Varnar för risker med ny id-lösning
I dag använder många svenskar bank-idför att komma in på myndigheters e-tjänster som självdeklaration och ansökan om föräldrapenning.
Men 2011 inrättade regeringen E-legitimationsnämnden med uppdraget att skapa en ny e-legitimation för stat, kommuner och landsting. Ett syfte är att medborgarna ska kunna nå flera myndigheter med en enda inloggning. Systemet ska vara klart för drift nästa sommar. Då löper det upphandlade avtalet med det bankägda företaget bakom bank-id ut.
Men projektet har varit långt ifrån smärtfritt. För ett år sedan begärde tre myndigheter med stort behov av e-tjänster – Försäkringskassan, Arbetsförmedlingen och Centrala studiestödsnämnden, CSN – en granskning av den föreslagna tekniska lösningen.
De såg säkerhetsproblem, bland annat ökade risker för överbelastningsattacker. En attack skulle dessutom drabba alla anslutna myndigheter.
– Som den tekniska lösningen ser ut i dag kan en attack mot en myndighet sprida sig i hela systemet, och då kan andra myndigheter bli tvungna att stänga sina e-tjänster, säger Peter Sahlin, verksamhetsområdeschef på Försäkringskassan. Det går inte att stänga av en enskild aktör.
Säkerheten hänger på att alla, från minsta kommun till stora myndigheter, har ett tillräckligt skydd. Myndigheterna påpekade också brister i designen, inte minst att användarna inte kan se om de loggar in eller om de signerar en transaktion.
Granskningen gjordes av Myndigheten för samhällsskydd och beredskap, MSB, med bistånd från Försvarets radioanstalt, Försvarsmakten och Totalförsvarets forskningsinstitut.
I höstas, efter 2 500 arbetstimmar, kom deras granskningsrapport. Den är hemligstämplad, bara en sammanfattning med 22 rekommendationer offentliggjordes.
Nyligen lade E-legitimationsnämnden fram en plan med åtgärder för att rätta sig efter rekommendationerna.
Försäkringskassan har efter lång tvekan nu bestämt sig för att ansluta sig till systemet.
– E-legitimationsnämnden har sagt att de ska ta hand om alla de punkter som vi och MSB identifierat som kritiska. Vi kan inte göra annat än att lita på det, säger Peter Sahlin.
På CSN är man ännu inte övertygad. Handlingsplanen är en bra start, men långt ifrån tillräcklig för att hantera de stora brister och risker som framkommit i MSBs rapport, skriver myndig-heten till E-legitimationsnämnden.
CSN befarar att »risken för en riktad attack mot svensk e-legitimation, e-tjänster hos myndigheter och e-legitimationsutfärdare är hög«. En attack kan medföra stor skada för myndigheter och privatpersoner, konstaterar CSN.
STs ordförande Britta Lejon ser allvarligt på läget utifrån ett medarbetarperspektiv.
– Det blir de enskilda handläggarna som får klä skott om systemet inte fungerar. Det är oerhört viktigt att myndigheterna kan erbjuda säkra system, och i dagsläget känns det väldigt svajigt. Det kan bli kaos. De tekniska brister som uppdagats innebär också risker för medborgarnas tillit till samhället, anser hon.
– Detta är i dag den viktigaste infrastrukturen, det handlar om medborgarnas integritet och tilliten till hela det offentliga Sverige.
Detta är en nyhetsartikel. Publikts nyhetsrapportering ska vara saklig och korrekt. Tidningen har en fri och självständig ställning gentemot sin ägare, Fackförbundet ST, och utformas enligt journalistiska principer samt enligt spelreglerna för press, radio och TV.
