Taggat med: E-legitimation

Hur står det till med den personliga integriteten?

Hur står det till med den personliga integriteten? är titeln på ett nytt delbetänkande från Integritetskommittén. I rapporten presenterar kommittén översiktlig beskrivning av faktiska och potentiella integritetsrisker som var och en av oss utsätts för i vårt dagliga liv.

Rapporten är gedigen och på hela 814 sidor. Och för den som gillar teknik så har IT-säkerhetsföretaget Kirei skrivit bilaga 3 som handlar om integritetsskyddande teknik.

Bilaga tre är även min personliga favorit och tar upp bl.a. avanonymisering. Även så finns ett intressant kapitel med rubriken Ett dygn med familjen Svenssons elektroniska spår. Där läsaren får följa en fiktiv familj i olika vardagsituationer och vilka digitala spår som denna familj lämnar efter sig:

  • Missade integritetsinställningar
  • Risken med dåliga lösenord
  • Barnens chattrafik okrypterad och avlyssnad
  • E-legitimation på vift
  • Övervakad på jobbet och osynlig kreditprövning
  • Prylar som skvallrar
  • Krypterade filer i molnet
  • Nummerplåtsavläsning
  • Hantering av uppgifter om hälsa
  • Allting spåras på webben
  • Elevhälsa på drift
  • Lifeloggingkameran som fotograferar för mycket
  • Personliga länkar visar vem besökaren är
  • Lojalitetsapp med specialerbjudande
  • Ansiktsigenkänning ger bättre service
  • Mobiltelefonen som spårsändare i stadsplaneringen
  • Mobilen loggar allt och lite till
  • I skattespindelns nät
  • Försäkringskassan profilerar
  • Kameraövervakning i sovrummet

Ordföranden för kommittén är Datainspektionens före detta generaldirektör Göran Gräslund.

Här kan du läsa rapporten i sin helhet:

Integritetskommitténs delbetänkande

Hur står det till med den personliga integriteten? – en kartläggning av Integritetskommittén

Informationssäkerheten i Svensk e-legitimation

logotyp-legitimationsnamndeMyndigheten för samhällsskydd och beredskap (MSB) har på uppdrag från tre myndigheter genomfört en säkerhetsanalys av Svensk e-legitimation. De tre myndigheterna är Arbetsförmedlingen, CSN och Försäkringskassan.

Analysen har resulterade i en rapport som innehåller ett antal rekommendationer om vad som behöver göras för att förstärka lösningen Svensk e-legitimation ur ett säkerhetsperspektiv.

Rapporten blev klar den 20 oktober 2014. En fyrsidig sammanställning av analysen publicerades på MSB:s webbplats. Hela rapporten hemligstämplades enligt 18 kap. 8 § och 18 kap. 13 § offentlighets- och sekretesslagen (2009:400).

Men nedan rapport innehåller dock en handlingsplan utifrån resultatet från FRA och MSB:s säkerhetsgranskning.

Sårbarheter i Svensk e-legitimation

Nedan finner du ett utdrag från handlingsplanen gällande kryptoalgoritmer och att gamla och föråldrade algoritmer såsom SHA1 används vilket är häpnadsväckande. Läs gärna igenom hela handlingsplanen nedan och bilda din egen uppfattning, lämna gärna en kommentar också.

”Hög kunskap om kryptoalgoritmer och dess status över tid är en grundförutsättning för att tjänsterna inom samverkan för Svensk e-legitimation ska hålla en hög säkerhet. Det gäller i högsta grad även för underskriftstjänsten som kan avropas och användas i många aktörers tjänster. För att kunna vidmakthålla en hög kunskap krävs regelbunden och återkommande genomgång av området.

Behovet av kryptolösningar finns inom många tjänster i dag. Både sådana tjänster som exponeras över Internet men även interna tjänster. Svagheter i de kryptolösningar som används inom federationens tjänster måste därför identifieras och hanteras löpande. Förändringar i kryptolösningar ställer krav på hantering och eventuell anpassning av de tjänster som använder lösningarna. Alla aktörer som är en del av samverkan i federationen har ansvar för tjänsterna de tillhandahåller.

Nämnden har ett ansvar som federationsoperatör att driva arbetet med att ha rätt säkerhet på de kryptolösningar inklusive algoritmer som används inom federationen och då specifikt för de tjänster som nämnden tillhandahåller. Den genomförda analysen som MSB genomfört har identifierat en kryptoalgoritm (SHA-1) som inte ska användas efter 2013. Underskriftstjänsten som tillhandahålls via ramavtalet ”E-förvaltningsstödjande tjänster 2010” ger inte stöd för användning av SHA-1. Dokumentationen är uppdaterad och de tjänster som finns tillgängliga för avrop ger inte möjlighet för användning av SHA-1. Alla aktörer som ansluter tjänster till Svensk e-legitimation bör se över vilka kryptolösningar som finns i de egna tjänsterna.

Ambitionen för samverkan inom Svensk e-legitimation ska vara att den samlade kunskapen runt kryptolösningar och deras utveckling ska vara hög samt att det ska finnas planer för hur övergången från utgående lösningar ska se ut.”

Handlingsplanen kan laddas hem som PDF här:

Analys av informationssäkerheten i Svensk e-legitimation

Analys av informationssäkerheten i Svensk e-legitimation

MSB Trendrapport – samhällets informationssäkerhet 2012

MSBMyndigheten för samhällsskydd och beredskap (MSB) har idag släppt en rapport vid namn Trendrapport – samhällets informationssäkerhet 2012. Rapporten är övergripande och omfattande och tar upp ett antal större händelser som inträffat under de senare åren såsom Anonymous, Stuxnet, E-legitimation och sociala medier.

Det vi finner är intressant är två kapitel som handlar om SSL-certifikat samt intrånget mot företaget RSA. Gällande angrepp mot bl.a. DigiNotar och SSL generellt så reflekterar MSB enligt följande:

– Att den teknik som används för att utfärda äkthetscertifikat till  webbplatser är känslig har varit känt under en längre tid. Det finns idag drygt 600 olika företag som agerar som centrala certifikatutfärdare, och det finns risker förknippade med en sådan mångfald av äkthetsintyg. Många tekniska bedömare betraktar redan den PKI-struktur (”public key infrastructure”) som används som otillförlitlig och en återvändsgränd. Skulle det visa sig att ytterligare falska  webbplatscertifikat inom kort kommer i omlopp så skulle det på sikt kunna minska tilltron till dataintegriteten hos ett stort antal webbtjänster i världen som förlitar sig på SSL. Det arbetas emellertid på lösningar. En av dem är att transportera certifikat via domänsystemet DNS, en metod som håller på att standardiseras av arbetsgruppen DANE inom internets standardiseringsorganisation IETF.

Klicka på rapporten nedan för att läsa den i sin helhet:

 

MSB Trendrapport 2012