From 5c3fbbce84233c7033d8a1446b431daceff3a00e Mon Sep 17 00:00:00 2001 From: Petter Reinholdtsen Date: Fri, 7 Dec 2012 10:26:27 +0000 Subject: [PATCH] Generated. --- blog/tags/bankid/bankid.rss | 298 ++++++++++++++++++ blog/tags/bankid/index.html | 592 ++++++++++++++++++++++++++++++++++++ 2 files changed, 890 insertions(+) create mode 100644 blog/tags/bankid/bankid.rss create mode 100644 blog/tags/bankid/index.html diff --git a/blog/tags/bankid/bankid.rss b/blog/tags/bankid/bankid.rss new file mode 100644 index 0000000000..7b32cd1700 --- /dev/null +++ b/blog/tags/bankid/bankid.rss @@ -0,0 +1,298 @@ + + + + Petter Reinholdtsen - Entries tagged bankid + Entries tagged bankid + http://people.skolelinux.org/pere/blog/ + + + + FAD tvinger igjennom BankID-tilgang til personsensitiv informasjon om meg + http://people.skolelinux.org/pere/blog/FAD_tvinger_igjennom_BankID_tilgang_til_personsensitiv_informasjon_om_meg.html + http://people.skolelinux.org/pere/blog/FAD_tvinger_igjennom_BankID_tilgang_til_personsensitiv_informasjon_om_meg.html + Wed, 21 Nov 2012 17:10:00 +0100 + <p>I dag fikk jeg svar fra fornyingsdepartementet på min +<a href="http://people.skolelinux.org/pere/blog/BankID_skal_ikke_gi_tilgang_til_min_personsensitive_informasjon.html">forespørsel +om å reservere meg mot at BankID</a> brukes til å få tilgang til +informasjon om meg via ID-porten. Like etter at svaret kom fikk jeg +beskjed om at min henvendelse har fått +<a href="http://www.oep.no/search/result.html?caseNumber=2012/3446&searchType=advanced&list2=94&caseSearch=true&sortField=doknr">saksnummer +12/3446 hos FAD</a>, som dessverre ikke har dukket opp i Offentlig +Elektronisk Postjournal ennå. Her er svaret jeg fikk:</p> + +<blockquote> +<p>Date: Wed, 21 Nov 2012 11:18:52 +0000 +<br>From: Hornnes Stig &lt;Stig.Hornnes (at) fad.dep.no&gt; +<br>To: Petter Reinholdtsen +<br>Subject: Reservasjon mot BankID</p> + +<p>Hei Petter,</p> + +<p>Du har sendt oss forespørsel om at din bruker blir reservert mot bruk +av BankID i ID-porten. Det er ikke lagt opp til at enkeltpersoner kan +reservere seg på denne måten.</p> + +<p>Tanken bak ID-porten er at innbyggerne skal kunne velge hvilken eID de +ønsker å bruke for å logge på offentlige tjenester. For å sikre +valgfriheten har vi inngått avtaler med BankID, Buypass og +Commfides. I tillegg har vi den offentlige MinID, men hvor utstedelse +skjer til adresse registrert i folkeregisteret, og derfor ikke er +egnet til tjenestene med det høyeste sikkerhetsbehovet.</p> + +<p>Sikkerhet er et viktig tema for oss. Alle leverandørene som er i +ID-porten i dag, inkl. BankID, har oppfylt både kravene som fremgår av +Kravspek PKI (pluss noen tilleggskrav fra Difi i anskaffelsen) og er +selvdeklarerte hos Post og Teletilsynet (PT) som har tilsynsansvar for +denne typen virksomheter. For BankID sin del ble det gjennomført +revisjon av løsningen i 2009, på bestilling fra PT etter en del +negative oppslag knyttet til nettopp sikkerheten i løsningen. Det +fremkom ingen alvorlige sikkerhetsproblemer i revisjonen.</p> + +<p>Når dette er sagt; Ingen løsninger er 100 prosent sikre, verken +papirbaserte systemer eller elektroniske. Eksempelvis vil misbruk av +identitetsbevis for å urettmessig skaffe seg en e-ID, alltid være en +risiko. Men det er en generell risiko for alle nivå 4-e-id-er vi har i +Norge per i dag. Det er kriminelt, men det er umulig å være ett +hundre prosent sikker på at det ikke kan skje. Vi har imidlertid fokus +på å redusere risikoen så mye som mulig, og skal jobbe videre sammen +med blant annet Justisdepartementet med ulike tiltak som vil bidra til +bedre grunnidentifisering av innbyggere.</p> + +<p>Mvh +<br>Stig Hornnes +<br>Rådgiver - FAD</p> +</blockquote> + +<p>Litt merkelig at de har glemt å legge opp til at enkeltpersoner kan +reservere seg på denne måten. FAD burde være klar over +problemstillingen med reservasjon, da jeg tok det opp med dem da de +presenterte MinID på en presentasjon de holdt på Gardermoen for noen +år siden. Det burde jo også være teknisk svært enkelt å få støtte for +slikt i en ID-portal. Her må det visst tyngre virkemidler til enn en +vennlig forespørsel om å reservere seg. Får tenke igjennom neste +steg.