Monthly Archives: January 2014

En af de ting der vil være afgørende for BedreID projektet er om vi kan skabe bro mellem identitets- og rettighedsstyring til “government”, “commercial”, “social” og “enterprise” formål.

ISO/IEC 24760 og ITU-T X.1254 definerer overordnet identitet som et “Set of attributes related to an entity”. Alligevel er de nuværende praktiske løsninger på disse tre områder ret forskelligartede. I første omgang vil jeg her på firkantet vis forsøge at sætte fokus på forskellene mellem “government” og “commercial” ID.

Government ID

Ved et government ID forstås normalt et ID udstedt og benyttet af en nationalstat til sine borgere.

I en stat er der mange forskellige myndigheder, der registrerer en lang række oplysninger om borgerne. For at kunne samkøre disse registre er det praktisk at vælge en fælles identifier eller “master-attribut” (hvilket dog er ulovligt i flere lande). I Danmark er det CPR-nummeret. De fleste myndigheder har sørget for lovhjemmel til at tilgå alle relevante oplysninger om borgerne, så rettighedsstyring er der kun begrænset behov for.

Borgerne i en stat har ofte brug for at søge om tilladelse til forskellige formål. Selvom myndighederne i en stat principielt har adgang til alle relevante oplysninger om borgerne, har det været traditionel praksis at lade brugeren selv udfylde en formular med “self-asserted claims” under ansvar for at oplysningerne er i korrekte. Det er derfor man ofte benytter betegnelsen “Digital signatur” som pendant til den traditionelle håndskrevne signatur på formularen. Også selvom brugen af certifikatet i løsningen (f.eks. NemID) primært benyttes til autentifikation af brugeren og yderst sjældent til en egentlig signering af et digitalt dokument.

Modellen med “self-asserted claims” bygger på antagelsen om at hvis nogen snyder med sine oplysninger, kan staten altid efterfølgende finde frem til vedkommende og sanktionere med bøder eller straf.

Forsøg på anvendelse af offentligt ID i kommercielle eller sociale sammenhænge giver ikke nødvendigvis den ønskede effekt:

• E-handlende opdager for eksempel hurtigt at professionelle skyldnere så godt som aldrig har bopæl på deres folkeregisteradresse, hvor politiet forventer at finde dem. Og selv om man alligevel skulle finde en skyldner, kan man ikke klippe håret af en skaldet.
• Og i sammenhænge, hvor medarbejderne – som f.eks. i sundhedssektoren – trænes i at socialisere kunderelationen, får den uopfordrede brug af første fornavn som kaldenavn den stik modsatte virkning, hvis dette ikke er ens normale kaldenavn.
• Selv i rent offentlige sammenhænge kan adgang til for mange oplysninger udgøre et problem, f.eks. når en sagsbehandler bevidst eller ubevidst inddrager irrelevante faktorer i afgørelser vedrørende borgere.

Commercial ID

Hvor nationalstaterne udøver en streng kontrol med deres population af borgere, ønsker kommercielle virksomheder som udgangspunkt at tiltrække ny kunder fra hele verden uden nødvendigvis først at have identificeret disse entydigt. Virksomhedernes primære fokus er på sikkerheden for modtagelse af betaling for deres varer og tjenesteydelser.

Til det formål er der etableret “trust-frameworks” (e.g. VISA og Mastercard) hvori forskellige typer virksomheder i den finansielle verden – herunder kundens bank/kortudsteder samarbejder om på forhånd at kunne dokumentere kundens betalingsevne ved den efterfølgende handel. Istedetfor at få et “self-asserted claim” fra kunden om at han vil være istand til at betale, får butikken et “validated third party claim”, der blot identificerer kunden, som “en person, der (med rimelig sikkerhed) vil kunne betale” for virksomhedens vare eller ydelse. For virksomheden kan sådan “rettidig omhu” altså mindske behovet for senere brug af retsvæsenet samtidigt med at kunden får bedre muligheder for at beskytte sit privatliv.

Udover denne mulighed for “minimum information disclosure” skaber frameworket som “multi party” system også mulighed for “interoperabilitet” d.v.s. at virksomhed og kunde hver især frit kan vælge en passende udbyder (bank) overalt i verden uden at dette påvirker muligheden for at overføre “claims”.

Er det OK at disse løsninger fortsætter med deres nuværende særpræg?
Eller skal man tage ved lære af hinanden eller etablere fælles løsninger?

Eller skal man gøre noget helt tredje?
Hvad mener du f.eks. om perspektiverne ved at inddrage brug af social- eller enterprise ID i government og commercial sammenhænge?

