NemID kan blive mere digital

#1 - inckie
1. jul. 2010 07:11

NemID er seriøst fail, virkelig, virkelig fail. Det er fandeme bare en om'er!

Lad os boycutte det!

#2 - TrolleRolle
1. jul. 2010 07:15

Jeg synes det er totalt lækkert at vi endelig får en fornuftig løsning. Med et nøglekort i pungen kan man altid logge ind på netbank, skat, pension, etc.

Slut med forskellige passwords, logins, forældede certifikater osv. til sites som man måske kun bruger et par gange om året.

At det er et papkort gør at man slipper for at huske alverdens ting når man køber ny pc eller formaterer om, og desuden øger det sikkerheden ufatteligt meget. Lige meget hvor meget virus og andet crap du får på din pc så skal det godt nok være meget prof for at snuppe dit papkort op af din baglomme :-)

Det eneste minus jeg ser er at løsningen kræver at der er java installeret på pcen. Det er endnu ikke lykkedes mig at finde et eneste argument for at det skulle kræves for at lave en sikker løsning. Tværtimod synes jeg at jo mere kode man lader køre ude hos klienten, jo mere usikker må løsningen være.

#3 - myplacedk
1. jul. 2010 07:16

#1
Hver gang folk siger sådan noget, går jeg ud fra at de har misforstået formålet med NemID.

Jeg kan sagtens pege på ting jeg synes skulle have været gjort anderledes, men jeg synes nu stadig at det er fremgang.

EDIT: Og forresten, uden argumenter er den udtalelse totalt værdiløs.

#4 - Chucara
1. jul. 2010 07:21

Jeg vil give #1 ret. Papkort og lignende løsninger, der kræver at man taster en alenlang kode ind hver eneste gang er ikke godt nok.

Giv os en usbnøgle med et certifikat eller et der kan generere keys og det ville være i orden.

Det giver næsten samme sikkerhed, men uden besværet.

#5 - Vejby
1. jul. 2010 07:24

SMS løsning ville være mere optimal imo..

ofte jeg sidder ved pc - og tegnebog er i den anden ende af huset... men min mobil er lige ved siden af mig...

Kan ikke forestille mig at mit papkort skal ligge under mit tastatur Oo

#6 - myplacedk
1. jul. 2010 07:24

Chucara (4) skrev:
Giv os en usbnøgle med et certifikat eller et der kan generere keys og det ville være i orden.

Det er netop certifikatet man vil væk fra, af flere årsager.

Og de genererede keys - det er jo netop det papkortet er til. Jeg har selv både NemID papkortet og en keyfob som genererer en ny kode hvert minut. Den eneste forskel er for mig at keyfob'en skal man vente på hvis man taster forkert i første forsøg, og den kan ikke være i min pung.
Sikkerhedsmæssigt er der den forskel, at nøglekortet kan kopieres.

Desuden er koden ikke "alenlang" - det er 6 cifre.

#7 - Thorun
1. jul. 2010 07:26

Jeg har skiftet bank mere end 1 gang, fordi banken "konverterede" sit login system til et nøglekort. Jeg logger måske på min netbank mere end gennemsnitsbrugeren (jeg logger på 1-3 gange dagligt, og jeg logger på uanset hvor jeg befinder mig). Det betyder, at jeg skal fylde endnu et pap eller plastic-kort ned i min spartanske tegnebog - som jeg iøvrigt så altid skal huske. Det synes jeg, er en besværliggørelse af min bank/skat/whatever-login rutine.

Jeg ønsker mig stadig blot en løsning hvor jeg har "alt i en" boks - altså min laptop. Min løsning på det her nøglekort må være at scanne det ind som jpg/pdf og så kryptere dokumentet/billedet så jeg altid har det liggende på computeren.

Betale for en digital løsning... *phew*
Ligesom det begyndte at koste penge at bruge chek. Så lancerede de dankortet gratis. Og så vupti - så koster det 25øre pr. transaktion. Nu lancerer de NemID - og vupti - så koster en elektronisk løsning penge...

#8 - henrikmk
1. jul. 2010 07:26

I dag lyder startskuddet for den næste generation af digital signatur her i Danmark, med lanceringen af NemID.

