Klara sig utan Bank-ID

Jag använder BankID och är inte ett dugg orolig. Men jag är rätt övertygad om att en kompetent person hade kunnat kapa mig med lite ansträngning. Jag kopplar upp till jobbets wifi, skolans wifi osv med mobilen. Kan kanske forceas att ladda ner nått? Jag har fick rätt stort förtroende för Android 😂

Skickades från m.sweclockers.com

Så du tycker att jag ska byta ut en proprietär lösning mot en uppenbart sämre proprietär lösning? Servern kör proprietär mjukvara oavsett och jag vet inte hur du förväntar dig att jag skulle försöka ändra på det, den är helt bortom min kontroll hur jag än gör.

Ärligt talat tycker jag att dina halmgubbar börjar bli ganska irriterande. Men det är onekligen lättare att kalla mig omständig istället för att sätta sig in i problematiken och hantera konsekvenserna av den.

Bara för att ofriheten är likvärdig betyder det inte att min riskanalys av dem behöver ge likvärdigt utfall. Säkerhetsodellen med koddosan är säkrare än Mobilt BankID, vilket leder till ett bättre teoretiskt skydd.

Det kan de göra, men då kör de också oundvikligen ett proprietärt amerikanskt OS. De har precis som du antagligen valt den bekväma vägen att de inte värdesätter säkerhet och beskydd av sin identitet till samma grad som jag gör.

Skickades från m.sweclockers.com

@snajk: Alltså det är som sagt bara att starta sin egna bank och skapa sin egna säkerhetslösning. De som finns på marknaden fungerar med Linux med smartkort, men längre sträcker de sig inte och de är ju proprietära.

App på telefonen är i många avseenden säkrare än vanlig koddosa, koddosa kan inte skydda mot MitB/MITM. Både BankID och t.ex. Forex ID kan däremot ge visst skydd mot MitB/MITM – banken kan ju i texten skriva precis vilka summor till vilka konton du godkänner.

Självklart är deras källkod tillgänglig, alla större företagsanvändare får tillgång till Windows källkod om de vill, dito universitet och myndigheter. Det är ganska ointressant i säkerhetssynpunkt i vilken licens källkoden finns tillgänglig i. Att du kan forka Android räcker ju inte för han för den delen.

Största risken mot BankID och koddosor är att någon kapar din identitet, alltså fixar ID-kort i ditt namn och gör de detta kan de ju lika gärna traska in på banken och tömma dina konton.

@snajk

Ja, det "höga" kravet att de ska vara baserad på en vettig säkerhetsmodell och fungera i Linux. Låt mig åter igen påpeka att skrivbordsversionen av BankID tidigare har haft officiellt stöd för Linux.

Du har uppenbarligen fel eftersom de tidigare har gjort det.

Löjligt dåligt exempel. Det är ju inte precis som att jag är den enda Linux-användaren på forumet heller.

Det är långt från en arbiträr princip att undvika proprietär källkod. Har du någonsin hört talas om Richard M Stallman?

Ja, och tyvärr kör samtliga av dem Android.

Så lösningen att skita i principerna? Låter inte riktigt som en lösning.

Eller så kan du släppa tanken på att det är en vettig idé att föreslå BankID som lösning i en tråd som bokstavligen handlar om att klara sig utan BankID.

@Petterk

Stödet för BankID på Linux är som sagt obefintligt. Vet inte varför du måste hitta på låtsasargument hela tiden.

Förstår inte hur du mellan varje inlägg kan glömma bort vad challenge-response är.

Transaktioner är alltid synliga med koddosan också, beloppet på överföringen är nämligen en av koderna du måste mata in. Låter mer och mer som att du aldrig har använt koddosan.

För mig är det intressanta huruvida jag kan läsa källkoden, vilket borde vara ganska uppenbart.

Har du någonsin försökt hämta hela källkoden för din telefon? Det är ofta omöjligt. Har du försökt ladda in din modifierade version av Android till din telefon? Tillverkarna motarbetar dig i varje led av det. Vill du bli av med kritisk funktionalitet och köra den handikappade öppna versionen av Android? Grattis, det går utmärkt att bli av med möjligheten att ringa och ta bilder.

