[OT] BankID, e-legitimation, mm

[GoranS]

För att inte besudla den lite viktiga tråden VARNING för bedragare på Köp och sälj med en massa diskussioner som inte faller inom ramarna för den tråden så finns nu denna tråd.

 

[moros]

Nja, e-legitimation, godkänns av https://www.digg.se/
Alla av DIGG godkända e-id har bra nivå av säkerhet. Dock sägs/krävs inget av personen som använder det....
Sedan har ju Bank-Id, som är bankernas, egna och bara till för dess(vissa av dem iaf.) kunder.
En Riktig e-legitimation är till för alla medborgare och även tillfälliga medborgare(asylsökande tex.)
Bank-Id är således inte en riktig e-legitimation.

Och vilken godkänd e legitimation har vi i Sverige nu då? Är fullt medveten om att bankid inte är en godkänd legitimationshandling. Men det är det som defacto idag gäller om du vill legitimera dig i 9 fall av 10

Har själv ingen direkt kritik mot tekniken som sådan vilket jag också skrev.

 

[Guson]

I Sverige är det DIGG som ansvarar att godkänna Svenska e-ID lösningar, enligt eIDAS-förordningen. (som bestäms av EU)

Lista på av DIGG godkända e-ID: https://www.digg.se/digitala-tjanster/e-legitimering
Lista på länder som har enligt eIDAS godkända e-ID: https://www.digg.se/digitala-tjanst...er-med-godkanda-e-legitimationer-enligt-eidas

I godkännandet finns inga krav att ett e-ID ska erbjudas till alla medborgare, och därför kommer inte Bank-ID att blir för alla. I Sverige är Freja eID+ bästa lösningen och kan användas av alla innevånare, stora som små.

 

[moros]

I Sverige är det DIGG som ansvarar att godkänna Svenska e-ID lösningar, enligt eIDAS-förordningen. (som bestäms av EU)

Lista på av DIGG godkända e-ID: https://www.digg.se/digitala-tjanster/e-legitimering
Lista på länder som har enligt eIDAS godkända e-ID: https://www.digg.se/digitala-tjanst...er-med-godkanda-e-legitimationer-enligt-eidas

I godkännandet finns inga krav att ett e-ID ska erbjudas till alla medborgare, och därför kommer inte Bank-ID att blir för alla. I Sverige är Freja eID+ bästa lösningen och kan användas av alla innevånare, stora som små.

Finns enligt länken endast tre godkända e-legitimation. Bank-ID, Freja den andra sen en tredje som jag aldrig sett någon ha som godkänd inloggning någonstans. Så fortfarande är det bankid eller Freja som är standard för att legitmera dig utöver de få platser som endast tar fysisk handling. (ex skaffa en legitimation för första gången)

 

[moros]

Freja är så vitt jag vet en privat lösning. Nästan som bankid. Dessa två är idag bärande för att klara dig i samhället. Står fortfarande kvar vid att det inte är helt 100 att privata aktörer sköter detta. Men då är vi snart inne på politik vare sig vi vill eller inte. Så nu är det som det är. Men koltrasten behöver nog inte oroa sig för att ryssen skall ta hans digitala id. Men visst, 100.000000% säker är man väl aldrig.

Men visst. Digital identifiering är ju ett problem av flera andra anledningar. Att ens 80 åriga föräldrar inte kan hantera den enklaste av vardagsåtgärder utan Bank-ID är inte optimalt exempelvis

 

[jonte987]

Kanske krävs ett överstatligt ingripande?

Nej, det borde vara möjligt att nationalisera skiten och annars får man se över lagstiftningen.

 

[GoranS]

Fanns tydligen redan en tråd i ämnet:

Tråd '[OT] Bank ID, appar mm. Hur blir man banksmart?'

2014-08-08

Det var länge sedan jag betalade mina räkningar genom att stoppa dem i ett kuvert. Nu har jag Nordea och dosa. Jag ska skaffa Mobilt BankID och Nordeas Mobilbankapp för att bli mer flexibel.

