Digitaliseringsstyrelsen om Version2's MitID-afsløringer: 'Fuldstændig forkert beskrevet'


Version2 har i flere omgange beskrevet, hvordan en svag arkitektur tillader alle og enhver at gætte titusindvis af MitID-brugernavne og derefter blokere dem. Enten for personlig chikane, økonomisk vinding eller endda statslig sabotage.
- emailE-mail
- linkKopier link

Fortsæt din læsning
- Sortér efter chevron_right
- Trådet debat
Digitaliseringsstyrelsen har jo netop lige lavet om i rækkefølgen, man indtaster oplysninger med kodeviser.
Før skulle adgangskoden indtastes før engangskode. Nu skal adgangskode først indtastes efter engangskoden.
https://www.aeldresagen.dk/lokalafdelinger/bornholm/aktuelt/opdatering-af-mitid
Dermed er det ikke længere muligt at blokere andres MitID med forkert adgangskode indtastet 3 gange.
Mon ikke de har erkendt fejlen med denne ændring. Men utroligt der skulle gå så længe inden man indså, at denne ændring var en god ide.. ;-)
Dermed er det ikke længere muligt at blokere andres MitID med forkert adgangskode indtastet 3 gange.
Men hvor mange forkerte engangskoder må man taste?
Ret sikker på, at det er 3, medmindre de har ændret antallet med ændringen.
Jeg har ikke tjekket.. Du kan jo prøve ;-)
Dermed er det ikke længere muligt at blokere andres MitID med forkert adgangskode indtastet 3 gange.
Når rækkefølgen er ændret, så giver det ikke mening at blokere efter 3 forsøg med kodeviserens engangskode. Hvis man taster korrekt navn og engangskode, men tre gange forkert password, giver det mening med en blokering. Situationen lugter af en der (måske ulovligt) har fået fat i kodeviseren, men ikke kender password (glemt det).
Hvis sikkerheden i systemet afhænger af at man ikke kan afsløre et princip design, så er MitID på spanden rent sikkerhedsmæssigt.
Jeg deltager normalt ikke i DJØF-bashing men her er det på sin plads. Som vicedirektør må man enten sige "det kan jeg ikke svare på" eller også komme med et kompetent svar. Det her er håbløst. Det er klassisk "jeg kan være manager for alt" overmod som så falder til jorden når spørgsmål kræver faglig viden for at kunne svare.
det er da også yderst betænkeligt, at hvis den stakkels borger bruger FIREFOX som browser, ja "går systemet desværre ned" og "brug din foretrukne login!!!" skriver Slemid gud hjælpe mig, helt uden ironi og smilys!! og UDEN nogen som helst forklaring nemlig, at det er DEM SELV, der har et problem. Så 50 gange i weekenden blev jeg smidt af - det er ganske enkelt perverst af h...til. Nets og Digistyrelsen burde skrottes - der er vist plads på Amagerværket! Skynd jer!
Hov-hov, hov-hov!
Det er vist stadig brugers ansvar at vælge et fornuftigt brugernavn, og sådan et er "Anders_And" ikke!
Når det er sagt; har "ansvarsflugt" i mindst 10 år været BAU her i landet og hvis man protesterer, så er "tilsvining og løgne" også på tapetet.
Problemet stikker dybt!
og sådan et er "Anders_And" ikke!
Er det ikke brugernavnet for ham viceklovnen fra Digitaliseringsstyrelsen?
Jeg kunne ikke dy mig og prøvede lige at logge ind med “Anders_And”. Jeg fik ikke besked om at brugeren ikke findes, så der er faktisk en mitid bruger derude med brugernavn “Anders_And”.
Men, shhh, sig det ikke til nogen! for brugernavne er jo hemmelig-agtige
Jeg fik ikke besked om at brugeren ikke findes, så der er faktisk en mitid bruger derude med brugernavn “Anders_And”.
