Ja, det var väl ungefär det jag svarade tyckte jag. /amel > -----Ursprungligt meddelande----- > Från: JOSEFSSON Erik [mailto:erik.josefsson@xxxxxxxxxxxxxxxxxx] > Skickat: den 12 juni 2014 11:00 > Till: 'Erik Mjöberg'; Anne-Marie Eklund-Löwinder; listan@xxxxxxxxxxxxx > Ämne: RE: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation > > Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags > mejväxling med den ansvariga institutionen eller linkande? > > Vet inte om det finns nån "askthegovernment. se" som motsvarar > "asktheeu.org", men en mer formell process än mail på den här listan skulle > kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga > problemen ligger. > > Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man > jobba för ändrad lagstiftning. > > Korvmaskinister unite! > > mvh > > //Erik > > > -----Original Message----- > From: Erik Mjöberg [mailto:erik.mjoberg@xxxxxx] > Sent: 12 June 2014 09:49 > To: Anne-Marie Eklund-Löwinder; listan@xxxxxxxxxxxxx > Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation > > Bästa Anne-Marie Eklund-Löwinder! > Du har inte svarat på min fråga. Du har > inte heller haft några invändningar mot > att legitmationsutfärdarna (bankerna, > Telia m.fl.) både i dagens och i > framtida Svensk e-legitimation samlar > adresserna till användarnas anlitade > tjänster. Du konstaterar att här finns > inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. > Erik Mjöberg > > On 2014-06-11 15:20, Anne-Marie > Eklund-Löwinder wrote: > > Hej, > > > > Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här > diskussionen med dig. Jag håller inte med dig, och jag ser inte något som > indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen > inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra > den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e- > legitimationsnämnden. > > > > Med vänlig hälsning, > > > > Anne-Marie > > > > > > > >> -----Ursprungligt meddelande----- > >> Från: Erik Mjöberg [mailto:erik.mjoberg@xxxxxx] > >> Skickat: den 11 juni 2014 10:59 > >> Till: Anne-Marie Eklund-Löwinder; listan@xxxxxxxxxxxxx > >> Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation > >> > >> Bästa Anne-Marie Eklund-Löwinder! > >> > >> Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men > >> låter den saken bero. > >> > >> Det som är ännu allvarligare är att Du inte ens försöker svara på min > >> fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas > >> adresser tillgodoser kraven i Personuppgiftslagen och i direktivet > >> till tillsättandet av E- legitimationsnämnden, utan i stället tar upp > >> något som jag över huvud taget inte har nämnt, nämligen > >> anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är > >> ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert > förstår. > >> > >> > >> Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha > >> andra och viktigare frågor att beakta än den uppenbara > >> integritetskränkning som sker i dagens e-legitimation och genom > >> användningen av SAML i förslaget till ny Svensk e-legitimation. > >> > >> > >> Med förundrad hälsning > >> > >> Erik Mjöberg > >> > >> On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote: > >> > >> > >> Hej! > >> > >> På frågan riktad till mig: > >> > >> Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. > >> Om det är anvisningstjänsten du är upprörd över, så har den flera > >> gränssnitt - endast ett av dessa innebär att användarens UA hämtar > >> listan över valbara utgivare och därmed lämnar spår efter sig i form > >> av IP-adresser. I andra situationer hämtar e-tjänsten listan > >> regelbundet och presenterar den själv. Och i andra fall används inte > >> anvisningstjänsten alls. Anvisningstjänsten är dessutom > >> federationsspecifik, och ger därför inte den helhetsbild av > >> användningen som du försöker göra gällande. Det är inte heller dessa > >> uppgifter som ligger till grund för vare sig debitering eller statistik, du har > helt enkelt förstått det hela väldigt fel. > >> > >> Jag är inte jurist, men det finns inga indikationer på att den här > >> anvisningstjänsten skulle vara oförenlig med svensk och europeisk > >> persondataskyddslagstiftning. Tror du inte på det så får du ställa > >> samma fråga till ansvariga myndigheter. > >> > >> > >> Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi > >> på något som faktiskt är problematiskt. Det finns gott om