Politikerne vil undersøge mulighederne for mere sikker NemID

Selvom det kan være svært at afdække alle aspekter af angrebsmuligheder når et projekt er under udvikling, så er jeg lidt overrasket over hvor lidt tid sikkerheden har haft i tænkeboksen, dels hos Staten og dels hos Nets.

Syntes det havde været bedre hvis de istedet fokuserede på at gøre nemID nem. Er rigtig træt af at skulle indtaste den kode hver gang man bruger netbank.

Mod dumhed kæmper selv guderne forgæves...

Hvis man virkelig skulle gøre noget ved sikkerheden. Så skulle alle statens hjemmesider til borgerne hedde https://<navn>.stat.dk

Og så lad være med at bruge NemID at andre sider. Men gør det muligt via NemID at oprette en mindre sikker identiteter til private formål.

Derudover mangler IT-vederen stadig en sikker måde at fortælle browseren at denne side kun må tilgås via HTTPS. Så Sslstrip ikke virker.

FFS ,,, endnu en "kommision" som skal spilde skattepenge. Det er da utroligt at man ikke fatter at man kan ikke gøre det mere sikkert ..

Jeg er meget overrasket over, at det er så let at franarre folk deres identitet og misbruge den.

Ja men overaskelsen går jo netop på at folk er dumme nok til at udlevere deres ting!!!det kan man ikke lovgive sig ud af, eller lave teknologisk løsning!!.. med midre man snakke retinal scanners og blodprøve maskiner for at logge på ...

Det eneste sikre måde er at man vil kræve at folk møder fysisk op med deres pas for at lave en transaktion, men så er vi tilbage i stenalderen!

Man bliver vel altid nødt til at acceptere en eller anden fejlmargin i "sikre" systemer.

Jeg havde lige et problem her forleden. Jeg fik en mail fra Blizzard, der skrev, at der havde været "mystisk" aktivitet omkring min konto, og jeg skulle følge et link for at skifte mit password.

Mailet så umiddelbart autentisk ud, og linket pegede på (svjh) something.eu-battle.net. Jeg besøgte så siden, som også så autentisk ud. Spørgsmålet er så: Er det phishing? Det er jo ikke nok, at siden ser autentisk ud, før jeg giver dem mit password. Så jeg undersøgte sagen lidt. Er eu-battle.net det rigtige domæne, eller der det eu.battle.net? Eller er det blizzard.com? Hvordan skal jeg kunne finde ud af det, hvis der findes en myriade af sider, der alle ser autentiske ud?

Jo det er da nemmere, hvis det er danskebank.dk eller lign, men helt generelt: Hvordan kan jeg som forbruger på nogen måde være sikker på, at den side, jeg bliver præsenteret for er den ægte side? Nogen kunne jo have pillet ved nogle DNS-indstillinger, nogen kunne have phishet mig, osv.

Det er nemt at pege fingre af Hr. og Fru Danmark og grine af, at de "virkeligt" sendte deres PIN-kode til en eller anden russisk email-afsender. Men i takt med, at folk bliver oplyste og det bliver sværere at phishe, så bliver de jo også bedre til det. Hvordan skal selv den skarpeste forbruger være sikker på, at en "du skal ændre dit password"-email er autentisk? Hvordan skal jeg kunne se forskel på en ægte og en falsk NemID boks?

Der må være en fejlmargin...

Det kan godt være jeg ikke fatter noget, men såvidt jeg kan se, så vil alle løsninger med indtastning af kode være sårbare over for phising. Eneste løsning jeg kan se ville være at et token og login der bliver låst sammen med computerens ip og en krypteret fil på harddisken (hov, det er jo næsten den gamle digitale signatur)... Ja, med digital signatur er der risiko for at nogen hacker en computer og snupper signaturen, men det lur mig om ikke det er sværere at hacke en computer end det er at lokke folk i fælden på en phising site.

#6

Den nemmeste måde er at ikke følge linket i mailen men logge ind via den side man normalt logger ind med.

