Petter Reinholdtsen

Her er noen lenker til tekster jeg har satt pris på å lese den siste måneden.

• 2012-12-07 Myter og FUD om fri programvare av min venn Christer Gundersen som kommenterer noen av de påstandene som er spredt via Computerworld Norge de siste månedene.
• BankID er et opplegg der utsteder (dvs. banken eller dens leverandør) sitter på alt som trengs for å bruke BankID, men har lovet å ikke bruke den unntatt på oppdrag fra deg. Det er greit nok for banktjenester, der banken allerede har full kontroll over resultatet, men problematisk når det gjelder tilgang til helseopplysninger og avtaleinngåelse med andre enn banken. Jeg håper protestene brer om seg.
  • 2012-12-11 BankID blottlegger helseopplysninger
  • 2012-12-07 - Helseopplysningene ikke sikre med Bank-ID
  • 2012-12-07 Påpeker alvorlige, men kjente utfordringer er den offisielle holdningen til de som lager BankID.
  • 2012-12-08 NTNU Researcher Warns against Security of Bank ID Password
• 2012-12-11 Norske elever er dårligst i Europa på algebra
• 2012-12-11 Realfagsdødaren
• 2012-12-21 - Noen må bli skuffet - Politiet i Bergen forteller hvor lavt de prioriterer hverdagskriminalitet.
• 2012-05-03 Kripos-ansatt dømt for snoking for venn - viser hvor svak reaksjonen blir når politiet misbruker innsamlet informasjon. En forvarsel på konsekvensene av nasjonal brev- og besøkskontroll - ofte kalt Datalagringsdirektivet.
• 2012-12-14 Å smøre en forskjell - om ensomhet og jul.
• 2012-12-18 Én krise av gangen, takk!
• 2012-12-17 NAV: Et mangehodet monster
• 2011-01-12 Pasienter uten vern - forteller litt om hvordan Norsk Pasientregister og andre helseregister raderer bort pasienters privatsfære.
• 2012-12-19 Hvorfor er barnefamilier fattige?
• 2012-12-25 Den skjulte minoriteten – konservative kristne i Norge - kronikk av Bjørn Stærk fra aftenposten
• 2009-05-04 Folkebiblioteket 2.0 - Min venn Sturle om opphavsrett og Internett, i debatt med Olav Torvund.

Og et godt nytt år til dere alle!

I dag fikk jeg svar fra fornyingsdepartementet på min forespørsel om å reservere meg mot at BankID brukes til å få tilgang til informasjon om meg via ID-porten. Like etter at svaret kom fikk jeg beskjed om at min henvendelse har fått saksnummer 12/3446 hos FAD, som dessverre ikke har dukket opp i Offentlig Elektronisk Postjournal ennå. Her er svaret jeg fikk:

Date: Wed, 21 Nov 2012 11:18:52 +0000
From: Hornnes Stig <Stig.Hornnes (at) fad.dep.no>
To: Petter Reinholdtsen
Subject: Reservasjon mot BankID

Hei Petter,

Du har sendt oss forespørsel om at din bruker blir reservert mot bruk av BankID i ID-porten. Det er ikke lagt opp til at enkeltpersoner kan reservere seg på denne måten.

Tanken bak ID-porten er at innbyggerne skal kunne velge hvilken eID de ønsker å bruke for å logge på offentlige tjenester. For å sikre valgfriheten har vi inngått avtaler med BankID, Buypass og Commfides. I tillegg har vi den offentlige MinID, men hvor utstedelse skjer til adresse registrert i folkeregisteret, og derfor ikke er egnet til tjenestene med det høyeste sikkerhetsbehovet.

Sikkerhet er et viktig tema for oss. Alle leverandørene som er i ID-porten i dag, inkl. BankID, har oppfylt både kravene som fremgår av Kravspek PKI (pluss noen tilleggskrav fra Difi i anskaffelsen) og er selvdeklarerte hos Post og Teletilsynet (PT) som har tilsynsansvar for denne typen virksomheter. For BankID sin del ble det gjennomført revisjon av løsningen i 2009, på bestilling fra PT etter en del negative oppslag knyttet til nettopp sikkerheten i løsningen. Det fremkom ingen alvorlige sikkerhetsproblemer i revisjonen.

