CPR-nummer = Carte blanche til et menneskes identitet?

Oprindelig var CPR nummeret ikke tænkt som hemmeligt, det var bare et "numerisk mellemnavn" så man kunne kende Peter Hansen fra Peter Hansen, Peter Hansen, Peter Hansen og Peter Hansen i computeren.

Det er en sikkerhedsfejl når man kan ringe til det lokale kommunekontor, bank, forsikringsselskab eller andre og få oplysninger udleveret bare fordi man kender et CPR nummer.

Papir, papyrus med blæk har været årtusinders opbevaring af personligheder, identitet og det er ingen hemmelighed, at CPR nummeret er en præcisering. Det mere end antydes, at dette unikke nummer ikke nødvendigvis er tilstrækkelig (men nok nødvendig) til at identificere os. Når det kan anvendes til f.eks. identitetstyveri - med hvad der kan følge deraf - er den ikke særlig velegnet. Desuden kan man ved utilsigtet fejl i diverse registre komme til at stresse borgerne, når oplysninger forsvinder. ...og så skubber man ansvaret ud til den enkelte: "...hvis du kan dokumentere..." Og der lades alt håb ude for borgeren, som kun er registreret via de digitale medier gennem mangelfuldheder i registrering, sløseri med registreringen, og lign. fejl i administrationen. (Jeg har dokumentation for mine påstande!). Og det er sikkert vanskeligt at dokumentere, at "det har jeg aldrig sagt" til trods for en digital registrering. Jeg er langsomt men sikkert på vej ud af dette system, men for borgernes skyld - find ud af et system, der er sikkert. - En mulighed er: Tilbage til papyrus, papir og blæk - med en autentisk underskrift på al dokumentation. At kunne anmode om dokumentation i digital form afhænger i høj grad af bl.a. konsekvent og korrekt registrering i systemerne, - for ikke at nævne strømsvigtens mulige ravage i systemet. For borgeren er det særdeles stressende, når der anmodes om dokumentation, f.eks. om en billet i et DSB-tog, - og den er forsvundet på nettet - for ikke at tale om mere alvorlige emner. Der er intet værre end at blive anklaget for noget, man ikke har gjort - når man nu har handlet i overensstemmelse med loven! Lad os dog få papir og fyldepen på banen igen! - hvis ikke vi kan få fuld sikkerhed i IT systemerne.

Det er min opfattelse at sikkerhed kun forstås af "nørder". Og så er det egentlig ikke særlig svært. Du kan opdele sikkerhed i tre begreber:

• Authentication Består af to dele: Hvem er du og et bevis herpå. F.eks. et brugernavn og et password, eller CPR nummer og kørekort.

• Authorization Har du ret til det du vil? F.eks. er der penge på kontoen? Har du ret til at læse det dokument? Må du starte det program?

• Audit Logning, overvågning. Hvem har gjort hvad hvornår? Hvordan er normalmønsteret og har tingene ændret sig ifht. til det?

Læg mærke til at CPR nummeret spiller samme rolle som et brugernavn. Det beviser intet i sig selv.

Det kan faktisk godt lade sig gøre. Jeg bruge 20 minutter på at gennemgå det med min mor. (Hun er pensionist). Nogle måneder senere bliver hun ringet op af en kvinde der præsenterer sig som fra Danske bank. Hun vil sende dem et spørgeskema pr. email. Prøv at gennemgå ovenstående liste ud fra denne case-story. Opkaldet var bedrageri; men de fik ikke held med min mor. Hun spottede dem. Det burde være standard undervisning.

Jo der burde være mere sikkerhed omkring de processer, som CPR nummeret giver adgang til (selve CPR nummeret er sådan set fint nok). Med dagens tyveri bør enhver offentlig instans og enhver aktivitet baseret på CPR-nr. suppleres med processer så som NemID. Det lyder fuldstændig fjollet at man kan låne penge (I andres navn) på CPR nummeret alene. Der bør øjeblikkeligt lovgives på området (således at ufrivillige ikke kan stilles til ansvar) og deraf følger at der øjeblikkeligt bør indføres yderligere processer. Med det seneste hacker angreb er det nu fuldstændig indlysende at det ikke kan undgås at gøre noget ved sagen (som om tidligere dokumenterede "angreb" på Margrethe Vestager ikke burde have været nok!).

Det næste problem er så den manglende sikkerhed omkring politiets informationer ... og dernæst at det først kommer frem adskillige måneder efter skaden er sket. Sagens alvor gør naturligvis at politiet optræder forsigtigt, men alligevel - vi taler om ca. 6 måneders forsinkelse(!?).