Selvfølgelig hjælper det ikke hvis der er pillet ved DNS serveren men så er problemet ikke dit mere men din udbyders

#8 Jep, det prøvede jeg også. Men da det er et stykke tid siden, jeg har brugt Blizzards services (og de vist har skiftet domæne), så googlede jeg Blizzard Account Administration og kom frem til det samme link. Men (ok lidt søgt måske men), det er jo muligt at booste et link op af rangstigen på Google...

Så er vi tilbage til start: Stoler jeg så på Google? :)

Sjovt at netop Prosa kritiserer sikkerheden.

#7
Ja den eneste (kendte) løsning på det her problem er en asymetrisk krypteringsalgorithme som RSA hvor den ene part på forhånd kender den andens public key

Jep, sikkerheden skal nok blive forbedret når Folketinget blander sig. De ved jo alt mulig om IT. Or not.

Folk der er dumme nok til STADIG at klikke på links i obskure e-mails fortjener fandme at miste deres penge.

På samme måde som jeg ikke har ondt af voksne mennesker der kommer til skade, fordi de ikke cykler med cykelhjelm, eller kører med sele i bilen, eller hvad ved jeg.

Og Danmark skal forestille en "fremme-i-it-skoene-nation". Jeg græmmes.

el_barto (12) skrev:

Folk der er dumme nok til STADIG at klikke på links i obskure e-mails fortjener fandme at miste deres penge.

Problemet er bare det de såkaldte "obskure" mails ikke er de eneste der kommer. Du kunne evt læse #6, han forklare det sgu meget godt. Der findes rent faktisk autentiske mails blandt. Mails hvor selv du nok kunne ryge i.


Men stadig. Bliver man phishet med nemID, så for forbryderen kun lov til at logge på een gang. Så det er begrænset hvor meget skade der kan ske, i forhold til andre løsninger, som den digitale signatur.

#13 Det er rigtigt, at man kun må logge ind én gang med én nøgle, men i netbanken (i hvert fald i Jyske Banks netbank), skal man kun bruge password for at godkende en transaktion/ændring. Dvs får jeg listet dit password ud af dig og en enkelt god nøgle, så kan jeg lave så og så mange transaktioner inden netbanken vil have en ny nøgle.

Det med Blizzard, og ALLE andre selskaber, de beder ikke om passwords. Kommer der en mail som vil have en til at logge ind på sin konto, og selve mailen har en link til "log-in" siden, så skal man passe på. Der er mange scams der ser meget autentiske ud. Jeg bruger Hotmail, og den smider ret hurtigt disse mails i et spam filter. Brug ikke links i e-mails, gå igennem de sidder og links du tidligere har brugt. Det er den måde man sikre sig på.

Hvis man vil forøge sikkerheden på NemID, så skal det ikke ske digitalt eller algoritmisk. Det kræver at brugerne bliver informeret om hvordan man sikre sig at man ikke bliver snydt til at logge ind på NemID fra en forkert side. Jeg bruger Avast, den gratis version, og den melder ret hurtigt hvis der er en side jeg er på vej ind på, som er kendt for at være en scam side. Hvis man tænker over det, så burde Blizzard, Danske Bank og staten slet ikke sende mails som linker til login sider. Hvis de linker til nogen er det deres egen forside. Med andre ord, så burde man ikke blive opfordret på nogen måde at logge ind på disse sider.

Men med en god nok undskyldning, så kan man nemt blive usikker. Advarsler af forskellige slags er svære ikke at tage seriøst, selv for folk der er opmærksomme på dette.

Izaaq (14) skrev:

#13 Det er rigtigt, at man kun må logge ind én gang med én nøgle, men i netbanken (i hvert fald i Jyske Banks netbank), skal man kun bruge password for at godkende en transaktion/ændring. Dvs får jeg listet dit password ud af dig og en enkelt god nøgle, så kan jeg lave så og så mange transaktioner inden netbanken vil have en ny nøgle.

Nemlig, de skal både have ens password, og en NemID nøgle. Det kan man sikre sig imod at de ikke får. Vælger man at bruge netbank på en computer, så skal man da også have sig en antivirus med en web skanner. Det kan da være svært at finde en der har det, men som jeg skrev i sidste post så er der Avast der ofte har advaret mig om at en side jeg var kommet forbi er kendt for at scamme folk, eller at der er scripts på siden som prøver at komme ind på ens computer.

