Onsdag i denne uka annonserte Fornyingsdepartementet at de har inngått kontrakt med BankID Norge om bruk av BankID for å la borgerne logge inn på offentlige nettsider der en kan få tilgang til personsensitiv informasjon. Jeg skrev i 2009 litt om hvorfor jeg ikke vil ha BankID — jeg stoler ikke nok på en bank til å gi dem mulighet til å inngå avtaler på mine vegne. Jeg forlanger at jeg skal være involvert når det skal inngås avtaler på mine vegne.
Jeg har derfor valgt å bruke Skandiabanken (det er flere banker som ikke krever BankID, se Wikipedia for en liste) på grunn av at de ikke tvinger sine kunder til å bruke BankID. I motsetning til Postbanken, som løy til meg i 2009 da kundestøtten der sa at det var blitt et krav fra Kreditttilsynet og BBS om at norske banker måtte innføre BankID, har ikke Skandiabanken forsøkt å tvinge meg til å ta i bruk BankID. Jeg fikk nylig endelig spurt Finanstilsynet (de har byttet navn siden 2009), og fikk beskjed fra Frank Robert Berg hos Finanstilsynet i epost 2012-09-17 at Finanstilsynet ikke har fremsatt slike krav. Med andre ord snakket ikke Postbankens kundestøtte sant i 2009.
Når en i tillegg fra oppslag i Aftenposten vet at de som jobber i alle bankene som bruker BankID i dag, det være seg utro tjenere, eller de som lar seg lure av falsk legitimasjon, kan lage og dele ut en BankID som gir tilgang til mine kontoer og rett til å inngå avtaler på mine vegne, blir det viktigere enn noen gang å få reservert seg mot BankID. Det holder ikke å la være å bruke det selv. Jeg sendte derfor følgende epost-brev til Fornyingsdepartementet i går:
Date: Thu, 15 Nov 2012 11:08:31 +0100
From: Petter Reinholdtsen <pere (at) hungry.com>
To: postmottak (at) fad.dep.no
Subject: Forespørsel om reservasjon mot bruk av BankID i ID-portenJeg viser til nyheten om at staten har tildelt kontrakt for å levere elektronisk ID for offentlige digitale tjenester til BankID Norge, referert til blant annet i Digi[1] og i FADs pressemelding[2].
1) <URL: http://www.digi.no/906093/staten-gaar-for-bankid >
2) <URL: http://www.regjeringen.no/nb/dep/fad/pressesenter/pressemeldinger/2012/staten-inngar-avtale-med-bankid.html >Gitt BankIDs utforming, der BankID-utsteder har både privat og offentlig del av kundens nøkkel hos seg, er jeg ikke villig til å gi tilgang til informasjon som hører til min min privatsfære ved hjelp av innlogging med BankID.
Jeg ber derfor herved om at løsningen settes opp slik at ingen kan logge inn som meg på offentlige digitale tjenester ved hjelp av BankID, det vil si at jeg reserverer meg mot enhver bruk av BankID for å logge meg inn på slike tjenester som kan inneholde personsensitiv informasjon om meg.
Jeg har ikke BankID i dag, men som en kan se i oppslag i Aftenposten 2012-09-13[3] er det ikke til hindrer for at andre kan bruke BankID på mine vegne for å få tilgang. Det sikkerhetsproblemet kommer i tillegg til utformingsproblemet omtalt over, og forsterker bare mitt syn på at BankID ikke er aktuelt for meg til noe annet enn å logge inn i en nettbank der banken i større grad bærer risikoen ved misbruk.
Jeg ber om rask tilbakemelding med saksnummer for min henvendelse. Jeg ber videre om bekreftelse på at BankID-innlogging er blokkert når det gjelder tilgang til "min" informasjon hos det offentlige, i forkant av BankID-integrasjon mot ID-porten som i følge pressemeldingen skal komme på plass i løpet av et par uker.
--
Vennlig hilsen
Petter Reinholdtsen
Jeg venter spent på svaret. Jeg mistenker jeg må sende tilsvarende beskjed til mine bankforbindelser for å sikre mine bankkontoer.
Hvis det skal brukes offentlig nøkkel-teknologi til å inngå avtaler på mine vegne og skaffe seg personsensitiv informasjon om meg, så er mitt krav at det kun er jeg som har tilgang på min private nøkkel. Alt annet blir å gi for mye tillit til andre. Med BankID sitter andre på både "min" offentlige og private nøkkel.