Hur mycket litar ni på BankId?

Utan möjlighet till granskning av källkoden bakom så kan jag inte betrakta den som helt säker. Samtidigt så väljer jag aktivt att bedöma lösningen som tillräckligt säker för att använda mig utav, men det är endast av rent praktiska skäl.

Det här är ett väldigt klokt inlägg.

Jag har tidigare svarat i tråden att jag litar ganska mycket på bankIDs tekniska del i sammanhanget. Det gäller fortfarande. Och som vissa skriver så har användaren inte varit riktigt uppmärksam.

Men hur lätt utfärdar banker dessa bankIDn egentligen? Det är en rimlig fråga att ställa sig. Låter som ansökningsprocessen är för lättvindig. Det är bankernas fel - inte bankIDs heller.
Men som slutanvändare vill man precis som du säger kanske inte behöva grotta i varje teknisk specifikation om säkerhetsnivåer. Alla är inte kunniga eller intresserade av så tekniska aspekter.
Kedjorna och helhetslösningarna behöver vara anpassade för användaren - snarare än att användaren ska anpassas efter tekniken.

Artikeln utgår från hennes upplevelse, inte helt osannolikt filtrerad genom ett skämmigt-filter eller en journalist som vill få en bättre "story", så jag skulle inte ta den för en helt korrekt beskrivning.

Min minnesbild är att appen skickar en notifikation när det utfärdas ett nytt mobilt BankID. Sådant kan förstås fallera, det kan svepas bort ihop med annat som skräp, om man inte inser vad det är, eller så kan det finnas undantagsfall. Befintliga ID:n går att se hos BankID om man vill kontrollera vilka som finns. Det brukar stå i appen vad man "signerar", t ex en överföring på x kronor.

Man kan notera att det finns både legitimera och signera, vilket även syns i historiken som går att se via appen. I historiken syns dock bara vad man gjort, på vilken ungefärlig plats, typ av enhet, IP (tror jag) och lite annat. Dock syns inte vad man har gjort, utan det hänvisas till den aktör man interagerat med.

Sant, betydligt fler försvarar BankID än är kritiska mot det.

Det är ju tydligt att bankerna har sina egna implementationer av meddelanden och varningstexter. Som emigrating12 skrev när han nämnde den utökade BankID-tjänsten hos Swedbank. Då de är störst på marknaden kände de tydligen att detta tillägg behövdes för att skärpa upp och ÖKA säkerheten.

Kanske är det känslan av att "det kan inte hända mig" och "det är ju enkelt, smidigt och användbart" (blandar ihop detta med säkerhet). Ändå räckte det med två personer (båda nu ihjälskjutna), en telefon och offrens BankID för att olovligen komma över miljonbelopp. Det lär ju finnas betydligt fler än dessa två som sysslat med denna ljusskygga verksamhet.

Tänk er själva, ett samtal du själv indirekt initierat, lite kalkylerad stress, och kontot töms. Vissa är lika duktiga på detta som vi är på datorer.

Off topic, jag känner en person som blev av med ett större belopp där bedragaren förde över summan till sitt eget konto!
Resultatet: Polisen lade ner ärendet då ord stod mot ord. Bedragaren skyllde på detaljer i offrets privatliv och gick fri!
Detta skedde dock inte med BankID, så det är inte skälet till min negativa inställning.

Därimot lider jag med alla offer, oavsett hur naiva de varit.

Med det vill jag säga att jag hellre piskar tekniken än att tycka att offren skall skylla sig själva.

En förbättring vore ju t.ex. att oavsett vilket BankID det gäller, så notifieras händelser till samtliga enheter som har kundens BankID.
Men det löser ju inte problemet att ståldörren redan är öppen, säkerhet är svårt, människor är svårare.
Löser ju heller inte problemet med bankID på olika banker, kan tänka mig att banksekretessen ställer hinder.

Är det inte redan så? Eller är det specifikt när det är samma utfärdare bara?

Jag litar på BankID 100%.

