mboost-dp1

Flickr - dweekly

Udvikler idømt bøde for at afsløre huller i CPR-systemet

- Via Version2 - , redigeret af Pernicious

Softwareudvikleren Søren Louv-Jansen, der sidste sommer lavede hjemmesiden CPR Lottery, er ved Københavns Byret blevet idømt en bøde for at have offentliggjort CPR-numrene på 12 landspolitikere, blandt andet Helle Thorning-Schmidt og Margrethe Vestager. Det skriver Version2.

Målet med hjemmesiden var at demonstrere hvor nemt det er at udlede danskeres CPR-numre og dermed illustrere, hvorfor CPR-numre ikke er egnet til autentifikationsformål.

Da Datatilsynet fik kendskab til hjemmesiden fremsatte de krav om lukning af siden samt et bødeforlæg på 10.000 kroner. Siden blev lukket men Søren Louv-Jansen afviste at betale bøden. Sagen er derfor endt i retten, hvor Søren Louv-Jansen nu er blevet dømt til at betale 3500 kroner i bøde, samt minimum 4000 kroner i sagsomkostninger.





Gå til bund
Gravatar #1 - TwistedSage
11. feb. 2014 10:20
Det er sgudda lamt. Han stjal dem jo ikke fra nogen databaser.
Gravatar #2 - Athinira
11. feb. 2014 10:31
TwistedSage (1) skrev:
Det er sgudda lamt. Han stjal dem jo ikke fra nogen databaser.


^ This.
Gravatar #3 - Ulver
11. feb. 2014 10:34
Han sparede da 2500 kr :) Men ja, det er langt ude for han prøvede jo flere gange at råbe myndighederne op, inden han gjorde dette! (*jf. gammel newz.dk nyhed).
Gravatar #4 - Shadowblade
11. feb. 2014 11:04
#1 og #2
Nu har det jo ikke noget at gøre med om han har stjålet dem eller ej.
Uanset hvad årsagen er, så er det stadigvæk ulovligt at frigive andre folks private informationer uden at have fået lov af vedkommende. Det er også ulovligt at stille et system til rådighed som andre kan bruge til at få adgang til andre folks persondata.

Jeg er dog enig i at det er for dårligt at man ikke har gjort noget ved problemet første gang han gør myndighederne opmærksom på det. Det er jo bare med til at få os andre til at lade være med at gøre noget hvis vi finder en sikkerhedsbrist eller lign.
Gravatar #5 - Izaaq
11. feb. 2014 11:08
Slå budbringeren ihjel!
Det hjælper ikke en fis, men det føles rart :-)
Gravatar #6 - Lares
11. feb. 2014 11:19
... men bliver der gjort noget ved problemet?
Gravatar #7 - Bak
11. feb. 2014 11:33
The system is retarded.
Gravatar #8 - Jonas_
11. feb. 2014 11:46
Er det ikke forkert at han skal betale sagsomkostninger, når han nu har fået medhold i at bøden var for stor?
Gravatar #9 - DemonSpawn
11. feb. 2014 11:51
#8 Han er jo stadig dømt skyldig så at bøden er nedsat har ingen betydning
Gravatar #10 - udenrigsministeren
11. feb. 2014 11:54
Han burde have en præmie for at udstille, hvordan myndighederne ikke blot spiller hasard med personlige data men også i vid udstrækning gør brug af CPR ifm. entydig identifikation.

Jeg ser hellere at han offentligt påpeger svaghederne i et system der er hullet som en schweizerost frem for at en hacker med kriminelle hensigter gør det, således at myndighederne tvinges til handling.

Det er mig ubegribeligt at trods indførelsen af NEM-ID, hører vi stadig jævnligt om identitetstyverier, foretaget med baggrund i CPR og øvrige, offentligt tilgængelige oplysninger - og intet tyder umiddelbart på at problemets omfang er på retur; tvært imod.
Gravatar #11 - CBM
11. feb. 2014 12:04
#10: Jeg tror desværre at indtil vi ser at politikerne selv i stor stil rammes af identitets tyveri og misbrug så vil de lukke øjnene...

De personer der har interesse i at gøre disse ting vil sikkert også derfor afholde sig fra at misbruge en politikers identitet da de ved at de får fri pas sålænge politikerne er fredet.