Men mest af alt, så skal man bare ikke gå ind på en Nem ID login side fra et link i en mail. Aldrig nogen sinde. Gå ind på virksomhedens forside, og gå den vej igennem. Er man blevet voldsomt hacket, så der er keylogger på ens computer og DNS rerouting, så er der nok ikke så meget at gøre hvis det er gjort professionelt nok til at man ikke kan se forskel, men så er computerens sikkerhed også brudt ret hårdt, og grunden til at det kunne lade sig gøre i første omgang var manglende opdateringer og manglende sikkerhed på computeren.

Jeg mener at det der skal til er en kampagne som oplyser folk om hvordan man beskytter sig imod phising på de mest effektive måder. Desværre er links og bookmarks ikke noget som alle computer brugere bruger. Men man skulle helst kende sin banks hjemmeside, og det burde altid være den sikre vej at gå. Når det kommer til betaling af skat, så er det vel ens e-boks man får den slags over eller per brev? Dvs. igen, ikke følg links til login sider i mails. Den slags gør man aldrig, hvis det er en professionel virksomhed.

Det er sagt tidligere, folk kan bare ikke overskue ret meget af gangen. Det er fordi de fleste er for dovne til at sætte sig ind i de ting de bruger.
De fleste forventer seriøst at andre har mere styr på tingene end de har, så de kan slippe for at tage et ansvar selv. Det ses overalt.
Det her er bare endnu et eksempel på at sikkerhed, er noget folk skal gøres mere bevidste om og de skal sparkes hårdt i hovedet med det, ellers siver det ikke ind.
Man kan lave det sikreste system i verden, med koder og dna-skanning og hvad man ellers kan finde på. Men hvis folk selv hjælper til, så er der intet at gøre.
Hvis man skal have et helt sikkert system. Så skal der IKKE være mennesker i nærheden af det. Men hvad kan det så bruges til?
Vi er selv den største sikkerhedsrisiko der findes, det kan kun kureres ved at gøre folk opmærksomme og klogere til at administrere det. Men det kræver penge, blod, sved og tårer!

De kan jo starte med at få case-sensitive passwords.
Pt er der ingen forskel på NemIDSucks og nemidsucks.

#18 og hvordan beskytter det nogen som helst mod phising?? Det øger sikkerheden mod bruteforce som du alligevel ikke kan bruge uden papkortet... Jeg giver dig ret i at det er latterligt at nemId passwords ikke er case sensitive, men det gør minimal for sikkerheden i det konkrete system

Jeg lavede et indlæg på Version2, som jeg lige paster her (om den nyhed der linkes til):

Jeg er rigtig glad for der er fokus på det, som jeg synes er en af de største digitale katastrofer for Danmark - nemlig NemID.

Jeg er bare ked af, at det der behandles nu 'kun' er fokuseret på sikkerhed/bekvemmelighed, og at man skipper hen over de (i mine øjne) mere forkerte ting ved modellen; såsom den centrale lagring af privatnøgle, MITM/overvågning fra det offentlige, placeringen af ansvar og retssikkerhedsfølelse, fuld kontrol over brugerens maskine, manglende mulighed for aktindsigt, tvisthåndtering i byretten, oma. Jeg er med på at man ikke kan tage alt under én kam - bare resten ikke glemmes, eller inkluderes for sent.

Jeg ville græde hvis man fandt en passende løsning på sikkerhed/bekvemmeligheds-problemstillingen i signin situationen, og at man så på baggrund af det fik en offentlig følelse af at 'nu er alt i orden' - når det i mine øjne kun er blevet marginalt mindre forfærdeligt. Jeg satser en cola på, at NemID efterfølgende vil blive markedsført som Jesus Genopstandelse På Dåse hvis det ene punkt løses. Selv hvis signin-delen er 'perfekt' er produktet en katastrofe for en 'IT nation'...

Derudover det, at DanID tror man kan bluffe og 'vedholde' sig igennem kritik - det viser med al tydelighed, at de ikke er, og har været opgaven moden.