Ja för det är ju inte så att bankerna faktiskt kollar om ID-kortet är riktigt och tar högupplöst fotokopia innan de ger full tillgång till alla konton åt bedragaren på film från multipla övervakningskameror. Inte ens tjuvar är så dumma att de tar med en hög förfalskade ID-kort till banken och försöker tömma alla konton från de kapade identiteterna. Förfalskade ID-kort är visserligen ett problem, men det är ett problem som de flesta ställen redan har skydd mot. De få som lyckas blir tagna ganska fort eftersom de lämnar massor av spår efter sig.

Det är en helt annan sak med angripare på internet. Alla spår de lämnar efter sig är paketen de skickade och en avsändaradress (som är förfalskad om angriparen inte är en total idiot).

Med detta menade jag för övrigt äkta id-kort. Det är för helvete bara att ansöka hos Polisen.

Koddosan kan inte se vem du för över pengar till. Jag har använt koddosa både långt före och efter bankerna började tillåta BankID för inloggning. BankID har token, många banker kör utan kontrollkod för inloggning med koddosa.

Telia E-legitimation och AB Svenska Pass smartkort (lösningar från SecMaker och Gemalto) fungerar på Linux, det är ett alternativ att använda sig av om man vill starta en bank som inte använder BankID.

Jag har kört custom-ROM, samtal, sms, kamera och allt fungerade utmärkt givetvis. Kör man något för dagligt bruk är allt det redan fixat. Det är inga problem att köra custom-ROM på min telefon eller min förra telefon. BankID kräver tyvärr Google Play Services dock, så gapps slipper du inte.

TS drog inte riktigt i så stora växlar –

Min fetning. TS frågeställning är dessutom redan avhandlad när det gäller det han tog upp. BankID krävs inte för Mastercard SecureCode eller Verified by Visa hos hans bank, och dessutom har tips getts i tråden för hur man använder BankID säkert.

Att låta bli att köra BankID skyddar inte mot identitetskapning däremot. Spärra adressen för adressändring hos Skatteverket så kan ingen kapa din brevlåda/adress åtminstone. Har du en digital brevlåda som i praktiken kräver BankID kan du också övervaka din folkbokföringsadress. BankID visar en notis om ett nytt BankID skapas. Spärra för adressändring kan du göra utan BankID, men du behöver annan e-legitimation som t.ex. Skatteverkets ID-kort som för den delen fungerar på GNU/Linux med en proprietär tilläggsprogramvara. Har du inte ett äldre ID-kort från Skatteverket med Telia e-legitimation kan du däremot inte köra digital brevlåda utan BankID. Skatteverket bytte e-legitimation på ID-korten 2017.

Bedragare kan skaffa ID-kort från Polisen eller Skatteverket i ditt namn, gör de detta så spelar det ingen roll hur väl banken granskar ID-kortet eller hur väl din bank känner dig. Varför det sistnämnda inte hjälper är ju för att bedragaren kan öppna konto i annan bank och skaffa BankID den vägen, och sen logga in i banken du faktiskt använder. Gör de detta medan du inte har Mobilt BankID får du aldrig någon notis eller någon förvarning.

Änvänder redan bara digipassen

Digipassen kör på dedikerad hårdvara (sannolikt med någon ASIC för koddosor eftersom de är så vanliga, men minst en TPM i alla fall) och har ingen möjlighet till I/O annat än genom knappsats och skärm. Det mycket möjligt att den har intrångsskydd också, alltså att om du öppnar skalet så raderas kritisk data. Ett enkelt sätt att åstadkomma en trivial version av det är att inte lägga UV-skydd över kislet vilket gör att bitarna i minnet nollställs när dagsljus träffar chippet. Det är dock inte tillräckligt säkert för att räknas som intrångsskydd, det är bara för att demonstrera principen.

Telefonen å andra sidan kommer du åt nästan allt innehåll i genom root-access. Det behövs bara en sårbar app för att trycka in en gammal kernel-exploit och ha fjärråtkomst. WebKit är en rätt vanligt sätt att ta sig in på distans i system eftersom den är så komplicerad och fylld av spaghettikod. Se typ hackning av alla moderna spelkonsoler.