Vilka är era bästa och smarta tips när det gäller att vara banksmart, vare sig det gäller mobilt eller framför datorn?

Thomas
Föreningen Sömnlös24h
Arrangör av Lida CX, www.lidacx.se

• Totteman
• Svar: 25
• Forum: Sveriges trevligaste cykelforum

Får väl försvara mig med att jag inte såg den i förslagslistan på liknande trådar som dök upp när jag skapade denna.

 

[H.]

Värt att beakta när det gäller tex swish-bedrägerier och bankbedrägerier att det oftast inte är frågan om hacking, utan bristen består oftast i den mänskliga faktorn. Folk är oförsiktiga eller oförståndiga och det utnyttjas.

Kortbedrägerier är annorlunda och där handlar det oftast om stulna kortuppgifter. Numera krävs dock i princip alltid att kortköp verifieras mdd exempelvis bank-ID, så jag undrar hur vanligt det är?

Dessutom krävs väl numer nästan alltid också att man skannar en QR-kod på skärmen vilket också hindrar någon utifrån att starta en verifiering på din Bank-ID.

 

[jomper]

Dessutom krävs väl numer nästan alltid också att man skannar en QR-kod på skärmen vilket också hindrar någon utifrån att starta en verifiering på din Bank-ID.

Det är krav på rörlig QR-kod sedan 1 maj.

 

[Berk]

Dessutom krävs väl numer nästan alltid också att man skannar en QR-kod på skärmen vilket också hindrar någon utifrån att starta en verifiering på din Bank-ID.

Det är krav på rörlig QR-kod sedan 1 maj.

Bra! Jag var lite chockerad första gången jag använde Bank-ID. Förstod inte hur det funkade. Man fick bara lita sig på en text av några ord på skärmen i en process som man kanske inte hade initierat själva.

 

[mzi]

Men även i gamla lösningen så hade du fått fel om du hade initierat den själv. Men nu så är möjligheten borta för den typen av attacker.

 

[AlbertH]

Jag önskar att staten tar fram ett alternativ till mobilt bankid som inte kräver en mobiltelefon från Google eller Apple... Men det kommer inte hjälpa för swish kommer nog inte fungera med något annat än mobilt bankid ändå.

 

[JohanRR]

mobiltelefon från Google eller Apple...

Vilka tänker du på?

 

[jekyll]

Något är ju faktiskt på gång.

Civilministern har tagit emot förslag om en digital identitetsplånbok

En digital identitetsplånbok ska kunna användas både on- och offline och kan exempelvis användas för att öppna ett bankkonto eller deklarera i alla...

www.regeringen.se

 

[perzzon]

Värt att beakta när det gäller tex swish-bedrägerier och bankbedrägerier att det oftast inte är frågan om hacking, utan bristen består oftast i den mänskliga faktorn. Folk är oförsiktiga eller oförståndiga och det utnyttjas.

Gäller de flesta intrång. Människor är mjukare än system i många fall.

 

[Berk]

Men även i gamla lösningen så hade du fått fel om du hade initierat den själv. Men nu så är möjligheten borta för den typen av attacker.

Jag menar att någon annan skulle kunna initiera den när de t.ex. går in på ditt bankkonto online.

 

[AlbertH]

Vilka tänker du på?

Mer specifikt ett operativsystem från just de två leverantörerna. Andra Android som LineageOS har inte tillgång till mobilt bankid.

 

[jomper]

Är inte det för att de är rootade som standard snarare än att det är just en annan "distribution" eller vad man ska kalla det?

 

[Berk]

Jag önskar att staten tar fram ett alternativ till mobilt bankid som inte kräver en mobiltelefon från Google eller Apple... Men det kommer inte hjälpa för swish kommer nog inte fungera med något annat än mobilt bankid ändå.

Men just betalningar sköts av bankerna. I t.ex. Nederländerna har man en identifikation (nuförtiden 2FA) av banken själva som också används för nederländska swish. Sen har man en statligt elektronisk idendikation som man bara används av staten och kommuner. Nuförtiden också av vård och skolor, men det finns diskussion kring det.