</p> + +<p>Du lurer kanskje på hva som er problemet med BankID? For å +forklare det, er det greit å gå et steg tilbake og beskrive offentlig +nøkkel-kryptering, eller +<a href="http://snl.no/asymmetrisk_kryptografi">asymmetrisk +kryptografi</a> som det også kalles. En fin beskrivelse +<a href="http://www.matematikk.org/artikkel.html?tid=63068">finnes på +matematikk.org</a>:</p> + +<blockquote> +Se for deg at person A har en hengelås og at han sender den til deg (i +åpen tilstand), men beholder nøkkelen. Du kan dermed låse inn en +hemmelighet ved hjelp av hengelåsen og sende den til A. Bare A kan +låse opp igjen, siden bare A har den riktige nøkkelen. +</blockquote> + +<p>Signering med asymmetrisk kryptering gjør at en kan vite at kun de +som har tilgang til nøkkelen har signert et gitt dokument. Mitt +problem med BankID er det er utformet slik at banken beholder nøkkelen +til hengelåsen og kontraktsmessig har lovet å kun bruke den når jeg +ber om det. Det er ikke godt nok for meg. Jeg forventer et system +der kun jeg har nøkkelen hvis det skal kunne brukes til å inngå +avtaler på mine vegne eller få tilgang til min personsensitive +informasjon. Jeg forventer at det velges en teknisk løsning der det +er tvingende nødvendig at jeg er involvert når det skal signeres noe +på mine vegne. BankID er ikke en slik.</p> + + + + + BankID skal ikke gi tilgang til min personsensitive informasjon + http://people.skolelinux.org/pere/blog/BankID_skal_ikke_gi_tilgang_til_min_personsensitive_informasjon.html + http://people.skolelinux.org/pere/blog/BankID_skal_ikke_gi_tilgang_til_min_personsensitive_informasjon.html + Fri, 16 Nov 2012 12:30:00 +0100 + <p>Onsdag i denne uka annonserte +<a href="http://www.fad.dep.no/">Fornyingsdepartementet</a> at de har +inngått kontrakt med BankID Norge om bruk av BankID for å la borgerne +logge inn på offentlige nettsider der en kan få tilgang til +personsensitiv informasjon. Jeg skrev i 2009 litt om +<a href="http://people.skolelinux.org/pere/blog/Jeg_vil_ikke_ha_BankID.html">hvorfor +jeg ikke vil ha BankID</a> &mdash; jeg stoler ikke nok på en bank til +å gi dem mulighet til å inngå avtaler på mine vegne. Jeg forlanger at +jeg skal være involvert når det skal inngås avtaler på mine vegne.</p> + +<p>Jeg har derfor valgt å bruke +<a href="http://www.skandibanken.no/">Skandiabanken</a> (det er flere +banker som ikke krever BankID, se +<a href="http://no.wikipedia.org/wiki/BankID">Wikipedia for en +liste</a>) på grunn av at de ikke tvinger sine kunder til å bruke +BankID. I motsetning til Postbanken, som løy til meg i 2009 da +kundestøtten der sa at det var blitt et krav fra Kreditttilsynet og +BBS om at norske banker måtte innføre BankID, har ikke Skandiabanken +forsøkt å tvinge meg til å ta i bruk BankID. Jeg fikk nylig endelig +spurt Finanstilsynet (de har byttet navn siden 2009), og fikk beskjed +fra Frank Robert Berg hos Finanstilsynet i epost 2012-09-17 at +Finanstilsynet ikke har fremsatt slike krav. Med andre ord snakket +ikke Postbankens kundestøtte sant i 2009.</p> + +<p>Når en i tillegg fra +<a href="http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html">oppslag +i Aftenposten</a> vet at de som jobber i alle bankene som bruker +BankID i dag, det være seg utro tjenere, eller de som lar seg lure av +falsk legitimasjon, kan lage og dele ut en BankID som gir tilgang til +mine kontoer og rett til å inngå avtaler på mine vegne, blir det +viktigere enn noen gang å få reservert seg mot BankID. Det holder +ikke å la være å bruke det selv. Jeg sendte derfor følgende +epost-brev til Fornyingsdepartementet i går:</p> + +<p><blockquote> +<p>Date: Thu, 15 Nov 2012 11:08:31 +0100 +<br>From: Petter Reinholdtsen &lt;pere (at) hungry.com&gt; +<br>To: postmottak (at) fad.dep.no +<br>Subject: Forespørsel om reservasjon mot bruk av BankID i ID-porten</p> + +<p>Jeg viser til nyheten om at staten har tildelt kontrakt for å +levere elektronisk ID for offentlige digitale tjenester til BankID +Norge, referert til blant annet i Digi[1] og i FADs +pressemelding[2].