Smartphone-apps som det populære spil ‘Angry Birds’ er et værdifuldt overvågningsværktøj for både amerikanske NSA og britiske GCHQ. Det skriver The Guardian.

Applikationernes rolle i efterretningstjenesternes massive overvågning er den seneste af mange afsløringer bragt til veje af NSA-whistlebloweren Edward Snowden, og af lækkede dokumenter kan man læse, at der er rigeligt med informationer at hente i apps, der flittigt sender brugerens personlige oplysninger rundt på internettet.

Karakteren af data varierer fra beskedne ting som telefonmodel og skærmstørrelse til mere følsomme informationer som geografisk placering, køn og seksuel orientering.

De lækkede dokumenter beskriver også, hvor meget information NSA kan få ud af en situation, hvor en person uploader et billede til et socialt medie via en mobilenhed.

Efterretningstjenesten kalder situationen “det perfekte scenarie”, og ud over selve billedet kan NSA da også få både geografisk placering, telefonmodel, e-mail og venneliste. I mere udbytterige tilfælde kan NSA malke et sådant scenarie for oplysninger som alder, køn, nationalitet, etnicitet, civilstatus og uddannelsesniveau.

Af de fortrolige dokumenter kan man også læse, at GCHQ effektivt overvåger korttjenesten Google Maps, og at ‘alle, der bruger Google Maps, i praksis arbejder for at forbedre GCHQ-systemet’.

For et par måneder siden lancerede jeg projekt BedreID som har til formål at omsætte kritikken af CPR, NemID m.m. til konstruktive udspil til næste generations løsninger for identitets- og adgangsstyring.

Efter en fejlsatsning med hensyn valg af platform er websitet BedreID.dk nu klar som basis for kommunikationen i projekt BedreID. Vi endte med en løsning baseret på Drupals forummodul konfigureret med forskellige muligheder for email-notifikation om ny debatemner og -indlæg. For at skabe en balance mellem åbenhed og struktur er der et generelt forum, hvor alle kan oprette ny emner, mens der er specifikke fora, hvor ny emner kun kan oprettes af brugere med status som “editor”. Denne blog på version2.dk vil blive brugt til at pushe spørgsmål relateret til ny emner og delagtiggøre en bredere kreds om projektets status og delkonklusioner.

Der er i den forløbne periode indløbet flere støtteerklæringer til projektet, både fra virksomheder og organisationer samt fra personer, der ønsker at deltage i større eller mindre omfang. I den kommende tid kommer der til at ske mange ting af betydning for fremtidens løsninger for identitets- og rettighedshåndtering, så det er et godt tidspunkt at komme igang på.

Den internationale privacy dag

At BedreID netop er blevet klar til start på den internationale privacy day d. 28. januar var ikke oprindeligt planlagt. Men nu er der god mulighed for at lade sig inspirere til deltagelse i BedreID med IEEE/Kantara arrangementet Privacy for the People – Google Hangout On Air. Debattørerne omfatter bl.a. Ann Cavoukian, lederen af det canadiske datatilsyn, der regnes for en af verdens førende privacy-eksperter. Nævnes skal også Eve Maler, som tidligere har medvirket til SAML standarden, der bl.a. benyttes af NemLog-in. Nu er hun den drivende kraft bag UMA, en brugercentrisk overbygning til Oauth2 protokollen.

Arrangementet finder sted på dette link i aften kl. 21:00 dansk tid

Engang var det den foretrukne e-mail-tjeneste for internettets underverden, men nu er det den måske mest gennemhullede af dem alle. FBI har nemlig undervejs fået sig en fuld kopi af hele databasen over e-mails, som hurtigt kan blive gennemsøgt i forbindelse med nye sager. Det skriver Wired.

Det kræver dog en kendelse for hvert dyk ned i databasen, og der er ikke oplysninger, der tyder på, at FBI har ledt de mange data igennem uden at have det juridiske grundlag i orden, vurderer Wired-journalisten. Men barrieren er selvsagt meget lavere, når databasen står klar til søgninger, end hvis man for hver forespørgsel skal have data udleveret fra en leverandør.

FBI’s fangst af TorMail-data skete, da hostingselskabet Freedom Hosting i en sag om børneporno blev ransaget under en international aktion i juli 2013. Den formodede leder af tjenesten blev anholdt i Irland, og serverne blev konfiskeret i Frankrig.

Freedom Hosting blev brugt af mange forskellige typer, der ikke ønskede at blive overvåget, alt fra systemkritikere og journalister til hårdkogte kriminelle. Og så rummede serverne altså hele TorMails backend, som FBI dermed kunne konfiskere og gemme til senere brug.

Også TorMail var populær hos folk, der ønskede at beskytte sig mod, at andre kunne læse med. Tjenesten reklamerede med, at man ikke på nogen måde samarbejdede med myndighederne.

Efter politiaktionen blev alle sites, som Freedom Hosting tidligere lagde diske til, udstyret med en fejlmeddelelse, hvor skjult kode udnyttede en svaghed i ikke-helt-opdaterede udgaver af Tor Browser Bundle til Firefox. Det gjorde det muligt at afsløre, hvem de besøgende var, fordi anonymiseringsfunktionen blev sat ud af kraft. Det er i sagens natur ikke officielt bekræftet, men alt tyder på, at FBI står bag spion-softwaren.

Den kinesiske søgemaskine Baidu er netop i fuld gang med at afprøve sin søgetjenester på nye markeder. Det skriver Itworld.com.

Baidu, som er den dominerende søgeservice i Kina, har nemlig åbnet op for tjenesten i Brasilien, Egypten og Thailand. Der er dog endnu ikke tale om en officiel lancering i de tre lande, men blot en beta, hvor Baidu kan tilpasse sin søgetjeneste til nye sprogområder.

Baidu bliver stort set ikke brugt uden for Kina, men virksomheden har siden 2008 forsøgt at trænge igennem på det internationale marked, hvor den lancerede en service målrettet Japan.

I 2011 annoncerede Baidu at virksomheden ville fokusere på udviklingslande og begyndte allerede på det tidspunkt, at udvikle internettjenester til Thailand og Egypten.

I december måned 2013 stod Baidu for 18,8 procent af alle internetsøgningerne, mens Google stod for 68 procent.

Manden bag Bitcoin-byttecentralen Bitinstant, Charlie Shrem, er anholdt og sigtet af de amerikanske myndigheder for hvidvask. Det skriver BBC.

Ifølge anklagen har Charlie Shrem solgt store mængder af den virtuelle valuta til Robert Faiella, med viden om at pengene skulle bruges til ulovlig narkohandel. Robert Faiella købte nemlig bitcoins for mere end 1 million dollar for at sælge dem videre til folk, der ønskede at købe narkotika anonymt online.

Det fik de amerikanske myndigheder til at anholde både Charlie Shrem og Robert Faiella henholdsvis søndag og mandag.

Ifølge anklagen har Charlie Shrem brudt Bank Secrecy Act, som forpligter de amerikanske banker til at advare myndighederne, hvis de har mistanke om hvidvaskning.

Anholdelserne kommer i kølvandet på nedlukningen af Silk Road, som var en slags digital Pusherstreet, hvor der hovedsageligt blev handlet med ulovlig narkotika. Den foretrukne valuta på Silk Road var Bitcoin.

Arbejdsskadestyrelsen sidder lige nu på vippen, når det gælder fremtiden for et nyt sagsbehandlingssystem, Proask, som foreløbig har kostet styrelsen 164 millioner kroner. En ny rapport fra konsulentfirmaet Deloitte anbefaler styrelsen at skrotte systemet.

Det skyldes især lange svartider, som ikke ser ud til at kunne løses og i visse tilfælde får arbejdsgangene til at tage fem gange så lang tid som med det eksisterende system fra 1991. Systemets skæbne er dog endnu ikke afgjort.

»Det er en foreløbig rapport, så beslutningen er ikke truffet. Vi regner med, at der bliver truffet en beslutning i løbet af foråret,« siger direktør i Arbejdsskadestyrelsen Anne Marie Rasmussen til Version2. Hun understreger, at ingen af de tilskadekomne, hvis sager styrelsen behandler, bliver påvirket af situationen.

Anbefalingen om at lukke Proask-systemet ned og droppe projektet strider umiddelbart imod en rapport, som blev afleveret til styrelsen i juni 2013 fra Gartner Consulting. Her lød anbefalingen på at fortsætte projektet, fordi det stadig kunne komme til at give en positiv tilbagebetaling i 2020 mod oprindeligt allerede i 2013.

Det fremgår af en evalueringsrapport fra Arbejdsskadestyrelsen til ABT-fonden, som har været med til at betale en del af projektet.

Hvad har ændret sig, siden I fik Gartner-rapporten i juni 2013?

»Gartner-rapporten var afgrænset til at se på arkitekturen og en generel vurdering af projektet. De skulle ikke se på gevinsten ved endelig ibrugtagning. Gartner pegede også på nogle kritiske punkter, og da vi begyndte implementeringen, blev vi i tvivl og satte derfor en ny vurdering i gang,« forklarer Anne Marie Rasmussen.

