Amino Ekspertblog

John Nielsen

John Nielsen fra Nielco IT

Ekspertblogger på Amino om IT sikkerhed & Business IT Continuity

NEM ID er ikke NEM

Skrevet af:
29. december 2010 | 2.937 Visninger| 43 kommentarer
Hvor mange stjerner giver du?:

Amino Ekspertblog

John Nielsen fra Nielco IT

Ekspertblogger på Amino om IT sikkerhed & Business IT Continuity

Det p.t. meget omtalte NEM ID indføres som tvunget login-metode til netbank fra nytår.

I den forbindelse oplevede jeg en bekymrende opfattelse af IT sikkerhed hos min bank.

Da jeg ikke havde modtaget mit NEM ID kort, skrev jeg  i flere omgange til banken - logget sikkert ind på netbank - via netbankens indbyggede post-funktion.
Det var umådeligt svært at trænge igennem og få dem til at forstå, at jeg ikke havde modtaget mit NEM ID kort, og at jeg gerne ville have det ordnet.
For få dage siden skrev jeg så til dem igen:

"Jeg har endnu ikke modtaget mit NEM ID.
Vil I være rare at sikre at jeg modtager det snarest.
Om 5 dage mister jeg muligheden for at logge på netbank, hvilket vil være meget uheldigt.

På forhånd tak.

De bedste hilsner"

Hertil svarer banken så, at de "desværre ikke accepterer usikre bestillinger af NEM ID kort" og beder i mig i stedet ringe til banken for at bestille det.

Det er da ikke den store tiltro, de viser deres egen netbank-system, hvortil jeg er kommet via krypteret login og brug af mit unikke brugernavn og hemmeligt kodeord.

Hvorfor skal vi dog have NEM ID? Var det ikke for at højne sikkerheden? Ja, hvis beskyttet/krypteret adgang ikke er sikker nok, så hjælper det da ikke at ringe?

Hvor sikkert er dette NEM ID egentligt?
Det er skræmmende let for IT kriminelle at efterligne hjemmesiderne for NEM ID og Dan ID.
Dan ID, som står bag NEM ID bekymrer sig tilsyneladende ikke det mindste om sikkerheden eller truslen om phishing.

De færreste helt almindelige internet-brugere vil lægge mærke til forskellen på www.DanID.dk og www.DanlD.dk, selvom adresserne peger på to forskellige hjemmesider.

Tør du stole på sikkerheden i dette pap-kort?

Hvis Dan ID beslutter at tage phishing-truslen alvorligt, er de til enhver tid meget velkomne til at kontakte mig, hvorefter de kvit og frit kan få foræret domænet DanlD.dk.
Det er kun erhvervet med det ene formål at synliggøre truslen, som efter min mening er virkeligt alvorlig og lige så skræmende, som manglen på interesse for emnet phishing fra Dan ID's side.

Dbh.

John Nielsen

 

 

 

Læs også

[Den lille nørd-guide]: 6 supertips til at få... | 14 kommentarer
W - Webshopejerens begynderinstruks | 5 kommentarer
Mit levende CV | 7 kommentarer
Skal jeg starte en webshop? | 13 kommentarer
S - Sex med kunden | 13 kommentarer

Kommentarer

Awais Sharif  den 29-12-2010 kl. 12:45

Ja du har ret, og det virker ret sjovt og klodset ,at man faktisk skal rende rundt med et papkort i år 2010 for at få adgang til f.eks. netbank.

Det hænger ikke helt sammen, hvis man tænker på teknologien faktisk bliver bedre og bedre :)

Er kommentaren brugbar? 0 0
Kasper Brandt  den 29-12-2010 kl. 13:56

Jeg kan heller ikke se sikkerheden er blevet større, hvis nogen hugger din pung - som du er nødt til at have med, ellers kan det jo være ligegyldigt, at du kan logge på fra alle computere...

Denne side siger det hele: http://www.ernemidnede.dk/

Godt nytår til alle

Er kommentaren brugbar? 0 0
slettet_bruger  den 29-12-2010 kl. 15:19

For slet ikke at tale om det faktisk er ocontraer miljøvenligt.

også er det faktisk så super usikkert som noget, p.ga. at alle dine informationer står på den samme server, Altså dvs de kriminelle skal bare have adgang til den server og resultatet er at danmark bliver instant uland.

Er kommentaren brugbar? 0 0
Simon Mørk Hermansen  den 29-12-2010 kl. 15:33

NemID er mere sikkert fordi det er et 2-faktor login, fremfor de gamle 1-faktorlogin. Først logger man ind med bruger-id og adgangskode som man husker i hovedet og derefter bruger man det fysiske kort. For at nogen skal kunne logge ind med ens NemID er det altså ikke nok, at stjæle nøglekortet. Man skal også have bruger-id og koden. Det samme gælder omvendt, hvis det er brugerid og koden man har fundet frem til, så skal man stadig have nøglekortet.

Hvis ens nøglekort bliver stjålet, kan man få det spærret over telefon og få tilsendt et nyt.

Og jeg vil nu sige at NemID er nemt nok i dagligt brug, mere besværligt ja.. Især hvis man var tilfreds med de gamle login-metoder og digital signatur. Det er kun aktiveringen af det der er svært (hvis man ikke gider at læse velkomstbrevet).