<Politiker-Lede>

At en tilfældig dansker udsættes for dette er åbenbart totalt ligegyldigt for vore "kære" politikere...

Det er meget meget vigtigere at gennemføre prestige projekter trods økonomisk krise og det er vigtigere at lave love som rammer alle, kriminaliserer alle og som ikke rammer de folk lovene rent faktisk var tiltænkt at ramme...

overfladiske levebrøds politikere hele bundet... skidt med den enkelte dansker sålænge den enkelte politiker kan skrabe diverse goder ind til sig selv...

</Politiker-Lede>
Gravatar #12 - Pingvin
11. feb. 2014 12:46
I den gode sags tjeneste burde man gøre det oftere i så fald de ikke gider gøre noget ved problemet.

Medmindre der er en eller anden form for øget straf ved 2. gangs overtrædelse så burde man da godt kunne lave en indsamling, via FB eller lignende og snildt finde folk nok der syntes det er vigtigt med større sikkerhed på området. 7500 mennesker der vil give en krone hver :)

Ellers kunne man "komme til" at videregive værktøjerne dertil.

Jeg ville da smide en krone efter projektet en del gange hvis det betød politikkerne faktisk ville få fingeren ud til sidst.


(Der er sikkert noget lov-halløj jeg overser, i min ellers snedige plan) :)
Gravatar #13 - Athinira
11. feb. 2014 14:04
Shadowblade (4) skrev:
#1 og #2
Nu har det jo ikke noget at gøre med om han har stjålet dem eller ej.
Uanset hvad årsagen er, så er det stadigvæk ulovligt at frigive andre folks private informationer uden at have fået lov af vedkommende.


But here is the gist: Et CPR-nummer er ikke en privat (hemmelig) information.

Mange steder behandles det som er det privat, hvilket er med til at sikkerhedsniveauet er så lousy, men himlen er altså heller ikke rød bare fordi du tager et par farvede briller på :o)

Retten burde have taget den indstilling og sagt "Systemet er på det her tidspunkt så fejlbehæftet at vi ikke kan anse et CPR-nummer som værende en hemmelig information. Frifundet."

CBM (11) skrev:
#10: Jeg tror desværre at indtil vi ser at politikerne selv i stor stil rammes af identitets tyveri og misbrug så vil de lukke øjnene...


Der er allerede tiltag på vej. Jeg deltog her i slutningen af januar i et seminar om identitetstyveri, og der var både repræsentanter fra Venstre og Socialdemokratiet, samt Datanævnet.

Der arbejdes skam på problemet, men som alt andet politisk tager det en evighed :o)
Gravatar #14 - drbravo
11. feb. 2014 14:41
Athinira (13) skrev:
But here is the gist: Et CPR-nummer er ikke en privat (hemmelig) information.


Jo det er.

udenrigsministeren (10) skrev:
Han burde have en præmie for at udstille, hvordan myndighederne ikke blot spiller hasard med personlige data men også i vid udstrækning gør brug af CPR ifm. entydig identifikation.

Men CPR-nummeret er helt fantastisk til entydig identifikation! Der findes ikke andre med samme nummer, så jeg ved at det er dig, hvis jeg f.eks. skal operere dig.

CPR-nummeret er derimod helt afsindigt dårligt til legitimation, og der skal helt klart arbejdes mod at det bruges til dét formål.
Gravatar #15 - thimon
11. feb. 2014 15:12
Der er angiveligt en Facebook-side for at støtte Søren, hvor de oplyser at der samles ind på kontonr. reg.nr. 9541 konto nr. 0006580890

https://www.facebook.com/CprSoren
Gravatar #16 - Maladictor
11. feb. 2014 15:21
tragisk at det danske samfund kun skal se det negative i handlinger.
Gravatar #17 - udenrigsministeren
11. feb. 2014 15:29
#14 point taken - det var oprindelig det, jeg mente... identifikation kontra validering
Gravatar #18 - Athinira
11. feb. 2014 17:04
drbravo (14) skrev:
Jo det er.


Og her bliver jeg nødt til at gentage mig selv: himlen bliver ikke rød bare fordi du tager farvede briller på.

Vores CPR-numre bliver kastet rundt overalt. Jeg fremsender det når jeg skifter teleselskab. Alle læger eller doktorer jeg nogensinde har konsulteret hos eller har med at gøre har mit CPR nummer (og kan slå følsomme oplysninger op på den baggrund). Politibetjente der stopper mig i trafikken har adgang til det. Tonsvis af andre har.