Der er ikke tale om en digital signatur, da du ikke selv råder over nøglen, men PBS gør.

Når de råder over din nøgle, er samtlige værktøjer inkl. fri adgang til din bankkonto, Skat og andre private ting en 3. instans skal bruge for at misbruge din identitet samlet hos PBS. Meget praktisk.

Cross-platform problematikken og brugen af papkort er småting i forhold til ovenstående.

#9 - TrolleRolle
1. jul. 2010 07:26

#4 Du må have det hårdt når et 5 tegns langt brugernavn(eller dit personnummer) og et 6 cifret engangspassword er for langt for dig.

Ved en USB key løsning har du problemet med at evt malware vil kunne læse din nøgle.

#5 Så du vil indføre at det bliver et krav at eje en mobiltlf, og have et abonnement, og være inden for dækning, for at være borger i danmark?

#10 - myplacedk
1. jul. 2010 07:30

Thorun (7) skrev:
Jeg ønsker mig stadig blot en løsning hvor jeg har "alt i en" boks

Det kan jeg godt forstå, men det giver altså problemer med sikkerheden.

Thorun (7) skrev:
Ligesom det begyndte at koste penge at bruge chek. Så lancerede de dankortet gratis. Og så vupti - så koster det 25øre pr. transaktion. Nu lancerer de NemID - og vupti - så koster en elektronisk løsning penge...

Dankortet kostede en ganske kort overgang, men er altså gratis for forbrugeren.
Selvfølgelig er der nogen der skal betale, og i den sidste ende er det forbrugeren. Både med check og dankort.

#11 - nielsbrinch
1. jul. 2010 07:32

Fair at kræve betaling for en smartere løsning hvor der formentlig indgår et lille stykke hardware ... så længe de beholder det gratis alternativ.

#12 - myplacedk
1. jul. 2010 07:33

henrikmk (8) skrev:
Der er ikke tale om en digital signatur, da du ikke selv råder over nøglen, men PBS gør.

Det skulle have været skrevet med stort: "Digital Signatur".

Det er ikke begrebet "digital signatur" der er tale om - det er produktet. NemID afløser Digital Signatur, og produktet har (efter min mening) et langt mere passende navn. Det handler jo netop om at identificere sig, ikke digital signatur.

henrikmk (8) skrev:
private ting en 3. instans skal bruge for at misbruge din identitet samlet hos PBS. Meget praktisk.

Ja, for der er det meget mere sikkert end hos Hr. og Fru Jensen.

Om nørder landet over får knuder på undertøjet over det er ikke det vigtigste. Som jeg har forstået det får de alternativer senere.

#13 - sysadm
1. jul. 2010 07:33

Så længe både den private og den offentlige nøgle ligger hos PBS bliver det ikke en løsning jeg vil benytte.

Har ellers brugt den gamle digitale signatur en del, men nu bliver det squ tilbage til at lave alt på den gammeldags og papir tunge måde istedet.

#14 - Thorun
1. jul. 2010 07:37

@11
Enig - til forskel fra chek/dankort problematikken, så er der jo her et gratis alternativ.

#15 - Almvik14
1. jul. 2010 07:39

Hvorfor ikke gøre som Nordea Sverige gør
Der har jeg fået en lille "lommeregner" hvor i man kan sætte sit kontokort / DANkort eller hvad for Bankkort man nu har som har en chip på.
Så giver den side som man skal logge ind på en kode, som man så skal taste ind i "e_kode" dimsen, og man skal så også angive Pin koden på det kort man bruger, så får man en ny kode tilbage som er loginkode..
Den er find lille og virker rigtigt godt..

Se eksempel her:

www.nordea.se/demo_e-kod_corporate

#16 - Windcape
1. jul. 2010 07:40

#15

Det er jo netop det nyheden handler om...

#17 - Thorun
1. jul. 2010 07:40

@15 - det med en "lommeregner" kan du også få hos Danske Bank hvis du vil logge ind med andet end IE - f.eks. FireFox.

Edit @18
Er klar over deres overgang til nemID. Så jeg bytter kan ud med kunne

#18 - Windcape
1. jul. 2010 07:41

Thorun (16) skrev:
@15 - det med en "lommeregner" kan du også få hos Danske Bank hvis du vil logge ind med andet end IE - f.eks. FireFox.

