X-Git-Url: http://pere.pagekite.me/gitweb/homepage.git/blobdiff_plain/41e7fc839addf7476d10e20bc748fcbd893985fa..d564a85a57492e3f06c65fdaa5e12b99c6971f3f:/blog/index.html diff --git a/blog/index.html b/blog/index.html index 8e54614205..469180f51f 100644 --- a/blog/index.html +++ b/blog/index.html @@ -19,6 +19,111 @@ +
+
Lenker for 2013-01-01
+
1st January 2013
+

Her er noen lenker til tekster jeg har satt pris på å lese den +siste måneden.

+ +
+
+ + + Tags: bankid, lenker, norsk, opphavsrett, personvern. + + +
+
+
+
A Christmas present for Skolelinux / Debian Edu
28th December 2012
@@ -551,106 +656,6 @@ mange år nå.

-
-
FAD tvinger igjennom BankID-tilgang til personsensitiv informasjon om meg
-
21st November 2012
-

I dag fikk jeg svar fra fornyingsdepartementet på min -forespørsel -om å reservere meg mot at BankID brukes til å få tilgang til -informasjon om meg via ID-porten. Like etter at svaret kom fikk jeg -beskjed om at min henvendelse har fått -saksnummer -12/3446 hos FAD, som dessverre ikke har dukket opp i Offentlig -Elektronisk Postjournal ennå. Her er svaret jeg fikk:

- -
-

Date: Wed, 21 Nov 2012 11:18:52 +0000 -
From: Hornnes Stig <Stig.Hornnes (at) fad.dep.no> -
To: Petter Reinholdtsen -
Subject: Reservasjon mot BankID

- -

Hei Petter,

- -

Du har sendt oss forespørsel om at din bruker blir reservert mot bruk -av BankID i ID-porten. Det er ikke lagt opp til at enkeltpersoner kan -reservere seg på denne måten.

- -

Tanken bak ID-porten er at innbyggerne skal kunne velge hvilken eID de -ønsker å bruke for å logge på offentlige tjenester. For å sikre -valgfriheten har vi inngått avtaler med BankID, Buypass og -Commfides. I tillegg har vi den offentlige MinID, men hvor utstedelse -skjer til adresse registrert i folkeregisteret, og derfor ikke er -egnet til tjenestene med det høyeste sikkerhetsbehovet.

- -

Sikkerhet er et viktig tema for oss. Alle leverandørene som er i -ID-porten i dag, inkl. BankID, har oppfylt både kravene som fremgår av -Kravspek PKI (pluss noen tilleggskrav fra Difi i anskaffelsen) og er -selvdeklarerte hos Post og Teletilsynet (PT) som har tilsynsansvar for -denne typen virksomheter. For BankID sin del ble det gjennomført -revisjon av løsningen i 2009, på bestilling fra PT etter en del -negative oppslag knyttet til nettopp sikkerheten i løsningen. Det -fremkom ingen alvorlige sikkerhetsproblemer i revisjonen.

- -

Når dette er sagt; Ingen løsninger er 100 prosent sikre, verken -papirbaserte systemer eller elektroniske. Eksempelvis vil misbruk av -identitetsbevis for å urettmessig skaffe seg en e-ID, alltid være en -risiko. Men det er en generell risiko for alle nivå 4-e-id-er vi har i -Norge per i dag. Det er kriminelt, men det er umulig å være ett -hundre prosent sikker på at det ikke kan skje. Vi har imidlertid fokus -på å redusere risikoen så mye som mulig, og skal jobbe videre sammen -med blant annet Justisdepartementet med ulike tiltak som vil bidra til -bedre grunnidentifisering av innbyggere.

- -

Mvh -
Stig Hornnes -
RÃ¥dgiver - FAD

-
- -

Litt merkelig at de har glemt å legge opp til at enkeltpersoner kan -reservere seg på denne måten. FAD burde være klar over -problemstillingen med reservasjon, da jeg tok det opp med dem da de -presenterte MinID på en presentasjon de holdt på Gardermoen for noen -år siden. Det burde jo også være teknisk svært enkelt å få støtte for -slikt i en ID-portal. Her må det visst tyngre virkemidler til enn en -vennlig forespørsel om å reservere seg. Får tenke igjennom neste -steg.

- -

Du lurer kanskje på hva som er problemet med BankID? For å -forklare det, er det greit å gå et steg tilbake og beskrive offentlig -nøkkel-kryptering, eller -asymmetrisk -kryptografi som det også kalles. En fin beskrivelse -finnes på -matematikk.org:

- -
-Se for deg at person A har en hengelås og at han sender den til deg (i -åpen tilstand), men beholder nøkkelen. Du kan dermed låse inn en -hemmelighet ved hjelp av hengelåsen og sende den til A. Bare A kan -låse opp igjen, siden bare A har den riktige nøkkelen. -
- -

Signering med asymmetrisk kryptering gjør at en kan vite at kun de -som har tilgang til nøkkelen har signert et gitt dokument. Mitt -problem med BankID er det er utformet slik at banken beholder nøkkelen -til hengelåsen og kontraktsmessig har lovet å kun bruke den når jeg -ber om det. Det er ikke godt nok for meg. Jeg forventer et system -der kun jeg har nøkkelen hvis det skal kunne brukes til å inngå -avtaler på mine vegne eller få tilgang til min personsensitive -informasjon. Jeg forventer at det velges en teknisk løsning der det -er tvingende nødvendig at jeg er involvert når det skal signeres noe -på mine vegne. BankID er ikke en slik.

-
-
- - - Tags: bankid, norsk, personvern, sikkerhet. - - -
-
-
-

RSS feed