Fra i dag må Handelsbankens kunder opprette BankID på nytt.

Informasjon om et systembytte gikk ut lørdag for et par uker siden. Banken valgte da å sende ut en tekstmelding, som for de fleste ser ut som lureri eller svindel.

SMS-en er ekte, den. Det bekrefter kommunikasjonsdirektør Lars N. Sæthre når digi.no ringer.

– Dette var en bevisst krevende utsendelse. Vi visste at noen ville bli usikre på meldingen. Vi valgte å sende den likevel, sier Sæthre.

Phishing (nettfiske) er en velkjent metode med utsendelse av falske meldinger der noen utgir seg for å være for eksempel banken din. Handelsbanken har i likhet med banker flest advart kundene sine mot slik praksis.

Har ikke mobilsider
Sæthre sier at banken generelt skal være forsiktig med å sende ut meldinger som inneholder lenker.

– Utfordringen vår er at handelsbanken.no ikke har mobiltilpassede sider. Derfor brukte vi vår underleverandør Boost til utsendelsen. Der kom det opp en ganske krøkkete henvisningsadresse.

Kundene ble oppfordret til å besøke http://mmkr.mobi/s/aff1e som neppe kan sies å være noe kjent nettsted, eller adresse man forbinder med Handelsbanken.

Titusener
Ifølge Sæthre gikk meldingen ut til alle som har BankID fra Handelsbanken. Det skal iallefall ha dreid seg om «noen titusen» mottakere.

Reaksjonene lot ikke vente på seg. En del kunder mistenkte at dette måtte være spam eller svindelforsøk, og tok både kontakt over telefon og i sosiale medier.

– Vi kunne valgt ikke å bruke link i meldingen. Her var det ingen som skulle legge igjen informasjon eller logge seg inn i nettbanken. Adressen vi sendte ut var ikke ideell, sier kommunikasjonsdirektøren.

Handelsbanken har i dag lansert Java-fri BankID, men de har også i tillegg foretatt bytte av et datasystem i bankkant. Kundene må derfor laste ned BankID fra nettbanken på nytt. Det er årsaken til at de følte behov for å informere kundene.

Meldingen som gikk ut lørdag 15. november lød:

“Hei! Viktig melding til deg som er kunde i Handelsbanken. Grunnet nytt system må alle med BankID fra oss bestille ny BankID i nettbanken f.o.m. 24.11. Du vil trenge passordet til nettbanken. Se hvordan du oppretter BankID på nytt eller bestiller passord:
http://mmkr.mobi/s/aff1e
Hilsen Handelsbanken”

De er ikke alene. For få dager siden skrev Dinside.no om et lignende tilfelle, da med nyhetsbrev fra Skandiabanken som eksempel.

Tidligere måtte det offenlige be om samtykke for å sende deg elektroniske meldinger, men dette prinsippet ble snudd på hodet med innføringen av «digitalt førstevalg».

Nå er det digital korrespondanse som er hovedregelen. Staten kan spare store beløp ved å slippe å sende ut mer enn 125 millioner papirbrev hvert år.

Men det er fullt mulig å reservere seg.

Et nettskjema fra Direktoratet for Forvaltning og IKT (Difi) gjør dette på aller enkleste vis:

Det holder å fylle inn 11-sifret fødsesnummer og trykke en knapp. Forvaltningen må da sende papirpost til vedkommende.

Ingen autentisering eller innlogging kreves. Du kan avregistrere hvem som helst. Hvem som helst kan avregistrere deg.

Ifølge sikkerhetsekspert Per Thorsheim later det til at Difis skjema også kan misbrukes til å verifisere gyldige fødselsnumre.

– Tjenesten gir beskjed dersom det tastes inn et ugyldig personnummer. Det
i seg selv vil jo verifisere gyldige personnumre.

Dermed kan tjenesten 1) sabotere kommunikasjon på nett og fordyre statens kommunikasjon over på vanlig post og 2) verifisere gyldige personnumre – noe Datatilsynet er opptatt av å forhindre, påpeker han.

Dette avviser Difi, men de bekrefter at hvem som helst kan avregistrere andre. Les hele svaret fra direktoratet nederst i saken.

– Sist men ikke minst, og dette er litt tullete synes jeg, er at jeg må logge meg inn på brukerprofilen min på nett for å oppheve min reservasjon mot kommunikasjon med det offentlige – PÅ NETT, sier Thorsheim.

– Feilslått
Skjemaløsningen ser ut til å ha en alvorlig sikkerhetsbrist, vedgår IKT-Norges direktør internett og nye medier, Torgeir Waterhouse overfor digi.no.

– Ja, dessverre virker det som en tanke om brukervennlighet som har slått helt feil ut.

