Leder: Angreb på NemID i dag, om en måned og for evigt
more_vert
close

Få de daglige nyheder fra Version2 og Ingeniøren. Læs mere om nyhedsbrevene her.

close
Ved at tilmelde dig accepterer du vores Brugerbetingelser, og du accepterer, at Teknologiens Mediehus og IDA-gruppen lejlighedsvis kan kontakte dig om arrangementer, analyser, nyheder, job og tilbud m.m. via telefon og e-mail. I nyhedsbreve, e-mails fra Teknologiens Mediehus kan der forefindes markedsføring fra samarbejdspartnere.

Leder: Angreb på NemID i dag, om en måned og for evigt

Der er forbavsende stille omkring krigserklæringerne mod vores digitale infrastruktur. Ikke blandt fagfolk, der debatterer intensivt på Ingeniørens søstermedie, Version2, men blandt landets førende politikere, der åbenbart har svært ved at forholde sig til de usynlige offentlige tjenester og ydelser inde bag computerskærmen. Og derfor er de sært fraværende, når vi bliver forhindret i at bruge dem. Presser medierne på, kan man få et par ordførere til at pippe lidt.

I forlængelse af de internationale DDoS-angreb, hvor anarkister i Stophaus trak hastigheden ud af hele verdens internet ved at bombardere antispamtjenesten Spamhaus, har vi den seneste uge haft vores lokale belejring af offentlige hjemmesider som kl.dk, rejseplanen.dk – og absolut mest generende: en række angreb på NemID, der i timevis forhindrede borgere at logge på offentlige systemer. Bankkunderne kunne benytte sig af bankernes digitale nødberedskab.

Man må såre undre sig over den ansvarlige myndigheds reaktion: Digitaliseringsstyrelsen opfordrede borgerne til at gå ned på det lokale rådhus, selv om alle ved, at der i forbindelse med kommunesammenlægningen er høstet massive digitaliseringsgevinster ved at afskaffe den personlige borgerbetjening. Tvangsdigitaliseringen betyder, at vi i stigende omfang skal betjene os selv. Det gælder også de statslige styrelser, når vi har behov at komme i kontakt om bl.a. SU, boligstøtte og pension.

For sit indre blik ser man borgerne valfarte til hovedstaden for at stille sig op i lange køer og banke på myndighedernes hoveddøre som i en dårlig udgave af et bedaget DR-madprogram: Hallo, er der nogen hjemme? ... Det er der så ikke ...

Samtidig er kommunerne og regeringen i fuld sving med yderligere digitalisering i den såkaldte Bølge 2, der skal få os til at hjælpe os selv med alt fra rottebekæmpelse, kørekort, lægevalg, fripladser, vielser, udrejser til begravelser og ejendomsskat. Samfundets afhængighed af en robust digital infrastruktur bliver fuldstændig.

Et politisk ramaskrig bør derfor lyde, når en hvilken som helst amatør, der leger hacker, kan lægge systemet ned for omkring en halvtresser med software købt frit tilgængeligt på nettet. For hvad sker der, når de professionelle rykker ind? Men tavsheden er larmende, og automatforklaringer fra DanID om, at sikkerheden bag NemID ikke er kompromitteret, og at nedbruddene var kortvarige, får lov at stå alene.

Sikkerhed er i dette tilfælde ikke det væsentlige. Det er er tjenesternes nødvendige tilgængelighed. Man kan næppe forestille sig, at man i 1983 ville have bagatelliseret, at landets kommunekontorer og statsinstitutioner var besat af maskerede BZ’ere, der forhindrede udbetaling af sociale ydelser og godkendelse af byggetilladelser, om det så kun havde været for en eftermiddag. De kunne jo komme igen dagen efter med endnu flere venner. Statsmagten ville have opfattet det som en revolution, og reaktionen havde været voldsom.

Danmark kan ikke længere leve med, at der ikke er et beredskab for den digitale infrastruktur. Hvis den ikke kan etableres med den nuværende model, må politikerne kræve, at der bliver udviklet en anden, og slå NemID, som vi kender det, ihjel.

