Hjemmeudviklet NemID-klient får syngende nej: Trues med ‘nødvendige juridiske tiltag’
version2.dk/artikel/hjemmeudviklet-nemid-klie...
version2.dkPosted Mar 13, 2014, 6:28 PM UTC
7542
version2.dkKan vi få noget Streisand effekt på dette?
16
Det afhænger vel af Christian, men mon ikke han, eller en bekendt af ham er en flink fyr og deler med os andre så hans tid ikke er spildt. :-)
5
Ellers kan det være at jeg går i gang med min egen.
3
Jo jo, jeg gad bare ikke grave igennem en gang .class bare for at finde et par service requests. For det går jeg ud fra at det må være. Egentlig underligt at man ikke må lave sine egne clients - jeg kunne forstå hvis det faktisk ødelagde sikkerheden, men jeg kan ikke se hvordan...
2
"Et par service requests" er højst sandsynlig noget af en oversimplificering.
1
“uautoriseret indtrængen i NemID's sikkerhedsinfrastruktur”
Her bliver det lidt mere gråt, især når han ikke vil/må dele kildekoden til sit projekt. Det lyder som om det let kunne være en værre juridisk suppe.
That said, så synes jeg det er en skam at de er så lukkede overfor input.
8
Her bliver det lidt mere gråt, især når han ikke vil/må dele kildekoden til sit projekt. Det lyder som om det let kunne være en værre juridisk suppe.
Det burde være rimeligt klart, at det ikke burde være noget problem at dele koden til hans NemID klient.
Det er ikke anderledes end at logge ind på Reddit via en af de mange uofficielle klienter der findes derude er “uautoriseret indtrængen i Reddit's sikkerhedsinfrastruktur”.
Jeg er ikke jurist og ved godt at Reddit er amerikansk og sammenligningen sikkert ikke holder helt fra et juridisk synspunkt, men rent teknisk er der IMO ikke nogen forskel. En stor forskel er dog, at Reddits API er åbent og dokumenteret, hvilket gør at der er en større sandsynlighed for at sikkerhedsproblemer bliver opdaget og rettet.
Jeg forstår dog udemærket godt at han ikke vil tage den seje kamp det utvivlsomt ville være hvis han frigav koden. Det tyder meget på at NemID tror det giver ekstra sikkerhed at forsøge at skjule hvad deres kode laver, for så at true med bål og brænd når nogen finder ud af det. Når en datalogistuderende kan finde ud af det på nogle lange vinteraftener, viser det naturligvis, at så kunne nogle mindre venligstillet også gøre det.
Så hvis det er et sikkerhedsmæssigt problem at der findes alternative løsninger på klientsiden, så burde man blive meget bekymret (hvis man ikke allerede er det) overfor DanIDs evner indenfor IT sikkerhed.
En alternativ forklaring kunne dog være, at de har fået monopol på at lave et fælles login system til alle danskere og derfor vil gøre det så svært for muligt for potentielle konkurrenter at komme til.
Det er under alle omstændigheder meget problematisk og stor respekt til Christian for hans arbejde. Der er måske et spinkelt håb for at det kunne få nogle politikere til at vågne op.
17
... Det kunne jo være koden, eller en anden, lignende men anonym kode pludselig blev delt på http og p2p services... Og at folk pludselig begyndte at bruge denne som alternativ alligevel
3
Heh. Det ville man faktisk kunne. Det kan være så simpelt som en lille bookmarklet du trykker på, som erstatter applet'en med lidt HTML5 og JavaScript.
1
Hmm. Jeg er ikke helt med. Jeg er overbevist om at sourcen ville kunne deles - er her ikke tale om en source i js? Hvorfor skulle HTML inddrages, er det til at wrappe koden i en brugerflade? Det kan være jeg mangler noget af historien...
1
Du skal bare have noget HTML for at lave selve input elementerne og for at vise engangs koden, altså selve brugergrænsefladen. Det kobler du så bare op med det javascript han har lavet, done.
Jeg regner med han har knækket nødden til hvordan man kommunikerer med DanID serverne.
1
Tjah - eller bare en js shell, interpreter eller engine/framework. HTML har ikke strengt nøvnendigt noget med løsningen at gøre. Se evt. her. Han kunne sågar lave en browser extension, der ligner det med bookmarkletten du snakker om, som kører det påkrævede js (inklusiv input boxes og det hele) når man trykker på en knap i browserens ui.