När jag jobbade med E-ID-förordningen i Bryssel (tillsammans med Marita Ulvskog!) läste jag igenom samtliga SOU:er som ledde fram till E-legitimationen. De börjar med långa önskelistor från politiker och tjänstemän på Näringsdepartementet för saker som de upplever att medborgarna borde vilja göra (e-rösta, e-deklarare, e-handla, e-hålla koll på barn, osv). Precis som på 1990-talet finns en naiv övertro på att just statligt utfärdade identiteter är det som saknas för att internet ska bli en blomstrande ekonomi. Som motbevis på denna tes kan sägas att statliga e-legitimationer aldrig har fungerat bra eller använts utom i snäva situationer, och att internets mest använda identitet är Facebook-login. EU:s politiska process drevs också av föreställningen om att man skulle "boost the digital single market" - trots att bara 10% av alla i Österrike och nästan inga tyskar använder de e-legitimationer som finns där. Bara Estland har haft en någorlunda framgångsrik implementation.
Identitetsfrågor på nätet är i allmänhet besvärliga: vill man ha en legitimation att köpa snus med, eller en legitimation att kontakta läkare med? Aktiviteterna är annorlunda, och kräver olika sorters autenticering. År 2006 lade två Kristdemokrater en motion om att legitimation ska funka "på samma sätt" på nätet som utanför nätet - men utanför nätet är det ingen som spårar varje gång jag verifierar min identitet. Ingen kassör på någon Pressbyrå i hela Sverige minns t ex vad som stod på mitt ID-kort (trots att mitt ID-foto utan tvekan är ett av Sveriges fulaste). På internet kan jag inte ens besöka regeringen.se utan att få en så kallad "kaka" lagd på datorn som gör det möjligt för regeringens webbyrå att spåra mina surfvanor över flera webbsidor. Varje extra sekund jag tillbringar vid någon särskild SOU blir ett statistiskt mått på ett sätt som helt enkelt inte är "samma" som utanför internet på något sätt.
E-legitimationsnämndens uppdrag är att kringgå EU:s upphandlingslagstiftning. Genom att göra en så kallad "tjänstekoncession" behöver inte myndigheterna följa samma regler som gäller för upphandlingar av andra system. E-legitimationsnämnden vill bygga en standardisering för ID-hantering ("samma överallt") som bygger på en teknisk standard kallad SAML. SAML förutsätter att den som "ger ut" identiteter också "håller koll" på de som använder identiteter på olika platser - jättestora databaser med vem som gjort vad, när, hur länge. Tillräckligt med information för att utröna mycket privat information om svenskar.
Standardiseringen har drivits fram av ett antal tekniskt sinnade - och inflytelserika - personer i Stockholm. SAML-standarden har t ex visat sig fungera bra när universitet ska hålla koll på studenter och deras kurser, mejlkorgar, studieresultat och kontakter med lärare. Av detta följer inte att SAML också är bra för en hel statlig förvaltning och samtliga företag, men tekniker som gillar tekniska ting brukar förutsätta att så länge det funkar för dem funkar det för alla andra. En extra klandervärd punkt är att teknikerna dessutom förutsatt att bara för att DE tycker de är tillräckligt kloka för att samla på sig sådan information om andras myndighetskontakter, betyder inte det att ALLA ANDRA också tycker de är tillräckligt kloka (jag tycker t ex inte det).
E-legitimationsnämnden har begränsat användningen av personuppgifter för de som handhåller tekniken - men inte användningen av metadata (det vill säga information om vem, hur, när man kontaktat myndigheter). De kan säljas och användas av legitimationsutfärdaren, delas vidare, eller på andra sätt bearbetas och föras vidare ut i stora vida världen, där många (t ex försäkringsföretag) kan tänkas vara intresserad.
Är man intresserad av mer vetenskapliga framställningar om både tekniska lösningar och juridiska problem finns flera utmärkta böcker skrivna inom EU:s forskningsprojekt FIDIS och ABC4TRUST. Jag rekommenderar Kai Rannenbergs artikelsammanställning utgiven på Springer förlag från 2015 ("Attribution-Based Credentials").