Re: [SIGNATUR] ComputerWorld: Alvorlig sikkerhedsbrist ved TDC-signatur

[Egon Andersen <sslug@sslug>]

Carsten Sørensen wrote:
> http://www.computerworld.dk/default.asp?Mode=2&ArticleID=23627
>
> Ja, det er selvfølgelig kun et problem med Internet Explorer og dermed ikke 
> specielt Linux-relevant.
>
> Desuden lever artiklen ned til ComputerWorlds sædvanlig standard og skal  
> lige tages med et gran salt. Jeg betvivler sandheden af udsagnet om at 
> personen fulgte instruktionerne om hvordan certifikatet importeres, det 
> burde jo have installeret TDCs CSP og dermed lappe hullet i IE (hvis 
> standard-installing er intet password).

Ja, det er trist at man får blandet det digitale signatur sammen med den 
elendige sikkerhed der er i værktøjet der opbevarer signaturen.
Det betyder desværre at nogle mister tilliden til signaturer, hvor det 
faktisk burde være leverandøren af IE der bør miskrediteres.
(Politikere har som så ofte før ikke fattet hvad det drejer sig om.)

Samtidigt er TDC's udsendelse af e-mails angående dette problem ikke 
særlig informativ og nævner ikke med et ord at problemet ligger i 
værktøjet IE og ikke i selve signaturen.

TDC's anvisning til påvisning af problemet er heller ikke særlig god, da 
man kan få fejlagtig påvisning af fejlens eksistens i Mozilla. Dette kan 
ske hvis første eller tredie option af de tre options der findes for 
"Master Password Timeout" er valgt.

Nu kunne jeg godt tænke mig at vide om TDC's kommende export/import 
funktion virker med Mozilla ;-)

Jeg ser frem til ekstra support-byrde pga. dette, selvom vore kunder 
typisk anvender Mozilla - suk! :-(

Med venlig hilsen
Egon Andersen