</p> + +<p>1) &lt;URL: <a href="http://www.digi.no/906093/staten-gaar-for-bankid">http://www.digi.no/906093/staten-gaar-for-bankid</a> &gt; +<br>2) &lt;URL: <a href="http://www.regjeringen.no/nb/dep/fad/pressesenter/pressemeldinger/2012/staten-inngar-avtale-med-bankid.html">http://www.regjeringen.no/nb/dep/fad/pressesenter/pressemeldinger/2012/staten-inngar-avtale-med-bankid.html</a> &gt;</p> + +<p>Gitt BankIDs utforming, der BankID-utsteder har både privat og +offentlig del av kundens nøkkel hos seg, er jeg ikke villig til å gi +tilgang til informasjon som hører til min min privatsfære ved hjelp av +innlogging med BankID.</p> + +<p>Jeg ber derfor herved om at løsningen settes opp slik at ingen kan +logge inn som meg på offentlige digitale tjenester ved hjelp av +BankID, det vil si at jeg reserverer meg mot enhver bruk av BankID for +å logge meg inn på slike tjenester som kan inneholde personsensitiv +informasjon om meg.</p> + +<p>Jeg har ikke BankID i dag, men som en kan se i oppslag i Aftenposten +2012-09-13[3] er det ikke til hindrer for at andre kan bruke BankID på +mine vegne for å få tilgang. Det sikkerhetsproblemet kommer i tillegg +til utformingsproblemet omtalt over, og forsterker bare mitt syn på at +BankID ikke er aktuelt for meg til noe annet enn å logge inn i en +nettbank der banken i større grad bærer risikoen ved misbruk.</p> + +<p>3) &lt;URL: <a href="http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html">http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html</a> &gt;</p> + +<p>Jeg ber om rask tilbakemelding med saksnummer for min henvendelse. +Jeg ber videre om bekreftelse på at BankID-innlogging er blokkert når +det gjelder tilgang til "min" informasjon hos det offentlige, i +forkant av BankID-integrasjon mot ID-porten som i følge +pressemeldingen skal komme på plass i løpet av et par uker.</p> + +<p>-- +<br>Vennlig hilsen +<br>Petter Reinholdtsen</p> +</blockquote> + +<p>Jeg venter spent på svaret. Jeg mistenker jeg må sende tilsvarende +beskjed til mine bankforbindelser for å sikre mine bankkontoer.</p> + +<p>Hvis det skal brukes offentlig nøkkel-teknologi til å inngå avtaler +på mine vegne og skaffe seg personsensitiv informasjon om meg, så er +mitt krav at det kun er jeg som har tilgang på min private nøkkel. +Alt annet blir å gi for mye tillit til andre. Med BankID sitter andre +på både "min" offentlige og private nøkkel.</p> + + + + + Jeg vil ikke ha BankID + http://people.skolelinux.org/pere/blog/Jeg_vil_ikke_ha_BankID.html + http://people.skolelinux.org/pere/blog/Jeg_vil_ikke_ha_BankID.html + Fri, 30 Oct 2009 13:05:00 +0100 + <p>Min hovedbankforbindelse, +<a href="http://www.postbanken.no/">Postbanken</a>, har fra 1. oktober +blokkert tilgangen min til nettbanken hvis jeg ikke godtar vilkårene +for <a href="https://www.bankid.no/">BankID</a> og går over til å +bruke BankID for tilgangskontroll. Tidligere kunne jeg bruke en +kodekalkulator som ga tilgang til nettbanken, men nå er dette ikke +lenger mulig. Jeg blokkeres ute fra nettbanken og mine egne penger +hvis jeg ikke godtar det jeg anser som urimelige vilkår i +BankID-avtalen.</p> + +<p>BankID er en løsning der banken gis rett til å handle på vegne av +meg, med avtalemessig forutsetning at jeg i hvert enkelt tilfelle har +bedt banken gjøre dette. BankID kan brukes til å signere avtaler, +oppta lån og andre handlinger som har alvorlige følger for meg. +Problemet slik jeg ser det er at BankID er lagt opp slik at banken har +all informasjon og tilgang som den trenger for å bruke BankID, også +uten at jeg er involvert. Avtalemessing og juridisk skal de kun bruke +min BankID når jeg har oppgitt pinkode og passord, men praktisk og +konkret kan de gjøre dette også uten at min pinkode eller mitt passord +er oppgitt, da de allerede har min pinkode og passord tilgjengelig hos +seg for å kunne sjekke at riktig pinkode og passord er oppgitt av meg +(eller kan skaffe seg det ved behov). Jeg ønsker ikke å gi banken +rett til å inngå avtaler på vegne av meg.