Ny telefon låser dig ude af MitID

Da jeg for nylig købte en ny telefon, nærmere bestemt en iPhone 15 Pro Max til ca 10000 kr, endte jeg med at låse mig selv ude fra Netbank og offentlige systemer! Ironisk nok var en del af grunden til, jeg købte ny telefon, blandt andet, at sikre, MitID ville fungere fremadrettet.

Selvom der sjældent er noget gyldigt teknisk argument for det, så dropper man at understøtte gammelt udstyr. Det gælder både for gamle computere, telefoner og tablets. Min gamle AMD Athlon II fungere stadig, men meget trist samler den støv på gulvet hjemme hos min far – hey det var en fed computer!

Graden af nødvendighed for droppet support kan diskuteres. Det er nok oftest et spørgsmål om vilje og penge fra IT giganternes side (Microsoft & Apple primært). Men det er de mindst bemidlet brugere, som først risikere at blive låst ude af deres ting, og det er jo er en form for økonomisk diskrimination.

Får man ny telefon, så skal MitID nemlig genaktiveres på den nye telefon. Det foregår rent praktisk på to måder:

1. Du kan scanne en QR kode fra MitID på den gamle telefon.
2. Du kan scanne et gyldigt pas.

Alternativt skal man møde fysisk op hos Borgerservice. Det kræver tidsbestilling, og desværre har man ikke været fremsynet nok til at lade Borgerservice holde åbent i weekenderne. Det ville ellers være mere belejligt for folk som har arbejde!

Her kræves et gammeldags fysisk "billede ID", men det er tilsyneladende nok at medbringe et kørekort, som ellers kan være stjålet og manipuleret med. Hvorfor det ikke kunne bruges i appen i stedet for et pas, det er der ingen forklaring på. Blot konstatere man, at samme identifikation ikke er nok digitalt. Hvad gør man mon som borger, hvis alting er blevet stjålet eller gået tabt i en brand?

Selvfølgelig er det vigtigt, at myndighederne kan identificere os, men omvendt må man altså også bare være parat til at acceptere en en grad af risiko for svindel i nogle situationer, og så ellers håndtere dem, når de en sjælden gang skulle opstå.

Problemer med MitID

MitID har aldrig været en moden eller robust login løsning i mine øjne, og Googler jeg lidt rundt, så kan jeg se, jeg ikke er alene i min kritik.

Der er selvfølgelig nogle problematiske forhold ved MitID, som gør mig utryg ved at bruge det under visse hypotetiske hypotetiske scenarier; men udover dem, så skabes der også et rent følelsesmæssigt irritation til MitID grundet gentagende uforklarlige login problemer.

1. Det kan eksempelvis være, at du kommer til at logge ind i et inkognito vindue på din telefon – MitId er fejldesignet, så det ikke understøtter inkognito. Som bruger har du nødvendigvis ikke et ønske om, at din Netbank fremgår i din browserhistorik, og du ønsker måske heller ikke at slette hele din tidligere browserhistorik bare for at kunne bruge MitID.

2. Der kan opstå uspecificerede problemer med din MitId session, og måske er du så tvunget til at slette cookies og historik for igen at kunne logge ind.

Man er måske blevet lidt for fokuseret på, at forhindre situationer i at opstå, som egentlig er meget sjældne og usandsynlige i den virkelige verden. Uanset hvad årsagen er, så går det ud over brugerne, som ofte bliver låst ude af deres ting i kortere eller længere tid.

Sikkerhed, open source og politik

Man kunne argumentere for, at hvis borgerne i et demokratisk samfund skal kunne stole på et nationalt identifikationssystem som MitID, så bør det også være relativt åbent. Det vil sandsynligvis både øge sikkerheden og skabe mere tillid til systemet blandt borgerne, hvis det bliver udviklet som "open source".

De fleste almindelige borgere tænker måske ikke så meget over implikationerne ved at have et centraliseret system, som bliver brugt til at tilgå mere eller mindre alt. Dvs. Uden MitID kunne du måske komme i en situation, hvor du er låst totalt ude af samfundet, og måske er det endda din egen regering, som har lukket dig ude. Det vil være et kæmpestort problem for dig, men resten af samfundet kan være ligeglade.

