre i denne tråd. Jeg har ikke set dig mangle gode argumenter i andre sammenhænge.
Nej. Det er noget helt andet. Der er fordele ved at holde en krypteringsalgoritme hemmelig, men det er en bedre ide at bruge en åben, kendt, anerkendt og udbredt algoritme. Det princip kan man ikke bruge til specialløsninger.
Men i din verden giver det mening at sammenligne fysisk sikkerhed med datasikkerhed..?
Hubert (32) skrev:Og selvfølgelig vil du helst at kritik af nemid bliver holdt på et minimum hvor du kan argumentere imod kritikken.
Nej, jeg gider bare ikke diskutere det længere når det både er indlysende, forklaret og uddebateret. Vi gentager jo bare hinanden igen og igen.
Hubert (32) skrev:Men i din verden giver det mening at sammenligne fysisk sikkerhed med datasikkerhed..?
For at vise en lighed? Ja. Problemet kommer først når man viser en lighed der ikke er der.
Killa (29) skrev:Saxov (28) skrev:MEN DanID kan enten revoke min signatur hvis de vil, eller blot nægte mig at bruge den til specielle ting, fx adgang til skødeskrivning, eller et lignende seperat system. De kan ikke revoke min håndsignatur, men eftersom alle køb og salg skal underskrives digitalt og vha. nemId, såeh...
At en digital signatur kan revokes, er en del af sikkerheden. Uden den mulighed kan du ikke gøre noget hvis andre får fat på en kopi og begynder at underskrive i dit navn.
Nu snakker jeg ikke om deres mulighed for at revoke min signatur helt, men at den måde det er lavet på, er der intet til hindre for at de kan sige at min "signatur" godt må bruges til fx min nuværende bank, check min læge, anmelde skat, osv. Men at de ikke vil acceptere at den bliver brugt til huskøb, eller at den ikke må bruges til at logge ind i andre banker, end den jeg har nu.
Altså den nuværende implementation giver dem mulighed for (og jeg siger ikke at de har implementeret det, men kun at der er mulighed for det) at de kan sige at en given borger kun må bruge fx Nodea bank, eller ikke må ændre i skatte oplysninger, eller tilsvarende tosse ting.
myplacedk (33) skrev:Nej, jeg gider bare ikke diskutere det længere når det både er indlysende, forklaret og uddebateret. Vi gentager jo bare hinanden igen og igen.
For at det skal være uddebatteret skal der sgu da argumenter på bordet. Og ikke bare et noget du selv mener giver mening. Fysisk sikkerhed er ikke 1 til 1 samlinligt med data sikkerhed.
For at vise en lighed? Ja. Problemet kommer først når man viser en lighed der ikke er der.
Og din sammenligning holder jo ikke... Kom med nogle reelle argumenter istedet.
Hvis security by obscurity ikke er på sin pladas ved krypteringalkoritmer ikke er på sin plads hvorfor dælen er det så tilfældet ved nemid..?
fjols (36) skrev:Nu er det jo bare dig der har bestemt at Nemid kører security by obscurity.
Desværre ikke. Selvom myplace gerne ville det var. Læs evt selv artiklen der henvises til og bemærk hvorfor de ikke kan fortælle om de forbedringer i sikkerheden de kan lave hvis behovet skulle opstå...
Jeg går ud fra du tænker på dette:
Jeg tror vi læser det meget forskelligt hvis du får det til at betyde Security by obscurity.
For mig betyder det bare det samme som myplacedk skriver, nemlig at man ikke offentligt udstiller f.eks. sin infrastruktur og procedurer.
Kilden skrev:Men for ikke lette vejen for de it-kriminelle, er vi nødt til at holde vores sikkerhedsberedskaber for os selv, ligesom vi heller ikke kan fortælle, hvilke sikkerhedstiltag vi måtte iværksætte. Det er netop en del af selve sikkerheden.
Jeg tror vi læser det meget forskelligt hvis du får det til at betyde Security by obscurity.
For mig betyder det bare det samme som myplacedk skriver, nemlig at man ikke offentligt udstiller f.eks. sin infrastruktur og procedurer.
myplacedk (40) skrev:#39
Come on, kan du virkelig ikke se forskel på "det er en del af sikkerheden" og "det er sikkerheden"?
At det er "en del af sikkerheden" betyder ikke at der ikke er nogen sikkerhed tilbage uden. Det betyder ikke engang at det er en særlig stor del.
Problemet er at alle lag af sikkerhed er hemmeligt hos danid. Men jeg forventer ikke at du kan se problemet.
