eID-nivåene: hvorfor MinID slipper deg inn noen steder, og BankID nesten overalt

Du har opplevd det uten kanskje å tenke over det: Skatteetaten og Altinn lar deg logge inn med MinID, den enkleste, gratis løsningen fra staten. Men prøver du det samme på Helsenorge, stopper du. Der må du ha BankID, Buypass eller Commfides – MinID slipper deg bare til skolehelsetjenesten i appen, ment for ungdom fra 13 år. Samme innlogging, samme «jeg er meg», men to ulike dører. Forskjellen har et navn: sikkerhetsnivå.

To nivåer, én forskrift

Norge deler elektronisk ID inn i nivåer etter forskriften om selvdeklarasjon av eID-ordninger, som følger EUs eIDAS-forordning. To nivåer er i praktisk bruk: «betydelig» og «høyt» – i eldre dokumentasjon kalt nivå 3 og nivå 4. Nkom er tilsynsorganet: leverandørene erklærer selv at løsningen deres oppfyller kravene for nivået de søker, og Nkom fører tilsyn med at det stemmer.

MinID er godkjent på «betydelig». BankID, BankID på mobil, Buypass ID (smartkort, mobil og FIDO2) og Commfides eID er godkjent på «høyt». Det er hele listen – seks ordninger, to nivåer.

Nivåene finnes ikke bare for å skille MinID fra BankID innad i Norge. eIDAS er en EU/EØS-forordning bygget på gjensidig anerkjennelse: myndighetene i hvert medlemsland skal godta en innbygger med en godkjent utenlandsk eID på samme eller høyere nivå, og nordmenn kan i prinsippet gjenbruke sin norske eID i andre EØS-land. Norge tok forordningen inn i norsk lov gjennom lov om elektroniske tillitstjenester i 2018. MinID og BankID er altså ikke bare norske merkevarer – de er plassert inn på en felleseuropeisk skala.

Hva som faktisk skiller dem

Begge er tofaktorløsninger: noe du vet, pluss noe du har. Forskjellen ligger i hvor sterkt den andre faktoren er bundet til deg som person. MinID ble lansert av det som i dag er Digdir i 2008, og aktiveres med et PIN-brev sendt i posten til adressen din i Folkeregisteret, pluss engangskoder på SMS eller e-post – eller etter hvert en app med tidsbegrensede koder (TOTP). Kontrollen ligger i at brevet går til en adresse staten allerede har registrert på deg; det er ingen som ser deg i ansiktet eller sjekker et pass underveis.

BankID og Buypass er bygget rundt noe sterkere. BankID krever i dag at du skanner pass eller nasjonalt ID-kort i appen, kombinert med ansiktsgjenkjenning – et EU-krav for at bare den som faktisk eier identiteten, skal kunne bruke den. Buypass gjør noe tilsvarende ved bestilling av smartkort eller mobilløsning: identiteten kontrolleres digitalt med pass eller ID-kort gjennom en egen verifiseringsapp, ikke bare med en kode sendt på SMS. Det er nettopp dette – identiteten sjekket direkte mot deg som person, ikke mot en kanal du tilfeldigvis har tilgang til – som løfter dem fra «betydelig» til «høyt» i eIDAS-forstand.

Hvor grensen slår ut i praksis

Helsenorge er stedet de fleste møter grensen konkret. Tjenesten krever det høyeste sikkerhetsnivået for å vise ut resepter, prøvesvar og annen helseinformasjon, fordi dette regnes som sensitive personopplysninger. MinID «har ikke høyt nok sikkerhetsnivå», som Helsenorge selv skriver, og gir bare tilgang til skolehelsetjenesten i appen, for ungdom fra 13 år – ikke noe annet. Voksne kommer ikke forbi med MinID i det hele tatt; det må være BankID, Buypass eller Commfides.

Andre tjenester er mer fleksible og lar deg begynne på «betydelig» og heve nivået underveis. ID-porten – fellesløsningen som formidler innlogging til det offentlige – ber deg om å logge inn på nytt med en sterkere eID hvis tjenesten du er på vei inn i krever mer enn det du møtte opp med. Teknisk sett ber tjenesten om et minimumsnivå i innloggingskallet (idporten-loa-substantial eller idporten-loa-high, i den nyere navngivingen), og ID-porten sender med hvilket nivå du faktisk oppnådde i svaret tilbake.

Prisen på det sterkeste nivået

MinID koster ingenting – det er en statlig løsning knyttet til folkeregistreringen din. BankID er, ifølge BankIDs egne priser, også kr 0 for privatpersoner; en eventuell kostnad for kodebrikke reguleres i så fall av den enkelte bank. Buypass ID koster derimot rundt 1 289 kroner for mobilløsningen, ifølge Buypass selv. Det er trolig en del av grunnen til at BankID i praksis er blitt normen for «høyt» nivå i Norge: den er allerede gratis i lomma til de fleste, uten en egen bestilling.

Neste gang en tjeneste avviser MinID og ber om noe sterkere, er det ikke en tilfeldig innfall fra IT-avdelingen. Det er eIDAS-nivået på informasjonen bak døren som bestemmer hvor sterk nøkkelen må være.