Jeg prøvede på sundhed.dk, og der fandtes ikke nogen "Anders And". "User ID does not exist. Enter an existing user ID. (CTL003)" (heldigvis kan jeg engelsk, suk! Der er ældre mennesker der har problemer med dette)
Sikkerhedsmæssigt er det vel bedre med "Anders And" end "Lars Jensen"?
PS: Jeg prøvede også med borger.dk, men hjemmesiden var nede. "Kritisk infrastruktur" starter åbenbart først efter kl 08:00. Jeg klarer mig i øvrigt fint uden MitID.
Jeg prøvede på sundhed.dk, og der fandtes ikke nogen "Anders And".
"Anders And" findes ikke og giver fejl, men det nævnte “Anders_And” findes og beder om kode.
Et kæmpe fejldesign.
Jeg kunne ikke dy mig og prøvede lige at logge ind med “Anders_And”. Jeg fik ikke besked om at brugeren ikke findes, så der er faktisk en mitid bruger derude med brugernavn “Anders_And”.
Så har vedkommende sikkert et kodeord af samme kvalitet;). Når nej, man bruger vel ikke kodeord på en "smartphone"? Der er fejlen; hvem stoler blindt på moderne teknologi? Brugernavn+6cifret pin+kodeord bør vuderes samlet til sidst, så L....T ikke kan hackes.
Jeg aner ikke hvornår det "gik galt" i DK, men tipper på det er 31-36 år siden. Før den tid var nogle af os faktisk relativt fornuftige? Nu er der kun "naturlig afgang" tilbage!
Det er vel snarere MitID's ansvar at implementere en politik for brugernavne hvis det er nødvendigt. Det er jo ikke noget der er fokus på i så mange andre systemer. Der er fx en hel del mennesker der godt kan gætte mit brugernavn til Gmail.
Det er vel snarere MitID's ansvar at implementere en politik for brugernavne hvis det er nødvendigt.
Enig, men der var/er også vejledning i dette på diverse sites.
At de så accepterer almindelige navne stavet LUAL (lige ud ad landevejen); er bestemt under al kritik, med opdragelsen af brugerne bor et andet sted. Den halter også - men det følger med den "selvfede småstatsmentalitet" - uheldigvis;)
»Naturligvis mener Digitaliseringsstyrelsen, at det er positivt med en åben og saglig debat. MitID er dog samfundskritisk digital infrastruktur, og der er derfor grænser for hvor meget, Digitaliseringsstyrelsen kan udtale sig om sikkerhedsmæssige detaljer i MitID til pressen.
Så må det jo være dybt foruroligende nyt for Digitaliseringsstyrelsen, at det for den ny "EU Wallet", der er udset til at afløse MitID, nu tegner til at "The source code used for providing European Digital Identity Wallets shall be open source and shall be published for auditing and review."
Det fremgår af den seneste rapport fra EU parlamentet vedr. den opdaterede eIDAS forordning.
Næ, hvorfor dog. MitID lever ikke op til kravene, så MitID skal udskiftes med noget der kunne hedde DitID/DigiID. Det er jo en måde for nogle chefer hos DIGST at gøre sig venner med de private levererandører. Venner som de får brug for når de skal have et nyt job.
Jeg har længfe ment, at der er flere ting ved MitId, der ikke var helt gennemtænkt. De mange udskydelser og idriftsættelser af halve løsninger har understreget, at produktet ikke er modent. Det har givet en klar fornemmelse af amatørisme.
Men denne uvilje til at indrømme fejl er langt værre. Det er decideret skræmmende og burde være et gigantisk rødt flag for alle ansvarlige politikere.
"MitID er dog samfundskritisk digital infrastruktur, og der er derfor grænser for hvor meget, Digitaliseringsstyrelsen kan udtale sig om sikkerhedsmæssige detaljer i MitID til pressen. "
Mon Version2 skal til at passe på ikke at blive beskyldt for at røbe statshemmeligheder for fjenden, hvis man fremturer?