Og det er bare offentligt ansatte. Stort set alle steder hvor der er aldersgrænse for at komme ind skal man vise billed-ID som, medmindre man bruger eller har kørekort, også afslører ens CPR-nummer. Pas, samt kombinationen af sygesikring og studiekort er typisk anvendte for folk som ikke har kørekort. Der er sikkert hundredevis af dørmænd rundt omkring i Danmark der har haft mulighed for at aflure mit CPR-nummer :o)

I'm sorry, men at kalde et CPR-nummer for en privat information svarer til at stikke hovedet i jorden som en struds.

Gravatar #19 - drbravo
11. feb. 2014 17:22
Athinira (18) skrev:
I'm sorry, men at kalde et CPR-nummer for en privat information svarer til at stikke hovedet i jorden som en struds.

Det ændrer ikke på at CPR-nummeret er en privat information. Hvordan du bruger dit nummer, og hvilke dørmænd eller andre du giver adgang til det er jo kun din egen sag.

Der findes sikkert også mange læger der ved om du har været under behandling for kønssygdomme (cirka alle der har læst din journal) - er det heller ikke en privat information?

Gravatar #20 - HerrMansen
11. feb. 2014 18:06
drbravo (19) skrev:
Det ændrer ikke på at CPR-nummeret er en privat information. Hvordan du bruger dit nummer, og hvilke dørmænd eller andre du giver adgang til det er jo kun din egen sag.


Nu kræver stort set alt og alle at du giver dem dit CPR nummer i dagens Danmark. Du kan da godt nægte, men så udlukker du dig godt nok fra mange ting.

(Se f.eks. argumenter for at undgå medielicens i praksis)
Gravatar #21 - Athinira
11. feb. 2014 18:12
drbravo (19) skrev:
Det ændrer ikke på at CPR-nummeret er en privat information. Hvordan du bruger dit nummer, og hvilke dørmænd eller andre du giver adgang til det er jo kun din egen sag.


Ikke når det er stort set umuligt at deltage i samfundet på en fungerende basis uden at give det ud i det omfang vi bliver påkrævet.

Ja, jeg kan undlade at give mit CPR-nummer ud, men i så fald må jeg melde mig ud af mange af de aktiviteter som hører til at leve i et moderne samfund. Det bliver pludseligt svært for mig at holde mobilabonnement, jeg kan ikke deltage i aldersbegrænsede aktiviteter medmindre jeg er i en alder hvor det bliver vurderet som ligemeget eller jeg tilfældigvis har et stykke identitetskort er gyldigt og ikke påviser det

Og det antager igen omstændigheder som er 100% under din kontrol. Jeg blev røvet her i foråret 2013, og gerningsmanden tog min pung hvor mit sygesikring lå i. Han har nu mit CPR-nummer. Havde jeg ikke haft det på mig kunne det være gået tabt under indbrud hjemme. Den slags kan du ikke beskytte dig imod.

drbravo (19) skrev:
Der findes sikkert også mange læger der ved om du har været under behandling for kønssygdomme (cirka alle der har læst din journal) - er det heller ikke en privat information?


Den information gives der adgang til under tavshedspligt, samt at der føres kontrol med den og der er kun adgang til den fra udvalgte systemer. Den er derved meget sværere at få fat i for uvedkommende, samt at den vigtigst af alt kan den ikke misbruges til identitetstyveri.

Et CPR-nummer, not so much. Det er jo hele pointen i artiklen her. Hvis nummeret kan skaffes på så nemt på så mange forskellige måder, eller man ligefrem kan gætte sig til det, så kan det på ingen måde anses som værende en privat information.
Gravatar #22 - budbringeren
12. feb. 2014 09:10
Izaaq (5) skrev:
Slå budbringeren ihjel!
Det hjælper ikke en fis, men det føles rart :-)


Må jeg så lige bede om kammertonen, unge mand!
Gravatar #23 - DrHouseDK
12. feb. 2014 15:50
budbringeren (22) skrev:
Izaaq (5) skrev:
Slå budbringeren ihjel!
Det hjælper ikke en fis, men det føles rart :-)


Må jeg så lige bede om kammertonen, unge mand!


Gad vide om Pts99 overså dit brugernavn...
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login