Er kommentaren brugbar? 0 0
Ole Ringgaard  den 29-12-2010 kl. 15:35

enig

forstår heller ikke hvorfor vi skal belemres med flere NemID konti for at logge på diverse bankkonti og offentlige sites

Er kommentaren brugbar? 0 0
Martin Thorborg  den 29-12-2010 kl. 16:38

Jeg bor i USA og der er det super let at logge ind på sin netbank. Man skal ikke have noget som helst andet end brugernavn og kodeord.

Til gengæld kan man ikke bruge den til en skid andet end at checke sin konto os sende folk fysiske checks for alt andet er for farligt.

Så man kan ikke overføre til konti i andre banker eller den slags og det gør det temmelig ubrugeligt i mine øjne.

Så måske er det nu meget godt med lidt mere sikkerhed og større brugbarhed..

Dbh Martin

Er kommentaren brugbar? 0 0
Jacob Rohde  den 29-12-2010 kl. 17:17

Jeg er nu ganske tilfreds med NemID, og vil også betragte det som pænt sikkert.

Inden for IT sikkerhed arbejder man med 1-faktor sikkerhed, 2-faktor sikkerhed og 3-faktor sikkerhed.

1-faktor sikkerhed er noget "man ved". Fx. dit login navn og kodeord til et site. Det er meget usikkert, da det blot kræver at tyven får fat i den hemmelige information.

2-faktor sikkerhed er noget "man ved" og "noget man har". Fx. din pinkode og dit Dankort. Det er meget sikre end 1-faktor, da tyven nu skal nole både dit DK og din pinkode.

3-faktor sikkerhed er noget "man ved", "noget man har", og "noget man er". Fx. en pinkode, adgangskort og dit øjeæble. Dette er selvfølgelig super sikkert, men nok forbeholdt seriøse hemmeligheder :)

Hvis ikke jeg tager meget fejl, er både NemID og den gamle Digitale Signatur begge en faktor-2 sikkerhedslæsning, da den Digital Signatur krævede en licensfil ("noget man har"). Forskellen på Digital Signatur og NemID ligger i hvorhenne og hvordan "nøglerne" er opbevaret. I den digitale signatur lå den private nøgle på ens egen computer (beskyttet af kodeord) og den offentlige nøgle lå hos DanID, hvor i tilfældet med NemID ligger begge nøgler på Nets servere og vi så har fået nøglekortet; hvilket gør NemID meget mere mobilt.

Er kommentaren brugbar? 0 0
Simon Mørk Hermansen  den 29-12-2010 kl. 20:31

Til Ole: Det behøver man heller ikke. Du kan knytte dit personlige NemID til de konti og offentlige steder du har lyst til. Jeg har f.eks. adgang til at logge ind på min erhvervskonti via mit personlige NemID. Det er noget banken eller den enkelte offentlige service skal ordne (en fuldmagt). Så du kan bare samle det hele i ét NemID. At have mere end ét er som regel fordi folk vil have tingene adskilt.

Er kommentaren brugbar? 0 0
DC Trading  den 29-12-2010 kl. 20:44

Jeg oprettede også en tråd med dette emne, da jeg også mener at NemID IKKE er nemt pga. papkortet. Men selv hvis det var en 10-faktor løsning, så ville DanID stadig navngive det som NemID, da det åbner adgang til ALT. Så selv hvis man skulle skrive navn, cpr, adresse, forældres navn, blodtype, profession, faxe et billede, dit kæledyrs navn og favorit farve for hvert log-in, så ville det STADIG hedde NemID fordi det åbner adgang til AAALT. Så jeg kunne desværre ikke få DanID til at ændre navnet på NemID til SværID :)

Er kommentaren brugbar? 0 0
John Nielsen  den 29-12-2010 kl. 21:11

Jeg er helt enig i behovet for øget / maksimal IT sikkerhed, og specielt når det gælder adgang til økonomiske transaktioner og personfølsomme oplysninger.

Men vil man have en løsning, som brugerne skal have tillid til, vil en grundig forberedelse være en absolut nødvendighed.

Der er ikke plads til mange UPS'er, før det for alvor bliver op ad bakke for løsningen NEM ID.

At det skal være let at benytte ét samlet login til alverdens online ydelser, herunder netbank, må efter min mening ikke ske på bekostning af brugervenlighed og ikke mindst en seriøs tilgang til online sikkerhed.

I mit arbejde med IT sikkerhed oplever jeg en stor alsidighed i brugernes viden og forsigtighed i forhold til online risici. Nogle er meget påpasselige, mens andre på ingen måde tænker over det.
Er det så let at etablere phishing sites med domænenavne så tæt på det oprindelige. Så beder man næsten selv om kedelige sager, hvor ganske almindelige brugere havner i kløerne på phishing-hajer.

Der er set masser af eksempler på veludførte phishing-sites, som har udgivet sig for at være tilhørende veletablerede virksomheder som Danske Bank, PBS (Nu NETS), Paypal og Ebay.

Hver gang har virksomhederne, hvis kunder bliver narret til at give personfølsomme oplysninger, været tvunget til at skulle ud og brandslukke i form af massive oplysningskampagner. Og hver gang får virksomhederne en ridse i PR-lakken.

I forbindelse med lanceringen af NEM ID har man alle tiders chance for at lave et gennemarbejdet, velforberedt stykke arbejde, som sikrer brugerne mest muligt på alle tænkelige fronter og samtidigt oplyser og "uddanner" de virksomheder og institutioner, som skal håndtere skidtet efter lanceringen.

Der har været nogle UPS! situationer den seneste tid, hvor det med skræmmende synlighed udstilles, at alt for meget overlades til dette stykke pap.