Når dette er sagt; Ingen løsninger er 100 prosent sikre, verken papirbaserte systemer eller elektroniske. Eksempelvis vil misbruk av identitetsbevis for å urettmessig skaffe seg en e-ID, alltid være en risiko. Men det er en generell risiko for alle nivå 4-e-id-er vi har i Norge per i dag. Det er kriminelt, men det er umulig å være ett hundre prosent sikker på at det ikke kan skje. Vi har imidlertid fokus på å redusere risikoen så mye som mulig, og skal jobbe videre sammen med blant annet Justisdepartementet med ulike tiltak som vil bidra til bedre grunnidentifisering av innbyggere.

Mvh
Stig Hornnes
Rådgiver - FAD

Litt merkelig at de har glemt å legge opp til at enkeltpersoner kan reservere seg på denne måten. FAD burde være klar over problemstillingen med reservasjon, da jeg tok det opp med dem da de presenterte MinID på en presentasjon de holdt på Gardermoen for noen år siden. Det burde jo også være teknisk svært enkelt å få støtte for slikt i en ID-portal. Her må det visst tyngre virkemidler til enn en vennlig forespørsel om å reservere seg. Får tenke igjennom neste steg.

Du lurer kanskje på hva som er problemet med BankID? For å forklare det, er det greit å gå et steg tilbake og beskrive offentlig nøkkel-kryptering, eller asymmetrisk kryptografi som det også kalles. En fin beskrivelse finnes på matematikk.org:

Se for deg at person A har en hengelås og at han sender den til deg (i åpen tilstand), men beholder nøkkelen. Du kan dermed låse inn en hemmelighet ved hjelp av hengelåsen og sende den til A. Bare A kan låse opp igjen, siden bare A har den riktige nøkkelen.

Signering med asymmetrisk kryptering gjør at en kan vite at kun de som har tilgang til nøkkelen har signert et gitt dokument. Mitt problem med BankID er det er utformet slik at banken beholder nøkkelen til hengelåsen og kontraktsmessig har lovet å kun bruke den når jeg ber om det. Det er ikke godt nok for meg. Jeg forventer et system der kun jeg har nøkkelen hvis det skal kunne brukes til å inngå avtaler på mine vegne eller få tilgang til min personsensitive informasjon. Jeg forventer at det velges en teknisk løsning der det er tvingende nødvendig at jeg er involvert når det skal signeres noe på mine vegne. BankID er ikke en slik.

Onsdag i denne uka annonserte Fornyingsdepartementet at de har inngått kontrakt med BankID Norge om bruk av BankID for å la borgerne logge inn på offentlige nettsider der en kan få tilgang til personsensitiv informasjon. Jeg skrev i 2009 litt om hvorfor jeg ikke vil ha BankID — jeg stoler ikke nok på en bank til å gi dem mulighet til å inngå avtaler på mine vegne. Jeg forlanger at jeg skal være involvert når det skal inngås avtaler på mine vegne.

Jeg har derfor valgt å bruke Skandiabanken (det er flere banker som ikke krever BankID, se Wikipedia for en liste) på grunn av at de ikke tvinger sine kunder til å bruke BankID. I motsetning til Postbanken, som løy til meg i 2009 da kundestøtten der sa at det var blitt et krav fra Kreditttilsynet og BBS om at norske banker måtte innføre BankID, har ikke Skandiabanken forsøkt å tvinge meg til å ta i bruk BankID. Jeg fikk nylig endelig spurt Finanstilsynet (de har byttet navn siden 2009), og fikk beskjed fra Frank Robert Berg hos Finanstilsynet i epost 2012-09-17 at Finanstilsynet ikke har fremsatt slike krav. Med andre ord snakket ikke Postbankens kundestøtte sant i 2009.