Fødselsnummer er ifølge Datatilsynet ikke regnet som sensitive opplysninger, og fødselsnumre er heller ikke taushetsbelagt. Det er en kjensgjerning at fødselsnummer ikke bør brukes som legitimasjon, slik Difi har lagt opp til.

Les også: Skremmende lett å finne fødselsnumre

Eller et nyere eksempel: XXL blottla folkeregisteret

Lister over nordmenns fødselsnummer har lekket tidligere. Det er heller ikke en veldig vanskelig oppgave å spore opp program på internett som genererer eller validerer gyldige fødselsnumre.

Resultatet: Via løsningen er det mulig å avregistrere andre personer. Følgelig kan Difis skjema bli brukt til å sabotere det digitale førstevalget.

– Det kan det lett bety, og da kan hvem som vil melde naboen, foreldre, læreren eller andre ut av den digitale prosessen. Vi bør kunne forutsette at Difi har gjort tiltak for å hindre dette. Vil likevel noen som ønsker å skape støy eller å «ta noen» så får de antagelig til det ganske greit. Skal ikke se bort fra at noen fort kan tilby en “melde ut”-tjeneste for å hjelpe folk å lure Difis system, sier Waterhouse.

Difi bør ta sitt skjema offline, inntil løsningen er sikret tilstrekkelig, lyder det klare rådet hans.

Det føles som det har skortet litt på Difis sikkerhetsanalyse, sier Per Thorsheim i rådgivningsfirmaet God Praksis.

– Ikke store endringene som kreves fra Difi her. Krav til innlogging for reservasjon og heving av denne burde være nok.

Difi: – Begrensede konsekvenser
Det er fagdirektør Birgitte J. Egset som svarer på vegne av IT-direktoratet. Hun er også leder for etatens Sikker post-program. Her følger svaret i sin helhet:

Ved endringer i forvaltningsloven og eForvaltningsforskriften, som trådte i kraft 7. februar i år, fikk forvaltningen generell adgang til å benytte digital kommunikasjon når forvaltningsorgan henvender seg til andre.
For privatpersoner ble det samtidig innført adgang til å reservere seg mot å få enkeltvedtak og andre viktige henvendelser digitalt, se eForvaltningsforskriften § 9.

Da lovendringene ble behandlet i Stortinget ble det fremhevet at valgfriheten skulle være reell og at «reservasjonsordningen skulle utformes slik at personer som ikke mestrer eller har tilgang til nødvendige elektroniske løsninger, ikke må reservere seg gjennom bruk av slike verktøy», se Innst. 342 L (2012-2013).

Dette har vært førende for Difi når vi har utviklet løsningen for å reservere seg mot kommunikasjon på nett.
Man kan reservere seg ved å ringe vår brukerstøtte på grønt nr 800 30 300 eller benytte tjenesten på norge.no.

Det er et bevisst valg at vi ikke krever innlogging med ID-porten for å benytte reservasjonstjenesten, da vi mener det ikke vil være i tråd med føringene fra Stortingsbehandlingen.

Som Digi påpeker kan man reservere andre som man kjenner fødselsnummeret til. For mange kan det være hensiktsmessig å be et familiemedlem eller en annen bekjent om å reservere dem.

Når man reserverer seg via tjenesten på norge.no, får man en sms eller en e-post om at man er reservert, dersom kontaktinformasjonen er registrert i kontakt- og reservasjonsregisteret.
Mer enn 3,5 millioner innbyggere har registrert sin kontaktinformasjon i dette registeret. Man kan da enkelt oppheve reservasjonen om den skulle være urettmessig.

Vi har risikovurdert reservasjonsløsningen. Vår vurdering er at en urettmessig reservasjon har begrensede konsekvenser for de personer som måtte bli rammet – man får vedtak og andre viktige brev fra offentlig sektor på papir i stedet for digitalt. Man kan når som helst oppheve reservasjonen. Urettmessig massereservasjon er et mulig risikoscenario, trolig med sabotasje som motivasjon. Vi har flere tiltak som kan iverksettes om dette skulle bli et problem. Så langt fungerer reservasjonsløsningen etter hensikten og vi er opptatt av at det skal være enkelt å reservere seg for de som ønsker dette.

Påstanden om at reservasjonsløsningen kan brukes til å vaske fødselsnummer medfører ikke riktighet. Feilmeldingen Digi har fremprovosert følger av en logisk validering av fødselsnummer og bekrefter/avkrefter ikke et fødselsnummers gyldighet.

Spionvare er et problem, og nå har flere organisasjoner gått sammen for å gjøre det litt enklere å bli kvitt det.

Et verktøy kalt Detekt kan lastes ned gratis og brukes til å skanne en Windows-maskin for blant annet Fin Fisher og Hacking Team RCS, programvare som har vært i bruk for å overvåke maskiner til journalister, aktivister og andre utsatte personer.

