DanID giver svar på sikkerheds-kritik

NemID er blevet kritiseret for dårlig sikkerhed på en række områder. Her giver DanID sin version af sikkerheden i danskernes nye digitale adgangssystem.

Bølgerne har de seneste døgn slået hårdt ind over sikkerheden i NemID, der i løbet af de kommende måneder rulles ud som adgangssystem til tre millioner danskere.

Løsningen fra PBS-datterselskabet DanID er blandt andet blevet beskyldt for sikkerhedsbrister i forbindelse med anvendelse af java-appletter.

En kritik, som blandt andet er blevet afvist af en professor i it-sikkerhed.

Her giver PBS's pressechef Søren Winge svar på kritikernes ankepunkter.

Er det muligt for en myndighed, at snage i den enkelte NemID-brugers personlige forhold?

"Det er på ingen måde muligt for en tjenesteudbyder at anvende NemID-appletten til at tilgå personlig data på brugerens computer.

NemID-appletten fra DanID anvendes til entydigt at identificere en bruger over for en bestemt tjenesteudbyder. Det kan være en bank, en offentlig myndighed eller en privat tjenesteudbyder.
NemID-appletten hentes ned til brugerens computer direkte fra DanID uden om tjenesteudbyderen. Dialogen mellem NemID-appletten på brugerens computer og DanID's centrale server, der etablerer brugerens identitet, er krypteret og sikret efter alle kunstens regler."

Kan tjenesteudbydere, der er koblet på systemet, gå baglæns i transmissionen og aflure brugeren?

"Nej, tjenesteudbyderen modtager kun den signerede login-besked og har ikke nogen transmission at gå tilbage i."

Når brugeren besøger en tjenesteudbyder, har ikke alene denne tjenesteudbyder, men alle tjenesteudbydere, der er tilsluttet NemID, så fuld adgang til brugerens computer?

"NemID-appletten kræver læse- og skriveadgang til brugerens harddisk af hensyn til caching. For at et Java-program afviklet i en browser kan få sådan en adgang, skal programmet være signeret med en digital signatur, og brugeren skal acceptere, at programmet får denne adgang.

Det er kun NemID-appletten, der har læse- og skriveadgang, og denne adgang stilles ikke til rådighed for nogen tjenesteudbyder. NemID-appletten læser på intet tidspunkt personlige filer fra brugerens computer."

Har en tjenesteudbyder adgang til oplysninger, som brugeren har liggende hos andre tjenesteudbydere?

"En tjenesteudbyder tilsluttet NemID har ingen adgang til de oplysninger, der er registreret hos DanID eller hos andre tjenesteudbydere.

En tjenesteudbyder-adgang strækker sig til, at man ved login kan sørge for, at NemID-appletten bliver startet hos brugeren og efterfølgende få et svar tilbage, der er signeret med brugerens digitale signatur og som kan anvendes til at etablere brugerens identitet.

Efterfølgende laver tjenesteudbyderen et opslag hos DanID, der checker, om brugerens certifikat er gyldigt. Derudover har tjenesteudbyderen ikke andre adgange til oplysninger."

Kan en Java-ekspert lave en applet, der kan sættes i gang uden brug af en engangskode?

"Hvis nogen laver deres egen applet, vil den ikke være signeret af DanID, og den vil ikke kunne komme i kontakt med DanID's centrale systemer. Det er kun via DanID's centrale systemer, at brugeren kan generere en gyldig signatur eller signere et dokument."


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
JN Data A/S
Driver og udvikler it-systemer for finanssektoren.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Fremtidens it-ressourcer – sådan tiltrækker og fastholder I de bedste medarbejdere.

Danmark kommer til at mangle 19.000 it-specialister frem mod 2030 – og det kommer til at hæmme de danske virksomheders forretningsevne. På konferencen vil du få inspiration til og konkret viden om, hvordan du får fat i og fastholder de bedste it-profiler i et marked med høj efterspørgsel og relativt få ansøgere.

22. november 2018 | Læs mere


Roundtable: Muligheder og gevinster med RPA

RPA - robot proces automation - er for alvor på vej frem i mange organisationer: Der er meget store muligheder for de fleste organisationer i software-robotter, der er relativt nemme at opsætte.

22. november 2018 | Læs mere


CRM: Bedre og mere effektiv kundehåndtering i en digital tidsalder

Hør om implementering, processer og forandringsledelse - og få et indblik i helt konkrete løsninger, værktøjer og lær hvordan du får effektiviseret den interne administration og løftet kundeoplevelsen

27. november 2018 | Læs mere






Premium
Dansk universitet lukker it-uddannelse efter krav om færre udenlandske studerende: “Det er i høj grad et tilbageskridt”
Aalborg Universitet har meddelt at man lukker i alt syv uddannelser, herunder en it-uddannelse hvor undervisningen idag foregår på engelsk. “Det er i høj grad et tilbageskridt,” lyder det fra IT-Branchen til Computerworld.
Computerworld
Yousee varsler prisstigninger på op til 36 procent - skal være med til at finansiere fiber-udrulning
Yousee varsler prisstigninger på både tv-pakker og bredbånd. Pengene skal blandt andet være med til finansiere fiber-investeringer.
CIO
Forleden reparerede en mekaniker min bil: Det kostede 4.200 kroner, som min hjerne snød mig til at betale med et smil
De rationelle it-beslutninger du træffer er måske en illusion. Det lærte jeg da min bil gik i stykker og min hjerne snød mig til at tro, at alt var fint. Til gengæld fandt jeg tre fælder dine it-beslutninger kan falde i.
Job & Karriere
Manden bag Stack Overflow til softwareudviklere og folk i it-branchen: Disse ting skal du lære, hvis du vil undgå at blive tromlet totalt
Interview: Manden bag Stack Overflow og Trello har en opsang til folk i it-branchen. Her er de kompetencer, som du bare skal tilegne dig nu.
White paper
Mobility - her er de aktuelle udfordringer
Hvad med sikkerheden? Mobility-bølgen fejer igennem danske virksomheder, og der er masser af muligheder og faldgruber. Sikkerheden halter, men det kan der gøres noget ved. Produceret af Computerworld.dk i oktober 2014.