NemID

NemID er en felles innloggingsløsning til danske nettbanker og offentlige nettsider. NemID drives av firmaet DanID og ble tatt i bruk den 1. juli 2010.

Tanken er at man skal kunne bruke NemID til å logge inn på de institusjoner som har tilsluttet seg ordningen. Man må dog ha et OCES-sertifikat for å få en offentlig digital signatur. Man skal kunne logge på med NemID fra en hvilken som helst datamaskin, både i Danmark og i utlandet. Et krav har vært at der skulle være to-faktor-autentifisering, hvor man i første omgang har valgt et «nøkkelkort» med engangskoder.

Bakgrunn 
I 2003 fikk TDC oppgaven med den første utgave av digital signatur i de første fem år, og IT- og Telestyrelsen skulle utby oppgaven igjen. De oppstilte følgende mål for forbedring: Sikkerhet, brukervennlighet, mobilitet og utbredelse. I utbudets start var fire konsortier med: TDC, KMD, IBM, Post Danmark, EDB Gruppen og PBS i forskjellige kombinasjoner, hvor for eksempel TDC var med i tre grupper og PBS i to. Underveis falt noen fra, og TDC og PBS fant sammen om et felles bud. Ved deadline for bud for oppgaven i november 2007 var det kun TDC og PBS som kom med et bud.

Samtidig var bankene gått sammen om en ny felles innloggingsløsning til nettbanker til erstatning for nøkkelfiler, som var blitt meget sårbare for elektroniske trojanere. Antallet angrep på nettbanker var blitt større. Bankene og deres datasentra hadde som mottrekk laget løsninger som blant annet SMS-koder eller låsing av nøkkelfil til maskiner.

DanID inngikk avtale 
TDC og PBS dannet Selskabet af 24. august 2007 til utbudet og som forhandler med IT- og Telestyrelsen om kontrakten, og i juni 2008 ble avtalen inngått. Samtidig trådte TDC ut av selskapet og overdro alle medarbeidere og aktiver til selskapet. Den 25. juni 2008 ble avtalen og det nye navn på selskapet – DanID – offentliggjort. Etter et par forsinkelser på grunn av at forhandlingene trakk ut og senere at bankene ville ha mere tid til testing, kunne systemet tas i bruk den 1. juli 2010.

Teknikken 
Systemet består av to uavhengige systemer. En OCES CA og et system til håndtering av brukerne, de private nøkler og adgangen til nettbanker.

OCES CA 
OCES CA håndterer prosessene omkring utstedelse av sertifikater ved signering av offentlige nøkler og administrasjon av sertifikater deretter. Her er det mulighet for oppslag via blant annet LDAP om hvorvidt et sertifikat stadig er gyldig eller er blitt sperret, søkning av sertifikater via e-post-adresse til bruk for kryptering og signering av e-post. Derutover er det for autoriserte myndigheter og firmaer en tjeneste for oppslag fra pid – løpenummeret for serfikatet – til CPR-nummer. Ved utstedelsen av sertifikater skjer der oppslag i CPR-registret, samt i eventuelt kjørekort- og passopplysninger til verifikasjon av personens identitet.

Systemet kan håndtere både NemID og et særlig smartcard som brukes til å lagre den private nøkkelen i stedet for sentralt.

NemID 
Det andre systemet som brukerne normalt har kontrakt til, er selve NemID-systemet. Det består av to delsystemer:
 Et system til utstedelse av engangssertifikater, som brukes overfor nettbanker
 Et system til sentral lagring av de private nøkler til OCES-sertifikater

Håndtering av nøkler skjer i noen moduler, såkalte hardware security module (HSM), som er spesiell hardware som er sertifisert etter standarden NIST FIPS 140-2 level 4 til formålet. Det er et lukket system hvor all kommunikasjon inn og ut er kryptert; også håndtering av data internt skjer med kryptering. Det gjelder også overfor det disksystem hvor data lagres, hvor backup av disker skjer med de krypterte data.

Også ved log-in til systemet er der sikret med flere lag kryptering. I den SSL-forbindelse som dannes til NemID, sjekkes bruker og adgangkode via en secure remote password-protokoll imellom Java-applet og NemIDs HSM. Med denne protokoll sjekkes at brukeren har det riktige passord, men uten at NemID har det virkelige passord. Som den annen faktor brukes igjen Secure Remote Password-protokollen til å verifisere engangskoden fra nøkkelkortet.

Brukerens adgangskode brukes også til å utregne den nøkkel som skal brukes til å åpne brukerens private nøkler. Det vil si NemID eller andre har ikke adgang til de private nøkler på det sentrale system. Når man skal ha forrettet en forbindelse til en tjeneste, danner nettleseren og Java-applet en sesjonsnøkkel. Denne nøkkelen og kun den sendes til NemID, hvor nøkkelen blir signert med den private nøkkel. Det gjelder når en bruker skal sende en e-post som skal signeres. Omvendt, når en e-post skal avkodes, sendes den krypterte sesjonsnøkkel til NemID, som tilbakeleverer sesjonsnøkkelen til å åpne det kodede dokument i e-posten.

Referanser

Eksterne lenker 
 www.nemid.nu  – Hjemmeside for NemID
 Folketingsspørgsmål og notater om NemID – www.digitalsignatur.dk, IT- og Telestyrelsen
 Forbrugerrådets side om NemID

Bankvirksomhet
Datasikkerhet
Identifikasjon