Når en i tillegg fra oppslag i Aftenposten vet at de som jobber i alle bankene som bruker BankID i dag, det være seg utro tjenere, eller de som lar seg lure av falsk legitimasjon, kan lage og dele ut en BankID som gir tilgang til mine kontoer og rett til å inngå avtaler på mine vegne, blir det viktigere enn noen gang å få reservert seg mot BankID. Det holder ikke å la være å bruke det selv. Jeg sendte derfor følgende epost-brev til Fornyingsdepartementet i går:

Date: Thu, 15 Nov 2012 11:08:31 +0100
From: Petter Reinholdtsen <pere (at) hungry.com>
To: postmottak (at) fad.dep.no
Subject: Forespørsel om reservasjon mot bruk av BankID i ID-porten

Jeg viser til nyheten om at staten har tildelt kontrakt for å levere elektronisk ID for offentlige digitale tjenester til BankID Norge, referert til blant annet i Digi[1] og i FADs pressemelding[2].

1) <URL: http://www.digi.no/906093/staten-gaar-for-bankid >
2) <URL: http://www.regjeringen.no/nb/dep/fad/pressesenter/pressemeldinger/2012/staten-inngar-avtale-med-bankid.html >

Gitt BankIDs utforming, der BankID-utsteder har både privat og offentlig del av kundens nøkkel hos seg, er jeg ikke villig til å gi tilgang til informasjon som hører til min min privatsfære ved hjelp av innlogging med BankID.

Jeg ber derfor herved om at løsningen settes opp slik at ingen kan logge inn som meg på offentlige digitale tjenester ved hjelp av BankID, det vil si at jeg reserverer meg mot enhver bruk av BankID for å logge meg inn på slike tjenester som kan inneholde personsensitiv informasjon om meg.

Jeg har ikke BankID i dag, men som en kan se i oppslag i Aftenposten 2012-09-13[3] er det ikke til hindrer for at andre kan bruke BankID på mine vegne for å få tilgang. Det sikkerhetsproblemet kommer i tillegg til utformingsproblemet omtalt over, og forsterker bare mitt syn på at BankID ikke er aktuelt for meg til noe annet enn å logge inn i en nettbank der banken i større grad bærer risikoen ved misbruk.

3) <URL: http://www.aftenposten.no/nyheter/iriks/Tyver-kan-tappe-kontoen-din---selv-uten-passord-og-pinkode--6989793.html >

Jeg ber om rask tilbakemelding med saksnummer for min henvendelse. Jeg ber videre om bekreftelse på at BankID-innlogging er blokkert når det gjelder tilgang til "min" informasjon hos det offentlige, i forkant av BankID-integrasjon mot ID-porten som i følge pressemeldingen skal komme på plass i løpet av et par uker.

--
Vennlig hilsen
Petter Reinholdtsen

Jeg venter spent på svaret. Jeg mistenker jeg må sende tilsvarende beskjed til mine bankforbindelser for å sikre mine bankkontoer.

Hvis det skal brukes offentlig nøkkel-teknologi til å inngå avtaler på mine vegne og skaffe seg personsensitiv informasjon om meg, så er mitt krav at det kun er jeg som har tilgang på min private nøkkel. Alt annet blir å gi for mye tillit til andre. Med BankID sitter andre på både "min" offentlige og private nøkkel.

Min hovedbankforbindelse, Postbanken, har fra 1. oktober blokkert tilgangen min til nettbanken hvis jeg ikke godtar vilkårene for BankID og går over til å bruke BankID for tilgangskontroll. Tidligere kunne jeg bruke en kodekalkulator som ga tilgang til nettbanken, men nå er dette ikke lenger mulig. Jeg blokkeres ute fra nettbanken og mine egne penger hvis jeg ikke godtar det jeg anser som urimelige vilkår i BankID-avtalen.