Jag tycker att det är helt absurt att t.ex. en kommersiell parti som Klarna använder Bank-ID. Tycker också att det är absurt att happy använder den, men det inte värre än Klarna och det verkar funka.

 

[jonte987]

Är inte det för att de är rootade som standard snarare än att det är just en annan "distribution" eller vad man ska kalla det?

Minns inte om de verkligen måste vara rootade tekniskt eller bara upplåst boot loader.
Vet inte heller hur bankid stoppar det. Däremot måste man väl ha en Google id för att installera från play och då är cirkusen igång

 

[jonte987]

Sagt va, roota inte möget

Jag har kört Lineage OS sedan 14.1 för Fairphone och BankID har alltid fungerat. Dock kör jag o-rootat och med GApps MicroG, tror Root kan påverka resultatet med bankappar (folk från andra länder tycks ha haft de problemen.).

Dock har jag inte testkört Lineage os 16.0 än, men verkar som om den officiella versionen släpps i veckan

Om man vill roota, bygga från source (troligare side loada apk från rysk site) så kanske inte bankid är det man söker.

 

[moros]

Jag tycker att det är helt absurt att t.ex. en kommersiell parti som Klarna använder Bank-ID. Tycker också att det är absurt att happy använder den, men det inte värre än Klarna och det verkar funka.

Jag förstår uppriktigt inte. Vad är det som är absurt?

 

[Berk]

Jag förstår uppriktigt inte. Vad är det som är absurt?

Att många privata aktörer har tillgång till ditt personnummer och använder samma online identifikation som staten använder. I Sverige är privacy inte en grej. I t.ex. Tyskland skulle det vara helt oacceptabelt.

EDIT: dessutom blir konsekvenser riktigt stora när någon annan har kontroll över din Bank-ID. De kan göra bokstavligen allt.

 

[moros]

Att många privata aktörer har tillgång till ditt personnummer och använder samma online identifikation som staten använder. I Sverige är privacy inte en grej. I t.ex. Tyskland skulle det vara helt oacceptabelt.

Fast i Sverige är personnummer ingen hemlighet. Det har ju inte med bankid att göra. Det kan man tycka vad man vill om men så har det ju alltid varit.

Sen bara för att man har identifierat dig med med bankid behöver inte det betyda att personnumret är sparat i tjänsten som du loggar in på. Det tror jag inte i alla fall. De sparar antagligen en token för att kunna koppla verifierad identitet men här kan jag ha fel.

I praktiken ber en webbsida dig att identifiera dig. Du gör det med bankid och bankid säger ok till tjänsten att du är du. Utväxlingen med personnummer sker mellan dig och bankid.

Sen om en tjänst kräver att du anger personnummer för att registrera dig så är det en annan sak. Sen använder ju många tjänster ditt personnummer för att till exempel hämta uppgifter från folkbokföringen, spar mm

Att "de använder samma online identifikation som staten använder" (antar att du menar skatteverket och andra myndigheter), borde väl snarare vara en kvalitetsstämpel på att ex Klarna eller Happyride använder en säker och seriös tjänst än något annat?

 

[Berk]

Fast i Sverige är personnummer ingen hemlighet. Det har ju inte med bankid att göra.

Sen bara för att man har identifierat dig med med bankid behöver inte det betyda att personnumret är sparat i tjänsten som du loggar in på. Det tror jag inte i alla fall.de sparar antagligen en token för att kunna koppla verifierad identitet men här kan jag ha fel.

I praktiken ber en webbsida dig att identifiera dig. Du gör det med bankid och bankid säger ok till tjänsten att du är du. Utväxlingen med personnummer sker mellan dig och bankid.

Sen om en tjänst kräver att du anger personnummer för att registrera dig så är det en annan sak. Sen använder ju många tjänster ditt personnummer för att till exempel hämta uppgifter från folkbokföringen, spar mm

Jag vet inte. Med t.ex. Klarna kommer ditt personnummer up. Jag vet dock inte om Klarna lagrar det eller det är lagrat i en cookie.