Denne type spionprogrammer kan brukes til å lese eposter, avlytte videosamtaler eller chattelogger, eller til og med aktivere mikrofon og videokamera uten at brukeren vet om det.

Skanneverktøyet, Detekt, ble utviklet av sikkerhetseksperten Claudio Guarnieri, og støttes av organisasjoner som Amnesty International, Privacy International og Electronic Frontier Foundation.

Utgiverne påpeker at Detekt ikke kan garantere hundre prosent sikkerhet, selv om det har vist seg til å fungere godt under testing. Det advares også at utviklerne av spionprogramvare kan oppdatere sine programmer til å bli usynlige for Detekt, så selv om skanningen friskmelder maskinen, kan man aldri være helt sikker.

Det er uansett en relativt enkel måte å forsikre seg om at datamaskinen man bruker ikke er fylt med spionprogrammer. Alt som kreves er å koble den aktuelle maskinen fra nettet, skru av eventuelle antivirus-programmer, og sette i gang skanningen. Deretter får man advarsel om spionvare er funnet.

Skulle Detekt oppdage skummel programvare, anbefales det å øyeblikkelig slutte å bruke maskinen, og eventuelt ta kontakt med eksperter som listes på denne siden.

Detekt slippes som åpen kilde, slik at andre sikkerhetseksperter kan eventuelt bygge videre på det. Utgiverne påpeker at det viktigste for dem er å øke bevisstheten rundt truslene med ulovlig overvåking av individer.

Det er også verdt å merke seg at verktøyet per i dag ikke fungerer på Windows 8.1-maskiner.

Den nyeste versjonen av Android, 5.0, også kjent som Lollipop, er nå tilgjengelig sammen med flaggskipet Nexus 6.

Det er den sikreste Android-varianten hittil, med blant annet full kryptering av enheten aktivert for alle brukere. Android har hatt kryptering en stund, men tidligere måtte det aktiveres av brukeren selv, og de fleste har ikke vært klar over funksjonaliteten.

Mobilsikkerhet er imidlertid mer i vinden enn noensinne, etter NSA-avsløringene og andre sikkerhetsskandaler.

All data på nye Nexus-enheter krypteres altså i utgangspunktet, og det brukes brukerens PIN som passord, systemet kan også sette opp et eget passord til dette hvis brukeren velger å ikke låse skjermen. Den kontinuerlige krypteringen og dekrypteringen av informasjon krever at mobilens prosessor må gjøre en ekstra jobb.

Nettstedet Ars Technica tok seg tid til å teste hvorvidt krypteringen, og den ekstra belastningen på maskinvaren, påvirker enhetens øvrige ytelse.

Det ble brukt et benchmarking-program som leser hastighetene mens enheten skriver og leser data til disken. Det er under denne prosessen at krypteringen av dekrypteringen skjer. Resultatene ble sammenlignet med en egen versjon av Nexus 6-mobilen med krypteringen skrudd av.

Forskjellen er betydelig, viser det seg. Ytelsen faller med 62,9 prosent ved tilfeldig lesing av data, 50,5 prosent ved tilfeldig skriving av data, og hele 80,7 prosent ved lesing av data i sekvens. Dette er tall som brukerne kan legge merke til i daglig bruk, og vil påvirke telefonens oppførsel ved skriving og lesing av data. Det finnes naturligvis andre faktorer som avgjør ytelsen til en smartmobil, men man kan ikke undervurdere dette ene elementet.

Saken er at nyinnkjøpte enheter med Android 5.0 forhåndsinstallert, altså Nexus 6 og nettbrettet Nexus 9, har ingen mulighet til å skru av krypteringen. Det finnes imidlertid uoffisielle løsninger for dette på XDA-forumet.

Eldre mobiler og nettbrett som oppdateres til Lollipop viderefører den opprinnelige statusen til enheten, så hvis man har en ukryptert telefon, vil den fortsatt være ukryptert etter oppgradering.

IT-giganten samler nå sin ekspertise på SAP, Unit4Agresso og Oracle i en ny enhet. Det inkluderer rådgivning, leveranse, drift, support og forvaltning av slike løsninger.

Resultatet blir Norges største fagmiljø for virksomhetsystemer, ifølge Evry.

Dagfinn Lande Kolstad er hanket inn som direktør for den nye avdelingen, som ser dagens lys 1. desember. Han kommer fra stillingen som direktør offentlig sektor i Microsoft Norge.

Endringen er del av reorganiseringen av Evry. ERP-ekspertisen har fram til nå delvis vært spredt geografisk og delvis sentralisert.

Dette er et område som typisk forbindes med forretningssystemer, eller det Evry liker å kalle virksomhetssystemer eller “enterprise applications” for å ha med også offentlig sektor.