Hvis man nu er en rigtig god nørd, er der så opgaver af den omtalte art, man ikke kan løse? (At få fat i en hvilken som helst oplysning, man måtte ønske). - Og er vi andre dygtige nok til at kunne holde på en hemmelighed - hvis en rigtig "nørd" er ude på at fiske den? - Jeg har selv oplevet "fiskeriet" på min mors bankkonto - og min reaktion var straks at henvende mig til banken på baggrund af en mistanke. Men min mor (over 90 dengang) vidste hverken ud eller ind - og ville have haft tillid til "bankens henvendelse" - som i øvrigt var dygtigt nørdet, så det lignede en officiel henvendelse fra den rigtige bank, - som man normalt har tillid til. - Jeg er enig i, at det kræver uddannelse at kunne se den "ægte vare", men ærlig talt - det bliver vanskeligere - jo flere "nørder", der mister sine evner i "etik og moral". Hvorledes kan vi overbevise os om, hvorvidt en vellignende henvendelse er ægte eller der er tale om "fup og svindel"? Kunne vi blot styre "etik og moral" på et højt niveau, så er "det elektroniske værktøj og kommunikationsmiddel" super godt. - Men kan vi håbe på en respekt af andres "tro på systemer" - og at de kan opføre sig anstændigt? ...eller bliver det fortsat med fare for at skade andre - blot fordi det er muligt?

@Attila

Ok, jeg skal se om jeg kan uddybe lidt. Systemer kan laves meget sikre hvis man endelig vil. En gang i mellem hører jeg historien om "hvis de vil ind, så kommer de ind". Alt respekt, men jeg mener det er en gang uforstandigt sludder.

Authentication (godkendelse) foregår hele tiden, også selv om du ikke tanker på det på den måde. Vi genkender ansigter når vi møder folk, eller stemmer når vi bliver ringet op af en kollega. Når vi bliver stoppet af politiet viser vi kørekort (authentication + authorization).

Authentication kan være mere eller mindre sikker. Til den authorization der skal bruges (f.eks. en kollega der beder om en information, hæve penge i banken, retten til at køre bil) skal man vælge en sikkerhed der modsvarer risikoen. F.eks. beder du ikke en kollega om at vise pas hver gang han/hun henvender sig til dig.

Så sagt på en anden måde: Når vi f.eks. yder et forbrugslån, udsteder pas/kørekort, sælger på kredit (tillader authorization) er CPR nummeret ikke tilstrækkelig authentication.

Mit påstand (og fromme ønske) var at vi sagtens kunne hæve niveauet hvis vi gjorde noget ved det - ved at alle i disse situationer spørger sig selv "er du nu den du påstår du er?"

Jeg er fuldstændig enig med kritikere I at der skal noget mere kød på end de linier jeg har skrevet her I debatten.... så der er lidt arbejde.

Mht. etik og moral, så er der 6+ mia. mennesker her på jorden. Hvis en ud af 10.000 har en dårlig moral/etik svarer det til 600.000 mennesker. Grundet måden internettet er opbygget på er de alle sammen din "nabo", dvs. de har mulighed for at ramme dig. Du har ikke en jordisk chance for at gøre noget ved det problem, så det eneste fornuftige at beskæftige sig med er hvordan vi beskytter os.

• Jeg er fuldstændig enig med dig! Men du har jo stillet spørgsmålet selv. - Hvordan beskytter vi os? OK, du har jo allerede nævnt et par måder, men vi er jo ikke alle "nørder" - og bør kunne stole på en elektronisk henvendelse. - Det er for mig vanskeligt at skelne mellem en "ægte" henvendelse og en henvendelse der ligner. Hvordan kan jeg identificere den ægte henvendelse - hvis jeg nu ikke er en "nørd" på området? - Har du flere gode måder at få fastslået "ægtheden"? - så lad os høre mere om det! Du har jo fuldstændig ret med hensyn til vore "naboer" på internettet - det er jo netop det, der gør mig (og muligvis andre) usikre. - Og jeg er også enig med dig i, at mine bemærkninger kan være en gang "uforstandigt sludder"- men ikke desto mindre dukker der dokumentation op til overfalden, der gør afsindigt ondt på ofrene. - Jeg er i øvrigt i gang med at forsøge (helt lokalt) at finde ud af, hvordan vi kan beskytte os. - Jeg mangler dog akut et par år i IT-uddannelse, - men jeg når det forhåbentligt inden jeg selv bliver et offer. - Så gerne flere oplysninger om "hvordan vi beskytter os". Og på forhånd tak.

Man kunne gøre det til en vane at man kun besvarer henvendelser ved kun at tilgå kilden fra egne links.

@Attila

Skat og banker gør faktisk hvad de kan; men det hjælper sjælden så meget hvis borgerne ikke forstår hvorfor. Lad os starte med bankerne:

Når bankerne henvender sig til dig elektronisk sker det via din home-banking, aldrig pr. email. Årsagen er at det kræver kontrol over bankernes systemer at kunne anbringe noget i din home-banking indbakke. God authentication. Hvis det var pr. email ved du derfor at der er noget galt alene af den grund at det gør banker ikke. Email er elendig authentication.

Skat har ikke opbygget et besked-system som bankerne. De bruger email. Derfor bliver du som modtager nødt til at forholde dig til om en email fra skat er ægte. Måden skat har opbygget deres sikkerhed er at de aldrig sender links som du skal trykke på. Du skal i stedet selv gå ind på skat.dk og læse mere, betale, hvad du nu skal. Den email du har modtaget kan derfor godt være falsk; men det administrative rettigheder til skat.dk's web-site for at anbringe instrukser her. Derfor må du antage en email i retningen af:

Du skylder penge i skat. Gå ind på denne adresse: www.bad-domain.piratland/betal.htm og betal med dit dankort

... er falsk fordi det kan hvem som helst skrive, hvorimod:

Du skylder muligvis penge i skat. Log ind på skat.dk med din nemid og kontroller

Ihvertfald ikke gør skade hvis den er falsk, for jeg må som skat's kunde antage at deres website er sikker.