Jeg aner ikke en brik om det her, og har ikke viden om hvad der er bedre end andet, eller hvordan ret meget af det virker. Men nu har jeg læst hele molevitten ovenfor, og står tilbage med følgende spørgsmål:
Nogen designer verdens bedste sikkerhedssystem, som kan modstå både MITM-angreb, DDoS-angreb og bombeangreb. Det er vildt fantastisk sikkert. Herefter holder de deres system hemmeligt (og lad os kalde det security by obscurity) - hvordan er systemet så blevet ringere ved at de holder det hemmeligt? Jeg siger ikke, at det ikke bliver ringere af det, eller at det gør. Jeg vil simpelthen bare gerne vide det, for jeg kan ikke gennemskue det. Jeg kan se påstanden AT det er dårligt (og påstanden om det modsatte), men jeg kan ikke gennemskue hvorfor.
Nogen designer verdens bedste sikkerhedssystem, som kan modstå både MITM-angreb, DDoS-angreb og bombeangreb. Det er vildt fantastisk sikkert. Herefter holder de deres system hemmeligt (og lad os kalde det security by obscurity) - hvordan er systemet så blevet ringere ved at de holder det hemmeligt? Jeg siger ikke, at det ikke bliver ringere af det, eller at det gør. Jeg vil simpelthen bare gerne vide det, for jeg kan ikke gennemskue det. Jeg kan se påstanden AT det er dårligt (og påstanden om det modsatte), men jeg kan ikke gennemskue hvorfor.
Vasquez (42) skrev:Jeg aner ikke en brik om det her, og har ikke viden om hvad der er bedre end andet, eller hvordan ret meget af det virker. Men nu har jeg læst hele molevitten ovenfor, og står tilbage med følgende spørgsmål:
Nogen designer verdens bedste sikkerhedssystem, som kan modstå både MITM-angreb, DDoS-angreb og bombeangreb. Det er vildt fantastisk sikkert. Herefter holder de deres system hemmeligt (og lad os kalde det security by obscurity) - hvordan er systemet så blevet ringere ved at de holder det hemmeligt? Jeg siger ikke, at det ikke bliver ringere af det, eller at det gør. Jeg vil simpelthen bare gerne vide det, for jeg kan ikke gennemskue det. Jeg kan se påstanden AT det er dårligt (og påstanden om det modsatte), men jeg kan ikke gennemskue hvorfor.
Se på krypto algoritmer. Myplace har ikke kunne begrunde hvorfor det ikke kan sammenlignes
Vasquez (42) skrev:hvordan er systemet så blevet ringere ved at de holder det hemmeligt?
Det er det skam heller ikke i sig selv. Men der er dog et par problemer ved det:
1) Det kan give en falsk sikkerhedsfornemmelse, som gør at man glemmer den rigtige sikkerhed. Det problem er ikke relevant her HVIS vi antager at NemID er lavet ordentligt, hvorefter man af en eller anden årsag vælger ikke snakker så meget om hvordan.
2) Ved NemID er der nogle ganske få brugere som mener at de har ret til at vide hvordan systemet fungerer. (Og så tager jeg ikke stilling til om de har ret.) Men hvis enhver NemID bruger kan få det at vide, så er det at sidestille det med at alle ved det. Ulempen ved at holde det hemmeligt er jo så altså at man bliver upopulær, blandt disse få brugere.
Diskutionen bliver i øvrigt sløret af at nogle har sværet ved at se forskel på om hemmeligheden ER sikkerhed, eller om det er EKSTRA sikkerhed. Fx. artiklen #44 linker til adskilder ikke de to ting.
fjols (44) skrev:Det er jo ikke et svar. Manden spørger direkte hvorfor Security through Obscurity er noget skidt.
Til #42, så prøv at læse dette under viewpoints. Der er lidt for og imod.
Nej det var desværre ikke et fyldestgørende svar og jeg gav mig ikke tid til selv at nævne det. Det ændrer dog ikke på pointen. Ved krypto algoritmer bruger man peerreview. Der er sikkerheden ikke gemt i at det skal være hemmeligt hvordan algoritmen virker. danid stoler så åbenbart ikke nok på eget design til at de tør åbne op for hvordan deres design er lavet. Hvad fortæller det om den faktiske sikkerhed ved nemid?
myplacedk (46) skrev:Læs den sidste halvdel af #31 igen.
Hvor er dine argumenter? At du mener noget gør det ikke nødvendigvis til fakta. Jeg er ikke et sekund i tvivl om at du har nogle gode argumenter for security by obscurity men du har i bedste security by obscurity valgt at holde dem for dig selv... :)
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund