Bra BankID løsning

[nebrewfoz]

1 hour ago, Chr1stian said:

Så du vil ikke ha privat password manager på jobb-pcen, men du synes det går helt fint å logge inn i din private nettbank på jobb-pcen?

Det er mange som er blokkert fra å installere software på jobb-PC. Da må man nøye seg med det arbeidsgiver har tillatt, og som regel er en nettleser inkludert.

[minim]

Chr1stian skrev (5 timer siden):

Så du vil ikke ha privat password manager på jobb-pcen, men du synes det går helt fint å logge inn i din private nettbank på jobb-pcen? For meg er det litt vanskelig å forstå, men you do you. Folk må finne seg i endringen, og det er på tide ettersom SMS ikke er trygt i det hele tatt.

Jeg får ikke lov til å ha privat passord manager på jobb-pcen. Tror det er rimelig vanlig policy i en del firmaer at en ikke får installere hva en vil av programvare. Innlogging til bankid brukes ikke bare til privat nettbank. Folk må ikke finne seg i å gå baklengs inn i fremtiden nei. Hadde ikke hatt noe i mot løsningen om det var en oppgradering, men når det tar alt fra 2-5x så lang tid å autentisere seg så er man fullstendig på villspor. 

[mobile999]

Du får ikke så veldig sympati fra meg. Passord på 8-9 tegn og noen trykk på mobilen vs pinkode på 4 tall. Det er dessuten mye sikrere.

[oddeh]

Denne er litt morsom:
https://dinside.dagbladet.no/okonomi/twitter-storm-mot-bankid/77604408

"BankIDs innloggingsløsning skiller ikke mellom små og store bokstaver i passordet.
En av årsakene til at BankID ikke «ser forskjell» på dette, er ifølge Torsheim et fokus på brukeropplevelsen."

[minim]

mobile999 skrev (4 minutter siden):

Du får ikke så veldig sympati fra meg. Passord på 8-9 tegn og noen trykk på mobilen vs pinkode på 4 tall. Det er dessuten mye sikrere.

Det har vært plenty sikkert nok i åresvis og jeg er sikker på at de kunne laget noe nytt bra også. Det kommer nok. Problemet er at de har trykt på forbrukerne en nedgradering som tar 2-5x så lang tid pr autentisering uten å få noen fordeler. Sikkert ikke noe problem når logger inn på nettbanken en gang i uka, men bruke en det mange ganger for dagen er det mildt sagt frustrerende å bli nedgradert og påtrykt en dårligere løsning enn vi har hatt lenge. 

[minim]

oddeh skrev (2 minutter siden):

Denne er litt morsom:
https://dinside.dagbladet.no/okonomi/twitter-storm-mot-bankid/77604408

"BankIDs innloggingsløsning skiller ikke mellom små og store bokstaver i passordet.
En av årsakene til at BankID ikke «ser forskjell» på dette, er ifølge Torsheim et fokus på brukeropplevelsen."

Heh og det beste må være at de har ingen form for utskifting av passord heller. Man kan ha samme passord i dag som for 10 år siden. Sikkerheten er i høysete, ihvertfall når den kan brukes som unnskyldning til å nedgradere kundene til app løsning. 

[arne22]

1 hour ago, minim said:

Sikkerheten er i høysete, ihvertfall når den kan brukes som unnskyldning til å nedgradere kundene til app løsning. 

Nedgradere? Hvis man tar utgangspunkt i OSI modellen, så må man vel nærmest kunne si at datatransporten mht passord kjører "på fysisk nivå" for "bank id på mobiletelfon" mens Bank app krypterer på lag 4, likt med mye annet. Blir ikke det rett å si? På denne måten så blir også bank app en bruk av en mer "standardisert" og på den måten enklere teknologi. Man slipper foreksempel å stå i utlandet å oppleve at "bankid på mobiltelefon" ikke fungerer. Bank appen som kjører en mer standard "OSI stack" vil der imot kunne fungere. Kan det være rett måte å se tingene på? 