Att ditt personnummer inte är hemligt är också problematiskt. Både personnummer och Bank-ID används för viktigt kommunikation med staten. De borde inte användas av privata aktör.

Sverige är enda landet jag känner till där betaltjänsten använder samma personnummer och identifikation som staten. Enda fördelen jag har sett är att det finns färre bedrägerier på happy.

 

[moros]

Jag vet inte. Med t.ex. Klarna kommer ditt personnummer up. Jag vet dock inte om Klarna lagrar det eller det är lagrat i en cookie.

Att ditt personnummer inte är hemligt är också problematiskt. Både personnummer och Bank-ID används för viktigt kommunikation med staten. De borde inte användas av privata aktör.

Sverige är enda landet jag känner till där betaltjänsten använder samma personnummer och identifikation som staten. Enda fördelen jag har sett är att det finns färre bedrägerier på happy.

Ja fast i klarnafallet så har det ju inte med bankid att göra. Vill de ha ditt personnummer så vill de ha det. Sen när du gett dem ditt personnummer för att använda deras tjänst så verifierar du att du är du med bankid. Alternativt hade man ju kunnat göra som man förtfarade gör i vissa lägen exempelvis mot amerikanska tjänster. Att kopiera sitt pass/körkort och skicka in. Då använder jag hellre bankid

 

[Berk]

Ja fast i klarnafallet så har det ju inte med bankid att göra. Vill de ha ditt personnummer så vill de ha det. Sen när du gett dem ditt personnummer för att använda deras tjänst så verifierar du att du är du med bankid. Alternativt hade man ju kunnat göra som man förtfarade gör i vissa lägen exempelvis mot amerikanska tjänster. Att kopiera sitt pass/körkort och skicka in. Då använder jag hellre bankid

Jag har aldrig i mitt liv behöva identifiera mig för att köpa något förutom i Sverige.

EDIT: "behövs" är kanske för starkt. I de flesta (alla?) fall går det att undvika att get personnumret till betaltjänster.

 

[moros]

I klarnafallet så agerar de ju bank och de gör så vitt jag vet kreditupplysning. I alla fall om man vill betala via faktura (betala den) Så jag vet inte riktigt hur du vill att de skall göra det utan ditt personnummer?

 

[moros]

Jag har aldrig i mitt liv behöva identifiera mig för att köpa något förutom i Sverige.

Nej och hur verifierar du dig när du köper något på avbetalning i Nederländerna då?

 

[Berk]

Nej och hur verifierar du dig när du köper något på avbetalning i Nederländerna då?

Ingen aning. Det har jag aldrig gjort.

 

[Berk]

I klarnafallet så agerar de ju bank och de gör så vitt jag vet kreditupplysning. I alla fall om man vill betala via faktura (betala den) Så jag vet inte riktigt hur du vill att de skall göra det utan ditt personnummer?

Där har du kanske rätt. Det är dock mycket irriterande att det är default-valet.

 

[moros]

Jag har aldrig i mitt liv behöva identifiera mig för att köpa något förutom i Sverige.

EDIT: "behövs" är kanske för starkt. I de flesta (alla?) fall går det att undvika att get personnumret till betaltjänster.

Betalar du med ett kreditkort som en annan bank redan utfärdat så har du ju identifierat dig en gång hos banken. Förr i tiden gick man till kontoret. Bokade tid. Stod i kö och visade upp sitt körkort. Sen fick man sitt Visa kort. Banken sparade nog ditt personnummer i sitt register. Sen hade du en pinkod för att ta ut pengar. Och betalade online bara med hjälp kortnumret och utgångsdatum

Sen kom man på att det nog är bra att identifiera sig online också när du gör ett köp, på ett eller annat sätt. Först kom engångskoder och dosor. Sen kom bankid. Även med engångskoder så avslöjade du vem du är. Ser inte vad skillnaden med bankid är.

Sen kan jag hålla med om en sak. Det är att många tjänster har valt, antagligen av ren slentrian, att bara erbjuda registrering via bankid. Det är lite av ett otyg ibland. Men jag tror inte det på något sätt gör ett jättestort intrång i min anonymitet egentligen. Men då kan man oftast inte registrera sig med en anonym mailadress och ett påhittat namn.