DanID og ejere har nærmere set en sag hvor der var nogle dejlige nemme penge hvis man, nå ja, også lige lavede noget SignIn-halløj, som bare skulle gøre fårene tilfredse og skabe mindre skranketrafik i bankerne - og give daværende videnskabsminister bare én success-historie at huskes for. Skulderklap uddeltes indbyrdes, og eventuelle spørgsmål blev mødt af arrogante svar i retning af "jamen der forsikres om at alt er i orden" og "det er tænkt helt igennem".

Med andre ord: Jeg håber virkelig, at de resterende mindre optimale punkter ved modellen flettes ind, nu sagen har fået bare lidt spalteplads i den bredere presse.

Nize (20) skrev:

fuld kontrol over brugerens maskine

...er vist en tilsnigelse. Vel ikke mere kontrol end ethvert program der kører under din egen konto; jeg tvivler på at signede applets kører som root.

Så længe man stoler på at appletten rent faktisk kommer fra DanID ser jeg ikke de store problemer med at den er signed og kører uden sandbox, selvom det naturligvis ville være at foretrække hvis den ikke gjorde.

#8 Det link de skriver i mailen er ikke den side der åbner, prøv at trykke på linket næste gang :-D

Men lad være med at taste noget ind :-D

#0 NemID er lige blevet implementeret, skulle de ikke have tænkt på det før de søsatte projektet?

Ramius (19) skrev:

#18 og hvordan beskytter det nogen som helst mod phising?? Det øger sikkerheden mod bruteforce som du alligevel ikke kan bruge uden papkortet... Jeg giver dig ret i at det er latterligt at nemId passwords ikke er case sensitive, men det gør minimal for sikkerheden i det konkrete system

Fordi nyheden ikke omhandler phising, men sikkerheden på NemID systemet?

De skal ikke tænke på beskyttelse mod dumme brugere førend systemet lever op til basale sikkerhedskrav.

Heh - så begyndte der en ny 'kold' krig...

Joshua: Greetings, Professor Falken.
Stephen Falken: Hello, Joshua.
Joshua: A strange game. The only winning move is not to play.

Billede: PBS A/S FEJL!
NETS A/S - og de er stadig klamme

CableCat (4) skrev:

Derudover mangler IT-vederen stadig en sikker måde at fortælle browseren at denne side kun må tilgås via HTTPS. Så Sslstrip ikke virker.

Det arbejdes der allerede på. Det hedder HSTS.

Ramius (7) skrev:

Det kan godt være jeg ikke fatter noget, men såvidt jeg kan se, så vil alle løsninger med indtastning af kode være sårbare over for phising.

Problemet med nemid er ikke så meget at man kan lave phising, men derimod at det er så nemt og umuligt at beskytte sig imod.

Hvis login altid foregik på samme domæne (som f.eks. https://login.danid.dk/), så ville brugeren kunne se på URLen og på den måde vide om der foregik phishing. Men som det er nu taster man sine login oplysninger ind på hvert enkelt site hvor man bruger nemid. Og der er ingen der kan huske den eksakte URL til hvert eneste legitime site, der anvender nemid.

Hvis man samtidigt opfordrer brugerne til at lave et bookmark til denne login side, så kan man have et bookmark med https således at der ikke længere er nogen mulighed for phishing.

Tilgår du det enkelte site, som anvender nemid redirectes du til login siden. Når du er logget ind redirectes du tilbage. Hvis du tilgår login fra et bookmark kan du ikke redirectes tilbage og i stedet får du vist en liste over sites du tidligere har anvendt og ved et ekstra klik en liste over alle legitime sites, der anvender nemid.

Hvis det blev gjort på den måde ville systemet både være mere sikkert og mere brugervenligt end det er nu.

BeLLe (8) skrev:

Selvfølgelig hjælper det ikke hvis der er pillet ved DNS serveren

At ændre nogle DNS records er ikke nok til at foretage et mitm angreb imod SSL.

buchi (13) skrev:

Der findes rent faktisk autentiske mails blandt.