</p> + +<p>Rent teknisk er BankID et offentlig nøkkelpar, en privat og en +offentlig nøkkel, der den private nøkkelen er nødvendig for å +"signere" på vegne av den nøkkelen gjelder for, og den offentlige +nøkkelen er nødvendig for å sjekke hvem som har signert. Banken +sitter på både den private og den offentlige nøkkelen, og sier de kun +skal bruke den private hvis kunden ber dem om det og oppgir pinkode og +passord.</p> + + +<p>I postbankens +<a href="https://www.postbanken.no//portalfront/nedlast/no/person/avtaler/BankID_avtale.pdf">vilkår +for BankID</a> står følgende:</p> + +<blockquote> + <p>"6. Anvendelsesområdet for BankID</p> + + <p>PersonBankID kan benyttes fra en datamaskin, eller etter nærmere + avtale fra en mobiltelefon/SIM-kort, for pålogging i nettbank og til + identifisering og signering i forbindelse med elektronisk + meldingsforsendelse, avtaleinngåelse og annen form for nettbasert + elektronisk kommunikasjon med Banken og andre brukersteder som har + tilrettelagt for bruk av BankID. Dette forutsetter at brukerstedet + har inngått avtale med bank om bruk av BankID."</p> +</blockquote> + +<p>Det er spesielt retten til "avtaleinngåelse" jeg synes er urimelig +å kreve for at jeg skal få tilgang til mine penger via nettbanken, men +også retten til å kommunisere på vegne av meg med andre brukersteder og +signering av meldinger synes jeg er problematisk. Jeg må godta at +banken skal kunne signere for meg på avtaler og annen kommunikasjon +for å få BankID.</p> + +<p>På spørsmål om hvordan jeg kan få tilgang til nettbank uten å gi +banken rett til å inngå avtaler på vegne av meg svarer Postbankens +kundestøtte at "Postbanken har valgt BankID for bl.a. pålogging i +nettbank , så her må du nok ha hele denne løsningen". Jeg nektes +altså tilgang til nettbanken inntil jeg godtar at Postbanken kan +signere avtaler på vegne av meg.</p> + +<p>Postbankens kundestøtte sier videre at "Det har blitt et krav til +alle norske banker om å innføre BankID, bl.a på grunn av +sikkerhet", uten at jeg her helt sikker på hvem som har framsatt +dette kravet. [Oppdatering: Postbankens kundestøtte sier kravet er +fastsatt av <a href="http://www.kredittilsynet.no/">kreditttilsynet</a> +og <a href="http://www.bbs.no/">BBS</a>.] Det som er situasjonen er +dog at det er svært få banker igjen som ikke bruker BankID, og jeg +vet ikke hvilken bank som er et godt alternativ for meg som ikke vil +gi banken rett til å signere avtaler på mine vegne.</p> + +<p>Jeg ønsker mulighet til å reservere meg mot at min BankID brukes +til annet enn å identifisere meg overfor nettbanken før jeg vil ta i +bruk BankID. Ved nettbankbruk er det begrenset hvor store skader som +kan oppstå ved misbruk, mens avtaleinngåelse ikke har tilsvarende +begrensing.</p> + +<p>Jeg har klaget vilkårene inn for <a +href="http://www.forbrukerombudet.no/">forbrukerombudet</a>, men +regner ikke med at de vil kunne bidra til en rask løsning som gir meg +nettbankkontroll over egne midler. :( + +<p>Oppdatering 2012-09-13: Aftenposten melder i dag at det er +<a href="http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html">sikkerhetsproblem +med BankID</a> som gjør at ens bankkonto kan tappes helt uten at en +har delt passord og pinkode med noen. Dette illustrerer veldig bra +mitt poeng om at banken kan operere på kontoen (og signere avtaler +etc) helt uten at jeg er involvert. Jeg takker derfor fortsatt nei +til BankID-modellen.</p> + + + + + diff --git a/blog/tags/bankid/index.html b/blog/tags/bankid/index.html new file mode 100644 index 0000000000..07e9492af2 --- /dev/null +++ b/blog/tags/bankid/index.html @@ -0,0 +1,592 @@ + + + + + Petter Reinholdtsen: Entries Tagged bankid + + + + + +
+