0
Hvorfor er det overhovedet det skal være hemmeligt? Hvis der er fejl i nem-id er det da stadig bedre at det bliver opdaget hurtigt end at det først bliver opdaget når en eller anden hacker laver det samme nummer som Christian Loiborg, bare med en mindre god hensigt.
Jeg kan forstå at det på ingen måde er til Nem-ID's fordel at alternative klienter begynder at poppe frem. Ingen kan garantere at Loiborg ikke har lavet fejl eller deciderede bagindgange i sin implementering af systemet, men jeg kan ikke forstå deres reaktion. LadLoiborg have sit projekt, men anbefal stærkt at folk ikke benytter det!
2
Hvorfor er det overhovedet det skal være hemmeligt? Hvis der er fejl i nem-id er det da stadig bedre at det bliver opdaget hurtigt end at det først bliver opdaget når en eller anden hacker laver det samme nummer som Christian Loiborg, bare med en mindre god hensigt.
Jeg kan forstå at det på ingen måde er til Nem-ID's fordel at alternative klienter begynder at poppe frem.
Jeg tror det er en kombination af begge de ting du nævner.
Hvis man kan overbevise nogen mindre it-kyndige om at kompleksitet og hemmelighed er mere sikkert og at det er en sikkerhedsmæssig fordel at andre ikke kan implentere det, så kan man gøre at det sværere for andre konkurrenter at komme til. Det er naturligvis en stor fordel for Nets.
Det gør det naturligvis ikke mere sikkert, men det kan jo også være det ikke er meningen.
En mindre konspirationsteoretisk forklaring kunne dog også være at de blot er inkompetente.
3
Som vælgere burde vi kræve at alt software, der udvikles til at drive den offentlige infrastruktur bliver gjort open source.
Det her gøglershow holder ikke i længden. Jo mere kompliceret software bliver, jo mere et problem bliver det.
2
Håber at hans kode bliver lækket snart.
1
Juridisk tiltag? Typiskt svindlerfirma løsning.
1
Æh, hvad regnede han med?
Forestil dig en nogenlunde tilsvarende henvendelse til det lokale vandværk:
"Jeg har bemærket et lavt vandtryk i det område jeg bor i. Jeg ved at i har modtaget klager, og allerede har planer om at installere en trykforøger. Jeg ved også at sagen har kørt et stykke tid, da i ikke har tid til at installere den.
Jeg foreslår derfor at i installere denne trykforøger midlertidigt, mens vi venter på at i installerer den rigtige. Jeg har selv designet og bygget den. Jeg er ret stolt, da det et noget i åbenbart har svært ved."
Jaja, det er ikke helt det samme. Men jeg synes det lyder næsten lige så skørt.
0†
Nej, det lokale vandværk ville ikke true ham fra at dele designet af hans trykforøger.
13
Jeg sagde ikke at det er det samme. Jeg kaldte de ikke engang en analogi.
Tvært imod sagde jeg direkte at det ikke er det samme.
EDIT - Jeg prøver med et andet svar: Den del forholdte jeg mig ikke til i mit eksempel, kun det at komme med noget hjemmelavet biks.
-3
Hvad var pointen med din post så...
3
At vise hvor fjollet det er at komme med noget hjemmelavet biks til en stor proffesionel organisation, og tro at det er noget fantastisk man er kommet med.
-2
Du kaldte det "nogenlunde tilsvarene".
2
Grunden til det lyder skørt er, at din analogi ikke holder.
At installere en trykforøger i et vandrør ødelægger potentielt vandforsyningen hvis den ikke virker. Hvis Christians NemID klient ikke virker, vil den der bruger den, ikke kunne få adgang til til NemID.
Det bør på ingen måde kunne skade hverken andre brugere eller NemID. Hvis det kan det, er der tale om ekstremt mangel på forståelse for basal IT sikkerhed fra DanIDs side.
9
Grunden til det lyder skørt er, at din analogi ikke holder.
Jeg sagde ikke at det var en analogi, kun at det var næsten lige så skørt.
At installere en trykforøger i et vandrør ødelægger potentielt vandforsyningen hvis den ikke virker. Hvis Christians NemID klient ikke virker, vil den der bruger den, ikke kunne få adgang til til NemID.
...HVIS klienten kun bruges af ham selv. Hvis den bliver brugt af borgerne generelt (det var vel formålet med hans henvendelse), så er det jo Nemid der ikke virker. Folk er ligeglade med om det er klienten eller serveren der fejler.