De professionelle som længe har arbejdet på forberedelserne til NEM ID, har overset eller negligeret de mest indlysende risici i form af phishing. Det har været alt for let at sætte domæner som NemlD.dk og DanlD.dk op.

Folkene bag setup'et i NEM ID skal efter min mening være glade for, at der er så harmløse bevæggrunde bag de "alternative" sites, som utilfredshed med NEM ID kortet og ønsket om at påpege netop den manglende sikkerhed omkring domænetnavnet bag NEM ID.

Havde der været IT kriminelle bag, ville man for alvor have haft udfordringen med en "brandslukningsopgave" med oplysning overfor brugerne af NEM ID.

Jeg opfordrer danID, pengeinstitutterne og politikerne til at tage phishing-truslen alvorligt. Se nu at få dækket projektet ind, så det ikke er så let at lave et phishing-site for få hundrede kroner.

Få uddannet de medarbejdere i pengeinstitutterne, så de forstår formålet med NEM ID.

Og danID.. drop nu arogancen og tag nu jeres opgave alvorligt.

Så vil I måske undgå flere artikler som denne:

DanID efter phishing-aktivisme: Falsk domæne er ligegyldigt

Lad os få IT sikkerhed, på en sikker og brugervenlig måde. Skype-Smile

Dbh. John

Er kommentaren brugbar? 0 0
Nicolaj Thomasen  den 30-12-2010 kl. 03:21

Nem-lD.dk er stadig ledigt, hvis nogen går med skumle tanker :)

Er kommentaren brugbar? 0 0
Nillerrune  den 30-12-2010 kl. 03:34

I England er det heller ikke helt brugbart:

Jeg har en pin og en kode, når jeg logger ind med mit specielle brugernavn som banken har givet mig skal jeg give eks tal/bogstav nr 1, 5 og 7 fra kode og pin.

Det giver mig adgang til at lave lidt transaktioner mellem mine egne konti, hvis jeg kan lave en betaling skal jeg bruge mit debit kort og en "lommeregner" hvor mit kort passer kan stikkes i og som er kodet til mit kort. Derefter skal jeg taste en ny kode ind på denne "lommeregner" for at få adgang til en kode som jeg kan sætte ind på min netbank for at oprette en betaling.

Det skal heldigvis kun gøres en gang per firma som man skal betale, så det er fint nok som privat bruger når man bare betaler regninger.

Som firma skal jeg igennem det hele igen hvis jeg eks skal ændre faktura nummer.

Det som er virkeligt dårligt er at jeg ikke kan betale regninger i udlandet. Det er lidt skidt når man tit bruger folk rundt omkring i verden.  

Når jeg skal lave en udlandsbetaling skal jeg gå ned i min bank, jeg skal medbringe pas/kørekort, mit bank kort, mit indbetalingshæfte/checkbog og så plejer de så at ringe til min business manager og beder ham om at komme ned og se at jeg nu er den person som jeg udgiver mig for.

Giv mig gerne NEM ID og lad mig selv kunne betale folk i udlandet :)

Er kommentaren brugbar? 0 0
christians  den 30-12-2010 kl. 09:39

John... kan du beskrive et senarie i forhold til nemid og phishing.  hvad er den direkte trussel for hr. og  fru. sovs. som kune benytter sin nemid til at logge på deres netbank ?

Du gør meget ud at af skrive at det er et "stykke pap"... men hvad skal man helt konkret være bange for.

Er kommentaren brugbar? 0 0
Brian Reinhold Jensen  den 30-12-2010 kl. 12:10

Jeg kan ikke helt gennemskue hvor problemerne ligger, om det er hos NemID eller de institutioner der skal benytte det.

Jeg kan blot konstatere at Jyske Bank har kørt med et lignende system i mange år, i modsætning til andre banker der har haft et system med en nøglefil der ligger lokalt på din PC. Ja jeg ved godt at anbefalingerne er at man har den på en USB-stick eller lign., men jeg har stadig tilgode at se det anvendt af "almindelige" brugere.

Skiftet fra mit gamle nøglekort til brugen af NemID i banken skete uden problemer, jeg mener jeg havde en lille måned til at aktivere skifte i banken.

Med hensyn til sikkerheden omkring bankerne, så er Jyske Banks gamle system med nøglekort, svjv. det eneste system der endnu ikke er blevet misbrugt - så lidt sikkert er det da :-)

Jeg har endnu til gode at bruge min NemID hos offentlige myndigheder eller andre af de steder jeg bruger min digitale signatur, så jeg kan ikke sige om det virker.

Til gengæld synes jeg at bestillingen af en NemID er noget bøvl for dem der ikke har en netbank-adgang i forvejen, jeg kan ganske simpelt ikke begribe hvorfor mand skal angive sit pas- eller kørekortnummer. Det giver jo ingen ekstra sikkerhed i forhold til at sende kortet til den adresse man er registeret på i folkeregisteret, men det er sikkert bare mig der er for dum til at fange det.

Godt og sikkert Nytår til alle

/Brian

Er kommentaren brugbar? 0 0
CMS  den 30-12-2010 kl. 12:21

@Simon

Fedt, jeg har nemlig også fået rodet mig ud i at have fået tildelt 3 stk. nem-ID accounts grundet et par firmaer og en privat nem-ID udstedt til mig automatisk af banker (ikke noget jeg selv har bedt om).