+ Petter Reinholdtsen + +

+ +
+ + +

Entries tagged "bankid".

+ +
+ +
+ 21st November 2012 +
+
+

I dag fikk jeg svar fra fornyingsdepartementet på min +forespørsel +om å reservere meg mot at BankID brukes til å få tilgang til +informasjon om meg via ID-porten. Like etter at svaret kom fikk jeg +beskjed om at min henvendelse har fått +saksnummer +12/3446 hos FAD, som dessverre ikke har dukket opp i Offentlig +Elektronisk Postjournal ennå. Her er svaret jeg fikk:

+ +
+

Date: Wed, 21 Nov 2012 11:18:52 +0000 +
From: Hornnes Stig <Stig.Hornnes (at) fad.dep.no> +
To: Petter Reinholdtsen +
Subject: Reservasjon mot BankID

+ +

Hei Petter,

+ +

Du har sendt oss forespørsel om at din bruker blir reservert mot bruk +av BankID i ID-porten. Det er ikke lagt opp til at enkeltpersoner kan +reservere seg på denne måten.

+ +

Tanken bak ID-porten er at innbyggerne skal kunne velge hvilken eID de +ønsker å bruke for å logge på offentlige tjenester. For å sikre +valgfriheten har vi inngått avtaler med BankID, Buypass og +Commfides. I tillegg har vi den offentlige MinID, men hvor utstedelse +skjer til adresse registrert i folkeregisteret, og derfor ikke er +egnet til tjenestene med det høyeste sikkerhetsbehovet.

+ +

Sikkerhet er et viktig tema for oss. Alle leverandørene som er i +ID-porten i dag, inkl. BankID, har oppfylt både kravene som fremgår av +Kravspek PKI (pluss noen tilleggskrav fra Difi i anskaffelsen) og er +selvdeklarerte hos Post og Teletilsynet (PT) som har tilsynsansvar for +denne typen virksomheter. For BankID sin del ble det gjennomført +revisjon av løsningen i 2009, på bestilling fra PT etter en del +negative oppslag knyttet til nettopp sikkerheten i løsningen. Det +fremkom ingen alvorlige sikkerhetsproblemer i revisjonen.