Det bør på ingen måde kunne skade hverken andre brugere eller NemID.
Det er korrekt. Men er pointen ikke at folk skal bruge det? Hvad nytter det så en den ikke ødelægger noget teknisk for dem der ikke bruger det?
Lagde du ikke mærke til mediedækningen da Java-klienten ikke virkede pga en Java opdatering? Det er da lige så stort et problem hvis man bruger denne klient i stedet, og den så ikke virker.
-4
Jeg sagde ikke at det var en analogi, kun at det var næsten lige så skørt.
OK, men så har jeg svært ved at se relevansen. Der er så mange ting der er skøre, men der er vel ikke nogen grund til at nævne det hvis det ikke har relevans for diskussionen.
...HVIS klienten kun bruges af ham selv. Hvis den bliver brugt af borgerne generelt (det var vel formålet med hans henvendelse), så er det jo Nemid der ikke virker. Folk er ligeglade med om det er klienten eller serveren der fejler.
Formålet med hans henvendelse var at høre om han måtte forsøge at bruge sin klient mod DanIDs officielle servere. Det eneste fornuftige svar på en sådan henvendelse ville være: "Naturligvis, det kan vi ikke forhindre dig i".
Naturligvis må han ikke misbruge Nets' varemærke så det skal være tydeligt at hans klient ikke er en officiel klient, men det er altså ikke anderledes end de mange uoficielle klienter der er til eksempelvis Reddit.
...HVIS klienten kun bruges af ham selv. Hvis den bliver brugt af borgerne generelt (det var vel formålet med hans henvendelse), så er det jo Nemid der ikke virker. Folk er ligeglade med om det er klienten eller serveren der fejler.
Der er utvivlsomt også nogen der henvender sig til Reddit når en uofficiel klient crasher på deres smartphone. Sådan er det nu engang. Det er ikke unormalt at serviceudbydere kan sige: "Vi supporterer officielt klient Foo på platform Bar". Det er ikke anderledes end i dag.
Det er korrekt. Men er pointen ikke at folk skal bruge det? Hvad nytter det så en den ikke ødelægger noget teknisk for dem der ikke bruger det?
Der findes tonsvis af software der falder ind under kategorien "virker ikke". Det kan man så prøve at undgå at bruge.
Der er også nogle der foretrækker noget software frem for noget andet. Det er kun godt med valgfrihed. Der er utvivlsomt mange der er vant til at bruge Windows der vil mene at OSX "ikke virker". Hvad er så formålet med OSX?
Lagde du ikke mærke til mediedækningen da Java-klienten ikke virkede pga en Java opdatering? Det er da lige så stort et problem hvis man bruger denne klient i stedet, og den så ikke virker.
Hvis den klient Christian har lavet ikke virker, er det et problem for dem der bruger den og ikke DanID.
Problemet i forbindelse med Java opdateringen var, at DanID havde valgt at bruge ikke officielle API kald i Oracles implementation af Java. Det viser om noget hvor vigtigt det er med åbne standarder.
Hvis Reddit havde implementeret deres hjemmeside så den kun virkede i en specific browser, ville de have samme problem hvis der kom en opdatering til den browser de havde valgt at understøtte, der gjorde at Reddit ikke længere virkede.
Heldigvis ved de fleste kompetente programmører at det er ekstremt dumt at binde sin kode op imod en specifik implementation. Man skal kode op i mod standarder.
DanID fik velfortjent kritik da deres klytkode ikke virkede når Oracle fjernede funktionalitet fra Java der var "depricated". Hele farcen viste om noget hvor kritisk det er, at vi får afskaffet DanIDs monopol på login løsninger og baserer det på ægte, åbne standarder i stedet. Det er naturligvis ikke i DanIDs interesse, hvilket er årsagen til at det ikke sker.
2
Det eneste fornuftige svar på en sådan henvendelse ville være: "Naturligvis, det kan vi ikke forhindre dig i".
Det er ikke et argument, så jeg vil ikke forsøge at modargumentere. Det er DIN holdning, og jeg er ikke enig.
Der er utvivlsomt også nogen der henvender sig til Reddit når en uofficiel klient crasher på deres smartphone.
Reddit er noget HELT andet. Fx. har jeg ikke det store problem med at indtaste mit reddit-kodeord i en 3. parts klient, men jeg vil have meget imod at bruge NemID gennem en klient fra "én der siger han hedder Christian".