Emner : It-sikkerhed
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Der er byttet om på Spamhaus og Stophaus. Det er Spamhaus der leverer blacklist til at stoppe spam.

Nu er fejlen rettet her på nettet, men den optræder desværre også i den trykte udgave af Ingeniøren.

Hilsen

Magnus Bredsdorff
Ingeniøren

  • 3
  • 0

Glimrende indlæg, men desværre er bz-analogien utilstrækkelig til at afdække situationens alvor og direkte skadelig i lovgivningssanmenhæng.

Pointen er nemlig at ddos angreb kan foretages af alle i verden på nettet, er anonyme og distribuerede. Svære, hvis ikke umulige at retsforfølge. Bzere er til stede fysisk, kan pågribes på gerningsstedet og retsforfølges.

Teenagen i kælderen angriber jo ikke direkte, behøver ikke være dansk statsborger og kan hvordomhelst i verden styre et angreb, der kan ske fra høre af danske hackede hjemme pcere, styret gennem botnets.

Derfor kan en udenlandsk magt eller privatperson sagtens lamme nemid, via danske borgeres pcere uden at kunne stilles for en dommer.

Ingen juridiske greb fungerer som løsning, alt snakken om 'udenlandske ip adresser' og i det hele taget en løsning baseret på fysisk ret med henvisning til et geografisk område er ugyldig og kan værste fald motivere arbitrær frihedsindskrænkende lovgivning i stil med terrorpakkerne.

Nogle forslag til analogier, der fremmer almenhedens erkendelse af problemets distrubuerede natur og nødvendigheden af en decentral løsning, som ikke er sikker pga. hemmeligheder eller lov, men i kraft af sit design?

  • 5
  • 0

i både selve lederen og indlægget herover. Tak til amatørhakkeren for at skyde NemID i grus - det er så grotest at være vidne til DanID reaktion.

Luk det, sælg det til nedrivning, straf dem der er skyldige i NemID, giv hakeren tak for indsatsen ( som var lille )

Peter Madsen

  • 9
  • 0

Sammenligningen med bz'ere er lidt søgt, idet der var flere hundrede kommunekontorer, som skulle besættes for at opnå samme resultat som at DDoS'e nemid. Nu skal man kun "besætte" eet "kontor". Hurra for centralisering!

  • 1
  • 0

Sammenligningen er IMHO ikke søgt. Din indvending gør det bare værre.
Politiet stiller gerne op og serverer knippelsuppe til en "fest" på et forladt minedepot ved en vej, der fortrinsvis bliver benyttet af skraldebiler. Det kan statsmagten ikke tolerere. Ressourcer er til rådighed.

At centraliseringen medfører stor sårbarhed er gammelt viden. DDoS angreb er et oplagt valg af våben for en cyberguerrillero / cyberguerrillera.
Nu er knippel, tåregas og sæbeskum ikke veloplagte våben i dataverden. Har vi en ordensmagt, der har fantasi nok til at forstå og håndtere en guerrillia?

"Why does the guerrilla fighter fight? We must come to the inevitable conclusion that the guerrilla fighter is a social reformer, that he takes up arms responding to the angry protest of the people against their oppressors, and that he fights in order to change the social system that keeps all his unarmed brothers in ignominy and misery."
— Che Guevara

  • 0
  • 0

Jeg har i årevis haft en ide til en global loginløsning, vil beskrive den her, da jeg mener den ku bruges i dk istedet for NemID:

Nettet er lavet til at overleve, og vi har et system som DNS.
Man ku lave login på samme måde som DNS systemet.
En del servere, der logger folk ind. En udvidelse til TCPIP ISP (Internet security protocol) som bruges mod disse nye servere, og så lægge nøglerne osv, de bedste steder.

Så er det hele decentraliseret, kan ikke lammes totalt, og nøgler/kryptering er spredt ud og kan ikke hackes et enkelt sted fra.

Så har alle mennesker i verden et ID som kun kan udstedes hos myndighederne, hvor alle svindlere som ikek er dem de siger, bliver sorteret fra.

Så kan kriminelle ikke logge ind på noget, uden at bruge deres rigtige identitet.

