Kronikk, torsdag 5. mai 2011

Kan jeg miste meg selv?

Brukervennligheten går foran sikkerheten i de offentlige nettjenestene.

Saken oppdateres.

MinID tilbyr én felles innlogging til offentlige nettjenester for norske borgere. De fleste av oss har brukt løsningen flere ganger, for eksempel idet skattelistene legges ut på Altinn, eller når man sjekker status hos Lånekassen. Nav sine nettjenester er også et sted MinID brukes til innlogging. MinID/ID-porten har vært en storsatsning fra staten, og et prestisjeprosjekt ledet og utviklet av tre etterfølgende statsråder.

I et nyhetsinnslag fra Fornyings-, administrasjons og kirkedepartementet datert 26.11.2009 reklamerer departementet med at MinID reduserer risiko for ID-tyveri. To-faktor autentisering, som løsningen benytter, er en sterk måte å knytte sin fysiske identitet opp mot en digital identitet. Framgangsmåten i denne to-faktorløsningen er at man beviser at man vet noe (passord) og har noe (kode). Denne kombinasjonen gjør at det ikke er tilstrekkelig for en ondsinnet person å gjette seg fram til, eller klarer å lure til seg passord. Videre gjør en felles innloggingsløsning at man som bruker ikke trenger å huske flere passord - ett for hver enkelt tjeneste. Én løsning betyr ett passord, og de fleste av oss har da kanskje mulighet til å huske et komplekst passord med store og små bokstaver, tall og tegn?

Her en dag satte jeg meg ned og lekte litt med den nye innloggingsløsningen. Jeg gikk først inn på Lånekassen. Uten å logge ut, navigerte jeg meg videre til Altinn. Ved å trykke «logg inn», velge MinID og OK var jeg inne på min profil også på denne tjenesten. Vips.. uten å måtte bevise min identitet meg på nytt. For å sjekke videre gjorde jeg det samme for Nav og minside.no. Fantastisk, tenkte jeg. De har gitt meg et sømløst system, og en god brukeropplevelse. Jeg er overbevist om at sikkerhetsnivået har økt med MinID, og at brukervennligheten mot offentlige tjenester er forbedret. Godt jobba! Men...

Jeg er en nokså paranoid person når det kommer til deling av informasjon på nett, og frykten for ID-tyveri gjør meg svært aktsom. Hva skjer om noen stjeler min facebook-konto, eller min gmail-konto? For meg er dette skremmende, men enda verre er tanken på hva som kan skje dersom noen stjeler min offentlige identitet som norsk statsborger. Innlogget i en av de offentlige tjenestene nevnt over, gjennomførte jeg et lite eksperiment for å se om nettopp dette er mulig – å stjele en identitet. Med enkle verktøy og klipping og liming av tekst hadde jeg plutselig to forskjellige fysiske datamaskiner, hver på separate datanett, logget inn som meg i Lånekassen¿ og Nav¿ og Altinn. Ingen to-faktor autentisering var nødvendig, faktisk ingen autentisering overhode. Jeg hadde omgått den største sikkerhetsbarrieren. Riktignok krever forsøket en viss grad av kontroll på maskinen hvor man har logget inn med MinID, men hvor lett er det ikke for en angriper å gjøre noe tilsvarende? Og tilsvarende skjer hele tiden:

Microsoft rapporterte i andre kvartal 2010 at 0,22 prosent av norske PC’er er infisert av ondsinnet programvare som kan fjernstyre en datamaskin. La oss si at det er 2 millioner husstander i Norge, og at 91 prosent har PC. Det gir oss 4400 infiserte norske PC’er. Og dette er bare det Microsoft faktisk har oppdaget – hva med alle andre?

Den nest mest forekommende sårbarheten for internettapplikasjoner (websider) er såkalt Cross Site Scripting (XSS) som gjør at en angriper kan legge igjen ondsinnet kode på en nettside, for eksempel et brukerforum. Denne koden vil aktiviseres og kjøres på lokal maskin idet neste forumbruker leser innslaget. Et slikt angrep kan blant annet brukes til å stjele tilgang til beskyttede nettjenester, slik som de offentlige tjenestene nevnt tidligere. En forutsetning for et slikt tyveri er imidlertid at brukeren besøker en sårbar nettside samtidig som han eller hun har en gyldig MinID innlogging.

Som sagt, er jeg er overbevist om at min sikkerhet knyttet til offentlige tjenester og min id er bedre ivaretatt nå, med MinID og ID-porten enn den var tidligere. Jeg stiller meg allikevel nølende til arkitekturvalget man har tatt med å tilby sømløshet mellom offentlige nettbaserte tjenester. Er det en god ide at man med engangs innlogging skal få tilgang til alt? Er det naturlig at en innlogging mot Lånekassen også skal gi tilgang til endring av folkeregistrert bostedsadresse, bytte av fastlege eller utlesning av trygdeopplysninger fra Nav, med mer? Snart kommer også mer sikkerhetskritiske tjenester slik som elektronisk signering av juridisk bindende dokumenter. Hvordan kan jeg bevise min uskyld om noen har elektronisk signert et dokument uten min viten og vilje? Ny innlogging med MinID for hver benyttede tjeneste ville redusert omfanget av sårbarheten betraktelig. Jeg er villig til å ta den ekstra «belastningen». Det vil alltid være en avveining mellom brukervennlighet og sikkerhet, men i dette tilfellet har brukervennligheten fått litt for stort fokus.

Det er mulig at risiko og konsekvens per dags dato ansees som relativt liten, men jeg vil ikke at min id skal bli din id – nå eller en gang i framtiden. Noen tips til deg som leser dette:

Husk å logge ut hver gang du har benyttet en tjeneste.

Unngå å surfe på andre nettsider mens du er innlogget på offentlige tjenester, og før du er logget ut.

 
På forsiden nå