Ikke mere, de går over til NemID nu.

Men ideen er at du kan få sådan et kort til NemID, senere. Altså igen, det nyheden handler om.

Har folk bare læst "NemID" og så gået i gang med at brokke sig?

#19 - myplacedk
1. jul. 2010 07:45

Almvik14 (15) skrev:
Hvorfor ikke gøre som Nordea Sverige gør
Der har jeg fået en lille "lommeregner" hvor i man kan sætte sit kontokort / DANkort eller hvad for Bankkort man nu har som har en chip på.

Fordi det er dyrt, besværligt og (for nogle) svært. Men det kan være at man får det som valgmulighed senere - hvor man formentlig selv skal betale.

#20 - henrikmk
1. jul. 2010 07:45

#12

DanID har ikke lavet en digital signatur løsning, og det er dét de burde have gjort. De siger selv, at systemet ikke er omfattet af loven om elektroniske signaturer.

Konsekvensen af dette er nedenstående:

Ja, for der er det meget mere sikkert end hos Hr. og Fru Jensen.

Det er det nemlig ikke.

Hvis du er indbrudstyv, vil du så bryde ind i den første villa på vejen, eller ind i kassen med nøglerne til alle villaerne på vejen? Det er sådan systemet er designet, og det er rablende vanvittigt.

#21 - mcgreed
1. jul. 2010 07:47

Jeg ser nu stadigvaek problemet mere med at jeg ikke har kontrol over sikkerheden, da alle noegler er paa en server, saa istedet for at EN person bliver udsat, saa er det ALLE personer hvis nogen hacker.

Og kom ikke og sig det ikke sker, vi har haft masser af eksempler det sidste aars tid.

#22 - myplacedk
1. jul. 2010 07:49

henrikmk (20) skrev:
Hvis du er indbrudstyv, vil du så bryde ind i den første villa på vejen, eller ind i kassen med nøglerne til alle villaerne på vejen?

Enhver heroin-misbruger kan bryde ind i "første villa på vejen". Banken derimod er en noget større udfordring.

Ja, problemet er større hvis der er et sikkerhedsbrud. Til gengæld er sandsynligheden for et sikkerhedsbrud langt langt mindre.

Det kan diskuteres hvad man vil foretrække, men man kan ikke objektivt sige at det er en dårlig beslutning de har taget.

#23 - T-Hawk
1. jul. 2010 07:51

henrikmk (20) skrev:

Hvis du er indbrudstyv, vil du så bryde ind i den første villa på vejen, eller ind i kassen med nøglerne til alle villaerne på vejen? Det er sådan systemet er designet, og det er rablende vanvittigt.

Ved du overhovedet hvordan man gemmer sådan nogle nøgler? For det lyder det helt ærligt ikke til.
Man bryder ikke bare ind i kassen med nøgler. De benytter et Hardware Security Module, (nogle af dem certificeret efter den højeste, og nogle efter den næst-højeste klassifikation), som du ikke bare sådan lige kommer ind i.
Du kan heller ikke hente private-keys ud fra enheden, de genereres af enheden, og kan kun hentes ud krypteret under en key som enheden også kun kender.
En HSM er altså et lukket system, du ikke bare sådan lige henter informationer ind og ud af.

Samtidig, hvis de brugte en rigtig certifikat løsning, så ville DanID stadig fungere som CA, hvilket af logiske årsager giver dem mulighed for at udstede certifikater i dit navn. Ergo, de har al den adgang de vil have.

#24 - henrikmk
1. jul. 2010 07:53

#22, 23

Til gengæld er sandsynligheden for et sikkerhedsbrud langt langt mindre.

Man bryder ikke bare ind i kassen med nøgler. De benytter et Hardware Security Module, (nogle af dem certificeret efter den højeste, og nogle efter den næst-højeste klassifikation), som du ikke bare sådan lige kommer ind i.

Og hvad kan det så baseres på? Ved vi nøjagtigt hvilke medarbejdere hos DanID eller PBS der er ubestikkelige eller ikke er modtagelige for social engineering?

Låsens størrelse er ligegyldig, så længe der er nogen til at låse den op...