Mulighederne er store synes jeg. Det kan også bruges til signering af filer som lægges på nettet, og som jeg har tænkt det, fuldstændig stoppe piratkopiering.

Hvad synes i ?

Hvad med f.eks 1 login server i hver kommune, og er den nede, så sendes man over til en af de andre.

Jeg burde skrive en RFC..

  • 0
  • 0

så ved international lov, skal ALLE websteder bruge dette, og dem som ikke har Global-ID som login på deres side, bliver lukket af netpolitiet, som vi også skal have..

  • 0
  • 0

Faktisk bør hele protokolstakken skrives om fra bunden og simplificeres.
Vi sidder og bruger noget som er lavet for 50 år siden, på alle mulige måder som det slet ikke var meningen.

Og vi har lært meget siden 1995 da nettet slog igennem, vi bør tage erfaringerne og skrive det hele om fra bunden.

Det gør man også med kvalitets-software.

Den største fejl ved IT er at blive ved med at opgradere noget i årevis.
Det skal nytænkes og skrives om!
Det gælder også nettet.

  • 0
  • 1

Helt enig med lederen, men hvordan kommer vi så videre herfra? Hændelserne giver bestemt grund til at stille en række spørgsmål. Blandt disse er:

1) Hvorfor var Nets/NemID sårbar over for så simple og velkendte angreb?
2) Hvordan skal vi kunne have tillid til Nets i fremtiden, når de nu har vist, at vi ikke skulle have tillid til dem?
3) Hvorfor har Digitaliseringsstyrelsen som ejer af NemID ikke sikret sig at NemID som vital infrastrukturressource var og er tilstrækkelig sikret?
4) Hvordan skulle vi i fremtiden kunne have tillid til at Digitaliseringsstyrelsen er kompetent nok til at være ansvarlig for en så vital infrastrukturdel, når de nu har demonstreret, at de ikke er opgaven voksen?

Men svaret får desværre nok lov til at blæse i luften.

Imedens fortsætter Nets tåbelige konklusioner i stil med 'angrebene bliver kortere, hvilket viser at vi er ved at få styr på det'-agtigt ......... Udtalelser i den klasse viser klart, at den eller dem, der har forfattet en sådan udtalelse ikke har begreb om problemets omfang.

  • 0
  • 0

Sikke en masse internet eksperter, der er at finde her på Ing's debatside :)

Faktum er at der ikke er ret meget at stille op imod et stort DDoS attack.

Se på de største DDoS angreb de sidste par år: CIA, Bank of America (og andre store banker), Visa, Mastercard, Paypal, Sony PS network, Wordpress (18 millioner websites trukket ned), Spamhaus (ikke mindst), dertil kommer regelmæssige DDoS angreb på alverdens navne servere.

Spamhaus satte rekord med 300 Gbps trafik i angrebet.

Banker og andre der bruger https/SSL kan smadres uden brug af store trafik mængder. Selve handshaket i opsætningen af forbindelse er dyrt resourcemæssigt. Et angreb kan således bestå af at nogle få (tusinde) maskiner der connecter og disconnecter uden at ret meget trafik udveksles.

Selve arkitekturen af NemID kan diskuteres. Personligt mener jeg at den manuelle challenge-response m. en pap-kode er meget mere sikkert end digitalt certifikat når man tager med i betragtning at 25% af alle privat PCer i DK er inficeret med malware.

  • 1
  • 4

Det er simpelthen for nemt og også lidt arrogant at slå kritikken hen som "armchair coaches".

Det er uansvarligt at gøre næsten al ting i samfundet afhængigt af et enkelt centralistisk system og så slå den forudsigelige katastrofe hen med, at det er der bare ikke noget at gøre ved.

Fakta er, at få timer efter det lå fast, hvordan NemID's arkitektur skulle være, så har kritikken haglet ned fra kompetente kilder. Se også PHK's indlæg andets steds samt NemID-kritiske indloæg gennem de sidste par år.

Fakta er, at NemID-katastrofen er en foruidselig katastrofe og, at dem der hævder det modsatte, måske ikke er kvalificeret til at vurdere dette. Og jeg skrev måske.