– Det som er viktig for oss å få fram er at vi har dette sterke miljøet. Det har nok ikke vært så kjent utad. ERP i seg selv er kanskje ikke et vekstområde, men det er alt som er tilknyttet, for eksempel mobile tjenester og apper, sier Anne Vandbakk, kommunikasjonsansvarlig for Evrys forretningsområde Industries, til digi.no.

Evry skal nå samlokalisere ansatte som allerede befinner seg i området, men vil også bevare folk med slik ekspertise regionalt. ERP-enheten vil favne et kjerneteam bestående av rundt 300 personer.

Kompetanse på virksomhetssystemer har befunnet seg lengre ned og litt spredt i Evrys organisasjon. Ved å etablere egen enhet signaliserer selskapet at ERP blir viktigere fremover.

Vil vokse mer enn markedet
Analysefirma som Gartner og IDC spår en årlig vekst på 4-6 prosent for denne typen løsninger. Evry skriver i en pressemelding at deres ambisjon er å vokse enda mer ved hjelp av den nye organiseringen.

Påtroppende direktør Kolstad har følgende kommentar:

– Evry kan ta ansvar for hele verdikjeden hos kunden; fra basisdrift, applikasjonsdrift, tjenesteutvikling og integrasjoner til utvikling av nye kundeløsninger. Evry har også et stort og innovativt miljø innen mobilitet, og kan utvikle nye, mobile EA-løsninger raskt – alene eller sammen med våre partnere. Vi ser et voksende marked for dette fremover, sier han.

Applikasjonsstrømming er og for seg ikke noe nytt. Det vil si at klientapplikasjoner kjøres på en server, mens et bilde av brukergrensesnittet overføres til brukerens klient. Ofte kreves det en egen klientprogramvare på brukersiden, men det finnes unntak.

I forrige uke kom det et par nyheter innen dette området. Amazon kunngjorde at selskapets Amazon AppStream-tjeneste, som ble avduket for et år siden, har fått ny funksjonalitet som gjør at så godt som alle eksisterende Windows-applikasjoner kan strømmes umodifisert fra tjenesten og til en klient som ifølge Amazon kan kjøres i på en rekke plattformer, inkludert FireOS, Android, iOS, OS X, Windows og i Chrome-nettleseren.

Ifølge Amazon er det flere fordeler med en slik tilnærming. Det reduserer avhengigheten av at brukerne benytter et gitt operativsystem, og distribusjon og oppdatering av programvaren forenkles kraftig siden alt kjøres på samme sted.

Applikasjonene kjøres i en type EC2-instans som er utstyrt med grafikkprosessor (GPU). Det gjør at også 3D-grafikk fungerer.

Kundene betaler per time med strømming. Det første året skal tilbys de første 20 timene per måneder gratis.

Photoshop
I september kunngjorde Adobe at selskapets Creative Cloud-produkter skal gjøres tilgjengelige for Chromebook. Nå har Project Photoshop Streaming, som det skrittet på veien heter, blitt gjort tilgjengelig i en temmelig begrenset betautgave. Foreløpig er det kun nordamerikanske undervisningskunder som tilbys tilgang til betaprogrammet, som skal pågå i seks måneder.

Men også enkelte amerikanske teknologiaviser har fått ta en titt.

Ifølge The Verge installeres klienten fra Chrome Web Store. Det er ikke snakk om hele Photoshop, men en klient som kobler Chrome til Googles Compute Engine hvor Photoshop CC 2014-appen strømmes fra. Den kjøres i Chrome, men i et vindu uten nettleserens vanlige felt og knapper.

I praksis dreier det seg om en videostrøm av Photoshop, samt JavaScript-kode på klientsiden som videresender brukerens handlinger tilbake til serveren. Så lenge mottakermaskinen og internettforbindelsen kan håndtere videostrømmen, skal de ikke være noen ytelsesmessige ulemper ved denne løsningen. Kravet til nettforbindelsen skal dog ikke være høyere enn 1 megabit per sekund. Videoformatet som benyttes er VP8.

Noen mangler skal de være likevel. Funksjonalitet som avhenger veldig av systemet grafikkprosessor, slik som 3D-funksjonaliteten i Photoshop, fungerer ikke. Adobe og Google jobber med å løse dette.

Heller ikke direkte utskrift støttes av den strømmede løsningen. Photoshop Streaming fungerer foreløpig kun med filer lagret i Google Drive, men Adobe opplyser at støtte for andre nettskytjenester er noe som planlegges.

– Selv Chromebooks til 200 dollar er fullt i stand til å dekode videostrømmen i sanntid, sier teknologidirektør Kirk Gould i Adobe, til CNET. Han lover den samme opplevelsen som det man får på en kostbar, stasjonær pc – noe mange studenter ikke har råd til.

Photoshop Streaming skal tilbys som en del av Creative Cloud-abonnementet.