+ +

Når dette er sagt; Ingen løsninger er 100 prosent sikre, verken +papirbaserte systemer eller elektroniske. Eksempelvis vil misbruk av +identitetsbevis for å urettmessig skaffe seg en e-ID, alltid være en +risiko. Men det er en generell risiko for alle nivå 4-e-id-er vi har i +Norge per i dag. Det er kriminelt, men det er umulig å være ett +hundre prosent sikker på at det ikke kan skje. Vi har imidlertid fokus +på å redusere risikoen så mye som mulig, og skal jobbe videre sammen +med blant annet Justisdepartementet med ulike tiltak som vil bidra til +bedre grunnidentifisering av innbyggere.

+ +

Mvh +
Stig Hornnes +
RÃ¥dgiver - FAD

+
+ +

Litt merkelig at de har glemt å legge opp til at enkeltpersoner kan +reservere seg på denne måten. FAD burde være klar over +problemstillingen med reservasjon, da jeg tok det opp med dem da de +presenterte MinID på en presentasjon de holdt på Gardermoen for noen +år siden. Det burde jo også være teknisk svært enkelt å få støtte for +slikt i en ID-portal. Her må det visst tyngre virkemidler til enn en +vennlig forespørsel om å reservere seg. Får tenke igjennom neste +steg.

+ +

Du lurer kanskje på hva som er problemet med BankID? For å +forklare det, er det greit å gå et steg tilbake og beskrive offentlig +nøkkel-kryptering, eller +asymmetrisk +kryptografi som det også kalles. En fin beskrivelse +finnes på +matematikk.org:

+ +
+Se for deg at person A har en hengelås og at han sender den til deg (i +åpen tilstand), men beholder nøkkelen. Du kan dermed låse inn en +hemmelighet ved hjelp av hengelåsen og sende den til A. Bare A kan +låse opp igjen, siden bare A har den riktige nøkkelen. +
+ +

Signering med asymmetrisk kryptering gjør at en kan vite at kun de +som har tilgang til nøkkelen har signert et gitt dokument. Mitt +problem med BankID er det er utformet slik at banken beholder nøkkelen +til hengelåsen og kontraktsmessig har lovet å kun bruke den når jeg +ber om det. Det er ikke godt nok for meg. Jeg forventer et system +der kun jeg har nøkkelen hvis det skal kunne brukes til å inngå +avtaler på mine vegne eller få tilgang til min personsensitive +informasjon. Jeg forventer at det velges en teknisk løsning der det +er tvingende nødvendig at jeg er involvert når det skal signeres noe +på mine vegne. BankID er ikke en slik.

+ +
+
+ + + Tags: bankid, norsk, personvern, sikkerhet. + + +
+
+
+ +
+ +
+ 16th November 2012 +
+
+

Onsdag i denne uka annonserte +Fornyingsdepartementet at de har +inngÃ¥tt kontrakt med BankID Norge om bruk av BankID for Ã¥ la borgerne +logge inn pÃ¥ offentlige nettsider der en kan fÃ¥ tilgang til +personsensitiv informasjon. Jeg skrev i 2009 litt om +hvorfor +jeg ikke vil ha BankID — jeg stoler ikke nok pÃ¥ en bank til +Ã¥ gi dem mulighet til Ã¥ inngÃ¥ avtaler pÃ¥ mine vegne. Jeg forlanger at +jeg skal være involvert nÃ¥r det skal inngÃ¥s avtaler pÃ¥ mine vegne.

+ +

Jeg har derfor valgt å bruke +Skandiabanken (det er flere +banker som ikke krever BankID, se +Wikipedia for en +liste) på grunn av at de ikke tvinger sine kunder til å bruke +BankID. I motsetning til Postbanken, som løy til meg i 2009 da +kundestøtten der sa at det var blitt et krav fra Kreditttilsynet og +BBS om at norske banker måtte innføre BankID, har ikke Skandiabanken +forsøkt å tvinge meg til å ta i bruk BankID. Jeg fikk nylig endelig +spurt Finanstilsynet (de har byttet navn siden 2009), og fikk beskjed +fra Frank Robert Berg hos Finanstilsynet i epost 2012-09-17 at +Finanstilsynet ikke har fremsatt slike krav. Med andre ord snakket +ikke Postbankens kundestøtte sant i 2009.