Det undrer mig lidt at jeg intet har kunne læse eller finde om det hos nemID med at have flere accounts, jeg vil da selvfølgelig kun have én, for som det er lige nu kan jeg ikke bruge den nem ID account jeg har aktiveret til fx offentlige services - og det er jo helt hul i hovedet.

Jeg gider nu alligevel ikke skulle rende rundt med 3 stk. nøglekort, og når man har flere forskellige nem ID så kan man heller ikke bruge sit CPR-nr som bruger-id, da den ikke fatter hvilken af de 3 accounts man har den skal vælge.

Det virker ikke så gennemtænkt, ihvertfald ikke logistiskmæssigt eller kommunikationsmæssigt fra bankernes og nem id's side.

Er kommentaren brugbar? 0 0
Hans Stokholm Kjer  den 31-12-2010 kl. 01:06

@ Simon og CMS

Nogle banker har en begrænset udgave af NEM ID til firmakonti. En udgave, som er begrænset til kun at håndtere netop det ene klientforhold. Mit firma NEM ID er vist nok knyttet til mit firmas bank og mit CVR-nr. Min bogholder har dog fået sit eget nøglekort til det.

Men få koblet mine private ting sammen med det kort. Jeg har mine private konti i en anden bank. Det NEM ID, som jeg har fået via den bank, skulle angiveligt kunne bruges til alle de andre dejlige NEM ID-ting.

I begge banker fniser de lidt, når man beder dem forklare, hvad ordet NEM betyder.

Hvad sikkerheden angår, så aner jeg ikke et klap om det. Jeg har en naiv grundlæggende tillid til, at banken har styr på sikkerheden - og at det i modsat fald ikke bliver mit problem.

mvh Hans

Er kommentaren brugbar? 0 0
x-tra  den 01-01-2011 kl. 12:06

Jyske Bank har kørt med en løsning der minder meget om NemID i en del år snart. Synes faktisk at det er et meget godt kompromi. Tror ikke rigtig på den perfekte løsning som både er super sikker og som Hr. og Fru. Jensen også kan finde ud af at bruge. Kan dog godt være lidt nervøs for sikkerheden. Hvis nogen får fat i ens NemID har de jo stort set adgang til hele ens liv: Skat, netbank, E-boks ja stort set alt.

Er kommentaren brugbar? 0 0
marjoe  den 01-01-2011 kl. 23:52

Det helt sjove kommer når nu der går kuk i det, og de ikke når at få sendt nye nøglekort ud, når de er brugt - jeg selv logger på mange gange om dage, for at handle værdipapir.

Er kommentaren brugbar? 0 0
John Nielsen  den 02-01-2011 kl. 00:12

@sundsdal:

Nu er det ikke kombinationen af et fast brugernavn, en fast adgangskode og en variabel 6-cifret NEM ID kode, som udgør den største trussel.

Den største udfordring i denne forbindelse er, at danID, som står bag NEM ID, udelukkende sætter deres lid til den del af sikkerheden, som ligger i pap-kortet. De bekymrer sig slet ikke om risikoen for phishing.

Der er de seneste år set flere eksempler på, at de IT kriminelle bliver dygtigere og dygtigere til at etablere falske sites, som ligner de ægte så godt, at det i praksis kun er fagfolk, som ved første øjekast gennemskuer forfalskningen.

Udviklingen af NEM ID har kostet fantastisk mange penge, og det er efter min mening ubegribeligt, at man så ikke har brugt den forsvindende lille ekstra sum på at reservere de domænenavne, som ligger så tæt på de originale domænenavne.

På den måde kunne man fra danID's side på få minutter og for en latterlig lav pris have sikret sig meget bedre imod phishing. Det ville have gavnet projektets troværdighed betydeligt.

Når du spørger til et scenarie, hvor Hr og Fru Danmark udsættes for en unødvendig phishing-risiko, så er det netop fordi, man ikke har gjort sig den minimale ulejlighed at sikre sig de domænenavne.

Nogen kunne måske finde på at kalde det enten uvidenhed eller arrogance.

Det er klart, at phishing-risikoen ikke ville forsvinde helt, bare fordi de indlysende domænenavne blev reserveret.

Men ser man den forsvindende lille indsats og pris i form af nogle få tusinde kroner og under en times arbejde med at registrere domænenavnene, sat op imod den omkostning en oplysningskampagne efter det første seriøse phishing-angreb vil medføre, så kan det jo slet ikke betale sig for virksomheder, offentlige institutioner mv. at lade være.

Jeg håber virkeligt, at man vågner op og tager risikoen alvorligt. Det ville klæde de professionelle bag projektet NEM ID og gavne NEM ID's troværdighed overfor den almindelige bruger.

Dbh. John

Er kommentaren brugbar? 0 0
John Nielsen  den 02-01-2011 kl. 00:45

@Hans:

"Hvad sikkerheden angår, så aner jeg ikke et klap om det. Jeg har en naiv grundlæggende tillid til, at banken har styr på sikkerheden - og at det i modsat fald ikke bliver mit problem."

Hvis du som privatperson bliver offer for et phishingangreb, der på en eller anden måde kompromiterer sikkerheden og skaffer IT kriminelle adgang til dine bankkonti og/eller personfølsomme oplysninger, er du lovgivningsmæssigt sikret imod tab. Det er, som du siger, ikke dit problem. Den eneste ulempe for dig som privatperson er det eventuelle bøvl med at få spærret dankort og/eller konti og ændret adgangskoder /pinkoder sammen følelsen af utryghed, fordi nogen har roddet i dine private ting. Det er, som ved ethvert andet indbrud, fantastisk ubehageligt og på jævn jysk træls.