Det måste ju inte "knäckas" för att inte vara 100% säkert. Till exempel så finns väl fortfarande möjligheten att någon drar igång en inloggning, och när du själv ska logga in på samma sida och startar appen så kommer deras inloggning upp (eftersom den redan väntade när appen startades). Du kollar i appen, ser samma sida som du förväntar dig, och godkänner... men du loggas inte in. Istället loggades de in. Var det skit bakom spakarna hos dig detta fallet, eller var det ett tecken på att BankID inte är ofelbart?
(Med lite slarv så kan man ju loggas in på precis vilken sida som helst denna vägen, genom att helt enkelt inte själv verifiera vad som står innan man godkänner, men då stämmer det ju som du säger att det är delvis ens eget fel också.)

Sidor som Swedbank och Avanza har börjat lösa detta nu genom att kräva QR-kod-scanning för inloggning när det är från separata enheter, som när man surfar på dator, så att det garanterat är ditt inloggningsförsök som godkänns, men detta är väl knappast särskilt välspritt ännu, ffa inte på sidor med lägre säkerhetskrav än banker.

Om du annars menade att skiten bakom spakarna är hos de som implementerar BankID till sina sidor så tyder ju även det på att det inte är 100% säkert system, speciellt inte på det viset som omröstningen uttrycker det.

Behöver alla krocktesta sin bil? Kanske räcker det med att tillverkaren säger att den är säker? Det verkar ju räcka för IT-säkerhet...

Hm, på Swedbank går det inte att logga in på annan enhet den vägen, vad jag kan se (dvs Swedbank på dator med mobilt BankID). Det går om man loggar in på samma enhet som man kör BankID på däremot, men det är ju svårt att blockera det utan att stänga ute en väldig massa giltiga inloggningar.

Det finns mycket att önska från appens tydlighet.
tex:

Läs vad jag skrev igen. "Utan möjlighet till granskning" innebär inte nödvändigtvis att vem som helst ska kunna granska, utan att det för en enskild - eller ett formellt eller informellt kollektiv av - individ(er) ska kunna granska. Då först anser jag den vara 'säker'.
En säker lösning är säker först när vem som helst kan se hur säkerheten är implementerad och lösningen fortfarande är säker. Det är datasäkerhet 1.0.

Obscurity != Security

Att en lösning varit "ute i trafik" gör den inte säker. Ska man på det här forumet faktiskt behöva peka ut alla gamla säkerhetshål som funnits i mjukvara i decennier innan de kommit upp till ytan?

Är BankID i verkligheten säker? Inte alls omöjligt, men för allt vi vet kan det finnas ett gigantiskt säkerhetshål som bara väntar på att upptäckas av en illvillig instans.

Just av den anledningen tillåter inte bankid flera samtidiga operationer utan avbryter allt i en sådan situation. Testa själv.

Nja, det är en anpassning mot hur det är i de flesta andra länder för där är körkort inte ett giltigt id och idag är det också för dålig säkerhet på idhandlingar, finns väl 13 olika versioner av 5 olika huvudtyper idag och de har olika utgivare och utseenden och det gör det svårare att kolla om de är korrekta.
Det är dessutom inte en svensk politisk önskan att rensa upp utan de som ska kolla id tycker att det finns för många olika typer och att det helt enkelt inte fungerar säkert nog idag. De nya idkortet ska även innehålla biometridata och en funktion för elektronisk identifiering likt dagens bank id.
Det handlar om att modernisera id korten och göra dem svårare att förfalska och enklare att kontrollera.
Körkort ska bara visa om man är behörig att framföra ett fordon och inte vara giltigt som identifikation, de har gällt som id på "undantag" sedan 70 talet så att de upphör att vara giltigt id är på tiden.
Jag tror det här är bra.

Poängen med körkortet måste ju nästan upphöra om man ändå måste ha med sig en annan id handling som elektroniskt styrker vem du är.

Att ett "osäkert" körkort gäller tillsammans med "säkert" ID känns ju lite bakvänt.

Körkortsdelen borde i så fall bli en underfunktion till ID handlingen.
Om de ändå ska röra runt i grytan kan passet även ersättas av en legitimation?