#25 - Adagio
1. jul. 2010 07:55

Det her nemid lyder da utroligt dårligt. Dvs. hver gang jeg skal logge ind på netbank/skat/younameit så skal jeg hive kortet op at pungen og hver måned bliver kortet skiftet ud?
Så hvis min pung bliver stjålet har tyvene fuldt ud adgang til netbank? No hacking skillz required?

Almvik14 (15) skrev:
Hvorfor ikke gøre som Nordea Sverige gør
Der har jeg fået en lille "lommeregner" hvor i man kan sætte sit kontokort / DANkort eller hvad for Bankkort man nu har som har en chip på.

Hvis det virker på samme måde som Sydbank Tyskland gør det, så fatter jeg ikke pointen i den
Hvis jeg husker rigtigt så virker det sådan:
Først gang man logger ind på netbanken skal man bruge "lommeregneren".
Smid sit kort i maskinen
Tast et par ting, der står på netbanken, ind i "lommeregneren"
Indtast resultatet fra "lommeregneren" i netbanken
Login med normal kode
Returner "lommeregneren" til Sydbank

Derefter kan jeg nu logge ind på netbanken fra alle computere med internet. Eneste der kræves er mit 5 cifrede login nr og min 4-6 cifrede kode

Jeg kan ikke se noget som helst ekstra sikkerhed i "lommeregneren", det gør det bare mere besværligt

#26 - T-Hawk
1. jul. 2010 07:55

henrikmk (24) skrev:
#22, 23

Man bryder ikke bare ind i kassen med nøgler. De benytter et Hardware Security Module, (nogle af dem certificeret efter den højeste, og nogle efter den næst-højeste klassifikation), som du ikke bare sådan lige kommer ind i.

Og hvad kan det så baseres på? Ved vi nøjagtigt hvilke medarbejdere hos DanID eller PBS der er ubestikkelige eller ikke er modtagelige for social engineering?

Låsens størrelse er ligegyldig, så længe der er nogen til at låse den op...

Hvilket netop er tricket. De kan heller ikke låse kassen op.

#27 - T-Hawk
1. jul. 2010 07:57

Adagio (25) skrev:
Det her nemid lyder da utroligt dårligt. Dvs. hver gang jeg skal logge ind på netbank/skat/younameit så skal jeg hive kortet op at pungen og hver måned bliver kortet skiftet ud?
Så hvis min pung bliver stjålet har tyvene fuldt ud adgang til netbank? No hacking skillz required?

Nup, ligesom med bl.a. Jyske Bank's nøglekortsløsning, samt Danske Bank's ActivCard løsning, skal du bruge et bruger-id, en personlig kode samt engangs-koden fra kortet. I ActivCard løsningen er den den øgede sikkerhed at du skal have en pin-kode til "lommeregneren"

#28 - spazoid
1. jul. 2010 07:57

Jeg mener, helt objektivt, at det er en dårlig beslutning der er taget i forhold til at lægge alle nøgler et samlet sted, hvor jeg, som bruger, ingen mulighed har for at have indflydelse på sikkerhedsniveauet.

Jeg kan godt selv finde ud af at beskytte mig med en firewall, antivirus og evt. kryptering, og jeg mener at risikoen for at min nøgle bliver opsnappet er større end hvis jeg selv havde muligheden for at beskytte den.

Hvorfor skal andre vælge på mine vejne hvilken måde jeg bør bruge min netbank/SKAT.dk på? Det er jo i sidste ende mig selv der må leve med konsekvenserne af min beslutning.

#29 - myplacedk
1. jul. 2010 08:00

T-Hawk (27) skrev:
I ActivCard løsningen er den den øgede sikkerhed at du skal have en pin-kode til "lommeregneren"

Nej. Den øgede sikkerhed er at hvis nogen får fat i din kodedims, så har du den ikke længere - dvs. du ved det. Nøglekortet kan kopieres uden at du ved det.

Om man skal huske en kode til nøgledimsen, en kode til browseren eller begge dele gør ikke den store forskel.

#30 - Almvik14
1. jul. 2010 08:02

#25:

I Nordea Sverige's "lommeregner" så skal man bruge den hvergang man skal logge ind, for der kommer en ny kode hvergang, og koden er kun valid i ½ -1 min.