 

[Stervelo]

En lite anekdot.

Jag fick en swish på 100 kronor av ett nummer jag inte känner igen. Fick sen ett mess, undertecknat av en snubbe, han hade swishat fel, swisha tillbaka dem. Jag googlade numret, tillhörde PROs orförande i Sverige, som är Kvinna, till namnet i alla fall. Jag gjorde inget. Hade han hört av sig igen så hade jag sagt, skicka kontonummer så för jag över. Jag ringde min bank, de tyckte jag gjorde rätt.
De menade på att de "probar" för att hitta nya sätt att snilla folk på pengar.

 

[Berk]

Betalar du med ett kreditkort som en annan bank redan utfärdat så har du ju identifierat dig en gång hos banken. Förr i tiden gick man till kontoret. Bokade tid. Stod i kö och visade upp sitt körkort. Sen fick man sitt Visa kort. Banken sparade nog ditt personnummer i sitt register. Sen hade du en pinkod för att ta ut pengar. Och betalade online bara med hjälp kortnumret och utgångsdatum

Sen kom man på att det nog är bra att identifiera sig online också när du gör ett köp, på ett eller annat sätt. Först kom engångskoder och dosor. Sen kom bankid. Även med engångskoder så avslöjade du vem du är. Ser inte vad skillnaden med bankid är.

Sen kan jag hålla med om en sak. Det är att många tjänster har valt, antagligen av ren slentrian, att bara erbjuda registrering via bankid. Det är lite av ett otyg ibland. Men jag tror inte det på något sätt gör ett jättestort intrång i min anonymitet egentligen. Men då kan man oftast inte registrera sig med en anonym mailadress och ett påhittat namn.

I Nederländerna har min bank dock inte mitt personnummer.

 

[moros]

En lite anekdot.

Jag fick en swish på 100 kronor av ett nummer jag inte känner igen. Fick sen ett mess, undertecknat av en snubbe, han hade swishat fel, swisha tillbaka dem. Jag googlade numret, tillhörde PROs orförande i Sverige, som är Kvinna, till namnet i alla fall. Jag gjorde inget. Hade han hört av sig igen så hade jag sagt, skicka kontonummer så för jag över. Jag ringde min bank, de tyckte jag gjorde rätt.
De menade på att de "probar" för att hitta nya sätt att snilla folk på pengar.

Ja och det där är ju ett av problemen med "enkelheten" i bankid och Swish bl.a. Dvs att det är väldigt lätt att nyttja den typen av hål. Framförallt hos lite mer utsatta delar av befolkningen

 

[jonte987]

Jag tycker man kan fokusera på out come istället för lösning.

Vet staten och kapitalet vad svensken håller på med? Ja. Vet staten och kapitalet vad tysken håller på med? Ja.
Ingen skillnad i out come beroende hur du identifieras.

 

[moros]

Jag tycker man kan fokusera på out come istället för lösning.

Vet staten och kapitalet vad svensken håller på med? Ja. Vet staten och kapitalet vad tysken håller på med? Ja.
Ingen skillnad i out come beroende hur du identifieras.

Fast tysken gillar sina kontanter så man slipper papperspår :)

 

[jonte987]

Fast tysken gillar sina kontanter så man slipper papperspår :)

Låter inte som det har med personnummer, bankid eller knäckta koder att göra det heller

 

[moros]

När det gäller att tjänster sparar/kräver personnummer (indirekt för att skapa konto via bankid) så är det nog för enkelhetens skull och för att vi aldrig haft något problem med att lämna ut det historiskt sett. (på gott och ont)

Men säg en tjänst för att ladda eller tanka bilen via app. I appen lägger man in sitt kort och när man gör det slussas man vidare till verifieringen via banken, utväxling av identitet via bankid sker via bank och kortägaren.

I detta fallet har inte tjänsten ditt personnummer. Det kanske räcker med mail/tel och adress för att registrera sig. Men sen vill de göra tjänsten enklare/säkrare/snabbare så de kräver bankid vid registrering. Då plötsligt har man ett led till som plötsligt har ens personnummer eventuellt.