Gartners vurdering af en mulig effektiviseringsgevinst, der svarede til det oprindeligt planlagte, var under forudsætning af, at problemerne med systemet kunne løses, samt at styrelsen kunne hente effektiviseringer ved omlægning af arbejdsprocesser.

»Deloitte har set på idriftsættelsen og effekterne. Svartiderne er for lange, og der peges klart på, at det ikke er muligt at løse det, så systemet bliver tilstrækkeligt effektivt« siger Anne Marie Rasmussen.

Leverandøren af Proask, Steria, har endnu ikke haft mulighed for at se den nye rapport fra Deloitte. Projektet er formelt overdraget i henhold til kontrakten til Arbejdsskadestyrelsen, men Steria har fortsat ansvaret for vedligeholdelse.

Proask-systemet skulle være taget i drift i 2011, men allerede i januar 2011 stod det klart, at systemet ville blive forsinket, fremgår det af et aktstykke fra Beskæftigelsesministeriet til Folketingets Finansudvalg. Derfor bestilte styrelsen en rapport fra konsulentfirmaet PA-Consulting, som konkluderede, at projektet ville blive forsinket med et halvt år. I en orientering fra Finansministeriet fra 2010 fremgik det desuden, at budgettet ville blive overskredet fra 108 millioner kroner til 137 millioner kroner. Den samlede pris er foreløbig endt på 164 millioner kroner.

Arbejdsskadestyrelsen og Steria indgik i begyndelsen af 2011 en ny aftale, hvor første fase af systemet skulle ligge klar i juli 2011, og anden fase skulle være afsluttet i april 2012.

Systemet blev imidlertid yderligere forsinket, og det blev først endelig afleveret til styrelsen i december 2012. Systemet havde på daværende tidspunkt bestået både en overtagelsesprøve og en driftsprøve i henhold til K02-kontrakten. 28. december 2012 overtog Arbejdsskadestyrelsen Proask fra Steria.

Ifølge Evalueringsrapporten fra Arbejdsskadestyrelsen var der imidlertid allerede problemer i forbindelse med den driftsprøve, som systemet skulle gennemgå, inden Steria kunne overdrage systemet til styrelsen.

Hvordan kunne systemet bestå prøverne, hvis det nu viser sig, at det må kasseres?

»De afsluttende prøver blev vurderet i forhold til kontrakten. I samråd med Kammeradvokaten vurderede vi, at leverandøren havde levet op til kontrakten, men da vi satte det i pilotdrift, viste der sig at være alvorlige problemer med systemet,« siger Anne Marie Rasmussen.

De problemer, som kan koste systemet livet, er hovedsageligt lange svartider, hvor brugerne skal sidde og vente. Det er der ifølge Deloitte-rapporten ingen forventning om at kunne afhjælpe i tilstrækkeligt omfang til at kunne hente den ønskede gevinst.

Steria har efterfølgende leveret mindst fire efterleverancer i henhold til en vedligeholdelsesaftale. Ifølge Gartner-rapporten var der forventning om, at den fjerde efterleverance ville kunne afhjælpe problemerne, og det ville være muligt med en merinvestering på mellem 20 og 30 millioner kroner at få projektet på ret køl.

Det har også været holdningen i Arbejdsskadestyrelsen frem til den nye rapport fra Deloitte. I september 2012 oplyste styrelsen til Digitaliseringsstyrelsen og Statens It-projektråd, at Arbejdsmarkedsstyrelsen forventede at kunne realisere alle de væsentlige gevinster ved indførelsen af systemet.

Af rapporten fra Gartner Consulting, som blev bestilt i marts 2013, fremgår det, at blot 20 procent af styrelsens såkaldte P-sager blev behandlet i Proask-systemet. Blot én procent af A-sagerne blev behandlet i systemet.

Alligevel var forventningen, at systemet kunne stå for behandlingen af alle sager ved udgangen af 2015.

Det fremgik imidlertid også af Gartner-rapporten, at behandlingstiderne for visse arbejdsprocesser kunne være op mod fem gange længere, end det var tilfældet med det system fra 1991, som Proask skulle afløse.

Styrelsen kunne måle en fremgang på visse områder efter den tredje opdatering af systemet, men i flere tilfælde stadig længere arbejdsgange end det gamle system.

I juni 2013 vurderede styrelsen på baggrund af Gartner-rapporten, at Proask trods forsinkelsen stadig havde potentiale til at blive et effektivt og tidssvarende sagsbehandlingssystem.

Den vurdering ser Deloitte-rapporten nu ud til at have skudt i sænk, hvis styrelsen vælger at følge anbefalingen i den foreløbige udgave af rapporten.