Et godt supplement til din uddannelse: Bruce Scheier, "Secret and Lies". Han gennemgår sikkerhed meget grundigt.

Min viden om sikkerhed er blevet en smule styrket, - og tak for titlen "Secret and Lies",- jeg vil læse bogen med interesse. Tusind tak for de ord. Man kan således gøre meget selv for sikkerheden, men det kræver naturligvis, at der gøres en indsats. Tro ikke alt, hvad der er skrevet - især på nettet, men vær kritisk, som enhver ingeniør bør være. - Jeg er dog fortsat bekymret for, hvad jeg kan finde på i god tro - og blive taget ved næsen, - men denne diskussion har dog blødt lidt op for en reduktion i mistilliden. - Det var så om sikkerhed, - men hvad gør vi for f.eks. "tabt information", der skyldes lidt letsindig måde at administrere på (det uanset om det er elektronisk). Hvorledes kan vi sikre, at informationen havner det sted, hvor det skal - og kan findes igen, når aktuelt. Jeg nævner dette, fordi en overgang fra det gamle "papirsystem" til elektroniske systemer (for at forenkle, gøre det nemmere(?) at finde oplysninger) ikke altid lykkes konsekvent. Det er naturligvis en anden diskussion. Tusind tak for jeres venlige svar på mine dumme spørgsmål, - og undskyld min uvidenhed på det aktuelle område.

Er information blevet lækket er det ude og det kan vi ikke ændre på. F.eks. må vi antage at vores CPR numre er "ude". At der ikke er konstateret misbrug betyder ikke ret meget grundet egenskaber med information:

1. De kan kopieres lynhurtigt
2. Kopi og original er eksakt identisk.
3. Information ændres ikke af at blive kopieret.

Derfor kan vi ikke vide om vores bad guys har en kopi liggende et sted. Vi kan ikke vide om de vil blive brugt på et senere tidspunkt. Bliver de misbrugt kan vi ikke nødvendigvis se om de stammer fra dette indbrud.

Attila - til trods hvad alle siger findes der dumme spørgsmål - men jeg har ikke opfattet nogen dumme spørgsmål fra din side. Så bare fyr løs! Sikkerhed er spændende :-)

Hvis ikke de var ubrugelige før som identifikation, så er de det da nu efter vi ikke mere kan vide hvor mange der har adgang til dem og hvor megen anden viden der fulgte med dem, mon vi snart skal have den personlige kode allesammen og "slæbe" rundt på?

Det har du allerede. Den hedder nemid. Man vil også med fordel kunne bruge dankortet, specielt hvis man genindfører billedet.

Det jeg mente var at man ikke kan vide om jeg Hans Larsen, kun at jeg præsenterer mig som Hans Larsen, det er der jo ikke megen identifikation i, at tage et billede ville være mere værd.

I daglig tale betyder identifikation altså at sandsynliggøre hvem man er og ikke en påstand om at man er Hans Larsen eller politiet, så autentikationen er vel det modtageren godtager. Jeg er aldrig blevet bedt om at autentificere mig men tit bedt om at identificere mig selv om jeg står lige over for den anden, han kan vel f.. f..... se mig.

For nogle år siden hørte jeg fra en god ven (fra Electro-linien), at "fingeraftryk" var måske en brugbar løsning og en "læser" var under udvikling. - Den kan måske løse en del af problemerne, - men muligvis ikke dem alle. - Det var dog værd at overveje, - og de hemmelige koder, CPR-numre kan måske overflødiggøres? - Jeg er ikke en ekspert på området, - det er blot en idé, hvis "læseren" kan gøres tilstrækkelig pålidelig?

Ja, det er der en åbning mod noget bedre? Men lad det nu ikke drukne i for megen snak - og ingen handling, - og gør dog intet før hele systemet, strukturen og ikke mindst sikkerheden er gennemskuet. Systemet har jo generelt fugeret tilfredsstillende, men har ikke været beregnet på anvendelse på den her omtalte måde. - Uanset smarte og brugbare ændringer, vil det supplerende kræve "opdragelse" af muligvis os alle for at kunne sætte grænser for anvendelsen, - som naturligvis også gælder for alt andet, vi foretager os. Det er der intet nyt i. Det er ikke tilfredsstillende med ændringer, hvis anvendelsen af systemet kompliceres yderligere. Målet må være: Enkelt og sikkert system, der fungerer uden krumspring. - Kan det ikke etableres, - foretrækker jeg personligt det ældgamle system bestående i en person med høj moral, fyldepen og papir, forståelig tekst og en ansvarlig underskrift. PS Denne diskussion var en af de bedste, jeg har deltaget i, - tak for at kunne være med.