Det finns fler mobila OS än Android och iOS. Till exempel ser Librem 5 och PinePhone väldigt intressanta ut och till skillnad från Ubuntu Phone ser de inte ut att bli vapourware. Skulle den lägga av innan dess får jag väl hitta en av dessa lurar att fylla gapet med.

Där kan jag inte annat än hålla med, jag är dock inte lika extrem som RMS eftersom jag tillåter en begränsad mängd proprietär mjukvara på datorn.

Nästan allt jag använder privat fungerar i Linux. Bytte till att köra Linux som primärt OS ca 2007. I Januari 2012 förpassade jag min enda instans av Windows till en virtuell maskin med VGA passthrough. I dagsläget har jag bara ett program kvar som jag har en VM för och det är PlanetSide 2, vilket började köra BattlEye och därmed slutade fungera i WINE för ett par år sedan. Det är enda installerade programmet i min VM nu och har unikt lösenord. Om den maskinen blir hackad är det bara att nolla den virtuella disken och installera om PlanetSide 2 med nytt lösenord.

Så fort PlanetSide 2 börjar fungera i WINE igen så slocknar min Windows-VM permanent.

På jobbet gör jag inget privat och företaget ansvarar för att arbetet jag gör där hålls säkert. Inte mitt problem att säkra upp de maskinerna.

Kör redan på den senare lösningen.

Exakt. Personligen ser jag det som att ju fler som står på sig och vägrar ha lösningar som inte fungerar i Linux desto fler företag kommer att börja ta Linux på allvar.

Så varför inte bara köra en bank som inte tillåter inloggning utan kontrollkod då?

Får kika mer på dem, senast jag undersökte implementationer som fungerade i Linux dog de med officiella stödet i huvudklienten.

Kul för dig. Jag har en H990DS, den sista flaggskeppstelefonen med löstagbart batteri. Att köra egen Androidversion på den är ett heldagsprojekt i sig.

Varför inte bara använda en bank som använder BankID med QR-kod? Att hålla på och byta banker när de byter sina koddosor är det nog få som gör. Vad du kör för lösning spelar ju ingen roll i det här sammanhanget, bedragare kan logga in med BankID vilket som. De kan också stjäla dina pengar om du inte behöver ge BankID extra behörighet.

Telia e-legitimation går inte att skaffa som privatperson längre, så att Net iD går att få igång i Linux gör inte mycket nytta, många stödjer inte Telia e-legitimation för inloggning/signering heller. AB Svenska Pass är ännu mindre utbrett, men är enda lösningen med tillitsnivå 4 från DIGG, har ett modernt program/tillägg till Linux, men ingen kommer använda det. Enda stället jag sett som använder AB Svenska Pass är Skatteverket själva. Det försvinner för att det inte är användbart i praktiken. Hade man startat en bank hade man såklart kunnat vänt sig till SecMaker eller Gemalto och själv gett ut en e-legitimation/autentiseringskort, och därigenom fått Linux-stöd.

Finns säkert andra telefoner med löstagbart batteri om man vill köra custom roms. PureOS på telefoner kommer dö ut vilket som, så vet inte vad du hoppas på där. Chansen är att det inte kommer hända så mycket efter de får ut sin första telefon.

Fast nu är det ju inte så att jag bara kan traska in på polisen och säga "Hej, jag heter Petterk, kan jag få ID-kort?". Har en gång varit med om att min farfar fick sin plånbok stulen och därmed tappade både sitt ID-kort och körkort. Det var en mindre röra att bevisa att det verkligen var Farfar2000 som ville ha ID-kort för Farfar2000.

Om någon mot förmodan skulle komma undan med ett felutfärdat ID från polisen så har de gott om bevisning för att sätta dem i fängelse senare, du har ju till och två av dina fingeravtryck och foto lagrade både i chippet på kortet och i polisens databas.

(Edit: ett litet men kritiskt fel i meningen ovan)

För att jag redan har en bank som bara använder bankdosan med challenge-response.

De enda gångerna jag har bytt dosa hos min bank är när batteriet har tagit slut. Sannolikt har de bytt firmware och TPM mellan generationerna allteftersom de existerande chippen slutar tillverkas och byts ut mot nya.