Dem der sender den slags mails ud burde ikke have lov til at arbejde med sikkerhed. Hvis man sender en mail ud til sine brugere, som anvender links på samme måde som en phishing mail, så er det kun de brugere der hopper på phishing, som vil kunne følge instruktionerne. Sådan en email burde man ikke sende ud.

Derimod bør emailen beskrive den fremgangsmåde man skal anvende for at logge ind som ikke kunne udsættes for phishing.

Den eneste grund til at sende emails der kunne ligne phishing ud til sine egne brugere er for at tage en stikprøve på hvor udsat systemet er for phishing. Hvis man har et site der er vigtigt nok kunne man sende en email ud til tilfældigt udvalgte brugere for at se hvor mange der hopper på. Er der for mange bør man uddanne sine brugere bedre.

cryo (21) skrev:

Vel ikke mere kontrol end ethvert program der kører under din egen konto; jeg tvivler på at signede applets kører som root.

Det er rigtigt nok, men det er stadig mere kontrol end den applet bør have. Det kan ikke passe at man skal oprette en separat bruger til sin bankadgang for at beskytte sin computer imod banken. Desuden kører de fleste brugere sikkert deres browser som administrator, hvilket selvfølgelig er en dum idé uanset om man bruger nemid eller ej.

cryo (21) skrev:

Så længe man stoler på at appletten rent faktisk kommer fra DanID ser jeg ikke de store problemer med at den er signed og kører uden sandbox

Software installeret på din computer er der en metode til at opgradere hvis der skulle vise sig et sikkerhedshul. Appletten er der ingen sikker metode til at opgradere. Jeg spurgte danid om det og de erkendte selv at deres metode til at opgradere appletten ikke er sikker.

Danids egne ord omkring deres foranstaltninger til at sikre at appletten bliver opdateret i tilfælde af et sikkerhedshul:

Af sikkerhedsmæssige årsager kan vi ikke oplyse det nærmere indhold af disse.

EDIT: Hvorfor er det stadig komplet umuligt at få newz til at rendere en URL korrekt?

Uden at tag stilling til om nemID er sikkert eller ej, så synes jeg at den her historie illustrerer tydeligt hvor menneskelige med stort M vores kære politikere nu engang er:

Lav en forståelig video som skærer tingene ud i pap og du vinder deres hjerte. Publicer en masse akademiske artikler og du vil blive ignoreret.

Ja, men det er jo politikere. Hvis en sikkerhed bliver brudt, så ser de det som et problem med systemet og ikke med brugerne. Jeg tvivler på at halvdelen forstår den fine balance der er mellem brugervenlighed og sikkerhed.

Der er virksomheder hvor folk skal lave dobblet til tredobblet arbejde, for at have en større sikkerhed, og i en del af de tilfælde kan det da betale sig. Men med NemID, så vil den største sikkerhed være i at skulle bruge selve NemID så sjældent som muligt, og gøre det meget klart hvornår det er nødvendigt at bruge det, og hvilke situationer som det ikke skal bruges i. Som f.eks. når man modtager en e-mail som linker direkte til NemIDs loginside.

Lidt til diskussionen om, hvorvidt alle emails med links er fup:

http://www.version2.dk/artikel/danid-skat-emails-k...

Gad vide, hvor mange, der bare i god tro trykker på links? Hvis de fleste af disse emails er legitime, hvordan forklarer man så folk, at de ikke skal bruge linksene?

Izaaq (29) skrev:

Lidt til diskussionen om, hvorvidt alle emails med links er fup:

http://www.version2.dk/artikel/danid-skat-emails-k...

Gad vide, hvor mange, der bare i god tro trykker på links? Hvis de fleste af disse emails er legitime, hvordan forklarer man så folk, at de ikke skal bruge linksene?

Ja, jeg er også begyndt at høre modsigende ting omkring dette. Hvis der bliver sendt mails ud med direkte links til login side, så ser jeg det som en fejl fra dem som har sendt e-mailen, og det ligger bestemt ikke op til at man ikke skal klikke på links i e-mails. Det skal højest linke til Skats hjemmeside eller en anden kendt og let genkendelig hjemmeside, så man kan se at det hele fungere som det skal, og der ikke er fyldt med mystiske stavefejl her og der.