En opdatering betød, at hackere kunne lukke enhver ude fra MitID, hvis de kendte cpr-nummeret, men nu kan du trygt bruge MitID igen, oplyser DR.
Ifølge Version2 opdagede og lukkede sikkerhedsfolk i efterårsferien et alvorligt sikkerhedshul i MitID. Fejlen betød, at hackere potentielt kunne blokere for adgangen til store dele af det digitale Danmark.
Problemet opstod efter en opdatering fra Nets, der driver MitID for bankerne og det offentlige. Sikkerhedsfolk hos MobilePay opdagede, at man ved at tilføje et cpr-nummer til adressen i browseren kunne sende en login-anmodning til MitID. Vel at mærke helt uden at kende brugernavnet. Gentages den anmodning, bliver brugeren lukket ude. Det samme kunne gentages i stor skala, potentielt mod samtlige danskeres cpr-numre.
“Vi havde i fire dage MobilePay i gang med at teste det. Der gik det op for dem, at det her var en sårbarhed, og derfor slukkede vi for det igen,” sagde Niels Flensted-Jensen, medstifter og direktør for Criipto, til Version2. Criipto er en af de såkaldte brokere, der formidler kontakten mellem MitID og brugerne.
“Det er fuldstændig uforståeligt, hvorfor de implementerer funktionalitet, der er så åbenlyst usikker. Det tyder på, at der er problemer med deres interne krav og specifikationer,” sagde professor i it-sikkerhed på IT-Universitetet i København Carsten Schürmann til Version2.
- Forside
- ⟨
- Forum
- ⟨
- Nyheder
Gå til bund