Det skulle i så fall bygga på att de redan har kommit in genom en av de andra vägarna till mitt konto, och i det läget är jag rökt oavsett. Dessutom behöver jag inte ha en ytterligare väg in till min bank att skydda. De jag har räcker för mig och det har fungerat hittills.

Har inte haft några större problem att klara mig utan BankID så här långt så ser inte varför jag skulle börja nu.

Jo det gör det, men de som kan köra annat än Android är få. Håller ögonen på några stycken och PinePhone verkar vara den mest realistiska lösningen jag vet om. Fairphone 2 kanske skulle vara ett alternativ om den inte var så dyr relativt specifikationerna.

...du är införstådd i att PureOS är en fullstor dist baserad på Debian, va? Mobilskalet är bara en lite modifierad version av GNOME 3. Alla förändringar de gör integreras i GNOME 3 upstream, så i framtiden kan vilken annan tillverkare som helst köra samma GUI på sin helt egna telefon i vilken annan dist med GNOME 3. Det är lite det och vad KDE-teamet gör med Plasma Mobile som Pine64 hoppas driver deras PinePhone efter release. Har för mig att deras dev kit generation 2 (som för tillfället är ute hos flertalet utvecklare) kör Plasma Mobile. När PureOS till slut dör är det bara att köra in vanilla Debian, Arch eller kanske rent av Ubuntu Touch på luren.

Kort sagt; PureOS kommer säkert att dö förr eller senare men mycket av arbetet de gör på GUI kommer att leva vidare.

De har sålt ganska många stationära och bärbara datorer än så länge, så det skulle jag inte lita på. De började till och med tillverka helt egna designer av bärbara datorer (istället för att köpa in specialbeställda burkar från Clevo) relativt nyligen.

@Djhg2000: Av nyfikenhet, har du något kreditkort, handlar du isf med det på nätet och isf hur gör du det på ett helt säkert sätt?

Har MasterCard med SecureCode. Handlar oftast online genom en betaltjänst såsom PayPal eller motsvarande för att få mail efter varje transaktion. Att spärra kort ute på vift går snabbt och MasterCard kan reversera transaktioner på kort, så jag känner mig inte så orolig för kortkapningar. Till saken hör också att jag har satt en för många löjligt låg gräns på kortet, som jag inte kommer att specificera i detalj utöver att kortkapning inte är ett stort problem ens tillfälligt.

Det är dock, precis såsom Stallman tycker, synd att alla kortsystem är proprietära. Tidiga kort hade ju den oförglömliga buggen att de godkände transaktioner även om du matade in fel PIN på en "ond" kortläsare. Kan se om jag kan hitta någon artikel om det, men ska försöka beskriva problemet så gott jag kommer ihåg från minnet.

Hur det skulle fungera:

1. Skicka "Mata in PIN" till skärmen

2. Läs PIN från knappsatsen (med fel kod i första försöket)

3. Skicka PIN till kortet

4. Kortet svarar att PIN är fel, X försök kvar

5. Skicka "Fel PIN, X försök kvar" till skärmen

6. Upprepa från steg 2 tills PIN är rätt eller X är 0

7. Om PIN är rätt, skicka transaktionen till kortet för verifiering

8. Skicka vidare kortets svar till banken för verifiering

9. Visa bankens svar på skärmen

Men som "ond" kortläsare kunde du istället göra följande:

1. Skicka godtycklig PIN till kortet

2. Kortet svarar att PIN är fel, X försök kvar

3. Skicka transaktionen till kortet för verifiering (trots att PIN var fel kommer kortet att verifiera transaktionen)

4. Skicka vidare kortets svar till banken för verifiering (kortets svar var korrekt och kommer att godkännas)

Problemet var att ingen riktigt räknade med kortläsaren inte skulle gå att lita på. Buggen är fixad sedan länge så den är inget att oroa sig för, men med facit i hand var det ett nästan komiskt stort säkerhetshål. Vill minnas att det var säkerhetsforskare som till slut upptäckte det och informerade tillverkarna.

Jag har skaffat nationellt id-kort efter att tidigare identitetshandlingar gått ut, behövde bara personbevis och en person som intygade att jag var jag.

Dessutom så skickar inte Polisen något brev när ID-kortet är klart, du kan uppge telefon-nummer så kommer ett SMS, det (eller att du vet att det är klart) och kvittot från när du beställde ID-kortet är allt som behövs för att hämta ut det hos Polisen.