Når man så skal fortage noget i sin netbank så skal man også bruge "lommeregneren" til at signere transaktionen..

Hvis man evt. køber noget på internettet, så skal man også bruge den..

Det giver lidt ekstra sikkerhed mener jeg.

#31 - myplacedk
1. jul. 2010 08:04

spazoid (28) skrev:
Jeg mener, helt objektivt, at det er en dårlig beslutning der er taget i forhold til at lægge alle nøgler et samlet sted, hvor jeg, som bruger, ingen mulighed har for at have indflydelse på sikkerhedsniveauet.

Så aner du ikke hvad du snakker om.

spazoid (28) skrev:
Jeg kan godt selv finde ud af at beskytte mig

Har du overvejet hvor repræsentativ du er? Mange ville med glæde fjerne koden fra dankortet hvis de kunne.

spazoid (28) skrev:
Hvorfor skal andre vælge på mine vejne

Fordi de fleste ikke selv ved nok til at foretage det valg selv - eller interesse i at gøre det.

Men du får valgmuligheder senere, så tag en dyb indånding og vent og se. :)

spazoid (28) skrev:
Det er jo i sidste ende mig selv der må leve med konsekvenserne af min beslutning.

Ja, men ikke KUN dig. Det kan ikke være billigt at efterforske en sag, og finde ud af at en trojan har opsnappet dit certifikat og en keylogger din kode.

#32 - Decipher
1. jul. 2010 08:04

OP skrev:
DanID, der ejes af PBS, og står for NemID, har oplyst, at der vil komme digitale løsninger, som man dog skal betale for at bruge.

OK, så først skal alle tvinges til at bruge den kluntede basisløsning, og bagefter skal man så betale for, at få lov at få en løsning der er bare på højde med den digitale signatur som systemet skal erstatte.

Jeg forstår ikke helt hvori fremskridtet består.

#33 - T-Hawk
1. jul. 2010 08:07

myplacedk (29) skrev:
Nej. Den øgede sikkerhed er at hvis nogen får fat i din kodedims, så har du den ikke længere - dvs. du ved det. Nøglekortet kan kopieres uden at du ved det.

Om man skal huske en kode til nøgledimsen, en kode til browseren eller begge dele gør ikke den store forskel.

Det er også et punkt, at man kan se hvis den bliver stjålet. Jeg mener nu stadig af det pin-kode må give, bare lidt ekstra sikkerhed.
Jeg ved også at de havde overvejet at gå direkte til en token-baseret løsning, men fravalgte den efter bruger tests. Folk havde ikke tillid til at dens koder var tilfældige (WTF?)

#34 - henrikmk
1. jul. 2010 08:12

T-Hawk (26) skrev:
Hvilket netop er tricket. De kan heller ikke låse kassen op.

Det kan vi jo ikke vide, selv om de måske siger det, og det kan de heller ikke, hvis en bestukket medarbejder "patcher" deres fine nøglegenerator til at lække hashes ud på en USB nøgle.

Når vi er ude i den slags spørgsmål er sikkerhedsmodellen allerede kompromitteret.

#35 - myplacedk
1. jul. 2010 08:17

T-Hawk (33) skrev:
Jeg ved også at de havde overvejet at gå direkte til en token-baseret løsning, men fravalgte den efter bruger tests. Folk havde ikke tillid til at dens koder var tilfældige (WTF?)

Nu er de jo heller ikke tilfældige. ;-)

Men bortset fra det: Det viser jo bare at systemet er designet til "den almindelige dansker", ikke nørderne. At nogle få nørder får baconen galt i halsen betyder ikke at systemet er dårligt.

Men jeg synes da at det er ærgeligt at alternativerne til papkortet ikke bliver lanceret samtidigt med papkortet.

#36 - myplacedk
1. jul. 2010 08:21

#34
Intet system er 100% sikkert, så det er ikke målet.

Det ændrer intet på debatten at påstå eller bevise at en given model ikke er 100% sikker. Det er noget vi alle ved (eller burde vide).

Når man vælger en løsning vil der altid være en masse faktorer at tage hensyn til. En af udfordringerne her er at systemet skal kunne bruges af alle. Det ændrer altså på hvilken løsning der er mest sikker, og hvor besværligt man kan gøre det for brugeren.

#37 - PPlys
1. jul. 2010 08:21

Vejby (5) skrev:
SMS løsning ville være mere optimal imo..

ofte jeg sidder ved pc - og tegnebog er i den anden ende af huset... men min mobil er lige ved siden af mig...

Kan ikke forestille mig at mit papkort skal ligge under mit tastatur Oo

Kan forestille mig at der vil være nogen der scanner papkortet til et billede/fil i telefonen. Eller laver en note med de 148 koder. Så behøver de kun deres telefon og ikke et papkort.

Eller også har de en mail til at ligge i en webmail med billedet/noten så den er til rådighed on-line.

Eller har en fotokopi liggende hjemme/på jobbet/hos elskerinden.

Der røg den sikkerhed!

P.S. Har dog endnu ikke set papkortet så jeg ved ikke om der er lavet modforanstaltninger for disse ting.

#38 - T-Hawk
1. jul. 2010 08:22

henrikmk (34) skrev:
Det kan vi jo ikke vide, selv om de måske siger det, og det kan de heller ikke, hvis en bestukket medarbejder "patcher" deres fine nøglegenerator til at lække hashes ud på en USB nøgle.

Som nævnt benytter de HSM'er certificeret efter FIPS 140-2 level 3 og 4. Hvis de forsøger fysisk at komme ind i deres key-store vil alle keys blive slettet, og der er ikke noget interface til at "pactche" generatoren, eller til at hente nøgler ud. Hvis du ikke stoler på den form for sikkerhed, så vil jeg råde dig til at hæve alle dine penge og gemme dem hjemme i din madras, du kan jo tydeligvis sikre dig selv bedre end bankerne.

myplacedk (35) skrev:
Nu er de jo heller ikke tilfældige. ;-)

True that, brain-fuck fra min side. Nøglerne på nøglekortene derimod, de burde, så vidt jeg husker, være pseudo-tilfældigt genereret.

myplacedk (35) skrev:
Men jeg synes da at det er ærgeligt at alternativerne til papkortet ikke bliver lanceret samtidigt med papkortet.

Der er vi helt enige. Men jeg kan nu godt se deres argument om ikke at forvirre.

#39 - henrikmk
1. jul. 2010 08:36

Som nævnt benytter de HSM'er certificeret efter FIPS 140-2 level 3 og 4. Hvis de forsøger fysisk at komme ind i deres key-store vil alle keys blive slettet, og der er ikke noget interface til at "pactche" generatoren, eller til at hente nøgler ud.

Det kan de sagtens sige, men det er i grundprincippet rablende ligegyldigt hvor sikker kassen er idag, da man ikke overholder grundprincipperne om public key encryption, der skal hjælpe til at sikre, at du er den eneste der kan pille i din bankkonto, skatteoplysninger og alle andre instanser som NemID giver adgang til.

Når vi er ude i at snakke om, hvor sikker kassen med alle nøgleinformationerne i er, så er sikkerheden allerede væk. Den kasse skal slet ikke være der.

#40 - daninino
1. jul. 2010 08:50

spazoid (28) skrev:
Jeg kan godt selv finde ud af at beskytte mig med en firewall, antivirus og evt. kryptering, og jeg mener at risikoen for at min nøgle bliver opsnappet er større end hvis jeg selv havde muligheden for at beskytte den.

Så du regner med at du er bedre til at beskytte dig selv end PBS er? Nu kender jeg ikke dine kendskaber men jeg vil regne med at det ikke er tilfældet.

Jeg syntes heller ikke det er optimalt med Papkort, jeg ville hellere have en løsning med en sms da jeg altid har min telefon med mig.

#41 - es-web
1. jul. 2010 09:09

Det kan godt ske at sikkerheden hos PBS er i orden, men hvad hvis deres sikkerhed blev kompromitteret?

Så har de personer det lykkes for adgang til alle danskeres private nøgle. Hvor i mod hvis jeg selv opbevare den så er den en del svære at finde frem til.

Personligt vil jeg ikke bruge NemID, da jeg mener det er en forkert løsning. Jeg vil gerne forbeholde mig retten til selv at vælge.

