Brukerkaos for offentlig eID

Computerworld og VG Nett har begge skrevet om eID denne uken. I korte trekk går saken ut på at Regjeringen skal tilby alle nordmenn et nasjonalt ID-kort med en elektronisk ID (eID), i 2010. Med eID skal alle fra 13 år og oppover identifisere seg sikkert elektronisk, og bruke offentlige og private tjenester på nettet fra sin hjemme-pc.

Ideen kan være god, men det er avgjørende at et slikt krevende og viktig prosjekt involverer topp kompetanse på brukskvalitet- og testing. La ikke dette prosjektet bli et i rekken av offentlige prosjekter som kjører i gang og bruker millioner av skattekroner, men glemmer det viktigste: At noen faktisk skal bruke det ferdige systemet.

Her er fire  fallgruver som Regjeringen bør være klar over når de setter igang dette prosjektet:

1. Teknisk sikkerhet vurderes som viktigere enn sosial sikkerhet

Det er en overhengende fare for at teknisk sikkerhet vurderes som viktigere enn sosial sikkerhet (les: brukervennlighet) i slike prosjekter. Til tross for at mennesker er det svakeste ledd her. All verdens kryptering kan ikke hindre at folk skriver ned passordet sitt på en lapp og legger i lommeboka eller klistrer på pc’en fordi det er umulig å huske.

For å få smartkortet med eID må brukeren ifølge kilder Computerworld har snakket med, møte opp på et politikontor (samme utleveringsrutine som pass). Glemmer brukeren passordet til eID-en, må den sannsynligvis sendes som rekommandert post.

Passordene bør genereres på en fornuftig måte, a la hatt42cola, eller eventuelt la brukeren velge seg passord selv. Da med gitte begrensninger (ikke ord som finnes i ordlister, må inneholde et visst antall tall og små/store bokstaver etc).

2. Et hav av ulike identifiseringsmetoder skaper forvirring
Hvor mange ulike passord og pinkoder har du? Og hvor ofte sliter du med å (raskt) få utført tjenester, fordi du ikke finner igjen passordet, må lete, eller må bruke “glemt passord” funksjon? For min del skjer det (altfor) ofte.

Det er allerede mange sikkerhetssystemer og mange begreper i sving, og ingen av dem er tydelige. To av disse er:

• MinID: Akkurat lansert av Regjeringen. Skal erstatte PIN-koder på selvangivelsen, og brukes blant annet på Norge.no. Eneste forskjell fra “gammel” løsning er at man får et papirkort med PIN-koder uavhengig av selvangivelsen. PIN-kortet til MinID har ikke ordet “MinID” på seg, enda det er det det kalles overalt. Det står “norge.no” og “Minside”, men når det skal brukes andre steder og man referer til “MinID” vil ikke brukerne skjønne at det er det det refereres til.
• BankID: fra BankIDs nettside: “BankID er en personlig og enkel elektronisk legitimasjon for sikker identifisering og signering på nettet. BankID tilbys og utstedes av bankene i Norge.” Utfordringen med BankID er at mange tror de har denne, fordi de har den svarte kodebrikka. Men det er ikke BankID, BankID er innloggingssystemet. Hvem skjønner det? Postbankens kunder har for eksempel kodebrikka, men ikke BankID.

Vi trenger ikke enda et forvirrende sikkerhetssystem – vi trenger en opprydning!  La brukere av elektronisk ID benytte den samme identiteten på tvers av tjenester. Vi etterlyser et samarbeid mellom eID, MinID, BankID, BuyPass Smartkort…

3. Systemet blir altfor vanskelig å implementere og bruke

For å få eID til å fungere på nettsider, kreves det at det kobles til en smartkortleser, noe svært mange brukere ikke er vant til å forholde seg til. Kortet brukes dessuten på ulike typer pc-er, operativsystemer, programvare, nettlesere og smartkortlesere. Dette kan skape et hav av konfigurasjoner, og dermed kreve mye brukerstøtte fra myndighetene.

Finland har allerede gjennomført eID på smartkort, og her er noen av sidene
som viser hva brukerne må forholde seg til.

Det blir en selvfølge at brukeren ikke skal måtte forholde seg til en tabell over kortlesere a’la den finske. Kortleseren må være svært enkel å implementere for den enkelte bruker. I det legger jeg at prosessen er tydelig, brukeren skal måtte foreta så få valg som mulig underveis, og alle instruksjoner må være skrevet på et menneskelig språk. Det gjelder også eventuelle feilmeldinger.

Helst skal man kunne utvikle én type kortleser, som fungerer på alle typer pc-er, operativsystemer og nettlesere.

Her må det stilles strenge krav til grensesnitt, og man må teste, teste, teste….

4. Man glemmer å følge med i tiden

Det å kreve en kortleser er også veldig i strid med den utviklingen man forventer seg. Mens flere og flere bruker internett på mobile enheter, jobber myndighetene med en sikkerhetsløsning som baserer seg på at folk bruker internett på PCen hjemme. Løsningen kan fort være avleggs før den er lansert. Jobb heller med en sikker løsning der mobiltelefonen kan brukes som identifikasjon. Mobilen er personlig + folk har den alltid med = den perfekte IDen (i brukerens hode).

Et smartkort er like lett å stjele som et PIN-kort eller en mobiltelefon…

Her kan du lese artikkelen til Mats Lillesund om eID i Computerworld og på VG Nett.

Hva tenker du om elektronisk identifisering og Regjeringens eID prosjekt?