Flera banker har bytt till att inte använda kontrollkod vid inloggning när de bytt ut sina koddosor. Det är något som sker, alternativet är att använda BankID eller dosa med sladd för det mesta.

Det spelar ingen roll om du har BankID eller inte. Din bank är fortfarande öppen för att logga in med BankID utfärdat av annan bank. Krävs inte utökad behörighet utan de litar på BankID direkt så kan de tömma kontot.

Detta är inget svar på det du citerar eller något jag sagt. Det jag sade är att alternativa lösningar finns, men de har i praktiken inget stöd (för tjänster) och förutom att använda lösningar från dessa om man startar egen bank så finns det ingen anledning att köra dessa. Hade du som bank vänt dig till Gemalto hade du däremot kunnat få e-legitimation på både smartkort och mobilapp, och kunden hade kunnat välja om de vill köra smartkort på macOS, Windows eller Linux, eller om de vill köra program på sin Android eller iOS-telefon/surfplatta. Du skulle förmodligen kunna få en Android-app utan krav på Google Play Services.

P.g.a. vad Librem 5 är, så nej det är inte givet att de kan komma med en till telefon efter den. Konceptet bygger på att de kan köra öppna drivare och att de inte behöver ladda in proprietär firmware med drivrutinerna. Finns inte lämplig hårdvara nästa gång så blir det inte någon telefon.

OpenMoko, SHR och Replicant har inte gått så bra. Finns ingen större drivkraft för att andra projekt ska lyckas tyvärr.

Fairphone 2 kör vanlig Android med Googles tjänster, så hur är den ett alternativ? Visst det finns en variant utan Google-tjänster, men det finns det ju för alla telefoner som har vettigt stöd i moddnings-communityt.

Finns ett antal Android-telefoner som kan köra GNU/Linux-distar, men alla funktioner tenderar ju inte att fungera, men då finns det ju enheter som Gemini PDA istället om man ändå inte ska ringa och sånt, då de inte heller fått igång telefon-stödet under Linux.

Det är lätt att hitta någon som kan intyga din identitet när det verkligen är du, och ännu lättare när du kan uppvisa det gamla utgångna ID-kortet. Tänk dig att du skulle försöka gå igenom samma process för att få ut ett falskt ID-kort. Här är en lista på vilka polisen godkänner för att styrka din identitet när du saknar giltig legitimation. Vidare är ju personbevis bara ett utdrag på vad skatteverket vet om dig.

Det förutsätter att din ansökan om ID-kort går igenom.

Konstigt, min bank har nämligen bytt till att inte godkänna inloggning utan kontrollkoder (alltså rent OTP-läge).

Det bygger dock på på att hela kedjan med illegitimt ID-kort för att gå så pass långt. I det läget faller det tillbaka på polisen att återkalla ID-kortet och bankerna att få ersättning från staten. Min bank kan också intyga att jag inte har BankID utfärdat av dem vilket också sannolikt skulle hålla i domstol för att ogiltigförklara allt som är gjort genom BankID.

Och varför skulle jag vara intresserad av den informationen? Att starta en egen bank bara för att kunna köpa in BankID och betala dem extra för en Linux-klient är ett totalt orealistiskt fantasiförslag. Scenariot må teoretiskt vara sant, men det leder inte någon vart i diskussionen.

Edit: Delar upp inlägget i två eftersom det blev så långt och behandlar två distinkt olika delämnen.

Edit: Del om telefoner utan Android

Du har missförstått poängen; Purism behöver inte ens existera för att telefonen och GNOME 3 ska fortsätta fungera. De som håller i koden för GUI är GNOME-Team, inte Purism. PureOS är bara Purisms lekstuga för att utveckla sina delar innan de skickas vidare uppåt. Det är inte ett OS utvecklat för telefoner som skalar uppåt, det är ett OS utvecklat för datorer som skalar nedåt.

Debian, Ubuntu, Arch, osv. har dock fungerat ypperligt på skrivbordsmarknaden dock. De visar inga tecken på att dö ut inom snar framtid. Tvärt om tar de sakta men säkert marknadsandelar från Windows och MacOS.