+ +

Når en i tillegg fra +oppslag +i Aftenposten vet at de som jobber i alle bankene som bruker +BankID i dag, det være seg utro tjenere, eller de som lar seg lure av +falsk legitimasjon, kan lage og dele ut en BankID som gir tilgang til +mine kontoer og rett til å inngå avtaler på mine vegne, blir det +viktigere enn noen gang å få reservert seg mot BankID. Det holder +ikke å la være å bruke det selv. Jeg sendte derfor følgende +epost-brev til Fornyingsdepartementet i går:

+ +

+

Date: Thu, 15 Nov 2012 11:08:31 +0100 +
From: Petter Reinholdtsen <pere (at) hungry.com> +
To: postmottak (at) fad.dep.no +
Subject: Forespørsel om reservasjon mot bruk av BankID i ID-porten

+ +

Jeg viser til nyheten om at staten har tildelt kontrakt for å +levere elektronisk ID for offentlige digitale tjenester til BankID +Norge, referert til blant annet i Digi[1] og i FADs +pressemelding[2].

+ +

1) <URL: http://www.digi.no/906093/staten-gaar-for-bankid > +
2) <URL: http://www.regjeringen.no/nb/dep/fad/pressesenter/pressemeldinger/2012/staten-inngar-avtale-med-bankid.html >

+ +

Gitt BankIDs utforming, der BankID-utsteder har både privat og +offentlig del av kundens nøkkel hos seg, er jeg ikke villig til å gi +tilgang til informasjon som hører til min min privatsfære ved hjelp av +innlogging med BankID.

+ +

Jeg ber derfor herved om at løsningen settes opp slik at ingen kan +logge inn som meg på offentlige digitale tjenester ved hjelp av +BankID, det vil si at jeg reserverer meg mot enhver bruk av BankID for +å logge meg inn på slike tjenester som kan inneholde personsensitiv +informasjon om meg.

+ +

Jeg har ikke BankID i dag, men som en kan se i oppslag i Aftenposten +2012-09-13[3] er det ikke til hindrer for at andre kan bruke BankID på +mine vegne for å få tilgang. Det sikkerhetsproblemet kommer i tillegg +til utformingsproblemet omtalt over, og forsterker bare mitt syn på at +BankID ikke er aktuelt for meg til noe annet enn å logge inn i en +nettbank der banken i større grad bærer risikoen ved misbruk.

+ +

3) <URL: http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html >

+ +

Jeg ber om rask tilbakemelding med saksnummer for min henvendelse. +Jeg ber videre om bekreftelse på at BankID-innlogging er blokkert når +det gjelder tilgang til "min" informasjon hos det offentlige, i +forkant av BankID-integrasjon mot ID-porten som i følge +pressemeldingen skal komme på plass i løpet av et par uker.

+ +

-- +
Vennlig hilsen +
Petter Reinholdtsen

+
+ +

Jeg venter spent på svaret. Jeg mistenker jeg må sende tilsvarende +beskjed til mine bankforbindelser for å sikre mine bankkontoer.

+ +

Hvis det skal brukes offentlig nøkkel-teknologi til å inngå avtaler +på mine vegne og skaffe seg personsensitiv informasjon om meg, så er +mitt krav at det kun er jeg som har tilgang på min private nøkkel. +Alt annet blir å gi for mye tillit til andre. Med BankID sitter andre +på både "min" offentlige og private nøkkel.

+ +
+
+ + + Tags: bankid, norsk, personvern, sikkerhet. + + +
+
+
+ +
+ +
+ 30th October 2009 +
+
+

Min hovedbankforbindelse, +Postbanken, har fra 1. oktober +blokkert tilgangen min til nettbanken hvis jeg ikke godtar vilkårene +for BankID og går over til å +bruke BankID for tilgangskontroll. Tidligere kunne jeg bruke en +kodekalkulator som ga tilgang til nettbanken, men nå er dette ikke +lenger mulig. Jeg blokkeres ute fra nettbanken og mine egne penger +hvis jeg ikke godtar det jeg anser som urimelige vilkår i +BankID-avtalen.