Fakta er, at når man laver en centralistisk styret service som alle skal tilgå centralt, ja så beder man selv om problemerne. Så er det ikke et spørgsmål om, hvis det vil fejle, men når det vil fejle. Naturligvis bør alle der bruger NemID i deres serviceudbud fungere som indgangsdør til NemID og naturligvis bør alle der tilgår en service der er baseret på en NemID ikke tilgå NemID via et centralt sted som Nets, men derimod decentralt via deres serviceudbyder. Det er da logik for burhøns. Hvor svært kan det være ? Naturligvis er der sikkerhedsudfordringer, men ikke værre end det kan løses og naturligvis kan vi beholde papirkortet.

Fakta er, at laver man det ordentligt, og det er man nødt til, når det er en vital komponent i et lands infrastruktur, ja så kan DDoS sætte en bankservice ud af spillet for en tid, og måske også kirkekontoret og måske en pensionservice etc. men aldrig aldrig alle. Det er da indlysende.

Hvorfor tror i at centralistiske tiltag som X.400 fejlede og SMTP sejrede. Hvorfor tror i at Internettet faktisk er så sejlivet som det rent faktisk er? Hvorfor er DNS distribueret? Fordi nogle kloge og dygtige mennesker nægtede at gå ind på forslag og direktiver fra statslige teleselskaber og offentlige myndighedspersoner i specielt EU og i særdeleshed DK. Ja embedsmændende forøgte at trumfe X.25 og X.400 igennem, men fejlede :) Men det er jo historie og det kan NemID også blive.

  • 3
  • 0

Men det er jo historie og det kan NemID også blive.

NemID er færdig pga. medfødt fejldesign samt monopolbinding til bankerne, men desværre bliver dødskampen lidt lang pga. manglende anvendeligt og sikkert alternativ for den offentlige part af NemID.

Skat har dog (klog af skade) bibeholdt sit alternative logon.

Næsten samtlige offentlige instanser havde ikke forstand på det de her satte i gang eller er generelt ikke synderligt interesseret i 'klienterne', og derfor undlod de etablering af et anvendeligt alternativ. Og dem der vidste bedre holdt meget lav profil eller blev bedt om at holde bøtte.

Bankerne har jo eget alternativt nødsystem - det så vi i aktion - så kunderne kunne komme ind i butikken.. hvorfor ?

  • 0
  • 0

As mentioned in several articles, I have a team working with me at DTU and ITU on designing and developing demonstration prototype technology that is meant to inspire and challenge Nets. We have been developing a replacement for the new NemLog-in as well as for NemID.

Our work is grounded in the very best research and tools available for the formal specification, validation, and verification of cryptographic distributed protocols, avoids any single-point of failure, eliminates delegated trust of public keys to a single third party, is immune to the kind of DDOS that Nets is dealing with, and our implementations are automatically generated from specifications (though are then wrapped in contracted .Net assemblies for ease-of-testing and use).

I/we know how to do this in research and in practice because I cut my teeth on ultra-scale distributed systems back in the 90s when I worked on peer-to-peer (pre-grid) distributed compute clusters (like Condor, Globus, and others) and mobile agent platforms, my work at Sprint developing the U.S.A.'s second largest ISP at the time (what became a major part of Earthlink in the late 90s), my work on and with CORBA, DCOM, MPI, PVM, and a plethora of other distributed computing frameworks, my work with the initial great group at the W3C in the mid-90s on HTTP, HTML, and RESTful architectures, and much more.

The technologies we are using include Microsoft Research's F*, Code Contracts, PEX, and more. Everything we are doing is Open Source and various reports and papers are being written on the work. See my GitHub repository and my group's website for more information.

Best,
Joe Kiniry
Professor and Head of Software Engineering, DTU Compute

  • 0
  • 0

I følge de gængse sikkerhedsstandarder er stabil drift en af de væsentlige elementer, der udgør sikkerhed. Autenticitet, tilgængelighed og integritet er nøgleord, og hvis en tilfældig teenager kan kompromittere tilgængeligheden i timevis for en halvtredser, er NemID absolut ikke sikkert.

  • 1
  • 0
Bidrag med din viden – log ind og deltag i debatten