#42 - T-Hawk
1. jul. 2010 09:18

es-web (41) skrev:
Det kan godt ske at sikkerheden hos PBS er i orden, men hvad hvis deres sikkerhed blev kompromitteret?

Hvordan? Hvis det er ved fysisk adgang, så bliver nøglerne slettet. Og der er ikke fundet nogen måder at bryde sikkerheden på disse enheder. Vi taler her enheder som er anset som det sikreste i verden. Hvis du ikke stoler på dem, så kan du ikke stole på din bank, eller på skat, eller ...

es-web (41) skrev:

Personligt vil jeg ikke bruge NemID, da jeg mener det er en forkert løsning. Jeg vil gerne forbeholde mig retten til selv at vælge.

Og det har du skam også ret til at vælge. Så kan du bare ikke benytte din netbank længere, eller tilgå dine skatte oplysninger, eller søge SU. Men det er dit valg. :)

#43 - HerrMansen
1. jul. 2010 09:31

På den ene side er jeg glad for at slippe af med Spar Nord's latterlige nøglefiler, som hele tiden knækker og holder op med at virke (corrupt data) eller helt forsvinder (java applet sletter dem) - skal stort set bede om et nyt kodebrev hver uge, jeg logger på netbanken og det er trættende i det lange løb.

På den anden side gider jeg da heller ikke løbe rundt med en papseddel som indeholder en million engangskoder, hvor jég så skal bede om en ekstra hvis jeg forventer at bruge flere koder end de kan nå at levere (f.eks. ferie). Giv os nu en 100% digital løsning tak.

#44 - myplacedk
1. jul. 2010 09:51

HerrMansen (43) skrev:
hvor jég så skal bede om en ekstra hvis jeg forventer at bruge flere koder end de kan nå at levere (f.eks. ferie).

Du får tilsendt et nyt kort, når du har 20 nøgler tilbage. Du kan selv ændre det til 10, 20, 30, 40 eller 50 nøgler.

Hvis du bruger mere end 20 nøgler i løbet af ferien, skulle jeg mene at du er en atypisk bruger. ;-)

#45 - BeLLe
1. jul. 2010 09:53

hmm.. jeg tror de eneste der synes det er en god ide med de her papkort er Post Danmark der får noget mere at lave ved at skulle omdele de her kort hele tiden.

#46 - 1. jul. 2010 10:08

HerrMansen (43) skrev:
På den anden side gider jeg da heller ikke løbe rundt med en papseddel som indeholder en million engangskoder, hvor jég så skal bede om en ekstra hvis jeg forventer at bruge flere koder end de kan nå at levere (f.eks. ferie).

Holy shit.....

Tror du skal melde dig til Luksusfælden hvis du bruger din netbank én million gange i løbet af en ferie....

Eller også har du bare en syg trang til at tjekke om nogen har nakket dine penge.

:-P

#47 - hypotroch00id
1. jul. 2010 10:15

Hr og Fru Hansens papkort ligger i den pung der bliver stjålet ved indbrud, lommetyveri mm eller også taber Hr og Fru Hansen bare deres papkort

Hr og Fru Hansen har allerede masser af grimme vira liggende på deres computer. En bagdør eller to - og vupti nu ligger der sørme også en keylogger.
Måske har hr Hansen også skannet sit nøglekort så det ligger på den stjålne bærbare.

Hr og Fru Hansen svarer på mail fra nemID.specialserviceforyou.ru om at deres nemID papkort er fundet og de skal logge ind for at spærre, at de skal logge ind for at bekræfte, at de af sikkerhedsmæssige grunde skal logge på og ændre deres kode, at de skal indtaste en række forskellige nummer/nøglepar, find selv på flere.

Det kan også være at Hr of Fru Hansen lige skriver deres password på papkortet, så er det nemmere at huske og ligger praktisk sammen med kortet.

På nemIDs hjemmeside står der at systemet er baseret på PKI, men ikke på hvilke bagvedliggende krypteringsstandarder, om der er tale om RSA eller EC (Ha!) og hvilke nøglelængder der anvendes fx
Hvordan bliver mit personlige password sendt til DEN? centrale server for at sende mig nummer til at låse min private nøgle op? hvor sikker er java appletten? Hvor go er de krypteringsstandarder der ligger deri? Hvordan bliver informationer gemt i databasen, en hashed salted version af mit password (hvilke standarder?) eller krypteret version der KAN dekrypteres? Hvor random er deres randomgenerator til genereringen af userid + password -> nummer + nøgle?
Det plejer ikke at tage lang tid før folk med tvivlsomme hatte er klar med en keygenerator til requestcode/authenticationcode paringen til nye store meget dyre softwarepakker.

