NemID er åbenbart fuld af sikkerhedshuller

Lundsby:

Martin T:

Hvordan skulle det faktum at den applet koere med fuld access paa brugerens computer give en hvilken som helst  virksomhed som modtager nemid login, mulighed for at laese kundens andre nemid transactions*?

Når applet kører med fuld-access, så betyder det at den har adgang til hele computeren og kan alt! Lidt ligesom når man kører en almindelig executable.

Ja det ved jeg godt, men det betyder jo bare at den koere med samme rettigheder som browseren. Hvorfor er det et problem? Amino har jo ikke adgang til min computer selvom de kan sende data til min browser, saa hvorfor skulle en virksomhed kunne faa adgang til min computer fordi de kan sende data til en applet paa min computer?

Det er jo kun hvis de kan sende kode til min applet, som denne applet saa koerer at der er et problem og det sker jo ikke.

Martin T:

Ja det ved jeg godt, men det betyder jo bare at den koere med samme rettigheder som browseren. Hvorfor er det et problem? Amino har jo ikke adgang til min computer selvom de kan sende data til min browser, saa hvorfor skulle en virksomhed kunne faa adgang til min computer fordi de kan sende data til en applet paa min computer?

Nope, på en PC betyder det at den kører med samme rettigheder som dig, ligesom et almindeligt program gør. Når man "truster" en applet, så fungerer den stortset som et almindeligt program. Det er vigtigt at forstå, at den væsentlige forskel ligger ikke om applet kræver at man "truster" eller ej.

Eiler:

og i tide og utide skulle bestille nye af disse

Du får automatisk tilsendt et nyt nøglekort, når det nuværende er ved at løbe tør for nøgler.

Fairtime:

Eiler:

og i tide og utide skulle bestille nye af disse

Du får automatisk tilsendt et nyt nøglekort, når det nuværende er ved at løbe tør for nøgler.

Ok, det er ikke hvad jeg har kunne læse mig til. Det er jo kun godt! Ellers, se mit svar lige ovenfor, for alternativ. 

Lundsby:

Martin T:

Ja det ved jeg godt, men det betyder jo bare at den koere med samme rettigheder som browseren. Hvorfor er det et problem? Amino har jo ikke adgang til min computer selvom de kan sende data til min browser, saa hvorfor skulle en virksomhed kunne faa adgang til min computer fordi de kan sende data til en applet paa min computer?

Nope, på en PC betyder det at den kører med samme rettigheder som dig, ligesom et almindeligt program gør. Når man "truster" en applet, så fungerer den stortset som et almindeligt program. Det er vigtigt at forstå, at den væsentlige forskel ligger ikke om applet kræver at man "truster" eller ej.

Men hvorfor er det et sikkerheds problem? Alt mit software koere jo som mig, saa hvorfor er den Applet vaere end min browser og mit andet software?

Eiler:

Danske Bank har et ganske udmærket system, som faktisk fungerer på samme måde. Men i stedet for en lap papir, så har de et Active Card (som de kalder det) - en lille "lommeregner"-agtig ting, lidt mindre end et kreditkort. Den fungerer på samme måde som kode-papirerne - du åbner den med en pinkode - taster den kode ind, som netbanken giver dig - og spytter den engangskode ud, som du skal bruge til at logge på. Dette er så kombineret med unikt brugernavn og (stærkt) kodeord. Samme princip, ingen papirlapper!

Så du vil erstatte en Papir-lap, med en lille "lommeregner" med samme funktion, og det mener du er en smartere løsning? Der tilhører jeg nok skolen, der synes at simplere er bedre!

Lundsby:

Eiler:

Jeg ser bare nogle risici når man samler det hele på den måde - så mange kritiske og personfølsomme data på ét sted. Så jeg håber og forventer da, at de har styr på tingene! 

Muligvis ikke - og så længe de nødvendige procedurer (uafhængig kode-review, sikkerhedscheck mv) bliver overholdt, er det muligvis den bedste løsning. Jeg ser imidlertid stadig en fare i at have alle nøgler for alle danskere samlet ét sted. Dette værende sagt uden, at jeg kan stille et bedre alternativ. 

Jeg kan heller ikke lige komme på en bedre løsning, så det virker i mine øjne ikke så dumt det de har lavet.

Du kan godt se hvor vi er endt ikke, du kom først med et dommedagsprofeti om at det måtte gå galt før eller siden, men nu viser det sig at det er en ganske fornuftig løsning, de har fået strikket sammen. Måske skulle vi antage at dem der står bag ikke er 100% idioter :-)

Martin T:

Men hvorfor er det et sikkerheds problem? Alt mit software koere jo som mig, saa hvorfor er den Applet vaere end min browser og mit andet software?

Præcist, prøv at læs mit første indlæg, det er nemlig det der er min pointe.