Hvis det samme sker for dig som virkomhed, er du ikke på samme måde dækket. Forbrugerbeskyttelsen dækker ikke virksomheder.

Dbh. John

Er kommentaren brugbar? 0 0
John Nielsen  den 02-01-2011 kl. 00:51

@Nicolaj:

"Nem-lD.dk er stadig ledigt, hvis nogen går med skumle tanker :)"

Ja det er det stadig.

Det viser jo tydeligt, at man ikke tager phishing-truslen alvorligt.

Skræmmende. :-)

Dbh. John

Er kommentaren brugbar? 0 0
Vedikke  den 02-01-2011 kl. 03:35

Alene det faktum at man ikke kan læse de ret små tal på papkortet i en almindelig oplyst stue (jeg har kun en brillestyrke 1.25, men SKAL have briller på for at læse det)gør NemID alt for besværligt.

Desuden er det dybt godnat at skulle taste 6 cifre ind EFTER et andet "unikt" ciffermønster, som man skal lede efter mellem 100 andre.

Alligevel har et firma som dk-hostmaster ikke implementeret det, og vores dankort består stadig af en 4-cifret kode som er den samme i adskillige år.

Jeg forstår godt den interaktive del (NemID leverer én del af koden og man skal så selv taste den anden del ind), men det virker utrolig formynderisk.

I stedet kunne man bede brugeren om at lave 5-10 spørgsmål med unikke svar som systemet kunne vælge imellem.

På den måde var man helt fri for at slæbe rundt på et papkort.

Er kommentaren brugbar? 0 0
Tim (NoTanShop)  den 02-01-2011 kl. 09:22

Den bedste jeg har læst fra NemID er denne sætning.

Bestil NemId for blinde og svagtseende skal der bruges dansk pas eller dansk kørekort. (www.nemid.nu/.../bestil_nemid)

Jeg vil gerne se den svagtseende person (def. har et syn der er lig med eller dårligere end 6/18) som har kørekort. Da kravet i lovgivningen er mindst 6/12 på det bedste øje.

Er kommentaren brugbar? 0 0
John Nielsen  den 02-01-2011 kl. 10:35

@Tim:
Ja, kravet om fremvisning af legitimation i form af kørekort ved bestilling af NEM ID til svagtseende og ikke mindst blinde er da ret komisk. :-)

Bestil NemID til blinde. Medbrind kørekort.

Er kommentaren brugbar? 0 0
John Nielsen  den 04-01-2011 kl. 19:54

DanID beskyldes for at sminke Nem ID’s nedetider.

Ifølge Version2, som har fået agtindsigt i en såkaldt produktionsrapport, der blev sendt til IT- og Telestyrelsen, forsøgte DanID i første omgang ikke at medregne 105 minutter fra den 1. oktober, hvor omkring halvdelen af alle login-forsøg blev afvist, som nedetid.

Version2 er i besiddelse af to forskellige udgaver af produktionsrapporten for oktober.

DanID måttet betale en bod til IT- og Telestyrelsen for de måneder, hvor de ikke kunne leve op til kravet om en oppetid for Nem ID på 99,9%.

Se hele Version2's artikel her.

Er kommentaren brugbar? 0 0
Kristian Mølholt   den 05-01-2011 kl. 08:39

Brugerbetaling?

politiken.dk/.../ny-nemid-skal-koste-penge

Er kommentaren brugbar? 0 0
Simon Mørk Hermansen  den 07-01-2011 kl. 16:31

@Darjoe

Du kan via selvbetjening bestille ekstra nøglekort som du kan have liggende klar. Du kan faktisk bestille op til 10 af gangen. Du kan også ringe til kundeservice og få dem til det. Så er du sikker, hvis du bruger et nøglekort hurtigt.

Er kommentaren brugbar? 0 0
Vedikke  den 07-01-2011 kl. 23:02

"Du kan via selvbetjening bestille ekstra nøglekort som du kan have liggende klar. Du kan faktisk bestille op til 10 af gangen..."

hehe - klart - de vil jo gerne af med dem.

Vi kender alle typen "Vil du ha' et visitkort..? Vil du ha' et visitkort??" :)

EKSTRA? Jeg håber seriøst de har lavet et helt nyt system når (hvis) mine første koder er brugt.

Hvis man tænker over hvor meget tid og penge der sikkert et svedet af for at lave netop dén løsning... Nej okay - det skal man ikke.

Er kommentaren brugbar? 0 0
Andreas Linde  den 07-01-2011 kl. 23:10

Er det nemID du er imod? eller er det bureaukratiet omkring nemID og din bank du er imod?

Jeg kan nemlig godt forstå, at du ikke kan forstå at din bank ikke vil tro at det er dig (hold op en kludret sætning - sorry!), og sende de skide papirer. Men jeg kan ikke forstå kritikken af nemID som system. Det er da hundrede gange dejligere at have et fysisk nøglekort, end at have et på computeren. Personligt formaterer jeg min computer næsten hver måned, og det var så irriterende at spørge om en ny nøgle hver gang (man kunne ikke tage en back-up af den).

Er kommentaren brugbar? 0 0
Vedikke  den 08-01-2011 kl. 00:40

Hej Andreas.

Jeg er ikke helt klar over om det er "trådejeren" eller mig du spørger (da jeg jo lige havde skrevet indlæg) men for mit vedkommende er jeg imod:

- At skulle rende rundt med et papkort, ja

- At jeg ikke kan læse det uden briller (okay - ikke NemId's skyld men irriterer mig) ;)

- At jeg er tvunget til ikke selv at have valgt en kode jeg kan huske (også en knudret sætning, faktisk..)

- At jeg er tvunget til OGSÅ at bære resten af dyngen med kort i pungen - dette erstatter jo på ingen måde Dankort eller andet..

Kort sagt: det eneste POSITIVE jeg kan finde på er ideen med en mere svær kode end 4 cifre, samt at der er tale om forskellige kode hver gang.

Dette "plus" kunne have været implementeret på så mange andre GODE måder, som endda kunne lade sig gøre helt uden et kort!

F.eks. Paypal's udmærkede "hemmelige spørgsmål" x 10, som man kunne have oprettet fra sin pc i de gode gamle Digital Signatur-dage..

1. Hvad hed din yndlingslærer?

2. Hvad er din mors fødenavn?

3. Hvad er nædstsidste ciffer i dit personnummer?

Den slags spørgsmål, som så kunne "rotere"

Men okay okay - ved at fjerne enhver flig af "personlige data" er man ét skridt længere, sikkerhedsmæssigt.

I øvrigt : jo, man kunne godt oprette en ny DigitalSignatur på en pc, hvis man havde lavet (og gemt) det rigtige link :)

Også Netbank skulle efter sigende være til at backuppe sig ud af (det er så her jeg må indrømme offentligt at jeg først har fået netbank for ganske nylig .. hehe)

Mvh Chris

Er kommentaren brugbar? 0 0
John Nielsen  den 10-01-2011 kl. 00:35

@Andreas:

Jeg er såmænd ikke imod øget IT sikkerhed, når den virker solid, tillidsskabende og troværdig. Jeg har ikke noget imod IT sikkerhed, når den er velforberedt og veldokumenteret. Jeg er faktisk meget stor tilhænger af IT sikkerhed, når man tager flest mulige risici under overvejelse, og når IT sikkerheden virkeligt tages alvorligt.

Hvis DanID havde taget risikoen for phishing i forbindelse med NemID sådan rigtigt alvorligt, så ville de kunne lukke munden på mange kritikere på en relativ enkel måde.

Det er jo egentligt ikke for sent for DanID. De skal blot se at få taget hånd om årsagen til flere IT-fagfolks (og andres) bekymring.

Da det tidligere har vist sig, at det er skræmmende let for IT kriminelle at udøve phishing-angreb på store grupper af brugere med relativ stor succes, er det efter min mening meget vigtigt, at man får signaleret overfor brugerne, at man ikke kun overlader det til dette udskældte papkort at fastholde brugernes tiltro til sikkerheden i løsningen.

Skal brugerne føle sig mere sikre på NemID løsningen er det efter min mening meget vigtigt, at man:

  • åbent erkender, når hvis/der har været nedetid samt omfanget af den.
  • får løst udfordringen med de relativt mange brugere, som endnu ikke har modtaget deres NemID-kort.
  • uddanner personalet i banker og institutioner, hvis sikkerhedsløsning fremover skal bygge på NemID, bedre til at håndtere kundehenvendelser vedrørende spørgsmål om kortet.
  • pakker løsningen ind i tryghed. Brugernes følelse af tryghed i ved brug af kortet er vigtig.
  • etablerer en offentlig kendt side, som informerer om, hvordan man lettest gennemskuer et phishing-angreb.
    IT & Telestyrelsen har lavet en glimrende side, som man måske kan bruge som udgangspunkt.
  • arbejder målrettet på en NemID version 2 - en digital version af kodekortet, og at man melder åbent ud med et realistisk forventet tidspunkt for implementeringen.

Dette vil måske give den nødvendige tryghedsfølelse tilbage til brugerne og omvende nogle af kritikerne.

@Vedikke:

Jeg er ikke så vild med de "hemmelige spørgsmål", da de efter min mening ikke vil bidrage positivt i forhold til sikkerhed. Hvis man kender en person meget godt, vil man kunne besvare en del af disse "hemmelige spørgsmål" uden de store udfordringer. Min kone vil eksempelvis kunne svare på alle de tre spørgsmål, du nævner i forhold til mig. De foreslåede "hemmelige spørgsmål" vil, såfremt udformingen af dem overlades til brugerne, nærmest være et tilbageskridt i forhold til nuværende sikkerhedsløsning når det drejer sig om brugeres Netbank-løsning.

@Simon:

Jeg har prøvet bestilling af ekstra NemID kort. Jeg fik kun mulighed for at bestille op til 3 kort. Det bør alligevel række et stykke tid ved såkaldt almindelig brug.

@Kristian:

Brugerbetaling? Ja, måske. Men det vil der nok næppe være flertal for. Med et lovmæssigt påtvunget borger-kort som NemID vil det efter min vurdering ikke være muligt at påligne borgerne særskilt betaling for et NemID version 2.

Men det kan selvfølgelig være, at der for vore folkevalgte skimtes en ny metode til inddrivelse af en ny særskat. Jeg tvivler dog på det. :-)

At papkortet er mere sikkert end det gode gamle dankort, vil nogle måske betvivle.

Jeg har allerede set eksempler på, at nogen streger brugte koder ud, så de lettere og hurtigere kan finde frem til den næste kode. Lidt ligesom de gruvækkende "historier" man hører om dankort-indehavere, som har skrevet pinkoden på kortet, så de selv - eller ægtefællen - kan huske koden, når de står ved kassen i Netto og skal betale.