BankID er en løsning der banken gis rett til å handle på vegne av meg, med avtalemessig forutsetning at jeg i hvert enkelt tilfelle har bedt banken gjøre dette. BankID kan brukes til å signere avtaler, oppta lån og andre handlinger som har alvorlige følger for meg. Problemet slik jeg ser det er at BankID er lagt opp slik at banken har all informasjon og tilgang som den trenger for å bruke BankID, også uten at jeg er involvert. Avtalemessing og juridisk skal de kun bruke min BankID når jeg har oppgitt pinkode og passord, men praktisk og konkret kan de gjøre dette også uten at min pinkode eller mitt passord er oppgitt, da de allerede har min pinkode og passord tilgjengelig hos seg for å kunne sjekke at riktig pinkode og passord er oppgitt av meg (eller kan skaffe seg det ved behov). Jeg ønsker ikke å gi banken rett til å inngå avtaler på vegne av meg.

Rent teknisk er BankID et offentlig nøkkelpar, en privat og en offentlig nøkkel, der den private nøkkelen er nødvendig for å "signere" på vegne av den nøkkelen gjelder for, og den offentlige nøkkelen er nødvendig for å sjekke hvem som har signert. Banken sitter på både den private og den offentlige nøkkelen, og sier de kun skal bruke den private hvis kunden ber dem om det og oppgir pinkode og passord.

I postbankens vilkår for BankID står følgende:

"6. Anvendelsesområdet for BankID

PersonBankID kan benyttes fra en datamaskin, eller etter nærmere avtale fra en mobiltelefon/SIM-kort, for pålogging i nettbank og til identifisering og signering i forbindelse med elektronisk meldingsforsendelse, avtaleinngåelse og annen form for nettbasert elektronisk kommunikasjon med Banken og andre brukersteder som har tilrettelagt for bruk av BankID. Dette forutsetter at brukerstedet har inngått avtale med bank om bruk av BankID."

Det er spesielt retten til "avtaleinngåelse" jeg synes er urimelig å kreve for at jeg skal få tilgang til mine penger via nettbanken, men også retten til å kommunisere på vegne av meg med andre brukersteder og signering av meldinger synes jeg er problematisk. Jeg må godta at banken skal kunne signere for meg på avtaler og annen kommunikasjon for å få BankID.

På spørsmål om hvordan jeg kan få tilgang til nettbank uten å gi banken rett til å inngå avtaler på vegne av meg svarer Postbankens kundestøtte at "Postbanken har valgt BankID for bl.a. pålogging i nettbank , så her må du nok ha hele denne løsningen". Jeg nektes altså tilgang til nettbanken inntil jeg godtar at Postbanken kan signere avtaler på vegne av meg.

Postbankens kundestøtte sier videre at "Det har blitt et krav til alle norske banker om å innføre BankID, bl.a på grunn av sikkerhet", uten at jeg her helt sikker på hvem som har framsatt dette kravet. [Oppdatering: Postbankens kundestøtte sier kravet er fastsatt av kreditttilsynet og BBS.] Det som er situasjonen er dog at det er svært få banker igjen som ikke bruker BankID, og jeg vet ikke hvilken bank som er et godt alternativ for meg som ikke vil gi banken rett til å signere avtaler på mine vegne.

Jeg ønsker mulighet til å reservere meg mot at min BankID brukes til annet enn å identifisere meg overfor nettbanken før jeg vil ta i bruk BankID. Ved nettbankbruk er det begrenset hvor store skader som kan oppstå ved misbruk, mens avtaleinngåelse ikke har tilsvarende begrensing.

Jeg har klaget vilkårene inn for forbrukerombudet, men regner ikke med at de vil kunne bidra til en rask løsning som gir meg nettbankkontroll over egne midler. :(

Oppdatering 2012-09-13: Aftenposten melder i dag at det er sikkerhetsproblem med BankID som gjør at ens bankkonto kan tappes helt uten at en har delt passord og pinkode med noen. Dette illustrerer veldig bra mitt poeng om at banken kan operere på kontoen (og signere avtaler etc) helt uten at jeg er involvert. Jeg takker derfor fortsatt nei til BankID-modellen.

Oppdatering 2015-11-17: Fant en bloggpost fra Britt Lysaa som belyser hvilke inngrep i privatsfæren bruken av BankID utgjør, i tillegg til de sikkerhetsmessige vurderingene omtalt over. Anbefalt lesning.