En anden forskel er at det ikke er brugeren der vælger en klient i NemID. Man kunne godt designe det anderledes, men det har man ikke gjort. Formentlig for at holde det simpelt (du ved - "nemt"), dels fordi det giver noget ekstra sikkerhed at have kontrol med klienten. Det er ikke rygraden i sikkerheden, men det hjælper.
Der findes tonsvis af software der falder ind under kategorien "virker ikke". Det kan man så prøve at undgå at bruge.
Det er jo også det Nets gør her, ved at afvise software fra en ukendt hobbyist.
Der er også nogle der foretrækker noget software frem for noget andet.
Det ville da også passe mig personligt fint at have nogle flere valg her. Men jeg kan godt se hvorfor det ikke er en god ide praksis lige i dette tilfælde, i hvert fald som verden ser ud lige nu.
Hvis den klient Christian har lavet ikke virker, er det et problem for dem der bruger den og ikke DanID.
Som systemet er nu, kommer klienten fra DanID og INGEN andre. Hvis Christians klient skal bruges, foregår det ved at DanID tager den til sig. Gør de det, bliver det som erstatning for Java-klienten. Dvs. "dem der bruger den" er "ca alle". Og dem får problemer bliver retteligt sure på DanID, som har ansvaret for at det virker.
1
[deleted]
1
Dit eksempel har ikke med at javascript både er mere sikkert og tilgængeligt end java.
0†
Det er da overhovedet ikke en garanti, at hans klient er sikker nok, uanset om den er lavet i Java eller JavaScript.
7
Næh, det har du ret i, men det kunne jo være en god start. Det havde i hvertfald været mere konstruktivt hvis de i det mindste havde kigget lidt på hans klient og vurderet om den indeholdt noget brugbart, fremfor at gå i juridisk angrebsmodus. Måske kunne man endda have overvejet at give manden et arbejde i javascript-NemID-arbejdsgruppen - oplæring behøver han jo ikke så meget af.
Det virker i det hele taget ret ulogisk. Mon ikke de bare har totalt misforstået hans intentioner? Bliver interessant at se deres videre reaktion.
1
Det er korrekt at der hverken er Javascript eller Java med. I stedet har jeg trykforøger og ingen trykforøger.
At der er tale om et lokalt vandværk i stedet for en sikkerhedløsning til hele den danske finanssektor OG det offentlige, betyder at vandværkseksemplet er noget mindre skørt for mig.
2
Men du har ingen idé om hvad du snakker om...?
Christian har siddet og skrevet noget kode som fungerer bedre, mere sikkert og mere tilgængeligt end det der findes. Han er villig til at dele sin viden med virksomheden som har monopol på servicen, uden at der trues med at videregive den viden han har, og det han bliver mødt med er trusler om bøder og fængselstraf?
For at bruge din analogi, har Christian tegnet et vandværk som leverer renere og billigere vand, med mulighed for at opskalere, hvor hans eneste krav er at de ser på hans opfindelse. Og han bliver mødt med trusler om bøder og fængselstraf?
11
Men du har ingen idé om hvad du snakker om...?
Jo.
Christian har siddet og skrevet noget kode som fungerer bedre, mere sikkert og mere tilgængeligt end det der findes.
Det er en påstand. Er Nets forpligtet til at verificere den?
Han er villig til at dele sin viden med virksomheden som har monopol på servicen,
Hvad er det for en viden du tror han har, som Nets ikke har?
For at bruge din analogi, har Christian tegnet et vandværk som leverer renere og billigere vand, med mulighed for at opskalere, hvor hans eneste krav er at de ser på hans opfindelse.
Igen, det er blot en påstand. Hvis et firma som Nets skal bruge et produkt som en Nemid klient, som i sin natur skal egenudviklets (herunder evt. outsourcet), synes du så selv det lyder særligt realistisk at en eller anden i sin fritid har brygget noget brugbart sammen?
I bedste fald kan det formentlig bruges som noget proof of koncept. Noget de allerede har. Med information om deres protokol kan sådan noget brygges sammen på en dag.
Og han bliver mødt med trusler om bøder og fængselstraf?
Han piller ved en sikkerhedsløsning til ... ja du ved vel hvor meget og hvor vigtigt. Det er de nødt til. Man kan diskutere om sproget kunne have været mere høfligt, men det gider JEG ikke.
-2
How dare you fix our problems free of charge.