Derfor kan der argumenteres for, at det, ideelt set, ikke bør være muligt for nogen at have fuld kontrol over hele systemet – det bør være decentraliseret og umuligt at kontrollere for enkelte firmaer, myndigheder og privatpersoner.

Praktisk er det nok lidt svært – dog ikke umuligt – men hvis endelig, lad os sige, vores regering besluttede sig for at undertrykke enkeltpersoner, så vil en simpel politisk afskaffelse af et sådant "åbent decentralt system" måske stadig være en mulighed for dem at trumfe igennem. Det vil derfor potentielt kun give en falsk tryghed for borgerne, og dermed vil så høje krav til uafhængighed nok være lidt overflødig.

Decentralisering ser jeg dog stadig som en vigtig ting, uanset om løsningen så vil være open source eller holdt lukket.

Antager vi, at vi ellers er politisk sikre i Danmark, så vil det stadig være et stort problem, at gøre sig selv afhængige af et centraliseret system – tænk bare hvis der opstår et systemnedbrud!

Hvad vil worst-case være, hvis MitID pludselig ikke virker? Har man sørget tilstrækkeligt for, at løsningen er lagt ud på flere servere, og dermed decentraliseret tilpas meget til at mindske sandsynligheden for større og længere nedbrud?

Med decentralisering mener jeg ikke nødvendigvis, at firmaer og offentlige myndigheder skal vedligeholde deres egen lokale implementering – selvom det måske kunne være en vej at gå i nogle tilfælde. Det er bare vigtigt, at man udviser en vis respekt overfor borgerne, og ikke låser folk ude – det kan føles som et overgreb låst ude af noget så vigtigt.

Det fedeste ville være, hvis man selv som relativt ukyndig udvikler kunne starte en selvstændig "MitID server" op, og dermed tillade ens brugere, på eksempelvis en webshop, at logge ind med MitID og dermed bekræfte deres identitet.

Måske handler det ikke om, at vi skal kunne bekræfte vores identitet "med sikkerhed", men derimod at vi skal kunne "sandsynliggøre", at vi er dem, vi udgiver os for at være. Eller, med andre ord, at et system kan sandsynliggøre det for os, uden at blokere for uskyldige brugere. Hvor stor en risiko for fejlidentifikation, vil man være klar til at acceptere? Har vi en procedure for, hvad vi skal gøre, hvis der opstår en fejl-identifikation? Hvis en hacker eksempelvis formår at misbruge en andens ID? Hvis nogen ved en fejl får adgang til en anden borgers konto?

Hvordan sikre man sig som bruger?

Da MitID er en centraliseret løsning, og vi ikke rigtigt har noget konkurrerende alternativ, så bliver det nok svært helt at sikre sig; der er dog ting man kan gøre, for at mindske risikoen for at blive låst ude.

1. Du kan bestille en lille ekstern nøgledims, så du kan have dit MitID helt adskilt fra din telefon. Personligt vil jeg kun bruge det som backup, når MitID på telefonen ikke virker.

Hvis du er heldig, så vil du måske stadig kunne bruge et almindeligt brugernavn og adgangskode til at tilgå eksempelvis en kontooversigt hos en bank. Nogle steder kræves der kun MitID godkendelse til overførsler og ændring af indstillinger, og det er en rigtig god måde at opnå en balance mellem sikkerhed og det at bevare brugervenlighed.

Nordnet tilbyder alternative måder at logge ind på deres investeringsplatform, men om andre banker tilbyder noget tilsvarende, ved jeg ikke.

Bankerne burde overveje, at stille deres eget loginsystem til rådighed som backup i tilfælde af at MitID er nede. Man kunne tilbyde det som en service, brugerne selv kan slå til/fra i deres netbanksindstillinger. Nordea har om ikke andet overvejet et alternativ til MitID, men hvad det blev til, ved jeg ikke.

Andre skriver:

1. Sikkerhedshul gav adgang til andre borgeres konti - datatilsynet.dk (2023)
2. Storbank på vej med alternativ til MitID - fagbladet3f.dk (2022)
3. Udbud køres i stilling: Det nye NemID – kaldet MitID – har et budget på 900 millioner kroner - version2.dk (2017)

Fortæl os hvad du tænker: