blog/data/2012-11-21-bankid.txt

   1 Title: FAD tvinger igjennom BankID-tilgang til personsensitiv informasjon om meg
   2 Tags: norsk, personvern, sikkerhet, bankid
   3 Date: 2012-11-21 17:10
   4
   5 <p>I dag fikk jeg svar fra fornyingsdepartementet på min
   6 <a href="http://people.skolelinux.org/pere/blog/BankID_skal_ikke_gi_tilgang_til_min_personsensitive_informasjon.html">forespørsel
   7 om å reservere meg mot at BankID</a> brukes til å få tilgang til
   8 informasjon om meg via ID-porten.  Like etter at svaret kom fikk jeg
   9 beskjed om at min henvendelse har fått
  10 <a href="http://www.oep.no/search/result.html?caseNumber=2012/3446&searchType=advanced&list2=94&caseSearch=true&sortField=doknr">saksnummer
  11 12/3446 hos FAD</a>, som dessverre ikke har dukket opp i Offentlig
  12 Elektronisk Postjournal ennå.  Her er svaret jeg fikk:</p>
  13
  14 <blockquote>
  15 <p>Date: Wed, 21 Nov 2012 11:18:52 +0000
  16 <br>From: Hornnes Stig &lt;Stig.Hornnes (at) fad.dep.no&gt;
  17 <br>To: Petter Reinholdtsen
  18 <br>Subject: Reservasjon mot BankID</p>
  19
  20 <p>Hei Petter,</p>
  21
  22 <p>Du har sendt oss forespørsel om at din bruker blir reservert mot bruk
  23 av BankID i ID-porten. Det er ikke lagt opp til at enkeltpersoner kan
  24 reservere seg på denne måten.</p>
  25
  26 <p>Tanken bak ID-porten er at innbyggerne skal kunne velge hvilken eID de
  27 ønsker å bruke for å logge på offentlige tjenester. For å sikre
  28 valgfriheten har vi inngått avtaler med BankID, Buypass og
  29 Commfides. I tillegg har vi den offentlige MinID, men hvor utstedelse
  30 skjer til adresse registrert i folkeregisteret, og derfor ikke er
  31 egnet til tjenestene med det høyeste sikkerhetsbehovet.</p>
  32
  33 <p>Sikkerhet er et viktig tema for oss. Alle leverandørene som er i
  34 ID-porten i dag, inkl. BankID, har oppfylt både kravene som fremgår av
  35 Kravspek PKI (pluss noen tilleggskrav fra Difi i anskaffelsen) og er
  36 selvdeklarerte hos Post og Teletilsynet (PT) som har tilsynsansvar for
  37 denne typen virksomheter. For BankID sin del ble det gjennomført
  38 revisjon av løsningen i 2009, på bestilling fra PT etter en del
  39 negative oppslag knyttet til nettopp sikkerheten i løsningen. Det
  40 fremkom ingen alvorlige sikkerhetsproblemer i revisjonen.</p>
  41
  42 <p>Når dette er sagt; Ingen løsninger er 100 prosent sikre, verken
  43 papirbaserte systemer eller elektroniske. Eksempelvis vil misbruk av
  44 identitetsbevis for å urettmessig skaffe seg en e-ID, alltid være en
  45 risiko. Men det er en generell risiko for alle nivå 4-e-id-er vi har i
  46 Norge per i dag.  Det er kriminelt, men det er umulig å være ett
  47 hundre prosent sikker på at det ikke kan skje. Vi har imidlertid fokus
  48 på å redusere risikoen så mye som mulig, og skal jobbe videre sammen
  49 med blant annet Justisdepartementet med ulike tiltak som vil bidra til
  50 bedre grunnidentifisering av innbyggere.</p>
  51
  52 <p>Mvh
  53 <br>Stig Hornnes
  54 <br>Rådgiver - FAD</p>
  55 </blockquote>
  56
  57 <p>Litt merkelig at de har glemt å legge opp til at enkeltpersoner kan
  58 reservere seg på denne måten.  FAD burde være klar over
  59 problemstillingen med reservasjon, da jeg tok det opp med dem da de
  60 presenterte MinID på en presentasjon de holdt på Gardermoen for noen
  61 år siden.  Det burde jo også være teknisk svært enkelt å få støtte for
  62 slikt i en ID-portal.  Her må det visst tyngre virkemidler til enn en
  63 vennlig forespørsel om å reservere seg.  Får tenke igjennom neste
  64 steg.</p>
  65
  66 <p>Du lurer kanskje på hva som er problemet med BankID?  For å
  67 forklare det, er det greit å gå et steg tilbake og beskrive offentlig
  68 nøkkel-kryptering, eller
  69 <a href="http://snl.no/asymmetrisk_kryptografi">asymmetrisk
  70 kryptografi</a> som det også kalles.  En fin beskrivelse
  71 <a href="http://www.matematikk.org/artikkel.html?tid=63068">finnes på
  72 matematikk.org</a>:</p>
  73
  74 <blockquote>
  75 Se for deg at person A har en hengelås og at han sender den til deg (i
  76 åpen tilstand), men beholder nøkkelen. Du kan dermed låse inn en
  77 hemmelighet ved hjelp av hengelåsen og sende den til A. Bare A kan
  78 låse opp igjen, siden bare A har den riktige nøkkelen.
  79 </blockquote>
  80
  81 <p>Signering med asymmetrisk kryptering gjør at en kan vite at kun de
  82 som har tilgang til nøkkelen har signert et gitt dokument.  Mitt
  83 problem med BankID er det er utformet slik at banken beholder nøkkelen
  84 til hengelåsen og kontraktsmessig har lovet å kun bruke den når jeg
  85 ber om det.  Det er ikke godt nok for meg.  Jeg forventer et system
  86 der kun jeg har nøkkelen hvis det skal kunne brukes til å inngå
  87 avtaler på mine vegne eller få tilgang til min personsensitive
  88 informasjon.  Jeg forventer at det velges en teknisk løsning der det
  89 er tvingende nødvendig at jeg er involvert når det skal signeres noe
  90 på mine vegne.  BankID er ikke en slik.</p>