Re: [SIGNATUR] Re: Fornyelse af certifikat

[Kristoffer Winther Sørensen <sslug@sslug>]

torben wrote:

> Kristoffer Winther Sørensen wrote:
>> Som privatperson ville jeg ikke føle
>>mig det mindste tryg ved at min nabo kunne få udleveret mit personnummer
>>af TDC blot fordi han ville verificere min digitale signatur
>>
> Så bør man nok overveje om, man vil sende naboen en mail med sin
> signatur.

Jeg mener ikke at det forhold at man sender en person en signeret mail skal
berettige denne person til at indhente ens personnummer - og det er jeg
rimelig sikker på at loven heller ikke tillader.

Hvis du ikke bruger et personnummer i anden sammenhæng (fx en
skattemyndighed som bruger det som identifikation i ligningen) så er viden
om personnummer stort set ubrugeligt for dig. Hvis du som privatperson får
en mail fra din nabo Jens Jensen, hvilken betydning har det så at du ved at
han har personnummer X og ikke personnummer Y? Du ved stadig ikke om den
Jens Jensen er din nabo. Det svarer til at han viser dig et
sygesikringsbevis for en Jens Jensen (vi ser bort fra at der står adresse
på et sygesikringsbevis) - det er også ubrugeligt til identifikation, det
viser blot at der findes en Jens Jensen med personnummer X og at din nabo
har vedkommendes sygesikringsbevis.

De fleste stoler i højere grad på billedlegitimation, men det er jo heller
ikke fuldstændig sikkert. Det afhænger helt og aldeles af hvordan den
myndighed som sammenkæder dit billede og personnummer/navn tjekker
oplysningerne. Så vidt jeg husker lykkedes det uden problemer EkstraBladet
at få lavet et pas i falsk navn blot ved at medbringe en andens
sygesikringsbevis til politiet - og pas regnes vist af alle som det
ypperste indenfor identifikation. At det ikke er triviellt at fastlægge
identitet viser nogle af de faderskabs- og kriminalsager hvor der blev
brugt genetisk fingeraftryk jo også - her var det i mange tilfælde også nok
at medbringe sygesikringskort, og så er der jo intet i vejen for at jeg
sender min nabo afsted til blodprøveafgivelse med mit sygesikringskort for
at slippe for at betale børnebidrag?!

> Det ligger i selve den procedure, som gælder for tildeling af
> signaturen. Standard proceduren fra TDC sikrer forhåbentlig, at der er
> en rimelig høj grad af  sikkerhed for, at signaturen rent faktisk bliver
> tildelt den, der anmoder om den.

Til en vis grad ja, men sikkerheden ligger alene i at pin-koden sendes til
den adresse der hører sammen med personnummeret i folkeregistret. Det er
ikke for at lyde paranoid, men hvis du kender folks fulde personnummer (de
blev opslået på eksamenslister på universiteterne bare nogle år tilbage) så
hænger det hele på hvor let det er at ændre folkeregisteradresse ... hvis
folkeregistret accepterer at du stikker dem et personnummer (og det gør de
så vidt jeg ved), tja, så kan du rent faktisk få en digital signatur for en
anden person hvis du bare kender personnummeret og ændrer
folkeregisteradresse inden du kontakter TDC (og efter du har fået
pinkoden). Men jeg forventer ikke at TDC løser disse problemer, da de er
helt generelle og ikke har noget specifikt at gøre med digital signatur.

Ovenstående er efter min mening en udemærket grund til at privatpersoner
ikke får mit personnummer blot fordi jeg sender dem en signeret mail.

Vores personnummersystem er iøvrigt langt fra ideelt - de første 6 cifre
kender man på alle personer som man lykønsker på deres fødselsdag og det
sidste ciffer er et kontrolciffer, så der er kun 3 tilbage ... da jeg
studerede i Holland anvendte man et "Socialt og Fiscialt"-nummer
(Sofi-nummer) som ikke er relateret til ens fødselsdato, hvilket jeg synes
er langt bedre.

... men OK, nu er jeg vist ved at være rimeligt off-topic ...

./ Kristoffer