Sikkerhet rundt BankID sine interne systemer.

[Milarwen]

I den siste tiden har brukere av BankID appen blitt bedt om å ta bilde av pass og foto som sendes via BankID-appen. I lys av alle datainnbrudd, bla Discord så ser jeg en veldig ukritisk holdning til å sende slik sensitiv informasjon. Alternativet er å møte fysisk opp i banken men når jeg ringte dem, kunne de ikke redegjøre for hvordan dette var lagret annet enn at det var et internt system, men at flere banker var tilknyttet. 

Jeg ser to grunner til at BankID er et mål for sikkerhetsbrudd, og det første er at det en tjeneste knyttet til bankkontorer, en økonomisk motivasjon , og det andre er at det brukes av så og si alle banker, så ved et innbrudd så er potensielt alle kunder og tilhørende data, også penger, sårbar. 

Er det fler enn meg som ser en potensiell felle her? 

[IcedStrider]

Var lignende sak fra kort tid siden, så kanskje fortsett på den i stedet for ny?

 

[Milarwen]

Just now, AndersT2 said:

Var lignende sak fra kort tid siden, så kanskje fortsett på den i stedet for ny?

 

Takk. Når jeg søkte med ordet bankID fikk jeg ikke opp denne. 😃 

[Salvesen.]

Men å tappe passet og gi det til hoteller med mer i alle verdens hjørner gjør vi ukritisk...

[IcedStrider]

Slettet siden man hoppet til posten over i stedet

Endret 16. mars av AndersT2

[arne22]

On 3/16/2026 at 7:08 PM, Salvesen. said:

Men å tappe passet og gi det til hoteller med mer i alle verdens hjørner gjør vi ukritisk...

Noen gjør det ja, men ikke alle 🙂

 

[Salvesen.]

arne22 skrev (5 minutter siden):

Noen gjør det ja, men ikke alle 🙂

 

Aldri sett noen nekte dette, og jeg har bodd noen år på hotell etterhvert 

[arne22]

On 3/16/2026 at 7:00 PM, Milarwen said:

I den siste tiden har brukere av BankID appen blitt bedt om å ta bilde av pass og foto som sendes via BankID-appen. I lys av alle datainnbrudd, bla Discord så ser jeg en veldig ukritisk holdning til å sende slik sensitiv informasjon.

Ja, det er all grunn til å være skeptisk til det. Jeg har ikke lastet opp kopi av ID, og jeg kommer heller ikke til å gjøre det.

Har tvert i mot opprette en konto i en bank som har et alternativt innloggingssystem som ikke er uavhengig av BanID. (Nordea)

BankID kan jo til tider være teknisk ustabilt, og man vet jo aldri når dette systemet slutter å fungere på grunn av krav om opplasting av ID.

Med kopi av pass i BankID så vil det være ganske enkelt for alle ansatte hos BankID å gjennomføre et ID tyveri. (I varierende grad.)

Endret 10. april av arne22

[arne22]

1 minute ago, Salvesen. said:

Aldri sett noen nekte dette, og jeg har bodd noen år på hotell etterhvert 

Ut i fra EU sin lovgiving så kan hotellene ike kreve kopi av pass. Jeg gir aldri i fra meg slike kopier hvis det er mulig å unngå. (Og det er det jo vanligvis.)

https://spania.no/okonomi-turisme-naeringsliv/kan-hoteller-i-spania-ta-kopi-av-passet-ditt-turist-vant-en-rettssak-mot-hotel/

Endret 10. april av arne22

[barfoo]

3 minutes ago, arne22 said:

Ja, det er all grunn til å være skeptisk til det. Jeg har ikke lastet opp kopi av ID, og jeg kommer heller ikke til å gjøre det.

Kvifor ikkje? Har bankid så massive problemer at det er problematisk er det mange andre scenario som bekymrer meg meir, f.eks. at dei utan viare kan lage sertifikat og signere på vegne av deg.

Og det er risiko du strengt tatt ikkje kan velge vekk, gitt at staten har godkjent det som id-system med sikkerhetsnivå høgt.

