Re: [SIGNATUR] ATP's anvendelse af digital signatur...

[Carsten Raskgaard <sslug@sslug>]

On Fri, 2005-02-25 at 22:16 +0100, Egon Andersen wrote:
> Efter man har accepteret at installere et java-script, bliver man bedt 
> om at vælge nøgle, vel at mærke *.p12 og angive kodeord.
> Hvis man giver ATP filen og kodeordet, har de efter min bedste 
> overbevisning nu fået adgang til min private nøgle!
> 
> Hvis det ikke er at udlevere sin personlige nøgle til uvedkommende, så 
> ved jeg ikke hvad der foregår!
> 
> Så pas lige på! Der er altså noget der ikke stemmer på folkebørsen!
Det er en java applet og ikke et java-script som man bliver bedt om
tilladelse til at eksekvere.

Grunden til at appletten skal bruge en *.p12 fil er, at den benytter din
private nøgle til at signere dit login-request inden det sendes til
serveren.

Sikkerheden er baseret på at man stoler på organisationen, der har
signeret appletten, og at man derfor specielt stoler på at de ikke
sender din *.12 fil og tilhørende nøgle til serveren.

-- 
Carsten Raskgaard