SIKKERHET

Ny nettleserutvidelse skal gjøre BankID enda litt sikrere

Fungerer foreløpig i Chrome og Firefox.

Kodebrikkesjekken kontrollerer at BankID-dialogen er ekte vare og farger den i så fall grønn. I tillegg vises et emblem med mer informasjon.
Kodebrikkesjekken kontrollerer at BankID-dialogen er ekte vare og farger den i så fall grønn. I tillegg vises et emblem med mer informasjon. Skjermbilde: digi.no
Harald BrombachHarald BrombachNyhetsleder
1. mars 2020 - 09:48

Selv om BankID oppleves som temmelig sikkert og trygt av de fleste, så er det fortsatt mulig å gjøre det enda sikrere, uten at det går altfor mye ut over brukervennligheten. 

Nå har Jonny Rein Eriksen, som til daglig er utvikler i Opera Software, utviklet en nettleserutvidelse som gjør det mulig å se om BankID-dialogen som vises, ikke er forfalsket. 

Farges grønn

Kodebrikkesjekken, den nye nettleserutvidelsen, er i første omgang tilgjengelig for desktop-utgavene av Chrome og Firefox, er tilgjengelig via nettstedet Kodebrikke.no

Når utvidelsen er installert, viser den som vist i toppbildet i saken et emblem og farger BankID-dialogen med grønt dersom denne kan verifiseres som ekte. I noen tilfeller, avhengig av nettleser og funksjon, utføres sjekken først når brukeren klikker på ikonet som utvidelsen lager ved siden av adressefeltet i nettleseren. 

Det er ikke lett å vite hva som er sølv eller kråkesølv, verken når man handler regnfrakker hos Temu eller IT-sikkerhetstjenester, mener IT-sikkerhetssjef Thomas Tømmernes i Atea Norge.
Les også

Er du en av dem som kjøper sikkerhet på Temu?

Også en løsning for mobilplattformer er under utvikling. 

Kodebrikkesjekken fungerer helt klart best med vanlig BankID, hvor brukeren taster inn en engangskode. 

– Støtten for BankID på mobil er svak. For å verifisere den må man starte med vanlig BankID og så velge «Velg annen BankID» i BankID dialogen. Støtten for kodebrikke og app-basert innlogging er god, forteller Eriksen.

Han har tidligere kommet med kritikk av sikkerheten i BankID.

Godt mottatt

Eriksen har vært i samtaler med Vipps, som eier BankID, om løsningen. Dette bekrefter kommunikasjonssjef Hanne Kjærnes overfor digi.no. 

Artikkelen fortsetter etter annonsen
annonse
Innovasjon Norge
På trappene til internasjonal suksess
På trappene til internasjonal suksess

– Vi er positive til tiltak og verktøy som kan bidra til å gjøre BankID enda sikrere og tryggere, og tror «Kodebrikkesjekken» kan ha et godt potensial. Jonny har gitt oss en demonstrasjon av løsningen, som vi syntes var veldig spennende og kommer til å fortsette dialogen med han fremover for å finne ut mer om hvordan dette kan fungere for å øke sikkerheten i enda større grad, heter det i en uttalelse digi.no har mottatt fra Kjærnes.

Injisering

 Om selve løsningen, forteller Eriksen at den er veldig enkel. 

Nabil Belbachir, forskningsleder i Norce og styremedlem i EU-Robotics Aisbl-partnerskap, skriver i kronikken at beløpet regjeringen investerer i KI-forskning er ubegripelig lite sammenliknet med hva andre teknologier får av den samme regjeringen, og hva regjeringer i andre land bevilger til KI-forskning.
Les også

Norge ligger bakpå i KI-kappløpet og må få opp farten!

– Et content-script matcher mot https://csfe.bankid.no og injiserer her. Deretter kommuniserer dette med bakgrunns-scriptet. En melding sendes når popup initieres, slik at den markeres med grønt. Når popup forsvinner så brytes kommunikasjonen, og content-scriptet fjerner sine endringer, skriver Eriksen i en forklaring på virkemåten til digi.no.

– UI er plassert i popup samt BankID-kontrollert iframe, for å hindre at et angriperkontrollert nettsted skal kunne detektere når kodebrikkesjekken kjører, og dermed kunne initiere motangrep mot sjekken, fortsetter han.

Tillit

Eriksen forteller videre at siden dette er en nettleserutvidelse som kjører med rettigheter til å manipulere DOM (Document Object Model) i BankID-iframe-en, så er tillit essensielt for om noen vil kjøre den.

– Spesielt siden den er laget av andre enn banken/Vipps. Det er heller ikke slik at den vil kunne installeres av for eksempel ansatte i bedrifter med strenge installasjonsbegrensninger. Da må den eventuelt godkjennes av admin, avslutter Eriksen.

Utfallet skyldes nettverksproblemer hos en tredjepart i tjenesten Swedbankpay fra den svenske banken Swedbank. Illustrasjonsbilde fra et Swedbank-kontor i Vilnius.
Les også

Store problemer med kortbetaling hos Narvesen og 7-Eleven

Del
Kommentarer:
Du kan kommentere under fullt navn eller med kallenavn. Bruk BankID for automatisk oppretting av brukerkonto.