[arne22]

5 minutes ago, barfoo said:

Kvifor ikkje? Har bankid så massive problemer at det er problematisk er det mange andre scenario som bekymrer meg meir, f.eks. at dei utan viare kan lage sertifikat og signere på vegne av deg.

 

Ja det er en problemstilling, men det lar seg kanskje vanskelig gjennomføre uten elektroniske spor? Kopier kan selges videre til 3'dje part hvor som helst i verden. Dette kan være tilnærmet umulig å spore tilbake til "utro tjener".

[arne22]

Her er litt info om Stø AS, som står bak BankID.

https://stoe.no/

https://www.proff.no/selskap/stø-as-tidl.-bankid-bankaxept-as/oslo/dataprogramvare-og-utvikling/IFC9XY1009O

https://cdn.sanity.io/files/8gh06hji/production/c20168f5b96dc3a0a1c467ffb1aac516dd785cc6.pdf

[barfoo]

18 minutes ago, arne22 said:

Ja det er en problemstilling, men det lar seg kanskje vanskelig gjennomføre uten elektroniske spor? Kopier kan selges videre til 3'dje part hvor som helst i verden. Dette kan være tilnærmet umulig å spore tilbake til "utro tjener".

Det framstår som ganske hypotetisk risiko strengt tatt, og det er begrensa kor mykje du kan bruke eit digitalt bilde av eit pass til. 

[arne22]

Interessant juridisk problemstilling: Når Stø A/S / BanID ivaretar samfunneskritiske funsjoner, kan man da kreve at Stø AS gir kravet om å laste opp kopia av pass, en saklig begrunnelse? Kan den som blir bedt om å laste opp kopi av ID kreven en kopi av Stø AS sin risikovurdering rundt dette? Kan Stø AS i det hele tatt kreve slik opplasting av pass eller identifiasjon uten at dette har hjemmel i lov eller forskrift?  

Endret 10. april av arne22

[arne22]

2 minutes ago, barfoo said:

Det framstår som ganske hypotetisk risiko strengt tatt, og det er begrensa kor mykje du kan bruke eit digitalt bilde av eit pass til. 

For noen kan det være begrenset, for andre ikke.

[barfoo]

5 minutes ago, arne22 said:

Interessant juridisk problemstilling: Når Stø A/S / BanID ivaretar samfunneskritiske funsjoner, kan man da kreve at Stø AS gir kravet om å laste opp kopia av pass, en saklig begrunnelse? Kan den som blir beddt om å laste opp kopi av ID kreven en kopi av Stø AS sin risikovurdering rundt dette? Kan Stø AS i det hele tatt kreve slik opplasting av pass eller identifiasjon uten at dette har hjemmel i lov eller forskrift?  

Saklig begrunnelse for at du må identifisere deg for å få utstedt E-ID, og at dei må oppbevare dokumentasjon på det? Kødder du? Det er forøvrig lovbestemt: 

Og nei, dei kan jo ikkje kreve det, men om du ikkje går med på det vil dei ikkje gi deg BankID. 

[arne22]

16 minutes ago, barfoo said:

Og nei, dei kan jo ikkje kreve det, men om du ikkje går med på det vil dei ikkje gi deg BankID. 

Det er nok det som er "det springende punkt", dvs om de kan forholde seg som som privt selskap, når de utfører oppgaver på vegne av den norske forvaltningen. Jeg tenker da på forvaltninglovens begtemmelser rundt akkurat dette. Spørsmålet er opprettet på Jussforum.

https://www.diskusjon.no/topic/1958429-spørmål-om-lovlighet-av-krav-om-opplasting-av-kopi-av-passid-til-bankid/#comment-27580560

 

Endret 10. april av arne22

[barfoo]

1 minute ago, arne22 said:

Det ernok det som er "det springende punkt", dvs om de kan forholde seg som som privt selskap, når de utfører oppgaver på vegne av den norske forvaltningen.

Ikkje bruk dei da. Bruk MinID som er drifta av staten.

[arne22]

Takker for info. Det er jo også en del av problemstillingen, om det finnes alternativ.

https://minid.no/

https://www.norge.no/nb/bruk-minid-logge-deg-inn/51

Endret 10. april av arne22