Det bliver spændende at se, i hvilken retning NemID-sagen vil udvikle sig.

Dbh. John

Er kommentaren brugbar? 0 0
Simon Mørk Hermansen  den 12-01-2011 kl. 12:43

@John Nielsen

Det kan være jeg husker forkert mht. selvbetjening så. Men hos NemIDs kundeservice kan du hvertfald få tilsendt 10 ekstra. Og ja, 3 stk burde også kunne holde i noget tid.

Er kommentaren brugbar? 0 0
Vedikke  den 12-01-2011 kl. 13:53

@ John Nielsen: "Jeg er ikke så vild med de "hemmelige spørgsmål", da de efter min mening ikke vil bidrage positivt i forhold til sikkerhed. Hvis man kender en person meget godt, vil man kunne besvare en del af disse "hemmelige spørgsmål" uden de store udfordringer. Min kone vil eksempelvis kunne svare på alle de tre spørgsmål, du nævner i forhold til mig"

Ja, det er sikkert rigtigt.

Jeg tror også hun endda kender din pin-kode til dit dankort?

Der er jo ikke noget forkert i at det skal være let-for-de-man-ønsker-det-skal-være-let-for (dagens mest snirklede sætning)?

Eksempel: konen vil gerne have du tanker på bilen. Du har ikke dit eget dankort med.

Hvad gør man så som regel?

Hun hvisker lige diskret koden (hvis du da ikke allerede kender den), og du kan være galant.

I fremtiden ryger pin-koden på Dankort helt sikkert også - set i forhold til NemID er den jo nu alt for nem at snyde med.

Til den tid rækker hun dig i stedet sit NemID-kort - du forsøger at finde en ud af de 130 koder og holder kortet op mod lyset -kortet bliver taget af vinden og flagrer rundt på stationen og derefter ind på nabogrunden (som ejes af "Biggest Pitbulls DK"..)

Jeg forstår godt at Nem-ID indeholder betydelig større sikkerhed, men for mig at se ville en mellemvej mellem dankort-kode og 130 Nem-ID dobbeltkoder være nok til de næste mange år.

Det er jo ikke hemmeligt HVILKEN af de 130 koder man skal bruge - de første cifre står jo altid i forvejen på nøglen og indikerer nøjagtig hvilke cifre trykt på kortet som skal parres med.

Nu er det bare blevet upersonligt, og man er tvunget til for evigt at bære sit "lille fine papkort" med sig.

Man kunne i øvrigt sagtens lave en svarkode som pendant til de nemme spørgsmål.

"Indtast kode 1" = 888844

"Indtast kode 2" = 448824 eller tilsvarende.

På den måde kunne man beholde det personlige (tilnærmelsesvis) og samtidig slippe for at have papkortet med.

Er kommentaren brugbar? 0 0
John Nielsen  den 14-01-2011 kl. 23:16

Finansrådet har netop udtalt, at det er de IT-kyndige, som er mest kritiske overfor NemID.

Dette kan måske skyldes IT-fagfolkenes reelle indsigt i IT sikkerhed?

Bankerne kan ifølge Computerworld ikke genkende den negative opfattelse af NemID.

Opfattelsen er her, at Tre millioner danskere per 3. januar 2011 har fået tilbudt NemID, og heraf har mere end 76 %  har sagt ja tak og aktiveret deres NemID.

Blandt kritikere opleves det dog ikke som om, man har "sagt ja tak".

Læs hele artiklen på Computerworld her.

Er kommentaren brugbar? 0 0
Hans Stokholm Kjer  den 14-01-2011 kl. 23:20

hehe - nej jeg mener egentlig også jeg har sagt: "nå... okay... hvis det ikke kan være anderledes... ja, for jeg vil da gerne beholde adgangen til min netbank..."

To gange endda - én gang for firmaet og én gang for mig selv.

mvh Hans

Er kommentaren brugbar? 0 0
Amaris Charvell  den 15-01-2011 kl. 00:16

Jeg er selv ganske irriteret over NEM ID. På trods af at jeg har den samme bank (Nordea) i både Danmark og Sverige, så er det alligevel to forskellige løsninger der bruges.

I DK er det NEM ID, i Sverige har jeg sådan en dims, der nærmest ligner en lille lommeregner, hvor jeg stikker mit kort i (den er bundet til ét bestemt kort, har ved en fejl haft kommet et af mine andre kort i og så virker den ikke) og trykker "log-in" på den. Så skal jeg taste en kode ind som hjemmesiden genererer, og derefter kortets pinkode, ind på den lille "lommeregner". Den genererer så igen en kode som jeg skal bruge for at logge ind på selve netbanken - sammen med brugernavn og password.

På trods af at det måske lyder omstændigt, så synes jeg personligt at det er meget nemmere. Den bliver ikke så let væk som mit NEM ID kodekort har tendens til, og der er heller ikke noget bøvl med at skulle have et nyt tilsendt når man har brugt alle koderne.

Om det er mere sikkert skal jeg ikke kunne sige, det har jeg simpelthen ikke forstand nok på emnet til at udtale mig om, ved blot at jeg klart foretrækker denne metode, og ville ønske at jeg kunne have den i min danske Nordea afdeling også.

