OpenSSL är en produkt som de senaste dagarna kommit i rampljuset från att vara något som bara IT-folk känt till. Orsaken till att exponeringen är den s.k. heartbleed-buggen som nu blivit känd och som framställts som ett av de största hoten hittills på internet.
Jag kommer här inte att beskriven buggen eller vilka åtgärder som nu krävs för säkra sina miljöer utan fokusera på möjliga konsekvenser i ett macroperspektiv.
Buggen innebär att information kan läcka från drabbade serverar, information som kan vara känslig och hemlig. OpenSSL är sig en liten komponent men den finns spridd i kanske 100-tals miljoner kopior, många av dessa kan vara inkluderade i produkter som mobiltelefoner, routrar och brandväggar, produkter som kan sakna support eller där det inte är tydligt att OpenSSL ingår. Åtgärder pågår för att reparera felen där de är kända men sannolikt kommer många installationer att bli bortglömda och därmed vara ett fortsatt hot. Det spekuleras mycket om hur mycket information som läckt under de två år buggen har funnit. Svaret på detta finns inte och kommer nog förbli obesvarat.
Vi är nu i ett tillstånd som liknar det som var inför sekelskiftet och den s.k. millenniebuggen. Före sekelskiftet hade man dålig kontroll på hur mycket av världens programvara som inte var förberedd det nya seklet och de konsekvenser som dessa brister skulle kunna medföra. Stora projekt för att granska system och program startades, mycket rättades men ingen visste hur mycket som skulle fallera 2000-01-01. Allt nog, det mesta gick bra, dels var farorna kanske överdrivna men också den metodiska ansatsen att faktiskt göra så mycket som möjlighet för att förbygga problem bidrog nog till att det gick bra.
Vi är nu i ett liknande läge, vi vet inte alls hur många ställen som den dåliga koden finns, vi får leta och rätta men till skillnad mot millenniebuggen kommer inget tillfälle då vi vet att det gått bra. Det kan när som helst i framtiden komma fram information som läckt från tidigare trasiga system eller sådana som ännu inte reparerats. Information som kan komma att användas i onda syften.
Fungerade, pålitligt kryptering är en förutsättning för många tjänster på internet. Vi behöver det för att säkert kunna identifiera oss på nätet, vi behöver det för att veta att ingen manipulerar eller tar del av de data vi utväxlar på nätet. Kryptering är nödvändigt för att hantera banktjänster på nätet, att kunna överföra privat eller sekretessbelagd information m.m.
En stark trend för närvarande är s.k. "identitetsfederationer" där det förutsätts fullt förtroende för övriga parter och att dessa inte har några brister i sin system. Skulle någon medlem i federation ha fel i sina kryptosystem t.ex. p.g.a heartbleed-buggen så kan förtroende för hela federationen ifrågasättas.
Heartbleed-buggen har dessutom spräckt en myt. Att open-source gör det möjligt för var och en att granska säkerhet i koden. Det är sant men tyvärr verkar det som de flesta förväntar sig att "någon annan" granskar och dessutom i ärligt uppsåt återrapporterar ev. brister. Detta har dock inte skett på två år...
Frågan är hur många andra, för internet viktiga "komponenter" som har allvarliga brister? Man kan nu med rätta ifrågasätta om det som setts som säkert på internet verkligen är säkert och trovärdigt?
Så arbetet med att spåra och rätta alla ställen där heartbleed-buggen kan finnas måste fortgå. Ny teknik måste förmodligen också fram för att framtidssäkra internet så att vi åter kan få förtroende.
Tillsvidare bör man vara mycket försiktig användning av internet när höga krav på sekretess och riktighet som t.ex. kontakter med media där meddelarskyddet är viktigt, patientjournaler på nätet, allmänna val, vissa ekonomiska transaktioner m.m.
Okrypterade meddelanden på internet jämförs ofta med vykort (som kan läsas av brevbäraren). Krypterade meddelande är kanske som kuverterade brev men det kan ändå vara många som kan öppna och tjuvläsa dessa...
---
Vi är nu i ett tillstånd som liknar det som var inför sekelskiftet och den s.k. millenniebuggen. Före sekelskiftet hade man dålig kontroll på hur mycket av världens programvara som inte var förberedd det nya seklet och de konsekvenser som dessa brister skulle kunna medföra. Stora projekt för att granska system och program startades, mycket rättades men ingen visste hur mycket som skulle fallera 2000-01-01. Allt nog, det mesta gick bra, dels var farorna kanske överdrivna men också den metodiska ansatsen att faktiskt göra så mycket som möjlighet för att förbygga problem bidrog nog till att det gick bra.
Vi är nu i ett liknande läge, vi vet inte alls hur många ställen som den dåliga koden finns, vi får leta och rätta men till skillnad mot millenniebuggen kommer inget tillfälle då vi vet att det gått bra. Det kan när som helst i framtiden komma fram information som läckt från tidigare trasiga system eller sådana som ännu inte reparerats. Information som kan komma att användas i onda syften.
Fungerade, pålitligt kryptering är en förutsättning för många tjänster på internet. Vi behöver det för att säkert kunna identifiera oss på nätet, vi behöver det för att veta att ingen manipulerar eller tar del av de data vi utväxlar på nätet. Kryptering är nödvändigt för att hantera banktjänster på nätet, att kunna överföra privat eller sekretessbelagd information m.m.
En stark trend för närvarande är s.k. "identitetsfederationer" där det förutsätts fullt förtroende för övriga parter och att dessa inte har några brister i sin system. Skulle någon medlem i federation ha fel i sina kryptosystem t.ex. p.g.a heartbleed-buggen så kan förtroende för hela federationen ifrågasättas.
Heartbleed-buggen har dessutom spräckt en myt. Att open-source gör det möjligt för var och en att granska säkerhet i koden. Det är sant men tyvärr verkar det som de flesta förväntar sig att "någon annan" granskar och dessutom i ärligt uppsåt återrapporterar ev. brister. Detta har dock inte skett på två år...
Frågan är hur många andra, för internet viktiga "komponenter" som har allvarliga brister? Man kan nu med rätta ifrågasätta om det som setts som säkert på internet verkligen är säkert och trovärdigt?
Så arbetet med att spåra och rätta alla ställen där heartbleed-buggen kan finnas måste fortgå. Ny teknik måste förmodligen också fram för att framtidssäkra internet så att vi åter kan få förtroende.
Tillsvidare bör man vara mycket försiktig användning av internet när höga krav på sekretess och riktighet som t.ex. kontakter med media där meddelarskyddet är viktigt, patientjournaler på nätet, allmänna val, vissa ekonomiska transaktioner m.m.
Okrypterade meddelanden på internet jämförs ofta med vykort (som kan läsas av brevbäraren). Krypterade meddelande är kanske som kuverterade brev men det kan ändå vara många som kan öppna och tjuvläsa dessa...
---
"Krypterade meddelande är kanske som kuverterade brev men det kan ändå vara många som kan öppna och tjuvläsa dessa... "
SvaraRaderaDen stora skillnaden mellan kuvert och kryptering är att du kan veta om ett kuvert saknas och du kan se om det är öppnat. Oftast.
Men ett krypterat meddelande som någon är intresserad av är "bara" att kopiera och börja hacka på. Förr eller senare kommer meddelandet fram i klartext. När och var och för vem kan du inte veta.
Kryptering är kanske ett nödvändigt men inte ett tillräckligt skydd för meddelanden som skickas över kanaler som också andra har tillgång till om man verkligen inte vill att de ska spridas. Sådana (sällsynta?) meddelanden bör transporteras fysiskt och hanteras i isolerade miljöer.