Då kan man tycka att det känns lite onödigt och intrång i ens integritet, personnummer är i det här fallet kanske inte nödvändigt för att leverera tjänsten. Men man får antagligen betydligt färre bedrägerier och falska konton som tjänsteleverantör. Å andra sidan utesluter man folk som inte kan/vill använda bankid.

 

[mzi]

I Nederländerna har min bank dock inte mitt personnummer.

Din bank i Sverige har ju inte ditt PRI heller utan bara ditt PNR.

 

[arcamone]

…eller bara det att man börjar slarva med inloggning i BankId. Det är ju bankerna, elhandlare, mataffären med mera. Om vi bara använt den till de absolut viktigaste - identifikation och möjligtvis banktjänster tror jag den skulle vara säkrare. Handen på hjärtat, kollar ni alltid allt innan ni klickar godkänt, troligtvis inte. Slentrianmässigt gör man det såklart men är det tillräckligt?

 

[mzi]

För autentisering så har jag bara fingeravtryck, men för auktorisering så behöver jag slå in min långa kod, för mig blir det ett tillfälle för reflektion.

Jag tycker det borde vara ett krav.

 

[jonte987]

Om banken och staten använder olika id nummer som givetvis går att knyta till varandra och att det gör att folk tror att de är fria från kontroll så är det ju ett lyckat bedrägeri av staten.

Här i Sverige har vi bara riktigt skydd som är så pass starkt och djupt rotat att gängbrottslingar på flykt får hjälp av skatteverket.

Medan i NL så måste man ha maestro-kort för att kunna åka tåg. Alternativt köpa biljett i bemannad lucka - kontant. McDonalds började ta master card för bara några år sen

 

[nisseson]

Jag läste en artikel i våras om ett förslag att att kanske ha två e-idtjänster istället för en skulle kunna minska de största bedrägerierna. Att ha ett "storapengar-id" med befogenhet att kunna flytta sina livsbesparingar till en främmande person på stört (som vi vant oss med och vill), och ett annat, oftare använt, lätta e-id:t för att kolla gårdagens elförbrukning på e.on eller beställa hem hämtmat för kvällen. Sen är utfärdaren selektiv med vem som får ansluta sig (banker, staren) till storapengar-id. Förhoppningen var att fler skulle dra öronen åt sig och avvakta när de ombeds lämna ut storapengar-id:t när det ringer främlingar på telefonen som "bara behöver en inloggning för att stoppa den felaktiga resebeställningen".

Om förslaget skulle göra någon praktisk skillnad vet jag inte, bedrägarna är smarta och ändrar sina upplägg, men kanske iaf ge lite mer trygghet till vissa om att släktförmögenheten inte försvinner så enkelt, och iaf i vissa fall minska konsekvenserna av bedrägerierna.

 

[bonbon]

Kortbedrägerier är annorlunda och där handlar det oftast om stulna kortuppgifter. Numera krävs dock i princip alltid att kortköp verifieras mdd exempelvis bank-ID, så jag undrar hur vanligt det är?

Att kortuppgifter stjäls är betydligt vanligare än att du förlorar några pengar på det, är väl det enkla svaret,
åtminstone för kort utgivna i EU. De största riskerna med ett kort utgivet i Sverige är nog att din tonåring stjäl kortuppgifter eller att banken stoppar en transaktion för mycket.

Men även i gamla lösningen så hade du fått fel om du hade initierat den själv. Men nu så är möjligheten borta för den typen av attacker.

En möjlighet som man kan anse aldrig borde funnits där från början, men det var viktigare för bankerna att ta bort "friktion" för att folk skulle börja använda den "säkra" lösningen. Det var inte direkt så att phishing var något okänt som dök upp senare under 10-talet.

Gäller de flesta intrång. Människor är mjukare än system i många fall.

Ja, vilket i sin tur innebär att system som är designade utifrån ett antagande att människor är hårda inte är hårda system.