Det är en av de få enheter som Ubuntu Touch har fullt stöd för. I det fallet att det skulle bli en sådan åker Android ut efter snabb kontroll av att hårdvaran är hel. Jag kan alltså köpa en idag och bli av med Android helt om behovet skulle uppstå (nuvarande telefon lägger av).

Varför ens ta upp Gemini PDA då? Senast jag kollade arbetade de visserligen på det, men eftersom den inte är ett alternativ innan dess är argumentationen lite av att vifta lansen mot väderkvarnar.

Har inte tid att skriva något längre just nu, men svarar kort på detta.

Banken får inte ersättning från staten för att någon bedrar dig. Det är något du får ta med din hemförsäkring om du blir drabbad och du kommer inte bli ersatt för allt. I bästa fall står banken för allt (som berör dem) själv. Banken kommer inte få ersättning från staten eller sitt försäkringsbolag.

Om polisen har utfärdat en illegitim ID-handling kan du ge dig sjutton på att bankerna vill ha ersättning.

Ångström, OpenEmbedded (blev i princip del av Yocto) och Android är också något som fungerar för respektive marknad. Tror du missar något om detta är ditt svar.

Det får de inte.

Du siktar fortfarande på fel marknad. Librem 5 är inte riktad till de som vill ha ytterligare ett minimalt Linux-system med busybox och drivor av specialprogram för att lösa specialfunktioner.

Librem 5 är riktad till de som vill ha samma OS på telefonen som datorn. Underhåll av mjukvaran hänger alltså inte på Purism i det långa loppet. Naturligtvis står de för att leverera en fungerande produkt, men efter det är det samma organiska utvecklingscykel som för övriga skrivbordsdistar.

Inte samma sak som att de inte kommer att försöka.

Gemalto har ingenting med BankID att göra. Du behöver inte betala extra för en klient som redan finns!

Om ingen ställer krav i rätt led så kommer inget att hända, så det krävs givetvis att någon entreprenör startar en bank och erbjuder andra lösningar för att de ska bli relevanta, och för att dessa ska finnas på marknaden. Utan detta får du inget Linux-stöd alls när det gäller legitimering och signering med e-legitimation, inte ens mot en enda bank eller kommersiellt företag. "Kör banken med sladdlös koddosa" leder absolut ingenstans när det gäller att stödja plattformen. Koddosor kommer också försvinna i framtiden.

Att som liten bank förmå Finansiell ID-Teknik BID AB att ändra sig och utveckla Linux-klient kan du inte argumentera emot, för det har ingen föreslagit.

E-legitimation som fungerar på x86-64-baserade Linux-datorer finns, det är bara att ingen bank använder det och den enda myndigheten som stödjer det är Skatteverket själva. Lösningen är knuten till smartkort också, i.a.f. på Linux då bara delen med stöd för smartkort stöds. Finns inget som hindrar dig från att vända dig till Gemalto och få till avtal om att ge ut smartkort med e-legitimation, använda dito för banken och således stödja Linux (x86-64) från dag ett utan koddosa eller mobilapp. Egentligen behöver du inget avtal med Gemalto, det är bara att få har Skatteverkets id-kort så det hade inte varit så användbart utan att kunna ge ut e-legitimation till kunderna. Swish kan du glömma utan Mobilt BankID däremot, men det gick t.ex. att använda Swish hos Forex innan de gav ut Mobilt BankID. Mastercard SecureCode och Verified by Visa, och MasterPass för den delen får du givetvis köra med kod över sms eller e-post också då folk inte bär med sig en dator med kortläsare hela tiden.

Finns egentligen ingen anledning att banken inte stödjer flera olika e-legitimationer dock, och du kanske hade kunnat aktivera Freja eID+ till att hantera kortköp, och utan att göra upp med ett företag som erbjuder digital brevlåda (eller starta en själv) så kommer ingen digital brevlåda stödja annat än BankID och Telia e-legitimation heller.

Utan någon som är beredd att göra allt detta så händer noll däremot.

@Petterk: Kan tillägga att du inte behöver vara snabb på att svara, jag har inte bråttom. Ta den tid du behöver för att skriva ett långt välformulerat inlägg istället.

Vem ska de ens stämma?