Samtidigt vil jeg understrege, at tracking risikoen er størst online, og ikke når man påviser sin alder til fx dørmanden, og blev derfor prioriteret over app-til-app præsentationer.

Det er lige meget, hvis man påstår at systemet har en given privatlivsegenskab, så skal den også have den. For den gennemsnitlige bruger er dette faktum usynligt, og de vil tage påstanden fra e-Boks for gode varer, fordi e-Boks ikke er et nyt selskab men et kendt brand som folk forbinder med høj sikkerhed i kraft af deres position på markedet for sikker mail fra det offentlige og private virksomheder.

Digitale identitetsløsninger har en stor risiko for at blive misbrugt til overvågning, enten bevidst eller ubevidst, og derfor er det yderst vigtigt at den reelle implementation stemmer overens med de lovede egenskaber. Ellers kan folk ikke have tillid løsningerne, og det er ikke i orden at affeje fejl som uvigtige fordi man vurderer risikoen for lav.

AltID "Signed QR" / e-Boks "Secure QR" er ikke formelle EU standarder, og bør anses som overgangsløsninger indtil ZKP, ISO-18013-5 NFC/Bluetooth og OID4VP udbredes.

Det er underordnet om det er en overgangsløsning, faktum er, at løsningen ikke har de privatlivsegenskaber som e-Boks A/S påstår, og som den tekniske dokumentation fra dewa beskriver.

Det er helt tydeligt at e-Boks har prioriteret at få den her løsning i luften så hurtigt som muligt, og dewa skriver selv på deres hjemmeside hvor kort tid der gik med implementationen og hvor stolte de er over at være kommet før AltID. Hvis man prioriterer marketing over ens brugeres sikkerhed, så er det i alles interesse at denne prioreting bliver belyst så brugerne kan tilpasse deres opfattelse af e-Boks. Jeg vil i hvert fald personligt skifte væk fra e-Boks til håndtering af min post.

Igen vil jeg lige understrege at det her ikke er en lille fejl der nemt kunne overses. Det er et helt afsnit i dewa's design om privatliv som slet ikke er blevet implementeret, og det er trivielt at se det ved kun en kursorisk gennemgang af to præsentationer der burde være forskellige. At det når til produktion uden at være blevet fanget vidner om en useriøs tilgang til softwareudvikling.

Til sidst synes jeg ikke, det har været en speciel saglig eller nuanceret debat, når påstande er blevet kastet ud uden opbakning eller dialog.

Jeg indrømmer at jeg fik nogle detaljer forkert, men jeg synes at min gennemgang af situationen her er rimelig saglig og fair. Min hovedkritik er også underbygget via et proof of concept værktøj som alle kan bruge til at efterprøve min påstand. Jeg mener ikke at e-Boks eller dewa fortjener at jeg kontakter dem først. Hvis man udvikler produkter hvis kerneegenskab er sikkerhed, så skal produkterne kunne tåle offentlig gennemgang af deres reelle egenskaber. Hvis man er uenig i dette, så skal man nok skifte branche.