Tak til V2 for vigtigt graverarbejde.
Mon Version2 skal til at passe på ikke at blive beskyldt for at røbe statshemmeligheder for fjenden, hvis man fremturer?
Ja, der er mindelser til sagerne om PET/FET. Det virker også til at handle om at beskytte cheferne mod kritik, og ikke om sikkerhed.
Men nu skal embedsmænd jo tale sandt, men omvendt, så har Minksagen vist at det er straffrit at lyve.
Hvis ikke Adam Lebech svarrer, så er det vel Digitaliserings- og ligestillingsministeren der skal kaldes i samråd?
Hvorfor er det egentlig ikke Digitaliseringsstyrelsens direktør der stiller op til interview?
Digitaliseringsstyrelsen er et skoleeksempel på definitionen af:
"kvalifikationer kontra kompetencer"
Det er muligt, at de er kvalificeret til jobbet, men i praksis viser det sig, at de ikke er kompetente til at udføre opgaven...
Digitaliseringsstyrelsen er et skoleeksempel på definitionen af: "kvalifikationer kontra kompetencer" Det er muligt, at de er kvalificeret til jobbet, men i praksis viser det sig, at de ikke er kompetente til at udføre opgaven...
Her skal du så også passe på, for en "kompetent myndighed" har jo ikke nødvendigvis det som du normalt forbinder med ordet kompetent - det betyder blot at det er dem der er den "rigtige" myndighed for noget specifikt, og har intet at gøre med om de er i stand til at udføre deres arbejde på fornuftig vis.
Her bliver det rigtigt gakket:
Digitaliseringsstyrelsen tager i øvrigt stærkt afstand fra den type sammenligninger, som Jan Lemnitzer bruger i udtalelsen til Version2,« skriver Digitaliseringsstyrelsen.
»Man kan ikke bare sige ‘fake news, nothing to see here’ som Donald Trump og så smutte uden at uddybe dine påstande,«
Selvfølgelig kan man ikke sige "fake news....." i et ordenligt demokratisk samfund. Danmark har længe været på vej mod status af bananrepublik, Adam's opførelse er blot endnu et symptom på at Danmark langt fra går på dydens smalle sti og at vi kommer tættere og tættere på at andre lande/oragnisationer begynder at kalde Danmark for en bananrepublik.
Det er godt nok bekymrende, at for samfundet livsvigtige styrelser reagerer som Komiske Ali, når der stilles spørgsmål og rejses kritik. Det er efterhånden et mønster, vi ser lidt for tit.
"Adam Lebech når aldrig at uddybe eller svare på spørgsmålet inden oplæggets moderator, en velfærdsentrepreneur og projektleder fra Egedal Kommune, afbryder debatten. "
Og det er liges så slemt - eller ligefrem værre, og endnu mere bekymrende - hvis saglig kritik og spørgsmål nu bliver modereret væk i vores samfund. Har det mon simpelthen været aftalt på forhånd mellem moderator og Adam Lebech? For ellers er det da en helt utrolig mystisk og uduelig moderering. Eller en moderator, der selv har en eller anden form for private kartofler at hyppe. Eller hvad? Det er jo helt uforståeligt.
Har manden et navn? Eller er det også modereret væk?
There is i den grad something rotten in Denmark efterhånden. Landet stander i våde. Tech-mafiaen er da vist ved at stramme grebet.
Har manden et navn? Eller er det også modereret væk?
Se https://offdig.dit.dk/Konferenceprogram/Program/2023/Dag-2/Nedre-foyer/1350-1420.
Jeg er blevet i tvivl om, om debatten simpelthen var slut, og ikke offer for moderering? For så er det selvfølgelig noget andet.
den nye danske reaktion. Først sige at det passer. ikke. Så følger vil ikke uddybe. Og så strudse algoritmen. går under jorden. det er faktisk. uanstændigt. NPM version2 ???