Er kommentaren brugbar? 0 0
Mads  den 16-01-2011 kl. 16:54

Jeg kan ikke se hvorfor phishing skulle være en trussel. Det er muligt at lave en nøjagtig kopi af NemID's hjemmeside, ja - men denne side vil jo ikke kunne vide hvilke referencenumre der er på netop dit "papkort". Det er derfor ikke en reel phishingtrussel at man nemt kan lave kopier af de ægte sider.

For mig virker det rigtig godt - og jeg er yderst tilfreds.

Er kommentaren brugbar? 0 0
John Nielsen  den 16-01-2011 kl. 17:08

@Mads:

Phishing er i høj grad en trussel. Det har vi set masser af eksempler på.

Blandt andet, da PBS og Danske Bank blev udsat for forsøg på phishing svindel.

Danske Bank tager phishingtruslen alvorlig.

Det samme gør NETS (tidl. PBS), når det gælder phishing-mails.

Phishing er ikke kun truslen om at franarre brugere NemID brugernavn og adgangskode.

Hvis en side har held med at udgive sig for at være en officiel NemID side, vil risikoen være betydelig for at nogle besøgende på siden bliver narret til at indtaste deres CPR-nummer, deres dankort-oplysninger, kontonummer i banken eller andre personfølsomme oplysninger, fordi de bliver bedt om det.

Vi er som mennesker generelt meget autoritetstro. Så når NemID eller PBS, eller vores bank angiveligt beder os indtaste oplysninger, så vil en skræmmende stor procentdel af os gøre som vi bliver bedt om.

Måske ikke dig eller mig.. Men alle erfaringer siger, at nogle vil. Lige som de som sender millioner af spam-mails ud. Hvorfor gøre det, når INGEN køber de udbudte forlængere, blå piller eller ægte replika-ure?  Fordi nogen faktisk fristes og køber de udbudte varer.

Phishing er som sagt en virkelig trussel - også for NemID kunder - og måske specielt for NemID kunder, fordi udbyderne af NemID ikke tager phishing-truslen alvorlig.

Dbh. John

Er kommentaren brugbar? 0 0
Mads  den 16-01-2011 kl. 17:19

Havde slet ikke set sagen i et sådant aspekt. Du har nok ret i, at nogle vil skrive næsten hvad som helst - så længe at det er NETS eller lign. der beder om det. Men hvis alle vil tænke sig bare en lille smule om - og ikke oplyse noget der normalt ikke vil blive bedt om, ville der reelt ikke være nogen chance for phishing.

Er kommentaren brugbar? 0 0
John Nielsen  den 16-01-2011 kl. 18:04

@Amaris Charvell:

Min bank har også haft en slags lommeregner, som man kunne benytte i forbindelse med login. Men jeg tror de er på vej væk fra den til fordel for NemID.

Dbh. John

Er kommentaren brugbar? 0 0
John Nielsen  den 16-01-2011 kl. 18:58

@Hans:

"hehe - nej jeg mener egentlig også jeg har sagt: "nå... okay... hvis det ikke kan være anderledes... ja, for jeg vil da gerne beholde adgangen til min netbank..."

To gange endda - én gang for firmaet og én gang for mig selv.

mvh Hans"

Jeg har det personligt på præcis samme måde. :-)

Der er en "Skift aftale" knap i min netbank som gør, at jeg kun behøver ét NemID for at tilgå både det private og firmaets engagement i pengeinstituttet. Den feature er nu praktisk nok.

Dbh. John

Er kommentaren brugbar? 0 0
Karsten Krabbe  den 02-02-2011 kl. 13:05

Så vidt jeg kan se, er der ingen der er inde på det helt oplagte ved NemID: Alle fortrolige oplysninger opbevares centralt af staten. DVS. Staten kan uden videre få adgang til enhver borgers mest fortrolige oplysninger. I teorien skal staten dokumentere, at der kan være foregået noget kriminelt.

Praksis kan jo nemt være en helt anden! Hvor går grænsen for statens kontrol? Hverken KGB eller Stasi havde formentlig en sådan ubegrænset adgang til borgernes data.

Watergate-skandalen i USA burde være en stærk advarsel mod at give statsmyndigheder for meget magt.

Er kommentaren brugbar? 0 0
Traustason  den 08-02-2011 kl. 14:22

I lived in Stockholm for some time before Copenhagen and in Sweden you get a physical key-generator that is no larger than your normal keyring.  Every time you log onto your net-bank you get a number sent on your key-generator and then you just use that number as your password.  You get a new password everytime you log in.  It´s simple, it works and I never had any problems what so ever.

Sometimes I feel like I went back to the 80´s when I arrived in Copenhagen.  Nem-ID is the worst system I´ve come across anywhere !!!

Er kommentaren brugbar? 0 0
 

Tilføj en kommentar

 
Husk Mig

Få besked når der kommenteres (Log ind for at få tilsendt mail)
 

Læs også

[Den lille nørd-guide]: 6 supertips til at få... | 14 kommentarer
W - Webshopejerens begynderinstruks | 5 kommentarer
Mit levende CV | 7 kommentarer
Skal jeg starte en webshop? | 13 kommentarer
S - Sex med kunden | 13 kommentarer

Om denne blog


Få besked når John skriver


Se også...

IT-sikkerhed

IT-outsourcing

Strategisk og praktisk IT rådgivning

Nielco IT's webshop

Antivirus til computere

Online synlighed til virksomheder

Nielco IT på Twitter


John på Twitter

Hvis du vil have besked når John og ligesindede bloggere har lavet et nyt indlæg, så klik her:


Seneste kommentarer


Tags


Arkiv