Bank-id

Bank-id (varumärke BankID) är det i särklass största e-legitimationssystemet i Sverige och förvaltas av företaget Finansiell ID-Teknik BID AB som ägs av flera svenska banker. I november 2021 fanns det 8,2 miljoner aktiva Bank-id-användare (i maj 2013 4 miljoner) och 5000 organisationer stödjer bank-id. Endast personer med svenskt personnummer och som är kund i någon av de banker som ger ut bank-id kan erhålla bank-id.

Bank-id har funnits i följande varianter:
Bank-id på fil (på dator)
Bank-id på kort (kopplad till bankdosa)
Mobilt Bank-id (mobilappbaserad lösning)
Bank-id i mobil (SIM-kortsbaserad lösning - avvecklad i Sverige) 

Exempel på användningsområden är Swish-betalningar, bankinloggning, inloggning mot e-myndigheter, åtkomst av sin sjukjournal och förnyelse av recept via 1177.se Vårdguiden, åtkomst av digital brevlåda, webbtidningar bakom betalväggar, försäkringsbolag, privata vårdbolag och fackförbund. Man har även sedan 2018 kunnat hämta ut fysisk post hos Postnords ombud med bankid och Postnord-appen.

Den 19 juni 2023 introducerade Bank-id inläsning av fotolegitimation, vilket möjliggör användning av bank-id fristående för att legitimera sig i verkligheten. Det förutsätter att användaren skannar av sitt fysiska id-kort eller pass. Körkort är inte möjligt att skanna. Bank-id med legitimation har begränsningen att den inte kan användas som resehandling. Dessutom är det varje enskild organisation som beslutar om de vill acceptera det som giltig legitimation. Inledningsvis har det varit svårt för frivilliga att erbjuda kunderna möjligheten på grund av de tekniska förberedelser som krävs.
 
Bank-id i Norge är ett annat liknande system, som hade nära fyra miljoner användare  i augusti 2019.

Varianter

Bank-id på fil 
Tjänsten Bank-id, ibland även kallad  Bank-id på fil, lanserades år 2003. Ett mjukt certifikat och en hemlig kryptonyckel lagras på datorns hårddisk, och fungerar även om filerna flyttas mellan olika datorer, vilket innebär en säkerhetsrisk. 

För att använda Bank-id på en persondator krävs att Bank-id säkerhetsprogram (BISP) installeras i systemet där filen är lagrad. IT-forskaren Roland Orre har riktat kritik mot att det är en alltför plattformsberoende lösning som förutsätter att kunden antingen har Microsoft Windows eller Mac OS. Tidigare stöddes även Linux till viss del, men stöd för Linux fasades ut under 2014.

Bank-id på kort 
Bank-id på kort lanserades 2005. En hemlig privat kryptonyckel lagras i smartkortets chip, som fungerar som hårt certifikat, vilket anses säkrare eftersom det i allmänhet kräver fysisk tillgång till kortet för att fungera. Den privata nyckeln är dock genererad av korttillverkaren så nyckeln är inte kryptografiskt säker. Kortet kan vara ett kreditkort eller ett renodlat bank-id-kort. Kortet kan levereras med eller utan fotografi, och kan fungera som legitimationshandling. Detta kort fungerar ihop med en speciell dosa, kallad bankdosa, som har nummertangentbord för att mata in koder. Vissa banker har chippet integrerat i dosan så att det inte är något kort. Bank-id på kort fungerar med webbläsare i datorn eller mobilen, men långa koder måste matas in på dosan. Programvaran för att kommunicera med kortläsaren måste installeras med admin behörighet och finns endast för Apple Mac och Microsoft Windows.

Mobilt Bank-id 
Mobilt bank-id lanserades oktober 2011, och är en e-legitimation för moderna smarttelefoner från vissa leverantörer som kombineras med en mobilapplikation. Det kan användas både för inloggning och signering via webben på en vanlig persondator, där mobilen fungerar som separat säkerhetsdosa, och för inloggning via bankens eller myndighetens mobilapplikation. Den hemliga nyckeln lagras i en mobil applikation (Bank-id säkerhetsapp), som fungerar som mjukt certifikat. E-tjänstleverantören (den myndighet eller det företag som kunden ska identifiera sig mot) har en valideringsserver.

År 2019 utfärdade alla deltagande banker Mobilt Bank-id, vilket inte gällde de två andra lösningarna.

Bank-id i mobil (avvecklad)
Bank-id i mobil lanserades 2010 och stängdes i Sverige hösten 2011. En hemlig privat kodnyckel lagrades på mobilens SIM-kort, som fungerade mer eller mindre som hårt certifikat eftersom det krävde tillgång till SIM-kortet (direkt eller över nätet). Mobiloperatören tillhandahöll tekniken och tog en avgift för tjänsten.

En privat nyckel genererades i SIM-kortet när e-legitimationen beställdes. Den skyddades i SIM-kortet och lämnade aldrig kortet, och kan därför beskrivas som ett hårt certifikat. En signaturapplikation på SIM-kortet genererar signaturer. Ett modernt SIM-kort krävdes som stödjer SIM Application Toolkit (SAT). Mobiloperatörerna Telia och Telenor har tillhandahållit en tjänst för ändamålet i Sverige, kallad mobilid eller Mobil id-hantering, och tog då en avgift av kunden vid varje legitimering. Bankerna stängde tjänsten i samband med att den app-baserade tjänsten mobilt Bank-id lanserades. Bank-id i mobil var ursprungligen ett samarbetsprojekt mellan Finansiell ID-Teknik, Telia och Telenor, med bank-ID-bankerna som referensgrupp. Den tekniska funktionsprincipen baseras på Wireless PKI-specifikationen (WPKI) som togs fram av WPKI-föreningen.

Statistik 
En undersökning genomförd av Internetstiftelsen år 2022 visade att 91 procent av alla svenskar över 18 år har använt e-legitimation och bland dem använde 90 procent Bank-id. Under covid-19-pandemin ökade det dagliga användandet kraftigt, från 47 procent år 2021 till 71 procent år 2022.

År 2014 använde hälften av alla svenskar med smartmobil tjänsten Mobilt Bank-id. På fem år nästan fördubblades nyttjandet till 94 procent av smartmobilanvändarna.

Begränsningar
Endast Danske bank, Handelsbanken, Ica Banken, Länsförsäkringar, Nordea, SEB, Skandia, Sparbanken Syd, Swedbank och Ålandsbanken tillhandahåller Bank-id (2020).

En begränsning med den svenska varianten av bank-id är att alla som bor och arbetar i Sverige inte har tillgång till systemet, därför att svenskt personnummer krävs för svenskt e-ID, och många som bor långvarigt i Sverige bara har rätt till samordningsnummer. De är därmed utestängda från att göra Swishbetalningar, medan motsvarande norska och danska betaltjänster accepterar motsvarigheten till samordningsnummer. Många av dem har lönekonto och bankkort i en svensk bank, så det är sällan bankerna utan staten som sätter upp dessa hinder. Dock medför bankutfärdade istället för statligt utfärdade e-Id att banker potentiellt kan sätta upp hinder som gör det svårt att få bankkonto och bank-id, och har därmed makt över vem som får och inte får tillgång till myndigheters digitala tjänster. 

Den som har god man har rätt till bank-id, medan den som har förvaltare inte har det utan särskilt beslut från den kommunala överförmyndarnämnden.

Bank-id tillåter inte id-växling (det vill säga att man använder e-legitimation för att skapa ett konto hos en tredje part). Exempelvis universiteten har sådana behov. Det var ett krav från Swedbank för att vara med i projektet Svensk e-legitimation att Skatteverket upphör att ge Sveriges universitetsdatanätverk (SUNET) tillgång till Skatteverkets tjänst "Mina meddelanden" för säker myndighets-e-post, eftersom universiteten sände användaruppgifter till studenters e-postkonton den vägen, vilket banken tolkar som en konkurrerande verksamhet. Därmed tvingades universiteten i december 2015 att återgå till att skicka brev istället för att använda helt elektronisk hantering av studenters ansökningar och kontouppgifter.

En teknisk begränsning med flera varianter av bank-id är att stödet för vissa plattformar och äldre OS-versioner har upphört. Bank-id på fil fungerar bara i Mac OS och Windows, och Mobilt bank-id finns endast tillgängligt i Googles Google Play och Apples App Store.

Säkerhet 
Bankinloggning med Bank-id har varit en säkerhetsrisk eftersom telefonbedragare har använt så kallad samtalsfiske för att lura människor att logga in och därmed oavsiktligt godkänna stora banktransaktioner. Bedragaren låtsas ringa från banken eller till exempel en myndighet, och påstår att offret måste logga in, till exempel för att stoppa utlandstransaktioner på grund av ett misstänkt kortbedrägeri eller andra upplägg. Bedragaren har förberett genom att ha tagit reda på personnummer. I själva verket loggar därmed offret in bedragaren på banken. För att överföra pengar måste inloggningen göras en gång till, men det har bedragaren lyckats prata sig till. Vid en annan kategori av bank-id-relaterade bedrägerier luras offret att betala till bedragaren via Swish.

Som motåtgärd åt denna typ av bedrägeri infördes i september 2018 möjligheten för organisationer som använder bankid, att kräva att mobilt bank-id-appen ska fotografera en QR-kod, för att säkerställa att enheten som loggar in befinner sig på samma plats som användaren och styrs av denna. Bankbedrägerierna minskade därmed med 90 procent. I juni 2020 lanserades en vidareutveckling av detta, vilket möjliggör för tjänsten att animera QR-koden, så att QR-kodens innehåll byts ut en gång i sekunden för att motarbeta bedrägerier där bedragaren lyckas föra över QR-koden till slutanvändaren.

För att registrera sig för Bank-id så är säkerheten extra viktig, eftersom Bank-id ger mer eller mindre full rätt att föra bort pengar. Hos de flesta banker görs det med Bank-id på kort som har högre säkerhet. Hos Nordea som av kostnadsskäl inte ger ut Bank-id på kort till normalkunden, sker registreringen via Mobilt Bank-id.

Se även 
 Myndigheten för digital förvaltning (DIGG)

Källor 

Datasäkerhet
Företag bildade 2002
Företag i Stockholms kommun
Svenska IT-företag
Danske Bank i Sverige
Svenska Handelsbanken
Länsförsäkringar
Skandinaviska Enskilda Banken
Skandia
Swedbank
Svenska banktjänster
E-legitimation