+ +

BankID er en løsning der banken gis rett til å handle på vegne av +meg, med avtalemessig forutsetning at jeg i hvert enkelt tilfelle har +bedt banken gjøre dette. BankID kan brukes til å signere avtaler, +oppta lån og andre handlinger som har alvorlige følger for meg. +Problemet slik jeg ser det er at BankID er lagt opp slik at banken har +all informasjon og tilgang som den trenger for å bruke BankID, også +uten at jeg er involvert. Avtalemessing og juridisk skal de kun bruke +min BankID når jeg har oppgitt pinkode og passord, men praktisk og +konkret kan de gjøre dette også uten at min pinkode eller mitt passord +er oppgitt, da de allerede har min pinkode og passord tilgjengelig hos +seg for å kunne sjekke at riktig pinkode og passord er oppgitt av meg +(eller kan skaffe seg det ved behov). Jeg ønsker ikke å gi banken +rett til å inngå avtaler på vegne av meg.

+ +

Rent teknisk er BankID et offentlig nøkkelpar, en privat og en +offentlig nøkkel, der den private nøkkelen er nødvendig for å +"signere" på vegne av den nøkkelen gjelder for, og den offentlige +nøkkelen er nødvendig for å sjekke hvem som har signert. Banken +sitter på både den private og den offentlige nøkkelen, og sier de kun +skal bruke den private hvis kunden ber dem om det og oppgir pinkode og +passord.

+ + +

I postbankens +vilkår +for BankID står følgende:

+ +
+

"6. Anvendelsesområdet for BankID

+ +

PersonBankID kan benyttes fra en datamaskin, eller etter nærmere + avtale fra en mobiltelefon/SIM-kort, for pålogging i nettbank og til + identifisering og signering i forbindelse med elektronisk + meldingsforsendelse, avtaleinngåelse og annen form for nettbasert + elektronisk kommunikasjon med Banken og andre brukersteder som har + tilrettelagt for bruk av BankID. Dette forutsetter at brukerstedet + har inngått avtale med bank om bruk av BankID."

+
+ +

Det er spesielt retten til "avtaleinngåelse" jeg synes er urimelig +å kreve for at jeg skal få tilgang til mine penger via nettbanken, men +også retten til å kommunisere på vegne av meg med andre brukersteder og +signering av meldinger synes jeg er problematisk. Jeg må godta at +banken skal kunne signere for meg på avtaler og annen kommunikasjon +for å få BankID.

+ +

På spørsmål om hvordan jeg kan få tilgang til nettbank uten å gi +banken rett til å inngå avtaler på vegne av meg svarer Postbankens +kundestøtte at "Postbanken har valgt BankID for bl.a. pålogging i +nettbank , så her må du nok ha hele denne løsningen". Jeg nektes +altså tilgang til nettbanken inntil jeg godtar at Postbanken kan +signere avtaler på vegne av meg.

+ +

Postbankens kundestøtte sier videre at "Det har blitt et krav til +alle norske banker om å innføre BankID, bl.a på grunn av +sikkerhet", uten at jeg her helt sikker på hvem som har framsatt +dette kravet. [Oppdatering: Postbankens kundestøtte sier kravet er +fastsatt av kreditttilsynet +og BBS.] Det som er situasjonen er +dog at det er svært få banker igjen som ikke bruker BankID, og jeg +vet ikke hvilken bank som er et godt alternativ for meg som ikke vil +gi banken rett til å signere avtaler på mine vegne.

+ +

Jeg ønsker mulighet til å reservere meg mot at min BankID brukes +til annet enn å identifisere meg overfor nettbanken før jeg vil ta i +bruk BankID. Ved nettbankbruk er det begrenset hvor store skader som +kan oppstå ved misbruk, mens avtaleinngåelse ikke har tilsvarende +begrensing.

+ +

Jeg har klaget vilkårene inn for forbrukerombudet, men +regner ikke med at de vil kunne bidra til en rask løsning som gir meg +nettbankkontroll over egne midler. :( + +

Oppdatering 2012-09-13: Aftenposten melder i dag at det er +sikkerhetsproblem +med BankID som gjør at ens bankkonto kan tappes helt uten at en +har delt passord og pinkode med noen. Dette illustrerer veldig bra +mitt poeng om at banken kan operere på kontoen (og signere avtaler +etc) helt uten at jeg er involvert. Jeg takker derfor fortsatt nei +til BankID-modellen.

+ +
+
+ + + Tags: bankid, norsk, personvern, sikkerhet. + + +
+
+
+ +

RSS Feed

+ +

+ Created by Chronicle v4.4 +

+ + + -- 2.47.2