Endret 4. desember 2023 av arne22

[Gjest Slettet-fsaSP0zV]

minim skrev (2 timer siden):

... det beste må være at de har ingen form for utskifting av passord heller. Man kan ha samme passord i dag som for 10 år siden.

Dette er bare tull. Passordet kan du bytte selv når du ønsker. I tillegg MÅ det byttes innimellom (for sjelden, IMO).

[vidor]

Det å kreve at folk setter nytt passord er et tveegget sverd. Det er mye mer sannsynlig at folk bare gir opp, og så havner passordet under tastaturet på en gul-lapp.

Fordelen er jo at en forhåpentligvis slipper passord som password og 123456.

[oddeh]

Slettet-fsaSP0zV skrev (23 minutter siden):

Dette er bare tull. Passordet kan du bytte selv når du ønsker. I tillegg MÅ det byttes innimellom (for sjelden, IMO).

Vet du hvor ofte? Jeg har ikke byttet på i hvert fall 6 år.

[Comma Chameleon]

vidor skrev (2 timer siden):

Det å kreve at folk setter nytt passord er et tveegget sverd. Det er mye mer sannsynlig at folk bare gir opp, og så havner passordet under tastaturet på en gul-lapp.

Enig! Det å tvinge noen til å bytte passord hjelper kun for oss med passord-manager vil jeg tro. Da går man fra et trygt passord til et annet. For alle andre så blir det bare en eller annen kjent variant for at de skal huske på det. Ikke bra.

Å tvinge noen til å bytte passord burde kun skje hvis det er en spesifikk mistanke om at passordet er på avveie.

[minim]

Slettet-fsaSP0zV skrev (7 timer siden):

Dette er bare tull. Passordet kan du bytte selv når du ønsker. I tillegg MÅ det byttes innimellom (for sjelden, IMO).

Klart man kan bytte, men bruker må selv gjøre det og da blir det ikke byttet av de fleste. Nei det må aldri byttes faktisk

[minim]

oddeh skrev (7 timer siden):

Vet du hvor ofte? Jeg har ikke byttet på i hvert fall 6 år.

Aldri. 

Comma Chameleon skrev (4 timer siden):

Enig! Det å tvinge noen til å bytte passord hjelper kun for oss med passord-manager vil jeg tro. Da går man fra et trygt passord til et annet. For alle andre så blir det bare en eller annen kjent variant for at de skal huske på det. Ikke bra.

Å tvinge noen til å bytte passord burde kun skje hvis det er en spesifikk mistanke om at passordet er på avveie.

Igrunnen ikke uenig, men sikkerhetsmessig er det en fordel å bytte det ut vil jeg anta siden mange trer dette ned over hodene til brukerne. Men når resultatet blir en postit lap på skjermen så møter vel sikkerhetsfolka seg litt i døra. Litt som at nå ender bankid passordet på skjermen siden folk ikke husker det, men 4 sifret pin klarte de. 

[Uderzo]

vidor skrev (10 timer siden):

Det å kreve at folk setter nytt passord er et tveegget sverd. Det er mye mer sannsynlig at folk bare gir opp, og så havner passordet under tastaturet på en gul-lapp.

Fordelen er jo at en forhåpentligvis slipper passord som password og 123456.

Det er akkurat derfor Apple, Google and Microsoft m.fl. jobber med å fase ut passord, det er, som du så fint poengterer, ikke det sikreste som finnes.
Det som er årsaken til at man per i dag i mindre grad krever at brukere må endre passordet sitt på jevnlig basis, er fordi det er lettere å kreve et mer komplekst passord hvis brukeren slipper å endre det å ofte. Det er "lesser of two evils" slik ståa er for øyeblikket.
På jobben gikk vi bort i fra dette for flere år siden, nå kan de ha samme passordet(minst 12 tegn) så lenge de vil men vi har tofaktor løsninger i tillegg.
Men på sikt så vil vi helt bort fra passord.

Endret 5. desember 2023 av Uderzo