I USA opererer men med offentliggjorte krypteringsstandarder der er nøje beskrevet: http://www.nsa.gov/ia/programs/suiteb_cryptography...

Det eneste der ligger på nemID siden er links tilnoget gammelt it-og telestyrelsen-papir fra 2002 der pædagogisk forklarer hvad digital signatur er for en fisk og mumler lidt om at SHA1 er lidt mere sikker end MD5 (!!)

Hvor svært er det at lægge DEN centrale server ned med lidt DDosS trafik - med andre ord hvor lang tid tager det at lægge det officielle Danmark ned og hvor længe af gangen?

Endnu vigtigere - Kan min "private nøgle" , -og alle andres nøgle, anvendes direkte uden angangen til denne via kortet?
Hvordan ser retssikkerheden da ud i forhold til udførte transkaktioner, godkendte lånedokumenter mv.
Hvor godt beskyttet er serverbackup'en? Er den fysisk placeret sammesteds (læg Danmark ned med EN jetjager) - eller foregår der fysisk eller digital trafik med backups?

Jeg synes der både er protokolmæssige problemer med centraliseringen og problemer med teknisk åbenhed omkring brug af standarder.

-og vi får ikke noget valg - mange offentlige services vil efterhånden KUN være tilgængelige digitalt via det her.

#48 - HenrikH
1. jul. 2010 10:40

TrolleRolle (9) skrev:
#5 Så du vil indføre at det bliver et krav at eje en mobiltlf, og have et abonnement, og være inden for dækning, for at være borger i danmark?

I samme stil som flere og flere offentlige services rykkes rent online, så man skal have en internetforbindelse for at være borger?

T-Hawk (23) skrev:
Samtidig, hvis de brugte en rigtig certifikat løsning, så ville DanID stadig fungere som CA, hvilket af logiske årsager giver dem mulighed for at udstede certifikater i dit navn. Ergo, de har al den adgang de vil have.

Nej, for hvis de udsteder et nyt certifikat i mit navn, så invaliderer det det jeg har. Jeg opdager det således den første gang efterfølgende, hvor jeg bruger mit eget, nu gamle, certifikat.

Med NemID har de mit certifikat, jeg har således ikke samme, nemme, måde at opdage et misbrug på.

#49 - hypotroch00id
1. jul. 2010 11:07

T-Hawk (38) skrev:

Som nævnt benytter de HSM'er certificeret efter FIPS 140-2 level 3 og 4.

FIPS 140-2er en glimrende specifikation og level 4 fornuftig.

Men hvor har du fundet det specificeret at det er således nemID løsningen er implementeret? kilde?

Men det er jo i hvert fald lidt betryggende om det er tilfældet.

#50 - T-Hawk
1. jul. 2010 11:16

HenrikH (48) skrev:
Nej, for hvis de udsteder et nyt certifikat i mit navn, så invaliderer det det jeg har. Jeg opdager det således den første gang efterfølgende, hvor jeg bruger mit eget, nu gamle, certifikat.

Du kan sagtens udstede et certifikat, uden at invalidere det gamle? Det er trodsalt din CA der står for revocation-listen.

hypotroch00id (49) skrev:
T-Hawk (38) skrev:

Som nævnt benytter de HSM'er certificeret efter FIPS 140-2 level 3 og 4.

FIPS 140-2er en glimrende specifikation og level 4 fornuftig.

Men hvor har du fundet det specificeret at det er således nemID løsningen er implementeret? kilde?

Men det er jo i hvert fald lidt betryggende om det er tilfældet.

Jeg har desværre ingen kilde, men kan kun citere det en repræsentant sagde til en forelæsning om NemID på DAIMI.

mboost-dp1

Nyheder

Seneste kommentarer i nyheder

Seneste kommentarer i forum

NemID kan blive mere digital