sådant. > >> Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från > min sida. > >> > >> Med vänlig hälsning, > >> > >> > >> > >> Anne-Marie > >> > >> > >> > >> > >> > >> Från: Erik Mjöberg [mailto:erik.mjoberg@xxxxxx] > >> Skickat: den 5 juni 2014 09:51 > >> Till: listan@xxxxxxxxxxxxx <mailto:listan@xxxxxxxxxxxxx> > >> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation > >> > >> > >> > >> Hej igen! > >> > >> Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga > >> upp ett legitimeringssystem som förutsätter att de legitimerade > >> samtycker till att personuppgifter används i strid med PuL. > >> > >> Om jag inte samtycker till att mina besök hos anlitade tjänster > >> registreras av legitimationsutfärdarna, får jag inte vara med då? Får > >> jag inte vara med om jag inte samtycker till att banken känner till > >> att jag tidsbokat på en HIV-klinik? > >> > >> Och slutligen en fråga till Anne-Mari Eklund Lövinder: > >> Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om > >> adresserna till de av användarna anlitade tjänsterna samlas in av > >> e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, > >> men användarna skalas av vid rapporteringen till faktureringen? > >> > >> Vänliga hälsningar > >> > >> Erik Mjöberg > >> > >> > >> > >> -------- Original Message -------- > >> > >> Subject: > >> > >> Re: Ang.: SV: [DFRI-listan] E-legitimation > >> > >> Date: > >> > >> Wed, 04 Jun 2014 17:33:12 +0200 > >> > >> From: > >> > >> Erik Mjöberg <erik.mjoberg@xxxxxx> <mailto:erik.mjoberg@xxxxxx> > >> > >> Organization: > >> > >> AB XML Sweden > >> > >> To: > >> > >> Tobias Pulls <tobias.pulls@xxxxxx> <mailto:tobias.pulls@xxxxxx> , > >> listan@xxxxxxxxxxxxx <mailto:listan@xxxxxxxxxxxxx> > >> > >> > >> > >> Hej Tobias! > >> > >> Bra att Du tog upp frågan om samtycke. > >> > >> I avtalet med min bank, Handelsbanken, finns ingenting om samtycke > >> till att samla in uppgifter om besökta tjänster. Jag känner inte > >> heller till att någon annan legitimationsutfärdare skulle ha en sådan > >> friskrivning. Slutligen kan utfärdaren begära samtycke till insamling > >> av adressen till den anlitade tjänsten i samband med att tjänsten > >> anlitas, men inte heller det har skett i någon av de tjänster som jag > >> har anlitat. > >> > >> Så jag känner mig ganska kränkt av hanteringen ... Men det har en > >> mycket ringa betydelse i sammanhanget. Det väsentliga är att den > >> klart strider mot > >> Person- > >> uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. > >> EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man > >> tillämpar samma metod som EU- domstolen gjorde beträffande > >> upphävandet av ändringarna i Datalagringsdirektivet > >> (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av > >> adresserna till de av användarna anlitade tjänsterna vara ett > >> "allmänt samhällsintresse som erkänns av unionen" om hanteringen > >> skulle godkännas av EU-domstolen. Det har jag svårt att tro. > >> > >> Det finns sedan flera år tillbaka färdiga lösningar på hur > >> legitimationsutfärdaren kan styrka användarens identitet utan att > >> känna till var styrkandet ska användas - > >> - > >> precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 > >> eller user- centric IDs. > >> > >> Vänliga hälsningar > >> > >> Erik Mjöberg > >> > >> On 2014-06-04 15:39, Tobias Pulls wrote: > >> > >> Hej, > >> > >> Värt att notera är också att det här troligen inte är ett brott > mot > >> personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t > ex > >> banken > >> vid utfärdandet av BankID. Det sagt så är det knappast något > >> positivt > >> att denna spårbarhet finns i systemet och troligen är det > många fler > >> än > >> Erik som upplever detta som ett intrång. Denna läcka baserat > på > >> samtyckte (som i dagsläget är långt från informerat i något > annat än > >> juridisk mening) borde ha tagits bort av e- > legitimationsnämnden > >> genom > >> att förbjuda annan användning än strikt nödvändigt eftersom > >> identitetsleverantörer redan får betalt. Tyvärr gjordes inte > detta > >> så > >> det är bara att hoppas att öppna och moderna tekniska > lösningar som > >> anonymous credentials används för nästa generation, för det > finns > >> ingen > >> stark vilja att lägga in juridiskt personskydd utöver det > minimala > >> som > >> krävs. Trevlig sits för identitetsleverantörerna dock, de får > betalt > >> för > >> att skapa profiler av folk. > >> > >> Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig > med > >> att > >> underskatta tom vad den aggregarade informationen har för > inverkan > >> på > >> personers privatliv. Det behövs inte mycket extra information > för > >> att > >> skapa skrämmande scenarion. En av de få sakerna ur > >> integritetssynpunkt > >> som SAML förbättrar är möjligheten att bara ge ut relevant > >> information > >> till tjänster istället för allt på ett certifikat. Utöver det bör man > >> nog vara försiktig om man vill kalla SAML lösningen > >> integritetsvänlig. > >> > >> Mvh, > >> Tobias > >> > >> On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote: > >> > >> Jag fann ingen anledning att kommentera 1. Det > är nog allmänt känt > >> att det är personnummer i certifikatet och därmed är spåret tydligt > >> för banken med flera i dagens system. /amel > >> > >> Skickat från min HTC > >> > >> > >> ----- Reply message ----- > >> Från: "Erik Mjöberg" <erik.mjoberg@xxxxxx> > >> <mailto:erik.mjoberg@xxxxxx> > >> Till: "listan@xxxxxxxxxxxxx" > >> <mailto:listan@xxxxxxxxxxxxx> <listan@xxxxxxxxxxxxx> > >> <mailto:listan@xxxxxxxxxxxxx> > >> Rubrik: SV: [DFRI-listan] E-legitimation > >> Datum: ons, jun 4, 2014 14:25 > >> > >> > >> > >> Hej DFRI-listan! > >> > >> Äntligen har jag fått ett svar i sak på vad jag hela > tiden påstått. > >> Det är första gången på två år! Låt mig ta upp sakfrågorna. > >> > >> 1. För det första har Anne-Marie Eklund- > Löwinder hittills inget > >> att erinra mot min beskrivning att e- legitimationsutfärdarna > >> (bankerna, Telia, m.fl.) > >> samlar in adresserna till de av användarna > anlitade e-tjänsterna i > >> dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna > >> nya systemet > >> med Svensk e-legitimation bekräftas tidigare > adressinsamling genom > >> användning av standarden SAML-assertion. > >> > >> Om jag har gjort en tidsbokning på en HIV-klinik > eller hos en > >> psykiater med min e-legitimation, vill jag inte att banken ska få > >> reda på det. Om jag har varit > >> inne på mina apoteksrecepttjänster vill jag inte > att banken ska > >> känna till det. Om min hustru har haft flera tidsbokningar för > >> kontroll av bröstcancer vill > >> jag inte att banken ska känna till det. Jag vill inte > heller att > >> banken ska kunna sälja dessa uppgifter till det försäkringsbolag där > >> min hustru eller jag har > >> våra livförsäkringar. Om jag t.ex. har anlitat > Svenska Spels > >> tjänster ofta vill jag inte att banken ska komma till mig och begära > >> omförhandling av räntan > >> på mitt bostadslån eftersom banken då > bedömer sig ta en högre risk. > >> Om bolånet ligger i en annan bank vill jag inte att banken ska sälja > >> samma > >> uppgifter till den banken. Om jag är medlem i ett > politiskt parti > >> vill jag inte att banken ska känna till att jag loggar in mig med e- > >> legitimation på partiets > >> medlemstjänst. Jag anser att dessa förhållanden > gravt kränker min > >> personliga integritet. Jag har därmed lidit skada. Detta gäller även > >> 2 miljoner andra > >> e-legitimationsinnehavare som med mig har > förvägrats det skydd som > >> tillkommer oss enligt Personuppgiftslagen (1998:204). > >> > >> Om jag i den analoga världen vill legitimera mig > med mitt körkort, > >> har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om > >> var, när och > >> i vilken omfattning jag identifierar mig med > körkortet. Då borde > >> det självklart vara ett anständighetskrav att den digitala lösningen > >> uppfyller minst samma > >> integritetskrav. Men om det fungerade med > mitt körkort som det > >> fungerar på nätet med e-legitimation skulle den expedit som granskar > >> mitt körkort > >> säga: "Vänta ett tag, jag ska bara skicka > information till > >> Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag > >> fråga mig: "Vad angår det > >> Transportstyrelsen var jag legitimerar mig med > mitt körkort?" > >> > >> 2. Punkt 2 stämmer exakt med felet i principen > att > >> E-legitimationsnämnden samlar de adresser användaren anlitar när > >> hon/han identifierar > >> sig i en e-tjänst. E-legitimationsnämnden > hämtar/samlar dessa > >> adresser enligt SAML-idp-discovery-standarden. Det är detta som > >> kommittédirektivet > >> 2010:69 skjuter in sig på. Insamlandet! Och > direktivet utgår då > >> från Personuppgiftslagen (1998:204), som slår ned på "behandling av > >> personuppgifter" > >> (3 §) som innefattar "Varje åtgärd eller serie av > åtgärder som > >> vidtas i fråga om personuppgifter, ... t.ex. insamling, ... > >> inhämtande ... av uppgifter ...". > >> Att sedan det rapporterade statistikunderlaget > har skalat av > >> individerna har inte med saken att göra, det handlar om kosmetik - > >> inte om integritetsskydd. > >> > >> Jag överlåter åt läsaren av detta att avgöra om > mina påståenden är > >> ogrundade eller om jag har fått saker och ting rejält om bakfoten. > >> > >> --- > >> > >> Till Sven Ruin vill jag säga att det ligger mycket i > vad Du säger. > >> Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att > >> det är bra att utfärdarna av > >> dagens e-legitimationer (banker, Telia m.fl.) > känner till vilka > >> tjänster användarna identifierar sig på? > >> > >> Vänliga hälsningar > >> > >> Erik Mjöberg > >> > >> --- > >> On 2014-06-04 10:51, Anne-Marie Eklund- > Löwinder wrote: > >> Hej, > >> Din punkt 2 stämmer inte ett enda dugg, där > behöver du göra din > >> hemläxa, och andra också kanske? Vilken tur då att det är så lätt att > >> kontrollera fakta. Regelverket för svensk e-legitimation finns > >> publicerat för allmän beskådan, och för varje läskunnig att ta till sig. > >> > >> Ni hittar det på http://www.elegnamnden.se/ > eller närmare bestämt > >> här: > >> > http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 > >> 0e039a8b6.html > >> > >> Jag kan varmt rekommendera alla intresserade > att sätta sig in i hur > >> det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt > >> ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här: > >> > >> Se Bilaga J - Rapporteringsrutiner, punkten 7.5: > >> > >> "Rapporterat statistikunderlag ska inte medge > att det går att > >> härleda enskilda transaktioner mellan Användare och e-tjänst". > >> > >> Se även Bilaga A - Ersättning och fakturering, > punkterna 2, 4.1 och > >> 4.2, om vilken information som fakturorna innehåller. > >> De anger i praktiken enbart antal unika användare per e-tjänst. > >> > >> Min slutsats är att du har fått saker och ting > rejält om bakfoten. > >> > >> > >> > >> Med vänlig hälsning, > >> Anne-Marie Eklund Löwinder > >> Säkerhetschef > >> .SE (Stiftelsen för Internetinfrastruktur) > >> Adress: Ringvägen 100 > >> Postadress: Box 7399, 103 91 Stockholm > >> Växel: 08-452 35 00 > >> Direkt: 08-452 35 17 > >> Mobil: 0734-31 53 10 > >> E-post: anne-marie.eklund-lowinder@xxxxxx > >> <mailto:anne-marie.eklund-lowinder@xxxxxx> <mailto:anne- > marie.eklund- > >> lowinder@xxxxxx> <mailto:anne-marie.eklund-lowinder@xxxxxx> > >> Twitter: @amelsec > >> Webbplats: https://www.iis.se > >> Från: Erik Mjöberg > >> [mailto:erik.mjoberg@xxxxxx] > >> Skickat: den 3 juni 2014 22:56 > >> Till: listan@xxxxxxxxxxxxx > >> <mailto:listan@xxxxxxxxxxxxx> <mailto:listan@xxxxxxxxxxxxx> > >> <mailto:listan@xxxxxxxxxxxxx> > >> Ämne: [DFRI-listan] E-legitimation > >> ... och här en fråga om e-legitimation: > >> > >> I kommittédirektiv 2010:69 för bildandet av E- > >> legitimationsnämnden står: > >> > >> Felaktigt utformat skulle ett system för > >> samordning av elektronisk identifiering > >> och signering kunna leda till risker för den > >> personliga integriteten, t.ex. om > >> uppgifter om en enskilds alla kontakter med > >> myndigheterna skulle samlas på > >> samma ställe ... > >> > >> 1. Visste Du att utfärdarna av dagens e- > >> legitimationer (banker, Telia m.fl.) känner > >> till vilka tjänster användarna identifierar sig på? > >> (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> > >> <http://www.bankid.com/sv/statistik/> , punkterna > >> 7 och 8 i statistikrapporterna) > >> > >> 2. Visste Du att i det nya förslaget till Svensk e- > >> legitimation känner inte bara > >> utfärdarna till de tjänster användarna > >> identifierar sig på utan även E-legitima- > >> tionsnämnden (en myndighet under > >> Skatteverket) samlar in samma uppgifter > >> (för att proportionera identifieringskostnaderna > >> på de myndigheter som levererar > >> tjänsterna)? > >> > >> Vänliga hälsningar > >> > >> Eri Mjöberg > >> > >> > >> > >> > >> > >> > >> > >> > > > -- > DFRI-listan är öppen för alla. > Listan arkiveras och publiceras öppet pÃ¥ internet. > Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri > Listpolicy: https://www.dfri.se/regler-for-listan
Attachment:
PGP.sig
Description: PGP signature